In der dynamischen Welt der Cyber Security sind Zertifizierungen wie CISSP, CISA, CCSP oder CISM für viele Professionals ein wichtiger Meilenstein. Sie dienen als Nachweis von Fachwissen, als Türöffner für neue Positionen und als anerkannte Weiterbildungsmassnahme. Unternehmen wiederum schätzen diese Qualifikationen bei Bewerbern, signalisieren sie doch ein gewisses Engagement und eine standardisierte Wissensbasis. Doch was passiert, wenn diese Zertifikate in die Jahre kommen? Ist ein Titel, dessen Prüfungsinhalte vor einem Jahrzehnt oder länger aktuell waren, heute noch ein verlässlicher Indikator für Kompetenz?

Die Verlockung des Titels: Warum Zertifikate boomen

Es lässt sich nicht leugnen: Zertifikate haben ihren Reiz und ihre Berechtigung.

• Standardisierung: Sie bieten einen industrieanerkannten Rahmen für Wissen und Fähigkeiten in spezifischen Bereichen der Informationssicherheit.
• Karriere-Booster: Viele Stellenbeschreibungen fordern explizit Zertifikate wie den CISSP. Sie können Gehaltsverhandlungen positiv beeinflussen und den Weg zu höheren Positionen ebnen.
• Nachweis von Engagement: Das Bestehen einer anspruchsvollen Prüfung demonstriert Disziplin und den Willen, sich intensiv mit der Materie auseinanderzusetzen.
• Breites Fundament: Insbesondere der CISSP deckt ein sehr breites Spektrum an Sicherheitsthemen ab und fördert ein generalistisches Verständnis.
• Netzwerk und Community: Organisationen wie ISC² (für den CISSP oder CCSP) oder ISACA (für CISA/CISM) bieten Plattformen für Austausch und Weiterbildung.

Die Schattenseiten der Zeit: Wenn Wissen veraltet

Die Cyber-Security-Landschaft verändert sich rasant. Bedrohungen, Technologien und Verteidigungsstrategien, die vor 10 oder 15 Jahren aktuell waren, sind heute oft überholt oder zumindest stark modifiziert. Hier zeigen sich die Herausforderungen alternder Zertifikate:

• Veraltete Lehrpläne: Die Inhalte, auf denen eine vor vielen Jahren abgelegte Prüfung basierte, spiegeln nicht die aktuellen technologischen Entwicklungen wider (z.B. Cloud Security in der heutigen Ausprägung, KI-basierte Angriffe, IoT-Sicherheit, Zero Trust Architekturen). Ein CISSP aus dem Jahr 2010 wurde mit einem anderen Wissensstand geprüft als einer aus dem Jahr 2025.
• „Ausruhen auf Lorbeeren“: Manche Professionals sehen das Zertifikat als einmalige Errungenschaft. Der Fokus liegt dann primär auf Kundenprojekten und dem Tagesgeschäft. Die kontinuierliche, tiefergehende Auseinandersetzung mit neuesten Entwicklungen, beispielsweise durch Fachpublikationen oder aktive Forschungsbeiträge, tritt in den Hintergrund.
• Fragwürdige Weiterbildungsnachweise (CPEs): Um die Gültigkeit der Zertifikate aufrechtzuerhalten, müssen regelmässig Weiterbildungspunkte (Continuing Professional Education Credits) nachgewiesen werden. Oftmals basiert dieser Nachweis auf Selbstauskunft. Zwar ist die Intention gut, aber die Qualität und Relevanz der eingereichten CPEs kann stark variieren. Das reine Sammeln von Punkten garantiert nicht zwangsläufig eine Aktualisierung des Wissens auf dem neuesten Stand der Technik.
• Gebührenabhängige Gültigkeit: Die Zertifikate bleiben nur gültig, solange die jährlichen Gebühren an die ausstellende Institution entrichtet werden. Dies stellt zwar die Zugehörigkeit zur Organisation sicher, ist aber kein direkter Beleg für aktuelles Fachwissen. Es entsteht der Eindruck, dass der Titel „erkauft“ werden kann, solange die formalen Kriterien (CPEs und Gebühren) erfüllt sind.

