CISM-Prüfung nicht bestanden: So planst du den zweiten Versuch

Kurze Antwort

CISM (Certified Information Security Manager) ist eine Zertifizierung von ISACA für Menschen, die Informationssicherheit auf Management-Ebene verantworten — nicht als technische Umsetzung, sondern als Programm, Risiko, Governance und Incident Response aus Führungssicht. Genau das ist auch der Grund, warum die CISM-Prüfung so viele erfahrene Sicherheitsleute beim ersten Versuch überrascht: Sie testet szenariobasierte Fragen, bei denen die technisch richtige Antwort nicht die von ISACA gesuchte “beste” Antwort ist. Wenn du nicht bestanden hast, ist der nächste Schritt nicht sofort ein neuer Termin, sondern ein ehrlicher Blick auf deinen Score-Report, die vier Prüfungsdomänen und die Frage, ob dein Rückstand klein oder groß war. Details zu Punkten und Bestehensgrenze findest du unter /de/cism/passing-score/, zum Prüfungsformat unter /de/cism/exam-format/, zu den Kosten eines Wiederholungsversuchs unter /de/cism/exam-cost/.

Die ersten Stunden nach dem Nichtbestehen — was jetzt zu tun ist und was nicht

Buche in den ersten 24 Stunden keinen neuen Termin. Das klingt nach schlechtem Rat, weil du wahrscheinlich sofort handeln willst — aber eine Buchung aus Frust oder Panik führt fast immer zu einem zu frühen Termin, der dann wieder scheitert.

Was du stattdessen tust:

• Score-Report sichern. Lade ihn herunter oder mach einen Screenshot, sobald er verfügbar ist. Er verschwindet nicht, aber du willst ihn griffbereit haben, wenn du in Ruhe analysierst.
• Notiere deinen Eindruck, nicht den Inhalt. Du darfst wegen der NDA keine konkreten Fragen oder Inhalte festhalten — aber du darfst notieren, in welcher Domäne dir die Zeit knapp wurde, wo du zwischen zwei Antworten geschwankt hast, wo dir die Szenarien fremd vorkamen.
• Nicht mit Foren-Erfahrungen anderer vergleichen. Jeder Kandidat bekommt eine andere Fragenmischung. Ein Reddit-Thread über “was in CISM drankam” hilft dir nicht und verzerrt eher deine Einschätzung.
• Nicht die Schlussfolgerung “ich bin nicht der Typ für Managementprüfungen” ziehen. Das ist eine Emotion, kein Befund. Der Score-Report liefert den Befund — dazu gleich mehr.

Was du in diesen ersten Stunden nicht brauchst: ein neues Lehrbuch, eine neue Prüfungssoftware, einen fertigen Wiederholungsplan. Das kommt, nachdem du weißt, woran es lag.

Wie häufig Nichtbestehen ist und warum das kein Sonderfall ist

ISACA veröffentlicht keine offizielle Durchfallquote für CISM, und jede Zahl, die im Netz kursiert, ist eine Schätzung Dritter — deshalb nennen wir hier keine. Was du aber wissen solltest: CISM gehört zu den ISACA-Zertifizierungen, bei denen erfahrene Praktiker überproportional oft beim ersten Anlauf scheitern, verglichen mit reinen Wissensprüfungen.

Der Grund ist strukturell, nicht persönlich. CISM prüft nicht “kennst du das Konzept”, sondern “triffst du die Entscheidung, die ein Information Security Manager treffen würde” — und diese Entscheidung ist oft konservativer, prozessorientierter und stärker auf Geschäftsrisiko ausgerichtet, als es technisch denkende Kandidaten intuitiv beantworten. Wer aus einer SOC-, Pentest- oder Architektur-Rolle kommt, beantwortet Szenarien reflexhaft aus technischer Sicht — und das ist bei CISM regelmäßig die falsche Perspektive.

Das heißt: Ein Nichtbestehen bei CISM ist selten ein Zeichen von zu wenig Wissen. Es ist häufiger ein Zeichen von falscher Antwortlogik. Das ist eine gute Nachricht, weil sich Antwortlogik in drei bis sechs Wochen fixer korrigieren lässt als ein Wissensdefizit.

