Was OSCP, OSEP und CRTO tatsächlich beweisen
Auf den Websites von Security-Teams wimmelt es oft von Akronymen. Die meisten Auftraggeber nicken das ab und gehen zur Tagesordnung über, weil die Abkürzungen ohne Fachwissen wenig aussagen. Diese Zertifizierungen sind jedoch keine Dekoration. Jede einzelne ist eine anspruchsvolle, praktische Prüfung, die ein ganz bestimmtes Können nachweist. Hier ist die verständliche Einordnung.
OSCP Sie können manuell in Systeme einbrechen
Der OffSec Certified Professional ist der Standard für praktische offensive Arbeit. Es handelt sich um eine 24-stündige praktische Prüfung, bei der reale Systeme kompromittiert und das Vorgehen dokumentiert werden muss. Durch Auswendiglernen lässt sie sich nicht bestehen. Wenn jemand den OSCP besitzt, steht fest, dass diese Person Schwachstellen tatsächlich finden und ausnutzen kann, statt nur darüber zu reden.
OSEP Sie können Abwehrmechanismen umgehen, die sich zur Wehr setzen
Der OffSec Experienced Penetration Tester setzt dort an, wo der OSCP aufhört. Hier geht es um Evasion und Tiefe: das Umgehen von Antivirus- und Endpoint-Schutzsystemen, die Bewegung im Netzwerk und unbemerktes Agieren. Der OSEP weist nach, dass jemand in einer Umgebung agieren kann, die aktiv versucht, den Angreifer zu entdecken, genau wie bei einem realen Angriff.
CRTO Sie können eine echte Red-Team-Operation durchführen
Beim Certified Red Team Operator geht es um die gesamte Kampagne: Aufbau der Angreifer-Infrastruktur, Erstzugang, Rechteausweitung und das Vordringen zum Ziel, genau wie es ein organisierter Angreifer tun würde. Während der OSCP belegt, dass man ein einzelnes System knacken kann, weist der CRTO nach, dass man eine vollständige Operation gegen ein geschütztes Unternehmensnetzwerk führen kann.
Zwei Arten von Zertifikaten und warum der Unterschied wichtig ist
Nicht jede Sicherheitszertifizierung prüft dasselbe. Es gibt im Wesentlichen zwei Kategorien, und Verwechslungen führen bei Auftraggebern oft zu falschen Erwartungen.
Die oben genannten Zertifikate sind praxisbezogen. Man erwirbt sie durch eine zeitbegrenzte, praktische Prüfung, bei der die Zielsysteme entweder erfolgreich kompromittiert werden oder nicht. Der OSCP umfasst etwa 24 Stunden praktische Arbeit an Live-Systemen mit anschließendem schriftlichen Bericht. OSEP, OSWE und OSED bieten jeweils etwa 48 Stunden Zugriffszeit auf reale Ziele sowie weitere 24 Stunden für die Dokumentation. Der CRTO erstreckt sich über mehrere Tage in einem geschützten Multi-Domain-Netzwerk unter Einsatz derselben Command-and-Control-Werkzeuge, die auch reale Angreifer nutzen. Für theoretisches Wissen gibt es keine Punkte. Entweder man ist reingekommen oder nicht.
Die andere Kategorie ist wissensbasiert. Zertifizierungen wie CISSP, CompTIA Security+ oder der Standard-CEH werden durch theoretische Prüfungen erworben, größtenteils im Multiple-Choice-Format. Diese haben durchaus ihren Wert: Ein CISSP belegt breites Wissen in den Bereichen Governance, Risiko und Architektur und ist oft genau das Richtige für Positionen im Sicherheitsmanagement oder in der Compliance. Eine Wissensprüfung ist jedoch kein Nachweis dafür, dass der Inhaber eine Schwachstelle in einem Live-System finden und ausnutzen kann, und erhebt diesen Anspruch auch nicht.
Keine der beiden Kategorien ist pauschal besser, sie beantworten unterschiedliche Fragen. Wenn Sie offensive Sicherheitsdienstleistungen beauftragen, sei es ein gezielter Test oder ein umfassendes Red-Team-Engagement, geht es Ihnen vor allem um die Frage, ob diese Person tatsächlich einbrechen kann. Genau für diesen Nachweis wurden die praktischen Zertifikate entwickelt.
Was jedes Zertifikat zeigt, kurz zusammengefasst
Wenn Sie sich pro Akronym nur eine Sache merken, dann diese:
- OSCP: Kann Schwachstellen auf aktiven Netzwerk-Hosts manuell finden und ausnutzen.
- OSWE: Kann den Quellcode einer Anwendung lesen und aus einem Fehler einen funktionierenden Exploit entwickeln.
- OSEP: Kann Endpoint- und Netzwerk-Abwehrmechanismen umgehen und sich unbemerkt im Netzwerk bewegen.
- OSED: Kann funktionierende Exploits auf Binärebene gegen moderne Speicher-Schutzmechanismen schreiben.
- CRTO: Kann eine vollständige Red-Team-Operation gegen ein geschütztes Unternehmen planen und führen.
