CISSP-Prüfung nicht bestanden: Der Weg zum zweiten Versuch

Kurze Antwort

Ein nicht bestandener Versuch bei der CISSP Prüfung ist kein Ausnahmefall und kein Urteil über deine Eignung als Security-Profi — es ist ein Datenpunkt. Lies den Score-Report in Ruhe, warte mit der Anmeldung zum zweiten Versuch, bis du weißt, welche Domänen wirklich schwach waren, und ändere dann etwas an deiner Vorbereitung, nicht nur an der Menge. Die ISC2-Regeln zu Wartefrist und Versuchsanzahl bestimmen, wann du frühestens wieder antreten darfst — nicht dein Ehrgeiz. Wer knapp durchgefallen ist, braucht ein anderes Vorgehen als jemand, der in fast jeder Domäne unter der Grenze lag. Und ja: CISSP bestanden zu haben sagt am Ende nichts darüber aus, wie oft du es versucht hast.

Die ersten Stunden nach dem Nichtbestehen — was jetzt zu tun ist und was nicht

Was du tun solltest: Score-Report sofort sichern (als PDF oder Screenshot, falls das Portal ihn nur zeitlich begrenzt anzeigt), einen Tag Abstand nehmen, bevor du irgendeine Entscheidung über den nächsten Termin triffst, und dir in Stichpunkten notieren, wie sich die Prüfung angefühlt hat — welche Domänen sich sicher anfühlten, wo du geraten hast, wo dir die Zeit knapp wurde. Diese Eindrücke sind in 48 Stunden noch frisch, danach verblassen sie und werden durch Rückblick verzerrt.

Was du nicht tun solltest: nicht sofort einen neuen Termin buchen, nur um das Gefühl des Scheiterns loszuwerden. Nicht mit dem Proctor oder Testcenter-Personal über das Ergebnis diskutieren — das ändert nichts und kostet Energie. Nicht am selben Abend das gesamte CBK noch einmal von vorne aufschlagen, weil das reine Wiederholung ohne Diagnose ist. Und nicht in Foren oder auf LinkedIn öffentlich posten, bevor du selbst verstanden hast, was passiert ist — das öffentliche Bekenntnis erzeugt Druck, der der eigentlichen Analyse im Weg steht.

Wie häufig Nichtbestehen ist und warum das kein Sonderfall ist

ISC2 veröffentlicht keine offizielle Bestehensquote für CISSP, aber aus Berichten von Trainern, Bootcamps und Community-Foren lässt sich ein klares Muster ablesen: ein erheblicher Teil der Kandidaten fällt beim ersten Versuch durch, darunter auch erfahrene Praktiker mit zehn oder mehr Jahren im Feld. Der Grund ist strukturell, nicht individuell. CISSP prüft acht Domänen mit sehr unterschiedlichem Gewicht (Security and Risk Management mit 16% ist die schwerste, Software Development Security und Asset Security mit je 10% die leichtesten), und kaum ein Kandidat hat in allen acht gleich viel praktische Erfahrung. Wer aus dem Netzwerkbereich kommt, ist in Communication and Network Security stark und in Asset Security oder Software Development Security oft schwächer — und umgekehrt.

Das heißt: Ein Fehlversuch bestätigt meistens genau das, was strukturell zu erwarten war — eine Lücke in den Domänen außerhalb des eigenen Erfahrungsschwerpunkts. Das ist kein Sonderfall, das ist der Normalfall bei einer Prüfung, die bewusst breiter angelegt ist als jede einzelne Berufsrolle.

Den Score-Report lesen: was er sagt

CISSP läuft als CAT (Computerized Adaptive Testing). Der Report, den du nach der Prüfung bekommst, zeigt kein Punktekonto zum Nachrechnen, sondern zwei Dinge: das Gesamtergebnis (bestanden/nicht bestanden) und eine Balkendarstellung pro Domäne, die zeigt, ob deine Leistung dort über, nahe an oder unter der geforderten Kompetenzschwelle lag. Genaue Zahlen zur Bestehensgrenze findest du auf /de/cissp/passing-score/ — die gehören dort hin, nicht in eine Wiederholung, die sie falsch zitiert.

