BSI-anerkannte Zertifikate für Penetrationstester (Kompetenzfeststellung)

In der IT-Sicherheitsbranche ist der Begriff „Penetrationstester“ gesetzlich nicht geschützt. Für Unternehmen, Behörden und Betreiber Kritischer Infrastrukturen (KRITIS) stellt sich daher bei der Auswahl eines Dienstleisters eine essenzielle Frage: Wie lässt sich die tatsächliche Qualifikation der eingesetzten Analysten objektiv messen?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schafft hierbei durch strenge Zertifizierungskriterien Transparenz. Für behördliche Ausschreibungen oder Audits nach dem IT-Grundschutz ist der Nachweis BSI-anerkannter Zertifikate oft eine zwingende Grundvoraussetzung. In diesem Leitfaden beleuchten wir die offiziellen Kriterien des Amtes und bieten eine fachliche Einordnung der anerkannten Zertifizierungen aus Sicht unserer Praxis.

Das BSI führt eine offizielle Liste anerkannter Nachweise, lässt jedoch explizit Raum für moderne und gleichwertige Qualifikationen. Für die Anerkennung gilt folgende Kernregel des Amtes:

"[Es] können Zertifikate anerkannt werden, die thematisch dem Bereich des Penetrationstestens zuzuordnen sind und einen nachweisbaren praktischen Anteil von mindestens 60 % sowie eine Abschlussprüfung mit hohem praktischem Anteil enthalten. Die inhaltlichen Schwerpunkte sowie der praktische Anteil sind bei Einreichung der Zertifikate darzustellen und zu begründen. Die Prüfung der Eignung eines alternativen Zertifikats erfolgt im Einzelfall durch das BSI. Im Positivfall werden diese Zertifikate in diese Tabelle eingetragen."

Hinweis zur Aktualität: Die offizielle Tabelle des BSI wird fortlaufend aktualisiert. Die unten stehende Vergleichsmatrix spiegelt den aktuellen Stand unserer Recherchen wider und hat keinen Anspruch auf abschließende Vollständigkeit.

Folgende Zertifizierungen sind aktuell (Stand: 06/2026) vom BSI anerkannt:

Einsteigerzertifizierungen

• Certified Ethical Hacker (Practical) (C|EH)
• CompTIA PenTest+

Fortgeschrittene Allrounder-Zertifizierungen

• PEN-200: Penetration Testing with Kali Linux (OSCP[+])
• HackTheBox Certified Penetration Testing Specialist (CPTS)
• CREST Registered Penetration Tester (CRT)
• GIAC Penetration Tester (GPEN)
• Certified Penetration Testing Professional (CPENT)
• eLearnSecurity Certified Professional Penetration Tester (eCPPT)
• Binsec Academy Certified Pentest Professional (BACPP) - neu offiziell vom BSI anerkannt

Zertifizierungen für Webapplikationstests

• WEB-200: Web Attacks with Kali Linux (OSWA)
• WEB-300: Advanced Web Attacks and Exploitation (OSWE)
• eLearnSecurity Certified Web Application Penetration Tester eXtreme (eWPTX)

Zertifizierungen für Infrastruktur- Netzwerkpenetrationstests

• PEN-300: Evasion Techniques and Breaching Defenses (OSEP)
• Certified Red Team Operator (CRTO)

Exploit Development & technische Nischen

• GIAC Exploit Researcher and Advanced Penetration Tester (GXPN)
• PEN-210: Wireless Network Attacks (OSWP)
• eLearnSecurity Certified eXploit Developer (eCXD) {deprecated}