OSCP oder GPEN? Marathon gegen Methode

"OSCP oder GPEN" fragen angehende und aktive Penetrationstester, die einen technischen Praxisnachweis suchen. Die ehrliche Antwort: Beide prüfen praktisch, aber sie prüfen Verschiedenes auf verschiedene Art. Der eine verlangt einen durchgestandenen 24-Stunden-Angriff, die andere methodisches Vorgehen im geprüften Rahmen, und die Kostenlogik der beiden ist genau umgekehrt, als die Preisschilder vermuten lassen.

---

Anders als beim Vergleich mit reinen Wissensprüfungen geht es hier nicht um Theorie gegen Praxis: Beide Nachweise tragen einen echten Praxisanteil. Es geht um die Philosophie dahinter, um das System drumherum und um die Frage, wer am Ende die Rechnung zahlt.

Wofür die beiden stehen

Der OSCP (Offensive Security Certified Professional) von OffSec gilt in der Security-Community als besonders angesehener praktischer Nachweis für Penetrationstester. Die Prüfung ist ein Marathon: fast 24 Stunden Angriff auf ein Live-Übungsnetz, danach ein professioneller Bericht. Der offizielle Vorbereitungskurs PEN-200 ist im Prüfungspaket enthalten. Seit Ende 2024 ersetzt der OSCP+ mit Active-Directory-Szenario das ursprüngliche Format für neue Kandidaten; anders als der klassische, unbegrenzt gültige Titel läuft das Plus laut OffSec in einem Drei-Jahres-Zyklus.

Die GPEN (GIAC Certified Penetration Tester) zertifiziert methodisches Netzwerk-Pentesting: Reconnaissance, Exploitation, Post-Exploitation. Sie basiert typischerweise auf dem SANS-Kurs SEC560, ist nach ISO/IEC 17024 akkreditiert und prüft neben Wissensfragen auch praktisch über CyberLive-Aufgaben in einer echten Testumgebung. Wie im GIAC-System üblich wird alle vier Jahre erneuert.

Die Zahlen im direkten Vergleich

Zwei Muster fallen in der Tabelle auf, die man von den Preisschildern allein nicht ablesen kann:

• Die Kostenlogik läuft gegen die Intuition. Der OSCP wirkt teuer, enthält aber den offiziellen Kurs samt Lab-Zugang im Paket; das Gesamtpaket ist damit auch für Selbstzahler erreichbar. Die GPEN-Prüfung allein ist günstiger, aber der übliche SANS-Kursweg kostet ein Vielfaches des gesamten OSCP-Pakets, weshalb die GPEN in der Praxis meist ein vom Arbeitgeber finanzierter Nachweis ist. Wie CertMap solche Gesamtkosten rechnet, steht in der Kostenmethodik.
• Zwei Praxisprüfungen, zwei Philosophien. Der OSCP ist ein einziger, fast 24-stündiger Live-Angriff mit Bericht, ein Beleg für Durchhaltevermögen und technische Tiefe am Stück. Die GPEN prüft kompakter: Open-Book über drei Stunden, mit CyberLive-Aufgaben als Praxisanteil und methodischer Breite von der Aufklärung bis zur Post-Exploitation.

Dazu kommt der formale Kontrast, der schon den CEH/OSCP-Vergleich geprägt hat: Die GPEN ist akkreditiert und wird im Vier-Jahres-Zyklus gepflegt, der klassische OSCP ist nicht akkreditiert und kennt keine Pflege-Pflicht; sein Gewicht bezieht er aus der Reputation in der Fachszene.

Marathon gegen Methode. Der OSCP belegt den durchgestandenen 24-Stunden-Angriff samt Bericht, die GPEN methodisches Netzwerk-Pentesting im akkreditierten, gepflegten GIAC-Rahmen.