Für deine Analyse zählt vor allem die relative Position der Balken zueinander. Liegen sechs von acht Domänen im grünen oder neutralen Bereich und nur zwei klar darunter, ist das ein anderes Bild als wenn fast alle Balken nahe der unteren Grenze liegen. Der Report sagt dir außerdem nicht, wie knapp oder wie deutlich du insgesamt verfehlt hast — nur, in welchen Bereichen die Schwäche lag.

Was der Score-Report NICHT sagt — und welche Schlüsse deshalb falsch sind

Der Report nennt keine einzelnen Fragen, keine falschen Antworten, keine Erklärung, warum eine bestimmte Domäne schwach war. Das bedeutet: Du kannst aus einem schwachen Balken bei Security Operations nicht ableiten, ob das Wissenslücken, Missverständnisse der Fragestellung, Zeitdruck gegen Ende der Prüfung oder einfach ein paar besonders harte adaptive Fragen waren, die dir in dieser Domäne zugeteilt wurden.

Bei CAT-Prüfungen kommt ein weiterer Effekt dazu: Die Zahl der Fragen pro Domäne, die du tatsächlich beantwortet hast, ist nicht für alle Kandidaten gleich — das Adaptive System kann früher oder später zu einem Ergebnis kommen. Ein schwacher Balken auf Basis von nur wenigen Fragen ist statistisch weniger belastbar als einer auf Basis vieler Fragen, aber der Report unterscheidet das nicht sichtbar für dich.

Der häufigste falsche Schluss: “Ich war bei Domäne X schwach, also lese ich dort einfach mehr Theorie.” Das übersieht, dass CISSP nicht Faktenwissen, sondern Entscheidungsfähigkeit im Sinne eines Managers prüft (die “best answer”-Logik). Ein schwacher Balken kann also auch bedeuten: Wissen war da, aber die Denkweise, die die Prüfung erwartet, nicht.

Knapp gescheitert — warum das eine andere Lage ist als deutlich gescheitert

Wenn die meisten deiner Domänen-Balken im neutralen oder oberen Bereich liegen und nur ein oder zwei knapp darunter, bist du in einer fundamental anderen Situation als jemand mit durchgehend schwachen Balken. Das ist eine gute und eine schlechte Nachricht zugleich: gut, weil dein Gesamtwissen trägt und der Weg zurück kurz ist; schlecht, weil knappe Fehlversuche oft an Kleinigkeiten hängen, die sich nicht durch mehr Lesen beheben lassen — Fragetechnik, Zeitmanagement gegen Ende, ein oder zwei besonders unglückliche Situational-Judgement-Fragen, bei denen zwei Antworten fast richtig klangen.

Für diese Lage lohnt sich kein kompletter Neustart des Lernplans. Sinnvoller ist eine gezielte Nacharbeit der ein bis zwei schwachen Domänen plus intensives Üben an Situational-Judgement-Formaten generell — unabhängig von der Domäne, weil genau dieser Fragetyp knappe Fehlversuche am häufigsten verursacht.

Deutlich unter der Grenze: wann ein Neuanfang ehrlicher ist als Nachbessern

Zeigen fünf, sechs oder mehr Domänen-Balken durchgehend Schwäche, ist das kein Randproblem, sondern ein Hinweis, dass die Grundlage nicht trägt. Hier hilft kein selektives Nacharbeiten einzelner Domänen — das Muster deutet auf Lücken im Verständnis der CISSP-Denkweise insgesamt hin, nicht nur in Detailwissen.

Die ehrlichere Entscheidung ist dann, den Lernplan komplett neu aufzusetzen: nicht schneller wieder antreten, sondern langsamer, mit einem strukturierten Kurs oder Buch von Grund auf, inklusive der Domänen, die sich beim ersten Versuch noch “okay” anfühlten. Ein deutliches Scheitern, das man mit einem kurzen Auffrischungssprint reparieren will, führt fast immer zu einem zweiten deutlichen Scheitern — nur mit mehr Frustration und einer längeren Wartefrist bis zum dritten Versuch.

