CISSP vs Security+: Welche brauchst du zuerst?

Sie konkurrieren eigentlich nicht miteinander

Ich bekomme diese Frage ständig gestellt, und die ehrliche Antwort ist, dass CISSP und Security+ nicht um denselben Platz in deinem CV konkurrieren — sie befinden sich auf völlig unterschiedlichen Karrierestufen. Security+ ist eine Entry-Level-, herstellerneutrale Qualifikation für Menschen, die in die Cybersecurity gehen. CISSP ist eine Senior-Level-Management- und Architektur-Zertifizierung von ISC2, die Jahre bezahlter Arbeitserfahrung erfordert, um überhaupt die volle Designation zu erhalten. Sie direkt zu vergleichen ist in etwa wie einen Führerscheintest mit einer HGV-Lizenz zu vergleichen — verwandtes Feld, sehr unterschiedliches Level.

Wenn du diese Frage stellst, weil du neu im Bereich bist, ist die Antwort einfach: Security+ zuerst, immer. CISSP ist noch nicht erreichbar, und selbst wenn es wäre, wäre es nicht die richtige Qualifikation für deine aktuelle Position.

Die Erfahrungsanforderung, die die meisten übersehen

Hier ist das Detail, das die Leute stolpern lässt: CISSP erfordert mindestens fünf Jahre kumulative, bezahlte Arbeitserfahrung in mindestens zwei der acht CISSP-Domains (ein Jahr kann mit einem relevanten Abschluss oder einer anderen anerkannten Zertifizierung entfallen). Du kannst die Prüfung ohne diese Erfahrung ablegen und bestehen und wirst "Associate of ISC2", aber die volle CISSP-Designation erhältst du erst, wenn die Erfahrungsanforderung erfüllt und bestätigt ist. Security+ hat keine solche Anforderung — du kannst sie am ersten Tag deiner Karriere ablegen.

Das ist der praktische Grund, warum die meisten Menschen Security+ oder eine gleichwertige Grundlage brauchen, lange bevor CISSP überhaupt relevant für ihre Situation wird. Es erklärt auch, warum Stellenanzeigen, die "CISSP oder gleichwertig, 5+ Jahre Erfahrung" fordern, nichts mit Entry-Level-Ausschreibungen gemein haben, die Security+ erwähnen — sie richten sich überhaupt nicht an denselben Kandidaten, und sie als Sprossen auf der gleichen kurzen Leiter zu behandeln führt in beide Richtungen zu unrealistischen Erwartungen.

Nebeneinander

	Security+ (SY0-701)	CISSP
Level	Entry-Level	Senior / Management
Herausgeber	CompTIA	ISC2
Erforderliche Erfahrung	Keine	5 Jahre (mit Verzichten)
Fokus	Technische Grundlagen	Security-Management, Governance, Architektur
Typischer Halter	Junior Analyst, Karrierewechsler	Security Manager, Architect, CISO-Track
Erneuerung	Fortlaufende Bildung	Fortlaufende Bildung (CPEs)

Was ich Studierenden sage, die direkt zu CISSP springen wollen

Gelegentlich habe ich einen Studierenden, normalerweise einen Karrierewechsler aus einer Senior-Position in einem anderen Feld — Programmmanagement, Engineering Leadership, Militär — der direkt für CISSP gehen will, weil es wie die "Top"-Zertifizierung aussieht. Ich sage ihnen jedes Mal das gleiche: CISSP testet Breite des Security-Management-Wissens über acht Domains, und ohne Grundlagen in technischen Fundamenten wirst du Konzepte auswendig lernen, die du nie wirklich angewendet gesehen hast. Das ist ein viel schwierigerer, viel weniger haltbarer Weg zum Lernen, und es hilft dir nicht, wenn du die Erfahrungsanforderung ohnehin nicht erfüllen kannst, um die volle Credential zu halten.

Baue zuerst die technische Grundlage — Security+ oder gleichwertig, idealerweise mit etwas praktischer Erfahrung — und dann lass CISSP die Qualifikation sein, die Management-Level-Wissen formalisiert, sobald du tatsächlich auf diesem Level tätig bist. Ich sage das als jemand, der CISSP hält: Die Prüfung belohnt Urteilsvermögen, das aus echten Entscheidungen aufgebaut ist, die du unter Druck treffen musstest — einen Live-Incident, einen Budget-Trade-off, eine Policy-Ausnahme, die niemand absegnen wollte. Ohne diesen Rucksack an Erfahrung, auf den du zurückgreifen kannst, lernst du Abstraktionen auswendig, statt Muster zu erkennen, die du bereits kennst, und das ist ein viel langsamerer, viel weniger zuverlässiger Weg zur Vorbereitung.

Eine sinnvolle Reihenfolge

1. Security+ (oder ISC2 CC) — Grundvokabular und Konzepte.
2. Praktische Erfahrung — eine Analyst-Rolle, eine praktische Qualifikation wie BTL1, praktische Projekte.
3. Eine Spezialisierung — Cloud Security, Blue Team, GRC, je nachdem, wohin deine Karriere geht.
4. CISSP — sobald du die Jahre an Erfahrung sammelst und dich in Richtung Management oder Architektur-Verantwortung bewegst.

Wenn du dir nicht sicher bist, ob CISSP die Mühe wert ist, selbst wenn du dich dafür qualifizierst, habe ich das Für und Wider separat geschrieben: is CISSP worth it. Und wenn du das vollständigere Bild sehen willst, wo Security+ sitzt, bevor irgendetwas davon passiert, siehe is Security+ worth it.

FAQ

Kann ich CISSP ohne irgendwelche Berufserfahrung bekommen?

Du kannst die Prüfung bestehen und ISC2 Associate werden, und auf die volle CISSP-Designation hinarbeiten, während du die erforderliche Erfahrung sammelst. Du kannst die volle CISSP-Credential nicht ohne sie halten.

Ist CISSP schwerer als Security+?

Ja, aber nicht nur wegen der Content-Schwierigkeit — CISSP testet Breite und Urteilsvermögen über Security-Management-Themen, was schwerer zu pauken ist als Security+s eher definierbare, technische Ziele.

Sollten Karrierewechsler direkt auf CISSP gehen?

Nur, wenn du bereits Jahre relevanter Erfahrung aus angrenzenden Feldern hast, die ISC2 anerkennt — zum Beispiel IT-Risiko-, Audit- oder Programmmanagement-Rollen mit echtem Security-Inhalt. Ansonsten baue erst die Grundlage auf.

Zählt Security+ auf CISSPs Erfahrungsanforderung an?

Security+ selbst zählt nicht als Berufserfahrung, aber CompTIA hat Vereinbarungen, die bestimmten CompTIA-Zertifizierungen erlauben, ein Jahr des CISSP-Erfahrungsverzichts zu erfüllen — überprüfe CISSPs offizielle Seite auf die aktuelle Liste, da sich diese Vereinbarungen ändern.

Nicht sicher, welche dieser Optionen tatsächlich zu deiner aktuellen Situation passt? Buche eine Probestunde und wir werden den realistischen nächsten Schritt herausarbeiten, nicht den ehrgeizigen.