CISM Vorbereitungskurs: Ein Lernplan, der neben dem Job trägt

Kurze Antwort

Es gibt keinen einzelnen “offiziellen” CISM Vorbereitungskurs, den alle nehmen müssen — ISACA bietet Schulungen an, aber die Prüfung selbst testet Wissen, nicht Kursbesuch. Was funktioniert, ist ein strukturierter Selbstlernplan, der sich an den vier offiziellen Domänen orientiert: Information Security Program (33%), Incident Management (30%), Information Security Risk Management (20%) und Information Security Governance (17%). Wie lang dein Plan sein sollte, hängt davon ab, wie viel Managementerfahrung in Informationssicherheit du schon mitbringst — nicht davon, wie viele Wochen bis zum Wunschtermin übrig sind. Weiter unten findest du Pläne für 30, 14 und 7 Tage sowie die Woche direkt vor der Prüfung.

Welcher Zeitrahmen zu welcher Ausgangslage passt

CISM ist anders als reine Wissensprüfungen: Ein großer Teil der Fragen verlangt, dass du wie ein Security-Manager denkst, nicht wie ein Techniker. Das verschiebt die Frage “wie viele Tage brauche ich” hin zu “wie vertraut ist mir die Management-Perspektive bereits”.

• 30 Tage passt, wenn du zwar in Informationssicherheit arbeitest, aber bisher operativ statt strategisch — du kennst Incident Management aus der Praxis, hast aber wenig mit Governance-Gremien oder Risikoausschüssen zu tun gehabt.
• 14 Tage passt, wenn du schon eine Weile in einer Rolle mit Führungsverantwortung oder Programmverantwortung sitzt und die vier Domänen im Prinzip kennst, aber Prüfungstechnik und Begriffsschärfe fehlen.
• 7 Tage passt nur, wenn du aktiv als Information Security Manager arbeitest oder kürzlich CISSP bestanden hast und die Lücke wirklich nur noch die CISM-spezifische Managementsicht ist — Governance-Rahmenwerke, Reporting an den Vorstand, Risikoappetit formulieren.

Wer CISSP schon hat, unterschätzt oft, wie sehr sich CISM von einer technischen Kontrollperspektive unterscheidet: CISSP fragt “welche Kontrolle ist technisch richtig”, CISM fragt “was würde ein Manager angesichts von Budget, Risiko und Geschäftszielen entscheiden”. Diese Verschiebung kostet Zeit, egal wie viel du schon weißt.

Wie du die Domänen nach Gewicht und eigener Schwäche sortiert

Die Gewichtung ist keine Empfehlung, sondern die tatsächliche Verteilung der Prüfungsfragen: Information Security Program mit 33%, Incident Management mit 30%, Information Security Risk Management mit 20%, Information Security Governance mit 17%. Zusammen mit deiner eigenen Schwäche ergibt das eine Prioritätsliste, keine Gleichverteilung der Lernzeit.

Der praktische Weg: Mach zuerst einen Diagnosetest über alle vier Domänen. Trag dann für jede Domäne zwei Zahlen ein — das Gewicht aus der Liste oben und deine Trefferquote im Diagnosetest. Eine Domäne mit hohem Gewicht und niedriger Trefferquote (typischerweise Information Security Program, weil sie am umfangreichsten ist) bekommt die meiste Zeit. Eine Domäne mit niedrigem Gewicht, in der du aber schon stark bist (oft Information Security Governance, wenn du bereits mit Richtlinien arbeitest), bekommt nur eine Auffrischung kurz vor der Prüfung. Was viele falsch machen: Sie lernen die Domänen in der Reihenfolge des Lehrbuchs statt in der Reihenfolge, die ihr Diagnoseergebnis vorgibt.

Ein Plan für 30 Tage, nach Wochen gegliedert

Woche 1 — Fundament: Alle vier Domänen einmal komplett durcharbeiten, mit Fokus auf Begriffe und Zusammenhänge, nicht auf Detailtiefe. Ziel ist, am Ende der Woche zu wissen, wo die dicken Bretter liegen.

Woche 2 — Vertiefung der schwersten Themen: Hier gehst du in die laut Diagnosetest schwächsten Bereiche, meist Teile von Information Security Program (Programmentwicklung, Metriken, Ressourcenmanagement) und Information Security Risk Management (Risikobewertung, Risikobehandlung, Kommunikation an Stakeholder). Ein Praxisfehler: zu viel Zeit in Frameworks wie COBIT oder ISO 27001 im Detail zu versenken — CISM prüft, wie du ein Rahmenwerk einsetzt, nicht seine Kapitelnummern.

Woche 3 — Übung mit Szenarien: Ab hier dominieren Übungsprüfungen unter Zeitdruck, mit Fokus auf szenariobasierte Fragen. Nach jedem Test: Fehleranalyse nach Domäne, nicht nur Gesamtscore.

