CISSP Vorbereitung: Acht Domänen in 30, 14 oder 7 Tagen

Kurze Antwort

Für CISSP brauchst du realistisch 30 Tage, wenn du Berufserfahrung in mehreren Domänen hast und täglich zwei bis drei Stunden investieren kannst — mit einem soliden CISSP Vorbereitungskurs oder Buch als Rückgrat, nicht als Ersatz für aktives Üben. 14 Tage funktionieren nur, wenn du bereits einen ersten Diagnosetest mit brauchbarem Ergebnis hinter dir hast und nur noch Lücken schließt. 7 Tage sind ein Notfallplan für Verschieben-oder-Durchziehen-Situationen, kein empfohlener Regelfall. In allen drei Fällen entscheidet nicht die Kalenderzeit, sondern ob du die Domänen nach Gewicht und eigener Schwäche sortierst, statt linear ein Buch von vorne nach hinten durchzuarbeiten.

Welcher Zeitrahmen zu welcher Ausgangslage passt

Die Frage “wie lange brauche ich” hat eine ehrliche Antwort: es kommt darauf an, was du schon kannst, nicht darauf, wie viel Zeit du hast.

30 Tage passen zu dir, wenn: du in mindestens drei bis vier der acht Domänen beruflich aktiv bist (z. B. Netzwerksicherheit, IAM oder Security Operations), aber Governance-lastige Themen wie Risk Management oder rechtliche Aspekte für dich neu sind. Das ist der häufigste Fall bei CISSP-Kandidaten, weil kaum jemand in allen acht Domänen gleichzeitig gearbeitet hat.

14 Tage passen zu dir, wenn: du bereits einen ersten vollständigen Diagnosetest gemacht hast und in mindestens fünf von acht Domänen über der Zielmarke liegst (was “über der Zielmarke” konkret heißt, steht unter /de/cissp/passing-score/). Wenn dein Diagnosetest dagegen zeigt, dass du in vier oder mehr Domänen schwach bist, ist 14 Tage kein verdichteter Plan mehr, sondern ein Wettlauf gegen die Zeit, den du wahrscheinlich verlierst.

7 Tage sind nur dann vertretbar, wenn du entweder aus beruflichen Gründen den Termin nicht verschieben kannst, oder wenn du bereits mehrfach durch den Stoff bist und nur noch einen letzten kompakten Durchlauf brauchst, um wieder in Übung zu kommen. Ein 7-Tage-Sprint als erste Berührung mit CISSP-Stoff ist kein Sprint, sondern ein Münzwurf.

Der Fehler, den die meisten machen: Sie wählen den Zeitrahmen nach ihrem Wunschtermin statt nach ihrem Diagnoseergebnis. Mach zuerst einen Test, dann die Zeitplanung — nicht umgekehrt.

Wie man die Domänen nach Gewicht und eigener Schwäche sortiert

Die acht Domänen sind nicht gleich wichtig, und du bist nicht in allen gleich stark. Beides zusammen ergibt deine Reihenfolge.

Die offiziellen Gewichtungen:

Domäne	Gewicht
Security and Risk Management	16%
Communication and Network Security	13%
Identity and Access Management (IAM)	13%
Security Architecture and Engineering	13%
Security Operations	13%
Security Assessment and Testing	12%
Software Development Security	10%
Asset Security	10%

Jetzt kommt der Teil, den die meisten Studienpläne auslassen: Gewicht allein sagt dir nicht, wo du Zeit investieren solltest. Eine Domäne, die 13% ausmacht und in der du bereits sattelfest bist, braucht weniger Zeit als eine mit 10%, in der du bei null anfängst.

Praktische Methode: Bewerte dich nach einem Diagnosetest pro Domäne auf einer Skala von 1 (keine Ahnung) bis 5 (sicher). Rechne dann (6 minus Selbsteinschätzung) mal Gewicht — das ergibt eine Prioritätszahl. Ein Beispiel für jemanden mit Netzwerk-Hintergrund:

• Security and Risk Management, Gewicht 16, Selbsteinschätzung 2 → Priorität 64
• Software Development Security, Gewicht 10, Selbsteinschätzung 1 → Priorität 50
• Communication and Network Security, Gewicht 13, Selbsteinschätzung 5 → Priorität 13
• Security Architecture and Engineering, Gewicht 13, Selbsteinschätzung 4 → Priorität 26

Ergebnis: Security and Risk Management bekommt trotz “nur” 16% die mit Abstand meiste Zeit, weil es sowohl schwer wiegt als auch schwach ist. Communication and Network Security fällt trotz 13% fast hinten runter, weil du es schon kannst. Das ist der Unterschied zwischen einem Plan, der nach Inhaltsverzeichnis sortiert, und einem, der nach Ertrag pro Lernstunde sortiert.

