CISA Vorbereitung: In 30, 14 oder 7 Tagen zur Prüfung

Kurze Antwort

Für CISA brauchst du realistisch vier bis acht Wochen, wenn du noch keinen IT-Audit-Hintergrund hast, und zwei bis vier Wochen, wenn Governance, Risk und Audit-Themen bereits dein Alltag sind. Der Grund liegt nicht in der Menge des Stoffs, sondern in der Prüfungslogik: CISA ist eine Professional-Level-Zertifizierung, die fast ausschließlich mit Szenario-Fragen arbeitet, bei denen du die “beste” von mehreren plausiblen Antworten wählen musst — reines Auswendiglernen von Definitionen bringt dich nicht durch. Ein 30-Tage-Plan ist der Normalfall, ein 14-Tage-Plan funktioniert für erfahrene Praktiker, und ein 7-Tage-Plan ist ein Notfallplan, kein Lernplan — er rettet eine bereits vorhandene Wissensbasis, er baut keine neue auf. Die fünf Domänen sind unterschiedlich groß, aber Gewichtung ist nicht dasselbe wie persönlicher Zeitbedarf: die Domäne, in der du am schwächsten bist, bekommt Vorrang vor der, die offiziell am meisten zählt.

Welcher Zeitrahmen zu welcher Ausgangslage passt

Es gibt im Kern drei Ausgangslagen, und sie brauchen unterschiedliche Zeitfenster:

Du kommst ohne Audit-Hintergrund — reine IT-Rolle, Entwicklung, Support, Infrastruktur, aber noch nie formal auditiert oder mit COBIT/Risikoframeworks gearbeitet. Für dich ist ein Zeitraum von sechs bis acht Wochen realistisch, auch wenn dieser Artikel dir einen 30-Tage-Plan als kompakteste sinnvolle Version zeigt. Die Auditing-Process-Domäne und die Governance-Domäne sind für dich komplett neues Terrain, nicht nur neue Vokabeln.

Du hast IT- oder Security-Erfahrung, aber keine formale Audit-Zertifizierung — du kennst Kontrollen, Risikomanagement, vielleicht sogar interne Audits aus der Praxis, aber nicht die ISACA-spezifische Terminologie und Prüfungslogik. Für dich ist der 30-Tage-Plan die richtige Größe.

Du hast bereits CISM, CRISC oder mehrjährige Auditpraxis — du kennst die Sprache, die Frameworks, die Denkweise. Für dich reicht der 14-Tage-Plan, weil du keine neue Wissensbasis aufbaust, sondern ISACA-Vokabular und Fragenlogik kalibrierst.

Der 7-Tage-Plan ist keine vierte Kategorie mit weniger Zeitbedarf — er ist eine Risikoentscheidung für Leute aus Kategorie zwei oder drei, deren Termin feststeht und nicht verschiebbar ist. Wenn dein Diagnosetest am Tag 1 zeigt, dass du in zwei oder mehr Domänen praktisch bei null stehst, ist die ehrlichere Antwort, den Termin zu verschieben, nicht sieben Tage durchzuarbeiten.

Wie man die Domänen nach Gewicht und eigener Schwäche sortiert

Die offizielle Gewichtung ist dein Ausgangspunkt, nicht dein Endergebnis:

• Information Systems Operations and Business Resilience — 26%
• Protection of Information Assets — 26%
• Governance and Management of IT — 18%
• Information Systems Auditing Process — 18%
• Information Systems Acquisition, Development and Implementation — 12%

Die zwei größten Domänen zusammen machen bereits 52% der Prüfung aus — mehr als die Hälfte. Wer wenig Zeit hat, fängt hier an, nicht bei der kleinsten Domäne. Aber Gewichtung allein ist die falsche alleinige Sortierlogik. Ein Security-Analyst kann in Protection of Information Assets (26%) bereits stark sein und trotzdem in Information Systems Auditing Process (nur 18%) komplett bei null stehen, weil er nie audit-methodisch gearbeitet hat.

