Certified in Risk and Information Systems Control (CRISC) and CompTIA PenTest+

Diese Weiterbildung verbindet zwei komplementäre Disziplinen der IT-Sicherheit: das strategische Risikomanagement nach dem ISACA-Framework CRISC und die operative Angriffssimulation nach dem CompTIA-Standard PenTest+. Während CRISC die Fähigkeit schärft, IT-Risiken systematisch zu identifizieren, zu bewerten und durch gezielte Kontrollmaßnahmen zu steuern, vermittelt CompTIA PenTest+ (Prüfungscode PT0-003) das technische Handwerkszeug für autorisierte Penetrationstests und Schwachstellenanalysen. Wer beide Kompetenzen beherrscht, versteht IT-Sicherheit sowohl aus der Perspektive des Risikocontrollings als auch aus der Sicht desjenigen, der Angriffswege aktiv sucht — eine Kombination, die in modernen Security-Teams zunehmend gefragt ist.

Modul CRISC — Risikomanagement nach ISACA Das CRISC-Modul vermittelt das vollständige ISACA-Framework zum Management von IT-Risiken in Organisationen. Im Mittelpunkt steht die Frage, wie Risiken entstehen, wie sie messbar gemacht werden und welche Steuerungsmaßnahmen wirksam gegensteuern. Besonderer Wert liegt auf der Verknüpfung von IT-Risiken mit Unternehmenszielen und der klaren Abgrenzung zwischen Bedrohung, Schwachstelle und tatsächlichem Risikoereignis.

• IT Risk Identification: Bedrohungsquellen, Schwachstellen, Risikoregister führen und aktuell halten
• IT Risk Assessment: Eintrittswahrscheinlichkeit und Auswirkungsanalyse, Risikomatrizen und Scoring-Methoden
• Risk Response and Reporting: Risikoakzeptanz, -transfer, -minderung; Kontrollkatalog entwickeln
• Information Technology and Security: IT-Kontrollen, Governance-Strukturen, Audit-Schnittstellen
• Risikoappetit und Risikokapazität als strategische Steuerungsparameter der Unternehmensführung
• Integration von CRISC in bestehende GRC-Frameworks wie COBIT und ISO 27001

Modul CompTIA PenTest+ (PT0-003) Das PenTest+-Modul führt praxisnah durch den vollständigen Lebenszyklus eines autorisierten Penetrationstests. Es kombiniert konzeptionelles Wissen über Angriffsvektoren mit konkreten Übungen an realen Test-Umgebungen. Im Unterschied zu CRISC fokussiert dieses Modul auf die technische Ausführungsebene von Sicherheitsprüfungen — von der Auftragsklärung bis zum strukturierten Abschlussbericht, der sowohl technische als auch Management-Empfänger anspricht.

• Scoping, Rules of Engagement und rechtliche Rahmenbedingungen der Auftragsvereinbarung
• Reconnaissance: passive und aktive Informationssammlung, OSINT-Methoden für Ziel-Aufklärung
• Vulnerability Scanning mit nmap, OpenVAS und Metasploit-Framework
• Exploitation: Web-Anwendungen nach OWASP Top 10, Netzwerkdienste, Passwort-Angriffstechniken
• Post-Exploitation und Privilege Escalation in Windows Active Directory und Linux-Umgebungen
• Pentest-Abschlussbericht: Executive Summary, technischer Befundteil, Empfehlungsmatrix

Integrations-Block — Befunde aus dem Pentest in das Risikoregister überführen Ein zentrales Lernziel der Kombination besteht darin, Penetrationstest-Ergebnisse in CRISC-konforme Risikoaussagen zu übersetzen. Teilnehmende lernen, wie technische Schwachstellen in Risikokennzahlen überführt werden und wie Testergebnisse in Risikoregistern und Risikoberichten ihren Platz finden. Dieser Block stellt sicher, dass der operative Pentest-Befund nicht isoliert bleibt, sondern strategische Steuerungsentscheidungen informiert.

• Mapping von CVEs und CVSS-Scores auf die CRISC-Risikobewertungsmethodik
• Priorisierung von Schwachstellen nach geschäftlichem Impact für das Risikoregister
• Reporting-Strukturen für technische und nicht-technische Empfänger gestalten
• Kontrollmaßnahmen aus Testbefunden ableiten und in CRISC-Domäne 3 dokumentieren
• Compliance-Dokumentation für Audit-Anforderungen nach ISO 27001 und NIS2

