Certified Information Security Manager (CISM) and CompTIA PenTest+

Wer heute Informationssicherheit verantwortet, muss zwei Perspektiven beherrschen: die strategische Governance-Ebene und die technische Angreifer-Sicht. Diese Weiterbildung verbindet den ISACA-Standard CISM – Certified Information Security Manager – mit CompTIA PenTest+ (Prüfungscode PT0-003) und schafft damit ein selten anzutreffendes Kompetenzbündel. CISM ist das weltweit führende Managementzertifikat für Information-Security-Professionals und deckt die vier Domänen Information Security Governance, Information Risk Management, Information Security Program Development and Management sowie Information Security Incident Management ab. CompTIA PenTest+ richtet sich an Sicherheitsfachleute, die offensive Techniken – von der Planung eines Penetrationstests über Exploitation bis zur professionellen Berichterstattung – systematisch anwenden können. Die Kombination dieser beiden Zertifikate ermöglicht es, Sicherheitsstrategien nicht nur zu entwerfen, sondern deren Wirksamkeit durch reale Angriffstechniken zu überprüfen und belastbar zu bewerten.

Modul CISM – Information Security Governance Die erste ISACA-Domäne bildet das strategische Fundament des gesamten Lehrgangs. Hier geht es darum, wie Sicherheitsprogramme aus Unternehmenszielen und regulatorischen Anforderungen heraus entwickelt, kommuniziert und mit dem Top-Management abgestimmt werden. Governance-Strukturen entstehen nicht im Vakuum; sie müssen in bestehende Organisations- und Compliance-Strukturen eingebettet sein.

• Sicherheitsstrategie und Ausrichtung an Unternehmenszielen
• Aufbau von Sicherheitsrichtlinien, -standards und Verfahren
• Rollen und Verantwortlichkeiten im Sicherheitsprogramm
• Steuerung externer Dienstleister und Third-Party-Risiken
• Kennzahlen und Reporting an Führungsebene und Aufsichtsgremien

Modul CISM – Risk Management und Security Program Management Die zweiten und dritten ISACA-Domänen werden gemeinsam betrachtet: Risikoidentifikation, -bewertung und -behandlung nach anerkannten Methoden bilden die Brücke zum operativen Sicherheitsprogramm. Programme müssen aufgebaut, finanziert und laufend gesteuert werden; dieser Block vermittelt Methoden für beide Aufgaben.

• Risikoidentifikation und Bedrohungslandschaft
• Quantitative und qualitative Risikobewertungsverfahren
• Risikobehandlung: Akzeptanz, Transfer, Minderung, Vermeidung
• Aufbau und Steuerung von Sicherheitsprogrammen im Jahresrhythmus
• Integration von Sicherheitsanforderungen in Projektprozesse

Modul CISM – Incident Management Die vierte ISACA-Domäne schließt den Management-Kreis: Was passiert, wenn Kontrollen versagen? Dieser Block behandelt Vorfallreaktionspläne, Forensik-Grundlagen aus Managementsicht sowie die Koordination mit internen und externen Stakeholdern während eines Sicherheitsvorfalls.

• Incident-Response-Plan und Kommunikationsprozesse
• Klassifizierung und Priorisierung von Sicherheitsvorfällen
• Koordination mit Strafverfolgung, Regulatoren und Öffentlichkeit
• Post-Incident-Reviews und Lessons-Learned-Prozesse
• Business-Continuity-Bezüge und Übergaben an das BCM-Team

Modul CompTIA PenTest+ (PT0-003) – Planungs- und Aufklärungsphase PenTest+ beginnt mit den Grundlagen eines methodisch sauberen Penetrationstests. Rechtliche Vereinbarungen (Rules of Engagement), Scoping und passive sowie aktive Aufklärungstechniken stehen im Mittelpunkt. Die Teilnehmer lernen, Informationen über Zielsysteme zu sammeln, ohne sofort aktiv einzugreifen.

• Engagement-Typen, Scoping und Vertragsgrundlagen
• Passive Reconnaissance mit OSINT-Werkzeugen
• Aktive Netzwerkerkundung und Service-Enumeration
• Footprinting von Webanwendungen und Cloud-Diensten
• Dokumentation der Aufklärungsphase nach PT0-003-Standard

Modul CompTIA PenTest+ (PT0-003) – Exploitation und Reporting Nachdem Schwachstellen identifiziert sind, setzt dieser Block auf deren technische Ausnutzung unter kontrollierten Bedingungen sowie auf professionelle Berichterstattung. Dabei werden Netzwerk-Exploits, Web-Angriffsvektoren (SQLi, XSS, CSRF) und Post-Exploitation-Techniken wie Privilege Escalation und Lateral Movement durchgespielt.