Ein Muster, das bei technischen Kandidaten fast immer auftritt: stark in Communication and Network Security, Security Architecture and Engineering und Security Operations — schwach in Security and Risk Management, Asset Security und Software Development Security, weil das die Domänen sind, die mit Prozessen, Recht und Management-Denken statt mit Konfiguration zu tun haben. Wenn das auch dein Profil ist, plane bewusst mehr Zeit für Governance-Themen ein, auch wenn sie dir weniger Spaß machen.

Ein Plan für 30 Tage, nach Wochen gegliedert

Woche 1 — Grundlagen und Diagnostik: Mach zuerst einen vollständigen Diagnosetest über alle acht Domänen, bevor du überhaupt ein Kapitel liest. Danach ein einmaliger, zügiger Überblick über alle acht Domänen — nicht in die Tiefe, sondern damit du weißt, wie die Begriffe zusammenhängen. Nutze dafür entweder ein Buch oder einen strukturierten CISSP Vorbereitungskurs als Gerüst, nicht als alleinige Quelle. Am Ende von Woche 1 solltest du deine Prioritätsliste aus dem vorigen Abschnitt fertig haben.

Woche 2 — Tiefe in den Problemdomänen: Hier gehst du die drei bis vier Domänen mit der höchsten Prioritätszahl an. Erfahrungsgemäß sind das für die meisten Security and Risk Management (wegen Umfang und Abstraktionsgrad), Security Architecture and Engineering (wegen Kryptographie- und Modelltiefe) und Asset Security oder Software Development Security (weil sie selten im Tagesgeschäft vorkommen). Arbeite hier mit Konzepten, nicht mit Auswendiglernen von Definitionen — CISSP prüft, ob du eine Situation einem Prinzip zuordnen kannst, nicht ob du eine Definition wiedergeben kannst.

Woche 3 — Übungsfragen und Szenariotraining: Ab jetzt verschiebt sich das Verhältnis: mehr Übungsfragen, weniger Lesen. Mach mindestens einen vollständigen, zeitlich simulierten Übungslauf. Wichtiger als das Ergebnis ist die Fehleranalyse danach (siehe Abschnitt zu Übungsfragen unten). Wiederhole in dieser Woche gezielt die Domänen, die im Test schlecht abgeschnitten haben, aber nicht durch erneutes Lesen — durch erneutes Anwenden.

Woche 4 — Verfeinerung und Prüfungsreife: Kein neuer Stoff mehr. Zweiter vollständiger Übungslauf, Fokus auf die verbliebenen Schwachstellen, und ab Tag 25 ungefähr eine Reduktion der täglichen Lernzeit, damit du nicht ausgebrannt in die Prüfung gehst. Die letzten drei bis vier Tage dieser Woche überschneiden sich mit dem Abschnitt “letzte Woche” weiter unten.

Der häufigste Fehler in 30-Tage-Plänen: Kandidaten bleiben in Woche 2 hängen, weil Security Architecture and Engineering oder Cryptography sich endlos vertiefen lässt. Setz dir ein hartes Zeitlimit pro Domäne und geh weiter, auch wenn du dich nicht “fertig” fühlst — Übungsfragen zeigen dir später, wo noch echte Lücken sind, im Gegensatz zum Gefühl, “nicht genug” gelesen zu haben.

Ein verdichteter Plan für 14 Tage

14 Tage sind kein halbierter 30-Tage-Plan — die Struktur ändert sich, nicht nur das Tempo.

Woche 1 (Tag 1-7): Tag 1 ist Diagnosetest, Pflicht. Tag 2 bis 4 sind ein beschleunigter Durchlauf durch alle acht Domänen, aber nur mit Fokus auf die, die laut Diagnostik schwach sind — starke Domänen bekommen hier höchstens eine Wiederholungsstunde, keinen vollen Durchlauf. Tag 5 bis 7 vertiefen die zwei bis drei größten Schwachstellen aus deiner Prioritätsliste, meistens mit Schwerpunkt auf Security and Risk Management, weil es das größte Gewicht trägt und am seltensten “nebenbei” gelernt wird.

