(function() {
  var extra = [
  {
    "id": "sc300-108",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The HR team sends a monthly CSV file with new starter information.",
      "de": "Das HR-Team sendet monatlich eine CSV-Datei mit Informationen zu neuen Mitarbeitern."
    },
    "question": {
      "en": "You must create 400 cloud-only user accounts every month from a CSV export. Which approach is the most efficient?",
      "de": "Sie müssen jeden Monat 400 reine Cloudbenutzerkonten aus einem CSV-Export erstellen. Welcher Ansatz ist am effizientesten?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Use Import-Csv with Microsoft Graph PowerShell to call New-MgUser",
          "de": "Verwenden Sie Import-Csv mit Microsoft Graph PowerShell, um New-MgUser aufzurufen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Create each user in the Microsoft Entra admin center",
          "de": "Erstellen Sie jeden Benutzer im Microsoft Entra Admin Center"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Run an access review",
          "de": "Führen Sie eine Zugriffsüberprüfung durch"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Create a named location",
          "de": "Erstellen Sie einen benannten Standort"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Bulk user creation from CSV is best automated with Microsoft Graph PowerShell. It is repeatable, scriptable, and designed for large sets of users. The admin center is manual, while access reviews and named locations do not create accounts.",
      "de": "Die Massenanlage von Benutzern aus CSV wird am besten mit Microsoft Graph PowerShell automatisiert. Dies ist wiederholbar, skriptfähig und für große Benutzermengen ausgelegt. Das Admin Center ist manuell, während Zugriffsüberprüfungen und benannte Standorte keine Konten erstellen."
    },
    "hint": {
      "en": "Choose the option built for repeatable bulk provisioning.",
      "de": "Wählen Sie die Option, die für wiederholbare Massenbereitstellung vorgesehen ist."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/users/users-bulk-add"
  },
  {
    "id": "sc300-109",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The onboarding platform is custom and cannot use the portal interactively.",
      "de": "Die Onboarding-Plattform ist benutzerdefiniert und kann das Portal nicht interaktiv verwenden."
    },
    "question": {
      "en": "An HR system must create users automatically through REST calls during onboarding. Which interface should the application use?",
      "de": "Ein HR-System muss beim Onboarding Benutzer automatisch über REST-Aufrufe erstellen. Welche Schnittstelle sollte die Anwendung verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Graph API",
          "de": "Microsoft Graph-API"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Privileged Identity Management",
          "de": "Privileged Identity Management"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Conditional Access",
          "de": "Bedingter Zugriff"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Application Proxy",
          "de": "Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Microsoft Graph API is the programmatic interface for creating and managing Microsoft Entra users over REST. PIM, Conditional Access, and Application Proxy solve governance, access, and publishing scenarios instead.",
      "de": "Die Microsoft Graph-API ist die programmgesteuerte REST-Schnittstelle zum Erstellen und Verwalten von Microsoft Entra-Benutzern. PIM, bedingter Zugriff und Application Proxy lösen stattdessen Governance-, Zugriffs- und Veröffentlichungsaufgaben."
    },
    "hint": {
      "en": "The requirement explicitly asks for a REST-based automation interface.",
      "de": "Die Anforderung verlangt ausdrücklich eine REST-basierte Automatisierungsschnittstelle."
    },
    "reference": "https://learn.microsoft.com/en-us/graph/api/user-post-users"
  },
  {
    "id": "sc300-110",
    "type": "multiple",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which group types support dynamic membership rules in Microsoft Entra ID? (Choose all that apply.)",
      "de": "Welche Gruppentypen unterstützen Regeln für dynamische Mitgliedschaft in Microsoft Entra ID? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Security groups",
          "de": "Sicherheitsgruppen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Microsoft 365 groups",
          "de": "Microsoft 365-Gruppen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Mail-enabled security groups",
          "de": "E-Mail-aktivierte Sicherheitsgruppen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Distribution lists",
          "de": "Verteilerlisten"
        }
      }
    ],
    "correct": [
      "A",
      "B"
    ],
    "explanation": {
      "en": "Dynamic membership is supported for security groups and Microsoft 365 groups. Mail-enabled security groups and distribution lists are Exchange-oriented group types and do not support Microsoft Entra dynamic membership rules.",
      "de": "Dynamische Mitgliedschaft wird für Sicherheitsgruppen und Microsoft 365-Gruppen unterstützt. E-Mail-aktivierte Sicherheitsgruppen und Verteilerlisten sind Exchange-orientierte Gruppentypen und unterstützen keine dynamischen Microsoft Entra-Mitgliedschaftsregeln."
    },
    "hint": {
      "en": "Focus on the two Entra group types that can evaluate rules against attributes.",
      "de": "Konzentrieren Sie sich auf die beiden Entra-Gruppentypen, die Regeln gegen Attribute auswerten können."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership"
  },
  {
    "id": "sc300-111",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "You need a dynamic user group that contains only enabled users in the Sales department. Which rule is correct?",
      "de": "Sie benötigen eine dynamische Benutzergruppe, die nur aktivierte Benutzer der Abteilung Vertrieb enthält. Welche Regel ist korrekt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "(user.department -eq \"Sales\") and (user.accountEnabled -eq true)",
          "de": "(user.department -eq \"Sales\") and (user.accountEnabled -eq true)"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "(user.department -contains \"Sales\") or (user.accountEnabled -eq false)",
          "de": "(user.department -contains \"Sales\") or (user.accountEnabled -eq false)"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "(user.department -eq \"Sales\") and (user.accountEnabled -ne true)",
          "de": "(user.department -eq \"Sales\") and (user.accountEnabled -ne true)"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "(group.department -eq \"Sales\")",
          "de": "(group.department -eq \"Sales\")"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Option A correctly targets the user object, checks for an exact department match, and requires the account to be enabled. The other rules use the wrong logic, the wrong operator, or the wrong object type.",
      "de": "Option A adressiert korrekt das Benutzerobjekt, prüft auf exakte Übereinstimmung der Abteilung und verlangt ein aktiviertes Konto. Die anderen Regeln verwenden die falsche Logik, den falschen Operator oder den falschen Objekttyp."
