CISA als Karriereschritt: Rollen in Audit, Risk und Compliance

Kurze Antwort

Die CISA-Zertifizierung selbst zahlt kein Gehalt aus — sie öffnet eine bestimmte Tür: Positionen im IT-Audit, in der internen Revision, im IT-Risikomanagement und in der Governance-Funktion regulierter Unternehmen. Wie stark sich das auf dein Gehalt auswirkt, hängt fast ausschließlich davon ab, ob du bereits in diesem Feld arbeitest oder erst hineinwillst, und in welcher Branche du landest. Konkrete Gehaltsbänder und Prüfungsgebühren nennen wir hier bewusst nicht — die findest du aktuell und verlässlich auf /certifications/cisa/. Was wir stattdessen liefern: was der Titel in der Praxis bewirkt, wo er nichts bringt, und was als Nächstes sinnvoll ist.

Welche Rollen diese Zertifizierung tatsächlich öffnet

CISA ist keine Allzweckwaffe für IT-Karrieren. Sie öffnet konkret drei Rollentypen:

IT-Auditor / IS-Auditor — die klassische Zielposition, sowohl intern (Konzernrevision) als auch extern bei Wirtschaftsprüfungsgesellschaften. Hier ist CISA in vielen Stellenausschreibungen explizit gefordert oder “stark bevorzugt”.

IT-Risiko- und Compliance-Rollen — GRC-Analyst, IT Compliance Officer, Kontrollverantwortlicher in Banken und Versicherungen. Hier zählt CISA als Nachweis, dass du Kontrollen prüfen und bewerten kannst, nicht dass du sie technisch implementierst.

Übergangspositionen in Richtung Führung — Teamleitung Revision, Head of IT Audit. Hier ist CISA meist Grundvoraussetzung, aber nicht hinreichend — Führungserfahrung entscheidet, der Titel ist ein Filterkriterium in der Bewerbungsphase.

Was CISA nicht öffnet: SOC-Analyst-Stellen, Penetration-Testing, Security-Engineering, DevSecOps. Diese Rollen verlangen technische Tiefe, die CISA nicht prüft — die Domänen der Prüfung (siehe unten) sind auf Prozess und Kontrolle ausgerichtet, nicht auf Konfiguration und Exploitation.

Was sie im Lebenslauf leistet und was sie nicht ersetzt

CISA im Lebenslauf sagt einem Personaler: “Diese Person versteht, wie man IT-Systeme aus Kontrollsicht prüft, kennt Rahmenwerke wie COBIT und kann Auditberichte strukturieren.” Das ist ein reales, spezifisches Signal — kein Allround-Kompetenznachweis.

Was sie nicht ersetzt:

• Technische Sicherheitskompetenz. Wenn eine Stelle Firewall-Konfiguration, Incident Response oder Malware-Analyse verlangt, hilft CISA kaum. Dafür stehen CISSP, GIAC-Zertifizierungen oder praktische Erfahrung.
• Rechnungslegungs- und Finanzwissen. Für Finanzprüfung braucht es zusätzlich WP/CPA-Hintergrund oder vergleichbare Ausbildung — CISA deckt IT-Audit ab, nicht Bilanzprüfung.
• Praktische Audit-Erfahrung. Ein bestandenes CISA-Examen ohne durchgeführte Audits liest sich für erfahrene Revisoren wie Theorie ohne Praxis. Der Titel öffnet die Tür zum Interview, nicht automatisch zur Stelle.
• Programmier- oder Cloud-Architektur-Kenntnisse. Wenn du in Richtung Cloud-Security oder DevOps willst, ist CISA der falsche Nachweis.

Wie Arbeitgeber sie einordnen

In regulierten Branchen ist CISA für viele Arbeitgeber ein Filterkriterium, kein Bonus. Bei Big-Four-Gesellschaften (Deloitte, PwC, EY, KPMG) und bei Banken steht in Stellenausschreibungen für IT-Audit-Positionen häufig wörtlich “CISA erforderlich oder in Bearbeitung”. Das bedeutet: ohne Zertifizierung landet die Bewerbung oft gar nicht im Interviewprozess, unabhängig von sonstiger Erfahrung.

Bei Arbeitgebern außerhalb der Prüfungs- und Finanzwelt ist die Einordnung deutlich schwächer. Ein Softwareunternehmen ohne formale Interne Revision kennt CISA oft nicht einmal — dort zählt die Zertifizierung nichts, weil die Rolle, für die sie qualifiziert, dort gar nicht existiert.