Woche 2 (Tag 8-14): Ab hier fast nur noch Übungsfragen und Wiederholung. Tag 8 und 9: großer Übungslauf plus systematische Fehleranalyse. Tag 10 und 11: gezielte Wiederholung genau der Themen, an denen die Fehler hingen — nicht die ganze Domäne neu, sondern die konkreten Lücken. Tag 12: zweiter vollständiger, zeitlich simulierter Übungslauf. Tag 13: leichte Wiederholung, kein neuer Stoff. Tag 14: siehe Abschnitt zum Prüfungstag.

Was in 14 Tagen zwangsläufig zu kurz kommt: die Zeit, Konzepte “sacken zu lassen”. Das kompensierst du, indem du in Woche 2 bewusst zwischen Domänen wechselst statt blockweise zu arbeiten (mehr dazu im Wiederholungsabschnitt) — das simuliert eher, wie die Prüfung Domänen mischt, als isoliertes Pauken.

Der Notfallplan für 7 Tage — und was man dabei bewusst weglässt

Ein 7-Tage-Plan ist Triage, keine Vorbereitung im eigentlichen Sinn. Das Ziel ist nicht, alles zu können, sondern die Domänen mit dem besten Verhältnis aus Gewicht und Lernaufwand abzudecken und den Rest bewusst zu opfern.

• Tag 1: Diagnosetest über alle acht Domänen. Ohne diesen Schritt verschwendest du die restlichen sechs Tage auf Themen, die du eigentlich schon kannst.
• Tag 2: Die Domäne mit dem höchsten Gewicht und der größten Schwäche — für die meisten Security and Risk Management.
• Tag 3: Szenariofragen-Technik einüben (siehe unten) plus die zweitgrößte Schwachstelle.
• Tag 4: Nächste zwei Prioritätsdomänen plus ein erster vollständiger Übungslauf.
• Tag 5: Fehleranalyse aus Tag 4, gezielte Wiederholung nur der falsch beantworteten Themen.
• Tag 6: Zweiter, zeitlich simulierter Übungslauf unter realistischen Bedingungen.
• Tag 7: Nur noch leichte Wiederholung, kein neuer Stoff, siehe Abschnitt Prüfungsvortag.

Was du in 7 Tagen bewusst weglässt: tiefe Kryptographie-Mathematik, seltene Compliance-Frameworks außerhalb der gängigsten, Detailwissen zu Software-Entwicklungsmodellen, und jede Domäne mit 10% Gewicht, in der du bereits eine 3 von 5 bei der Selbsteinschätzung hast. Das ist kein Idealzustand — es ist eine kalkulierte Wette, dass du mit soliden 70-80% Abdeckung in den schweren Domänen besser fährst als mit dünner Abdeckung über alle acht.

Sei ehrlich mit dir: Wenn dein Diagnosetest am Tag 1 zeigt, dass du in sechs oder mehr Domänen bei “keine Ahnung” stehst, ist die realistischere Entscheidung, den Termin zu verschieben, nicht härter zu pauken. Ein 7-Tage-Sprint rettet eine Wissenslücke von drei Domänen, nicht von sieben.

Die letzte Woche vor der Prüfung

Egal ob du 30, 14 oder 7 Tage insgesamt hattest — die letzte Woche vor dem Termin folgt derselben Logik, nur mit unterschiedlichem Ausgangsniveau.

Tag 7 vor der Prüfung: Ein letzter vollständiger, zeitlich simulierter Diagnosetest. Das ist dein realistischstes Signal dafür, wo du stehst.

Tag 6: Gezielte Arbeit an genau den Domänen, die im Test am schlechtesten abschnitten — nicht an allen acht.

Tag 5: Wiederholung der Szenariofragen-Technik: bei jeder Übungsfrage bewusst fragen “was würde ein Sicherheitsmanager hier tun, nicht ein Techniker” (mehr dazu im nächsten Abschnitt).