Den Score-Report lesen: was er sagt

Der CISM-Score-Report zeigt dir zwei Ebenen:

1. Einen Gesamtwert auf einer skalierten Punkteskala. Was genau als “bestanden” gilt, steht unter /de/cism/passing-score/ — wichtig: Diese Skala ist keine Prozentangabe, du darfst sie nicht in Prozent umrechnen. Ein Wert auf dieser Skala sagt nichts darüber aus, wie viele Fragen prozentual richtig waren.
2. Eine Aufschlüsselung nach den vier Prüfungsdomänen, üblicherweise als relative Leistungsanzeige pro Domäne:
   • Information Security Program (33%)
   • Incident Management (30%)
   • Information Security Risk Management (20%)
   • Information Security Governance (17%)

Diese Domänen-Aufschlüsselung ist der eigentlich nützliche Teil des Reports. Sie zeigt dir, in welcher der vier Domänen du relativ am schwächsten warst — nicht als Punktzahl, sondern als Positionsangabe (z. B. unterdurchschnittlich, durchschnittlich, überdurchschnittlich innerhalb der Domäne). Wenn zwei oder drei Domänen schwach sind, ist das ein anderes Bild als wenn nur eine einzige Domäne auffällt — dazu mehr in den nächsten beiden Abschnitten.

Was der Score-Report NICHT sagt — und welche Schlüsse deshalb falsch sind

Der Report sagt dir nicht:

• Welche einzelnen Fragen du falsch beantwortet hast. ISACA gibt aus Sicherheitsgründen (Wiederverwendung der Fragen) keine Frage-für-Frage-Auswertung heraus. Die Frage “kann ich sehen, welche Fragen ich falsch hatte” lässt sich also mit Nein beantworten — plane deine Analyse entsprechend anders.
• Ob du knapp oder deutlich in einer Domäne verfehlt hast. Die Positionsangabe pro Domäne ist relativ, nicht absolut. “Unterdurchschnittlich” kann eine verpasste Frage bedeuten oder acht.
• Ob ein Fehler an Wissen oder an der Fragenlogik lag. Der Report unterscheidet nicht zwischen “ich kannte den Prozess nicht” und “ich habe den Prozess gekannt, aber die für ISACA falsche Priorität gewählt”. Genau das ist bei CISM der häufigere Fehlertyp — und der Report zeigt ihn dir nicht direkt an.
• Ob unbewertete Pretest-Fragen deine schwache Domäne mit beeinflusst haben. Ein Teil jeder Prüfung besteht aus nicht gewerteten Testfragen, die du nicht von den gewerteten unterscheiden kannst. Ein einzelner schwacher Ausschlag in einer Domäne kann teilweise darauf zurückgehen.

Die falsche Schlussfolgerung, die viele ziehen: “Domäne X war schwach, also lerne ich nur Domäne X neu.” Das ignoriert, dass die relative Positionsangabe nichts über die tatsächliche Fehlerzahl aussagt und dass CISM-Domänen sich in der Praxis stark überschneiden — eine Frage zu Incident Management verlangt oft auch Governance-Denken.

Knapp gescheitert — warum das eine andere Lage ist als deutlich gescheitert

Wenn dein Gesamtwert nah an der Bestehensgrenze lag (die Grenze selbst steht unter /de/cism/passing-score/) und deine Domänen-Aufschlüsselung überwiegend im mittleren Bereich liegt, mit vielleicht einer einzigen schwachen Domäne, dann ist deine Lage grundlegend anders als bei einem deutlichen Fehlschlag.

Ein knappes Scheitern bedeutet meistens eine von drei Ursachen:

• Eine einzige Domäne war deutlich zu schwach, während die anderen drei solide waren — ein gezielter Nacharbeitsschwerpunkt reicht.
• Zeitmanagement hat dich am Ende der Prüfung Punkte gekostet — du kanntest den Stoff, hast aber unter Zeitdruck geraten statt überlegt geantwortet.
• Ein oder zwei Fragetypen (lange Szenarien mit mehreren “richtigen” Teilaspekten) haben dich systematisch gekostet, ohne dass ein Wissensproblem vorliegt.

