CISA Zertifizierung: Erfahrungen, Domänen und für wen sie sich lohnt

Kurze Antwort

CISA ist keine Prüfung, die du mal eben nebenbei durchziehst. Wer sie schon hinter sich hat, berichtet fast einhellig dasselbe: Das Wissen an sich ist machbar, das eigentliche Problem ist die Denkweise, die ISACA verlangt. Getestet wird nicht, ob du eine Firewall konfigurieren kannst, sondern ob du wie ein Auditor denkst – Kontrollen bewerten, Risiken priorisieren, Prozesse hinterfragen, bevor du eine Lösung vorschlägst. Für IT-Auditoren und GRC-Leute mit ein paar Jahren Praxis ist CISA eine harte, aber faire Prüfung mit klarem Karrierenutzen. Für reine Techniker ohne Audit-Berührung ist sie überraschend zäh, weil technisches Fachwissen allein die Fragen nicht knackt – dazu unten mehr, vor allem in Abschnitt 5.

Was die Prüfung wirklich abfragt — die offiziellen Domänen und was hinter jeder steckt

ISACA prüft CISA über fünf offizielle Domänen. Die Gewichtung sagt dir, wo die Prüfung ihre Substanz hat – aber jede Domäne hat eine eigene Denklogik, nicht nur ein eigenes Themengebiet.

Information Systems Auditing Process (18%) ist das Fundament: Risikobasierte Prüfungsplanung, Beweisführung, Audit-Berichterstattung, Qualitätssicherung der eigenen Prüfarbeit. Diese Domäne ist klein in der Gewichtung, aber sie liefert die Methodik, mit der du die anderen vier Domänen lesen musst. Wer sie unterschätzt, liest die restliche Prüfung falsch.

Governance and Management of IT (18%) dreht sich um IT-Strategie, Organisationsstruktur, Richtlinien, Risikomanagement-Frameworks, IT-Service-Management (COBIT, ITIL als Referenzrahmen), Business-Continuity auf Führungsebene und Vendor-Management. Hier geht es um Entscheidungsstrukturen, nicht um Technik.

Information Systems Acquisition, Development and Implementation (12%) deckt den kompletten SDLC ab: Projektgovernance, Business Case und Machbarkeitsprüfung, Testmethoden, Change-Management bei neuen Systemen, Post-Implementation-Review. Kleinste Domäne, aber oft unterschätzt, weil sie Projektmanagement-Denken mit Audit-Kontrollpunkten verknüpft.

Information Systems Operations and Business Resilience (26%) ist eine der beiden großen Domänen: IT-Betrieb, Incident- und Problem-Management, Asset-Management für Hard- und Software, Disaster Recovery, Business Continuity, Backup-Strategien. Sehr praxisnah, sehr breit.

Protection of Information Assets (26%) ist die andere große Domäne: Security Governance, logische und physische Zugriffskontrollen, Netzwerksicherheit, Verschlüsselung, Identity Management, Security Awareness, Incident Response. Klingt wie ein Security+-Lehrplan, wird aber komplett aus der Prüferperspektive gefragt.

Die genaue Aufteilung nach Fragenzahl und Prüfungsdauer findest du auf unserer Exam-Format-Seite – dort verzerren wir nichts durch Umrechnung.

Welche Domäne die meisten durchfallen lässt und warum

Nach allem, was Kandidaten berichten, ist Protection of Information Assets die Domäne, an der die meisten scheitern – nicht weil sie die schwierigsten Fakten enthält, sondern weil sie zwei völlig unterschiedliche Kandidatentypen gegeneinander ausspielt.

Technisch versierte Leute – Systemadministratoren, Security-Engineers – beantworten die Fragen aus der Implementierer-Perspektive: „Wie würde ich das konfigurieren?” ISACA fragt aber: „Wie würdest du als Prüfer feststellen, ob diese Kontrolle wirksam ist?” Das ist ein anderer Blickwinkel auf dieselbe Technologie, und wer ihn nicht kennt, wählt systematisch die technisch richtige, aber auditorisch falsche Antwort.

Umgekehrt gilt das Gleiche für reine Auditoren ohne technische Tiefe: Sie erkennen die Kontrollperspektive sofort, verstehen aber nicht genug von Verschlüsselung, Netzwerksegmentierung oder Identity-Architektur, um zu beurteilen, ob eine beschriebene Kontrolle überhaupt funktionieren kann.