Woche 4 — Verfeinerung: Die tatsächlich verbliebenen Schwächen schließen, zwei volle Übungsprüfungen unter realistischen Bedingungen, und die letzten Tage für Wiederholung statt neuen Stoff reservieren.

Der häufigste Zeitfresser in 30-Tage-Plänen: zu lange bei Incident Management verweilen, weil es intuitiv am greifbarsten wirkt, während Information Security Program — mit dem höchsten Gewicht — zu kurz kommt.

Ein verdichteter Plan für 14 Tage

Woche 1: Tag 1-2 Diagnosetest und Domänenüberblick, Tag 3-5 die zwei laut Diagnose schwächsten Domänen mit Fokus auf Anwendung statt Auswendiglernen, Tag 6-7 erste vollständige Übungsprüfung plus Fehleranalyse.

Woche 2: Tag 8-10 gezielte Arbeit an den in Woche 1 identifizierten Lücken, mit Schwerpunkt auf Information Security Program und Incident Management, da beide zusammen 63% der Fragen ausmachen. Tag 11-12 zweite Übungsprüfung, diesmal unter echten Zeitbedingungen. Tag 13-14 Wiederholung der Schwachstellen aus beiden Übungsprüfungen, kein neuer Stoff mehr.

14 Tage funktionieren nicht, wenn du noch nie in einer Rolle mit Programmverantwortung gearbeitet hast — dann fehlt dir die intuitive Basis für genau die Domäne mit dem höchsten Gewicht, und die verdichtete Zeit reicht nicht, um sie aufzubauen.

Der Notfallplan für 7 Tage — und was du bewusst weglässt

Sieben Tage sind nur ein Plan für jemanden, der beruflich bereits mitten in Information Security Program und Incident Management steht. Der Plan:

• Tag 1: Diagnosetest, radikal ehrlich auswerten.
• Tag 2: Information Security Program — nur die Teile, die im Diagnosetest schwach waren.
• Tag 3: Übungsfragen im Szenarioformat, Technik statt Menge.
• Tag 4: Incident Management vertiefen, zweite Übungsprüfung.
• Tag 5: Fehleranalyse, gezielte Lücken schließen.
• Tag 6: Volle Übungsprüfung unter Zeitdruck.
• Tag 7: Nur leichte Wiederholung, kein neuer Stoff.

Was du bei sieben Tagen bewusst weglässt: Detailarbeit an Information Security Governance und Information Security Risk Management, wenn dein Diagnosetest dort schon über der Zielmarke lag — das Gewicht dieser beiden Domänen zusammen ist niedriger als das von Information Security Program allein. Weglassen heißt auch: keine Frameworks von Grund auf lernen, keine Fallstudien außerhalb der Übungsfragen, kein Versuch, Lücken in der eigenen Managementerfahrung in sieben Tagen zu kompensieren — das geht schlicht nicht.

Die letzte Woche vor der Prüfung

Unabhängig davon, ob du 30, 14 oder 7 Tage insgesamt hattest — die letzte Woche vor dem Termin folgt einem eigenen Muster, weil ihr Zweck ein anderer ist: nicht mehr lernen, sondern kalibrieren.

Tag 7 (eine Woche vorher): Eine volle Übungsprüfung als finaler Diagnosetest — nicht um zu lernen, sondern um zu sehen, wo du wirklich stehst. Tag 6: Die schwächste Domäne aus diesem Test gezielt nacharbeiten. Tag 5: Szenariotechnik wiederholen — wie du “beste Antwort aus Managementsicht” von “technisch korrekteste Antwort” unterscheidest. Tag 4: Zweite Übungsprüfung, danach ausschließlich Fehleranalyse. Tag 3: Konsolidierung — Zusammenhänge zwischen den Domänen durchgehen, etwa wie Risikobewertung aus Information Security Risk Management in die Programmpriorisierung von Information Security Program einfließt. Tag 2: Leichte Wiederholung, kurze Sessions, kein Stress. Tag 1 (Vorabend): Siehe nächster Abschnitt.

Wer in dieser Woche konstant um die Bestehensgrenze herum testet (weder klar drüber noch klar drunter), sollte nicht mehr Stoff pauken, sondern gezielt die zwei, drei am häufigsten falsch beantworteten Konzepttypen isolieren — meist Fragen, die mehrere plausible Antworten bieten und nach der “besten aus Sicht des Risikoappetits der Organisation” fragen.

Der Tag davor und der Prüfungstag selbst

Am Vorabend: kein neuer Stoff, keine letzte Übungsprüfung. Was am Vorabend hilft: die Logistik klären (Anfahrt, Testcenter-Regeln oder Online-Proctoring-Setup, Ausweisdokumente), und einmal kurz über die eigene Antwortstrategie nachdenken statt über Inhalte.