Wichtig gegen den Trugschluss: Ein knappes Scheitern ist kein Garant dafür, dass der zweite Versuch automatisch klappt. Manche Kandidaten mit “Near”-Werten in fast allen Domänen und keiner einzigen überdurchschnittlichen Domäne fallen beim zweiten Versuch erneut durch — weil sie den Fehler falsch diagnostiziert haben und einfach “mehr vom Gleichen” gemacht haben. Ein knappes Ergebnis rechtfertigt einen fokussierten Plan, keinen minimalen.

Deutlich unter der Grenze: wann ein Neuanfang ehrlicher ist als Nachbessern

Wenn deine Domänen-Aufschlüsselung in drei oder vier von vier Domänen unterdurchschnittlich zeigt, ist “ich arbeite noch mal meine Notizen durch” die falsche Antwort. Das ist kein Randproblem, das ist ein Grundproblem: Entweder war die Zeit, die du investiert hast, zu kurz für den Stoffumfang, oder deine Lernmethode hat dich nicht auf die Art von Denken vorbereitet, die CISM verlangt.

Ein ehrlicher Neuanfang bedeutet konkret:

• Du wirfst die Annahme weg, dass du “fast fertig” bist und nur noch Lücken stopfen musst.
• Du baust einen neuen Studienplan von Grund auf, orientiert an den vier Domänengewichtungen — nicht an dem, was du beim ersten Mal schon gelesen hast.
• Du wechselst wahrscheinlich die primäre Lernmethode.
• Du planst realistisch mehr Zeit ein als beim ersten Versuch, nicht weniger, auch wenn das unangenehm ist.

Der Unterschied zwischen “nachbessern” und “neu anfangen” ist keine Frage der Motivation, sondern der Datenlage: Vier schwache Domänen sind ein anderes Problem als eine schwache Domäne, und sie verlangen eine andere Lösung.

Die Wiederholungsregeln des Anbieters — Wartefrist, Anzahl der Versuche

ISACA legt für CISM eine Wartefrist zwischen zwei Prüfungsversuchen fest sowie eine Begrenzung, wie oft du die Prüfung innerhalb eines bestimmten Zeitraums antreten darfst. Diese Regeln ändern sich gelegentlich und stehen aktuell auf der offiziellen ISACA-Seite zu deinem Prüfungskonto — verlass dich beim Buchen deines nächsten Termins auf diese Quelle direkt, nicht auf ältere Blogposts oder Foreneinträge, die eine veraltete Frist zitieren.

Was praktisch wichtig ist, unabhängig vom genauen Zeitraum:

• Die Wartefrist ist eine Mindestfrist, keine Empfehlung. Du kannst sie nicht durch eine andere Buchungsmethode oder ein anderes Testcenter umgehen.
• ISACA verknüpft deine Versuche über dein Kandidatenkonto — ein neuer Account oder eine neue E-Mail-Adresse ändert daran nichts.
• Mehrere Fehlversuche in kurzer Folge können zusätzliche Wartezeiten nach sich ziehen, je nachdem, wie viele Versuche du innerhalb des laufenden Zeitraums schon hattest.

Bau deinen eigenen Zeitplan so, dass die Mindestfrist von ISACA die untere Grenze ist, nicht das Ziel. Die Frist existiert, damit du überhaupt neu buchen darfst — sie ist keine Aussage darüber, dass du nach dieser Zeit bereit bist.

Wann man den zweiten Termin setzt: sofort oder mit Abstand

Die Antwort hängt direkt an dem, was Abschnitt 5 und 6 dir schon gezeigt haben.

• Knapp gescheitert, eine schwache Domäne: Ein kürzerer Abstand ist vertretbar, weil du gezielt nacharbeitest statt neu zu lernen. Setz den Termin trotzdem erst, nachdem du mindestens einen vollständigen Übungsdurchlauf mit durchgehend soliden Ergebnissen in allen vier Domänen hattest — nicht nach dem Gefühl “ich hab jetzt genug gemacht”.
• Deutlich gescheitert, mehrere schwache Domänen: Setz noch keinen Termin. Buch ihn erst, wenn dein Studienplan abgeschlossen ist und deine Übungsergebnisse das belegen. Ein vorzeitig gesetzter Termin unter Zeitdruck ist einer der häufigsten Gründe für ein zweites Scheitern.

