CompTIA PenTest+ — Übungsfragen und Probeprüfung

CompTIA PenTest+ (PT0-003) bestätigt die Fähigkeiten, die du brauchst, um Penetrationstests zu planen, ihren Umfang festzulegen und durchzuführen, Ergebnisse zu analysieren und sie den Stakeholdern verständlich zu vermitteln. Die Zertifizierung deckt den kompletten Lebenszyklus eines Penetrationstests ab: Reconnaissance, Enumeration, Schwachstellensuche, Exploitation, Post-Exploitation und Lateral Movement in klassischen, Cloud-, Hybrid-, Webanwendungs-, API- und IoT-Umgebungen.

Die Version PT0-003 ist am 17. Dezember 2024 erschienen und ergänzt Inhalte zu KI-basierten Angriffen, erweiterter Cloud- und API-Exploitation, modernen Post-Exploitation-Techniken und aktualisiertem Tooling. Es ist die einzige Zertifizierung, die sich gezielt auf Penetration Testing konzentriert, und zwar mit einem praxisnahen, leistungsbasierten Ansatz.

PenTest+ gilt als Zertifizierung auf mittlerem Niveau, angesiedelt oberhalb von Security+ und als Ergänzung zu CySA+ (das sich auf defensive Sicherheit konzentriert). Empfohlen wird sie für Fachleute mit 3 bis 4 Jahren praktischer Erfahrung im Penetration Testing.

Die Prüfung besteht aus maximal 90 Fragen, die du in 165 Minuten beantworten musst. Zu den Fragen gehören sowohl Multiple-Choice- als auch leistungsbasierte Aufgaben (Simulationen). Bei den leistungsbasierten Fragen musst du Probleme in simulierten Umgebungen lösen, also etwa Befehle ausführen, Tool-Ausgaben analysieren oder Exploits konfigurieren.

Die Multiple-Choice-Fragen gibt es sowohl im Einzelantwort- als auch im Mehrfachantwort-Format. Manche Fragen präsentieren Szenarien, bei denen du Netzwerkdiagramme, Log-Ausgaben oder Tool-Ergebnisse auswerten musst. Drag-and-drop-Fragen prüfen, ob du Angriffsphasen in die richtige Reihenfolge bringen oder Techniken den passenden Szenarien zuordnen kannst.

Die Bestehensgrenze liegt bei 750 auf einer Skala von 100 bis 900. Die Fragen sind unterschiedlich gewichtet, wobei leistungsbasierte Fragen in der Regel stärker zählen als klassische Multiple-Choice-Aufgaben.

Häufige Stolpersteine für PenTest+-Kandidaten sind:

1. Vernachlässigung des Engagement-Managements: Viele Kandidaten konzentrieren sich stark auf die technische Exploitation und unterschätzen dabei, wie wichtig Scoping, Rules of Engagement, rechtliche Aspekte und Compliance-Anforderungen sind. Domäne 1 (Engagement Management) und die Berichterstattung werden häufig unterschätzt.

2. Tools kennen, aber nicht verstehen: Die Namen der Tools zu kennen (Nmap, Burp Suite, Metasploit), ohne zu verstehen, was ihre Ausgabe bedeutet oder wann man welches Tool einsetzt. Die Prüfung testet angewandtes Wissen, nicht bloßes Wiedererkennen.

3. Die Methodik überspringen: Direkt zur Exploitation zu springen, ohne saubere Reconnaissance und Enumeration. Die Prüfung folgt einer strukturierten Penetration-Testing-Methodik und erwartet, dass du verstehst, warum jede Phase zählt.

4. Schwachstellenscans mit Penetrationstests verwechseln: Es ist entscheidend, den Unterschied zwischen automatisierter Schwachstellenbewertung und manuellem Penetration Testing zu verstehen.

5. Schwache Reporting-Fähigkeiten: Die Prüfung testet, ob du Ergebnisse kommunizieren, Executive Summaries schreiben und Maßnahmen zur Behebung empfehlen kannst. Technische Fähigkeiten allein reichen nicht aus.

6. Cloud- und API-Tests übersehen: PT0-003 hat die Inhalte zu Cloud-Umgebungen, API-Tests und modernen Angriffsflächen erweitert. Wer sich nur auf klassisches Netzwerk-Pentesting vorbereitet, wird sich schwertun.

CompTIA PenTest+ PT0-003 wird weltweit über Pearson-VUE-Testzentren oder per Online-Proctoring von zu Hause oder aus dem Büro angeboten. Die Prüfung ist auf Englisch, Französisch, Japanisch und Portugiesisch verfügbar.

Der Prüfungsgutschein kostet etwa 04 USD (die Preise können je nach Region variieren). Für jeden Versuch musst du die volle Prüfungsgebühr zahlen. CompTIA bietet weder kostenlose Wiederholungen noch Rabatte auf Wiederholungsprüfungen an.

Es gibt keine formalen Voraussetzungen, CompTIA empfiehlt jedoch die Zertifizierungen Network+ und Security+ oder gleichwertiges Wissen sowie 3 bis 4 Jahre praktische Erfahrung im Penetration Testing.

Die Zertifizierung ist ab dem Datum der Erlangung drei Jahre lang gültig. Für die Verlängerung musst du innerhalb des Dreijahreszyklus 60 Continuing Education Units (CEUs) sammeln und zusätzlich die jährliche CE-Gebühr zahlen. CEUs kannst du durch Schulungen, Branchenkonferenzen, Lehrtätigkeiten, Veröffentlichungen und andere anerkannte Aktivitäten sammeln. Alternativ verlängert das Bestehen einer höherwertigen CompTIA-Zertifizierung PenTest+ automatisch.