CySA+ oder GCIH? Erkennen oder Eingreifen im SOC

"CySA+ oder GCIH" fragen SOC-Analysten und Incident-Responder, die ihre Blue-Team-Kompetenz formal belegen wollen. Die ehrliche Antwort: Die beiden liegen in derselben Domäne und trotzdem selten in direkter Konkurrenz. Der eine belegt die Analyse-Seite des SOC, der andere das Eingreifen beim Vorfall, und die Wege zu den beiden Zertifikaten könnten unterschiedlicher kaum sein.

---

Auf dem Papier wirken sie austauschbar: beide akkreditiert, beide ohne formale Zulassungshürde, beide im Herzen der Security Operations. Die Rollen-Abbildung weiter unten zeigt aber, wie klein die Überschneidung tatsächlich ist, und die Kostenzeilen zeigen, dass hier zwei verschiedene Geschäftsmodelle dahinterstehen.

Wofür die beiden stehen

Der CySA+ (CompTIA Cybersecurity Analyst+) ist die Analyst-Stufe der CompTIA-Leiter, oberhalb von Security+ und unterhalb von CASP+. Er fokussiert auf Bedrohungsanalyse, Erkennung und Security Operations und richtet sich an SOC-Analysten und Threat Hunter. Wie alle CompTIA-Prüfungen ist er herstellerneutral, auf Selbststudium ausgelegt und wird in mehreren Sprachen geprüft, darunter Deutsch.

Der GCIH (GIAC Certified Incident Handler) gilt laut GIAC-Umfeld als einer der wertvollsten Nachweise für operative Incident-Response-Kompetenz. Er basiert typischerweise auf dem SANS-Kurs SEC504, vermittelt Angriffstechniken samt Erkennung und Eindämmung und prüft neben Wissensfragen auch praktisch: Der CyberLive-Teil lässt Kandidaten Aufgaben in einer echten Testumgebung lösen.

Die Zahlen im direkten Vergleich

Zwei Muster fallen in der Tabelle auf, die die Entscheidung stärker prägen als die Rollenfrage:

• Der Weg zum Zertifikat ist der eigentliche Kostenfaktor. Der CySA+ ist für das Selbststudium gebaut, die Prüfungsgebühr ist der wesentliche Posten. Beim GCIH gehört der SANS-Kurs praktisch zum Modell: Er kostet ein Vielfaches der ohnehin teureren Prüfung, weshalb der GCIH in der Praxis meist ein vom Arbeitgeber finanzierter Nachweis ist. Selbststudium ist möglich, ohne Lab-Zugang aber deutlich schwerer. Wie CertMap solche Gesamtkosten rechnet, steht in der Kostenmethodik.
• Beide prüfen praktisch, aber verschieden. Der CySA+ streut Performance-based Questions in eine kompakte, beaufsichtigte Prüfung, auch auf Deutsch. Der GCIH prüft Open-Book über vier Stunden, inklusive CyberLive-Aufgaben in einer Live-Umgebung, ausschließlich auf Englisch. Dazu kommt ein Laufzeit-Detail: Der GCIH ist vier Jahre gültig, der CySA+ drei.

Die Rollen-Abbildung darunter zeigt das eigentliche Verhältnis der beiden: Trotz derselben Domäne ist die Schnittmenge klein. Der CySA+ deckt die Analyse- und Erkennungsseite ab, der GCIH die Reaktion auf den Vorfall. Wer beide nebeneinander legt, sieht eher eine Ergänzung als eine Konkurrenz.

Der eine erkennt den Angriff, der andere behandelt den Vorfall. CySA+ ist der zugängliche Analysten-Nachweis, GCIH der kursgebundene Praxisnachweis der Incident-Responder.

Voraussetzungen: formal offen, praktisch verschieden

Beide kennen keine Zulassungshürde, empfehlen aber verschiedene Wege:

• CySA+: Keine formalen Voraussetzungen. CompTIA empfiehlt Kenntnisse auf Security+-Niveau plus rund vier Jahre Hands-on-Erfahrung; die Prüfung ist ohne Kursbindung zugänglich.
• GCIH: Ebenfalls keine formalen Voraussetzungen, aber der zugehörige SANS-Kurs wird dringend empfohlen und ist der Standard-Weg. Wer ohne Kurs antritt, spart viel Geld, verzichtet aber auf die Labs, auf denen die Prüfung praktisch aufbaut.