Ein praktischer Trick: Buch den Termin erst, wenn du an zwei aufeinanderfolgenden vollständigen Übungsprüfungen (nicht einzelnen Fragensets) konstant über der Bestehensgrenze liegst — dazu mehr in Abschnitt 11.

Was der zweite Versuch kostet und was dabei zu bedenken ist

Konkrete Beträge findest du unter /de/cism/exam-cost/ — hier nur, worauf du achten solltest, bevor du buchst:

• Ein Wiederholungsversuch kostet in der Regel den vollen regulären Prüfungspreis noch einmal. Es gibt keinen automatischen Rabatt für Wiederholer.
• Wenn dein Arbeitgeber die erste Prüfung finanziert hat, ist die Übernahme der zweiten Gebühr keine Selbstverständlichkeit — kläre das aktiv, statt es anzunehmen (mehr dazu in Abschnitt 16).
• Rechne die Kosten für zusätzliche Lernmaterialien oder Übungsfragenpakete mit ein, falls dein Neustart eine neue Materialbasis erfordert. Diese Zusatzkosten werden bei der Planung oft vergessen, weil man nur an die Prüfungsgebühr selbst denkt.
• Ein zu früh gebuchter, dann erneut nicht bestandener Versuch verdoppelt die Kosten ohne Fortschritt. Die Kostenfrage ist damit auch ein Argument für einen realistisch geplanten statt überstürzten Termin.

Online oder Testcenter beim zweiten Versuch — was für wen spricht

CISM kannst du in der Regel sowohl in einem physischen Testcenter als auch über Online-Proctoring ablegen. Details zum Format stehen unter /de/cism/exam-format/. Für den zweiten Versuch ist die Wahl aber eine strategische Frage, keine reine Bequemlichkeitsfrage:

• Testcenter spricht dafür, wenn dein erster Fehlversuch stark von Nervosität oder Ablenkung geprägt war. Ein Testcenter nimmt dir die Variable “funktioniert meine Technik, wird meine Umgebung akzeptiert” komplett ab und reduziert Unsicherheitsfaktoren am Prüfungstag.
• Online spricht dafür, wenn du im ersten Versuch keine technischen oder umgebungsbedingten Probleme hattest und die Flexibilität (kein Anfahrtsweg, freiere Terminwahl) dir mehr nützt als sie kostet. Wichtig: Online-Proctoring hat eigene Anforderungen an Raum, Ausleuchtung und ruhige Umgebung — wenn du diese beim ersten Mal nicht sauber vorbereitet hattest, ist das ein Grund, beim zweiten Versuch ins Testcenter zu wechseln, nicht online zu bleiben.

Wechsle das Format nur, wenn du einen konkreten Grund dafür hast, der aus deiner Erfahrung beim ersten Versuch stammt — nicht aus reiner Hoffnung, dass ein anderes Format automatisch bessere Ergebnisse bringt.

Ab welchem Ergebnis in Übungsprüfungen man bereit ist

Es gibt keine allgemeingültige Prozentzahl, die dir “bereit” garantiert — und wir nennen hier bewusst keine erfundene Zielmarke. Was stattdessen zählt:

• Konstanz über mehrere vollständige Durchläufe, nicht ein einzelnes gutes Ergebnis. Ein starker Übungslauf nach drei schwachen sagt wenig; drei starke Läufe hintereinander sagen viel.
• Gleichmäßigkeit über alle vier Domänen, nicht ein hoher Gesamtdurchschnitt, der durch eine einzelne sehr starke Domäne getragen wird. Ein Gesamtwert, der eine tiefe Schwäche in Incident Management (30% Gewichtung) mit einer Stärke in Governance (17%) ausgleicht, ist trügerisch — die tatsächliche CISM-Prüfung wird diese Schwäche entsprechend der Domänengewichtung genauso hart bestrafen.
• Ergebnisse unter echten Zeitbedingungen, nicht in einem entspannten Übungsmodus ohne Timer.

