CompTIA PenTest+ — Übungsfragen und Probeprüfung

CompTIA PenTest+ (PT0-003) weist die Fähigkeiten nach, Penetrationstests zu planen, ihren Umfang festzulegen und durchzuführen, Ergebnisse zu analysieren und sie gegenüber Stakeholdern zu kommunizieren. Abgedeckt wird der komplette Lebenszyklus eines Penetrationstests: Reconnaissance, Enumeration, Schwachstellensuche, Exploitation, Post-Exploitation und Lateral Movement, und zwar in klassischen, Cloud-, Hybrid-, Webanwendungs-, API- und IoT-Umgebungen.

Die Version PT0-003 ist am 17. Dezember 2024 gestartet und ergänzt KI-basierte Angriffe, mehr Cloud- und API-Exploitation, moderne Post-Exploitation-Techniken und aktualisiertes Tooling.

CompTIA empfiehlt drei bis vier Jahre Erfahrung als Penetration Tester sowie Kenntnisse auf dem Niveau von Network+ und Security+.

Attacks and Exploits dominiert das Blueprint mit 35 % (mehr als ein Drittel der Prüfung) und deckt Zielpriorisierung sowie praktische Exploitation ab, quer über Netzwerke, Web-Apps, Cloud-Umgebungen, Wireless-Hardware und Social-Engineering-Ziele. Es folgt Reconnaissance and Enumeration mit 21 %, danach Vulnerability Discovery and Analysis mit 17 %. Post-exploitation and Lateral Movement (14 %) und Engagement Management (13 %) sind die kleinsten Domains, aber Engagement Management legt genau das rechtliche und organisatorische Fundament, das jede spätere Domain als gegeben voraussetzt.

Die Gewichtung belohnt dich, wenn du eine Angriffskette von Anfang bis Ende durchziehen kannst, statt ihre einzelnen Phasen nur wiederzuerkennen: Reconnaissance, Exploitation und Post-Exploitation machen zusammen 70 % der Prüfung aus, und die Fragen setzen voraus, dass eine Phase die nächste bestimmt. Der kleine Anteil von Engagement Management täuscht. Liegst du bei Scoping und rechtlichen Grundlagen daneben, werden spätere technische Antworten als Verstoß gegen die Rules of Engagement gewertet, der zwei Domains früher angelegt wurde.

Die Prüfung stellt dir bis zu 90 Fragen in einem Zeitfenster von 165 Minuten. Das ist länger als bei den meisten CompTIA-Prüfungen, weil Platz für performance-basierte Aufgaben bleiben muss: echte Befehlsausführung, Analyse von Tool-Ausgaben und Exploit-Konfiguration in simulierten Umgebungen. Multiple-Choice-Fragen kommen mit einer oder mit mehreren richtigen Antworten und bauen oft auf einem Netzwerkdiagramm, einem Log-Auszug oder einer Tool-Ausgabe auf, die du interpretieren musst, statt auf einem Fakt, den du direkt abrufst. Drag-and-Drop-Aufgaben prüfen, ob du eine Angriffskette in die richtige Reihenfolge bringst oder eine Technik der Phase zuordnest, in die sie gehört. Bestanden hast du ab 750 Punkten auf einer Skala von 100 bis 900.

Der COMPTIA-PENTEST-Pool deckt jede Domain ab und wird laufend um neue Fragen erweitert. Eine Probeprüfung stellt dir 90 Fragen am Stück, mit derselben 165-Minuten-Uhr wie am Prüfungstag.

Wie lange du brauchst, hängt davon ab, wie viel Praxiserfahrung du mitbringst. Den Rest legt der Anbieter fest: wie die Prüfung abläuft, wie schnell du wiederholen darfst und wie lange das Zertifikat gültig bleibt.

CompTIA PenTest+ PT0-003 legst du weltweit in Pearson-VUE-Testzentren ab oder online mit Proctor. Die Prüfung gibt es auf Englisch, Französisch, Japanisch und Portugiesisch. Die Zertifizierung ist drei Jahre gültig. Verlängern kannst du sie mit 60 CEUs plus der jährlichen CE-Gebühr oder indem du eine höherwertige CompTIA-Zertifizierung erwirbst.

Engagement Management wird von allen unterschätzt, die sich auf Exploitation stürzen und Scoping, Rules of Engagement und rechtliche Aspekte für Papierkram statt für Prüfungsstoff halten. Engagement Management ist eine vollwertige Domain, kein Vorspann. Den Namen eines Tools zu kennen ist außerdem nicht dasselbe, wie zu wissen, was seine Ausgabe bedeutet: Die Prüfung erwartet, dass du Ergebnisse von Nmap, Burp Suite oder Metasploit liest und daraus den nächsten Schritt ableitest, nicht bloß das Tool wiedererkennst. Direkt in die Exploitation zu springen, ohne saubere Reconnaissance und Enumeration, ist ein Methodikfehler, den die Prüfung unmittelbar bestraft, und Schwächen im Reporting verschärfen das Ganze noch. Ein technisch sauberes Engagement mit dünner Executive Summary oder fehlenden Handlungsempfehlungen kostet trotzdem Punkte. PT0-003 hat zusätzlich die Abdeckung von Cloud, APIs und Spezialsystemen ausgeweitet. Wer nur klassische Netzwerk-Penetrationstests gelernt hat, verliert deshalb Boden bei Attacks and Exploits, der größten Domain mit 35 %.