CREST Registered Penetration Tester (CRT)

Einordnung & Kontext

Der CREST Registered Penetration Tester (CRT) ist eine mehrstufige Zertifizierung auf Intermediate-Niveau, die primär die operative Kernkompetenz im Bereich Netzwerkinfrastruktur- und Webapplikations-Penetration-Testing nachweist. Die Zertifizierungsstruktur unterscheidet sich fundamental von singulären Prüfungsverfahren (wie OSCP oder CPTS), da sie modular an ein theoretisches Fundament gebunden ist. CREST ordnet erfolgreiche CRT-Kandidaten als Personen ein, die über die notwendigen praktischen Fähigkeiten verfügen, um operative Penetration-Testing-Rollen („hands-on Pen Test Roles“) auszuüben. Das damit verbundene Kompetenzniveau orientiert sich an einem Erfahrungsstand von mindestens drei Jahren praktischer Tätigkeit im Bereich Penetration Testing.

Technische Ausrichtung & methodischer Anspruch

Theoretische Basis (CPSA): Das Bestehen des CREST Practitioner Security Analyst (CPSA)-Examens ist zwingende Voraussetzung. Hierbei handelt es sich um eine 120-minütige Multiple-Choice-Prüfung in einem standardisierten Testzentrum (Pearson VUE), die theoretisches Wissen zu Netzwerkkonzepten, Betriebssystemen, häufigen Schwachstellenklassen und Grundlagen der Kryptografie abfragt.

Praktischer Nachweis (CRT): Erst nach Bestehen der CPSA-Prüfung kann der CRT-Status erlangt werden. Hierfür existieren zwei distinkte Pfade:

• Natives CREST-Examen: Die Prüfung ist eine 2,5 stündige Prüfung mit zusätzlichen 15 Minuten Lesezeit. Sie kombiniert Multiple Choice Fragen, Short Form Answers und Trophy Answers, also konkrete Ergebnisse aus abgegrenzten Prüfungsaufgaben in einer geschlossenen Laborumgebung. Voraussetzung für die Teilnahme ist ein gültiger CPSA Status. Die Prüfungsgebühr pro Prüfungsversuch liegt bei 600£ und darf bei Nichtbestehen nach einer Wartezeit von 8 Wochen wiederholt werden.
• Equivalency Pathway (Äquivalenzpfad): Inhaber einer gültigen OffSec Certified Professional (OSCP)-Zertifizierung können unter Einreichung des OSCP-Nachweises und nach Bestehen der theoretischen CPSA-Prüfung die CRT-Anerkennung direkt beantragen. Dieser Pfad ist an klare Bedingungen gebunden: Das OSCP-Zertifikat darf zum Zeitpunkt des Antrags nicht älter als drei Jahre sein und die CPSA-Qualifikation muss zwingend durch eine eigenständige Prüfung erlangt worden sein.

Da die CPSA-Zertifizierung in beiden Fällen zwingende Voraussetzung ist, unterscheiden sich die Gesamtkosten für den CRT deutlich je nach gewähltem Pfad. Über den Äquivalenzpfad mit bestehender OSCP-Zertifizierung liegen die Gesamtkosten bei rund 375£, bestehend aus CPSA-Prüfungsgebühr und 100£ Bearbeitungsgebühr für den Äquivalenzantrag. Beim nativen CRT-Examen liegen die Gesamtkosten dagegen bei rund 875 £, bestehend aus CPSA-Gebühr und der eigenständigen CRT-Prüfungsgebühr.

Ein zentrales Merkmal der nativen CRT-Prüfung ist ihr stark restriktives "Closed Book"-Design. Sie findet in einer im Browser bereitgestellten virtuellen Maschine (häufig in Pearson VUE Testzentren) statt. Der Internetzugang ist dabei vollständig gesperrt. Die Kandidaten müssen in einer von CREST vorgegebenen Kali-Umgebung arbeiten und haben lediglich Zugriff auf eigene Hilfsmittel, sofern sie diese vorab in das auf 100 Megabyte limitierte CRESTDrive hochgeladen haben. Diese Restriktion fügt sich in eine insgesamt deterministische Prüfungsstruktur ein: Im Vergleich zu mehrtägigen Prüfungen mit frei erkundbaren Enterprise-Labs sind die Aufgaben isoliert aufgebaut und erfordern die Eingabe spezifischer Antworten oder Flags innerhalb eines eng getakteten Zeitfensters, mit klarem Fokus auf Reproduzierbarkeit und Standardisierung statt komplexer Angriffsverkettung im Sinne eines Hacker Mindsets. Gerade die Kombination aus fehlendem Internetzugang und starrer Aufgabenlogik steht im deutlichen Kontrast zum realen Arbeitsalltag eines Penetration Testers, der routinemäßig auf aktuelle Schwachstellendatenbanken, öffentliche Exploit-Sammlungen und zunehmend auch KI-gestützte Analyse- und Recherchewerkzeuge zurückgreift. Diese Realitätslücke wiegt schwerer, als es zunächst scheint, sie verschiebt den Prüfungsfokus weg von der eigentlichen Kernfähigkeit moderner Pentester, nämlich der effizienten Nutzung verfügbarer externer Ressourcen und der eigenständigen Verkettung von Schwachstellen, hin zu reinem Faktenwissen unter Zeitdruck. Das passt nur bedingt zum eigenen Anspruch der Zertifizierung, operative Kompetenz nachzuweisen.