Wenn du diese drei Kriterien erfüllst — konstant, gleichmäßig über die Domänen, unter Zeitdruck erzielt — bist du in einer Position, in der ein Termin Sinn ergibt. Fehlt eines davon, ist es noch zu früh.

Welche Fragen man wiedererkennt und warum man sich darauf nicht verlassen darf

Manche Kandidaten berichten, beim zweiten Versuch Szenarien wiederzuerkennen, die dem ersten Versuch ähneln. Das kommt vor, weil ISACA aus einem großen, aber nicht unendlichen Fragenpool schöpft — es ist aber kein verlässlicher Vorteil, aus zwei Gründen:

• Die Antwortoptionen ändern sich oft, auch wenn das Szenario ähnlich bleibt. Eine Frage, die du als “kenn ich schon” abhakst, kann eine andere Priorisierung der Antworten verlangen als beim ersten Mal.
• CISM testet szenariobasierte Fragen genau deshalb, weil sie Kontextverständnis prüfen, nicht Wiedererkennung. Der ganze Sinn eines Szenarios ist, dass die “beste Antwort” von den im Text genannten Details abhängt — Firmengröße, Risikoappetit, ob es um eine bereits laufende Untersuchung oder eine Präventionsmaßnahme geht. Ein wiedererkanntes Szenario mit geänderten Details kann eine komplett andere richtige Antwort verlangen.

Zusätzlich bindet dich die NDA, mit der du die Prüfung antrittst, ohnehin daran, keine Inhalte zu notieren oder weiterzugeben. Bau deine Vorbereitung deshalb nicht auf “ich erinnere mich an Fragen” auf, sondern auf das zugrunde liegende Entscheidungsmuster: Was würde ein Information Security Manager in dieser Art von Situation tun, unabhängig von den genauen Zahlen im Text.

Die Prüfungssprache beim zweiten Versuch

CISM wird in mehreren Sprachen angeboten. Wenn du den ersten Versuch nicht in deiner stärksten Sprache abgelegt hast, ist das ein legitimer Punkt, den du für den zweiten Versuch überdenken solltest — gerade weil CISM stark auf langen, sprachlich präzisen Szenariotexten aufbaut, bei denen ein einzelnes Wort (“primär”, “zuerst”, “am ehesten”) die richtige Antwort verschiebt.

Zwei Dinge, die dabei zu bedenken sind:

• Wenn du in deiner Muttersprache antrittst, prüf vorher anhand von /de/cism/exam-format/, ob deine gewählte Sprache für deinen Prüfungstermin und dein Testcenter bzw. Online-Proctoring verfügbar ist — nicht jede Sprachoption ist an jedem Standort und in jedem Zeitfenster buchbar.
• Ein Sprachwechsel behebt kein Wissensproblem. Wenn deine Domänen-Aufschlüsselung eine breite Schwäche zeigt, ist die Prüfungssprache nicht dein Hauptproblem — sie ist höchstens ein zusätzlicher Faktor, den du bei einem ansonsten soliden Vorbereitungsstand mitnimmst.

Typische Fehler beim zweiten Anlauf

Diese Fehler tauchen bei gescheiterten Wiederholern überproportional oft auf:

• Nur die schwache Domäne wiederholen, die anderen drei für “sicher genug” halten. Domänen überschneiden sich inhaltlich, und ein Nachlassen in einer vorher starken Domäne reicht, um erneut zu scheitern.
• Dieselben Materialien noch einmal in derselben Reihenfolge durcharbeiten, in der Hoffnung, dass mehr Wiederholung reicht. Wenn die Methode beim ersten Mal nicht zum Bestehen geführt hat, ist “mehr davon” selten die Lösung — ein anderer Ansatz (mehr Szenariopraxis, weniger reines Lesen) ist es eher.
• Den Termin aus Ungeduld zu früh setzen, bevor die Übungsergebnisse aus Abschnitt 11 konstant erreicht sind.
• Sich auf wiedererkannte Fragen verlassen statt auf die Entscheidungslogik dahinter (siehe Abschnitt 12).
• Die Prüfung technisch statt aus Managementsicht beantworten — der Kernfehler, der viele erfahrene Sicherheitsleute beim ersten Versuch schon gekostet hat, und der beim zweiten Versuch unbewusst genauso wieder passiert, wenn man ihn nicht aktiv trainiert hat.
• Zeitmanagement im Übungsmodus ignorieren, weil man beim Üben ohne Timer arbeitet, dann aber am echten Prüfungstag von der Zeit überrascht wird.