Praktische Anwendungsszenarien im Kurs

• Aufbau und Pflege eines IT-Risikoregisters für ein fiktives Unternehmen
• Durchführung eines strukturierten Schwachstellen-Scans und Auswertung der Ergebnisse
• Entwicklung eines Risikobehandlungsplans aus Penetrationstest-Befunden
• Erstellung eines Pentest-Abschlussberichts mit Executive Summary und technischem Anhang
• Simulation eines Risikoworkshops mit Stakeholder-Kommunikation
• Analyse realer CVE-Einträge und Einordnung in das Risikomodell
• Erarbeitung von Kontrollempfehlungen auf Basis von CRISC-Domäne 3
• Nutzung von Metasploit für kontrollierte Exploits in Lab-Umgebungen
• Einsatz von Burp Suite für Web-Application-Testing
• Windows Active Directory: häufige Fehlkonfigurationen und Privilege Escalation
• Linux-Enumeration und Nachnutzung von Zugangsdaten
• Abschlussbericht nach CompTIA-Vorlage mit Empfehlungsmatrix

Das Lernformat kombiniert Theorie-Einheiten mit intensiven Übungsphasen an Labor-Umgebungen. Durch Fallstudien aus dem Unternehmensalltag entsteht ein konkretes Bild, wie Risikomanagement und offensive Sicherheitstests in der Praxis ineinandergreifen.

Dieses Kombiprogramm spricht Personen an, die auf dem Weg zu verantwortungsvollen Positionen im IT-Sicherheitsbereich sind. Es eignet sich sowohl für Quereinsteigerinnen und Quereinsteiger mit IT-Grundlagen als auch für erfahrene IT-Fachleute, die ihr Profil gezielt um Risikomanagement- und Penetrationstest-Kompetenzen erweitern wollen.

• IT-Fachleute, die in Richtung Security Operations oder GRC wechseln möchten
• Systemadministratorinnen und -administratoren mit erstem Sicherheitsfokus
• Personen, die eine Tätigkeit als IT-Risikomanager oder Penetration Tester anstreben
• IT-Projektleitende, die Sicherheitsrisiken besser einschätzen und steuern wollen
• Absolventinnen und Absolventen technischer Studiengänge mit Interesse an IT-Security

Der Unterricht findet im Combined-Learning-Format statt: Live-Einheiten im virtuellen Klassenzimmer wechseln sich mit Selbstlernphasen und technischen Übungen ab. Die Live-Einheiten sind interaktiv gestaltet — per Mikrofon, Kamera und Chat kann unmittelbar mit den Dozierenden kommuniziert werden. Für Lernende, die Präsenz bevorzugen, stehen PC-Arbeitsplätze in den Centern zur Verfügung; eine HomeOffice-Nutzung ist ebenfalls möglich. Praxiserfahrene Fachleute führen durch Theorie-Einheiten, Übungsphasen, Fallstudienarbeiten und Projektaufgaben — der Ablauf ähnelt in seiner Struktur einem klassischen Präsenzunterricht.

Der Kurs wird im Vollzeitmodell durchgeführt und erstreckt sich über mehr als einen Monat bis zu drei Monate. Die genaue Gesamtdauer ergibt sich aus der gewählten Modulkombination. Individuelle Teilzeit-Starttermine können auf Anfrage vereinbart werden.

Wer das Programm erfolgreich abschließt, erhält eine Teilnahmebescheinigung des Bildungsträgers. Darüber hinaus bereitet das Programm gezielt auf die externe Zertifizierungsprüfung CRISC der ISACA und die CompTIA PenTest+-Prüfung (Prüfungscode PT0-003) vor. Beide Prüfungen werden unabhängig vom Kurs bei akkreditierten Testzentren abgelegt. CRISC gilt als eine der renommiertesten IT-Risikomanagement-Zertifizierungen weltweit; CompTIA PenTest+ ist ein international anerkannter Nachweis für Penetrationstesting-Kompetenzen.

Wer CRISC und CompTIA PenTest+ gemeinsam erwirbt, deckt zwei Seiten der IT-Sicherheit ab, die in der Praxis eng zusammengehören, aber selten in einer Person vereint sind: die strategische Risikoperspektive und die technische Angreiferperspektive. Unternehmen suchen zunehmend nach Fachkräften, die nicht nur Risiken benennen, sondern auch belegen können, welche Schwachstellen tatsächlich ausnutzbar sind — und umgekehrt, wie Testergebnisse in belastbare Risikomodelle übersetzt werden. CRISC allein öffnet Türen zu GRC-Rollen, IT-Audit-Positionen und Risk-Management-Funktionen in mittelständischen und großen Organisationen. CompTIA PenTest+ ergänzt dieses Profil um eine nachgefragte operative Fähigkeit, die besonders in Security-Teams und bei Managed-Security-Service-Providern gefragt ist. Die Kombination ermöglicht es, zwischen technischen Teams und Management-Ebene zu vermitteln — als Brücke zwischen Befund und Risikoentscheidung. Der Abschluss beider Zertifizierungen macht Absolventinnen und Absolventen zu glaubwürdigen Gesprächspartnern in Sicherheitsgesprächen auf allen Ebenen: von der technischen Analyse bis zur Vorstandspräsentation. In einem Arbeitsmarkt, der gut ausgebildete IT-Security-Fachleute händeringend sucht, ist diese doppelte Qualifikation ein konkret verwertbarer Vorteil.