Leistungsbasierte Fragen bei CySA+: was sie sind und wie man sie übt

Die Prüfung hinter den Fragen, in Zahlen

CySA+ CS0-003 erlaubt maximal 85 Fragen in 165 Minuten, mischt Multiple Choice mit leistungsbasierten Fragen und ist ab 750 Punkten auf einer Skala von 100 bis 900 bestanden. CompTIA empfiehlt Kenntnisse auf dem Niveau von Network+ oder Security+ sowie mindestens vier Jahre praktische Erfahrung als Incident-Response- oder SOC-Analyst. Die vier Domänen sind mit Security Operations 33 %, Vulnerability Management 30 %, Incident Response and Management 20 % und Reporting and Communication 17 % gewichtet.

Die Version ist für jeden wichtig, der jetzt bucht. CompTIA hat CS0-004 am 23. Juni 2026 eingeführt und stellt die englische CS0-003-Prüfung am 22. Dezember 2026 ein; die japanische, portugiesische und spanische Version folgen am 23. März 2027. CS0-004 behält dieselbe Höchstzahl von 85 Fragen, dieselben 165 Minuten und dieselbe Bestehensgrenze von 750, gewichtet die Domänen aber neu auf Security Operations 34 %, Vulnerability Management 26 %, Incident Response and Management 24 % und Reporting and Communication 16 %. Liegt dein Prüfungstermin nach dem Einstellungsdatum für deine Sprache, legst du CS0-004 ab, egal was dein Lernmaterial behauptet.

Was eine leistungsbasierte Frage ist, in den Worten von CompTIA

CompTIA beschreibt eine leistungsbasierte Frage als eine, die die Fähigkeit prüft, in einer simulierten Umgebung eine Aufgabe zu erledigen oder ein Problem zu lösen. Zwei Details dieser Beschreibung entscheiden darüber, wie man sie angehen sollte. Erstens ist die Simulation bewusst begrenzt: CompTIA erklärt, dass die Funktionalität eingeschränkt ist, sodass es mehrere mögliche Antworten oder Wege zum Abschluss gibt; es wird also nicht verlangt, jedes Menü eines echten Produkts zu kennen, sondern nur, zu einem vertretbaren Ergebnis zu kommen. Zweitens ist die Bewertung nicht einheitlich. CompTIA sagt, dass manche leistungsbasierten Fragen Teilpunkte vergeben können und andere nicht; eine unvollständige Antwort ist also manchmal etwas wert und manchmal nichts, und der Frage selbst sieht man nicht an, welcher Fall vorliegt.

Bei CySA+ ist die Aufgabe fast immer interpretativ. Wo eine Security+-PBQ verlangt, ein Kontrollelement zu platzieren, legt eine CySA+-PBQ Material vor, das ein Analyst während einer Schicht tatsächlich erhalten würde, und fragt, was es bedeutet und was zu tun ist. Die Lernziele der Domänen verraten, was dieses Material sein kann: Log-Auszüge und Alarmdetails aus Monitoring-Tools, Schwachstellen-Scan-Ergebnisse, die gegen die genannten Assets priorisiert werden müssen, Indikatoren, die als echte oder falsche Positive einzuordnen sind, und Incident-Zeitachsen, bei denen der nächste Schritt zu wählen ist. Der Fragetext ist kurz; die Zeit geht in die Beweise.

Zeit: die Rechnung, die niemand vorher macht

165 Minuten für 85 Fragen sind eine Minute und sechsundfünfzig Sekunden pro Aufgabe, wenn jede gleich lang dauern würde. Das tut sie nicht. Eine Multiple-Choice-Frage, die man kennt, dauert zwanzig Sekunden; eine PBQ mit drei Log-Quellen kann zehn Minuten dauern. Die praktische Folge: Im Multiple-Choice-Teil wird Zeit angespart, bei den PBQs wird sie ausgegeben. Wer die PBQs zuerst beantwortet, langsam und in der vorgegebenen Reihenfolge, und dann durch siebzig Multiple-Choice-Fragen hetzt, verliert an beiden Enden Punkte.

Ein praktikabler Plan: Jede PBQ beim ersten Sehen zur Überprüfung markieren, in einem Satz notieren, was sie verlangt, und weitergehen. Den Multiple-Choice-Teil in gleichmäßigem Tempo abarbeiten. Dann zu den PBQs zurückkehren, die verbleibende Zeit durch ihre Anzahl teilen und diesen Wert als hartes Budget pro Frage behandeln. Weil bei manchen Teilpunkte möglich sind, sollte eine halb fertige PBQ, wenn das Budget aufgebraucht ist, in diesem Zustand bleiben und nicht aufgegeben werden.

Eine Vier-Schritte-Methode für jede beweisbasierte Frage

Erster Durchgang: das Ergebnis lesen. Bevor man eine einzige Log-Zeile anschaut, den Satz finden, der sagt, was geliefert werden muss: ein zu isolierender Host, eine Reihenfolge von Schritten, ein Schweregrad, eine Ursache. Alles andere im Szenario ist entweder für dieses Ergebnis relevant oder Ablenkung, und das lässt sich erst unterscheiden, wenn das Ergebnis bekannt ist.