Die Wiederholungsregeln des Anbieters — Wartefrist, Anzahl der Versuche

ISC2 legt eine Wartefrist zwischen Versuchen fest, die mit jedem weiteren Fehlversuch länger wird, und begrenzt zusätzlich, wie oft du innerhalb eines Zeitraums von zwölf Monaten überhaupt antreten darfst. Die genauen Fristen und Grenzen ändern sich gelegentlich und stehen im aktuellen Candidate Agreement von ISC2 — verlass dich hier auf die offizielle Quelle zum Zeitpunkt deiner Anmeldung, nicht auf Foren-Erfahrungswerte von vor zwei Jahren.

Praktisch bedeutet das: Du hast nach einem Fehlversuch nicht unbegrenzt viele Chancen im selben Jahr, und die Regel wird strenger, je öfter du durchfällst. Das ist ein zusätzliches Argument dafür, den zweiten Versuch nicht überstürzt anzusetzen, sondern die Wartezeit tatsächlich für eine echte Diagnose und Nacharbeit zu nutzen statt für bloßes Warten.

Wann man den zweiten Termin setzt: sofort oder mit Abstand

Die Antwort hängt direkt an der Unterscheidung zwischen knapp und deutlich gescheitert. Bei einem knappen Fehlversuch mit klar erkennbaren, kleinen Lücken kann ein Termin am frühestmöglichen Tag nach der Wartefrist sinnvoll sein — das Wissen ist noch frisch, die Nacharbeit ist gezielt und kurz. Bei einem deutlichen Fehlversuch ist ein früher Termin fast immer ein Fehler: Du buchst gegen eine Unsicherheit an, die sich in wenigen Wochen nicht auflösen lässt, und erzeugst zusätzlichen Druck durch ein festes Datum, bevor der Lernplan überhaupt steht.

Die bessere Reihenfolge: Erst den Lernplan und die Diagnose fertigstellen, dann anhand von konsistenten Ergebnissen in Übungsprüfungen (siehe unten) den Termin festlegen — nicht umgekehrt.

Was der zweite Versuch kostet und was dabei zu bedenken ist

Konkrete Gebühren für die Wiederholungsprüfung findest du auf /de/cissp/exam-cost/ — das ändert sich je nach Region und Zeitpunkt, deshalb gehört das dort hin und nicht in eine Zahl, die hier veraltet wäre.

Was hier zu bedenken ist, unabhängig vom genauen Betrag: Ein zweiter Versuch ist kein Grund für die “Sunk Cost”-Falle — nur weil du bereits einmal bezahlt hast, musst du nicht sofort und ohne echte Vorbereitung nachlegen, um “das Investment zu retten”. Frag außerdem frühzeitig deinen Arbeitgeber, ob er die Wiederholungsprüfung übernimmt, falls er die erste finanziert hat — viele Sponsoring-Programme haben dazu klare, aber unterschiedliche Regeln, und das solltest du klären, bevor du buchst, nicht danach.

Online oder Testcenter beim zweiten Versuch — was für wen spricht

Beide Formate prüfen denselben Inhalt, aber die Rahmenbedingungen unterscheiden sich spürbar. Online-Proctoring bringt zusätzliche Reibung: Raum-Check, ID-Verifizierung, strikte Regeln zu Blickrichtung und Umgebung, die bei technischen Problemen mitten in der Prüfung Stress erzeugen können. Ein Testcenter dagegen bietet eine kontrollierte, standardisierte Umgebung ohne eigene Technikverantwortung, aber mit festen Öffnungszeiten und Anfahrtsweg. Details zu Format und Ablauf findest du auf /de/cissp/exam-format/.

Für den zweiten Versuch ist die Empfehlung meist eindeutig, wenn der erste Fehlversuch teilweise mit Nervosität oder Ablenkung zu tun hatte: das Testcenter nimmt eine Variable weg, die du nicht kontrollieren musst. Wer beim ersten Mal schon online geprüft wurde und keine Probleme mit der Umgebung hatte, kann online bleiben — der Wechsel selbst ist nicht der entscheidende Faktor, die Reduktion von unbekannten Störgrößen ist es.

