T.I.S.P.-Prüfung: Ablauf, Prüfungsfragen und Vorbereitung

Das T.I.S.P.-Programm (TeleTrusT Information Security Professional) verantwortet der Bundesverband IT-Sicherheit e.V. (TeleTrusT). Prüfung und Zertifikat kommen bei AWARE7 von der DEKRA Certification GmbH als unabhängiger Zertifizierungsstelle, deshalb folgt dieser Ratgeber ihrer Prüfungs- und Zertifizierungsordnung (PZO). Ein anderer Anbieter lässt über PersCert (TÜV Rheinland) prüfen, dort gelten eigene Regeln.

Ablauf der T.I.S.P.-Prüfung

Den Ablauf legt die PZO der DEKRA fest, aktuell in der Revision 02/02/26: Anmeldung, Zulassung, Prüfung, Bewertung und bei Bedarf Wiederholung.

Anmeldung. Die Anmeldung erfolgt schriftlich anhand des DEKRA-Antragsformulars (F-03S-69) zusammen mit der Bestätigung von PZO, Allgemeinen Zertifizierungsbedingungen (AZB) und AGB der DEKRA Certification GmbH. Der Antrag muss spätestens 10 Werktage vor dem geplanten Prüfungstermin eingehen. Alle einzureichenden Nachweise müssen in deutscher Sprache verfasst sein; ausländische Nachweise sind durch eine öffentlich bestellte und allgemein beeidigte Übersetzerin oder einen öffentlich bestellten und allgemein beeidigten Übersetzer ins Deutsche zu übertragen.

Zulassungsvoraussetzungen. Für die Zulassung sind drei Dokumentenarten erforderlich:

• Nachweis einer mindestens dreijährigen Berufstätigkeit in der IT- oder Informationssicherheit
• Beleg theoretischer Vorkenntnisse: Zeugnisse einschlägiger Ausbildungen oder Zertifikate, alternativ Projektreferenzen aus den letzten drei Jahren mit inhaltlichem Bezug zur IT-Sicherheit
• Schulungsnachweis eines durch DEKRA und TeleTrusT anerkannten Anbieters

Die Nachweispflicht liegt bei der zu prüfenden Person.

12-Monats-Frist. Die Prüfungsleistung muss innerhalb von zwölf Monaten ab dem Datum der erfolgreichen Schulungsabsolvierung erbracht werden. Nach Ablauf dieser Frist erlischt die Prüfungsberechtigung. In begründeten Härtefällen kann DEKRA auf Antrag eine Ausnahme zulassen.

Durchführung. Die Prüfung wird remote in deutscher Sprache durchgeführt. Hilfsmittel sind nicht zugelassen. Der Prüfungsfragenpool stammt vom TeleTrusT-Gremium; die konkreten Prüfungsaufgaben werden von der Zertifizierungsstelle DEKRA ausgewählt.

Bewertung und Ergebnis. Für jede vollständig richtig beantwortete Frage gibt es einen Punkt, maximal also 180 Punkte. Die Prüfung gilt als bestanden, wenn mindestens 70 % (126 Punkte) erreicht werden. Das Zertifizierungsgremium trifft die Entscheidung innerhalb von ca. drei Wochen nach dem Prüfungstermin. Das DEKRA-Zertifikat wird für eine Laufzeit von drei Jahren ausgestellt.

Wiederholung. Eine nicht bestandene Prüfung kann einmalig ohne erneute Schulung wiederholt werden. Die Anmeldung zur Wiederholungsprüfung muss im Regelfall innerhalb von 60 Tagen nach der Zertifizierungsentscheidung erfolgen. Eine zweite Wiederholung setzt die erneute Teilnahme an einer anerkannten Schulung voraus.

Welche Themen die Prüfungsfragen abdecken

Die Prüfungsinhalte gliedern sich laut DEKRA-PZO (Anlage 2) in sieben Oberkategorien:

Diese sieben Kategorien sind laut TeleTrusT auf 20 Module aufgeteilt; alle Inhalte und Prüfungen sind in deutscher Sprache abgefasst. Den vollständigen Lehrplan mit 5-Tage-Struktur listet die Kursseite.

So sind die T.I.S.P.-Prüfungsfragen aufgebaut

Jede Multiple-Choice-Frage (MCF) enthält vier Antwortmöglichkeiten. Richtig sind immer eine, zwei oder drei Antworten, nie alle vier. Einen Punkt gibt es nur für eine vollständig richtig beantwortete MCF.