    },
    "hint": {
      "en": "Look for an exact user-based rule with both conditions true.",
      "de": "Suchen Sie nach einer exakten benutzerbasierten Regel, bei der beide Bedingungen erfüllt sind."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership"
  },
  {
    "id": "sc300-112",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "You want a dynamic device group for hybrid-joined Windows devices only. Which rule should you use?",
      "de": "Sie möchten eine dynamische Gerätegruppe nur für hybrid eingebundene Windows-Geräte. Welche Regel sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "(device.deviceOSType -eq \"Windows\") and (device.deviceTrustType -eq \"ServerAD\")",
          "de": "(device.deviceOSType -eq \"Windows\") and (device.deviceTrustType -eq \"ServerAD\")"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "(device.deviceOSType -eq \"Windows\") and (device.deviceTrustType -eq \"AzureAD\")",
          "de": "(device.deviceOSType -eq \"Windows\") and (device.deviceTrustType -eq \"AzureAD\")"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "(user.deviceOSType -eq \"Windows\")",
          "de": "(user.deviceOSType -eq \"Windows\")"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "(device.deviceOwnership -eq \"Personal\")",
          "de": "(device.deviceOwnership -eq \"Personal\")"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Hybrid-joined devices use the ServerAD trust type, and the rule must target the device object. AzureAD represents Microsoft Entra joined devices, and the other options do not isolate hybrid-joined Windows devices.",
      "de": "Hybrid eingebundene Geräte verwenden den Vertrauentyp ServerAD, und die Regel muss auf das Geräteobjekt zielen. AzureAD steht für Microsoft Entra-gebundene Geräte, und die anderen Optionen isolieren hybrid eingebundene Windows-Geräte nicht."
    },
    "hint": {
      "en": "Hybrid join maps to ServerAD, not AzureAD.",
      "de": "Hybrid Join entspricht ServerAD und nicht AzureAD."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership"
  },
  {
    "id": "sc300-113",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which group type is best when you need an email-enabled group for access control but do not need a shared mailbox, Planner, or SharePoint site?",
      "de": "Welcher Gruppentyp ist am besten geeignet, wenn Sie eine E-Mail-aktivierte Gruppe für die Zugriffssteuerung benötigen, aber kein gemeinsames Postfach, keinen Planner und keine SharePoint-Website brauchen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft 365 group",
          "de": "Microsoft 365-Gruppe"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Mail-enabled security group",
          "de": "E-Mail-aktivierte Sicherheitsgruppe"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Administrative unit",
          "de": "Administrative Einheit"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Dynamic device group",
          "de": "Dynamische Gerätegruppe"
        }
      }
    ],
    "correct": [
      "B"
    ],
    "explanation": {
      "en": "A mail-enabled security group combines mail delivery with access control. A Microsoft 365 group provisions collaboration workloads, while an administrative unit and a device group are different concepts.",
      "de": "Eine E-Mail-aktivierte Sicherheitsgruppe kombiniert E-Mail-Zustellung mit Zugriffssteuerung. Eine Microsoft 365-Gruppe stellt Kollaborationsdienste bereit, während eine administrative Einheit und eine Gerätegruppe andere Konzepte sind."
    },
    "hint": {
      "en": "Choose the option that is mail-enabled and still intended for authorization.",
      "de": "Wählen Sie die Option, die E-Mail-fähig ist und dennoch für Autorisierung gedacht ist."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/fundamentals/concept-learn-about-groups"
  },
  {
    "id": "sc300-114",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The company has separate support teams for Berlin, Paris, and Madrid.",
      "de": "Das Unternehmen hat separate Supportteams für Berlin, Paris und Madrid."
    },
    "question": {
      "en": "Regional help desk staff must reset passwords only for users in the Berlin office without receiving tenant-wide permissions. What should you use?",
      "de": "Mitarbeiter des regionalen Helpdesks sollen Kennwörter nur für Benutzer im Berliner Büro zurücksetzen können, ohne mandantenweite Berechtigungen zu erhalten. Was sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "An administrative unit with scoped role assignments",
          "de": "Eine administrative Einheit mit bereichsbezogenen Rollenzuweisungen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A named location",
          "de": "Einen benannten Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A service principal",
          "de": "Einen Dienstprinzipal"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A token lifetime policy",
          "de": "Eine Tokenlebensdauerrichtlinie"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Administrative units let you scope supported directory roles to a subset of users, groups, or devices. Named locations, service principals, and token lifetime policies do not delegate user management to a regional subset.",
      "de": "Administrative Einheiten ermöglichen es, unterstützte Verzeichnisrollen auf eine Teilmenge von Benutzern, Gruppen oder Geräten zu begrenzen. Benannte Standorte, Dienstprinzipale und Tokenlebensdauerrichtlinien delegieren die Benutzerverwaltung nicht auf eine regionale Teilmenge."
    },
    "hint": {
      "en": "You need scoped administration, not a sign-in or application setting.",
      "de": "Sie benötigen begrenzte Verwaltung und keine Anmelde- oder Anwendungseinstellung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units"
  },
  {
    "id": "sc300-115",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "These accounts include break-glass identities and highly privileged executives.",
      "de": "Zu diesen Konten gehören Notfallidentitäten und hoch privilegierte Vorstandsmitglieder."