Tag 4: Zweiter Übungslauf, danach ausführliche Fehleranalyse — bei jedem Fehler notierst du, ob es Wissenslücke, Missverständnis der Frage oder Zeitdruck war. Das sind drei verschiedene Probleme mit drei verschiedenen Lösungen.

Tag 3: Konsolidierung — keine neuen Themen mehr, nur noch Verknüpfung der Konzepte, die du in der Woche identifiziert hast als “fast sicher, aber nicht ganz”.

Tag 2: Leichte Wiederholung, reduzierte Lernzeit, bewusst mehr Schlaf.

Tag 1 (Vorabend): Siehe nächster Abschnitt.

Wenn du in dieser Woche entdeckst, dass du in drei oder mehr Domänen noch massive Lücken hast, ist das der Moment für eine ehrliche Entscheidung, keine Panikreaktion — siehe Abschnitt “Woran man merkt, dass der Plan nicht aufgeht”.

Der Tag davor und der Prüfungstag selbst

Am Vorabend macht kein zusätzlicher Übungslauf mehr Sinn. Ein voller Test am Tag vor der Prüfung erzeugt meistens nur zwei Dinge: schlechten Schlaf und ein Ergebnis, das du nicht mehr korrigieren kannst, egal wie es ausfällt. Stattdessen: kurzer, leichter Überblick über deine eigenen Notizen zu den schwächsten Themen, dann bewusst aufhören. Leg dir Ausweis, Bestätigungsunterlagen und den Weg zum Testcenter zurecht, damit der Prüfungstag logistisch keine Überraschung bringt.

Zur CISSP-Prüfung selbst als CAT-Format (computeradaptiv): Wie viele Fragen genau drankommen und wie lange die Prüfung dauert, hängt von deiner Performance während der Prüfung ab — die genauen Eckdaten dazu stehen unter /de/cissp/exam-format/, das solltest du dir vorher einmal angeschaut haben, damit dich das Format am Tag selbst nicht überrascht.

Zu CISSP exam anxiety, die bei diesem Test besonders verbreitet ist, weil das adaptive Format keine Rückmeldung während der Prüfung gibt: Das Fehlen von Feedback ist Absicht des Formats, kein Zeichen dafür, dass du schlecht abschneidest. Wer das nicht weiß, interpretiert die Stille als Warnsignal und gerät in eine Abwärtsspirale aus Zweifel und Zeitdruck. Konkrete Gegenmaßnahme: leg dir vorher fest, dass du bei jeder Frage maximal eine bestimmte Zeit gibst, dann entscheidest und weitergehst — Grübeln über eine einzelne Frage kostet dich Zeit bei den folgenden, ohne dass du weißt, ob die aktuelle überhaupt zählt. Wenn du am Prüfungstag merkst, dass Angst dich blockiert: kurz die Augen schließen, drei tiefe Atemzüge, dann weiter — das ist keine Plattitüde, sondern die einzige Intervention, die während der Prüfung überhaupt erlaubt und praktikabel ist.

Zu Notizen am Prüfungstag selbst: ein kurzer Blick vor der Abfahrt ist unproblematisch, aber im Testcenter selbst darfst du ohnehin keine Materialien nutzen — plan das nicht als Teil deiner Strategie ein.

Lernen neben einem Vollzeitjob: wo die Zeit realistisch herkommt

Die ehrliche Rechnung: Bei einem 30-Tage-Plan mit zwei bis drei Stunden täglich brauchst du eine Quelle, aus der diese Zeit kommt, die nicht “ich schlafe weniger” heißt, weil das mittelfristig deine Lernleistung senkt statt sie zu erhöhen.

Realistische Quellen, in absteigender Reihenfolge nach Verlässlichkeit:

• Feste Blöcke vor der Arbeit, nicht danach. Nach einem vollen Arbeitstag ist deine Kapazität für komplexe Konzepte wie Security Architecture and Engineering am niedrigsten, egal wie diszipliniert du bist. Ein früher Block von 45-60 Minuten ist oft wertvoller als 90 Minuten am späten Abend.
• Mittagspause, konsequent für Übungsfragen statt für neuen Stoff — Übungsfragen brauchen weniger ununterbrochene Konzentration als Konzeptarbeit.
• Wochenendblöcke für die Übungsexamen, weil die zeitlich simulierten Durchläufe zusammenhängende Zeit brauchen, die unter der Woche selten verfügbar ist.
• Pendelzeit für passive Wiederholung (Audio-Zusammenfassungen, eigene Sprachnotizen zu Definitionen), nicht für neue Inhalte — das ist die am meisten überschätzte Lernzeit, weil sie sich für aktives Erarbeiten schlecht eignet, aber gut für Wiederholung.

