CISSP oder TISP? Der eine baut, der andere steuert

"CISSP oder T.I.S.P." ist die Frage von Security-Professionals, die im deutschen Markt arbeiten und sich zwischen einem weltweiten Klassiker und einer deutschen Zertifizierung entscheiden. Anders als bei zwei internationalen Zertifizierungen geht es hier nicht um Nuancen im Profil, sondern um eine grundsätzliche Weichenstellung: internationale Sichtbarkeit oder Verankerung im deutschen Normen- und Behördenumfeld.

---

Auf den ersten Blick wirken sie vergleichbar: Beide sind anspruchsvolle Prüfungen für erfahrene Fachleute, beide decken ein breites Feld der Informationssicherheit ab. Doch sie sind für verschiedene Märkte gebaut. Der CISSP ist ein global anerkannter Generalist, der T.I.S.P. eine deutsche Zertifizierung, die außerhalb des DACH-Raums praktisch keine Rolle spielt, im deutschen Markt aber ein klares Qualitätssignal setzt.

Wofür die beiden stehen

Der CISSP (Certified Information Systems Security Professional) von ISC2 ist die international bekannteste Generalisten-Zertifizierung der Informationssicherheit. Seine acht Domains reichen von Sicherheitsarchitektur über Netzwerk- und Identity-Management bis zur Softwareentwicklungssicherheit. Er ist in Stellenausschreibungen weltweit präsent, besonders in Konzernen, im Cloud-Umfeld und überall dort, wo internationale Teams und Kunden zusammenkommen.

Der T.I.S.P. (TeleTrusT Information Security Professional) wird vom Bundesverband IT-Sicherheit (TeleTrusT) getragen und ausschließlich auf Deutsch geprüft. Inhaltlich liegt der Schwerpunkt auf dem deutschen Normen- und Rechtsrahmen: ISO 27001, BSI IT-Grundschutz, DSGVO und NIS-2. Er richtet sich an Menschen, die in Behörden, im KRITIS-Umfeld oder in der deutschen Sicherheitsberatung arbeiten und genau diese Verankerung belegen wollen.

Die Zahlen im direkten Vergleich

Zwei Muster fallen in der Tabelle auf, die in keinem Marketing-Text stehen:

• Beim Geld dreht sich das Bild mit der Laufzeit. Der T.I.S.P. startet deutlich teurer, weil der fünftägige Vorbereitungskurs Pflicht ist. Über fünf Jahre kehrt sich das um: Der CISSP verlangt doppelt so viele Weiterbildungsstunden pro Jahr, und diese Arbeitszeit kostet. Am Ende liegt der T.I.S.P. vorn. Wer nur Prüfungspreise vergleicht, sieht davon nichts.
• Reichweite und Sprache sind selbst ein Kriterium. Der CISSP ist mehrsprachig und weltweit anerkannt, der T.I.S.P. deutschsprachig und auf den DACH-Raum begrenzt. Für eine internationale Laufbahn ein harter Unterschied, im deutschen öffentlichen Sektor kaum relevant.

Der wichtigste Unterschied steht aber nicht in den Kostenzeilen, sondern in den Tätigkeitsfeldern. Die Rollen-Abbildung darunter zeigt es: Der Schwerpunkt des CISSP liegt beim Entwurf und der Entwicklung sicherer Systeme, der des T.I.S.P. bei Steuerung, Bewertung und Governance. Die Schnittmenge ist klein.

Der T.I.S.P. ist nicht der CISSP für Europa. Der eine baut, der andere steuert. Zwei Berufe, nicht zwei Varianten desselben.

Voraussetzungen: Erfahrung gegen Pflichtkurs

Die beiden regeln den Zugang grundverschieden:

• CISSP: Fünf Jahre kumulierte Berufserfahrung in mindestens zwei der acht CISSP-Domains. Ein Jahr lässt sich durch einen Hochschulabschluss oder eine anerkannte Zertifizierung ersetzen. Wer die Erfahrung noch nicht hat, kann die Prüfung ablegen und wird bis dahin "Associate of ISC2".
• T.I.S.P.: Keine formale Jahres-Anforderung, aber der fünftägige Vorbereitungskurs bei einem akkreditierten Schulungsanbieter (etwa Fraunhofer SIT oder secuvera) ist verpflichtend, bevor man zur Prüfung antreten darf.

Der Unterschied ist praktisch spürbar: Beim CISSP steht die nachgewiesene Praxiserfahrung im Vordergrund, beim T.I.S.P. die strukturierte Vorbereitung über den Pflichtkurs.

Die Prüfungen

Die CISSP-Prüfung ist adaptiv (CAT): 100 bis 150 Fragen in drei Stunden, die Schwierigkeit passt sich den Antworten an, bestanden ist sie ab 700 von 1000 Punkten; sie wird in mehreren Sprachen angeboten, auch auf Deutsch. Die T.I.S.P.-Prüfung ist klassisch linear: 180 Multiple-Choice-Fragen in vier Stunden, Closed-Book, Bestehensgrenze 70 Prozent, ausschließlich auf Deutsch, abgenommen von der DAkkS-akkreditierten DEKRA Certification GmbH.

