← CertOwl Blog

Wie schwer ist die CompTIA PenTest+? Was die Prüfung wirklich verlangt

Von SunTzu, Gründer von CertOwl • Veröffentlicht am 10. August 2026 • 3 Min. Lesezeit

Die PenTest+ hat den Ruf, der Punkt zu sein, an dem CompTIA aufhört, sanft zu sein. Der Ruf ist größtenteils verdient, aber nicht aus dem Grund, den die meisten vermuten. Die Fragen sind keine obskuren Trivia; sie sind Phasen eines echten Einsatzes, und die Prüfung setzt schlicht voraus, dass du schon einmal am Terminal gestanden und diese Phasen durchgearbeitet hast. Wie schwer sie dir vorkommt, hängt fast vollständig davon ab, ob diese Annahme auf dich zutrifft.

Was die Prüfung voraussetzt

CompTIA schreibt die PT0-003 für jemanden mit Wissen auf Network+ und Security+ Niveau und grob 3 bis 4 Jahren praktischer Arbeit in der Informationssicherheit. Eine erzwungene Voraussetzung gibt es nicht, nichts hindert dich also daran, sie früh zu buchen, aber jede Frage ist auf genau diesen Leser kalibriert. Dasselbe Muster zieht sich durch die ganze Reihe: Wir haben es für das Blue-Team-Gegenstück in wie schwer die CySA+ ist gezeigt, und die PenTest+ wendet es schlicht auf die offensive Seite an.

Wo das Gewicht sitzt

Eine Zeile erklärt den Großteil der Schwierigkeit. Attacks and Exploits macht über ein Drittel der Prüfung aus, und es ist das Prüfungsgebiet, das sich am schwersten durch Lesen vortäuschen lässt. Einen Angriff in einem Absatz wiederzuerkennen ist leicht; die richtige Technik für ein halbfertiges Szenario zu wählen, aus Tool-Ausgaben, die du erst deuten musst, ist die Arbeitsfertigkeit, um die die Prüfung gebaut ist.

Das Format passt zum Stoff: bis zu 90 Fragen in 165 Minuten, eine Mischung aus Multiple Choice und performancebasierten Aufgaben, und eine Bestehensgrenze von 750 auf der Skala von 100 bis 900, die genauso funktioniert wie jede andere CompTIA Bestehensgrenze.

Was sie wirklich schwer macht

Drei Dinge, in der Praxis. Die Tools: Die Fragen setzen voraus, dass du weißt, wie die Ausgaben gängiger Recon-, Scan- und Exploitation-Tools aussehen, und ein Flag zu lesen, das du nie benutzt hast, ist unter laufender Uhr langsame Arbeit. Die Kette: Die Fragen setzen mitten im Einsatz ein, du musst also den ganzen Ablauf im Kopf halten, vom Scoping bis zum Reporting, und von jedem Punkt aus wissen, was als Nächstes kommt. Und die Szenarien: Die Prüfung bevorzugt lange Aufbauten, bei denen die eigentliche Frage eine Zeile am Ende ist, was Überfliegen bestraft.

Nichts davon ist unfair. Es ist der Job, komprimiert. Aber es bedeutet, dass die Lücke zwischen "das Buch zweimal gelesen" und "bereit" hier größer ist als bei den Grundlagenprüfungen.

Was sie machbar macht

Die Struktur ist öffentlich und stabil. Fünf Prüfungsgebiete, Gewichte veröffentlicht, Objectives zum Herunterladen, und das größte Gebiet ist zugleich das praktischste in der Vorbereitung: Laborzeit wandelt sich direkt in Punkte um. Die Uhr ist mit fast zwei Minuten pro Frage vernünftig. Und anders als beim Hauptrivalen gibt es keinen Zulassungspapierkram und keine separate praktische Prüfung; die beiden haben wir in PenTest+ vs CEH sauber verglichen, und der Weg, für $439 einfach zu buchen und anzutreten, ist ein Teil des Grunds, warum Leute diese Prüfung wählen.

Ein realistisches Vorbereitungsbild

Wenn du bereits offensiv oder in Security Operations arbeitest, besteht die Vorbereitung vor allem darin, deine Arbeit auf das Vokabular von CompTIA abzubilden und die Lücken zu füllen, typischerweise eine Sache von Wochen. Wenn du die Security+ hast, aber nie einen Einsatz durchgeführt hast, plane Monate ein und verbringe die meisten davon im Labor, mit kompletten Ketten statt isolierten Tricks. Wenn du keins von beidem hast, ist das die falsche Prüfung für den Anfang; die früheren Sprossen der Leiter gibt es aus gutem Grund.

Eine Zahl, der du misstrauen solltest: jede behauptete Bestehensquote. CompTIA veröffentlicht keine, jede Zahl, die du siehst, ist also erfunden.

Häufige Fragen

Ist die PenTest+ schwerer als die Security+?

Ja, für fast alle. Die Security+ prüft das Wiedererkennen von Konzepten; die PenTest+ prüft das Anwenden von Techniken mitten im Szenario, und sie setzt Jahre an Praxis voraus, die die Security+ nicht verlangt.

Kann ich die PenTest+ ohne Berufserfahrung bestehen?

Möglich ist es mit ernsthafter Laborzeit, denn die empfohlenen Jahre erzwingt nichts. Was nicht funktioniert, ist Lesen allein: Das größte Prüfungsgebiet belohnt praktische Gewohnheiten.

Wie lange sollte ich für die PenTest+ lernen?

Mit praktischer Security-Arbeit im Rücken reichen Wochen fokussierter Wiederholung. Ohne sie sind es Monate, die meisten davon praktisch. Budgetiere nach deinen Laborstunden, nicht nach deinen Lesestunden.