Leitfaden zu Cybersicherheitszertifikaten mit Ranking — Update 2026 (KI-Ära)

Diesen Beitrag habe ich im April 2024 geschrieben, und er ist seitdem zu einem der meistgelesenen Artikel auf diesem Blog geworden. Es gibt nur ein Problem: In zwei Jahren ist er stärker gealtert als viele Guides in einem Jahrzehnt. 💥 CASP+ existiert formal nicht mehr, OSCP hat einen Nachfolger mit Ablaufdatum bekommen, CEH hat KI-Module dazubekommen, das kostenlose ISC2-Programm ist Geschichte, und die Prüfungspreise sind kräftig geklettert. Und nebenbei ist etwas Größeres passiert: KI hat angefangen, genau den Arbeitsmarkt umzukrempeln, für den diese Zertifikate eigentlich die Eintrittskarte sein sollten.

Statt einen neuen Beitrag zu schreiben, aktualisiere ich also einfach diesen hier. Unten findest du dasselbe Ranking mit 6 Leveln, aber mit Prüfungspreisen und Versionen mit Stand August 2026, einen frischen Vergleich der Nachfrage auf dem Arbeitsmarkt (ich habe meine Indeed-Analyse nach zwei Jahren wiederholt — die Schlussfolgerungen sind spannender, als ich erwartet hatte) und einen neuen Abschnitt darüber, was KI mit den Zertifikaten macht.

Die größten Veränderungen seit 2024 auf einen Blick:

• CompTIA CASP+ wurde in SecurityX umbenannt (Dezember 2024), und die Preise der CompTIA-Prüfungen sind im Schnitt um 20–30% gestiegen
• OffSec hat OSCP+ eingeführt — dasselbe Zertifikat, aber mit einem Ablaufdatum nach 3 Jahren
• CEH ist bei Version 13 samt KI-Modulen angekommen
• ISC2 hat sein kostenloses CC-Programm beendet, nachdem die Marke von einer Million Zertifizierten geknackt war — heute kostet die Prüfung $199
• ISACA hat seine ersten rein auf KI fokussierten Zertifikate veröffentlicht: AAIA (KI-Audit) und AAISM (KI-Sicherheitsmanagement), dazu das praxisorientierte CCOA für SOC-Analysten
• CompTIA ist ins Rennen eingestiegen: SecAI+ ($298) debütierte im Februar 2026 — ein Zertifikat für die Absicherung von KI-Systemen und den Einsatz von KI in der Verteidigung; SecOT+ ist für Dezember 2026 angekündigt
• die Nachfrage nach Einsteiger-Zertifikaten (A+, ITIL) ist massiv eingebrochen, während praxisnahe und Cloud-Zertifikate (OSCP, CCSP, CCSK) durchgestartet sind

Inhaltsverzeichnis

1. Was KI mit dem Arbeitsmarkt gemacht hat (und warum du das wissen solltest, bevor du ein Zertifikat wählst)
2. Der Arbeitsmarkt 2024 vs. 2026 — ich habe meine Indeed-Analyse wiederholt
3. Das Ranking: 6 Zertifikats-Level
4. Neue Player: die Zertifikate, in die sich die Community verliebt hat
5. Vergleichstabelle aller Zertifikate
6. Ergeben Zertifikate 2026 noch Sinn?
7. FAQ
8. Meine subjektive Meinung und empfohlene Lernressourcen

Was KI mit dem Arbeitsmarkt gemacht hat (und warum du das wissen solltest, bevor du ein Zertifikat wählst)

Vor zwei Jahren habe ich geschrieben, dass Zertifikate „genauso wenig einen Job garantieren, wie Geld glücklich macht, aber einen Lebenslauf deutlich aufwerten können, wenn du gerade in den Arbeitsmarkt einsteigst“. Heute muss ich diesen Satz nachschärfen: Der „Einstieg in den Arbeitsmarkt“ selbst sieht heute anders aus als zu der Zeit, als die meisten dieser Zertifikate entworfen wurden.

Louis Nyffenegger, Gründer von PentesterLab (derselben Plattform, die ich seit Jahren am Ende dieses Beitrags empfehle), hat in einem Webinar etwas gesagt, das mir im Kopf geblieben ist: Wir werden zu Triagern dessen, was die KI ausspuckt. Genau so beginnt die Arbeit in der IT gerade auszusehen. Immer weniger „Schwachstellen von Grund auf jagen“, immer mehr automatisieren, verifizieren, filtern und in den Business-Kontext einordnen, was die Tools generiert haben. Der Unterschied: Die Tools sind unvergleichlich schlauer geworden — und stehen jedem zur Verfügung.

Was sagen die harten Daten?

Forscher aus Stanford (das Team von Erik Brynjolfsson, Paper „Canaries in the Coal Mine“, November 2025) haben Gehaltsabrechnungsdaten des größten US-Payroll-Anbieters analysiert. Das Ergebnis: Die Beschäftigung von 22- bis 25-Jährigen in den Berufen, die generativer KI am stärksten ausgesetzt sind, ist relativ gesehen um rund 16% gefallen — während die Beschäftigung erfahrener Spezialisten in genau denselben Rollen stabil blieb oder wuchs. Im Klartext: KI feuert keine Seniors. KI schließt die Tür, durch die Juniors bisher in den Beruf gekommen sind.