Wichtig für die Erwartungshaltung: Arbeitgeber, die CISA verlangen, prüfen in der Regel auch den ISACA-Mitgliedsstatus und die laufende CPE-Pflicht (Continuing Professional Education). Eine “abgelaufene” oder nicht gepflegte Zertifizierung wird in konservativen Branchen negativ bewertet — mehr als in vielen anderen IT-Zertifizierungswelten.

In welchen Branchen sie zählt und in welchen kaum

Zählt stark:

• Banken und Versicherungen (regulatorischer Prüfungsdruck, BaFin-Anforderungen)
• Wirtschaftsprüfungsgesellschaften (Big Four und mittelständische Prüfungsgesellschaften)
• Börsennotierte Unternehmen mit SOX-Pflichten oder vergleichbaren Kontrollanforderungen
• Öffentlicher Sektor mit strengen Compliance-Vorgaben (Gesundheitswesen, Verwaltung)
• Konzerne mit eigener Internal-Audit-Funktion

Zählt kaum bis gar nicht:

• Reine Softwareentwicklung und Produktfirmen ohne Compliance-Abteilung
• Startups ohne formale Revisionsfunktion
• Operative Cybersecurity-Rollen (SOC, Pentesting, Incident Response) — dort zählen CISSP, OSCP, GIAC deutlich mehr
• Kleine und mittelständische Unternehmen ohne regulatorischen Druck

Die Faustregel: Je stärker eine Branche extern geprüft wird (Wirtschaftsprüfer, Aufsichtsbehörden, Aktionäre), desto relevanter CISA. Je stärker eine Branche produktgetrieben und unreguliert ist, desto irrelevanter.

Was in Vorstellungsgesprächen dazu gefragt wird

Interviewer für IT-Audit-Rollen fragen selten das Prüfungswissen ab — sie prüfen, ob du es anwenden kannst. Typische Fragetypen:

• Methodik-Fragen: “Wie gehst du bei einem risikobasierten Audit vor?”, “Wie wählst du eine Stichprobe für Kontrolltests aus?”

• Framework-Fragen: Kenntnis von COBIT, ISO 27001, NIST CSF und wie diese sich zueinander verhalten — nicht auswendig gelernt, sondern im Kontext angewendet.

• Szenario-Fragen: “Du findest ein Kontrollversagen in einem produktiven System — wie dokumentierst du das, und wie eskalierst du?”

• Domänen-bezogene Fragen, die sich an den fünf offiziellen Prüfungsbereichen orientieren:

  • Information Systems Operations and Business Resilience (26 %)
  • Protection of Information Assets (26 %)
  • Governance and Management of IT (18 %)
  • Information Systems Auditing Process (18 %)
  • Information Systems Acquisition, Development and Implementation (12 %)

  Interviewer fragen oft gezielt nach Domänen, in denen du praktische Erfahrung hast — wer nur die Theorie kennt, fällt hier auf.

• Konfliktfragen: “Wie gehst du damit um, wenn das Management einem Auditbefund widerspricht?” — das ist in Revisionsrollen eine der häufigsten Verhaltensfragen überhaupt, weil Unabhängigkeit zum Berufsbild gehört.

Für die genaue Aufteilung von Fragenanzahl und Prüfungsdauer im echten Examen gilt: die verlässlichen Details stehen auf /de/cisa/exam-format/.

Wie sie sich zu Berufserfahrung verhält

CISA ist kein Ersatz für Berufserfahrung — es ist eine formale Voraussetzung dafür, die Bezeichnung überhaupt tragen zu dürfen. ISACA verlangt eine mehrjährige, nachgewiesene und einschlägige Berufserfahrung im IS-Audit, in der IT-Kontrolle oder in der Informationssicherheit, bevor du den Titel offiziell führen darfst. Wer die Prüfung besteht, aber diese Erfahrung noch nicht vorweisen kann, gilt zunächst nur als “exam passed” — nicht als zertifizierte Person. Die genauen Bedingungen und Ausnahmeregelungen (etwa anrechenbare Studienzeiten) prüfst du am besten direkt über die offizielle Seite, bevor du dich darauf verlässt.

Für die Praxis bedeutet das: Wer die Prüfung früh im Studium oder Berufseinstieg ablegt, hat einen strategischen Vorteil (die fachliche Vorbereitung ist erledigt), aber muss die Erfahrung nachträglich sammeln, um den Titel tatsächlich zu führen. Wer bereits Jahre im Audit arbeitet, bekommt durch die Zertifizierung vor allem eine formale Bestätigung dessen, was Kollegen und Vorgesetzte ohnehin schon wissen.