Die Konsequenz für deine Vorbereitung: Wenn du aus der Technik kommst, übe explizit, Fragen aus der Prüferrolle zu lesen – nicht „was würde ich tun”, sondern „was sollte hier kontrolliert werden und wie prüfe ich das”. Wenn du aus dem Audit kommst, füll deine technischen Lücken zuerst in dieser Domäne, nicht zuletzt.

Für wen sie sich lohnt und für wen nicht

CISA lohnt sich klar für: IT-Auditoren, die eine anerkannte Grundlage für ihre Rolle brauchen; Compliance- und Risk-Leute, die in regulierten Branchen (Finanzwesen, Gesundheitswesen, öffentlicher Sektor) arbeiten, wo CISA in Stellenausschreibungen explizit gefordert wird; IT-Leute mit Betriebs- oder Security-Hintergrund, die bewusst Richtung GRC oder internen Audit wechseln wollen; Berater bei Wirtschaftsprüfungsgesellschaften, die IT-Audits durchführen.

Es lohnt sich eher nicht für: reine Entwickler oder Systemadministratoren, die technisch weiterwachsen wollen – die Zeit ist bei einer technischen Zertifizierung besser investiert; absolute Berufseinsteiger ohne jede Audit- oder Kontrollberührung, für die der Aufwand im Verhältnis zum aktuellen Karrierenutzen zu groß ist; jeder, der eine praktische Hands-on-Security-Qualifikation sucht – CISA prüft Bewertung, nicht Konfiguration, und bringt dir keine praktischen Skills bei.

Welche Vorkenntnisse realistisch nötig sind

ISACA verlangt formal mehrere Jahre einschlägiger Berufserfahrung, um den Titel tatsächlich führen zu dürfen (mit Möglichkeit, einen Teil davon durch Studium oder andere Zertifizierungen zu ersetzen) – die Prüfung selbst kannst du unabhängig davon ablegen. Praktisch brauchst du:

• Ein Grundverständnis von IT-Infrastruktur: Netzwerke, Betriebssysteme, Datenbanken, Cloud-Grundmodelle (IaaS/PaaS/SaaS).
• Ein Verständnis, wie Softwareentwicklung strukturiert abläuft (SDLC), auch wenn du nie selbst entwickelt hast.
• Und – das ist der entscheidende Punkt – irgendeine Berührung damit, wie Audits in der Praxis funktionieren. Hast du schon mal an einer internen oder externen Prüfung teilgenommen, Kontrollen dokumentiert, mit Prüfern gesprochen? Ohne das ergeben die Domänensprünge in der Prüfung keinen Sinn, weil die Fragen implizit voraussetzen, dass du weißt, wonach ein Prüfer überhaupt sucht.

Fehlt dir Letzteres komplett, ist das kein Ausschlusskriterium, aber es verlängert deine Vorbereitungszeit spürbar – rechne damit in Abschnitt 9 ein.

Wie schwer sie für Einsteiger ist — woran genau die Schwierigkeit hängt

„Einsteiger” heißt hier zwei verschiedene Dinge, und die Antwort ist für beide unterschiedlich. Ein IT-Einsteiger ohne Berufserfahrung hat es objektiv am schwersten. Ein erfahrener Techniker, der aber noch nie geprüft wurde oder geprüft hat, ist ein „Audit-Einsteiger” – leichteres, aber immer noch reales Problem.

Drei Dinge bestimmen die Schwierigkeit, unabhängig von reinem Fleiß:

1. Fehlende Audit-Erfahrung. Die Prüfung verlangt Urteilsvermögen, nicht nur Faktenwissen. Viele Fragen bieten mehrere technisch plausible Antworten und verlangen die „BESTE” oder die Antwort, die man „ZUERST” wählen sollte. Ohne Übung in dieser Denkfigur rätst du bei einem erheblichen Teil der Fragen.
2. Fehlende technische Breite. Wer aus dem reinen Audit- oder Compliance-Bereich kommt, kennt die Kontrollperspektive, aber nicht genug Technik, um zu beurteilen, ob eine beschriebene Kontrolle überhaupt funktioniert.
3. Unterschätzter Umfang der Governance-Domäne. Technische Leute unterschätzen konsequent, wie viel Gewicht Organisationsstruktur, Richtlinienhierarchien und Entscheidungsbefugnisse in der Prüfung haben – das lässt sich nicht durch technisches Wissen kompensieren.