    },
    "question": {
      "en": "Your organization wants executive and emergency accounts isolated so that only a very small admin set can manage them. Which AU design best fits this requirement?",
      "de": "Ihre Organisation möchte Vorstands- und Notfallkonten isolieren, sodass nur ein sehr kleiner Administratorkreis sie verwalten kann. Welches AU-Design passt am besten zu dieser Anforderung?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A restricted management administrative unit",
          "de": "Eine administrative Einheit mit eingeschränkter Verwaltung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A Microsoft 365 group",
          "de": "Eine Microsoft 365-Gruppe"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A named location marked as trusted",
          "de": "Einen als vertrauenswürdig markierten benannten Standort"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A guest user policy",
          "de": "Eine Gastbenutzerrichtlinie"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Restricted management administrative units are designed to isolate sensitive objects so management is tightly controlled by specifically scoped administrators. The other options do not create the same administrative boundary for high-value identities.",
      "de": "Administrative Einheiten mit eingeschränkter Verwaltung sind dafür vorgesehen, sensible Objekte zu isolieren, sodass die Verwaltung streng von speziell abgegrenzten Administratoren gesteuert wird. Die anderen Optionen schaffen keine vergleichbare Verwaltungsgrenze für hochkritische Identitäten."
    },
    "hint": {
      "en": "Think about isolating sensitive identities from general administration.",
      "de": "Denken Sie an die Isolierung sensibler Identitäten von der allgemeinen Verwaltung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units"
  },
  {
    "id": "sc300-116",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "The security team also wants the original account and identity restored if possible.",
      "de": "Das Sicherheitsteam möchte nach Möglichkeit auch das ursprüngliche Konto und die ursprüngliche Identität wiederherstellen."
    },
    "question": {
      "en": "A user account was deleted by mistake 21 days ago. What is the simplest way to recover it?",
      "de": "Ein Benutzerkonto wurde vor 21 Tagen versehentlich gelöscht. Was ist der einfachste Weg, es wiederherzustellen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Restore the soft-deleted user from Deleted users",
          "de": "Stellen Sie den softgelöschten Benutzer unter Gelöschte Benutzer wieder her"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Recreate the user manually and assign a new object ID",
          "de": "Erstellen Sie den Benutzer manuell neu und weisen Sie eine neue Objekt-ID zu"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Run an access review",
          "de": "Führen Sie eine Zugriffsüberprüfung durch"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Create a connected organization",
          "de": "Erstellen Sie eine verbundene Organisation"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Soft-deleted users can be restored within the retention window, which preserves the original account more cleanly than recreating it from scratch. Access reviews and connected organizations do not recover deleted user objects.",
      "de": "Softgelöschte Benutzer können innerhalb des Aufbewahrungszeitraums wiederhergestellt werden, was das ursprüngliche Konto sauberer zurückbringt als eine Neuerstellung. Zugriffsüberprüfungen und verbundene Organisationen stellen keine gelöschten Benutzerobjekte wieder her."
    },
    "hint": {
      "en": "If the deletion is still within the retention period, restore instead of recreate.",
      "de": "Wenn die Löschung noch innerhalb des Aufbewahrungszeitraums liegt, stellen Sie wieder her statt neu zu erstellen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/fundamentals/users-restore"
  },
  {
    "id": "sc300-117",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The values must later be usable in authorization decisions.",
      "de": "Die Werte müssen später in Autorisierungsentscheidungen verwendbar sein."
    },
    "question": {
      "en": "You need to tag users and enterprise applications with business-specific values such as Project=Phoenix and DataClass=Confidential for ABAC scenarios. Which feature should you use?",
      "de": "Sie müssen Benutzer und Unternehmensanwendungen mit geschäftsspezifischen Werten wie Project=Phoenix und DataClass=Confidential für ABAC-Szenarien kennzeichnen. Welche Funktion sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Custom security attributes",
          "de": "Benutzerdefinierte Sicherheitsattribute"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Dynamic administrative units",
          "de": "Dynamische administrative Einheiten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Token lifetime policies",
          "de": "Tokenlebensdauerrichtlinien"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Custom security attributes are business-specific key-value pairs that you can assign to users and enterprise applications. They are intended for classification and fine-grained authorization scenarios such as ABAC.",
      "de": "Benutzerdefinierte Sicherheitsattribute sind geschäftsspezifische Schlüssel-Wert-Paare, die Sie Benutzern und Unternehmensanwendungen zuweisen können. Sie sind für Klassifizierung und fein granulierte Autorisierungsszenarien wie ABAC vorgesehen."
    },
    "hint": {
      "en": "Look for the feature meant to store governed business metadata on identities and apps.",
      "de": "Suchen Sie nach der Funktion, die verwaltete geschäftliche Metadaten auf Identitäten und Apps speichern soll."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/fundamentals/custom-security-attributes-overview"
  },
  {
    "id": "sc300-118",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which role should you assign to let a delegate create attribute sets and define new custom security attributes?",
      "de": "Welche Rolle sollten Sie zuweisen, damit ein Delegierter Attributsätze erstellen und neue benutzerdefinierte Sicherheitsattribute definieren kann?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Attribute Definition Administrator",
          "de": "Attribute Definition Administrator"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Attribute Assignment Administrator",
          "de": "Attribute Assignment Administrator"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Security Reader",
          "de": "Security Reader"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Cloud Application Administrator",
          "de": "Cloud Application Administrator"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Attribute Definition Administrator is the role for defining and managing custom security attribute sets and definitions. Attribute Assignment Administrator is used to assign values, not to author the schema.",
      "de": "Attribute Definition Administrator ist die Rolle zum Definieren und Verwalten benutzerdefinierter Sicherheitsattributsätze und -definitionen. Attribute Assignment Administrator dient zum Zuweisen von Werten, nicht zum Erstellen des Schemas."