Was du temporär streichen solltest, nicht dauerhaft: alles, was Entscheidungsenergie kostet, ohne notwendig zu sein — für die Dauer deines Plans, nicht für immer.

Zur Sprachfrage, die viele in dieser Situation stellen: ISC2 bietet CISSP auch auf Deutsch an, und wer nach cissp kurs deutsch oder einem cissp buch deutsch sucht, sucht meistens aus zwei Gründen — entweder weil Englisch eine echte Hürde ist, oder weil ein Kurs in der Muttersprache schneller wirkt. Die ehrliche Einschätzung: Die maßgeblichen offiziellen Materialien und die meisten aktuellen Foren, Fehleranalysen und Übungsfragenpools sind englisch-first, und ein cissp deutsch buch ist oft eine Übersetzung, die einer Versionsaktualisierung hinterherhinkt. Wenn dein Englisch für Fachtexte ausreicht, arbeite mit den englischen Hauptquellen und nutze ein deutsches Buch höchstens ergänzend, um Konzepte zu klären, die auf Englisch unklar bleiben. Wenn Englisch wirklich eine Hürde ist, ist ein deutscher Kurs besser als gar kein Verständnis — aber plane dann mehr Zeit ein, weil du zusätzlich zur Fachterminologie zwischen zwei Sprachwelten übersetzt, sobald du auf englische Übungsfragen triffst.

Wie man Übungsfragen einsetzt, ohne sie auswendig zu lernen

CISSP-Fragen sind fast immer Szenarien mit mehreren technisch korrekten Antworten, von denen nur eine die “beste” aus Sicht eines Sicherheitsmanagements ist. Das unterscheidet CISSP von vielen anderen Zertifizierungen, bei denen es eine eindeutig richtige Antwort gibt.

Deshalb scheitert Auswendiglernen von Frage-Antwort-Paaren aus zwei Gründen: Erstens ist die Prüfung computeradaptiv, die konkrete Frage, die du bekommst, ist nie exakt die, die du geübt hast. Zweitens testet CISSP eine Denkweise, nicht ein Faktum — wenn du dir nur die “richtige” Antwort merkst, ohne das dahinterliegende Prinzip zu verstehen, scheiterst du an der nächsten Frage, die dasselbe Prinzip anders verpackt.

1. Beantworte die Frage ohne Zeitdruck beim ersten Durchlauf, aber schreib dir auf, warum du eine Antwort gewählt hast, nicht nur welche.
2. Bei jeder falschen Antwort: Kategorisiere den Fehler — war es eine Wissenslücke (das Konzept war unbekannt), ein Missverständnis der Frage (das Konzept war bekannt, aber die Frage falsch interpretiert), oder eine Perspektivfrage (du hast technisch statt aus Managementsicht geantwortet)?
3. Die dritte Kategorie ist bei CISSP am häufigsten und am unterschätztesten. Die Faustregel, um “Management-Perspektive” von “technischer Perspektive” zu unterscheiden: Wenn eine Antwortoption eine sofortige technische Handlung beschreibt (einen Port sperren, einen Patch einspielen) und eine andere einen Prozess oder eine Risikoentscheidung (eskalieren, eine Richtlinie prüfen, eine Risikoanalyse durchführen), wählt CISSP in der Regel die zweite — außer die Frage beschreibt explizit einen laufenden aktiven Vorfall, bei dem Eindämmung Priorität hat.
4. Wiederhole nur die Themen, nicht die exakten Fragen. Wenn du dieselbe Frage zwei Wochen später nochmal siehst und sie “erkennst”, hast du nichts gelernt, was am echten Prüfungstag hilft.

Wie oft und wann man wiederholt, damit es hängen bleibt

Reines einmaliges Durcharbeiten einer Domäne erzeugt eine Illusion von Wissen, die beim Übungstest zwei Wochen später zusammenbricht. Wiederholung in festen Abständen ist der Unterschied zwischen “ich habe das gelesen” und “ich kann das anwenden”.