Was Einsteiger am meisten unterschätzen: Sie bereiten sich wie für eine technische Zertifizierung vor – auswendig lernen, Fakten pauken – und merken erst in Übungsfragen, dass die Prüfung Interpretation verlangt. Das kostet Zeit, die man besser vorher einplant als hinterher nachholt.

Was an dieser Prüfung anders ist als an vergleichbaren desselben Anbieters

ISACA hat vier große Zertifizierungen, und CISA ist die einzige, die technische Tiefe und Governance-Urteil gleichzeitig verlangt.

CISM (Certified Information Security Manager) ist reine Sicherheitsführung – Strategie, Risikomanagement, Incident-Management auf Managementebene, aber ohne eine Domäne, die so operativ-technisch ist wie Protection of Information Assets bei CISA. Wer CISM macht, muss nicht beurteilen können, ob eine Verschlüsselungsimplementierung technisch sauber ist.

CRISC (Certified in Risk and Information Systems Control) ist enger fokussiert: nur Risiko und Kontrollen, ohne die volle Audit-Methodik-Domäne und ohne den SDLC-Teil in der Tiefe von CISA.

CGEIT (Certified in the Governance of Enterprise IT) ist am abstraktesten – reine Unternehmens-IT-Governance, am wenigsten operativ, am wenigsten technisch.

CISA sitzt bewusst in der Mitte: Du musst gleichzeitig genug Technik verstehen, um Kontrollen technisch zu bewerten, und genug Governance-Denken haben, um zu wissen, wo diese Kontrollen im größeren Rahmen stehen. Das macht sie breiter und in der Vorbereitung aufwendiger als CRISC oder CGEIT, aber weniger managementlastig als CISM.

Welche Fragetypen vorkommen und was sie verlangen

CISA besteht ausschließlich aus Multiple-Choice-Fragen mit einer richtigen Antwort unter mehreren plausiblen Optionen – keine Simulationen, keine Drag-and-Drop-Aufgaben, keine Fallstudien mit mehreren Teilfragen. Die Frageformate im Detail (Anzahl, Zeitrahmen) stehen auf unserer Exam-Format-Seite.

Inhaltlich dominieren drei Fragetypen:

• Priorisierungsfragen: „Was sollte der Auditor ZUERST tun?” – hier ist nicht die einzig korrekte Handlung gefragt, sondern die richtige Reihenfolge.
• Bewertungsfragen: „Welche Kontrolle ist AM WIRKUNGSVOLLSTEN, um Risiko X zu mindern?” – mehrere Antworten mindern das Risiko tatsächlich, nur eine tut es am effizientesten oder nachhaltigsten.
• Szenario-Fragen mit Kontextrauschen: Ein Absatz beschreibt eine Situation mit mehreren Detailinformationen, von denen nicht alle für die Antwort relevant sind – du musst die entscheidende Information aus dem Rauschen filtern.

Der gemeinsame Nenner: Reines Faktenwissen reicht selten, um die Frage zu erkennen; du brauchst die Fähigkeit, unter mehreren richtigen Antworten die beste zu identifizieren.

Was der Titel im Beruf bewirkt und was nicht

CISA öffnet konkrete Türen: Er ist in vielen Stellenausschreibungen für interne Audit-, IT-Compliance- und GRC-Positionen explizit gefordert oder stark bevorzugt, besonders in Finanzdienstleistung, Versicherung, Gesundheitswesen und öffentlichem Sektor. Er signalisiert Personalverantwortlichen, dass du die Kontroll- und Risikologik verstehst, ohne dass sie das im Detail selbst prüfen müssen. In vielen Wirtschaftsprüfungsgesellschaften ist er faktisch Voraussetzung für den Aufstieg in Senior-Audit-Rollen.

