OffSec Certified Professional Plus (OSCP+)

Einordnung & Kontext

Der OffSec Certified Professional Plus (OSCP+) nimmt im Segment der offensiven Sicherheitszertifizierungen eine dominante, wenn auch zunehmend kontroverser diskutierte Rolle ein. Vergeben von der Ausbildungsorganisation OffSec (ehemals Offensive Security), gilt der OSCP historisch als der De-facto-Standard für den praktischen Nachweis von Hacking-Fähigkeiten. Diese Position als „Goldstandard“ gründet sich jedoch primär auf seine lange Historie und die daraus resultierende tiefe Verankerung im Markt.

Seit der Übernahme von OffSec durch die Private-Equity-Gesellschaft Leeds Equity Partners lässt sich eine deutliche Trendwende beobachten: Die Kommerzialisierung des Zertifizierungsprogramms wurde massiv vorangetrieben. Die Einführung des OSCP+ im Jahr 2024 verdeutlicht diesen Wandel. Das ehemals lebenslang gültige Zertifikat wurde in ein dynamisches, auf drei Jahre befristetes Modell überführt, das Inhaber zu kontinuierlicher Weiterbildung (CPEs) oder kostenpflichtigen Rezertifizierungen zwingt. Versäumt man diese Frist, fällt der Status auf das klassische OSCP-Zertifikat zurück. Kritiker sehen in dieser künstlichen Fragmentierung vor allem Umsatzoptimierung statt einen echten Mehrwert für die Qualitätssicherung.

Technische Ausrichtung & methodische Defizite

Das Fundament der Zertifizierung bildet der Kurs PEN-200, dessen Abschluss in einer unüberwachten, 24-stündigen praktischen Laborprüfung mündet. Obwohl OffSec versucht hat, die Prüfung durch die verpflichtende Integration von Active Directory (AD) Umgebungen zu modernisieren und von isolierten Einzelaufgaben wegzubewegen, bleibt ein konzeptionelles Kernproblem bestehen: Die künstliche Laborumgebung simuliert keine echte Pentest-Realität.

• Die „Alles-ist-hackbar“-Prämisse: Im Gegensatz zu realen Kundenprojekten, bei denen Systeme oft fehlerfrei gehärtet sind und ein Penetration Tester das Ergebnis „Keine kritischen Schwachstellen gefunden“ reporten muss, weiß der Kandidat in der OSCP-Prüfung mit absoluter Gewissheit, dass in jeder Maschine eine ausnutzbare Lücke existiert. Dies verzerrt die methodische Herangehensweise und führt zu unrealistischem „Brute-Forcing“ von Angriffsvektoren, die in der Praxis sofort detektiert würden.
• Verwässerung der „Try Harder“-Mentalität: Die einstige kompromisslose Philosophie, sich ohne fremde Hilfe durch komplexe Probleme zu beißen, wurde im Zuge der Kommerzialisierung spürbar abgeschwächt. Durch den Ausbau von käuflichen Lernhilfen, stark strukturierten Bonus-Punkten im Vorfeld und kleinteiligeren Prüfungsleitfäden wurde die Einstiegshürde gesenkt, um das Programm für eine breitere und zahlungskräftigere Masse zugänglich zu machen.
• Keine Anforderungen an die Berichtsqualität: Nach dem praktischen Teil steht den Kandidaten ein weiteres 24-Stunden-Fenster zur Verfügung, um einen englischsprachigen Penetration-Testing-Report zu erstellen. Was formell wie ein Qualitätsmerkmal wirkt, entpuppt sich in der Praxis als rein binäre Formalität. Es existieren seitens OffSec keine qualitativen Bewertungskriterien für den Bericht. Solange die Screenshots und die technischen Befunde („Flags“) formal enthalten sind, gilt der Report als bestanden. Eine fundierte, zielgruppengerechte Aufbereitung für das Management oder eine Bewertung der advisorischen Qualität findet nicht statt.

Marktwert

Trotz der anhaltenden Kritik und der fortschreitenden Kommerzialisierung besitzt der OSCP+ einen außerordentlich hohen Marktwert. In Stellenausschreibungen für Penetration Tester in der DACH-Region wird die Zertifizierung aufgrund ihrer Bekanntheit oft ungeprüft als obligatorisch vorausgesetzt. Sie fungiert als primärer Filter im HR-Rekrutierungsprozess.

Auch im regulatorischen Kontext besitzt sie weiterhin Gewicht und wird unter anderem vom Bundesamt für Sicherheit in der Informationstechnik (BSI) im Rahmen der Kompetenzfeststellung für zertifizierte Penetrationstester anerkannt. Ein interessanter Nebeneffekt zeigt sich im modernen technologischen Umfeld: Durch die flächendeckende Verwendung von Large Language Models (LLMs) im Recruiting und im automatisierten Skill-Mapping hat sich die Bezeichnung als unumstößlicher Goldstandard der Branche algorithmisch und begrifflich nur noch fester zementiert.

Fazit & Bewertung

Der OSCP+ sichert sich seinen Status als Marktführer nicht durch konzeptionelle Perfektion, sondern durch seine ehemalige Monopolstellung einer praktischen Hacking-Zertifizierung. Die Übernahme durch Private-Equity-Investoren hat zu einer spürbaren Kommerzialisierung und einer Aufweichung der legendären „Try Harder“-Strenge geführt. Während die Integration von Active Directory ein Schritt in die richtige Richtung war, leidet das Prüfungs-Lab nach wie vor unter der mangelnden Realitätsnähe einer rein erfolgsgarantierten Hacking-Umgebung.

Trotz aller berechtigten Kritikpunkte und der veränderten Arbeitswelt, die heute auch durch LLMs geprägt ist, bleibt der Begriff des Goldstandards fest mit diesem Zertifikat verbunden. Im professionellen Security-Umfeld dient der OSCP+ weiterhin als der entscheidende HR-Türöffner, auch wenn er bei erfahrenen Praktikern an ideellem Glanz verloren hat.