    },
    "hint": {
      "en": "This question is about creating the schema, not assigning values.",
      "de": "In dieser Frage geht es um das Erstellen des Schemas und nicht um das Zuweisen von Werten."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/fundamentals/custom-security-attributes-overview"
  },
  {
    "id": "sc300-119",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which role should you assign to let a delegate populate existing custom security attributes on users and service principals?",
      "de": "Welche Rolle sollten Sie zuweisen, damit ein Delegierter vorhandene benutzerdefinierte Sicherheitsattribute für Benutzer und Dienstprinzipale befüllen kann?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Attribute Definition Administrator",
          "de": "Attribute Definition Administrator"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Attribute Assignment Administrator",
          "de": "Attribute Assignment Administrator"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Conditional Access Administrator",
          "de": "Conditional Access Administrator"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Global Reader",
          "de": "Global Reader"
        }
      }
    ],
    "correct": [
      "B"
    ],
    "explanation": {
      "en": "Attribute Assignment Administrator can assign and update values for existing custom security attributes. Definition administrators manage the schema, while the other roles are unrelated.",
      "de": "Attribute Assignment Administrator kann Werte für vorhandene benutzerdefinierte Sicherheitsattribute zuweisen und aktualisieren. Definitionsadministratoren verwalten das Schema, während die anderen Rollen hier nicht relevant sind."
    },
    "hint": {
      "en": "You are delegating value assignment, not attribute design.",
      "de": "Sie delegieren die Wertzuweisung und nicht den Entwurf des Attributs."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/fundamentals/custom-security-attributes-overview"
  },
  {
    "id": "sc300-120",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "The devices will be managed through Intune from day one.",
      "de": "Die Geräte werden vom ersten Tag an über Intune verwaltet."
    },
    "question": {
      "en": "Your company issues new Windows 11 laptops that are owned by the company, cloud managed, and never joined to on-premises Active Directory. What join state should you use?",
      "de": "Ihr Unternehmen stellt neue Windows 11-Laptops bereit, die dem Unternehmen gehören, cloudverwaltet sind und nie mit dem lokalen Active Directory verbunden werden. Welchen Join-Status sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Entra joined",
          "de": "Microsoft Entra-gebunden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Microsoft Entra registered",
          "de": "Microsoft Entra-registriert"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Microsoft Entra hybrid joined",
          "de": "Microsoft Entra hybrid-gebunden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Domain joined only",
          "de": "Nur domänengebunden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Microsoft Entra joined is the cloud-native state for organization-owned devices that are managed without on-premises Active Directory join. Registered is typically BYOD, and hybrid joined requires both on-premises AD and Entra.",
      "de": "Microsoft Entra-gebunden ist der cloudnative Zustand für organisationsbezogene Geräte, die ohne lokale Active Directory-Bindung verwaltet werden. Registriert ist typischerweise für BYOD gedacht, und Hybrid Join erfordert sowohl lokales AD als auch Entra."
    },
    "hint": {
      "en": "Cloud-only corporate devices point to Entra join.",
      "de": "Reine Cloud-Unternehmensgeräte weisen auf Entra Join hin."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/devices/concept-device-registration"
  },
  {
    "id": "sc300-121",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "The company wants access controls, but it does not want to claim ownership of personal devices.",
      "de": "Das Unternehmen möchte Zugriffssteuerungen, aber nicht den Besitz privater Geräte beanspruchen."
    },
    "question": {
      "en": "Employees use their personal iPads to access Microsoft 365 with company credentials. The devices must keep their personal ownership. What registration state fits best?",
      "de": "Mitarbeiter verwenden ihre privaten iPads, um mit Unternehmensanmeldeinformationen auf Microsoft 365 zuzugreifen. Die Geräte müssen in privatem Besitz bleiben. Welcher Registrierungsstatus passt am besten?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Entra registered",
          "de": "Microsoft Entra-registriert"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Microsoft Entra joined",
          "de": "Microsoft Entra-gebunden"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Microsoft Entra hybrid joined",
          "de": "Microsoft Entra hybrid-gebunden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Federated",
          "de": "Verbundgebunden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Microsoft Entra registered is appropriate for BYOD scenarios where users add a work account to a personally owned device. Joined and hybrid joined are organization-controlled device states.",
      "de": "Microsoft Entra-registriert ist für BYOD-Szenarien geeignet, in denen Benutzer auf einem privat besessenen Gerät ein Arbeitskonto hinzufügen. Join und Hybrid Join sind Zustände für organisationsgesteuerte Geräte."
    },
    "hint": {
      "en": "Personally owned devices usually point to registration rather than join.",
      "de": "Privat besessene Geräte weisen üblicherweise auf Registrierung statt auf Join hin."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/devices/concept-device-registration"
  },
  {
    "id": "sc300-122",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "The desktops use Group Policy today and cannot be rebuilt yet.",
      "de": "Die Desktops verwenden heute Gruppenrichtlinien und können noch nicht neu aufgebaut werden."
    },
    "question": {
      "en": "Company desktops are joined to on-premises Active Directory and also need a device identity in Microsoft Entra ID. Which device state should you implement?",
      "de": "Unternehmensdesktops sind mit dem lokalen Active Directory verbunden und benötigen zusätzlich eine Geräteidentität in Microsoft Entra ID. Welchen Gerätezustand sollten Sie implementieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Entra hybrid joined",
          "de": "Microsoft Entra hybrid-gebunden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Microsoft Entra registered",
          "de": "Microsoft Entra-registriert"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Microsoft Entra joined",
          "de": "Microsoft Entra-gebunden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Guest joined",
          "de": "Gastgebunden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Hybrid join is used when organization-owned devices are joined to on-premises Active Directory and also represented in Microsoft Entra ID. Registration is for BYOD, and Entra join is cloud-only.",
      "de": "Hybrid Join wird verwendet, wenn organisationsbezogene Geräte mit lokalem Active Directory verbunden sind und gleichzeitig in Microsoft Entra ID repräsentiert werden. Registrierung ist für BYOD gedacht, und Entra Join ist cloudbasiert."
