Relevanz: CC – · SSCP – · CISSP alle Domänen
Der CISSP gilt als die Königsklasse unter den Sicherheitszertifizierungen. Aber was steckt eigentlich dahinter? Warum heißt es immer, man solle „wie ein Manager denken“? Und was bedeutet es, dass ab April 2027 ein neues Outline gilt? Genau darum geht es heute.
In der letzten Folge ging es um den CC als Einstieg. Heute schauen wir ans andere Ende der Leiter. Für mich ist der CISSP nach CC und SSCP das nächste große Ziel, und die acht Domänen bilden ab jetzt auch das Rückgrat dieser Reihe.
Was ist der CISSP?
CISSP steht für Certified Information Systems Security Professional. Während der SSCP die Praktiker-Zertifizierung ist, richtet sich der CISSP an alle, die Sicherheit planen, verantworten und steuern: Sicherheitsarchitektinnen, ISBs, Security Manager und CISOs. Es geht weniger um die Frage „Wie konfiguriere ich das?“ und mehr um „Warum machen wir das, und passt es zum Risiko der Organisation?“
Die Prüfung auf einen Blick
| Format | Computerized Adaptive Testing (CAT) |
| Fragen | 100 bis 150 |
| Dauer | 3 Stunden |
| Bestehensgrenze | 700 von 1000 Punkten |
| Sprachen | u. a. Englisch und Deutsch |
| Ort | Pearson-VUE-Testcenter |
| Kosten | 719,04 € (EMEA), 749 US-Dollar (Rest der Welt) |
| Berufserfahrung | 5 Jahre in mindestens 2 der 8 Domänen |
Ein passender Studienabschluss oder eine von ISC2 anerkannte Zertifizierung kann ein Jahr der Berufserfahrung ersetzen. Wer die Erfahrung noch nicht hat, wird nach dem Bestehen Associate of ISC2 und hat sechs Jahre Zeit, sie nachzuholen. Mehr zum Ablauf steht in der Folge zum Prüfungsformat.
Das neue Outline ab 15. April 2027
Die acht Domänen bleiben, aber ihre Gewichtung verschiebt sich, und Domäne 1 bekommt einen neuen Namen:
| Domäne | Outline 2024 | Outline 2027 |
|---|---|---|
| 1 Security Governance and Risk Management (bisher: Security and Risk Management) | 16 % | 13,6 % |
| 2 Asset Security | 10 % | 12 % |
| 3 Security Architecture and Engineering | 13 % | 12,8 % |
| 4 Communication and Network Security | 13 % | 12,8 % |
| 5 Identity and Access Management (IAM) | 13 % | 13,6 % |
| 6 Security Assessment and Testing | 12 % | 11,2 % |
| 7 Security Operations | 13 % | 12,8 % |
| 8 Software Development Security | 10 % | 11,2 % |
Die Botschaft der neuen Zahlen: Die Domänen rücken noch enger zusammen. Domäne 1 verliert an Gewicht, Asset Security, IAM und Softwareentwicklung legen zu. Alle acht liegen jetzt zwischen 11,2 und 13,6 %. Eine Lieblingsdomäne, auf die man sich verlassen kann, gibt es also nicht mehr.
Was inhaltlich neu dazukommt
- Passwordless: FIDO, WebAuthn und Passkeys werden Prüfungsstoff.
- Risikoadaptive Zugriffskontrolle: Zugriffsentscheidungen, die sich am aktuellen Risiko orientieren.
- Post-Quanten-Kryptographie: Ein Thema, das mich seit meiner Masterarbeit begleitet, ist jetzt offiziell im CISSP angekommen.
- Künstliche Intelligenz: Bedrohungen wie Model Poisoning und Deepfakes, aber auch Ethik beim Einsatz von KI in Domäne 1.
- Lieferkette: Im Supply-Chain-Risikomanagement tauchen jetzt Begriffe wie Software Bill of Materials (SBOM), Silicon Root of Trust und Physically Unclonable Functions auf.
- Awareness: Security Champions, Gamification und die Messung der Wirksamkeit von Schulungsprogrammen.
Wer vor dem 15. April 2027 prüft, wird noch nach dem Outline von 2024 geprüft. Wer danach antritt, sollte mit Material lernen, das schon zum neuen Stand passt. Diese Reihe orientiert sich bereits am Outline 2027.
„Think like a manager“
Den Satz liest man in jedem CISSP-Forum, und er stimmt. Viele Fragen bieten eine technisch saubere Lösung und eine, die zum Prozess, zur Richtlinie und zum Risiko der Organisation passt. Gesucht ist fast immer die zweite. Ein paar Faustregeln:
- Menschenleben gehen vor. Sicherheit von Personen schlägt jeden anderen Aspekt.
- Erst verstehen, dann handeln. Antworten wie „Risiko bewerten“ oder „Richtlinie prüfen“ kommen oft vor „Firewall-Regel ändern“.
- Verantwortung liegt beim Management. Die Geschäftsleitung trägt das Risiko, die Sicherheitsabteilung berät und setzt um.
Prüfungsfallen
- Zu technisch denken: Gerade Leute mit starkem Technikhintergrund wählen gern die eleganteste technische Lösung statt der angemessensten.
- Breite unterschätzen: Acht Domänen mit fast gleichem Gewicht bedeuten, dass ihr auch Themen wie Recht, Softwareentwicklung oder physische Sicherheit beherrschen müsst.
- Das falsche Outline lernen: Material von vor 2027 kennt Passkeys, PQC und KI-Themen oft nur am Rande.
Was hat das mit IT-Grundschutz zu tun?
Der CISSP ist im Grunde ein internationaler Rundumblick auf das, was im IT-Grundschutz über mehrere Standards und das Kompendium verteilt ist. Domäne 1 entspricht in weiten Teilen den BSI-Standards 200-1 (ISMS) und 200-3 (Risikoanalyse), die BCM-Themen finden sich im BSI-Standard 200-4. Die technischen Domänen 3 bis 8 haben ihre Gegenstücke in den Bausteinen, etwa ORP.4 für Identitäts- und Berechtigungsmanagement, NET für Netze, OPS für den Betrieb und CON.8 für die Softwareentwicklung. Wer täglich mit dem Grundschutz arbeitet, hat beim CISSP also einen Vorsprung, muss aber die englischen Begriffe und die Managementperspektive dazulernen.
Kurzquiz
1. Ab wann gilt das neue CISSP Exam Outline?
Ab dem 15. April 2027.
2. Welche Domäne verliert im neuen Outline am meisten Gewicht?
Domäne 1, von 16 % auf 13,6 %. Sie heißt jetzt Security Governance and Risk Management.
3. Ein Mitarbeiter meldet einen Brand im Serverraum. Was hat oberste Priorität?
Die Sicherheit der Menschen, also Evakuierung, nicht die Rettung der Daten oder Systeme.
Fazit
Der CISSP ist breit, managementorientiert und ab April 2027 noch ausgewogener gewichtet. Neu sind vor allem moderne Themen wie Passkeys, PQC, KI und Lieferkettensicherheit. In der nächsten Folge bringen wir alle drei Zertifizierungen zusammen: Wie sieht ein sinnvoller Lernpfad von CC über SSCP bis zum CISSP aus?