Der nächste sinnvolle Schritt danach — und warum dieser

Nach CISA gibt es drei sinnvolle Richtungen, keine “automatisch beste”:

CISM (Certified Information Security Manager) — wenn du Richtung Führung in der Informationssicherheit willst (CISO-Track). CISA prüft Audit-Prozesse, CISM prüft Sicherheitsmanagement und Governance aus Führungsperspektive. Die Kombination ist bei ISACA stark etabliert und wird von Arbeitgebern in Governance-Rollen explizit gesucht.

CRISC (Certified in Risk and Information Systems Control) — wenn dein Karriereweg stärker Richtung Risikomanagement statt reiner Prüfung geht. CRISC ergänzt CISA um die Perspektive des Risikoeigentümers, nicht des Prüfers — nützlich, wenn du von der Revision in eine GRC- oder Risikomanagementfunktion wechseln willst.

CISSP — wenn du aus dem reinen Audit heraus in eine breitere Sicherheitsleitungsrolle willst, die auch technische Architekturentscheidungen umfasst. CISSP deckt Domänen ab, die CISA komplett ausspart (Kryptografie, Netzwerksicherheit, Software-Sicherheitsarchitektur).

Die falsche Reihenfolge ist, sich für den nächsten Schritt zu entscheiden, bevor die Richtung feststeht. Wer noch nicht weiß, ob er Richtung Führung, Risiko oder Technik will, sollte zuerst ein Jahr in der aktuellen Rolle sammeln, bevor er investiert.

Wann ein Wechsel des Anbieters sinnvoller ist als die nächste Stufe

Nicht jeder sollte innerhalb der ISACA-Zertifizierungsfamilie bleiben. Ein Wechsel zu einem anderen Anbieter ist sinnvoller, wenn:

• Du erkennst, dass deine eigentliche Interessenrichtung technische Sicherheitsarbeit ist (Pentesting, Security Engineering) — dann bringt dir CISM oder CRISC wenig, und (ISC)²-Zertifizierungen wie CISSP oder praxisnahe Zertifizierungen wie OSCP passen besser.
• Du in Richtung Cloud-Security wechselst — dort zählen anbieterspezifische Zertifizierungen (AWS, Azure, GCP Security-Tracks) mehr als eine weitere ISACA-Stufe, weil Arbeitgeber dort konkretes Plattformwissen prüfen.
• Deine Zielrolle stärker projektmanagementorientiert ist (z. B. IT-Programmleitung) — dann ist eine PMI-Zertifizierung relevanter als eine weitere Audit- oder Risikozertifizierung.

Der Fehler, den viele machen: sie bleiben in der ISACA-Stufenleiter (CISA → CRISC → CISM), weil es sich nach folgerichtigem Fortschritt anfühlt, obwohl ihre eigentliche Zielrolle in eine ganz andere Richtung zeigt. Zertifizierungspfade sollten der Zielrolle folgen, nicht der Logik des Anbieter-Ökosystems.

Was man parallel aufbauen sollte, damit der Titel trägt

CISA allein trägt eine Karriere nicht. Parallel dazu zählt:

• Reale Prüfungserfahrung. Jedes tatsächlich durchgeführte Audit — auch als Teil eines größeren Teams — wiegt im Lebenslauf schwerer als ein weiteres Zertifikat.
• Framework-Tiefe für deine Branche. COBIT 2019 reicht selten allein — wer in der Finanzbranche arbeitet, sollte SOX-Kontrollen im Detail kennen; wer in der Gesundheitsbranche arbeitet, die einschlägigen Datenschutz- und Sicherheitsanforderungen.
• Systemkenntnis. Wer SAP-, ERP- oder Cloud-Umgebungen prüft, sollte diese Systeme technisch verstehen — nicht auf Entwicklerniveau, aber tief genug, um Kontrollen sinnvoll zu bewerten statt nur Checklisten abzuarbeiten.
• Schriftliche Kommunikation. Auditberichte sind das Produkt der Arbeit. Wer nicht klar, präzise und nachvollziehbar schreiben kann, bleibt trotz Zertifizierung in Juniorrollen hängen.
• Netzwerk über den lokalen ISACA-Chapter. Viele Stellen im Audit-Bereich werden über Empfehlungen besetzt, nicht über offene Ausschreibungen.

Ein CISA-Vorbereitungskurs kann beim Lernen helfen, ersetzt aber nichts von alledem — er bereitet auf die Prüfung vor, nicht auf die Rolle danach.

Wie man sie im Profil und im Gespräch einsetzt, ohne zu übertreiben

Im LinkedIn-Profil und Lebenslauf reicht die nüchterne Nennung mit Status — “CISA, gültig seit [Jahr]” oder vergleichbar, nicht mehr. Wer CISA als Aufhänger für Kompetenzen nutzt, die die Prüfung nicht abdeckt (“CISA-zertifizierter Sicherheitsexperte” im Sinne von technischer Security-Architektur), wird spätestens im Fachgespräch entlarvt.

