Hallo,
kann jemand Tipps geben, bei welchem seriösen Unternehmen nach entsprechender Weiterbildung ein Zertifikat zu Cybersecurity erworben kann?
Das Angebotsspektrum ist ja enorm gross und daher wären Empfehlungen sehr zu begrüßen.
[ Ich habe über eine jahrzehnte lange Erfahrung in der IT, jedoch stecke ich nicht tief im Thema Secirity ]
Danke!
Bei Brainymotion oder der ETC kann man ein paar Kurse zur IT Security buchen.
Läuft in der Regel wie folgt ab:
Du besuchst einen Intensivkurs für ein paar Tage in denen du jede Menge theoretisches Wissen vermittelst bekommst und dazu ein paar Labs in denen du üben kannst (meist für 180 Tage).
Nachher (sofern du die Prüfung dazu bestellst) kannst du innerhalb von 180 Tagen die Prüfung zu den jeweiligen Kurs machen (entweder vor Ort oder Online).
Vielen Dank für die Tipps!
Inzwischen habe ich selber etwas weiter recherchiert. Dabei bin ich auf coursera gestossen. Schon mal was davon gehört?
Was willst du denn nachher damit machen? Dich irgendwo bewerben, selbstständig Prüfungen durchführen, oder nur aus eigenem Interesse?
Zunächst mich bewerben.
Zu einem späteren Zeitpunkt käme „selbstständig Prüfungne durchführen“ in Frage…
Dann würde mir spontan CompTIA Security+ einfallen. Die CompTIA Zertifikate sind relativ bekannt und anerkannt, die Kurse werden von verschiedensten Stellen angeboten und u.U. auch als berufliche Weiterbildung sowohl für Berufstätige als auch für Arbeitssuchende durchgeführt.
Vielen Dank!
Mir wäre als der Goldstandard OSCP von Offsec eingefallen.
Aber wie man sieht gibt es zig Zertifizierungen. Bekannte, teure, etc.
Ich würde eher auf potentielle Stellenanzeigen achten und was dort vorausgesetzt wird. Dann weißt du was du brauchst.
Ja, das ist in der Tat sehr umfangreich das ganze Thema.
Man kann in jedem Fall nichts verkehrt machen, „irgendwo“ anzufangen, was aber zumindest eine gewisse Reputation hat.
Das teuerste ist ja bekanntlich nicht immer das beste.
Wie du sagst: Sich nach dem Gefragten richten.
Danke schön für deinen Tipp!
Vielleicht hilft dir diese Übersicht ein passendes Zertifikat zu finden.
https://pauljerimy.com/security-certification-roadmap/
Der „Goldstandard“ ist CISSP. Nichts anderes… Wobei das mehr auf den amerikanischen Markt abzielt. Für Deutschland und den europäischen Raum gibt es „T.I.S.P.“
Hier würde ich allerdings den CISSP präferieren.
Im weiteren sind die anerkanntesten Schulungen vom SANS Institut. Somit die Zertifizierungen vom GIAC. Und das weltweit.
@ Kladderadatsch
Sehr schöne Übersicht.
Danke!
@ fastb00t
Vielen Dank!
peu à peu kristallisiert sich in diesem IT Komplex etwas heraus… 
Der CISSP setzt 5 Jahre Berufserfahrung im IT Security Bereich voraus. Langfristig klingt das spannend - ich kannte die Zertifizierung noch nicht - daher auch danke von mir für den Tipp. Als Anfänger der in den Beruf einsteigen möchte, wirkt es eher ungeeignet.
Also, ich habe etwas mehr in Zusammenhang mit CISSP und T.I.S.P. recherchiert.
Wenn ich bei CISSP (GIAC/SANS) bleibe, finde ich lediglich Vorbereitungskurse, die 6 Tage dauern. Bei diesem umfangreichen Gebiet kann es meiner Ansicht nach lediglich darum gehen, „aus dem Haufen“ random Inhalte herauszupicken und diese kurz zu beleuchten, um eine gute Basis für die Prüfung zu schaffen. Um fit auf diesem ganzen Gebiet zu werden, benötigt man Intensivkurse zumindest über mehrere Wochen/Monate [Offsec bietet z.B. solche Schulungen an]. Da steckt mit Sicherheit viel mehr dahinter als nur Themen wie ping, traceroute, firewall rules, file system permissions oder etwa user permissions zu beherschen (man könnte die Themenliste an dieser Stelle unendlich weiter führen…).
@alle: Gibt es jemanden, der Erfahrung mit „GIAC/SANS“ bzw. CISSP hat und mehr Details darüber geben kann?
Also wer den CISSP schaft, weisst damit i.d.R. schon nach, dass er für die Arbeit im Bereich der Cyber Security qualifiziert ist.