ISC2 vervollständigt mit der Cybersecurity Workforce Study 2025 (16,000 Befragte, Dezember 2025) das Bild:

• 59% der Organisationen melden kritische oder signifikante Skill-Lücken — ein Jahr zuvor waren es 44%. Lücken werden nicht mehr mit Headcount gestopft, sondern mit konkreten Skills.
• Die größte einzelne Skill-Lücke? KI — genannt von 41% der Organisationen. Vor Cloud, vor Application Security, vor allem anderen.
• 39% der Organisationen haben Einstellungsstopps, und 24% haben Entlassungen in ihren Security-Teams hinter sich.
• Und meine Lieblingszahl im ganzen Report: Nur 6% der Befragten sind über Zertifikate in die Branche eingestiegen. Der größte Anteil (56%) — über IT-Erfahrung.
• Gleichzeitig glauben 73% der Befragten, dass KI neue, stärker spezialisierte Rollen schaffen wird — nicht weniger Arbeit, sondern andere Arbeit.

Lektion #1: Ein Zertifikat ist keine Eintrittskarte mehr — es wird zum HR-Filter und zur regulatorischen Compliance-Anforderung. Die Eintrittskarte sieht 2026 so aus: Du kannst überprüfen, ob das, was die KI ausgespuckt hat, stimmt — und was es fürs Business bedeutet. Ein Zertifikat kann das bescheinigen. Aber es ersetzt es nicht.

Heißt das, das Ranking unten ist sinnlos? Ganz im Gegenteil. Genau deshalb habe ich es aktualisiert: Wenn Zertifikate immer teurer werden und sich ihre Rolle verändert, ist es umso wichtiger, das richtige zu wählen, im richtigen Moment deiner Karriere — statt Papiere zu sammeln. Zumal der Markt sie längst nicht alle gleich bepreist, wie der nächste Abschnitt zeigt.

Der Arbeitsmarkt 2024 vs. 2026 — ich habe meine Indeed-Analyse wiederholt

2024 habe ich etwas Simples gemacht: Ich habe Zertifikatsnamen in die Jobsuche von Indeed getippt (US-Markt) und die Zahl der Stellenanzeigen notiert. Keine Wissenschaft — eine schnelle Stichprobe der Nachfrage. Aber nach zwei Jahren mit derselben Methode wiederholt (ohne Filter, Stand 9. August 2026), liefert sie etwas Wertvolleres als eine Einzelmessung: eine Richtung.

Das lese ich daraus heraus (wie üblich zwischen den Zeilen 😈):

CISSP ist immer noch der König — 10,350 Anzeigen, +43% in zwei Jahren. Wenn HR irgendwo auf der Welt genau ein Cybersecurity-Zertifikat kennt, dann dieses. Daran hat sich nichts geändert, und daran wird sich so schnell auch nichts ändern.

Einsteiger-Zertifikate stürzen ab. CompTIA A+ fiel von 6,096 auf 2,833 Anzeigen (-54%), ITIL 4 Foundation hat sich halbiert, SSCP und CCNA stehen ebenfalls im Minus. Es ist exakt dieselbe Geschichte, die die Stanford-Daten erzählen: Die „Einstiegs“-Positionen, für die diese Zertifikate mal die Eintrittskarte waren, existieren schlicht in geringerer Zahl. Helpdesk und First-Level-Support sind die einfachsten Ziele für Automatisierung.

Praktische Skills, Cloud und Risikomanagement wachsen. OSCP +207% (627 → 1,925 Anzeigen). CCSK +188%, CCSP +175%, CRISC +122%, CISM +83%. Der Markt bezahlt für zwei Dinge: die dokumentierte Fähigkeit, wirklich etwas mit den eigenen Händen zu tun, und die Fähigkeit, Risiken zu managen, die er selbst nicht versteht. Beides ist schwer zu automatisieren.

Ein Leckerbissen für die Hartnäckigen: 1,776 Anzeigen verlangen immer noch „CASP+“ — ein Zertifikat, das formal seit Dezember 2024 nicht mehr existiert. Der neue Name SecurityX taucht in 749 auf. Recruiter aktualisieren sich langsamer als Zertifikatsanbieter. 😈 OSCP+ — die neue Variante mit Ablaufdatum — hat es unterdessen schon in 1,435 Anzeigen geschafft.

Gibt es von dieser Arbeit insgesamt mehr oder weniger? Mehr. Das amerikanische CyberSeek zählte 514,000 offene Cybersecurity-Stellen in den 12 Monaten bis April 2025 — 57,000 (+12%) mehr als ein Jahr zuvor. Obendrauf prognostiziert das BLS +29% Beschäftigungswachstum für Security-Analysten im Jahrzehnt bis 2034 — um ein Mehrfaches schneller als der Durchschnitt aller Berufe. Das Paradox: Genau zur selben Zeit frieren 39% der Organisationen ihre Einstellungen ein (ISC2). Wie kann das sein? Der Markt wächst und legt gleichzeitig die Einstiegslatte höher.

Am deutlichsten siehst du es im Verhältnis Senior/Junior. Ich habe es mit derselben Methode geprüft (Indeed, US, August 2026): die Phrase „senior security“ — 1,284 Anzeigen. „Junior security“ — 116. „Entry level security“ — 142. Auf jede Junior-Anzeige kommen heute etwa fünf Senior-Anzeigen. Das ist exakt das Bild aus den Stanford-Daten: Cybersecurity-Arbeit gibt es — aber immer weniger davon ist die Sorte, mit der man früher eine Karriere gestartet hat.

Gehälter? Wachsen — ruhig, aber stetig. Der Median für Security-Analysten in den USA liegt bei $124,910 pro Jahr (BLS, Daten von Mai 2024) gegenüber $120,360 ein Jahr zuvor — +3.8% im Jahresvergleich.