Zweiter Durchgang: die Beweise inventarisieren. Auflisten, was vorliegt und woher: welches System es erzeugt hat, in welchem Zeitfenster, mit welcher Uhr. Zeitstempel, die sich um eine Zeitzone unterscheiden, und sich überlappende Quelltypen sind die beiden häufigsten Fallen, und beide bleiben unsichtbar, wenn man die Beweise wie Fließtext liest statt wie eine Sammlung von Quellen.

Dritter Durchgang: ausschließen. Zu jeder Antwortoption fragen, was in den Beweisen sie ausschließt. Ausschließen ist bei CySA+ schneller als Bestätigen, weil die Prüfungsautoren Distraktoren wählen, die zu einem Teil der Beweise passen; nur die richtige Antwort passt zu allen.

Vierter Durchgang: nach der Schadensregel handeln. Wenn die Frage nach dem nächsten Schritt fragt, die Handlung wählen, die Informationen liefert, es sei denn, der Schaden läuft noch; dann die Handlung wählen, die ihn stoppt. Diese eine Regel löst die meisten Reihenfolgefragen: eindämmen, wenn noch etwas beschädigt wird, sammeln, wenn nicht, und den Dienst nie wiederherstellen, bevor die Ursache verstanden ist.

Wo jede Domäne zur Aufgabe wird

Security Operations ist sowohl in CS0-003 als auch in CS0-004 die größte Domäne, und hier lebt die Log-Analyse. Es ist damit zu rechnen, Ausgaben aus mehr als einer Quelle zu sehen und gefragt zu werden, welches Ereignis, welcher Host oder welches Konto das entscheidende ist. Die Fähigkeit ist Korrelation: einen Authentifizierungseintrag mit einem Prozessereignis und einer Netzwerkverbindung zusammenbringen und dann sagen, welches davon die Anomalie ist.

Fragen zu Vulnerability Management liefern meist Scan-Ergebnisse und Kontext zu den Assets. Die Aufgabe ist Priorisierung, nicht Identifikation: Der Scanner hat die Probleme schon gefunden, und die Prüfung will wissen, welches man zuerst beheben würde und warum, angesichts von Exposition, Ausnutzbarkeit und der Funktion des Systems. Ein kritischer Fund auf einer isolierten Testmaschine kann unter einem mittleren auf einem internetseitigen Server rangieren.

Incident Response and Management ist der Ort der Reihenfolgefragen. Gegeben eine Situation mitten in einem Vorfall: Welcher Schritt kommt als Nächstes, und welche Handlungen würden Beweise vernichten oder einen Angreifer warnen, wenn sie zu früh erfolgen. Reporting and Communication ist die kleinste Domäne und die, die am wenigsten wahrscheinlich simuliert wird, aber sie prägt trotzdem Antworten an anderer Stelle: Mehrere Fragen drehen sich darum, wer informiert werden muss und wann, nicht um eine technische Handlung.

Die Fehler, die die meisten Punkte kosten

Eine Hypothese bilden, bevor man die Beweise gelesen hat, und dann nach Bestätigung suchen. Ein signiertes Binary oder einen vertrauten Toolnamen als Beleg für harmlose Aktivität nehmen, obwohl das umgebende Verhalten das Gegenteil sagt. Die disruptivste Reaktion wählen, weil sie entschlossen wirkt, obwohl die Frage nach dem nächsten Schritt fragte und nicht nach dem letzten. Das im Szenario genannte Zeitfenster ignorieren und über Ereignisse außerhalb davon nachdenken. Und eine PBQ unberührt lassen, weil sie lang aussah, was bei einer Frage, die vielleicht Teilpunkte vergeben hätte, garantiert null Punkte bedeutet.

Wie das Üben bei CertSprint mit der echten Prüfung zusammenhängt

Nichts außerhalb von Pearson VUE bildet die Simulationsumgebung von CompTIA nach, und kein Übungsprodukt sollte das behaupten. Üben lässt sich das Denken, das die Simulationen bewerten: Beweise korrelieren, Funde priorisieren und eine Reaktion in die richtige Reihenfolge bringen. Unser CySA+-Fragenpool nutzt dafür Zuordnungs- und Reihenfolgeaufgaben, jede mit einer vollständigen Erklärung, warum die richtige Anordnung trägt und warum die naheliegende Alternative nicht. Nutze die Bereichswerte, um die Domäne zu finden, in der dein Denken am langsamsten ist, denn dort kostet dich eine PBQ unter Zeitdruck am meisten.

Oft gefragt

Unser CySA+-Pool enthält 32 PBQ-Übungen in zwei Formaten: Zuordnungsaufgaben, bei denen Sie jede Anforderung der passenden Fähigkeit zuordnen, und Reihenfolgeaufgaben, bei denen Sie die Schritte eines Verfahrens ordnen. Jede enthält dieselbe vollständige Erklärung wie die Multiple-Choice-Fragen, einschließlich warum die richtige Anordnung stimmt und warum die naheliegende Alternative es nicht ist.

Diese trainieren das Denken, das die Prüfung testet — Reihenfolge, Platzierung und Zuordnung — statt die Simulationsoberfläche eines Anbieters nachzubilden. Nichts hier bildet die eigentliche Prüfungsumgebung nach, und kein Übungsprodukt kann das legitim.