Zeiteinteilung und Nerven im zweiten Versuch

CISM-Szenarien sind oft lang — mehrere Sätze Kontext, bevor die eigentliche Frage kommt. Das kostet Zeit, wenn du jede Frage vollständig durcharbeitest, bevor du weitergehst.

Praktische Herangehensweise:

• Lies zuerst die eigentliche Frage am Ende des Szenarios, dann das Szenario selbst — so weißt du, worauf du beim Lesen achten musst, statt den ganzen Text zweimal zu verarbeiten.
• Markiere Fragen, bei denen du zwischen zwei Antworten schwankst, und geh weiter, statt in der Prüfung Zeit mit Grübeln zu verlieren. Am Ende hast du Zeit, markierte Fragen erneut zu betrachten — mit frischerem Kopf.
• Übe unter echten Zeitbedingungen, nicht nur inhaltlich. Nervosität im echten Versuch kommt oft daher, dass man im Training nie das Gefühl von Zeitdruck simuliert hat.
• Wenn dein erster Fehlversuch stark von Nervosität geprägt war, ist eine bewusste Vorbereitung darauf sinnvoller als reines Zusatzlernen: ausreichend Schlaf vor dem Termin, eine bekannte Umgebung (siehe Abschnitt 10), und ein Ablauf am Prüfungstag, den du schon einmal durchgespielt hast.

Wie man mit dem Arbeitgeber darüber spricht

Ein nicht bestandener CISM-Versuch ist bei einer anspruchsvollen, szenariobasierten Prüfung kein Ausnahmefall — kommuniziere es entsprechend sachlich, nicht entschuldigend.

• Sag klar, was der Befund war (z. B. “eine Domäne war schwach, ich arbeite gezielt daran”) statt vage zu bleiben oder überzuerklären.
• Kläre aktiv, ob und wie die Kosten für den zweiten Versuch übernommen werden — nimm das nicht automatisch an, nur weil der erste Versuch finanziert wurde. Details zu den Kosten findest du unter /de/cism/exam-cost/, falls du das intern beziffern musst.
• Kommuniziere einen realistischen neuen Zieltermin, basierend auf deinem tatsächlichen Studienplan — nicht auf dem frühestmöglichen Termin laut Wartefrist. Ein realistischer, eingehaltener Termin baut mehr Vertrauen auf als ein zu optimistischer, der wieder verschoben werden muss.

Wann der Wechsel auf eine andere Zertifizierung ehrlicher ist als ein dritter Versuch

Wenn du CISM zweimal nicht bestanden hast und deine Domänen-Aufschlüsselung sich zwischen den Versuchen kaum verbessert hat, obwohl du deinen Studienansatz verändert hast, ist das ein anderes Signal als “ich brauche noch einen Versuch”. Es kann bedeuten, dass die Denkweise, die CISM verlangt — Sicherheitsentscheidungen konsequent aus Geschäfts- und Managementperspektive statt aus technischer Perspektive zu treffen — für deine aktuelle Rolle und Erfahrung noch nicht die richtige ist.

Das ist kein Urteil über deine Fähigkeiten, sondern eine Frage der Passung:

• Wenn dein Interesse und deine Erfahrung stark technisch-risikoanalytisch sind, könnte CRISC näher an deiner tatsächlichen Denkweise liegen.
• Wenn du eine breitere, praxisnähere Sicherheitszertifizierung ohne den starken Managementfokus suchst, ist CISSP für viele der natürlichere nächste Schritt — insbesondere wenn du CISSP bereits hast, ist die Frage, ob CISM zusätzlich nötig ist, ohnehin eine Karrierefrage, keine reine Prüfungsfrage.
• Wenn deine Scores zwischen Versuch eins und zwei sich klar verbessert haben, auch wenn du noch nicht bestanden hast, spricht das eher für “weitermachen” als für “wechseln” — die Richtung stimmt, nur das Tempo noch nicht.