    },
    "hint": {
      "en": "If the device is joined to on-premises AD and Entra, it is hybrid joined.",
      "de": "Wenn das Gerät mit lokalem AD und Entra verbunden ist, ist es hybrid-gebunden."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/devices/concept-device-registration"
  },
  {
    "id": "sc300-123",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The company wants minimum infrastructure and maximum sign-in availability.",
      "de": "Das Unternehmen möchte minimale Infrastruktur und maximale Anmeldeverfügbarkeit."
    },
    "question": {
      "en": "Your security team wants the simplest hybrid authentication method with cloud sign-in resilience even if on-premises sign-in agents are unavailable. Which method should you choose?",
      "de": "Ihr Sicherheitsteam möchte die einfachste hybride Authentifizierungsmethode mit robuster Cloudanmeldung, selbst wenn lokale Anmelde-Agenten nicht verfügbar sind. Welche Methode sollten Sie wählen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Password hash synchronization",
          "de": "Kennworthashsynchronisierung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Pass-through authentication",
          "de": "Pass-Through-Authentifizierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Federation",
          "de": "Verbundauthentifizierung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Application Proxy",
          "de": "Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Password hash synchronization lets Microsoft Entra validate passwords in the cloud, which removes a sign-in dependency on on-premises agents or federation servers. PTA and federation require on-premises components during sign-in.",
      "de": "Die Kennworthashsynchronisierung ermöglicht es Microsoft Entra, Kennwörter in der Cloud zu validieren, wodurch die Anmeldung nicht von lokalen Agenten oder Verbundservern abhängt. PTA und Verbundauthentifizierung benötigen während der Anmeldung lokale Komponenten."
    },
    "hint": {
      "en": "The key clue is resilience without on-premises sign-in dependencies.",
      "de": "Der entscheidende Hinweis ist Robustheit ohne lokale Anmeldeabhängigkeiten."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-azure-ad-connect"
  },
  {
    "id": "sc300-124",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Security policy requires password validation against the on-premises domain controllers.",
      "de": "Die Sicherheitsrichtlinie verlangt die Kennwortprüfung gegen die lokalen Domänencontroller."
    },
    "question": {
      "en": "A company wants users to sign in to Microsoft Entra ID with their cloud username, but passwords must be validated directly against on-premises Active Directory without AD FS. Which authentication method fits?",
      "de": "Ein Unternehmen möchte, dass sich Benutzer mit ihrem Cloudbenutzernamen bei Microsoft Entra ID anmelden, aber die Kennwörter müssen direkt gegen das lokale Active Directory geprüft werden, ohne AD FS zu verwenden. Welche Authentifizierungsmethode passt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Pass-through authentication",
          "de": "Pass-Through-Authentifizierung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Password hash synchronization",
          "de": "Kennworthashsynchronisierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Managed identity",
          "de": "Verwaltete Identität"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Application Proxy",
          "de": "Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Pass-through authentication validates the password against on-premises Active Directory by using sign-in agents, but it does not require AD FS. Password hash synchronization validates in the cloud instead.",
      "de": "Die Pass-Through-Authentifizierung prüft das Kennwort mithilfe von Anmelde-Agenten gegen das lokale Active Directory, benötigt aber kein AD FS. Die Kennworthashsynchronisierung validiert stattdessen in der Cloud."
    },
    "hint": {
      "en": "Look for cloud sign-in with on-premises password validation and no federation.",
      "de": "Suchen Sie nach Cloudanmeldung mit lokaler Kennwortprüfung ohne Verbundauthentifizierung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-pta"
  },
  {
    "id": "sc300-125",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The security team is not willing to redesign the current smart card experience.",
      "de": "Das Sicherheitsteam ist nicht bereit, das aktuelle Smartcard-Erlebnis neu zu gestalten."
    },
    "question": {
      "en": "Your organization already uses AD FS with a third-party smart card solution and must keep those sign-in rules for Microsoft 365. Which hybrid sign-in model should you choose?",
      "de": "Ihre Organisation verwendet bereits AD FS mit einer Drittanbieter-Smartcardlösung und muss diese Anmelderegeln für Microsoft 365 beibehalten. Welches hybride Anmeldemodell sollten Sie wählen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Federation",
          "de": "Verbundauthentifizierung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Password hash synchronization",
          "de": "Kennworthashsynchronisierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Microsoft Entra registered devices",
          "de": "Microsoft Entra-registrierte Geräte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Self-service password reset",
          "de": "Self-Service-Kennwortzurücksetzung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Federation is appropriate when an organization must continue using an existing federation service such as AD FS for smart cards, third-party MFA, or custom sign-in logic. PHS does not preserve those external federation rules.",
      "de": "Verbundauthentifizierung ist geeignet, wenn eine Organisation einen bestehenden Verbunddienst wie AD FS für Smartcards, Drittanbieter-MFA oder benutzerdefinierte Anmeldelogik weiterverwenden muss. PHS erhält diese externen Verbundregeln nicht."
