CREST

CREST ist eine internationale Non-Profit-Organisation, die Dienstleister und Einzelpersonen in Penetrationstest, Red Teaming, Threat Intelligence und Incident Response akkreditiert und zertifiziert.

CREST ist eine 2006 in Großbritannien gegründete, gemeinnützige Organisation, die Qualitätsstandards für die offensive Sicherheitsbranche setzt. Sie akkreditiert Unternehmen und zertifiziert Einzelpersonen in den Disziplinen Penetrationstest, Red Teaming und Simulated Attack, Threat Intelligence, Incident Response und Security Operations. Ursprünglich als Antwort auf einen unregulierten britischen Pentest-Markt entstanden, ist CREST heute international tätig, mit regionalen Kapiteln in Europa, Asien, Australien und Nordamerika.

Der Grundgedanke: Auftraggeber können die Qualität eines Sicherheitstests vorab kaum beurteilen. Eine unabhängige Akkreditierung, die Methodik, Personal, Datenschutz, Versicherung und Verhaltenskodex eines Anbieters prüft, schafft eine Vergleichsbasis. Für Einzelpersonen bestätigen CREST-Prüfungen, dass Tester bestimmte Techniken praktisch beherrschen und sich an ethische Regeln halten.

Akkreditierung und Zertifizierungsstufen

CREST unterscheidet zwei Ebenen:

• Unternehmensakkreditierung: Der Anbieter weist dokumentierte Methodik, Qualitätsmanagement, Umgang mit Kundendaten, Haftpflichtversicherung und ausreichend zertifiziertes Personal nach. Die Akkreditierung wird je Disziplin vergeben und regelmäßig erneuert.
• Personenzertifizierung in drei Stufen: Practitioner (Einstieg, etwa CREST Practitioner Security Analyst), Registered (eigenständige Tester, etwa CREST Registered Penetration Tester) und Certified (Senior-Niveau, etwa CREST Certified Infrastructure Tester oder Web Application Tester). Für Red Teaming gibt es eigene Prüfungen wie den Certified Simulated Attack Specialist und den Certified Simulated Attack Manager.

Die Prüfungen kombinieren schriftliche Teile mit praktischen Laborangriffen. Im Unterschied zu reinen Praxiszertifikaten wie OSCP oder CRTO prüft CREST auch Methodik, Berichtswesen und rechtliche Rahmenbedingungen.

Bedeutung für Unternehmen

In Großbritannien ist CREST faktisch Eintrittskarte für regulierte Tests: Anbieter für CBEST müssen akkreditiert sein. In der EU hat DORA einen anderen Weg gewählt. Der RTS 2025/1190 zum TLPT fordert von Testern nachweisbare Qualifikation, Zertifizierung, Erfahrung und Berufshaftpflicht, nennt aber keinen bestimmten Anbieter von Zertifikaten. CREST-Zertifikate sind dort eine anerkannte Möglichkeit, aber nicht die einzige. In Deutschland ergänzt die Zertifizierung von Penetrationstest-Dienstleistern durch das BSI die Landschaft.

Für Auftraggeber ist der Nutzen pragmatisch: Akkreditierungen und Zertifikate filtern den Markt vor. Sie ersetzen aber nicht das Gespräch über Methodik, Referenzen und Rules of Engagement. Wir haben hervorragende Tester ohne jedes Zertifikat erlebt und zertifizierte Teams, die Checklisten abgearbeitet haben. Das Zertifikat sagt, dass jemand die Technik kann; ob er sie im konkreten Kontext richtig einsetzt, zeigt erst das Projekt.

Praxis-Hinweise

1. Fragen Sie bei der Anbieterauswahl nach Zertifikaten der konkret eingesetzten Personen, nicht nur nach Firmenlogos.
2. Lassen Sie sich einen anonymisierten Beispielbericht zeigen. Die Qualität von Root-Cause-Analyse und Maßnahmenempfehlungen ist aussagekräftiger als jede Akkreditierung.
3. Prüfen Sie Berufshaftpflicht und Verhaltenskodex; bei regulierten Tests nach DORA sind sie ohnehin Pflicht.
4. Achten Sie darauf, dass Zertifikate zur Aufgabe passen: Web-Application-Tester sind nicht automatisch Red-Team-Operatoren für Active-Directory-Umgebungen.