Und welches Zertifikat wird am besten bezahlt? Ich habe genauso gezählt wie vor zwei Jahren — direkt aus den Anzeigen. Methodik unverändert: Für jedes Zertifikat gehe ich die Indeed-Ergebnisse (US) durch und nehme für jede Anzeige mit angegebener Gehaltsspanne den Mittelwert. Diesmal kamen so 1,451 Datenpunkte aus über 2,000 Anzeigen zusammen (31 bis 233 pro Zertifikat). Eine Anmerkung, bevor du auf die Tabelle schaust: Alle Gehälter hier sind in USD pro Jahr; die Werte für 2024 sind aus meiner ursprünglichen PLN-Analyse zum NBP-Kurs vom 24. April 2024 von 4.0417 umgerechnet.

Was dabei herauskommt:

• Der neue Gehaltskönig: CISM — im Schnitt $166,405 pro Jahr (+29%). Vor zwei Jahren lag die Cloud (CCSK) vorn; heute ist es das Management der Informationssicherheit. Der Markt zahlt am besten nicht fürs Klicken, sondern fürs Übernehmen von Verantwortung.
• Das Risiko jagt das Management: CRISC $156,814 (+29%). Zusammen mit +122% Wachstum bei den Anzeigen macht ihn das zum stärksten stillen Gewinner des ganzen Vergleichs.
• Keine Revolution an der Spitze: CISSP $153,702 (+19%), CCSK $150,853 (+16%), CCSP $148,989 (+22%) — Management, Risiko und Cloud besetzen das komplette Podium.
• Rückgänge: nur CASP+ (−1%) und A+ (−12%). CASP+ ist inzwischen ein Stellenanzeigen-Zombie: Die neuen, besser bezahlten Rollen verlangen SecurityX. Und CEH? Hat sich kaum bewegt (+2%) — trotz +61% Nachfragesprung: immer mehr Anzeigen, aber in immer niedriger bepreisten Rollen.
• Der größte prozentuale Gehaltssprung: Security+ (+30%) — es sei denn, du zählst die +34% von ITIL 4 Foundation mit, die ich mit Vorsicht genießen würde: Die Phrase „ITIL 4 Foundation“ taucht heute vor allem in Anzeigen für Senior-Management-Rollen auf, nicht weil das Zertifikat selbst so viel hergibt.

Hier der Vergleich in Diagrammform:

Fürs Protokoll: Die globale Skillsoft-Umfrage (2025) zeigt eine übereinstimmende Tabellenspitze — Cloud und Risikomanagement ganz oben — das ist also kein Artefakt meiner Stichprobe.

Auf meinem Heimatmarkt, in Polen, gibt es überhaupt keine Daten pro Zertifikat. Der Referenzpunkt, den wir haben: Laut dem HackerU/Devire-Report (Daten 2023/24) reichten die Gehaltsspannen für Security-Engineers von etwa 10k PLN brutto im Monat für Juniors bis etwa 30k PLN für Seniors — eine neuere, ähnlich umfassende Ausgabe habe ich noch nicht gesehen. Wenn du frischere polnische Daten pro Zertifikat kennst, ab damit in die Kommentare.

Lektion #2: Frag nicht „welches Zertifikat ist am leichtesten zu bekommen“ — frag „wofür zahlt der Markt immer mehr“. 2026 lautet die Antwort: praktische offensive Skills, Cloud-Sicherheit und Risikomanagement. Einsteiger-Zertifikate ergeben weiterhin Sinn — aber nicht mehr als Garantie für den ersten Job, sondern als strukturierter Lehrplan, um die Grundlagen zu lernen.

Das Ranking: 6 Zertifikats-Level

Die Kriterien haben sich nicht geändert: Anerkennung in der Branche und Wert des Namens, marktübliches Gehalt, Kosten der Zertifizierung, Schwierigkeit und wie praxisnah das Wissen ist. Alle Preise sind offizielle Anbieterpreise in USD, Stand August 2026 (je nachdem, wo du wohnst, kommen Mehrwertsteuer und Wechselkurse obendrauf, und manche Anbieter nutzen regionale Preise).

Was sich im Ranking gegenüber 2024 geändert hat:

• Die Level bekommen neue Namen. Ich tausche die alten Labels im Stil von „Erstes/Starter/Angefixt…“ gegen etwas, das ich aus der Arbeit besser kenne als meine eigene Hosentasche: die Anatomie eines echten Angriffs. Das Erlernen dieses Handwerks folgt exakt demselben Pfad — erst die Aufklärung, dann der erste Fuß in der Tür, bis du eines Tages die Schlüssel zum Königreich in der Hand hältst. Reihenfolge und Inhalt der Level sind unverändert; nur die Beschilderung ändert sich (und die Untertitel bleiben, weil ihr sie mögt).
• Security+ wandert von Level 5 runter auf Level 3. 2024 hatte ich es hoch eingeordnet, weil Recruiter es so sehen — aber ich habe es selbst ständig als „grundlegend“ beschrieben, und diese Inkonsistenz haben mir einige von euch zu Recht um die Ohren gehauen. Der Bekanntheitsgrad des Namens ist Weltklasse; die Schwierigkeit — solide Grundlagenstufe. Betrachte es als Aufräumarbeit.
• Aus OSCP wird OSCP+ (mehr zum Unterschied weiter unten), aus CASP+ wird SecurityX.
• Aus dem ISACA-Lineup fliegt CSX-P raus (vom Anbieter eingestellt); CCOA, AAIA und AAISM kommen rein. Dazu gibt es einen CompTIA-Neuzugang — SecAI+.
• Alles andere bleibt — diese Struktur hat zwei Jahre gehalten, und ich werde sie nicht bloß der Veränderung wegen zerlegen.