Ab welchem Ergebnis in Übungsprüfungen man bereit ist

Eine einzelne gute Punktzahl in einem Übungstest ist kein verlässliches Signal — entscheidend ist Konsistenz über mehrere unabhängige Testläufe und über alle acht Domänen hinweg, nicht ein Ausreißer nach oben. Wenn du in aufeinanderfolgenden vollständigen Simulationen, im Abstand von mehreren Tagen, in praktisch jeder Domäne stabil über deiner persönlichen Zielmarke liegst — und nicht nur im Gesamtergebnis, sondern auch dort, wo du beim ersten echten Versuch schwach warst — bist du näher an echter Prüfungsreife als jemand mit einem einzelnen Spitzenergebnis.

Welche Fragen man wiedererkennt und warum man sich darauf nicht verlassen darf

Nach mehreren Übungsdurchläufen und erst recht nach einem echten Versuch erkennst du bestimmte Formulierungen, Szenarien oder sogar wortwörtliche Fragen wieder — aus Übungspools, aus Foren, manchmal aus sogenannten “Brain Dumps”. Drei Dinge solltest du dabei wissen: Erstens rotieren die Itembanks, ein wiedererkanntes Szenario in der Übung garantiert nicht, dass es in der echten Prüfung in gleicher Form vorkommt. Zweitens enthält die echte CISSP-Prüfung unscored Pretest-Items, die du nicht von den gewerteten Fragen unterscheiden kannst — auch eine “leicht” wirkende, wiedererkannte Frage kann eine unbewertete Testfrage sein. Drittens, und das ist der wichtigste Punkt: Das Verwenden von tatsächlichem Prüfungsinhalt aus Brain Dumps verstößt gegen das ISC2 Candidate Agreement, das du bei jeder Anmeldung unterschreibst, und kann im Nachhinein zur Aberkennung der Zertifizierung führen. Wiedererkennen ist kein Vorbereitungsstrategie, es ist ein Nebeneffekt von viel legitimer Übung — verlass dich auf die zweite Sache, nicht auf die erste.

Die Prüfungssprache beim zweiten Versuch

CISSP wird in mehreren Sprachen angeboten, darunter Deutsch. Das klingt nach einer einfachen Entscheidung, ist es aber nicht ganz: Die deutsche Prüfungsversion basiert auf einer Übersetzung der englischen Originalfragen, und Übersetzungsqualität ist bei komplexen, mehrdeutig formulierten Situational-Judgement-Fragen ein reales Risiko — eine unpräzise Übersetzung kann eine Frage schwerer oder leichter machen, als sie im Original ist. Gleichzeitig ist die Auswahl an guten Übungsmaterialien deutlich kleiner: Wer nach cissp prüfungsfragen deutsch sucht, findet spürbar weniger und oft älteres Material als auf Englisch, was die Vorbereitung für die cissp prüfung deutsch erschwert, wenn du dich rein auf deutschsprachige Quellen verlässt.

Die praktische Konsequenz: Entscheide die Sprache vor dem zweiten Versuch bewusst und früh, nicht spontan am Prüfungstag. Wenn dein Fachvokabular überwiegend englisch geprägt ist (weil du auf Englisch arbeitest, englische Dokumentation liest, englische Kurse gemacht hast), ist ein Wechsel zu Deutsch beim Retake oft ein Nachteil, kein Vorteil — du lernst dann effektiv eine zweite Fachsprache mit, während die Prüfung selbst schon anspruchsvoll genug ist. Wer dagegen im deutschsprachigen Arbeitsalltag denkt und die englischen Fachbegriffe erst übersetzen muss, kann von der deutschen Version profitieren — vorausgesetzt, die Übungsmaterialien, mit denen trainiert wird, stimmen mit dieser Sprachwahl überein.

Typische Fehler beim zweiten Anlauf

Der häufigste Fehler ist, exakt dasselbe Material in derselben Reihenfolge noch einmal durchzuarbeiten in der Annahme, dass mehr Wiederholung automatisch zu einem anderen Ergebnis führt. Wenn die erste Runde mit diesem Material nicht gereicht hat, ändert eine zweite Runde meist nur die Vertrautheit, nicht die Fähigkeit, unter Prüfungsbedingungen die beste Antwort auszuwählen.

