Der Certified Ethical Hacker ist das bekannteste Hacking-Zertifikat — und unter Praktikern das umstrittenste. Der Grund für beides ist derselbe: Es ist überwiegend wissensbasiert, während der Beruf praktisch ist. Man kann die 125-Fragen-Prüfung bestehen, ohne je erfolgreich in ein System eingedrungen zu sein. Trotzdem hat es seinen Platz — es steht namentlich in Ausschreibungen, die es verlangen. Dieser Artikel klärt die Kosten (rund 950 US-Dollar Prüfung, DE-Kurspakete 3.950 bis 4.450 €), das Format, die Kritik und die einzig sinnvolle Entscheidungsregel: Mach es, wenn jemand es verlangt — nicht, um Können zu beweisen.
Was das CEH ist
Der CEH von EC-Council vermittelt einen breiten Überblick über Angriffstechniken aus Sicht des Verteidigers: Aufklärung, Scanning, Angriffe auf Systeme und Anwendungen, Schadsoftware, Social Engineering. Die aktuelle Version ist CEH v13. Die Prüfung besteht aus 125 Multiple-Choice-Fragen in 4 Stunden; die Remote-Variante kostet rund 950 US-Dollar.
Es ist ausdrücklich ein Wissens-, kein Können-Nachweis. Das ist keine Abwertung, sondern die Beschreibung seiner Konstruktion: Es prüft, ob jemand die Landschaft der Angriffstechniken kennt und benennen kann — nicht, ob er sie unter Zeitdruck anwendet. Das unterscheidet es fundamental vom OSCP, das genau das Gegenteil prüft.
Warum es umstritten ist
Die Kritik aus der Praxis hat einen wahren Kern und einen unfairen:
Der wahre Kern: Für eine offensive Rolle ist ein reiner Multiple-Choice-Test ein schwacher Kompetenznachweis. Wer Pentesting-Können belegen will, überzeugt mit einem dokumentierten Home-Lab und dem praktisch geprüften OSCP mehr als mit dem CEH — die Einordnung beider steht im Zertifikats-Wegweiser.
Der unfaire Teil: Das CEH will gar kein Können-Nachweis sein. Als Überblicks- und Anforderungs-Zertifikat erfüllt es seinen Zweck — es belegt strukturiertes Grundlagenwissen über Angriffe und steht in genau den Ausschreibungen, in denen es verlangt wird. Es am OSCP zu messen, ist wie einen Führerschein an einer Rennlizenz zu messen.
Mach das CEH, wenn jemand es von dir verlangt — nicht, um Können zu beweisen. In Ausschreibungen der öffentlichen Hand und in Konzern-Anforderungskatalogen steht es häufig namentlich; dann ist es der pragmatische Weg. Willst du dagegen offensives Können belegen, ist das Geld im OSCP plus dokumentierter Praxis deutlich besser angelegt.
Kosten und Weg
| Posten | Kosten | Hinweis |
|---|---|---|
| Prüfung (Remote-Proctoring) | ca. 950 US-$ | 125 Fragen / 4 Stunden |
| DE-Kurspaket online | ca. 3.950 € | Prüfung meist enthalten |
| DE-Kurspaket mit Bootcamp/AI | ca. 4.450 € | teils inkl. 1 Wiederholung |
Anders als beim OSCP oder Security+ ist der Selbststudium-Weg beim CEH weniger verbreitet: EC-Council koppelt die Prüfungszulassung in der Regel an eine anerkannte Schulung oder an nachgewiesene Berufserfahrung. Damit rückt das Kurspaket in den Vordergrund — und macht das CEH zu einem der teureren Wege. Genau deshalb ist die Entscheidungsregel oben so wichtig: Bei diesen Beträgen sollte ein konkreter Anlass dahinterstehen, nicht die Hoffnung auf Wirkung.
Wer zahlt? In der Praxis überwiegend der Arbeitgeber — weil das Zertifikat in seinen Ausschreibungen oder Anforderungskatalogen steht. Als Teil geförderter Weiterbildungen taucht das CEH ebenfalls auf; für Arbeitssuchende kann die Agentur für Arbeit eine AZAV-zertifizierte Maßnahme über einen Bildungsgutschein fördern, wenn die Voraussetzungen erfüllt sind.
Für wen es sinnvoll ist — und für wen nicht
Sinnvoll: Wenn eine konkrete Stelle oder ein Arbeitgeber das CEH namentlich verlangt — häufig im Behörden- und Konzernumfeld. Dann ist es die pragmatische Erfüllung einer Anforderung, und die Kosten trägt meist ohnehin der Arbeitgeber.
Sinnvoll als Überblick: Für Menschen in defensiven oder Management-nahen Rollen, die eine strukturierte Landkarte der Angriffsseite brauchen, ohne selbst offensiv zu arbeiten. Hier spielt das Wissens-Format sogar seine Stärke aus.
Nicht sinnvoll: Als Kompetenznachweis für offensive Rollen — dafür OSCP plus dokumentierte Praxis. Und nicht als Einstiegszertifikat: Für den ersten Schritt ins Feld ist Security+ deutlich günstiger und breiter anerkannt.
Häufige Fragen
Was kostet der Certified Ethical Hacker (CEH)?
Die Remote-Prüfung kostet rund 950 US-Dollar; deutsche Kurspakete liegen zwischen 3.950 € (online) und 4.450 € (mit Bootcamp), wobei die Prüfung meist enthalten ist (Stand 07/2026). Der reine Selbststudium-Weg ist beim CEH weniger verbreitet, da die Zulassung meist an eine Schulung oder Berufserfahrung gekoppelt ist.
Wie läuft die CEH-Prüfung ab?
Die Prüfung der aktuellen Version CEH v13 besteht aus 125 Multiple-Choice-Fragen und dauert 4 Stunden. Sie ist wissensbasiert und prüft die Kenntnis von Angriffstechniken aus Verteidigersicht — nicht deren praktische Anwendung unter Zeitdruck.
Ist das CEH etwas wert?
Es kommt auf den Zweck an. Als Überblicks- und Anforderungszertifikat erfüllt es seinen Zweck und steht namentlich in vielen Ausschreibungen. Als Kompetenznachweis für offensive Arbeit ist es umstritten, weil es rein wissensbasiert ist — dafür ist das praktisch geprüfte OSCP der stärkere Nachweis.
CEH oder OSCP — was ist besser?
Sie messen Verschiedenes. Das CEH prüft Wissen über Angriffstechniken per Multiple Choice und steht häufiger in Ausschreibungen; das OSCP prüft praktisches Können in einer rund 24-stündigen Hands-on-Prüfung. Für den Kompetenznachweis das OSCP, für die Erfüllung einer namentlichen Anforderung das CEH.
Lohnt sich das CEH für den Einstieg?
Nur bedingt. Für den ersten Schritt ins Feld ist CompTIA Security+ günstiger, breiter anerkannt und ohne Schulungszwang zugänglich. Das CEH lohnt sich vor allem, wenn eine konkrete Stelle oder ein Arbeitgeber es namentlich verlangt — und dann trägt die Kosten meist der Arbeitgeber.
Wer bezahlt das CEH?
In der Praxis überwiegend der Arbeitgeber, weil das Zertifikat in seinen Ausschreibungen oder Anforderungskatalogen steht. Als Teil einer AZAV-zertifizierten Weiterbildung kann die Agentur für Arbeit die Kosten für Arbeitssuchende über einen Bildungsgutschein übernehmen, wenn die Voraussetzungen erfüllt sind.