Was er nicht bewirkt: Er ersetzt keine praktische Audit-Erfahrung – Arbeitgeber erwarten trotzdem, dass du zeigen kannst, wie du Kontrollen tatsächlich geprüft hast. Er bringt dir keine hands-on-technischen Fähigkeiten bei – wenn du konfigurieren, patchen oder incident-responden willst, brauchst du zusätzlich technische Zertifizierungen oder Praxis. Und er garantiert weder automatisch eine Beförderung noch eine bestimmte Gehaltssteigerung – wie sich CISA konkret auf Gehälter auswirkt, hängt stark von Branche, Standort und bestehender Erfahrung ab, und seriöse Aussagen dazu brauchen aktuelle, regionale Gehaltsdaten statt einer pauschalen Zahl.

Wie lange eine ehrliche Vorbereitung dauert

Die Antwort hängt stark davon ab, wie viel Audit-Erfahrung du mitbringst – das ist der größere Hebel als reine IT-Erfahrung.

Für jemanden mit aktiver Audit- oder GRC-Praxis reicht oft ein fokussierter Zeitraum von einigen Wochen intensiven Lernens, weil die Denkweise schon sitzt und nur die Struktur der fünf Domänen und Detailwissen fehlen. Für einen technisch versierten Einsteiger ohne Audit-Berührung ist ein deutlich längerer Zeitraum realistisch, weil zwei Dinge parallel aufgebaut werden müssen: Faktenwissen in den Domänen und die Prüferperspektive selbst.

Ein realistischer Rahmen für einen Studienplan:

• Woche 1–3: Domänen-Überblick, ein Durchgang durch das offizielle Review-Material pro Domäne, ohne noch viele Übungsfragen zu machen.
• Woche 4–7: Domänenweise Vertiefung, beginnend mit deiner objektiv schwächsten Domäne (für die meisten: Protection of Information Assets oder Governance, je nach Hintergrund), begleitet von Übungsfragen pro Kapitel.
• Woche 8–10: Volle Übungsprüfungen unter Zeitdruck, gezielte Wiederholung der Domänen mit den meisten Fehlern.
• Letzte Woche vor der Prüfung: Nur noch Wiederholung von Fehlerprotokollen, keine neuen Inhalte mehr.

Wer in Übungsprüfungen konstant weit unter dem nötigen Niveau bleibt, sollte den Termin verschieben statt zu hoffen – die genaue Bestehensgrenze und wie sie berechnet wird, erklären wir auf der Passing-Score-Seite, damit du realistisch einschätzen kannst, wo du stehst.

Welche Lernmaterialien taugen und welche Zeit kosten

Das offizielle ISACA-Review-Manual plus die dazugehörige Fragen-Datenbank sind der solideste Ausgangspunkt, weil sie exakt an den fünf offiziellen Domänen und deren Gewichtung ausgerichtet sind – nichts, was du dort lernst, ist für die Prüfung irrelevant.

Was zusätzlich hilft: seriöse Drittanbieter-Fragenpools mit erklärten Antworten, weil sie dir zeigen, warum eine Antwort die beste ist, nicht nur, dass sie es ist – genau dieses „Warum” ist die Fähigkeit, die die Prüfung testet.

Was Zeit kostet, ohne viel zu bringen: reine Video-Kurse ohne begleitende Übungsfragen – du verstehst die Konzepte, trainierst aber nicht das Urteilsvermögen, das die Prüfung abfragt. Brain Dumps solltest du grundsätzlich meiden – sie verstoßen gegen ISACAs Verhaltenskodex und bringen dir nichts für den eigentlichen Skill, weil sie auswendig gelernte Antworten liefern statt Verständnis für Priorisierung und Bewertung.

Zum Thema CISA Zertifizierung Deutsch: ISACA bietet die Prüfung in mehreren Sprachen an, Deutsch gehörte historisch zu den verfügbaren Sprachoptionen an bestimmten Testterminen – prüf das aktuell direkt bei ISACA vor der Anmeldung, weil sich Sprachverfügbarkeit je nach Prüfungszyklus ändert. Das offizielle Kernmaterial (Review Manual, Fragenpool) ist primär auf Englisch; wer auf Deutsch lernen will, findet ergänzende deutschsprachige Community-Ressourcen und Kurse, aber die maßgebliche Quelle bleibt Englisch.

