CySA+ CS0-003 vs CS0-004: was sich mit V4 ändert und welche Version du buchen solltest
CompTIA hat CySA+ V4 (CS0-004) am 23. Juni 2026 eingeführt. Format und Bestehensgrenze blieben gleich; geändert haben sich die Gewichtung der Domänen, die Formulierung der Lernziele und ein neues Lernziel zu KI in Security Operations. Dieser Leitfaden stellt beide Versionen nebeneinander, damit du weißt, welche du ablegst und was du lernen solltest.
Wenn du CySA+ nach dem 22. Dezember 2026 auf Englisch ablegst, legst du CS0-004 ab. Wenn du sie auf Japanisch, Portugiesisch oder Spanisch ablegst, bleibt CS0-003 bis zum 23. März 2027 verfügbar, und CompTIA führt diese Sprachen für V4 bisher nur als demnächst. So oder so sieht die Prüfung am Tag selbst gleich aus: bis zu 85 Fragen in 165 Minuten, Multiple Choice gemischt mit leistungsbasierten Fragen, und 750 auf einer Skala von 100 bis 900 zum Bestehen.
Was sich ändert, ist die Verteilung der Punkte. Vulnerability Management sinkt von 30 % auf 26 % der Prüfung, Incident Response and Management steigt von 20 % auf 24 %, Security Operations geht von 33 % auf 34 % und Reporting and Communication von 17 % auf 16 %. Security Operations erhält außerdem ein Lernziel, das es in V3 nicht gab: den Einsatz von KI in Security Operations.
Was gleich bleibt
Die vier Domänen behalten Namen und Reihenfolge, und Höchstzahl der Fragen, Zeitlimit und Bestehensgrenze sind identisch. Die Prüfung bleibt herstellerneutral und richtet sich weiterhin an berufstätige Analysten: Für V4 empfiehlt CompTIA etwa vier Jahre in einer Rolle als SOC- oder Schwachstellenanalyst, für V3 empfahl sie Kenntnisse auf dem Niveau von Network+ oder Security+ und mindestens vier Jahre praktische Erfahrung als Incident-Response- oder SOC-Analyst. Das meiste, was du für V3 gelernt hast, vom Lesen von Logs über das Priorisieren von Scan-Funden bis zum Ordnen einer Reaktion, gilt unverändert weiter.
Was V4 ergänzt oder deutlicher benennt
Das neue Lernziel verlangt, Konzepte zum Einsatz von KI in Security Operations zusammenzufassen: Anwendungsfälle, Risiken und Governance-Aspekte. Praktisch heißt das zu wissen, wo KI einem Analysten hilft, etwa bei Anreicherung und Zusammenfassung, welche Risiken sie mitbringt, etwa Prompt-Injection, erfundene Ausgaben, Datenabfluss und übermäßiges Vertrauen, und welche Kontrollen einen Menschen für folgenreiche Maßnahmen verantwortlich halten.
Mehrere bestehende Bereiche sind konkreter formuliert. Die V4-Zusammenfassung nennt Endpoint Detection and Response (EDR) neben SIEM, Paketanalyse-Werkzeugen und Threat-Intelligence-Plattformen; sie verlangt die Analyse verdächtiger Aktivität in Netzwerken, auf Endpunkten, in der Cloud und in Identitätssystemen; sie fasst Prozessverbesserung als Automatisierung und Arbeitsabläufe; sie verknüpft die Priorisierung von Schwachstellen mit Bewertungssystemen, Threat Intelligence und geschäftlichem Kontext; und sie verlangt Reporting-Kennzahlen wie Erkennungszeit, Reaktionszeit und Wirksamkeit der Behebung, zusammen mit Nachbereitungen von Vorfällen.
Lies die Lernziel-Zusammenfassungen genau
Der Vergleich oben stammt aus den Lernziel-Zusammenfassungen, die CompTIA auf der Seite jeder Version veröffentlicht. Die V3-Zusammenfassung nannte konkrete Werkzeuge und Modelle, etwa Wireshark, VirusTotal, Skripting mit Python und PowerShell, das Diamond Model, OSSTMM und den OWASP Testing Guide. Die V4-Zusammenfassung ist kürzer und nennt MITRE ATT&CK und die Cyber Kill Chain als Beispiele für Frameworks zur Angriffsmethodik. Eine kürzere Zusammenfassung beweist nicht, dass ein Thema gestrichen wurde; prüfe also das vollständige CS0-004-Lernzieldokument, bevor du etwas aus deinen Notizen entfernst.
