Certified Information Systems Auditor (CISA) and CompTIA PenTest+

Dieses Weiterbildungsprogramm verbindet zwei inhaltlich eng verwandte, aber methodisch unterschiedliche Kompetenzbereiche der IT-Sicherheit: die strategisch-prüfungsorientierte Perspektive des Certified Information Systems Auditor (CISA) mit den operativen Angriffs- und Testtechniken des CompTIA PenTest+ (Prüfungscode PT0-003). Wer beide Zertifizierungen erlangt, versteht IT-Sicherheit aus zwei Blickwinkeln gleichzeitig — und ist in der Lage, Schwachstellen sowohl aus Sicht des Auditors zu bewerten als auch technisch zu verifizieren. Der Kurs findet im Combined-Learning-Format statt und richtet sich an Fachleute, die an der Schnittstelle zwischen IS-Audit und offensivem Sicherheitstesten arbeiten wollen.

CISA — IS-Audit-Grundlagen und Governanceprüfung Der erste Themenblock legt die methodische Basis für das Auditing von Informationssystemen. Teilnehmende lernen, wie Prüfaufträge nach ISACA-Standards geplant, durchgeführt und dokumentiert werden, und wie IT-Governance-Strukturen einer Organisation systematisch bewertet werden.

• IS-Audit-Prozess: Planung, Scope-Festlegung, Risikoabschätzung
• Prüfung von IT-Governance-Rahmenbedingungen und Compliance-Strukturen
• Bewertung von IT-Strategie und Sourcing-Entscheidungen
• Audit von Beschaffungs-, Entwicklungs- und Implementierungsprozessen
• Kontrollen für IT-Betrieb und Servicekontinuität prüfen

CISA — Informationsschutz und Asset Protection Die zweite CISA-Domäne, die in diesem Block vertieft wird, befasst sich mit dem Schutz von Informationswerten — also dem Herzstück jeder IS-Prüfung. Themen umfassen Zugriffskontrollmodelle, kryptografische Schutzmechanismen und Incident-Response-Konzepte, die der Auditor bewerten muss.

• Bewertung physischer und logischer Zugriffskontrollen
• Kryptografiekonzepte und deren auditrelevante Aspekte
• Datenschutz- und Klassifizierungsrahmen aus Auditorenperspektive
• Incident-Management und Business-Continuity-Kontrollen prüfen
• Netzwerk- und Cloud-Sicherheitsarchitekturen unter Audit-Gesichtspunkten bewerten

CompTIA PenTest+ (PT0-003) — Vorbereitung und Testplanung CompTIA PenTest+ ist die praxisorientierte Gegenseite zum IS-Audit. Hier geht es nicht um die Prüfung bestehender Kontrollen, sondern darum, diese aktiv zu testen und Schwachstellen zu finden, bevor Angreifer es tun. Dieser Block vermittelt den methodischen Rahmen für professionelle Penetrationstests in modernen Umgebungen.

• Legal und Ethics: Rahmenverträge, Scopes, Rules of Engagement
• Passive und aktive Reconnaissance (OSINT, Port-Scanning, Service-Enumeration)
• Vulnerability-Scanning mit gängigen Tools (z. B. Nmap, Nessus-Klasse)
• Exploitation-Techniken für Netzwerkdienste, Webanwendungen und Active Directory
• Post-Exploitation, Pivoting und Lateral Movement in Testumgebungen
• Cloud-Sicherheitstests (AWS/Azure/GCP-Konzepte im PT0-003-Scope)

Praxisblock — Integrierte Übungsszenarien Die eigentliche Stärke dieses Kombikurses liegt darin, Audit- und Pentest-Perspektive in zusammenhängenden Szenarien zu üben. Teilnehmende bearbeiten realitätsnahe Fallstudien, bei denen sie zunächst als Auditor Kontrollschwächen identifizieren und anschließend als Pentester technisch verifizieren.

• Netzwerkarchitekturen auditieren und anschließend einen simulierten Pentest durchführen
• Webanwendungs-Sicherheitskontrollen prüfen (OWASP Top 10 aus beiden Perspektiven)
• Befundberichte nach PenTest+ schreiben und in CISA-konformes Berichtformat übersetzen
• Risikopriorisierung aus kombinierten Audit- und Testbefunden
• Gegenmaßnahmen empfehlen und deren Wirksamkeit bewerten
• Active-Directory-Sicherheitskontrollen sowohl prüfen als auch testen
• Cloud-Workloads aus Audit- und Pentest-Sicht behandeln
• Stakeholder-Präsentation: technische Befunde für Management aufbereiten
• Dokumentation und Evidenzmanagement für Audit-Trail und Pentest-Report
• Remediation-Validierung: Kontrollen nach Behebung erneut überprüfen
• Gesetzliche Rahmenbedingungen für Pentests in deutschen Unternehmen
• Abschlussprojekt: vollständiger Prüfzyklus von der Planung bis zum Final Report