1. Reconnaissance — „Du hast angefangen, etwas zu tun!“

Jeder Angriff beginnt mit dem Auskundschaften des Geländes. Eine Karriere auch: Auf diesem Level checkst du, ob diese Branche überhaupt etwas für dich ist.

CompTIA A+ — $274 pro Prüfung (du brauchst zwei: insgesamt $548)

Die absolute Eintrittskarte in die IT: Hardware, Betriebssysteme, Netzwerke, Sicherheitsgrundlagen und Troubleshooting. Seit 2025 gilt eine neue Prüfungsserie — 220-1201 und 220-1202 (die bisherige Serie 220-110x wurde eingestellt). Keine formalen Voraussetzungen; CompTIA empfiehlt 9–12 Monate Praxiserfahrung. Achte auf die Preisänderung: 2024 kostete das Paar $438, heute $548 — während sich die Nachfrage in den Stellenanzeigen halbiert hat. Wenn dein Ziel Security ist und nicht Helpdesk, überleg dir, direkt mit CC oder Security+ zu starten.

CC – Certified in Cybersecurity (ISC2) — $199

Hier gibt es eine große Änderung: ISC2 hat sein Programm „One Million Certified in Cybersecurity“ beendet, in dessen Rahmen die Prüfung kostenlos war — das Ziel von einer Million Zertifizierten wurde erreicht. Heute zahlst du $199. CC ist weiterhin ein großartiges, ehrliches „erstes Security-Zertifikat“: grundlegende Sicherheitskonzepte, Governance, Betrieb, Incident Response. Ein gutes Signal an den Arbeitgeber, dass du das Thema ernst nimmst — aber nicht mehr kostenlos, also rechne Kosten und Nutzen durch.

2. Initial Access — „Der erste Schritt liegt hinter dir“

Im Angriff ist das der Moment, in dem du den ersten Fuß ins Netzwerk des Opfers bekommst. Du sicherst dir deinen eigenen ersten Halt in der Branche: die Grundlagen, ohne die es nicht weitergeht.

CompTIA Network+ — $399

Netzwerke von Grund auf: Geräte konfigurieren und warten, Routing, Segmentierung, Standards der Netzwerksicherheit, Troubleshooting. Ein Fun Fact aus meiner Indeed-Analyse: Es ist einer der stärksten Aufsteiger bei den Stellenanzeigen (+101%). Netzwerke sind nach wie vor das Fundament — auch für Security-Leute. Der Preis stieg von $319 (2024) auf $399.

CompTIA PenTest+ — $439

Pentesting-Theorie: Planung, Reconnaissance, Scanning, Exploitation, Reporting. Die aktuelle Prüfungsversion PT0-003 deckt auch Angriffe auf Cloud-Umgebungen und KI-Themen ab. Aber ehrlich: Es ist immer noch eine Prüfung über Pentesting, keine Prüfung im Pentesting — echte Praxis verifizieren erst OSCP+ oder richtige Labs.

SSCP (ISC2) — $249

Einer der wenigen Preise, die sich nicht bewegt haben. Ein solides Zertifikat für System- und Netzwerkadministratoren, die Richtung Security umschwenken: sieben Domänen von Zugriffskontrolle über Kryptografie bis Incident Response. In den Anzeigen rutscht es etwas ab (-17%), aber um „Admin“-Wissen für Security zu strukturieren — weiterhin eine gute Option.

ITIL 4 Foundation — ~€370 (Prüfung über PeopleCert; Preise variieren je nach Region)

IT-Service-Management: die Wertschöpfungskette, Practices, die vier Dimensionen des ITSM. Die Anzeigen haben sich halbiert — und ehrlich gesagt war ITIL auf einem reinen Security-Pfad immer eine Ergänzung, nie ein Fundament. Ich behalte es im Ranking für Leute, die auf Rollen zielen, in denen Betrieb auf Security trifft.

3. Privilege Escalation — „Du checkst es langsam“

In dieser Phase macht der Angreifer aus einem gewöhnlichen Benutzerkonto ein Konto mit echter Macht. Du machst aus „ich mache von allem ein bisschen“ eine echte Spezialisierung.

CompTIA Security+ — $439 (von Level 5 nach unten verschoben)

Das bekannteste grundlegende Security-Zertifikat der Welt — auch, weil es in vielen öffentlichen US-Institutionen Pflicht ist. Kryptografie, IAM, Netzwerk- und Anwendungssicherheit, Bedrohungen, regulatorische Compliance. Anzeigen +60%. Leider hat auch der Preis „an Stärke gewonnen“: $349 → $439. Wenn du am Anfang deiner Reise genau ein theoretisches Zertifikat machen willst — ich würde immer noch auf dieses zeigen.

CompTIA CySA+ — $439

Security-Analytik: Monitoring, Detection, Bedrohungsanalyse, Response. Eine gute Richtung für künftige SOC-Analysten — und die Nachfrage wächst (+52%). Lohnt den Vergleich mit ISACAs neuem CCOA (unten), das auf dieselbe Rolle zielt.

CCNA (Cisco) — $300

Der Netzwerk-Klassiker: Routing und Switching, Wireless, Automatisierung, Sicherheitsgrundlagen. Ein leichter Rückgang bei den Anzeigen (-14%) — aber CCNA ist immer noch eines dieser Zertifikate, die „jeder kennt“, und ein starkes Fundament für Netzwerksicherheit.