Eine Domäne mit 12% Gewicht und 70% Fehlerquote bekommt einen höheren Prioritätswert als eine mit 26% Gewicht und 20% Fehlerquote. Das ist keine akademische Übung — es entscheidet, ob du in Woche zwei deines Plans Zeit in Acquisition/Development oder in Governance steckst, und diese Entscheidung ändert sich von Person zu Person komplett.

Ein Plan für 30 Tage, nach Wochen gegliedert

Woche 1 — Fundament und Diagnose. Tag 1: vollständiger Diagnosetest über alle fünf Domänen, um deine Fehlerquote pro Domäne zu kennen. Tag 2 bis 7: Grundlagenarbeit in den zwei größten Domänen, Information Systems Operations and Business Resilience und Protection of Information Assets — hier holst du die meisten Punkte, hier lohnt sich die Zeitinvestition zuerst.

Woche 2 — die schwierigsten Themen. Das ist für die meisten Kandidaten Information Systems Acquisition, Development and Implementation, weil klassische Auditoren selten tief im SDLC gearbeitet haben, und Governance and Management of IT, weil COBIT-Prozesslogik ungewohnt ist, wenn du sie nicht im Alltag anwendest. Arbeite hier bewusst langsamer, mit mehr Wiederholung, nicht schneller, weil die Domäne kleiner ist.

Woche 3 — Praxis mit Szenario-Fragen. Ab jetzt keine reine Lektüre mehr. Analysiere nicht nur, welche Antwort richtig war, sondern warum die anderen drei falsch waren — das ist der Punkt, an dem CISA-Vorbereitung kippt von Auswendiglernen zu Urteilsvermögen.

Woche 4 — Feinschliff und Prüfungsreife. Zwei weitere Zeittests, Fokus auf die Domänen mit der höchsten Fehlerquote aus Woche 3, Rest der Zeit für aktives Wiederholen deiner Fehlerliste (nicht deiner Notizen). In den letzten zwei Tagen reduzierst du das Volumen bewusst — mehr dazu unter der letzten Woche.

Ein verdichteter Plan für 14 Tage

Dieser Plan setzt voraus, dass du Audit- oder Governance-Praxis mitbringst und keine Domäne komplett neu lernst — er komprimiert Kalibrierung, nicht Grundlagenaufbau.

Tag 1 bis 7 — Fundament im Zeitraffer. Diagnosetest an Tag 1. Danach Domänen-Zusammenfassungen statt vollständiger Lektüre, proportional zur Gewichtung: mehr Zeit für die zwei 26%-Domänen, weniger für Acquisition/Development. Verzichte hier bewusst auf Detailtiefe, die für die Prüfung nicht nötig ist — Prozessnummern aus COBIT im Detail auswendig zu lernen kostet Zeit, die du nicht hast, und bringt selten Punkte, weil die Prüfung Anwendung testet, nicht Auflistung.

Tag 8 bis 14 — Praxis und Korrektur. Ab Tag 8 dominieren Übungsfragen, mindestens ein vollständiger Zeittest um Tag 10, ein zweiter um Tag 12 oder 13. Die Zeit zwischen den beiden Tests gehört komplett der Domäne mit der höchsten Fehlerquote aus dem ersten Test. Tag 14 ist leichte Wiederholung, kein neuer Stoff mehr.

Der Unterschied zum 30-Tage-Plan ist nicht “das Gleiche schneller” — es ist weniger Lektüre, mehr Anwendung, von Anfang an.

Der Notfallplan für 7 Tage — und was man dabei bewusst weglässt

Sieben Tage reichen, um vorhandenes Wissen zu kalibrieren und Prüfungsformat-Sicherheit aufzubauen. Sie reichen nicht, um eine Domäne von null aufzubauen. Deshalb ist die wichtigste Entscheidung in diesem Plan, was du bewusst NICHT machst:

• Du baust keine neue Grundlage in Information Systems Auditing Process oder Governance auf, wenn dort massive Lücken bestehen — dafür ist die Zeit zu kurz, und der Versuch verbrennt Tage, die du für Übung brauchst.
• Du lernst keine COBIT-Kontrollnummern oder ISO-Klauseln im Detail auswendig. Die Prüfung fragt danach, was ein Auditor in einer Situation tun würde, nicht danach, welche Ziffer ein Standard trägt.
• Du liest keine vollständigen Kapitel neu durch. Du arbeitest ausschließlich mit Übungsfragen und deiner Fehlerliste.

