Diese Frage begegnet uns regelmäßig. Schließlich enthält der PEN-200 bereits Web-Exploitation, SQL Injection, Directory Traversal und andere typische Angriffstechniken. Warum also einen weiteren Kurs auf vergleichbarem Niveau absolvieren?
Die kurze Antwort: OSCP und OSWA überschneiden sich bei einzelnen Techniken, validieren aber unterschiedliche Fähigkeiten.
Im neuen Video sprechen Dr. Jakob Schönborn und Johannes Schönborn über die Inhalte des WEB-200, die praktische OSWA-Prüfung und die Abgrenzung zum OSCP:
Video ansehen: OSWA / WEB-200 – Brauche ich den Kurs, wenn ich den OSCP habe?
Der PEN-200 bereitet auf die OSCP-Zertifizierung vor und vermittelt eine breite Pentest-Methodik. Teilnehmende lernen, unterschiedliche Zielsysteme zu enumerieren, Schwachstellen auszunutzen und ihre Berechtigungen unter Linux und Windows auszuweiten.
Zum Kurs gehören unter anderem:
Webanwendungen spielen dabei eine wichtige Rolle. Sie sind jedoch nur eine von mehreren Angriffsflächen. Der OSCP prüft deshalb vor allem, ob jemand einen vollständigen technischen Angriffspfad vom ersten Zugang bis zu administrativen Berechtigungen entwickeln kann.
Die aktuelle OSCP+-Prüfung besteht aus drei eigenständigen Systemen und einem Active-Directory-Set. Für das Bestehen sind 70 von 100 Punkten erforderlich. Nach 23 Stunden und 45 Minuten praktischer Prüfung bleiben weitere 24 Stunden für den Bericht. Die Details beschreibt der offizielle OSCP+ Exam Guide.
Der WEB-200 führt zur Zertifizierung als OffSec Web Assessor. Im Mittelpunkt steht nicht die Kompromittierung einer heterogenen Infrastruktur, sondern die systematische Blackbox-Prüfung moderner Webanwendungen.
Der Kurs behandelt unter anderem:
Damit verschiebt sich die zentrale Fragestellung. Beim OSCP lautet sie häufig:
Wie erhalte ich Zugriff auf das System und wie werde ich Administrator?
Beim OSWA lautet sie eher:
Wie funktioniert diese Anwendung und wie kann ich mehrere Schwächen zu einem vollsätndigen Angriffspfad verbinden?
Gerade diese Tiefe macht WEB-200 auch für OSCP-zertifizierte Pentester relevant.
| OSCP / PEN-200 | OSWA / WEB-200 | |
|---|---|---|
| Schwerpunkt | Infrastruktur- und System-Pentesting | Blackbox-Webanwendungstests |
| Angriffsfläche | Netzwerk, Dienste, Betriebssysteme, AD, Web und Cloud-Grundlagen | Webanwendungen, HTTP, Sessions, Zugriffskontrolle und serverseitige Logik |
| Typisches Ziel | Initial Access, Shell und Privilege Escalation | Administratorsitzung und Kompromittierung der Webanwendung |
| Privilege Escalation | Zentraler Bestandteil | Nach einer Remote Shell nicht erforderlich |
| Werkzeuge | Unter anderem Nmap, Metasploit, Burp Suite, Hydra und sqlmap | Starker Fokus auf Browser, Burp Suite, Fuzzing und anwendungsspezifische Payloads |
| Prüfung | Drei Standalone-Systeme und ein AD-Set | Fünf unabhängige Webziele |
| Arbeitsweise | Breite Enumeration über unterschiedliche Technologien | Tiefgehende Analyse einer Anwendung und ihrer Logik |
| Typische Rollen | Penetration Tester, Security Consultant, Red Teamer | Web Pentester, AppSec Analyst, Security Engineer, Developer mit Security-Fokus |
Beide Prüfungen sind hands-on, werden beaufsichtigt und verlangen einen professionellen, reproduzierbaren Bericht. Auch die OSWA-Prüfung dauert 23 Stunden und 45 Minuten; anschließend stehen weitere 24 Stunden für die Dokumentation zur Verfügung. Geprüft werden fünf unabhängige Ziele. Details finden sich im offiziellen OSWA Exam Guide.
Für grundlegende Infrastruktur-Pentests häufig schon. Für systematische Web- und API-Assessments nicht unbedingt.
Der OSCP vermittelt wichtige Einstiegstechniken. Seine Stärke ist jedoch die Breite. Teilnehmende müssen zwischen Netzwerkdiensten, Betriebssystemen, Active Directory und Webanwendungen wechseln können. Der WEB-200 nimmt sich dagegen die Zeit, einzelne Schwachstellenklassen, HTTP-Verhalten und Angriffsverkettungen wesentlich genauer zu behandeln.
Ein Pentester kann beispielsweise wissen, wie eine SQL Injection grundsätzlich funktioniert, ohne eine komplexe Blind-SQL-Injection effizient zu erkennen und auszunutzen. Ebenso unterscheiden sich einfache Zugriffskontrollfehler deutlich von mehrstufigen Angriffen auf Rollen, Sessions und Geschäftslogik.
Genau an dieser Stelle ergänzt der OSWA den OSCP.
Die Antwort hängt weniger vom Prestige der Zertifizierung als vom tatsächlichen Arbeitsalltag ab.
OSWA ist kein „kleiner OSCP“ und OSCP kein Ersatz für eine Webspezialisierung.
Der OSCP zeigt, dass jemand unterschiedliche Systeme kompromittieren, Berechtigungen ausweiten und vollständige technische Angriffspfade dokumentieren kann. Der OSWA zeigt, dass jemand eine Webanwendung strukturiert analysieren, anwendungsspezifische Schwachstellen erkennen und daraus reproduzierbare Angriffsketten entwickeln kann.
Für moderne Pentest-Teams sind beide Kompetenzprofile notwendig. Die richtige Entscheidung lautet deshalb nicht pauschal „OSCP oder OSWA“, sondern:
Welche Angriffsfläche soll die Person nach dem Training selbstständig und belastbar prüfen können?
Wer diese Frage klar beantwortet, findet meist schnell den passenden Lernpfad.
WEB-200 und OSWA ansehen
PEN-200 und OSCP ansehen