CEH (EC-Council) — $1,199 (Prüfung im Pearson-VUE-Center) + $100 Antragsgebühr

Ich bleibe bei dem, was ich vor zwei Jahren geschrieben habe: von Veteranen für seine Theorielastigkeit verspottet, von Recruitern vergöttert. Seit September 2024 gilt Version v13, stark als „AI-powered“ vermarktet — dazugekommen sind Module zum Angreifen und Nutzen von KI-Tools. Anzeigen +61%, der HR-Wert hält sich also gut. Aber das Verhältnis von Preis zu praktischem Wissen ist weiterhin das schlechteste im ganzen Lineup. Für dieses Geld bist du fast bei einem OSCP+.

GSEC (GIAC) — $999

Ein breites, solides „Security-Essentials“-Zertifikat von GIAC/SANS: Netzwerkverteidigung, Kryptografie, Systemhärtung, Intrusion Detection. Der Preis sprang von $949 auf $999 (und mit angehängtem SANS-Kurs ist es preislich eine ganz andere Liga). Die Nachfrage ist stabil. Die Qualität — wie immer bei SANS — über jeden Zweifel erhaben.

Professional Cloud Security Engineer (Google) — $200

Sicherheit auf GCP: IAM, Netzwerkkonfiguration, Datenschutz, Monitoring (Security Command Center, Cloud Armor, IAP). Immer noch der günstigste Weg, Cloud-Skills bei einem der großen Drei zu dokumentieren.

AWS Certified Security – Specialty — $300

Eine fortgeschrittene Spezialisierung für Leute, die mit AWS arbeiten (aktuelle Prüfung: SCS-C03): IAM, KMS, Security Hub, GuardDuty, Sicherheitsautomatisierung. Und aufgepasst: Laut Skillsoft ist das das bestbezahlte IT-Zertifikat überhaupt (~$204k pro Jahr in den globalen Daten). Cloud + Security ist aktuell die lukrativste Schnittmenge von Skills auf dem Markt.

SecAI+ (CompTIA) — $298 (neu: gestartet am 17. Februar 2026)

CompTIAs erstes Zertifikat in seiner neuen KI-Security-Serie (Prüfung CY0-001): Schutz von KI-Systemen, Daten und Modellen, Verteidigung gegen Adversarial-Angriffe, Einsatz von KI in Detection und Response, dazu Compliance (NIST AI RMF, DSGVO). Empfohlen: 2+ Jahre Security-Erfahrung. Es ist zu frisch, um seine Zugkraft im Recruiting zu beurteilen — aber ein klares Signal, dass „KI-Sicherheit“ keine Nische mehr ist. CompTIA hat bereits das nächste Zertifikat der Serie angekündigt (SecOT+, Dezember 2026).

4. Lateral Movement — „Sieh an, da hat jemand ganze Arbeit geleistet!“

In dieser Phase bewegt sich der Angreifer frei zwischen den Systemen des Opfers. Beruflich ist das das Senior-Level — jemand, der mehrere Bereiche gleichzeitig fließend kombiniert.

SecurityX (ehemals CASP+, CompTIA) — $544

Dezember 2024: CompTIA hat CASP+ in SecurityX umbenannt und in die „Xpert“-Serie eingegliedert. Inhaltlich ist es weiter dasselbe Profil: fortgeschrittene Sicherheitsarchitektur, Engineering, Risiko, Response — für Praktiker, die nicht den rein manageriellen Weg gehen wollen (genau das unterscheidet es vom CISSP). Der witzige Teil: In den Stellenanzeigen schlägt der alte Name den neuen immer noch mit 1,776 zu 749 — beim Aktualisieren deines Lebenslaufs lohnt es sich vorerst, beide anzugeben. 😉

GSE (GIAC Security Expert) — neuer Pfad: GX-Prüfungen zu je $499 ($1,299 ohne das vorausgesetzte Zertifikat)

Der prestigeträchtigste Pfad von GIAC wurde gründlich umgebaut. Statt der legendären Praxisprüfung in einem Rutsch (zu der man vor Ort anreisen musste) wird der GSE jetzt in Etappen erworben: 6 Practitioner-Zertifikate + 4 vierstündige Applied-Knowledge-Prüfungen aus der GX-Serie. Jede GX-Prüfung kostet $499, wenn du das vorausgesetzte Basiszertifikat hältst ($1,299, wenn nicht) — das komplette Viererset kommt auf rund $2,000, immer noch günstiger als die alte Formel mit Anreise und ihrem „Alles oder nichts“-Risiko. Das bleibt die Liga „zeig, dass du alles auf einmal kannst“.

5. Domain Admin — „Jetzt sehen sie dich, Experte!“

Das Domain-Admin-Konto kontrolliert die gesamte Domäne — es ist das Ziel der meisten Pentests. Beruflich: Du bist der Experte, der angerufen wird, wenn es ernst wird.

OSCP / OSCP+ (OffSec) — $1,749 (Kurs PEN-200 + ein Prüfungsversuch)

Die wichtigste Änderung im gesamten Ranking. Seit November 2024 bringt dir das Bestehen derselben legendären 24-Stunden-Praxisprüfung zwei Titel: OSCP (lebenslang, wie bisher) und OSCP+ — 3 Jahre gültig und verlängerbar durch Rezertifizierung, eine weitere OffSec-Prüfung oder CPE-Credits. Warum die Änderung? Der Markt (und die Regulierer) verlangen zunehmend Zertifikate, die „aktuell“ sind, nicht einmal und für immer erworben. Der Preis stieg von $1,499 auf $1,749 (ein Retake kostet $249; das Jahresabo Learn One $2,749). In den Anzeigen wuchs OSCP um +207% — am stärksten im ganzen Vergleich. Wenn du professionell pentesten willst, ist das immer noch das eine Zertifikat, das wirklich etwas beweist.