Voraussetzungen: zweimal offen, zweimal anders gemeint

Formal verlangen beide nichts, praktisch unterscheiden sich die Wege:

• OSCP: Keine formalen Voraussetzungen. Der PEN-200-Kurs ist im Preis enthalten und die offizielle Vorbereitung; solide Netzwerk- und Linux-Kenntnisse sind laut OffSec dringend empfohlen und praktisch Voraussetzung fürs Bestehen.
• GPEN: Ebenfalls keine formalen Voraussetzungen, aber der zugehörige SANS-Kurs wird dringend empfohlen und ist der Standard-Weg; grundlegende Netzwerkkenntnisse sollten vorhanden sein.

Der Unterschied liegt im Modell: Beim OSCP kauft man Kurs und Prüfung als Einheit, bei der GPEN sind Kurs und Prüfung getrennte Entscheidungen mit sehr verschiedenen Preisschildern.

Die Prüfungen

Die OSCP-Prüfung dauert knapp 24 Stunden am Stück: Angriff auf ein Live-Übungsnetz unter Aufsicht, Bestehensgrenze 70 von 100 Punkten, danach der Bericht, alles auf Englisch. Die GPEN-Prüfung folgt dem GIAC-Modell: 82 Fragen plus CyberLive-Aufgaben in drei Stunden, Open-Book, beaufsichtigt, Bestehensgrenze 74 Prozent, ebenfalls nur auf Englisch. Wer die beiden Formate nebeneinander legt, versteht die Zielgruppen: Der OSCP prüft, ob man einen Angriff durchziehen kann, die GPEN, ob man das Handwerk methodisch beherrscht.

Unsere Einordnung

Was unsere Bewertung sagt: Im Gesamtwert liegen die beiden exakt gleichauf, die Achsen dahinter sind aber gegenläufig. Bei der Marktstärke liegt der OSCP leicht vorn, getragen von seinem Gewicht im Pentest-Arbeitsmarkt, aber gebremst durch die fehlende Akkreditierung. Bei der Substanz liegt die GPEN leicht vorn, weil sie laufend gepflegt wird, während der klassische OSCP trotz des stärksten Praxisnachweises dieses Vergleichs keine Pflege-Pflicht kennt. Gleiches Ergebnis, zwei Profile; die Wahl hängt daran, welches man belegen will. Wie die Bewertungsachsen zustande kommen, steht in der Bewertungsmethodik.

Die Entscheidung wird einfacher, wenn man sie von Budget und Zielumfeld her denkt:

• Wer den Nachweis sucht, nach dem Pentest-Teams und Ausschreibungen konkret fragen, oder als Selbstzahler das komplette Paket aus Kurs, Lab und Prüfung will, ist beim OSCP richtig.
• Wer im SANS/GIAC-Umfeld arbeitet, Zugang zum Weiterbildungsbudget des Arbeitgebers hat und einen akkreditierten, gepflegten Nachweis braucht, etwa in formal geprägten Umgebungen, findet in der GPEN den passenden Beleg.
• Die beiden schließen sich nicht aus: In offensiv arbeitenden Teams ist der OSCP oft der szeneübliche Einstiegsbeleg und die GPEN der methodische Baustein aus dem SANS-Curriculum; wer beide hält, bedient zwei Erneuerungswelten, die klassisch beim OSCP gar keine und bei der GPEN alle vier Jahre eine Pflicht kennen.

Häufige Fragen

Ist die GPEN leichter als der OSCP?

Die Formate lassen sich nicht auf einer Skala vergleichen. Der OSCP verlangt, unter Zeitdruck einen kompletten Angriff durchzuziehen und zu dokumentieren; die GPEN prüft methodisches Vorgehen kompakt und mit CyberLive-Praxisanteil. Anspruchsvoll sind beide, nur auf verschiedene Art.

Brauche ich für die GPEN den SANS-Kurs?

Formal nein, die Prüfung steht allen offen. Der Kurs ist aber der Standard-Weg und der mit Abstand größte Kostenblock. Der OSCP löst das anders: Dort ist der offizielle Kurs im Prüfungspaket enthalten, was das Gesamtpaket für Selbstzahler kalkulierbarer macht.

Gibt es die Prüfungen auf Deutsch?

Nein, beide Prüfungen sind ausschließlich auf Englisch verfügbar, beim OSCP einschließlich des einzureichenden Berichts.