Diese Vorbereitungskurse setzen wissen voraus und sind von jemandem ohne technische Vorkenntnisse oder Grundlagen des ISMS nicht zu bewältigen. Diese Vorbereitungskurse wühlen dann einmal kurz durch alle Themen damit man den Test dann auch besteht.
Es gibt zwar neben dem CISSP noch ein weniger technisches Zertifikat, die und andere wie z.B. von Teletrust spielen aber im beruflichen Kontext keinerlei Relevanz (zumindestens nicht bei unseren Kunden).
Wer einen niederschwelligeren Einstieg sucht, sollte mit dem BSI Grundschutz und/oder ISO 2700x anfangen. Das sind Mamagement-Systeme die signifikant weniger technisches Wissen vorraussetzen und als Zertifikat eine hohe Akzeptanz haben (beim BSI logischerweise nur im DE).
Wer mehr der Autodidakt ist, kann sich auch ein CISSP Lernbuch kaufen und weiß danach alles was es an Grundlagen zu Cyber Security zu wissen gibt.
Danke für die Infos!
Also, selbst wenn ich nachweisen kann, dass ich im Rahmen meiner ca. 35-jährigen Berufserfahrung in der IT über 10-jährige Programmiererfahrung auf systemnaher Ebene (UNIX) habe, TCP/IP kein Thema für mich ist, Router, FW Konfiguration usw. keine Fremdwelt ist, tue ich mir schwer eine Einschätzung zu machen, was wirklich dort verlangt ist, solange ich nicht ein paar Beispiele stichprobenweise aus den CISSP Inhalten haben kann. Es geht letztlich um eine nicht unterschätzbare Investition mit dem Ziel ein Zertifikat in die Hand zu bekommen, denn alleine das Wissen ist in unserer Berufswelt fast irrelevant (könnte man sagen).
Das Buch ist sicherlich ein guter Tipp (separaten Dank dafür).
Ich bin schon lange auf Links wie diesen gestossen und, wenn ich nun einen direkten Hinweis bekomme, dass man damit gute richtungsweisende Basis hat, werde ich damit autodidaktisch weiter kommen.
Wie ist denn die Akzeptanz von OffSec Zertifikaten?
Ich befasse mich ja seit sehr langem mit KALI Linux und weiss, wo KALI Linux steht, aber mit den OffSec Zertfikaten/Schulungen habe ich mich noch nie befasst.
UPDATE @alle Interessenten:
Hier kann man interessante Infos inkl. eines Quiz finden.
Also… Ich habe Erfahrungen mit diversen Zertifikaten. Von Microsoft, GIAC, LPI, Cisco etc. pp… Spielt für das Thema hier allerdings keine Rolle…
Es kommt immer darauf an, was genau Du machen willst und worin du gut bist, bzw. besser werden willst… Du kannst auch nen CCIE Security machen. Da wirste nen Gehalt von 100k++€ haben. Allerdings viel Spass dann beim lernen der Themen und vor allem beim bestehen des praktischen Exams in Brüssel. Wenn Du das durchziehst, Hut ab. Du gehörst zu einer relativ kleinen Elite weltweit…
Für einen CISSP. Brauchst du mehrere Jahre. Alleine die Vorbereitung kostet Dich 6-12 Monate. ggf. auch weniger, je nachdem wie gut Du bist. Wie gesagt, dies ist der Goldstandard!
Ja, ich habe auch GIAC Certs. Ja, das gibt nochmals einen Job Boost. Du wirst alleine dadurch öfter bei LinkedIn und Co gefunden und angeschrieben, da die Firmen und Headhunter genau nach solchen Profilen suchen. In der Regel spielen solche Zertifizierungen bei der kleinen IT Butze umme Ecke keine Rolle…
Also stelle Dir selbst die Frage, was willst Du genau machen? Red Teaming? Hast Du die Skills dazu? Blue Teaming z.B beim SOC arbeiten? Security Operations? Wenn ja, in welchem Gebiet? Oder doch was ganz anderes?
Das GIAC hat auch diverse Entry Level Zertifikate und das SANS Schulungen dazu.
z.b
SEC401: Security Essentials - Network, Endpoint, and Cloud | CERT:
GIAC Security Essentials (GSEC)
SEC301: Introduction to Cyber Security | CERT: GIAC Information Security Fundamentals (GISF)
SEC504: Hacker Tools, Techniques, and Incident Handling | CERT: GIAC Certified Incident Handler Certification (GCIH)
SEC501: Advanced Security Essentials - Enterprise Defender | CERT: GIAC Certified Enterprise Defender (GCED)
Hierbei lohnt es sich ‚immer‘ den Syllabus und die Prerequisites anzusehen.