- BSCP: Kann Webanwendungen systematisch und umfassend testen und ausnutzen.
Warum das für Sie wichtig ist
Zertifizierungen erzählen nicht die ganze Geschichte, und wer etwas anderes behauptet, will Ihnen etwas verkaufen. Erfahrung und Urteilsvermögen wiegen schwerer. Aber diese spezifischen Zertifikate sind praxisbezogen: Sie werden erworben, indem reale Systeme unter Prüfungsbedingungen geknackt werden, nicht durch das Bestehen eines Quiz. Wenn Sie diese Zertifikate sehen, haben Sie Personen vor sich, die ihre praktischen Fähigkeiten nachgewiesen und nicht nur Theorie gelernt haben.
Das ist der Maßstab, an dem wir uns messen lassen, und deshalb nimmt an jedem unserer Ergebnisgespräche ein aktiver Security Engineer teil.
Was ein Zertifikat nicht aussagt
Ein Zertifikat ist ein starkes Signal, aber keine Garantie, und es als solche zu betrachten, wäre ein Fehler. Vier Dinge, die es nicht beantwortet:
- Es ist eine Momentaufnahme. Jemand hat an einem bestimmten Tag eine schwere Prüfung bestanden. Offensive Fähigkeiten bleiben nur durch regelmäßige Praxis scharf, weshalb einige Zertifikate genau aus diesem Grund mittlerweile Rezertifizierungen verlangen. Fragen Sie danach, was jemand in letzter Zeit getestet hat, nicht nur, welche Titel vorliegen.
- Können ersetzt kein Urteilsvermögen. Ein System unter Prüfungsbedingungen zu knacken, ist etwas anderes, als ein reales Projekt abzugrenzen, sich strikt an die schriftliche Genehmigung zu halten und einen Befund so zu dokumentieren, dass Entwickler ihn beheben können.
- Ein Logo steht für ein Team, nicht für Ihren Test. Eine Ansammlung von Zertifikats-Logos auf der Unternehmensseite sagt nichts darüber aus, wer Ihr Projekt tatsächlich durchführt. Fragen Sie nach, wer die Arbeit ausführt und wer sie prüft. Das Preisniveau am Markt orientiert sich an den Tagessätzen erfahrener Specialists, was man bei der Bewertung eines Pentest-Angebots.
- Kein einzelnes Zertifikat deckt alles ab. Netzwerk, Web, Binäranalyse und Red Teaming sind unterschiedliche Disziplinen. Der Wert liegt in der Abdeckung aller Bereiche, weshalb die Gesamtheit der Qualifikationen entscheidender ist als ein einzelner Titel.
Sicherheitszertifizierungen: Kurze Antworten
Was ist der Unterschied zwischen OSCP und CRTO?
Der OSCP belegt, dass jemand Schwachstellen auf einzelnen Systemen manuell finden und ausnutzen kann. Der CRTO weist nach, dass eine vollständige Red-Team-Operation geplant und durchgeführt werden kann: inklusive Aufbau der Angriffsinfrastruktur und zielgerichtetem Vorgehen in einem geschützten Unternehmensnetzwerk. Beim OSCP geht es um das Knacken eines Systems, beim CRTO um die Steuerung der gesamten Kampagne.
Ist der OSCP eine gute Zertifizierung?
Ja, als praktischer Nachweis von Fähigkeiten am System. Es ist eine etwa 24-stündige Prüfung, bei der Live-Systeme kompromittiert und der Weg dahin dokumentiert werden muss. Sie lässt sich nicht durch Auswendiglernen bestehen und gilt branchenweit als Grundstandard für offensive Sicherheitsarbeit. Wie jedes einzelne Zertifikat belegt er für sich allein jedoch weder Urteilsvermögen noch aktuelle Praxiserfahrung.
Was ist der Unterschied zwischen einer praktischen und einer wissensbasierten Zertifizierung?
Eine praktische Zertifizierung wird durch eine zeitbegrenzte, praktische Prüfung an realen Zielsystemen erworben, ohne Punkte für reine Theorie. Eine wissensbasierte Zertifizierung wie der CISSP oder der Standard-CEH wird durch ein Examen über Sicherheitskonzepte erworben. Beide haben ihre Daseinsberechtigung, aber nur die praktischen Prüfungen belegen, dass der Inhaber tatsächlich in ein System einbrechen kann.
Garantieren Zertifizierungen einen guten Penetrationstest?
Nein. Sie sind ein starker Indikator für Fähigkeiten, aber ein Zertifikat ist eine Momentaufnahme am Tag der Prüfung und sagt nichts darüber aus, wer Ihrem Projekt zugewiesen wird oder wie gut der Test abgegrenzt und dokumentiert wird. Fragen Sie nach, wer die Arbeiten ausführt und prüft, und bitten Sie um einen anonymisierten Beispielbericht statt nur um eine Liste von Qualifikationen.
Nutzen Sie diese Fähigkeiten für Ihre Systeme
Für einen 100-$-Check erhalten Sie eine gezielte Analyse und ein Ergebnisgespräch mit einem zertifizierten Pentester.
100-$-Check buchen