Marktwert

Der Marktwert des CRT bemisst sich primär nicht nach seinem technischen Ausbildungswert, sondern nach seiner Verankerung in regulatorischen Vorgaben.

Der besondere Marktwert des CRT liegt vor allem in UK im CREST Umfeld. Im britischen NCSC CHECK Scheme setzt die Tätigkeit als Check Team Member neben einem UK Cyber Security Council Security Testing Professional Title auf mindestens Practitioner Niveau (bspw. PraCSP) einen anerkannten technischen Kompetenznachweis ("Competence A Certificate") voraus [https://www.ncsc.gov.uk/sites/default/files/documents/CHECK-Scheme-Standard.pdf]. CREST führt den CRT hierfür ausdrücklich als Competence A Zertifikat an. CHECK Dienstleister dürfen entsprechende Prüfungen nur mit registrierten und qualifizierten Team Members durchführen. Der CRT besitzt damit für CHECK relevante Rollen einen konkreten formalen Marktwert. Der Äquivalenzpfad über CPSA und OSCP beziehungsweise OSCP+ ist für Check Team Members ausdrücklich ausgeschlossen. Wer den CRT als technischen Kompetenznachweis im CHECK Kontext benötigt, muss daher das native CRT Examen bestehen, unabhängig davon, ob bereits ein OSCP vorliegt.

Im deutschsprachigen Raum ist die direkte Nachfrage nach dem CRT in klassischen Stellenausschreibungen geringer als nach dem OSCP oder nationalen Nachweisen wie der BSI Zertifizierung für IT Sicherheitsdienstleister. Sein Marktwert entsteht daher weniger über allgemeine HR Wiedererkennung als über spezifische internationale Kunden und Compliance Kontexte. Ein möglicher Anwendungsbereich liegt im regulierten Finanzsektor: TIBER EU definiert ein an DORA angepasstes Vorgehen für bedrohungsorientierte Tests, während TIBER DE diesen Ansatz auf den deutschen Finanzsektor überträgt und Beschaffungshinweise für externe Red Team und Threat Intelligence Dienstleister bereitstellt. Der CRT kann hierbei ein zusätzliches Kompetenzsignal sein, sofern CREST Qualifikationen in der jeweiligen Ausschreibung berücksichtigt werden. Eine allgemeine regulatorische Pflicht oder Anerkennung von CRT beziehungsweise CPSA durch DORA, TIBER EU oder TIBER DE folgt daraus jedoch nicht. Der konkrete Wert der Zertifizierung hängt vom Auftraggeber und der Vergabe ab.

CREST sieht für den Erhalt des CRT eine Revalidierung im Dreijahresrhythmus vor. Erforderlich sind CPSA plus native CRT Prüfung oder CPSA plus OSCP beziehungsweise OSCP+. Diese zeitlich begrenzte Gültigkeit folgt damit einem ähnlichen Modell wie die kürzlich eingeführte OSCP+-Rezertifizierungspflicht und unterliegt derselben grundsätzlichen Kritik: Sie sichert kontinuierliche Weiterbildung, erzeugt aber auch einen wiederkehrenden finanziellen und administrativen Aufwand für Zertifikatsinhaber.

Fazit & Bewertung

Aus der Sicht erfahrener Tester ist das native CRT-Examen technisch solide, aber weit entfernt von der operativen Tiefe moderner Zertifizierungen. Das stark reglementierte "Closed Book"-Format im Testzentrum bestraft eher das Fehlen von auswendig gelernten Syntax-Befehlen als schlechte methodische Ansätze.

Für Einzelpersonen hängt die sinnvollste Route stark vom Zielmarkt ab. Wer einen CRT-Titel für internationale Ausschreibungen oder kundenspezifische Kompetenzmatrizen benötigt und bereits einen gültigen OSCP- oder OSCP+-Nachweis besitzt, kann den Äquivalenzpfad nutzen. Ob dies in DORA-, TIBER-EU- oder TIBER-DE-nahen Mandaten einen Vorteil bringt, hängt jedoch von der jeweiligen Ausschreibung und den Anforderungen des Auftraggebers ab; eine allgemeine regulatorische Anerkennung des äquivalenzbasierten CRT folgt daraus nicht.

Wer jedoch für das britische CHECK-Scheme oder vergleichbare UK-spezifische Programme zertifiziert sein muss, kommt am nativen CRT-Examen nicht vorbei. Der Äquivalenzpfad ist für diesen Anwendungsfall ausdrücklich nicht anerkannt, unabhängig davon, wie stark der technische Tiefgang eines OSCP im Vergleich zu bewerten ist.

Der native Ausbildungspfad der CREST-Labs gilt im Vergleich zu Mitbewerbern wie HTB CPTS technisch als weniger tiefgreifend und methodisch stärker auf Standardisierung als auf kreative Angriffsverkettung ausgelegt. Das ist kein Zufall, sondern folgt aus dem eigentlichen Zweck der Zertifizierung: Sie soll reproduzierbare, auditierbare Testverfahren nachweisen, nicht maximale technische Exzellenz.

Für Unternehmen bleibt die Zertifizierung damit primär ein strategisches Instrument zur Erfüllung von Compliance-Anforderungen bei internationalen Ausschreibungen und in stark regulierten Branchen (Finance, Gov, KRITIS). Der Wert des CRT liegt weniger in der individuellen technischen Tiefe des Zertifikatsinhabers als in der Fähigkeit des Unternehmens, gegenüber Aufsichtsbehörden und Auftraggebern einen standardisierten, akkreditierten Nachweis vorzulegen.