Ein Muster, das für die meisten Zeitrahmen funktioniert: Wiederhole ein Thema zum ersten Mal nach ein bis zwei Tagen, dann nach etwa einer Woche, dann kurz vor der Prüfung noch einmal. Bei einem 30-Tage-Plan lässt sich das sauber umsetzen (Konzept in Woche 2, erste Wiederholung Ende Woche 2, zweite Wiederholung in Woche 3, letzte Wiederholung in Woche 4). Bei 14 oder 7 Tagen komprimiert sich das auf tägliche statt wöchentliche Zyklen — die Logik bleibt gleich: nie nur einmal anschauen und abhaken.

Genauso wichtig wie der Abstand ist die Durchmischung: Wiederhole Domänen nicht blockweise (drei Tage nur Security and Risk Management, dann drei Tage nur IAM), sondern lass in der Wiederholungsphase bewusst Domänen durcheinander auftauchen. Das simuliert, wie die Prüfung selbst funktioniert — sie springt zwischen Domänen, nicht in blockierten Kapiteln — und zwingt dich, Konzepte tatsächlich abzurufen statt sie im Kontext des gerade gelesenen Kapitels zu erraten.

Für reine Faktenwiederholung (Kontrollarten, Begriffsdefinitionen, RTO/RPO-Unterschiede) funktionieren klassische Karteikarten mit aktivem Abrufen gut. Für die Szenariofragen-Logik funktionieren Karteikarten dagegen schlecht — dafür brauchst du echte Übungsfragen, weil das Prinzip der “besten Antwort unter mehreren korrekten” sich nicht in eine Karteikarte packen lässt.

Woran man merkt, dass der Plan nicht aufgeht, und was man dann ändert

Drei Warnsignale, die häufig übersehen oder schöngeredet werden:

Deine Übungsergebnisse stagnieren oder fallen über mehrere Durchläufe hinweg, statt sich zu verbessern. Ein einzelner schwacher Testlauf ist normal und oft Tagesform. Ein Abwärtstrend über zwei oder drei Läufe ist ein echtes Signal — meistens bedeutet es, dass du zu breit und zu oberflächlich wiederholst, statt gezielt die tatsächlichen Fehlerursachen zu bearbeiten.

Du liegst in drei oder mehr Domänen konstant unter dem, was für dich als Zielwert gilt — was genau als ausreichend gilt, ist unter /de/cissp/passing-score/ beschrieben. Wichtig ist der Trend über mehrere Tests, nicht ein einzelnes Ergebnis, weil einzelne Testläufe je nach Fragenauswahl schwanken.

Dir läuft strukturell die Zeit davon — du bist an Tag 20 eines 30-Tage-Plans und hast Woche-2-Themen noch nicht abgeschlossen. Das ist kein Grund zum Verdoppeln der täglichen Stunden (das führt meistens zu Erschöpfung, nicht zu mehr Retention), sondern ein Grund, den Plan neu zu skalieren.

Was du dann konkret änderst, in dieser Reihenfolge: Erstens, verschiebe den Prüfungstermin, wenn das organisatorisch möglich ist — ein zusätzliches Zeitfenster ist fast immer besser als ein Antritt mit erkennbaren Lücken in schwer gewichteten Domänen. Zweitens, wenn Verschieben nicht möglich ist, reduzierst du den Umfang bewusst weiter: Konzentriere die verbleibende Zeit auf die zwei bis drei höchstgewichteten, schwächsten Domänen und akzeptiere, dass leichtere Domänen mit geringerem Gewicht nur oberflächlich abgedeckt bleiben. Drittens, wenn die Ursache eher Erschöpfung als fehlende Zeit ist, reduzier die tägliche Lernlast und schlaf mehr — ausgebranntes Wiederholen produziert schlechtere Retention als ausgeruhtes, kürzeres Lernen.

Wann man den Termin buchen sollte

Buch den Termin erst, nachdem du einen ersten Diagnosetest gemacht hast, nicht davor. Ein Termin, der auf einem Wunschdatum statt auf einem realistischen Ausgangsniveau basiert, erzeugt entweder unnötigen Druck (wenn du zu früh buchst und dann merkst, dass du mehr Ze