Weitere wiederkehrende Fehler: den Score-Report ignorieren und “gefühlt” schwache Domänen bearbeiten statt der tatsächlich schwachen; die Prüfung nie in voller Länge unter Zeitdruck simulieren, sondern nur in kleinen, entspannten Häppchen üben; die am wenigsten interessante Domäne (oft Asset Security oder Software Development Security, weil sie technisch trockener wirken) aus Bequemlichkeit vernachlässigen, obwohl sie zusammen 20% der Gewichtung ausmachen; und den zweiten Termin buchen, bevor Übungsergebnisse tatsächlich konsistent sind, nur weil die Wartefrist gerade abgelaufen ist.

Zeiteinteilung und Nerven im zweiten Versuch

CISSP als CAT-Prüfung erlaubt kein Zurückblättern und kein Markieren zum späteren Überprüfen — jede Antwort ist final, sobald du bestätigst. Das verändert die Zeitstrategie fundamental gegenüber linearen Prüfungen: Es gibt keinen Sinn darin, Zeit für eine “zweite Runde” am Ende aufzusparen, weil es keine zweite Runde gibt. Die Strategie ist, pro Frage ein festes, bewusstes Tempo zu halten und Unsicherheit bei einer Frage sofort loszulassen, sobald die Entscheidung getroffen ist — Grübeln über eine bereits beantwortete Frage kostet nur Energie für die nächste.

Nach einem ersten Fehlversuch kommt oft eine zusätzliche Belastung dazu, die manche als CISSP exam anxiety bezeichnen: das Wissen, schon einmal gescheitert zu sein, erzeugt beim zweiten Versuch mehr Druck als beim ersten, gerade in den ersten Prüfungsminuten. Konkret hilft: vor der Prüfung bewusst nicht die letzte Nacht mit Lernen verbringen, sondern mit Schlaf; in den ersten fünf bis zehn Fragen bewusst langsamer und konzentrierter vorgehen, weil das adaptive System früh die Schwierigkeit kalibriert; und sich vorher eine einzige, kurze mentale Formel zurechtlegen (“ich beantworte diese Frage jetzt, endgültig, weiter”) anstatt sich in der Prüfung neue Bewältigungsstrategien auszudenken.

Wie man mit dem Arbeitgeber darüber spricht

ISC2 informiert deinen Arbeitgeber nicht automatisch über ein Nichtbestehen — es sei denn, die Anmeldung lief über ein Firmenkonto oder Sponsoring-Programm, bei dem der Arbeitgeber ohnehin Einblick in den Prüfungsstatus hat. Ob dein Arbeitgeber davon erfährt, hängt also meistens davon ab, ob du es erzählst oder ob die Buchung über ihn lief.

Wenn du es ansprichst, funktioniert eine sachliche, kurze Version am besten: dass du beim ersten Versuch in bestimmten Domänen unter der Schwelle warst, dass du das mit einem gezielten Plan angehst, und wann du den nächsten Versuch planst. Vermeide es, das Thema zu dramatisieren oder dich zu rechtfertigen — ein Arbeitgeber, der die Zertifizierung sponsert, hat in aller Regel ein Interesse daran, dass du sie am Ende bestehst, nicht daran, dass du beim ersten Mal perfekt bist.

Wann der Wechsel auf eine andere Zertifizierung ehrlicher ist als ein dritter Versuch

Ein zweiter Fehlversuch mit denselben Mustern wie der erste ist ein anderes Signal als ein einzelner Fehlversuch. Wenn du nach zwei ernsthaften, unterschiedlich angegangenen Versuchen in denselben Domänen weiterhin durchgehend schwach bist, lohnt sich eine ehrliche Standortbestimmung: Liegt das an mangelnder Zeit für Vorbereitung, oder liegt es daran, dass CISSP als breite, managementorientierte Zertifizierung nicht zu deinem tatsächlichen Erfahrungsprofil passt?

Wer zum Beispiel stark technisch-operativ arbeitet, mit wenig Berührung zu Risk Management, Governance oder Recht, kann von einer fokussierteren Zwischenstation profitieren — etwa einer Zertifizierung, die näher an der eigenen Praxis liegt, bevor ein dritter CISSP-Versuch angegangen wird. Das ist kein Aufgeben, sondern eine Reihenfolge-Korrektur: Erst die Erfahrungsbasis in den schwachen Domänen aufbauen, dann zurück zu CISSP kommen, statt einen dritten Versuch mit derselben Wissenslücke zu wiederholen. Der komplette Wechsel weg von CISSP ist dagegen nur dann die ehrlichere Entscheidung, wenn die Domänen selbst — Governance, Risiko, breites Sicherheitsmanagement über mehrere technische Bereiche hinweg — grundsätzlich nicht der Richtung entsprechen, in die sich deine Karriere entwickeln soll.