Wie lange die Zertifizierung gilt und was danach kommt

CISA ist nicht einmalig gültig – du musst sie über ein Continuing-Professional-Education-Programm (CPE) aktiv halten: jährlich eine bestimmte Zahl an Fortbildungsstunden nachweisen und die Zertifizierung über eine wiederkehrende Wartungsgebühr bei ISACA erhalten. Details zu den damit verbundenen Kosten findest du auf unserer Exam-Cost-Seite statt hier als möglicherweise veraltete Zahl.

Lässt du die CPE-Pflicht oder die Wartung schleifen, verlierst du den aktiven Status und musst dich unter Umständen erneut zertifizieren – die genauen Bedingungen dafür veröffentlicht ISACA direkt, weil sie sich ändern können.

Nach CISA sind die logischen nächsten Schritte, abhängig von deiner Richtung: CISM, wenn du Richtung Sicherheitsführung willst; CRISC, wenn dein Interesse stärker beim Risikomanagement liegt als beim Audit selbst; CGEIT, wenn du in Richtung IT-Governance auf Unternehmensebene gehst. Viele CISA-Inhaber bleiben aber auch einfach in der Audit-Laufbahn und vertiefen sich fachlich, ohne eine weitere ISACA-Zertifizierung draufzusetzen.

Womit man anfängt, wenn man heute beginnt

Drei konkrete erste Schritte, bevor du irgendetwas kaufst:

1. Lies die Exam-Format-Seite komplett durch, damit du die Struktur der Prüfung kennst, bevor du einen Studienplan baust.
2. Das entscheidet, wo dein Studienplan anfängt, nicht das Inhaltsverzeichnis des Lehrbuchs.
3. Bau deinen Plan explizit um die fünf offiziellen Domänen und ihre Gewichtung herum, nicht um generische IT-Security-Inhalte – die Prüfung fragt Governance und Auditlogik ab, nicht reine Technik, und ein Plan, der das ignoriert, verschwendet Zeit in den falschen Kapiteln.

FAQ

Kann ich CISA ohne die geforderte Berufserfahrung machen? Du kannst die Prüfung ablegen und bestehen, ohne die Erfahrungsanforderung erfüllt zu haben – den Titel „CISA” darfst du aber erst führen, wenn ISACA deine Erfahrung (oder anerkannte Ersatzleistungen) bestätigt hat.

Ist CISA schwerer als vergleichbare Security-Zertifizierungen für Einsteiger? Für jemanden mit rein technischem Hintergrund und ohne Audit-Berührung fühlt sich CISA schwerer an als eine reine technische Zertifizierung auf vergleichbarem Niveau, weil hier zusätzlich eine völlig neue Denkweise – die Prüferperspektive – aufgebaut werden muss, nicht nur neues Faktenwissen.

Was passiert, wenn ich durchfalle? Du kannst die Prüfung erneut ablegen; ISACA legt dafür eine Wartezeit zwischen Versuchen fest. Die genaue Regel und aktuelle Fristen veröffentlicht ISACA direkt – verlass dich hier nicht auf Angaben aus zweiter Hand, sondern prüf es vor der Anmeldung zum Wiederholungstermin.

Sollte ich CRISC statt CISA machen, wenn mich vor allem Risikomanagement interessiert? Wenn dein Ziel Risikobewertung und Kontrolldesign ist, ohne dass du selbst Audits durchführen willst, ist CRISC der direktere Weg. CISA lohnt sich mehr, wenn Audit-Methodik und -Berichterstattung Teil deiner Rolle sind oder werden sollen.

Fazit

CISA ist eine der wenigen Zertifizierungen, bei denen der Titel tatsächlich eine reale Fähigkeit abbildet – die Fähigkeit, IT-Risiken aus einer Kontrollperspektive zu bewerten statt aus einer Implementierer-Perspektive. Das macht sie wertvoll für Audit- und GRC-Karrieren und ziemlich nutzlos für alle, die eigentlich technisch weiterwachsen wollen. Wenn du unsicher bist, ob du in die erste oder zweite Gruppe gehörst: Mach zuerst ein paar Dutzend echte Übungsfragen aus allen fünf Domänen, bevor du dich für einen Kurs oder einen Prüfungstermin entscheidest – das sagt dir mehr über deine Eignung als jeder Erfahrungsbericht.