    },
    "hint": {
      "en": "Choose the model that keeps AD FS and custom federation logic in the path.",
      "de": "Wählen Sie das Modell, bei dem AD FS und benutzerdefinierte Verbundlogik im Ablauf bleiben."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-azure-ad-connect"
  },
  {
    "id": "sc300-126",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The merger added a second forest that cannot be connected to the first one.",
      "de": "Durch eine Fusion wurde eine zweite Gesamtstruktur hinzugefügt, die nicht mit der ersten verbunden werden kann."
    },
    "question": {
      "en": "You need lightweight, cloud-managed synchronization for multiple disconnected forests and want to deploy several active agents for high availability. What should you use?",
      "de": "Sie benötigen eine schlanke, cloudverwaltete Synchronisierung für mehrere nicht verbundene Gesamtstrukturen und möchten mehrere aktive Agenten für hohe Verfügbarkeit bereitstellen. Was sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Entra Cloud Sync",
          "de": "Microsoft Entra Cloud Sync"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Privileged Identity Management",
          "de": "Privileged Identity Management"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Conditional Access",
          "de": "Bedingter Zugriff"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Microsoft Entra Application Proxy",
          "de": "Microsoft Entra Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Cloud Sync is the lightweight, agent-based, cloud-managed synchronization service and supports multiple disconnected forests with multiple active agents. The other options do not synchronize identities from Active Directory.",
      "de": "Cloud Sync ist der schlanke, agentenbasierte und cloudverwaltete Synchronisierungsdienst und unterstützt mehrere nicht verbundene Gesamtstrukturen mit mehreren aktiven Agenten. Die anderen Optionen synchronisieren keine Identitäten aus Active Directory."
    },
    "hint": {
      "en": "Look for cloud-managed hybrid sync with lightweight agents.",
      "de": "Suchen Sie nach cloudverwalteter Hybridsynchronisierung mit schlanken Agenten."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync"
  },
  {
    "id": "sc300-127",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The organization wants to keep pilot objects separate from the full hybrid directory.",
      "de": "Die Organisation möchte Pilotobjekte vom vollständigen Hybridverzeichnis getrennt halten."
    },
    "question": {
      "en": "Only objects with extensionAttribute15 set to Cloud should be synchronized from on-premises Active Directory. What should you configure in Microsoft Entra Connect Sync?",
      "de": "Nur Objekte mit extensionAttribute15 gleich Cloud sollen aus dem lokalen Active Directory synchronisiert werden. Was sollten Sie in Microsoft Entra Connect Sync konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Attribute-based filtering",
          "de": "Attributbasierte Filterung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Authentication strengths",
          "de": "Authentifizierungsstärken"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A lifecycle workflow",
          "de": "Einen Lifecycle-Workflow"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Attribute-based filtering in Microsoft Entra Connect Sync lets you scope synchronization by specific attribute values. The other options do not control which on-premises directory objects are synchronized.",
      "de": "Die attributbasierte Filterung in Microsoft Entra Connect Sync ermöglicht es, die Synchronisierung nach bestimmten Attributwerten zu begrenzen. Die anderen Optionen steuern nicht, welche lokalen Verzeichnisobjekte synchronisiert werden."
    },
    "hint": {
      "en": "This is a sync-scoping requirement based on an attribute value.",
      "de": "Dies ist eine Anforderung zur Begrenzung der Synchronisierung auf Basis eines Attributwerts."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sync-configure-filtering"
  },
  {
    "id": "sc300-128",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "Procurement sends a weekly spreadsheet of new partner contacts.",
      "de": "Der Einkauf sendet wöchentlich eine Tabelle mit neuen Partnerkontakten."
    },
    "question": {
      "en": "You must invite 200 external vendors from a CSV file by using the portal. Which feature should you use?",
      "de": "Sie müssen 200 externe Lieferanten mithilfe des Portals aus einer CSV-Datei einladen. Welche Funktion sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Bulk invite users",
          "de": "Benutzer massenhaft einladen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Access reviews",
          "de": "Zugriffsüberprüfungen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Group writeback",
          "de": "Gruppenrückschreibung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Bulk invite users is designed for importing many guest accounts from CSV through the admin experience. Access reviews, group writeback, and named locations do not onboard guests in bulk.",
      "de": "Benutzer massenhaft einladen ist dafür vorgesehen, viele Gastkonten per CSV über die Verwaltungsoberfläche zu importieren. Zugriffsüberprüfungen, Gruppenrückschreibung und benannte Standorte onboarden keine Gäste in Massen."
    },
    "hint": {
      "en": "The question is about portal-based guest onboarding from CSV.",
      "de": "Die Frage betrifft ein portalbasiertes Gast-Onboarding aus CSV."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/external-id/external-identities-bulk-import-users"
  },
  {
    "id": "sc300-129",
    "type": "multiple",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "Which statements about role-assignable groups are true? (Choose all that apply.)",
      "de": "Welche Aussagen zu rollenzuweisbaren Gruppen sind richtig? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "They must be security groups",
          "de": "Sie müssen Sicherheitsgruppen sein"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "They can be assigned Microsoft Entra roles",
          "de": "Ihnen können Microsoft Entra-Rollen zugewiesen werden"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "They cannot use dynamic membership rules",
          "de": "Sie können keine Regeln für dynamische Mitgliedschaft verwenden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "They must be Microsoft 365 groups",
          "de": "Sie müssen Microsoft 365-Gruppen sein"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Role-assignable groups are special security groups that can hold Microsoft Entra role assignments, and they do not support dynamic membership. They are not Microsoft 365 groups.",
      "de": "Rollenzuweisbare Gruppen sind spezielle Sicherheitsgruppen, die Microsoft Entra-Rollenzuweisungen tragen können, und sie unterstützen keine dynamische Mitgliedschaft. Sie sind keine Microsoft 365-Gruppen."