Die 10-Jahres-Frage: Noch verwertbar oder nur noch ein Titel?

Ist ein CISSP, der vor 10 Jahren erworben wurde, dessen Inhaber die Gebühren bezahlt und CPEs gesammelt hat, heute noch aussagekräftig? Die Antwort ist differenziert:

Bedingt Pro (Restwert):

• Grundlagenwissen: Viele grundlegende Sicherheitsprinzipien (z.B. CIA-Triade, Risikomanagement-Konzepte) haben weiterhin Bestand. Das Zertifikat zeigt, dass sich die Person zumindest einmal intensiv mit diesen Fundamenten auseinandergesetzt hat.
• Langjährige Erfahrung: Oft geht ein langjährig gehaltener Titel mit ebenso langer Berufserfahrung einher. Diese praktische Erfahrung ist unschätzbar wertvoll, auch wenn das ursprüngliche Prüfungswissen veraltet sein mag.
• Signalwirkung: Es signalisiert weiterhin ein grundsätzliches Commitment zur Branche.

Eher Contra (Abnehmender Wert des ursprünglichen Wissensnachweises):

• Nicht repräsentativ für aktuelles Detailwissen: Das Zertifikat allein kann nicht belegen, dass der Inhaber über aktuelles Wissen zu modernen Bedrohungen (z.B. hochentwickelte Ransomware-Taktiken, Supply-Chain-Angriffe) oder aktuellen Technologien (z.B. SASE, Confidential Computing) verfügt.
• Gefahr der Wissenslücke: Ohne proaktive, über die Mindestanforderungen der CPEs hinausgehende Weiterbildung können signifikante Wissenslücken entstehen. Die Bedrohungslage und die Verteidigungsmechanismen von vor einem Jahrzehnt sind mit der heutigen kaum vergleichbar.
• Erfahrung vs. Zertifikat: Nach 10-15 Jahren im Beruf sollte die tatsächliche, nachweisbare Berufserfahrung und die jüngsten Projekte und Weiterbildungen ein deutlich höheres Gewicht haben als ein lange zurückliegender Prüfungserfolg.

Ein Baustein, kein Fundament für die Ewigkeit

Zertifikate wie der CISSP oder CISM sind wertvolle Bausteine in der Karriere eines Cyber Security Professionals. Sie belegen ein initiales Engagement und ein bestimmtes Basiswissen. Nach 10 oder 15 Jahren kann der ursprüngliche Wissensstand der Prüfung jedoch kaum noch als Massstab für aktuelle Expertise dienen, selbst wenn Gebühren bezahlt und CPEs formal nachgewiesen wurden.

Entscheidend ist, was seitdem passiert ist:

• Welche aktuellen Projekte wurden umgesetzt?
• Welche neuen Technologien wurden erlernt und angewendet?
• Gibt es jüngere, spezialisiertere Zertifikate oder Schulungen?
• Engagiert sich die Person aktiv in der Fachcommunity, teilt Wissen oder publiziert?

(Stichworte: Umsetzung – Anwendung – Schulung – Publikation)

Ein jahrzehntealter Titel kann ein Indikator für langjährige Treue zur Branche sein. Ob er aber auch aktuelle Kompetenz widerspiegelt, hängt massiv von der kontinuierlichen Lernbereitschaft und der nachweisbaren Weiterentwicklung des Inhabers ab.

((Stichworte: Kompetenzen – Lernbereitschaft -Weiterentwicklung)

Mein Fazit

Für Unternehmen bedeutet das: Ein alter Titel ist ein Anhaltspunkt, aber im Bewerbungsgespräch sollten aktuelle Fähigkeiten, rezente Erfahrungen und die Bereitschaft zu lebenslangem Lernen im Vordergrund stehen. Das Zertifikat allein ist kein Freifahrtschein und erst recht kein Garant für stets aktuelles Wissen in einem sich so rasant wandelnden Feld wie der Cyber Security.