Die folgenden Beispielfragen sind eigene Übungsformulierungen nach PZO-Format. Sie stammen nicht aus dem Prüfungspool. Diesen stellt das TeleTrusT-Gremium bereit, eine offizielle Veröffentlichung ist nicht bekannt.

Beispielfrage 1: Kryptographie (PKI) (1-3 Antworten möglich)

Welche Aussagen zur Public-Key-Infrastruktur (PKI) treffen zu?

A) Eine PKI verknüpft öffentliche Schlüssel über digitale Zertifikate mit Identitäten.
B) Der private Schlüssel wird an Kommunikationspartner weitergegeben, damit diese Nachrichten verschlüsseln können.
C) Eine Certificate Authority (CA) signiert Zertifikate und bestätigt deren Gültigkeit.
D) Jeder Teilnehmer kann ohne vertrauenswürdige Zertifizierungsstelle eigenständig gültige Zertifikate ausstellen.

Richtige Antworten: A und C. B ist falsch, der private Schlüssel wird niemals weitergegeben. D ist falsch im PKI-Kontext: Im CA-basierten Vertrauensmodell der PKI setzt ein gültiges Zertifikat eine autorisierte CA als Vertrauensanker voraus.

Beispielfrage 2: Sicherheitsmanagement (ISMS) (1-3 Antworten möglich)

Welche Aussagen zum Information Security Management System (ISMS) nach ISO 27001 treffen zu?

A) Ein ISMS wird einmalig eingeführt und muss danach nicht weiter überprüft werden.
B) Die Norm verlangt, das ISMS fortlaufend zu verbessern.
C) ISO 27001 schreibt einen festen Katalog technischer Maßnahmen vor, den jedes Unternehmen verbindlich umsetzen muss.
D) Ein ISMS kann nur in Unternehmen mit einer dedizierten IT-Abteilung sinnvoll eingesetzt werden.

Richtige Antwort: B. Abschnitt 10 der Norm fordert die fortlaufende Verbesserung; der PDCA-Zyklus ist dafür ein verbreitetes Hilfsmittel, seit der Ausgabe 2013 aber nicht mehr ausdrücklich vorgeschrieben. A ist falsch, ein ISMS wird dauerhaft betrieben, überwacht und bewertet. C ist falsch, ISO 27001 ist risikobasiert und schreibt keine fixen Maßnahmen vor. D ist falsch, auch KMU ohne eigene IT-Abteilung können ein ISMS einführen.

Beispielfrage 3: Rechtliche Grundlagen (DSGVO) (1-3 Antworten möglich)

Welche der folgenden Anforderungen ergeben sich aus der Datenschutz-Grundverordnung (DSGVO)?

A) Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke verarbeitet werden (Zweckbindung).
B) Eine Datenschutz-Folgenabschätzung (DSFA) ist bei jeder Verarbeitung personenbezogener Daten verpflichtend durchzuführen.
C) Führt eine Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen, meldet der Verantwortliche sie unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde (Art. 33 DSGVO).
D) Die Einwilligung der betroffenen Person ist die einzige zulässige Rechtsgrundlage für die Verarbeitung personenbezogener Daten nach Art. 6 DSGVO.

Richtige Antworten: A und C. B ist falsch, eine DSFA ist nur bei voraussichtlich hohem Risiko für Betroffene erforderlich (Art. 35 DSGVO). D ist falsch, Art. 6 DSGVO nennt sechs gleichberechtigte Rechtsgrundlagen, die Einwilligung ist nur eine davon.

Hinweis zur Prüfungsvorbereitung: Art. 33 DSGVO (Meldepflicht gegenüber der Aufsichtsbehörde) greift bereits bei einem voraussichtlichen Risiko für Betroffene. Die strengere Schwelle des hohen Risikos gilt für Art. 34 DSGVO, der die direkte Benachrichtigung der betroffenen Personen regelt.

Wer sich für die T.I.S.P.-Prüfung eignet

IT-Sicherheitsfachkräfte und Quereinsteiger mit Praxiserfahrung

T.I.S.P. richtet sich an erfahrene Fachkräfte, die im Bereich Informationssicherheit, IT-Sicherheit oder Sicherheitsmanagement tätig sind, typischerweise Security Consultants, IT-Auditoren, IT-Leiter und CISOs. Die Zulassung setzt mindestens drei Jahre Berufstätigkeit in der IT- oder Informationssicherheit voraus.