Tag 1: Diagnosetest, ehrlich und ohne Nachschlagen. Tag 2: die höchstgewichtete Domäne, in der du am schwächsten bist. Tag 3: Szenario-Fragentechnik gezielt üben — wie man Framing-Wörter wie “BEST”, “FIRST”, “MOST likely” in der Fragestellung erkennt. Tag 4: zweithöchste Prioritätsdomäne plus ein erster Zeittest. Tag 5: komplette Analyse der falschen Antworten, gezielte Wiederholung. Tag 6: ein zweiter vollständiger Zeittest unter echten Zeitbedingungen. Tag 7: nur leichte Wiederholung deiner Fehlerliste, keine neue Substanz, früh schlafen.

Wenn deine Fehlerquote zwischen Test an Tag 4 und Test an Tag 6 nicht sinkt, ist das ein Signal, den Termin zu verschieben — nicht, noch einen Tag härter zu pauken.

Die letzte Woche vor der Prüfung

Diese Woche ist unabhängig davon, ob du vorher 30, 14 oder mehr Tage gelernt hast — sie hat eine eigene Logik: Konsolidierung statt neuer Stoff.

Tag 7 (eine Woche vorher): vollständiger Diagnosetest, um zu sehen, wo du wirklich stehst — nicht wo du dich fühlst. Tag 6: gezielte Arbeit an der schwächsten Domäne aus diesem Test. Tag 5: Szenario-Strategie wiederholen, keine neuen Inhalte. Tag 4: zweiter Zeittest plus vollständige Analyse jeder falsch beantworteten Frage. Tag 3: Konsolidierung — du gehst nur noch deine Fehlerliste und deine Zusammenfassungen durch, keine neuen Quellen. Tag 2: leichte Wiederholung, bewusst reduziertes Volumen, mentale Vorbereitung. Tag 1 (Vorabend): siehe nächster Abschnitt.

Was in dieser Woche explizit nicht passiert: keine neuen Themen, keine tiefen Framework-Details, kein Versuch, Lücken in einer ganzen Domäne noch zu schließen. Diese Woche ist zum Festigen da, nicht zum Lernen. Wer in dieser Woche merkt, dass er noch bei Grundlagen ist, sollte ernsthaft über eine Verschiebung nachdenken statt über mehr Stunden am Tag.

Der Tag davor und der Prüfungstag selbst

Am Vorabend: keine neue Substanz, kein Notizen-Marathon. Ein letzter, kurzer Blick auf deine Fehlerliste ist erlaubt, ein neues Kapitel aufzuschlagen ist es nicht. Klär die Logistik — Anfahrt, Ausweis, Ankunftszeit — am Vorabend, nicht am Morgen. Prüf das genaue Prüfungsformat noch einmal, insbesondere Anzahl und Art der Fragen, unter /de/cisa/exam-format/, damit dich am Prüfungstag nichts überrascht. Schlaf ist an diesem Abend wichtiger als jede zusätzliche Übungsfrage.

Am Prüfungstag selbst: iss etwas vor der Prüfung, komm mit Zeitpuffer an, und geh die ersten Fragen bewusst ruhig an — die Szenario-Fragen wirken oft komplizierter, als sie sind, wenn du unter Zeitdruck liest. Wenn du unsicher bist, was als “bestanden” zählt und wie sich das Ergebnis zusammensetzt, lies das vorher in Ruhe nach unter /de/cisa/passing-score/ — das ist kein Detail, das du dir am Prüfungstag selbst zusammenreimen willst.