Was sich im Lernen ändern muss, damit der zweite Versuch anders ausgeht

Reines Wiederholen der ersten Lernrunde ändert das Ergebnis selten. Was sich wirklich ändern muss: von passivem Lesen zu aktivem Abrufen wechseln — Karteikarten, Selbsttests, laut erklären statt nur markieren; volle Simulationen unter echten Zeitbedingungen einbauen, nicht nur domänenweise Kurzquiz; und die Denkweise trainieren, die CISSP tatsächlich prüft — bei Situational-Judgement-Fragen nicht nach “was ist technisch korrekt”, sondern nach “was würde ein verantwortungsbewusster Sicherheitsmanager zuerst tun” fragen.

Bei den Materialien selbst lohnt sich ein Wechsel, wenn die erste Runde mit einem einzigen Buch oder Kurs lief und die Domänen-Balken trotzdem durchgehend schwach waren — ein zweites, anders aufgebautes Standardwerk deckt oft Lücken auf, die das erste Buch nicht abgedeckt hat. Wer auf Deutsch prüft oder lernt, sollte gezielt nach einem aktuellen cissp buch deutsch beziehungsweise cissp deutsch buch suchen, das mit der aktuellen Domänenstruktur arbeitet, statt sich auf ältere, aus dem Englischen grob übersetzte Zusammenfassungen zu verlassen — veraltete deutschsprachige Materialien sind im CISSP-Bereich ein größeres Risiko als bei kleineren Zertifizierungen, weil sich Inhalte und Schwerpunkte über die Jahre verschoben haben.

FAQ

Wie oft darf ich die CISSP Prüfung wiederholen? ISC2 begrenzt die Anzahl der Versuche innerhalb eines Zwölf-Monats-Zeitraums und verlängert die Wartefrist zwischen den Versuchen mit jedem weiteren Fehlversuch. Die genauen aktuellen Regeln stehen im ISC2 Candidate Agreement zum Zeitpunkt deiner Anmeldung.

Erfahren Arbeitgeber automatisch, wenn ich durchgefallen bin? Nein, nicht automatisch — außer die Anmeldung lief über ein Firmenkonto oder Sponsoring-Programm mit Einblick in den Prüfungsstatus. Sonst erfährt es dein Arbeitgeber nur, wenn du es erzählst.

Sollte ich für den Retake andere Lernmaterialien nutzen? Nur, wenn die erste Runde trotz ehrlicher Anstrengung durchgehend schwache Domänen-Balken hinterlassen hat. Bei einem knappen Fehlversuch reicht meist gezielte Nacharbeit derselben Materialien plus mehr Situational-Judgement-Übung.

Wie zuverlässig sind Übungsprüfungen als Vorhersage? Einzelergebnisse sind wenig aussagekräftig. Verlässlich ist nur ein konsistentes Bild über mehrere vollständige, zeitlich getrennte Simulationen und über alle acht Domänen hinweg.

Kann ich gegen ein Prüfungsergebnis Einspruch einlegen? ISC2 bietet einen formalen Beschwerdeweg für den Fall vermuteter Verfahrensfehler, nicht für die inhaltliche Bewertung einzelner Fragen. Details dazu stehen im aktuellen Candidate Agreement, nicht in Foren-Erfahrungsberichten.

Fazit

Ein Fehlversuch bei der CISSP Prüfung ist ein Diagnosewerkzeug, kein Urteil — nutz den Score-Report für das, was er wirklich zeigt, warte die Frist bewusst ab statt sie nur abzusitzen, und ändere beim zweiten Anlauf etwas an der Methode, nicht nur an der Menge. Wer das ehrlich macht, bekommt beim nächsten Mal ein anderes Ergebnis als beim ersten — und genau darauf kommt es an, nicht darauf, wie schnell der zweite Termin steht.