Im Interview funktioniert es am besten, die Zertifizierung an konkrete Beispiele zu koppeln: nicht “ich habe CISA”, sondern “im Rahmen meiner CISA-Vorbereitung habe ich mich intensiv mit risikobasierten Prüfungsansätzen beschäftigt, und das habe ich in Projekt X so angewendet”. Der Titel ohne Anwendungsbeispiel wirkt auswendig gelernt — mit Beispiel wirkt er verdient.

Vermeide außerdem, die Zertifizierung als Ersatz für fehlende Erfahrung zu verkaufen. Wer zwei Jahre Berufserfahrung hat und CISA vorweist, sollte das als “solide Grundlage plus wachsende Praxis” positionieren — nicht als “vollständig qualifiziert”, das lässt sich in einem Fachgespräch schnell widerlegen.

Wann sie nichts bringt und man die Zeit besser anders investiert

CISA bringt wenig bis nichts, wenn:

• Deine Zielrolle technische Sicherheitsarbeit ist (Pentesting, Malware-Analyse, Security Engineering) — hier verbrennst du Vorbereitungszeit auf Inhalte, die in deinem Job nie vorkommen.
• Du in einem kleinen, unregulierten Unternehmen ohne formale Revisionsfunktion arbeitest und dort bleiben willst — der Titel liegt dann ungenutzt im Lebenslauf.
• Du am Anfang deiner Karriere stehst und noch keinerlei Audit- oder Kontrollerfahrung hast — der Titel allein öffnet ohne Praxisnachweis in vielen Fällen keine Senior-Positionen, und die Zeit wäre in einem Einstiegsjob mit echter Audit-Exposition besser investiert.
• Du eigentlich Richtung Softwareentwicklung oder DevOps willst — hier zählt CISA schlicht nicht zum erwarteten Profil.

In diesen Fällen ist die investierte Vorbereitungszeit — die für CISA durchaus umfangreich ist — besser in praktische Projekterfahrung, eine technisch passendere Zertifizierung oder direkt in den ersten Job in der Zielbranche gesteckt.

FAQ

Ist die CISA-Prüfung schwer? Ja, gemessen an anderen IT-Zertifizierungen gilt CISA als anspruchsvoll — nicht wegen technischer Tiefe, sondern wegen der Breite der Prüfungsdomänen und weil viele Kandidaten wenig praktische Audit-Erfahrung mitbringen, wenn sie antreten. Als “Professional Level”-Zertifizierung verlangt sie konzeptionelles Verständnis von Kontrollen und Prozessen, nicht nur Faktenwissen. Details zu Aufbau und Ablauf der Prüfung findest du auf /de/cisa/exam-format/.

Wie sind die Erfahrungen mit der CISA-Zertifizierung in der Praxis? Die meisten Erfahrungsberichte stimmen in einem Punkt überein: Der größte Wert entsteht nicht durch das Bestehen selbst, sondern durch die Türöffnerfunktion bei Bewerbungen in regulierten Branchen. Wer die Zertifizierung ohne begleitende Praxis erwirbt, berichtet häufig von einem Gefühl der “Theorie ohne Anwendung” — der Titel öffnet das Gespräch, die Erfahrung entscheidet danach.

Lohnt sich ein CISA-Vorbereitungskurs? Ein strukturierter Kurs hilft vor allem, wenn du wenig Audit-Hintergrund hast und die fünf Domänen erstmals systematisch durcharbeitest.

Was kostet die CISA-Prüfung? Die aktuellen Gebühren ändern sich gelegentlich und hängen vom Mitgliedsstatus bei ISACA ab. Die verlässlichen, aktuellen Zahlen findest du auf /certifications/cisa/ statt hier als schnell veraltende Zahl.

Muss ich eine Wartezeit einhalten, wenn ich die Prüfung nicht bestehe? Ja, ISACA sieht eine Wartezeit zwischen zwei Versuchen vor. Die genaue Regelung solltest du direkt vor deiner Anmeldung über die offizielle Formatseite prüfen, da sich solche Vorgaben ändern können.

Fazit

CISA ist eine ehrliche, spezifische Investition: Sie lohnt sich, wenn du in Richtung IT-Audit, Governance oder Risikomanagement in einer regulierten Branche willst — und sie ist nahezu wirkungslos, wenn dein Ziel technische Sicherheitsarbeit oder Softwareentwicklung ist. Der Titel öffnet Türen, aber er trägt niemanden allein hindurch — das macht die Erfahrung, die du danach sammelst.