ISACA-Zertifikate — $575 (Mitglieder) / $760 (Nicht-Mitglieder) pro Prüfung

Etwas Aufräumen im Lineup. Die Säulen sind unverändert: CISA (Systemaudit — 3,289 Anzeigen auf Indeed), CISM (Management der Informationssicherheit, +83% Nachfrage), CRISC (IT-Risiko, +122%), CGEIT (IT-Governance), CDPSE (Privacy-/Datenschutz-Engineering). Das praxisorientierte CSX-P wurde eingestellt. An seiner Stelle hat ISACA drei Neuzugänge veröffentlicht, die genau zeigen, wohin die Branche steuert: CCOA (Certified Cybersecurity Operations Analyst — ein Hands-on-Zertifikat für SOC-Analysten, 2025) und die ersten strikt auf KI ausgerichteten Zertifikate am Markt: AAIA (Advanced in AI Audit) und AAISM (Advanced in AI Security Management). Zu früh, um ihre Recruiting-Power zu beurteilen — aber wenn du Systeme mit KI-Komponente auditierst oder managst, ist das die Richtung, die ich genau im Auge behalten würde.

CCSP (ISC2) — $599

Cloud-Sicherheit auf Architekturebene: Design, Betrieb, Compliance, Kryptografie. Preis unverändert, aber die Nachfrage ist um +175% gestiegen — das drittbeste Ergebnis im Vergleich. In Zeiten, in denen „alles in der Cloud“ ist, hat CCSP aufgehört, eine Nische zu sein, und ist zu einem der profitabelsten Karriereschritte geworden (laut Skillsoft ~$172k pro Jahr).

Azure Security Engineer Associate (AZ-500, Microsoft) — $165 (US-Preis; anderswo zahlst du das regionale Äquivalent bei Pearson VUE)

Absicherung von Azure- und Hybrid-Umgebungen: Identität, Plattformschutz, Daten, Anwendungen. Eine kleine Korrektur gegenüber 2024: Das Tool, das ich damals als „Azure Security Center“ beschrieben habe, heißt jetzt Microsoft Defender for Cloud. Microsoft nutzt regionale Preise — was du zahlst, hängt also davon ab, wo du wohnst.

6. Holy Grail — „Du hast die Meisterschaft erreicht. Zeit für die Rente!“

Im Angriff ist der Holy Grail das, wofür du überhaupt gekommen bist: die Daten. In der Karriere: Zertifikate, die man nicht mehr für Berechtigungen macht, sondern fürs Prestige.

CISSP (ISC2) — $749 (€719 in Europa)

Der König hat sich nicht geändert. Er verlangt fünf dokumentierte Jahre Erfahrung in mindestens zwei Sicherheitsdomänen und taucht in Stellenanzeigen häufiger auf als jedes andere Security-Zertifikat der Welt (10,350 Angebote auf Indeed, +43%). Acht Domänen vom Risikomanagement bis zur Softwaresicherheit. Wenn du Architekten-, Manager- oder CISO-Rollen anpeilst — früher oder später wird dich jemand danach fragen.

CCSK (Cloud Security Alliance) — $445 (Version v5, zwei Versuche inklusive)

Immer noch das universellste (herstellerneutrale) Cloud-Security-Zertifikat — und immer noch ein starkes Preis-Leistungs-Verhältnis, trotz der Erhöhung von $395. Die aktuelle Version v5 (2024) hat unter anderem Zero Trust und KI-Themen ergänzt. In meinem Indeed-Vergleich ist es prozentual das am zweitschnellsten wachsende Zertifikat (+188%, wenn auch von niedriger Basis). Das Cloud-Äquivalent der Regel „lerne Grundlagen, keine Interfaces“.

Neue Player: die Zertifikate, in die sich die Community verliebt hat (und die Recruiter noch nicht)

Im Ranking 2024 waren sie nicht dabei, und in den letzten zwei Jahren haben sie die Community im Sturm erobert — meist als günstigere, sehr praxisnahe Alternative zum OSCP:

• HTB CPTS (Hack The Box — Certified Penetration Testing Specialist) — eine 10-tägige Praxisprüfung, gekrönt von einem vollständigen Report. Ein Voucher kostet ~$210, und der beste Deal ist das Silver-Abo der HTB Academy ($490/Jahr, Voucher inklusive).
• PNPT (TCM Security — Practical Network Penetration Tester) — $499 für Training + Prüfung mit kostenlosem Retake: 5 Tage Testen (OSINT, Active Directory), 2 Tage für den Report und ein 15-minütiges Live-Debriefing deiner Ergebnisse mit Pentestern. Von allen Prüfungen, die ich kenne, sieht diese einem echten Auftrag am ähnlichsten.
• CRTO (Zero-Point Security — Red Team Ops) — ein Kurs für £365 mit inkludiertem Prüfungsversuch. Ein Weg in die Welt des Red Teaming und der C2-Frameworks, ohne eine Niere zu versetzen.
• BSCP (PortSwigger — Burp Suite Certified Practitioner) — ~$99 pro Versuch; eine Prüfung von den Machern von Burp und der kostenlosen WebSecurityAcademy, die ich weiter unten empfehle.