• Exploit-Frameworks und manuelle Exploitation-Techniken
• Webanwendungs-Angriffe nach OWASP-Systematik
• Post-Exploitation: Persistenz, Pivoting, Datenexfiltration
• Cloud-spezifische Angriffsvektoren und Fehlkonfigurationen
• Pentest-Bericht: Executive Summary, technische Findings, Empfehlungen

Praxisblock Die erlernten Techniken werden in durchgängigen Szenarien zusammengeführt. Fallstudien kombinieren strategische Entscheidungssituationen aus dem CISM-Umfeld mit technischen Angriffsübungen aus PenTest+.

• Aufbau eines fiktiven Sicherheitsprogramms mit Governance-Dokumenten
• Risikoanalyse auf Basis eines Bedrohungsmodells
• Planung und Durchführung eines simulierten Penetrationstests
• Bewertung der Testergebnisse aus Managementsicht und Ableitung von Maßnahmen
• Erstellung eines Pentest-Berichts mit Executive Summary und Management-Empfehlungen
• Vorbereitung auf die CISM-Prüfung (ISACA) und CompTIA PT0-003 inhaltlich

Der Lehrgang setzt konsequent auf die Verzahnung beider Perspektiven: Wo der CISM-Teil strategische Handlungsrahmen setzt, liefert PenTest+ die technische Detailtiefe, um diese Rahmen auf ihren realen Sicherheitswert hin zu prüfen. Diese Verzahnung macht die Weiterbildung besonders wertvoll für Fachleute, die zwischen Technik-Teams und Management vermitteln müssen.

Diese Weiterbildung richtet sich an IT-Sicherheitsfachleute mit einigen Jahren Berufserfahrung, die ihre Karriere in Richtung Führungsverantwortung entwickeln wollen, dabei aber ihre technische Kompetenz nicht aufgeben möchten.

• IT-Sicherheitsbeauftragte, die zusätzlich technische Angriffsperspektiven erlernen wollen
• Penetration Tester und Security Analysts, die in Governance-Rollen aufsteigen möchten
• Systemadministratoren und Netzwerktechniker mit Wechselwunsch in die Security
• Junior-Security-Manager, die ihr technisches Fundament systematisch ausbauen wollen
• SOC-Analysten, die in Red-Team-Funktionen oder Managementrollen wechseln möchten

Der Kurs findet im Combined-Learning-Format statt – Live-Unterricht im virtuellen Klassenzimmer, bei dem Kamera, Mikrofon und Chat aktiv genutzt werden. Die Didaktik wechselt zwischen Theoriephasen, angeleiteten Übungen und fallstudienbasiertem Arbeiten ab. Praktische Lab-Einheiten für PenTest+ erfordern eine geeignete technische Lernumgebung; Details hierzu werden vor Kursbeginn kommuniziert. Der gesamte Lehrgang läuft als Vollzeitkurs.

Die Weiterbildung dauert mehr als einen Monat bis zu drei Monate. Die Belegung ist als Vollzeitformat konzipiert; der genaue Stundenumfang richtet sich nach dem gewählten Modulpaket. Die Zertifizierungsprüfungen für CISM (ISACA-Testcenter) und CompTIA PenTest+ (PT0-003) werden separat und auf eigene Kosten abgelegt.

Nach dem Kursabschluss erhalten Teilnehmer eine qualifizierte Teilnahmebescheinigung. Die beiden Zertifizierungsprüfungen – ISACA CISM und CompTIA PenTest+ (PT0-003) – werden unabhängig beim jeweiligen Zertifizierungsanbieter abgelegt. CISM erfordert für die offizielle Zertifizierung zudem den Nachweis der relevanten Berufserfahrung.

Das Marktprofil für Fachleute mit Management- und technischer Angriffskompetenz ist ausgesprochen eng. Wer sowohl CISM als auch PenTest+ nachweisen kann, spricht in zwei Sprachen gleichzeitig: die des Chief Information Security Officer und die des Red-Team-Analysten. Das öffnet Türen in Beratungshäusern, in internen Sicherheitsteams mit gemischter Ausrichtung und bei Sicherheitsdienstleistern, die Kunden auf beiden Ebenen betreuen. Für Unternehmen, die ihre Sicherheitsstrategie auf Belastbarkeit statt auf Checklistencompliance ausrichten, ist dieser kombinierte Skillset hochrelevant. Ein Security Manager, der selbst versteht, wie Angreifer vorgehen, wird Risikoentscheidungen anders und präziser treffen – nicht auf Basis theoretischer Risikokategorien, sondern auf Basis erfahrener Angriffswirklichkeit. Langfristig positioniert die Doppelqualifikation CISM plus PenTest+ Fachkräfte an einer strategisch wichtigen Schnittstelle, die in vielen Organisationen dünn besetzt ist. Die offizielle CISM-Zertifizierung bietet darüber hinaus CPE-Punkte zur laufenden Weiterbildung und ist in der Sicherheitsbranche ein international anerkanntes Karrieresignal.