Am Prüfungstag selbst zählt vor allem, wie du mit der Zeit umgehst — Details zum Ablauf und zur Zeitstruktur findest du auf unserer Seite zum Prüfungsformat. Die zentrale Denktechnik bei CISM-Fragen: Wenn zwei Antworten technisch beide vertretbar wirken, gewinnt die, die aus Sicht von Geschäftsrisiko, Ressourcen und Unternehmenszielen sinnvoller ist — nicht die technisch elegantere. Das ist der Denkfehler, der erfahrene Techniker am häufigsten Punkte kostet: Sie wählen die Antwort, die sie selbst umsetzen würden, nicht die, die ein Manager mit begrenztem Budget und mehreren konkurrierenden Prioritäten wählen würde.

Lernen neben einem Vollzeitjob: wo die Zeit realistisch herkommt

Die ehrliche Rechnung: Ein 30-Tage-Plan mit vier Domänen braucht mehr Zeit, als “wenn ich mal Lust habe” hergibt. Realistische Quellen für Lernzeit neben einem Vollzeitjob:

• Frühe Morgenstunden vor der Arbeit — 30-45 Minuten, bevor der Kopf mit Meetings und E-Mails gefüllt ist, eignen sich besonders für Konzeptarbeit, nicht für Übungsprüfungen.
• Pendelzeit, wenn sie nicht selbst fährst — für Wiederholung von Begriffen und Audio-Zusammenfassungen, nicht für neue Inhalte.
• Mittagspause, 20-30 Minuten für eine kleine Menge Übungsfragen mit sofortiger Auswertung.
• Ein fester Wochenendblock von 2-3 Stunden für volle Übungsprüfungen — die brauchen zusammenhängende Zeit, lassen sich nicht in Fünf-Minuten-Häppchen erledigen.

Was nicht funktioniert: der Versuch, jeden Abend nach einem vollen Arbeitstag zwei Stunden konzentriert zu lernen. Realistisch sind kurze, tägliche Blöcke plus ein längerer Wochenendblock — und die Bereitschaft, an schlechten Tagen die geplante Zeit zu halbieren statt ganz auszusetzen.

Wie du Übungsfragen einsetzt, ohne sie auswendig zu lernen

CISM-Prüfungsfragen sind so konstruiert, dass Auswendiglernen kaum trägt: Die Formulierungen und Szenarien variieren, aber die zugrunde liegende Managemententscheidung bleibt gleich. Wer sich Antwortmuster einprägt statt der Logik dahinter, scheitert an leicht abgewandelten Fragen im echten Test.

Der bessere Einsatz von Übungsfragen: Nach jeder falsch beantworteten Frage nicht nur die richtige Antwort nachlesen, sondern explizit aufschreiben, warum die drei falschen Optionen aus Managementsicht schlechter sind — nicht technisch falsch, sondern schlechter im Kontext von Risiko, Kosten oder Unternehmenszielen. Das trainiert genau die Urteilsfähigkeit, die die Prüfung testet. Finger weg von sogenannten Brain Dumps oder Fragenkatalogen unbekannter Herkunft — abgesehen vom Regelverstoß gegen ISACAs Ethikkodex trainieren sie das falsche Skill: Wiedererkennung statt Urteilsvermögen. Nutze stattdessen offizielle oder klar deklarierte Übungsfragenpools und werte sie konsequent nach Domäne aus, nicht nur nach Gesamtscore.

Wie oft und wann du wiederholst, damit es hängen bleibt

Einmaliges Durcharbeiten einer Domäne reicht nicht — nach ein bis zwei Wochen ist der Großteil wieder weg, wenn keine Wiederholung stattfindet. Ein Rhythmus, der sich in der Praxis bewährt:

• Erste Wiederholung: ein bis zwei Tage nach dem ersten Durcharbeiten einer Domäne, kurz und aktiv (Begriffe aus dem Gedächtnis abrufen, nicht nochmal lesen).
• Zweite Wiederholung: etwa eine Woche später, kombiniert mit ein paar Übungsfragen zu genau diesem Thema.
• Dritte Wiederholung: kurz vor der Prüfung, als Teil der letzten Woche, siehe oben.

Wichtiger als die Anzahl der Wiederholungen ist die Form: aktives Abrufen (dir selbst die Frage stellen, bevor du nachschaust) schlägt passives Wiederlesen deutlich. Für Domänen mit hohem Gewicht — Information Security Program und Incident Management — lohnt sich eine zusätzliche Wiederholungsrunde, weil dort ein vergessenes Detail statistisch mehr Fragen betrifft als in einer Domäne mit 17% oder 20% Gewicht.