Auch wenn andere das vermutlich nicht hören wollen. Allerdings hat das GIAC eine höhere Reputation als ofsec. Vermutlich auch einer der Gründe, warum so nen Kurs + Cert mal gute 10k€ kostet^^
Wenn Du es dann in das GIAC Advisory Board schaffen solltest. Gibt es da eine nette Community die Informationen austauscht. Oder auch kostenlose, übriggebliebene Test Prüfungen verteilen bevor sie verfallen…
EDIT
Vielleicht zwei nette Links für die interessierten:
https://attack.mitre.org/matrices/enterprise/
https://attack.mitre.org/matrices/ics/
Viel Spass beim lesen 
EDIT_2:
Es geht für einen Anfänger in der Regel darum ein gutes Grundverständnis von der Cyber Security zu haben. Danach folgt die Spezialsierung auf Gebiete die von Interesse, bzw. die für die Firma von Relevanz sind. Nicht umsonst gibt es in Enterprise Companies zieg Abteilungen und Divisions. Und das nur im CyberSec Umfeld.
Danke für die Details!
Ja… ich bin ja noch in der Due-Diligence Phase sozusagen.
Ohne gute Planung is der PDCA cycle wertlos.
D.h. erst mal Brainstorming mit dem Oberbegriff (Cyber)security, danach alles durch den Filter bzw. auf die Waage legen und anschließend entscheiden.
Was mir momentan viele Fragezeichen aufwirft, ist die gravierende Preisdifferenz zwischen GIAC und (ISC)2; diese sind einfach nicht vergleichbar. Dabei zeigt meine (bisherige) Recherche, dass die Reputation von (ISC)2 durchaus mithalten kann. Mit anderen Worten: Das Preisverhältnis korreliert nicht mit dem Reputationsverhältnis.
Sinngemäß: Ich kaufe einen Ferrari für 400.000€ nur dann, wenn mir alle auf die Autbahn freiwillig Platz machen und ich komme 1 Stunde eher an mein Ziel. Ansonsten gebe ich 50.000€ für einen Mercedes (es könnte auch ein Porsche für 100.000€ sein 
) aus, und ich komme in 75 Minuten an mein Ziel.
P.S.: Übrigens, sehr interessante Links.
Vielleicht war die Frage nach einem Zertifikat dann etwas verfrüht. Bei den meisten Zertifikaten wird man schon eine Menge Skills mitbringen müssen, die wenigsten fangen bei fast 0 an (CS null, nicht IT null). Wenn Dich das Thema interessiert, würde ich mich erstmal mit der Thematik beschäftigen. Je nachdem in welche Richtung es gehen soll, gibt es diverse Einsteigermodule die die Grundlagen vermitteln.
Was ich gerne genutzt habe und gute Erfahrungen sind:
Alle drei gehen eher in Richtung Web Exploitation. Wenn Dich eher die Windows oder Netzwerkstruktur interessiert, müsste jemand anders Quellen nennen.
Ein anderes für mich interessantes Feld ist Binary Exploitation. Dafür gibt es nette Catch The Flag Trainings Platformen mit Aufgaben zum lösen.
Wenn du mehr mobile Hacking machen möchtest, brauchts wieder was anderes. Genauso für Blue Teaming.
Mein Ansatz ist, dass ich mir vorab so viel wie möglich kostengünstig aneignen möchte. Erst wenn ich merke, dass ich es erstens kann und zweitens Spaß macht um das weiter beruflich zu verfolgen, wäre ich bereit größere Mengen Geld zu investieren.
Na ja, mit Blickwinkel auf das Zertifikat ist es ja nicht unbedingt verfrüht, die Frage zu stellen.
Für mich ist ein kurzer Blick in die Inhalte wie z.B. auf der Site von ISC2 mit ein Paar Testfragen völlig ausreichend, um (grob) ein self-assessment vorzunehmen.
Mein Umfeld über die Jahrzehnte hinaus erstreckt sich ja von der systemnahen Programmierung (C), Systemanalyse, Datenanalyse, User- und Systemadministration mit Randthemen in der Netzwerkumgebung, und …, und…, und…, bis hin zum Technical Deal Management bei Complex Deals.
Also, ich will damit sagen, dass ich ein relativ breites Spektrum in der Praxis abdecke und für mich alles in Frage kommen könnte, da ich IT gesamtheitlich liebe. Zum Schluss muss ich halt alles auf die Waage legen und entscheiden.
Für deine Tipps und natürlich die Tipps aller anderen bin ich jedenfalls sehr dankbar.
[UPDATE]
@alle, die eine Antwort auf die Frage „welche ist die Eierlegende Wollmilchsau?“ suchen.