Blue-Team-Zertifikationen: Was wirklich zählt

Blue-Team-Zertifikationen sind ein überfülltes Feld, und viele überlappen sich so stark, dass man mit drei oder vier hintereinander Geld und Zeit verschwendet. Hier erfährst du, wie du die Zertifikationen herausfinterst, die deine Aufmerksamkeit verdienen, von denen, die hauptsächlich dazu da sind, einen Kurs zu verkaufen.

Beginne mit dem, was du tatsächlich schützt

Bevor du dich für eine Zertifikation entscheidest, kläre, welche Art von Blue-Team-Arbeit du machen möchtest. SOC-Analystentätigkeiten (Triage, Alert-Untersuchung, Ticket-Queues) unterscheiden sich von Detection Engineering (Sigma-Regeln schreiben, SIEM-Logik tunen), was sich von Incident Response unterscheidet (Memory Forensics, Timeline Reconstruction, Containment). Viele Menschen schnappen sich GCIH oder CySA+, ohne zu überlegen, welche Richtung sie einschlagen wollen, und wundern sich dann, warum die Zertifikation die gewünschte Tür nicht öffnet.

Anfängerstufe: CompTIA Security+ und CySA+

Security+ ist immer noch ein Türöffner aus gutem Grund: HR-Filter suchen danach, und DoD 8570 Compliance erfordert es für viele staatliche und Contractor-Positionen. Es ist nicht tiefgreifend, aber es beweist, dass du das Vokabular kennst – CIA Triad, grundlegende Kryptografie, Netzwerk-Grundlagen, häufige Angriffstypen.

CySA+ ist der natürliche nächste Schritt und testet tatsächlich analytische Fähigkeiten: Log-Analyse, Vulnerability Management, Incident-Response-Workflows. Wenn du ein SOC Tier 1 oder Tier 2 Role anstrebst, entspricht CySA+ eng alltäglichen Aufgaben – Firewall-Log lesen, Phishing-Report triagieren, Events über Quellen hinweg korrelieren.

Mittelstufe: GCIH, GCFA und BTL1

GIAC's GCIH (Certified Incident Handler) ist, wo viele ernsthafte Blue Teamer anfangen. Sie deckt den Incident-Handling-Lebenszyklus von Ende zu Ende ab: Vorbereitung, Identifikation, Eindämmung, Ausrottung, Wiederherstellung, Lessons Learned. Die Prüfung ist proctored und open-book (du bringst deinen Index mit), was zeigt, dass sie Anwendung testet, nicht Auswendiglernen.

GCFA (Forensic Analyst) geht tiefer in Disk- und Memory-Forensics – NTFS-Artefakte parsen, Windows Event Logs analysieren, mit Tools wie KAPE und Volatility arbeiten. Wenn deine Zielposition DFIR berührt, hat GCFA echtes Gewicht bei Hiring Managern, die die Arbeit selbst gemacht haben.

Security Blue Team's BTL1 (Blue Team Level 1) verdient mehr Aufmerksamkeit als es erhält. Es ist günstiger als GIAC (ein paar hundert Dollar gegen mehrere tausend), vollständig praktisch, und deckt SOC-Grundlagen, Phishing-Analyse, Digital Forensics und Threat Intelligence in einem praktischen Lab-Format ab. Für Selbstfinanzierer ist es oft das beste Preis-Leistungs-Verhältnis im gesamten Blue-Team-Bereich.

Fortgeschritten: GCFE, GNFA und OSDA

Wenn du die Generalist-Phase hinter dir hast, werden Zertifikationen spezifischer. GCFE konzentriert sich auf Windows Forensic Examination in größerer Tiefe als GCFA. GNFA (Network Forensic Analyst) deckt Packet-Capture-Analyse, NetFlow und verschlüsselte Traffic-Analyse ab – nützlich, wenn dein Unternehmen auf netzwerkgestützte Detection statt Endpoint Telemetry setzt.

Offensive Security's OSDA (Defense Analyst) ist neuer und konzentriert sich stark auf Detection Engineering mit Security Onion und Elastic – Detections schreiben und tunen, nicht nur Alerts lesen, die jemand anderes gebaut hat. Es ist eine gute Wahl, wenn du von