Woran du merkst, dass der Plan nicht aufgeht, und was du dann änderst

Klare Warnsignale: Du testest in einer bestimmten Domäne über mehrere Übungsprüfungen hinweg konstant schwach, obwohl du dort schon Zeit investiert hast — das ist kein Zufall, sondern ein Zeichen, dass die Lernmethode für diese Domäne nicht passt, nicht dass du mehr vom Gleichen brauchst. Ein zweites Signal: Du schaffst Übungsprüfungen nicht in der vorgesehenen Zeit, obwohl du den Stoff kennst — das ist ein Tempoproblem, kein Wissensproblem, und braucht eine andere Lösung (mehr Übung unter Zeitdruck, nicht mehr Lesen).

Was du dann konkret änderst: Bei einer konstant schwachen Domäne wechselst du die Lernform — statt weiterzulesen, arbeitest du ausschließlich mit szenariobasierten Übungsfragen und Fehleranalyse für genau diese Domäne, drei bis vier Tage am Stück. Bei einem Tempoproblem verkürzt du bewusst die Zeit pro Übungsprüfung um 10-15%, um dich an höheren Druck zu gewöhnen. Und wenn du in der letzten Woche vor dem geplanten Termin merkst, dass beides gleichzeitig auftritt — schwache Domäne und Zeitdruck — ist das der ehrlichste Punkt, den Termin zu verschieben, statt mit halber Vorbereitung anzutreten.

Wann du den Termin buchen solltest

Buch den Termin nicht am ersten Tag deines Plans, sondern nachdem der Diagnosetest dir eine realistische Einschätzung gegeben hat — sonst legst du ein Datum fest, das zu deiner Wunschvorstellung passt, nicht zu deinem tatsächlichen Stand. Ein guter Zeitpunkt zum Buchen: sobald du in mindestens zwei der vier Domänen über deiner Zielmarke liegst und einen klaren Plan hast, wie du die restlichen schließt. Details zur Bestehensgrenze findest du auf unserer Seite zum Prüfungsergebnis, und bevor du buchst, lohnt sich ein Blick auf unsere Seite zu den Prüfungskosten, damit du Budget und Termin gemeinsam planst. Ein fester Termin in der Zukunft hat einen echten Nutzen: Er zwingt zu einem Enddatum und verhindert, dass sich die Vorbereitung endlos hinzieht.

FAQ

Was ist CISM und was bedeutet die Abkürzung? CISM steht für Certified Information Security Manager, eine Zertifizierung von ISACA für Fach- und Führungskräfte, die Informationssicherheitsprogramme leiten statt nur technisch umsetzen. Anders als rein technische Zertifizierungen prüft CISM die Fähigkeit, Sicherheit aus Management-, Risiko- und Governance-Perspektive zu steuern.

Gibt es ein gutes CISM Buch auf Deutsch? Die meisten seriösen Vorbereitungswerke für CISM erscheinen zuerst auf Englisch, weil ISACA als Herausgeber international auf Englisch publiziert. Deutschsprachige Bücher existieren, sind aber oft älteren Datums oder Übersetzungen mit Verzögerung zur aktuellen Domänenstruktur — prüfe vor dem Kauf immer, ob das Buch die aktuelle Vier-Domänen-Struktur mit den hier genannten Gewichtungen abbildet.

Wie viele CISM Prüfungsfragen sollte ich in der letzten Woche üben? Weniger wichtig als die Anzahl ist die Auswertung: Zwei bis drei vollständige Übungsprüfungen in der letzten Woche, mit vollständiger Fehleranalyse nach jeder, bringen mehr als hunderte isolierte Einzelfragen ohne Reflexion.

Reicht CISM ohne Managementerfahrung in Informationssicherheit? Die inhaltliche Vorbereitung wird deutlich schwerer ohne praktische Erfahrung, weil viele Fragen implizit voraussetzen, dass du schon einmal in einer Situation mit begrenztem Budget und konkurrierenden Prioritäten entscheiden musstest. Fehlende Erfahrung lässt sich durch Übungsszenarien teilweise kompensieren, aber nicht vollständig ersetzen.

Was, wenn ich trotz Plan durchfalle? Ein Nichtbestehen ist vor allem eine Diagnose: Die Domänenaufschlüsselung im Ergebnis zeigt dir, wo genau die Schwäche lag, und die nächste Vorbereitungsrunde kann gezielt dort ansetzen statt wieder alle vier Domänen gleich zu behandeln.

Fazit

Der beste CISM Vorbereitungskurs ist kein gekaufter Kurs, sondern ein Plan, der mit einem ehrlichen Diagnosetest beginnt, die Lernzeit nach Domänengewicht und eigener Schwäche verteilt, und die letzten Tage konsequent der Wiederholung statt neuem Stoff widmet. Wenn du unsicher bist, ob 30, 14 oder 7 Tage realistisch sind — lieber einen Tag zu lang planen und früher fertig sein, als einen Termin zu buchen, den der Diagnosetest schon widerlegt hat.