OSCP oder OSWA? Warum WEB-200 auch nach dem OSCP keine Wiederholung ist

„Ich habe bereits den OSCP – brauche ich den OSWA dann überhaupt noch?“

Diese Frage begegnet uns regelmäßig. Schließlich enthält der PEN-200 bereits Web-Exploitation, SQL Injection, Directory Traversal und andere typische Angriffstechniken. Warum also einen weiteren Kurs auf vergleichbarem Niveau absolvieren?

Die kurze Antwort: OSCP und OSWA überschneiden sich bei einzelnen Techniken, validieren aber unterschiedliche Fähigkeiten.

Im neuen Video sprechen Dr. Jakob Schönborn und Johannes Schönborn über die Inhalte des WEB-200, die praktische OSWA-Prüfung und die Abgrenzung zum OSCP:

Video ansehen: OSWA / WEB-200 – Brauche ich den Kurs, wenn ich den OSCP habe?

OSCP: Der breite Einstieg in das Penetration Testing

Der PEN-200 bereitet auf die OSCP-Zertifizierung vor und vermittelt eine breite Pentest-Methodik. Teilnehmende lernen, unterschiedliche Zielsysteme zu enumerieren, Schwachstellen auszunutzen und ihre Berechtigungen unter Linux und Windows auszuweiten.

Zum Kurs gehören unter anderem:

• Netzwerk- und Service-Enumeration
• Angriffe auf Webanwendungen und exponierte Dienste
• Linux- und Windows-Privilege-Escalation
• Passwortangriffe
• Pivoting und Tunneling
• Active-Directory-Angriffe
• grundlegende Angriffe auf AWS-Umgebungen
• nachvollziehbare Dokumentation der Angriffsschritte

Webanwendungen spielen dabei eine wichtige Rolle. Sie sind jedoch nur eine von mehreren Angriffsflächen. Der OSCP prüft deshalb vor allem, ob jemand einen vollständigen technischen Angriffspfad vom ersten Zugang bis zu administrativen Berechtigungen entwickeln kann.

Die aktuelle OSCP+-Prüfung besteht aus drei eigenständigen Systemen und einem Active-Directory-Set. Für das Bestehen sind 70 von 100 Punkten erforderlich. Nach 23 Stunden und 45 Minuten praktischer Prüfung bleiben weitere 24 Stunden für den Bericht. Die Details beschreibt der offizielle OSCP+ Exam Guide.

OSWA: Konsequente Spezialisierung auf Webanwendungen

Der WEB-200 führt zur Zertifizierung als OffSec Web Assessor. Im Mittelpunkt steht nicht die Kompromittierung einer heterogenen Infrastruktur, sondern die systematische Blackbox-Prüfung moderner Webanwendungen.

Der Kurs behandelt unter anderem:

• Web-Reconnaissance und Content Discovery
• Burp Suite Repeater, Intruder, Comparer und Decoder
• Cross-Site Scripting und Cross-Site Request Forgery
• Fehler in Authentifizierung und Session-Handling
• defekte Zugriffskontrollen und IDOR
• SQL Injection und Command Injection
• CORS-Fehlkonfigurationen
• Directory Traversal
• XML External Entities
• Server-Side Template Injection
• Server-Side Request Forgery
• das Verketten mehrerer Schwachstellen

Damit verschiebt sich die zentrale Fragestellung. Beim OSCP lautet sie häufig:

Wie erhalte ich Zugriff auf das System und wie werde ich Administrator?

Beim OSWA lautet sie eher:

Wie funktioniert diese Anwendung und wie kann ich mehrere Schwächen zu einem vollsätndigen Angriffspfad verbinden?

Gerade diese Tiefe macht WEB-200 auch für OSCP-zertifizierte Pentester relevant.

OSCP und OSWA im direkten Vergleich

Beide Prüfungen sind hands-on, werden beaufsichtigt und verlangen einen professionellen, reproduzierbaren Bericht. Auch die OSWA-Prüfung dauert 23 Stunden und 45 Minuten; anschließend stehen weitere 24 Stunden für die Dokumentation zur Verfügung. Geprüft werden fünf unabhängige Ziele. Details finden sich im offiziellen OSWA Exam Guide.

Reicht das Webwissen aus dem OSCP nicht aus?

Für grundlegende Infrastruktur-Pentests häufig schon. Für systematische Web- und API-Assessments nicht unbedingt.

Der OSCP vermittelt wichtige Einstiegstechniken. Seine Stärke ist jedoch die Breite. Teilnehmende müssen zwischen Netzwerkdiensten, Betriebssystemen, Active Directory und Webanwendungen wechseln können. Der WEB-200 nimmt sich dagegen die Zeit, einzelne Schwachstellenklassen, HTTP-Verhalten und Angriffsverkettungen wesentlich genauer zu behandeln.

Ein Pentester kann beispielsweise wissen, wie eine SQL Injection grundsätzlich funktioniert, ohne eine komplexe Blind-SQL-Injection effizient zu erkennen und auszunutzen. Ebenso unterscheiden sich einfache Zugriffskontrollfehler deutlich von mehrstufigen Angriffen auf Rollen, Sessions und Geschäftslogik.

Genau an dieser Stelle ergänzt der OSWA den OSCP.

Welche Zertifizierung sollte zuerst kommen?

Die Antwort hängt weniger vom Prestige der Zertifizierung als vom tatsächlichen Arbeitsalltag ab.

OSCP zuerst, wenn Du …

• Netzwerk- und Infrastruktur-Pentests durchführen möchtest,
• Windows-, Linux- und Active-Directory-Umgebungen prüfst,
• eine breite offensive Grundlage suchst,
• noch nicht auf eine bestimmte Angriffsklasse spezialisiert bist.

OSWA zuerst, wenn Du …

• überwiegend Webanwendungen und APIs testest,
• aus Entwicklung, DevSecOps oder Application Security kommst,
• Blackbox-Webtesting methodisch erlernen möchtest,
• Dich später auf WEB-300 und die OSWE-Zertifizierung vorbereiten willst.

OSCP und anschließend OSWA, wenn Du …

• als Full-Scope-Pentester arbeiten möchtest,
• bereits Infrastrukturtests durchführst und bei Webanwendungen mehr Tiefe brauchst,
• Angriffe vom Internet-Perimeter über die Anwendung bis in interne Systeme nachvollziehen möchtest.

Der eigentliche Unterschied: Breite gegen Tiefe

OSWA ist kein „kleiner OSCP“ und OSCP kein Ersatz für eine Webspezialisierung.

Der OSCP zeigt, dass jemand unterschiedliche Systeme kompromittieren, Berechtigungen ausweiten und vollständige technische Angriffspfade dokumentieren kann. Der OSWA zeigt, dass jemand eine Webanwendung strukturiert analysieren, anwendungsspezifische Schwachstellen erkennen und daraus reproduzierbare Angriffsketten entwickeln kann.

Für moderne Pentest-Teams sind beide Kompetenzprofile notwendig. Die richtige Entscheidung lautet deshalb nicht pauschal „OSCP oder OSWA“, sondern:

Welche Angriffsfläche soll die Person nach dem Training selbstständig und belastbar prüfen können?

Wer diese Frage klar beantwortet, findet meist schnell den passenden Lernpfad.

WEB-200 und OSWA ansehen
PEN-200 und OSCP ansehen