Lernen neben einem Vollzeitjob: wo die Zeit realistisch herkommt

Die ehrliche Rechnung: Ein Vollzeitjob lässt selten mehr als eine Stunde konzentrierte Lernzeit pro Werktag zu, plus mehr am Wochenende. Diese Zeit kommt aus drei realistischen Quellen, nicht aus einer:

Erstens, feste Abendblöcke von 45 bis 60 Minuten, an denen nichts anderes stattfindet — nicht “wenn ich Zeit finde”, sondern ein Termin im Kalender. Zweitens, ein Wochenendtag, der komplett für einen Übungstest oder eine lange Übungssession reserviert ist — das ist der Block, in dem Zeittests unter realistischen Bedingungen stattfinden, unter der Woche schaffst du das selten. Drittens, Leerzeiten wie Pendelzeit für passive Wiederholung — Zusammenfassungen anhören oder deine Fehlerliste am Handy durchgehen, nicht für neuen Stoff, dafür ist der Modus zu unkonzentriert.

Was du in dieser Situation aktiv opferst: Detailtiefe in der kleinsten Domäne (Acquisition/Development, 12%) zugunsten von mehr Zeit in den beiden 26%-Domänen. Das ist keine Bequemlichkeit, sondern die mathematisch richtige Entscheidung, wenn die Gesamtzeit knapp ist.

Wie man Übungsfragen einsetzt, ohne sie auswendig zu lernen

Der größte Fehler in der CISA-Vorbereitung ist, Übungsfragen wie Vokabelkarten zu behandeln — sich die richtige Antwort zur Frage X zu merken. Das funktioniert nicht, weil die echte Prüfung nie exakt dieselben Fragen stellt, sondern dieselbe Urteilslogik in neuer Verpackung. Wer sich Antworten merkt statt Logik, bricht in der echten Prüfung ein, sobald der Wortlaut anders ist.

CISA-Fragen enthalten oft zwei plausible Antworten, von denen eine “technisch richtig, aber nicht die beste Handlung eines Auditors in diesem Moment” ist — genau dieser Unterschied ist die eigentliche Prüfungsfähigkeit. Mische Fragen über Domänen hinweg, statt blockweise eine Domäne nach der anderen durchzuarbeiten — blockweises Üben täuscht Sicherheit vor, weil dein Gehirn den Kontext schon kennt, bevor du die Frage liest.

Wie oft und wann man wiederholt, damit es hängen bleibt

Aktives Abrufen schlägt passives Wiederlesen, und zwar deutlich. Die praktikable Taktik: Ein Thema, das du an Tag 1 gelernt hast, wiederholst du an Tag 3, dann an Tag 7, dann an Tag 14 — mit wachsendem Abstand, nicht in gleichmäßigen Intervallen. Was du wiederholst, ist dabei nicht deine ursprüngliche Zusammenfassung, sondern deine Fehlerliste aus Übungsfragen — die Punkte, an denen du tatsächlich falsch lagst, nicht alles, was du gelesen hast.

Das bedeutet in der Praxis: Du brauchst ab Tag 1 eine laufende Fehlerliste, in die jede falsch beantwortete Übungsfrage mit einer Zeile Begründung einfließt. Diese Liste, nicht deine ursprünglichen Notizen, ist das Dokument, das du in der letzten Woche vor der Prüfung durchgehst. Wer stattdessen komplette Kapitel wiederholt, verschwendet Zeit auf Dinge, die er schon kann.

Woran man merkt, dass der Plan nicht aufgeht, und was man dann ändert

Drei konkrete Warnsignale, keine vagen Gefühle:

Erstens, deine Fehlerquote in einer Domäne bleibt zwischen zwei Zeittests im Abstand von einer Woche praktisch unverändert. Das bedeutet, dass dein aktuelles Lernformat für diese Domäne nicht funktioniert — mehr vom Gleichen bringt nichts, du brauchst eine andere Quelle oder Methode für genau diese Domäne.

Zweitens, du rätst regelmäßig bei der Fragestellung selbst, nicht beim Inhalt — du verstehst nicht, was “BEST” oder “FIRST” in dieser konkreten Situation bedeutet. Das ist kein Wissensproblem, sondern ein Formatproblem, und die Lösung ist gezielte Arbeit an Szenario-Technik, nicht mehr Lesestoff.

