OSCP, OSEP und CRTO sind praxisorientierte Zertifizierungen für Penetrationstester und Red-Teamer, deren Prüfungen echte Kompromittierungen in Laborumgebungen binnen 24 bis 48 Stunden verlangen.
OSCP, OSEP und CRTO gehören zu den Zertifizierungen, die in der offensiven Sicherheit am meisten zählen, weil sie nicht mit Multiple-Choice-Fragen, sondern mit echten Angriffen geprüft werden. Die Kandidaten erhalten Zugang zu einer unbekannten Laborumgebung und müssen innerhalb einer festen Frist definierte Systeme kompromittieren und das Vorgehen in einem Bericht dokumentieren. Wer die Technik nicht beherrscht, besteht nicht, unabhängig davon, wie viel Theorie er gelernt hat.
Die drei Zertifikate decken unterschiedliche Reifegrade ab: OSCP ist der Standard für Penetrationstester, OSEP und CRTO richten sich an Red-Teamer, die in gehärteten Umgebungen mit aktiver Verteidigung arbeiten.
Die drei Zertifikate im Vergleich
- OSCP (Offensive Security Certified Professional): Grundlage ist der Kurs PEN-200. Die Prüfung dauert 24 Stunden, in denen mehrere Systeme einschließlich einer kleinen Active-Directory-Umgebung zu kompromittieren sind, gefolgt von einem Bericht binnen weiterer 24 Stunden. Geprüft werden Enumeration, Ausnutzung bekannter Schwachstellen, Privilege Escalation und methodisches Vorgehen unter Zeitdruck.
- OSEP (Offensive Security Experienced Penetration Tester): aufbauend auf dem Kurs PEN-300, 48-Stunden-Prüfung in einer Umgebung mit Antivirus, Application Allowlisting und Netzwerksegmentierung. Im Mittelpunkt stehen Umgehung von Erkennungsmechanismen, eigene Payload-Entwicklung, Lateral Movement und Angriffe auf Active Directory und Vertrauensstellungen.
- CRTO (Certified Red Team Operator): 48-Stunden-Prüfung über vier Tage verteilt, in der ein vollständiger Red-Team-Einsatz mit einem kommerziellen C2-Framework gegen eine überwachte Windows-Domäne durchgeführt wird. Geprüft werden Tradecraft, Umgang mit EDR, Kerberos-Angriffe und sauberes Operieren ohne Alarme auszulösen.
Alle drei Zertifikate werden von privaten Anbietern vergeben und sind zeitlich unbegrenzt gültig, mit Ausnahme von Versionsänderungen, bei denen Inhaber sich neu zertifizieren können.
Bedeutung für Unternehmen
Für Auftraggeber sind diese Zertifikate ein brauchbarer Indikator dafür, welche Art von Test ein Team leisten kann. Ein OSCP belegt solide Pentest-Grundlagen; wer ein Red Teaming gegen eine Organisation mit SOC und EDR beauftragt, sollte im Team OSEP, CRTO oder vergleichbare Qualifikationen erwarten. Der RTS 2025/1190 zu DORA verlangt für TLPT-Tester ausdrücklich nachweisbare Zertifizierung, ohne bestimmte Zertifikate vorzuschreiben.
Die Grenzen sind ebenso klar: Zertifikate prüfen Technik in Laboren, nicht Urteilsvermögen im Kundenprojekt. Ob ein Tester weiß, wann er einen riskanten Schritt mit dem Control Team abstimmt, wie er einen Befund für die Geschäftsleitung formuliert oder wann er einen Angriff abbricht, lernt er nicht in der Prüfung. Zertifikate zeigen Mindestniveau, Erfahrung zeigt Qualität.
Praxis-Hinweise
- Fragen Sie nach den Zertifikaten der Personen, die tatsächlich an Ihrem Projekt arbeiten, nicht nach der Gesamtzahl im Unternehmen.
- Ordnen Sie Zertifikate dem Testtyp zu: OSCP für Infrastruktur-Pentests, OSEP/CRTO für Red Teaming und Assumed Breach, Web-spezifische Zertifikate für Anwendungstests.
- Ergänzen Sie die Zertifikatsfrage um Referenzen, Beispielberichte und ein Gespräch über Rules of Engagement.
- Für interne Teams: Investieren Sie in diese Ausbildung, wenn Sie Purple Teaming oder eigene Angriffssimulationen aufbauen wollen. Der Lerneffekt ist hoch, weil die Prüfungen reale Techniken verlangen.