Zertifizierungen

Kostenloser Einstieg ins Feld: Grundbegriffe zu Security-Prinzipien, Netzwerk, Incident Response. Guter erster Nachweis ohne Vorerfahrung.

Der bekannteste Einsteiger-Standard, oft Mindestanforderung in Stellenausschreibungen (u. a. US-DoD). Breites Grundlagenwissen, Multiple Choice.

Anspruchsvollere Alternative zu Security+ mit mehr Hands-on-Tiefe. GIAC-Prüfungen sind Open Book, aber fordernd.

Praktische Einstiegs-Prüfung (echtes Lab statt Multiple Choice) — der übliche erste Schritt Richtung Pentesting.

Web-Schwachstellen praktisch finden und ausnutzen — guter Einstieg in Websecurity und Bug Bounty.

Realistische AD-Pentest-Prüfung inkl. Report und Live-Debrief — praxisnah und deutlich günstiger als OSCP. Beliebter Zwischenschritt.

Sehr umfangreiche, praxisnahe Pentest-Prüfung (10 Tage, vollständiger Report). Gilt technisch als mindestens OSCP-Niveau — zum Bruchteil des Preises.

Die bekannteste Hands-on-Pentest-Zertifizierung (24h-Praxisprüfung) und HR-seitig der Standard für Pentester-Rollen.

Preis-Leistungs-Tipp für Websecurity: kostenlose Academy + anspruchsvolle 4h-Praxisprüfung direkt vom Burp-Hersteller.

HR-seitig sehr bekannt (v. a. in Compliance-Kontexten), technisch aber praxisärmer als OSCP/CPTS — eher Theorie-Nachweis als Hands-on.

Methodisch fundierter Pentest-Nachweis — v. a. relevant, wenn der Arbeitgeber SANS-Trainings bezahlt.

Red-Team-Handwerk mit Cobalt Strike: OPSEC, AV/EDR-Umgehung, C2 — der gängige Einstieg in echtes Red Teaming.

Fortgeschrittene Umgehung von Verteidigungsmaßnahmen (AV/EDR, AppLocker) und AD-Angriffe — der logische Schritt nach OSCP.

Voraussetzung: OSCP-Niveau empfohlen

Praktischer SOC-Einstieg: Phishing-Analyse, SIEM, Forensik-Grundlagen, Incident Response — mit 24h-Praxisprüfung.

SOC-Analyst-Wissen (Threat Detection, Log-Analyse, Vulnerability Management) als anerkannter Vendor-neutraler Nachweis.

Voraussetzung: Security+-Niveau empfohlen

Praktische SOC-/IR-Prüfung (Incident-Untersuchung mit Report) — das Blue-Team-Gegenstück zum CPTS.

SOC-Arbeit im Microsoft-Stack: Sentinel, Defender XDR, KQL — sehr relevant, weil viele Unternehmens-SOCs genau darauf laufen.

Der Klassiker für Incident Response: Angriffstechniken verstehen und Vorfälle strukturiert behandeln.

Tiefe Windows-Forensik und Threat Hunting für fortgeschrittene Angriffe (APT-Fälle, Lateral Movement nachvollziehen).

Der Management-Standard schlechthin — Türöffner für Security-Architektur- und Führungsrollen, in Ausschreibungen allgegenwärtig.

Voraussetzung: 5 Jahre Berufserfahrung in mind. 2 CISSP-Domänen

Fokus auf Security-Governance und -Programm-Management — die CISO-orientierte Alternative/Ergänzung zum CISSP.

Voraussetzung: 5 Jahre Berufserfahrung (InfoSec-Management)

Der Standard für IT-Audit und -Kontrollen — Pflicht in Audit-/Prüfungsrollen, stark in Banken und Konzernen.

Voraussetzung: 5 Jahre Berufserfahrung (Audit/Kontrollen)

IT-Risikomanagement und Kontrollen — sinnvoll für Risk-Manager und GRC-Rollen an der Schnittstelle zum Business.

ISMS aufbauen bzw. auditieren nach dem in Europa dominierenden Standard — direkt verwertbar für NIS2/DORA-Kontexte.

Vendor-neutrale Cloud-Security-Grundlagen (CSA Guidance) — leichter Einstieg ohne Berufserfahrungs-Pflicht.

Der Management-/Architektur-Standard für Cloud-Security — das Cloud-Pendant zum CISSP.

Voraussetzung: 5 Jahre Berufserfahrung (davon Cloud)

Tiefes AWS-Security-Wissen (IAM, KMS, Erkennung, Incident Response) — Standard für Security-Rollen in AWS-Umgebungen.

Security-Engineering in Azure: Entra ID, Netzwerk-Härtung, Defender for Cloud — günstig und in M365/Azure-Shops gefragt.

Security-Design und -Betrieb auf Google Cloud — relevant, wo GCP im Einsatz ist (Daten-/ML-lastige Unternehmen).

Günstiger Einstieg in KI-Grundlagen, GenAI-Konzepte und Responsible AI aus Cloud-Sicht — kein Security-Fokus, aber solides Fundament.

KI-Lösungen auf Azure bauen (Azure AI Services, OpenAI Service) — Engineering statt Security, aber wertvolles Kontextwissen zum Absichern von KI-Systemen.

Neu seit Februar 2026: KI-Systeme absichern, KI im SOC einsetzen, AI-GRC — der erste bezahlbare Vendor-neutrale AI-Security-Nachweis.

Voraussetzung: Security+/CySA+-Niveau + 2 Jahre Security-Praxis empfohlen

KI-Governance, EU AI Act, Risiko-Frameworks — ohne Zulassungsvoraussetzungen, stark nachgefragt bei Compliance-/Datenschutz-Rollen.

KI-Managementsysteme (AIMS) aufbauen bzw. auditieren — ISO 42001 wird durch den EU AI Act zunehmend zur Beschaffungsanforderung.

Hands-on AI-Security: Prompt Injection, Model Poisoning, LLM-Supply-Chain — eine der wenigen praktischen (statt Governance-) AI-Security-Prüfungen.

KI-Systeme auditieren — Aufbau-Zertifizierung für erfahrene Auditoren, die KI-Einsatz im Unternehmen prüfen müssen.

Voraussetzung: aktives CISA (oder gleichwertig) erforderlich

Die erste Management-Zertifizierung speziell für AI-Security (seit Okt. 2025) — für Führungsrollen, die KI-Risiken im Unternehmen verantworten.

Voraussetzung: aktives CISM oder CISSP erforderlich