Das kombinierte Lernformat sorgt dafür, dass Teilnehmende nicht nur beide Zertifizierungsprüfungen bestehen, sondern die Denkweise beider Disziplinen im Berufsalltag flexibel anwenden können. Jede Übungseinheit wird von erfahrenen Trainern begleitet, die berufspraktische Szenarien einbringen und Feedback zu Methodik und Dokumentationsqualität geben.

Dieser Kurs richtet sich an IT-Fachleute, die bereits Berufserfahrung im Bereich IT-Sicherheit, Netzwerkbetrieb oder IT-Compliance mitbringen und sich auf zwei anspruchsvolle internationale Zertifizierungen gleichzeitig vorbereiten möchten.

• IT-Sicherheitsadministratoren und -analysten mit erstem Praxisbezug
• Netzwerk- und Systemadministratoren, die in den Bereich Sicherheit wechseln wollen
• IT-Auditoren und interne Revisoren mit technischem Nachholbedarf
• Penetrationstester, die ihre Arbeit in audit-konforme Strukturen einbetten möchten
• Compliance-Verantwortliche, die technische Prüfmethoden verstehen wollen

Der Unterricht findet im Combined-Learning-Format statt — das bedeutet Live-Unterricht im virtuellen Klassenzimmer, ergänzt durch Präsenzoptionen an Lernzentren. Der Live-Unterricht umfasst Theorie-Einheiten, moderierte Übungsphasen und Fallstudienarbeit. Für beide Zertifizierungsthemen stehen spezifische Übungsaufgaben und simulationsnahe Szenarien zur Verfügung. Die Vollzeitvariante erlaubt intensive Lernblöcke, bei denen täglich zwischen CISA- und PenTest+-Inhalten gewechselt wird, um Querbezüge bewusst zu fördern.

Die Weiterbildung dauert in der Vollzeitvariante mehr als einen Monat bis zu drei Monaten, abhängig vom individuellen Kenntnisstand und dem gewählten Modulumfang. Beide Zertifizierungsvorbereitungen erfordern substanziellen Lernaufwand: Der CISA-Prüfstoff umfasst fünf Domänen, PenTest+ PT0-003 deckt fünf Hauptbereiche ab — zusammen ein erhebliches Lernvolumen, das in diesem Zeitrahmen strukturiert abgedeckt wird.

Der Kurs bereitet auf zwei externe Prüfungen vor: die CISA-Prüfung, die von ISACA abgenommen wird, und die CompTIA PenTest+-Prüfung (PT0-003), die bei einem akkreditierten CompTIA-Testcenter abgelegt wird. Nach bestandener CISA-Prüfung und Nachweis der Berufserfahrung verleiht ISACA das CISA-Zertifikat. CompTIA stellt bei bestandener PT0-003-Prüfung das PenTest+-Zertifikat aus. Zusätzlich erhalten Teilnehmende eine qualifizierte Teilnahmebescheinigung des Bildungsträgers für den absolvierten Kurs.

Das Doppelzertifikat CISA + CompTIA PenTest+ ist am Markt selten anzutreffen und eröffnet ein breites Tätigkeitsspektrum: vom IT-Sicherheitsauditor über den internen Penetrationstester bis hin zum Compliance-Berater, der technische Testergebnisse in Audit-Reports verwandeln kann. Wer beide Perspektiven beherrscht, ist in der Lage, Sicherheitsrisiken nicht nur auf dem Papier zu dokumentieren, sondern ihre technische Realität einzuschätzen. CISA ist eine der anerkanntesten Qualifikationen im Bereich IS-Audit und wird von Prüfungsgesellschaften, Banken, Versicherungen und öffentlichen Einrichtungen weltweit verlangt. PenTest+ hingegen spricht Arbeitgeber an, die nachweisbar praktisch ausgebildete Sicherheitstester suchen. Die Kombination signalisiert, dass man nicht nur Prozesse kennt, sondern Technik versteht — ein Vorteil in jedem Vorstellungsgespräch für sicherheitsrelevante Positionen. Für Fachleute, die bereits in der IT-Sicherheit arbeiten und sich profilieren möchten, ist dieses Programm eine effiziente Möglichkeit, zwei anspruchsvolle Abschlüsse in einem strukturierten Kursrahmen zu erwerben, anstatt beide separat und zeitlich versetzt zu absolvieren.