Wie du einen Lernplan für CS0-003 anpasst
Verlagere einen Teil der Zeit, die du für Vulnerability Management eingeplant hattest, auf Incident Response: Eindämmung in die richtige Reihenfolge bringen, Umgang mit Beweisen, Eskalation und Ursachenanalyse zählen jetzt mehr. Halte Vulnerability Management solide, denn mit 26 % bleibt es die zweitgrößte Domäne. Nimm das KI-Lernziel als kurzes, eigenes Thema auf, mit Fokus auf Anwendungsfälle, Risiken und Governance statt darauf, wie Modelle funktionieren. Und übe weiter leistungsbasierte Fragen, denn das Format, das schnelles Lesen von Beweisen belohnt, hat sich nicht geändert.
Der CySA+-Fragenpool von CertSprint ist auf CS0-004 ausgerichtet, einschließlich Fragen zum neuen KI-Lernziel, und deckt weiterhin CS0-003 ab, das dieselben vier Domänen hat. Deine Bereichswerte zeigen dir, wo dein Denken am langsamsten ist, und das zählt nach einer Neugewichtung mehr als vorher.
Häufige Fragen
Oft gefragt
Ist CS0-004 schwerer als CS0-003?
CompTIA veröffentlicht keine Schwierigkeitsvergleiche. Format, Höchstzahl der Fragen, Zeitlimit und Bestehensgrenze sind gleich; anders sind die Gewichtung der Domänen und die Formulierung der Lernziele, einschließlich des neuen Lernziels zu KI in Security Operations.
Kann ich CS0-003 noch ablegen?
Auf Englisch bis zum 22. Dezember 2026. Die japanische, portugiesische und spanische Version von CS0-003 bleiben bis zum 23. März 2027 verfügbar.
Enthält CS0-004 Fragen zu KI?
Ja. Die V4-Lernziele umfassen das Zusammenfassen von Konzepten zum Einsatz von KI in Security Operations: Anwendungsfälle, Risiken und Governance-Aspekte. Das Lernziel gehört zur Domäne Security Operations.
Für welche Version sollte ich lernen?
Für die, die du ablegst. Prüfe den Prüfungscode in deiner Buchung bei Pearson VUE: Eine englische Prüfung nach dem 22. Dezember 2026 ist CS0-004. Beide Versionen haben dieselben Domänen, die Vorbereitung lässt sich also übertragen, aber verteile deine Zeit nach der gebuchten Version.
Quellen
Die Angaben auf dieser Seite wurden am 6. Oktober 2026 mit diesen Quellen abgeglichen. Sie können sich ändern; prüfe sie vor der Buchung beim Anbieter.
Original English practice examples, with answers and explanations available here. No account required. These are independent teaching examples, not official exam questions or exam dumps.
Question 1 of 3 · Security monitoring and threat detection
Answer and explanation
Best answer: Correlate process ancestry, arguments, connections, and surrounding events
A legitimate signed utility can be abused. The unusual execution context and network behavior justify a focused investigation, but still need corroboration before a final conclusion.
Why the other choices fit less well
A signature alone does not prove benign use. Blocking one destination and closing the case loses scope and execution context; common tool usage does not invalidate the observed evidence.
Best answer: Its exposure and current exploitation evidence
Combine technical severity with exposure and observed exploitation when setting response priority. Validate the asset context and compensating controls rather than relying on severity alone.
Why the other choices fit less well
Hostname length, ticket recency and free disk space do not establish exploitation likelihood. Isolation still needs validation, but it is relevant context rather than proof that the second vulnerability can be ignored.
Best answer: Normalize both timestamps to the same time zone and check clock accuracy
Normalize the time zone and verify clock accuracy before ordering events. In this scenario the two stamps can refer to the same time; further correlation still needs host, process and connection evidence.
Why the other choices fit less well
A time-zone offset does not justify deleting evidence or declaring evasion. Disabling a clock makes correlation less reliable. Matching timestamps alone also do not prove causation.
Paid question-bank access is a one-time purchase, with no recurring subscription. Official exam registration, vouchers and provider labs are separate from CertSprint practice.
Finden Sie heraus, wo Sie bei CySA+ stehen
20 kostenlose Fragen, keine Karte nötig. Ihre Bereichswerte zeigen, wo Sie vor der Prüfungsanmeldung noch arbeiten müssen.