Und jetzt der Eimer kaltes Wasser — ich habe sie mit derselben Indeed-Methode geprüft: CPTS taucht in… 1 Anzeige auf (die volle Phrase „HTB CPTS“ — in 6), BSCP in 3, eJPT in 10. PNPT und CRTO ließen sich nicht ehrlich zählen, weil die Akronyme mit Anzeigen aus völlig anderen Branchen kollidieren (Grüße an die pädiatrischen Nurse Practitioners in den „PNPT“-Ergebnissen 😉). Zum Vergleich: OSCP — 1,925 Anzeigen. Fun Fact: Die Phrase „Hack The Box“ selbst taucht in 63 Anzeigen auf — aber fast immer als „Erfahrung mit Plattformen wie HTB ist ein Plus“, also als Lernort, nicht als gefordertes Zertifikat. Und das ist die ganze Geschichte auf den Punkt gebracht: Die Plattform kennt jeder, das Zertifikat verlangt fast niemand.

Lektion #3: Community und Recruiter leben in verschiedenen Welten. Community-Zertifikate können dir mehr beibringen als so manches „große“ — aber in den Recruiting-Systemen existieren sie noch nicht. Die Strategie für 2026: Lerne auf ihnen, und pack dir eins in den Lebenslauf, das HR ohne Googeln erkennt.

Vergleichstabelle — alle Zertifikate an einem Ort

* regionale Preise oder beim Anbieter zu bestätigen — Details in den Beschreibungen oben.

Ergeben Zertifikate 2026 noch Sinn?

Kurzversion: ja, aber nicht mehr so wie früher.

Ich sage es geradeheraus, auch wenn ich damit an dem Ast säge, auf dem dieser Beitrag sitzt: Wenn du ein Budget an Geld und Zeit zu vergeben hast, dann ist 2026 ein Zertifikat allein eine schlechtere Investition als noch 2024. Eine Eintrittskarte in die Branche kannst du dir nicht mehr kaufen — diese Tür bewachen jetzt KI und eingefrorene Einstellungsbudgets. Ein Zertifikat funktioniert in drei Situationen: wenn es dich durch den HR-Filter und ATS bringt — die Systeme, die Lebensläufe automatisch aussieben (CISSP, Security+); wenn eine Regulierung oder ein Kunde es verlangt (die Welt nach NIS2/DORA liebt „Papiere“); und wenn der Lehrplan dahinter wirklich einen Skill aufbaut, den der Markt braucht (OSCP+, Cloud-Zertifikate).

Würde ich heute bei null anfangen, würde ich es so machen: CC oder Security+, um die Grundlagen zu strukturieren → Hunderte Stunden Praxis (Labs, CTFs, PentesterLab, eigene Projekte) → OSCP+ oder der Cloud-Pfad (CCSK/CCSP/AWS), je nachdem, was mich begeistert. Und parallel dazu — das ist neu gegenüber 2024 — würde ich vom ersten Tag an lernen, mit KI zu arbeiten: nicht „prompten“, sondern verifizieren. Denn der Triager, von dem Louis gesprochen hat, ist nicht jemand, der auf „Genehmigen“ klickt. Es ist jemand, der weiß, wann er auf „Ablehnen“ klicken muss.

Lektion #4: Ein Zertifikat ist der Beleg, dass du einen strukturierten Lernprozess durchlaufen hast. In einer Ära, in der KI fertige Antworten ausspuckt, steckt der Wert genau im Prozess — denn nur der Prozess gibt dir das Recht, mit voller Überzeugung zu sagen: „Das ist Unsinn.“

FAQ — die häufigsten Fragen

Mit welchem Zertifikat solltest du 2026 deine Cybersecurity-Reise starten?

Mit CC (ISC2, $199), wenn du günstig checken willst, ob diese Branche etwas für dich ist, oder mit Security+ (CompTIA, $439), wenn du gleich das bekannteste Grundlagen-Zertifikat willst. Aber keins von beiden ersetzt Praxis — behandle sie als Lehrplan, nicht als Freifahrtschein.

Was kostet ein Cybersicherheitszertifikat?

Einstiegslevel: $199–550. Mittelstufe: $300–1,300. Professionell und praxisnah (OSCP+): $1,749 inklusive Kurs. Obendrauf kommen oft jährliche Mitgliedsgebühren (z. B. ISC2 $50, ISACA) und Rezertifizierungskosten. Die meisten Anbieter haben die Preise gegenüber 2024 um 15–30% erhöht (CompTIA, OffSec, GIAC, CSA); ISC2, ISACA, AWS und Google halten ihre Preise, und die steilste „Preiserhöhung“ traf CC — weil es aufgehört hat, kostenlos zu sein.

Lohnt sich CEH noch?

Kommt darauf an, worauf du optimierst. Für Recruiter und formale Anforderungen (inklusive US-Institutionen) — es funktioniert, und die Nachfrage in den Anzeigen ist um 61% gewachsen. Für echte Skills — für $1,299 (Prüfung + Antrag) bist du fast bei einem vollen OSCP+, der unvergleichlich mehr Praxis vermittelt.

Nimmt KI Pentestern und Security-Analysten die Jobs weg?

Sie nimmt sie nicht weg — sie verändert ihre Natur. Die Daten zeigen zwei Dinge gleichzeitig: Die Beschäftigung von Berufseinsteigern in KI-exponierten Rollen ist um etwa 16% gefallen (Stanford), aber 73% der Profis erwarten neue, stärker spezialisierte Rollen (ISC2). Der Wert von Verifikation, Kontext und Verantwortung steigt — die Dinge, die du nicht an ein Modell delegieren kannst.