Drittens, dein Gesamtfortschritt über zwei Wochen ist flach — du machst nicht spürbar weniger Fehler als am Anfang. In diesem Fall ist die ehrliche Reaktion, den Zeitrahmen zu verlängern oder den Termin zu verschieben, nicht die Stundenzahl pro Tag zu erhöhen. Was “prüfungsreif” konkret heißt, hängt auch an der Bewertungslogik der Prüfung selbst — die liest du am besten unter /de/cisa/passing-score/, statt dir selbst eine Zahl auszudenken, die nicht zur echten Bewertung passt.

Die Konsequenz aus allen drei Signalen ist dieselbe: Reduziere die Zahl der Domänen, an denen du gleichzeitig arbeitest, auf die zwei mit dem höchsten Prioritätswert, statt an fünf Fronten gleichzeitig zu kämpfen.

Wann man den Termin buchen sollte

Buch den Termin erst, nachdem du einen ersten Diagnosetest gemacht hast — nicht vorher aus reinem Optimismus. Der Diagnosetest sagt dir, ob 30, 14 oder 7 Tage realistisch sind, und diese Zahl sollte deine Terminwahl bestimmen, nicht umgekehrt.

Gleichzeitig solltest du nicht zu lange warten: CISA-Prüfungen laufen über Testfenster mit begrenzten Terminen bei den Testcentern, und beliebte Termine und Standorte sind zuerst ausgebucht. Wer seinen Wunschtermin und -ort will, bucht, sobald der Zeitrahmen feststeht, auch wenn die eigentliche Vorbereitung erst in ein oder zwei Wochen beginnt. Was die Prüfung aktuell kostet, hängt von ISACA-Mitgliedschaft und Region ab und ändert sich — verlass dich dafür auf die aktuelle Angabe direkt bei ISACA, statt auf eine Zahl, die in sechs Monaten schon wieder veraltet ist.

FAQ

Ist CISA schwerer als andere IT-Zertifizierungen wie CISM oder Security+? CISA gilt als Professional-Level-Zertifizierung, nicht als Einstiegszertifikat — die Schwierigkeit liegt weniger in der Menge an Stoff als im Fragenformat: Du musst in Szenarien die beste Handlung eines Auditors erkennen, nicht Fakten wiedergeben. Für jemanden ohne jede Audit-Berührung ist das anfangs ungewohnter als reine Wissensfragen.

Kann ich CISA bestehen, ohne je einen formalen IT-Audit durchgeführt zu haben? Ja, aber die Auditing-Process-Domäne wird dann dein größter Zeitfresser, unabhängig von ihrem Gewicht von 18%. Plan entsprechend mehr Zeit dafür ein, statt sie proportional zur Gewichtung zu behandeln.

Muss ich COBIT-Prozesse oder ISO-Standards im Detail auswendig lernen? Nein — die Prüfung testet, ob du ein Konzept in einer Situation richtig anwendest, nicht ob du eine Prozessnummer nennen kannst. Zeit in Detailauswendiglernen ist in jedem der hier beschriebenen Zeitrahmen schlecht investierte Zeit.

Gibt es gute deutschsprachige Vorbereitungsmaterialien für CISA? Offizielles ISACA-Material ist primär englischsprachig, auch das CISA Review Manual. Deutschsprachige Zusammenfassungen und Kursangebote sind als Verständnishilfe brauchbar, sollten aber die englische Originalterminologie nicht ersetzen — die Prüfung selbst und die meisten Übungsfragen bewegen sich in englischen Fachbegriffen, und ein rein deutsches Vokabular führt in echten Prüfungsfragen zu Verwirrung.

Fazit

Der ehrlichste Rat: Mach den Diagnosetest, bevor du irgendetwas anderes planst — er entscheidet, welcher der drei Pläne hier überhaupt zu deiner Lage passt, und jede andere Reihenfolge ist Rätselraten mit deinem Prüfungstermin.