Quereinsteiger aus angrenzenden IT-Bereichen können die theoretischen Vorkenntnisse statt über Zeugnisse oder Zertifikate auch über Projektreferenzen der letzten drei Jahre belegen. Die drei Jahre Berufstätigkeit in der IT- oder Informationssicherheit bleiben aber Pflicht.

Informationssicherheitsbeauftragte (ISB)

Für ISBs mit praktischer Erfahrung bietet T.I.S.P. die Möglichkeit, das Fachwissen mit einer unabhängig geprüften Qualifikation zu belegen. Mehrere Prüfungsbereiche betreffen Themen, mit denen ISBs täglich arbeiten: Sicherheitsmanagement und ISMS, Business Continuity und Notfallmanagement, Security Awareness sowie rechtliche Grundlagen. Was den ISB im Berufsalltag ausmacht, beschreibt der Wiki-Artikel zum Informationssicherheitsbeauftragten ausführlich.

Die Prüfung umfasst ein breites technisches und rechtliches Spektrum, das über typische ISB-Alltagsaufgaben hinausgeht. Wer noch keine drei Jahre Berufserfahrung in der IT- oder Informationssicherheit mitbringt, sollte zunächst einen Grundlagenlehrgang absolvieren.

Vorbereitung auf die T.I.S.P.-Prüfung

Schulung als Pflichtnachweis. Die Teilnahme an einer durch DEKRA und TeleTrusT anerkannten Schulung ist Zulassungsvoraussetzung, ein reines Selbststudium genügt nicht. Fehlt bei der Anmeldung noch ein Nachweis, kann die Prüfung trotzdem stattfinden; er muss dann innerhalb von zehn Werktagen nach dem Prüfungstermin vorliegen, sonst gilt die Prüfung als nicht bestanden.

Frist im Blick behalten. Die Prüfung muss innerhalb von zwölf Monaten nach der erfolgreichen Schulungsabsolvierung abgelegt werden. Wer die Frist versäumt, verliert die Prüfungsberechtigung, außer DEKRA lässt auf Antrag eine Härtefall-Ausnahme zu.

Schulung bei AWARE7. Der Kurs behandelt alle 20 Module des T.I.S.P.-Lehrplans. Fünf davon hat AWARE7 redaktionell verantwortet, darunter Hackermethoden sowie Business Continuity Management und Incident and Emergency Response. Dieselben Fachleute, die diese Inhalte verfasst haben, unterrichten sie auch im Kurs. Termine, Lehrplan und Anmeldung: T.I.S.P.-Schulung bei AWARE7 buchen.

Lernmaterial. Die Schulungsunterlagen des anerkannten Anbieters sind auf die Prüfungsinhalte der PZO abgestimmt und bilden die inhaltliche Grundlage für die Prüfungsvorbereitung.

Ist T.I.S.P. international anerkannt?

TeleTrusT bezeichnet T.I.S.P. als "anerkannten Nachweis dieser Art für Europa". Die Inhalte umfassen laut Programmseite "die wichtigsten internationalen Aspekte der Informationssicherheit" und berücksichtigen "die Prinzipien des IT-Grundschutzes sowie die deutsche und europäische Gesetzgebung". Zur Verbreitung schreibt TeleTrusT, das Zertifikat erfahre "in der deutschen Wirtschaft wachsende Akzeptanz".

T.I.S.P. ist damit vor allem für den deutschen Markt relevant: Prüfung und Unterlagen sind deutschsprachig, die Inhalte berücksichtigen IT-Grundschutz sowie deutsches und europäisches Recht. Für Rollen mit internationalem Fokus lohnt ein Blick auf den CISSP, den ISC2 als weltweit bekannteste Zertifizierung im Informationssicherheitsmarkt bezeichnet. Einen direkten Vergleich enthält der Artikel IT-Sicherheits-Zertifizierungen im Vergleich: T.I.S.P., CISSP, CISM und mehr.

Quellen

• DEKRA Certification GmbH: T.I.S.P. Prüfungs- und Zertifizierungsordnung (PZO), Rev. 02/02/26 (D-03S-69)
• TeleTrusT Bundesverband IT-Sicherheit e.V.: T.I.S.P.-Programm
• TeleTrusT Bundesverband IT-Sicherheit e.V.: T.I.S.P.-Curriculum
• ISC2: CISSP Certification Exam Outline