Praktisch heißt das: Der CySA+ ist eine Eigeninitiative-Entscheidung, der GCIH meist eine Weiterbildungs-Investition des Arbeitgebers.

Die Prüfungen

Die CySA+-Prüfung stellt maximal 85 Fragen in 165 Minuten, darunter Performance-based Questions, beaufsichtigt über Pearson VUE, Bestehensgrenze 750 von 900 Punkten, verfügbar in mehreren Sprachen einschließlich Deutsch. Die GCIH-Prüfung dauert vier Stunden: 106 Fragen im Open-Book-Format plus CyberLive-Aufgaben in einer echten Testumgebung, Bestehensgrenze 70 Prozent, nur auf Englisch. Das Open-Book-Format täuscht übrigens: Es prüft Verständnis statt Auswendigwissen und gilt als anspruchsvoller, als es klingt. Ein Planungshinweis zum CySA+: CompTIA wechselt die Prüfungsversionen turnusmäßig, und der Wechsel auf die Nachfolgeversion war laut CompTIA für 2026 angesetzt; wer die Prüfung bucht, sollte die dann aktuelle Version prüfen.

Unsere Einordnung

Was unsere Bewertung sagt: Die beiden liegen in der CertMap-Bewertung nahezu gleichauf, der GCIH minimal vorn. Bei der Marktstärke sind sie identisch bewertet; den kleinen Abstand macht die Substanz-Achse, konkret der Praxisnachweis, denn der CyberLive-Prüfungsteil und der lab-gestützte Kursweg belegen operative Kompetenz direkter als eine reine Prüfungsleistung. Die Bewertung entscheidet diese Frage also nicht; Rolle, Sprache und Budget entscheiden. Wie die Bewertungsachsen zustande kommen, steht in der Bewertungsmethodik.

Die Entscheidung wird einfacher, wenn man sie von der eigenen Situation her denkt:

• Wer die Analysten-Laufbahn im SOC belegen will, sein Zertifikat selbst finanziert oder eine deutschsprachige Prüfung braucht, ist beim CySA+ richtig: zugänglich, moderat bepreist, sauber in die CompTIA-Leiter integriert.
• Wer operative Incident-Response-Kompetenz nachweisen will und Zugang zum SANS-Weg hat, meist über das Weiterbildungsbudget des Arbeitgebers, bekommt mit dem GCIH den Nachweis mit dem Hands-on-Beleg und dem Gewicht des GIAC-Stacks.
• Die beiden ergänzen sich eher, als dass sie konkurrieren: Ein verbreitetes Muster ist der CySA+ als Analysten-Fundament und der GCIH als operative Vertiefung, sobald die Incident-Response-Verantwortung wächst. Wer beide hält, bedient allerdings zwei getrennte Erneuerungsregimes.

Häufige Fragen

Ist der GCIH ohne SANS-Kurs machbar?

Formal ja, die Prüfung setzt keinen Kurs voraus. Praktisch ist der Weg ohne die Kurs-Labs deutlich schwerer, weil die Prüfung samt CyberLive auf angewandtem Arbeiten aufbaut. Der Kurs ist zugleich der größte Kostenblock des GCIH; wer ihn weglässt, sollte den Aufwand fürs Selbststudium realistisch einplanen.

Was unterscheidet die beiden inhaltlich?

Der CySA+ belegt die Analyse-Seite des SOC: Bedrohungsanalyse, Erkennung, Security Operations. Der GCIH belegt das Eingreifen: Angriffstechniken verstehen, Vorfälle erkennen, eindämmen und behandeln. Die Rollen-Abbildung oben zeigt genau deshalb eine kleine Schnittmenge trotz gleicher Domäne.

Gibt es die Prüfungen auf Deutsch?

Den CySA+ ja, er wird in mehreren Sprachen einschließlich Deutsch geprüft. Der GCIH ist ausschließlich auf Englisch verfügbar.