Einen Unterschied macht der Rhythmus, und er wird in Produktbeschreibungen selten deutlich: Beim T.I.S.P. folgt die Prüfung dicht auf den Pflichtkurs, in der Praxis Montag bis Freitag Intensivschulung und Prüfung am darauffolgenden Montag. Beim CISSP wählt man den Termin frei, kann monatelang vorbereiten und verschieben. Die T.I.S.P.-Prüfungssituation ist dadurch verdichteter, als die reinen Formatangaben vermuten lassen.

Unsere Einordnung

Was unsere Bewertung sagt: In der CertMap-Bewertung liegt der CISSP klar vorne, und der Abstand entsteht fast vollständig über die Marktanerkennung. Der Grund lässt sich beziffern: Der T.I.S.P. kommt nach über zwei Jahrzehnten auf rund 2.300 Zertifizierte, der CISSP weltweit auf mehr als 170.000. Das ist keine Aussage über die inhaltliche Qualität des T.I.S.P., dessen Curriculum den deutschen Normen- und Rechtsrahmen sogar präziser abbildet, sondern über Bekanntheit und Verbreitung. Wer heute eine Stelle in der Informationssicherheit ausschreibt, nennt meist CISSP oder CISM, oft schlicht weil der T.I.S.P. nicht bekannt ist. Wie die Bewertungsachsen zustande kommen, steht in der Bewertungsmethodik.

Dass der Abstand so ausfällt, ist kein Zufall. Der CISSP ist in den USA über die DoD-Direktive 8140 als Pflichtanforderung für bestimmte Cybersecurity-Rollen verankert. Regulierung erzeugt Nachfrage, Nachfrage erzeugt Sichtbarkeit, und in deren Folge entstehen die Rollen-Crosswalks, aus denen unsere Zuordnung bei internationalen Zertifizierungen stammt (der T.I.S.P. ist dort nicht geführt, deshalb beruht die Abbildung oben für beide einheitlich auf unserer kuratierten Zuordnung). Für den T.I.S.P. bot die Umsetzung von NIS-2 in deutsches Recht eine vergleichbare Gelegenheit: Qualifikationsanforderungen für Sicherheitsverantwortliche in kritischen Infrastrukturen hätten ihn als Referenz verankern können. Genutzt wurde sie nicht. Was dem T.I.S.P. fehlt, liegt damit nicht in der Zertifizierung, sondern in der Marktdurchsetzung dahinter.

Die Entscheidung wird einfacher, wenn man sie vom Zielmarkt her denkt:

• Wer international, in Konzernen oder im Cloud-Umfeld arbeitet und ein weltweit lesbares Signal braucht, ist beim CISSP richtig. Er ist die Eintrittskarte für Rollen, in denen internationale Anerkennung vorausgesetzt wird.
• Wer im deutschen Behörden-, KRITIS- oder Beratungsumfeld unterwegs ist und Kompetenz im deutschen Normen- und Rechtsrahmen (BSI, DSGVO, NIS-2) belegen will, findet im T.I.S.P. den passenderen Nachweis.
• Beide schließen sich nicht aus: Für Fachleute mit internationalem Anspruch und deutschem Tätigkeitsschwerpunkt ist die Kombination eine nachvollziehbare Wahl, auch wenn beide separat gepflegt werden müssen.

Warum der T.I.S.P. oft als "deutsche Antwort auf den CISSP" beschrieben wird und was hinter dem Schema steht, steht im T.I.S.P.-Steckbrief-Artikel.

Häufige Fragen

Ist der T.I.S.P. international anerkannt?

Nein. Der T.I.S.P. ist eine deutsche Zertifizierung mit Bezug auf den DACH-Raum. Außerhalb Deutschlands ist er kaum bekannt; wer internationale Sichtbarkeit braucht, ist mit dem CISSP besser bedient.

Ist der T.I.S.P. leichter als der CISSP?

Die beiden lassen sich nicht direkt über Schwierigkeit vergleichen, weil sie unterschiedliche Schwerpunkte prüfen. Der CISSP ist breiter und technischer international ausgerichtet, der T.I.S.P. stärker am deutschen Normen- und Rechtsrahmen orientiert. Beide setzen fundierte Vorbereitung voraus.

Lohnt sich der T.I.S.P. trotz begrenzter Reichweite?

Im deutschen öffentlichen Sektor, im KRITIS-Umfeld und in der deutschen Sicherheitsberatung ist er ein anerkanntes Signal und dort oft passgenauer als ein internationaler Titel. Außerhalb dieses Marktes verliert er schnell an Gewicht.

Wird der T.I.S.P. künftig an Bedeutung gewinnen?

Das hängt weniger am Curriculum als an der Vermarktung und an der Regulierung. Solange keine verbindlichen Qualifikationsanforderungen ihn als Referenz benennen und er in Stellenanzeigen kaum auftaucht, bleibt die Reichweite begrenzt. Wer heute entscheidet, sollte deshalb vom aktuellen Stand ausgehen und nicht von einer erhofften Aufwertung.