    },
    "hint": {
      "en": "Remember the security and governance restrictions for groups that can hold Entra roles.",
      "de": "Denken Sie an die Sicherheits- und Governance-Einschränkungen für Gruppen, die Entra-Rollen tragen können."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/active-directory/roles/groups-concept"
  },
  {
    "id": "sc300-130",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The help desk wants fewer password reset calls for remote workers.",
      "de": "Der Helpdesk möchte weniger Kennwortrücksetzungsanrufe von Remotemitarbeitern."
    },
    "question": {
      "en": "Hybrid users must reset their password in the cloud and have the new password written back to on-premises Active Directory. Which feature is required?",
      "de": "Hybridbenutzer müssen ihr Kennwort in der Cloud zurücksetzen und das neue Kennwort muss in das lokale Active Directory zurückgeschrieben werden. Welche Funktion wird benötigt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Password writeback",
          "de": "Kennwortrückschreibung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Password protection",
          "de": "Kennwortschutz"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Application Proxy",
          "de": "Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Password writeback is the Entra Connect capability that writes cloud password changes from SSPR back to on-premises Active Directory. The other features do not update local passwords.",
      "de": "Die Kennwortrückschreibung ist die Entra Connect-Funktion, die Cloudkennwortänderungen aus SSPR zurück in das lokale Active Directory schreibt. Die anderen Funktionen aktualisieren keine lokalen Kennwörter."
    },
    "hint": {
      "en": "The key phrase is written back to on-premises Active Directory.",
      "de": "Die entscheidende Formulierung lautet in das lokale Active Directory zurückschreiben."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-writeback"
  },
  {
    "id": "sc300-131",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "Leadership wants to validate adoption and support impact before a full deployment.",
      "de": "Die Geschäftsleitung möchte Akzeptanz und Supportauswirkungen vor einer vollständigen Einführung validieren."
    },
    "question": {
      "en": "You want to pilot self-service password reset only for the IT department before enabling it companywide. What should you configure first?",
      "de": "Sie möchten die Self-Service-Kennwortzurücksetzung zunächst nur für die IT-Abteilung testen, bevor Sie sie unternehmensweit aktivieren. Was sollten Sie zuerst konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Set SSPR to Selected and target the IT group",
          "de": "Setzen Sie SSPR auf Ausgewählt und zielen Sie auf die IT-Gruppe"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Enable SSPR for All users immediately",
          "de": "Aktivieren Sie SSPR sofort für Alle Benutzer"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Create a token lifetime policy",
          "de": "Erstellen Sie eine Tokenlebensdauerrichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Publish the password reset portal through Application Proxy",
          "de": "Veröffentlichen Sie das Kennwortrücksetzungsportal über Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "SSPR can be enabled for none, selected groups, or all users. A pilot rollout should scope the feature to a selected group first. The other options do not provide a staged rollout of SSPR.",
      "de": "SSPR kann für keine, ausgewählte Gruppen oder alle Benutzer aktiviert werden. Für einen Pilotrollout sollte die Funktion zunächst auf eine ausgewählte Gruppe begrenzt werden. Die anderen Optionen ermöglichen keinen stufenweisen Rollout von SSPR."
    },
    "hint": {
      "en": "Pilot rollouts start with selected groups.",
      "de": "Pilotrollouts beginnen mit ausgewählten Gruppen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-howitworks"
  },
  {
    "id": "sc300-132",
    "type": "single",
    "domain": {
      "en": "Implement and Manage Identities",
      "de": "Identitäten implementieren und verwalten"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The organization is trying to reduce confusion during the first-week onboarding process.",
      "de": "Die Organisation versucht, Verwirrung während des Onboardings in der ersten Woche zu reduzieren."
    },
    "question": {
      "en": "Users complain that they must register MFA methods in one place and password reset methods in another. Which experience should you enable?",
      "de": "Benutzer beschweren sich, dass sie MFA-Methoden an einer Stelle und Kennwortzurücksetzungsmethoden an einer anderen registrieren müssen. Welche Funktion sollten Sie aktivieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Combined security information registration",
          "de": "Kombinierte Registrierung von Sicherheitsinformationen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Privileged Identity Management",
          "de": "Privileged Identity Management"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Token protection",
          "de": "Tokenschutz"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Combined security information registration gives users one converged experience to register methods used for MFA and SSPR. The other options do not change the registration experience.",
      "de": "Die kombinierte Registrierung von Sicherheitsinformationen bietet Benutzern ein gemeinsames Erlebnis, um Methoden für MFA und SSPR zu registrieren. Die anderen Optionen ändern das Registrierungserlebnis nicht."
    },
    "hint": {
      "en": "This feature removes separate registration journeys.",
      "de": "Diese Funktion beseitigt getrennte Registrierungsabläufe."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-registration-mfa-sspr-combined"
  },
  {
    "id": "sc300-133",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Security wants one policy engine for workforce sign-ins.",
      "de": "Das Sicherheitsteam möchte eine zentrale Richtlinien-Engine für Mitarbeiteranmeldungen."
    },
    "question": {
      "en": "Your organization wants MFA enforcement based on user, app, device, and risk context instead of enabling MFA user by user. What should you use?",
      "de": "Ihre Organisation möchte MFA auf Basis von Benutzer-, App-, Geräte- und Risikokontext erzwingen, anstatt MFA benutzerweise zu aktivieren. Was sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Conditional Access policies",
          "de": "Richtlinien für bedingten Zugriff"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Per-user MFA",
          "de": "MFA pro Benutzer"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Access packages",
          "de": "Zugriffspakete"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Conditional Access is the modern way to require MFA with contextual signals such as user, app, device, location, or risk. Per-user MFA is legacy and lacks the same contextual policy model.",
      "de": "Bedingter Zugriff ist der moderne Weg, MFA mit kontextbezogenen Signalen wie Benutzer, App, Gerät, Standort oder Risiko zu verlangen. MFA pro Benutzer ist veraltet und bietet nicht dasselbe kontextbezogene Richtlinienmodell."