Welches Zertifikat wird am besten bezahlt?

Laut meiner Analyse der Gehaltsspannen in Indeed-Anzeigen (US, August 2026): CISM (~$166k/Jahr), CRISC (~$157k) und CISSP (~$154k) — also: Management, Risiko und Architektur. In der globalen Skillsoft-Umfrage rundet AWS Security – Specialty die Spitze ab. Übertrag diese Zahlen nicht 1:1 auf deinen lokalen Markt, aber die Richtung „Management + Risiko + Cloud“ ist universell.

Meine subjektive Meinung und empfohlene Lernressourcen

Persönlich glaube ich — vielleicht entgegen der landläufigen Meinung —, dass die beste Grundlage fürs Lernen immer noch akademische Strenge ist. Mit soliden Grundlagen fallen kommerzielle Zertifikate deutlich leichter. Bei kommerziellen Ressourcen empfehle ich nur die, die ich selbst gut kenne (die Reihenfolge ist kein Zufall):

• PentesterLab — die beste Lernplattform, die ich kenne. Louis Nyffenegger hat nicht nur einen Ort gebaut, an dem man eine riesige Zahl von Schwachstellen üben kann, sondern erklärt an vielen Stellen in der Tiefe, wie eine Schwachstelle wirklich funktioniert. Derselbe Louis, den ich oben zitiere — ich empfehle auch, seinen Überlegungen zu KI im Pentesting zu folgen.
• WebSecurityAcademy — eine kostenlose Praxisplattform von den Machern der Burp Suite. Ich kenne keinen besseren Einstieg in die Sicherheit von Webanwendungen.
• INE Security — die Prüfungen treffen die Essenz des Pentester-Jobs gut: Über das Erlangen von „root“ hinaus zählt, alle Schwachstellen zu finden und einen vernünftigen Report zu schreiben.

Aus meiner Heimat, Polen:

• Zaufana Trzecia Strona — Kurse und Webinare von Adam Haertle
• Sekurak Academy — Trainings und Webinare von Sekurak
• Niebezpiecznik — Trainings
• Jakub Mrugalski / UW-TEAM — Kurse und Materialien
• Security by Szurek — Materialien von Kacper Szurek

Zusammenfassung

Vor zwei Jahren endete dieser Beitrag mit einer Kursliste. Heute beende ich ihn anders, weil die Zeiten anders sind: Zertifikate sind nicht tot — sie haben ihre Funktion geändert. Aus einer Eintrittskarte sind sie zu einem Multiplikator geworden: Sie verstärken jemanden, der Praxis hat, und sie werden immer schlechter darin, deren Fehlen zu kaschieren. Wähl also nicht das Zertifikat, das am leichtesten zu bestehen ist — wähl das, dessen Lehrplan dir etwas beibringt, das KI dir nicht abnimmt. Und dann geh und mach die Arbeit — Labs, CTFs, eigene Projekte. Das Papier kann warten.

Und wenn du ein Unternehmen vertrittst und statt Zertifikate zu sammeln lieber sehen willst, wie deine Systeme den Kontakt mit einem echten Angreifer überstehen würden — genau dafür gibt es Penetrationstests. Kalkuliere einen Pentest im Rechner oder schreib mir einfach. 🔓

Quellen 📚

• ISC2 Cybersecurity Workforce Study 2025 (Skill-Lücken, KI, Wege in die Branche)
• Brynjolfsson, Chandar, Chen — „Canaries in the Coal Mine?“, Stanford Digital Economy Lab, 2025 (−16% Beschäftigung bei 22- bis 25-Jährigen in KI-exponierten Berufen)
• OffSec — „Everything you need to know about the OSCP+“ (OSCP+ und die 3-jährige Gültigkeit)
• CompTIA — „Introducing SecurityX: CASP+ Gets an Update and Rebrand“
• EC-Council — Ankündigung von CEH v13
• ISACA — AAIA (Advanced in AI Audit), AAISM (AI Security Management), CCOA
• ISC2 — Abschluss des Programms „1 Million Certified in Cybersecurity“
• ISC2-Prüfungspreise · GIAC-Preise · Der neue GSE-Pfad — GIAC · CCSK v5 — CSA · CISA — ISACA
• CompTIA SecAI+ (CY0-001) · AWS Security – Specialty · Google Professional Cloud Security Engineer
• Skillsoft — Top-Paying IT Certifications 2025 (Gehälter nach Zertifikat)
• CyberSeek — 514,359 offene Stellen, +12% im Jahresvergleich (NIST, Juni 2025) · BLS — Information Security Analysts (Mediangehalt, +29% Prognose)
• Neue Player: CPTS — HTB Academy · PNPT — TCM Security · CRTO — Zero-Point Security · BSCP — PortSwigger
• Anzeigenzahlen und Gehaltsdaten: eigene Analyse der Stellenanzeigen auf indeed.com (US) — April 2024 und 9. August 2026, gleiche Methodik; Gehälter = Mittelwert der in den Anzeigen genannten Spannen (1,451 Datenpunkte aus 2,000+ Anzeigen), angegeben in USD pro Jahr; die Werte für 2024 aus meiner ursprünglichen PLN-Analyse zum NBP-Kurs vom 24. April 2024 von 4.0417 PLN/USD umgerechnet

Aktualisiert: August 2026. Ursprüngliche Version dieses Beitrags: April 2024.