Ein dritter Versuch mit exakt demselben Ansatz wie beim zweiten ist selten die richtige Wahl. Entweder änderst du den Ansatz grundlegend, oder du änderst das Ziel.

Was sich im Lernen ändern muss, damit der zweite Versuch anders ausgeht

Die konkreteste Veränderung: weg von reinem Lesen, hin zu szenariobasiertem Üben, und zwar von Anfang an, nicht erst in der letzten Woche.

Ein Beispiel für einen fokussierten Neustart:

• Tag 1-2: Score-Report und Domänen-Schwächen sauber auswerten, Studienplan entlang der vier Domänengewichtungen (33/30/20/17) aufbauen statt entlang eines Lehrbuch-Inhaltsverzeichnisses.
• Tag 3-5: Schwächste Domäne gezielt mit Szenariofragen bearbeiten, nicht mit erneutem Lesen der Theorie. Nach jeder falsch beantworteten Übungsfrage die Frage stellen: “Was hätte ein Manager hier priorisiert, was ich nicht priorisiert habe?”
• Tag 6-7: Erste vollständige Übungsprüfung unter Zeitbedingungen, Ergebnis dokumentieren, Domänen-Verteilung vergleichen mit dem echten Score-Report.

Diese Struktur wiederholst du über mehrere Wochen mit wachsendem Fokus auf Konstanz statt auf neuen Stoff. Der Kernwechsel im Denken: Du lernst nicht mehr “was ist richtig”, sondern “was würde ISACA als beste Antwort für einen Information Security Manager werten” — das ist bei CISM durchgehend die Frage, die zählt, nicht nur in der Prüfung, sondern schon in der Art, wie du übst.

FAQ

Wie lange sollte ich vor der Wiederholung von CISM warten? Es gibt eine von ISACA festgelegte Mindestwartefrist, die sich ändern kann — prüf sie direkt in deinem ISACA-Kandidatenkonto vor der Buchung. Unabhängig davon solltest du erst buchen, wenn deine Übungsergebnisse konstant und gleichmäßig über alle vier Domänen stimmen (siehe Abschnitt 11), nicht sobald die Mindestfrist technisch erreicht ist.

Muss ich meinen ganzen Lernansatz nach einem Fehlschlag ändern? Nur, wenn deine Domänen-Aufschlüsselung breit schwach war (drei oder vier Domänen). Bei einer einzelnen schwachen Domäne reicht ein gezielter Nachbesserungsplan — ein kompletter Neustart wäre hier Zeitverschwendung.

Kann ich sehen, welche einzelnen Fragen ich falsch hatte? Nein. ISACA gibt keine fragenspezifische Auswertung heraus, nur die Domänen-Positionsangabe im Score-Report. Plane deine Analyse entsprechend um diese Einschränkung herum.

Was kostet die Wiederholung der CISM-Prüfung? Konkrete Beträge findest du unter /de/cism/exam-cost/ — es gibt in der Regel keinen automatischen Rabatt für Wiederholer, plane die volle Gebühr erneut ein.

Lohnt sich CISM überhaupt noch, wenn ich schon CISSP habe? Das hängt von deiner Zielrolle ab. Wenn du in Richtung Sicherheitsmanagement, Governance und Programmverantwortung willst, ergänzt CISM CISSP sinnvoll. Wenn dein Weg technisch-operativ bleibt, ist der zusätzliche Aufwand für CISM eine Abwägung, keine Selbstverständlichkeit.

Fazit

Ein nicht bestandener CISM-Versuch ist bei dieser Prüfung häufig ein Zeichen für falsche Antwortlogik, nicht für fehlendes Wissen — und genau deshalb lohnt es sich, vor dem nächsten Termin die Domänen-Aufschlüsselung ehrlich zu lesen, statt einfach mehr vom Gleichen zu wiederholen. Nimm dir die Zeit, die dein Score-Report tatsächlich verlangt, buch den zweiten Termin erst, wenn deine Übungsergebnisse das rechtfertigen, und wechsle den Ansatz, wenn die Daten das nahelegen — nicht aus Bauchgefühl.