    },
    "hint": {
      "en": "Look for context-aware MFA enforcement rather than account-by-account settings.",
      "de": "Suchen Sie nach kontextbewusster MFA-Durchsetzung statt nach Einstellungen pro Konto."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions"
  },
  {
    "id": "sc300-134",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which MFA configuration model is considered legacy and is managed on a per-account basis?",
      "de": "Welches MFA-Konfigurationsmodell gilt als veraltet und wird pro Konto verwaltet?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Per-user MFA",
          "de": "MFA pro Benutzer"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Conditional Access",
          "de": "Bedingter Zugriff"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Authentication strengths",
          "de": "Authentifizierungsstärken"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Per-user MFA is the legacy user-by-user model. Microsoft recommends Conditional Access for modern MFA deployment because it is more flexible and context aware.",
      "de": "MFA pro Benutzer ist das veraltete Modell pro Benutzer. Microsoft empfiehlt für moderne MFA-Bereitstellungen den bedingten Zugriff, weil er flexibler und kontextbewusster ist."
    },
    "hint": {
      "en": "Choose the older model that predates Conditional Access-based MFA.",
      "de": "Wählen Sie das ältere Modell, das vor dem bedingten Zugriff für MFA existierte."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage"
  },
  {
    "id": "sc300-135",
    "type": "multiple",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which sign-in methods are passwordless in Microsoft Entra ID? (Choose all that apply.)",
      "de": "Welche Anmeldemethoden sind in Microsoft Entra ID kennwortlos? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "FIDO2 security keys",
          "de": "FIDO2-Sicherheitsschlüssel"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Windows Hello for Business",
          "de": "Windows Hello for Business"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Microsoft Authenticator phone sign-in",
          "de": "Microsoft Authenticator Telefonanmeldung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "SMS verification",
          "de": "SMS-Verifizierung"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "FIDO2 security keys, Windows Hello for Business, and Microsoft Authenticator phone sign-in are passwordless methods. SMS is an MFA method, but it is not passwordless and is not phishing-resistant.",
      "de": "FIDO2-Sicherheitsschlüssel, Windows Hello for Business und die Telefonanmeldung mit Microsoft Authenticator sind kennwortlose Methoden. SMS ist eine MFA-Methode, aber nicht kennwortlos und nicht phishingresistent."
    },
    "hint": {
      "en": "Pick the methods that replace the password, not those that add a code after it.",
      "de": "Wählen Sie die Methoden, die das Kennwort ersetzen, nicht jene, die danach einen Code hinzufügen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-passwordless-security-key"
  },
  {
    "id": "sc300-136",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The company wants passwordless onboarding for all new hires.",
      "de": "Das Unternehmen möchte ein kennwortloses Onboarding für alle neuen Mitarbeiter."
    },
    "question": {
      "en": "New users must sign in once and register FIDO2 keys or Microsoft Authenticator without knowing a permanent password. Which method should you issue?",
      "de": "Neue Benutzer sollen sich einmal anmelden und FIDO2-Schlüssel oder Microsoft Authenticator registrieren, ohne ein dauerhaftes Kennwort zu kennen. Welche Methode sollten Sie ausgeben?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Temporary Access Pass",
          "de": "Temporary Access Pass"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Software OATH token",
          "de": "Software-OATH-Token"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Sign-in risk policy",
          "de": "Anmelderisikorichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "App role assignment",
          "de": "App-Rollenzuweisung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Temporary Access Pass is a time-limited bootstrap credential designed for first sign-in and registration of stronger authentication methods. The other options do not provide a one-time onboarding credential.",
      "de": "Temporary Access Pass ist ein zeitlich begrenzter Startnachweis, der für die erste Anmeldung und die Registrierung stärkerer Authentifizierungsmethoden vorgesehen ist. Die anderen Optionen liefern keinen einmaligen Onboardingnachweis."
    },
    "hint": {
      "en": "Think of a short-lived bootstrap credential for method registration.",
      "de": "Denken Sie an einen kurzlebigen Startnachweis für die Methodenregistrierung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-temporary-access-pass"
  },
  {
    "id": "sc300-137",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The pilot must not affect the rest of the tenant.",
      "de": "Das Pilotprojekt darf den Rest des Mandanten nicht beeinflussen."
    },
    "question": {
      "en": "You want to enable FIDO2 security keys only for a pilot admin group. Where should you configure this?",
      "de": "Sie möchten FIDO2-Sicherheitsschlüssel nur für eine Pilotgruppe von Administratoren aktivieren. Wo sollten Sie dies konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Authentication methods policy",
          "de": "Richtlinie für Authentifizierungsmethoden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Access review settings",
          "de": "Einstellungen für Zugriffsüberprüfungen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "PIM alerts",
          "de": "PIM-Warnungen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The Authentication methods policy is the recommended place to enable or disable methods such as FIDO2 for all users or specific groups. Access reviews, named locations, and PIM alerts do not control method availability.",
      "de": "Die Richtlinie für Authentifizierungsmethoden ist der empfohlene Ort, um Methoden wie FIDO2 für alle Benutzer oder bestimmte Gruppen zu aktivieren oder zu deaktivieren. Zugriffsüberprüfungen, benannte Standorte und PIM-Warnungen steuern die Methodenverfügbarkeit nicht."
    },
    "hint": {
      "en": "This is a method enablement question, not an access review or location question.",
      "de": "Dies ist eine Frage zur Methodenaktivierung und keine Frage zu Zugriffsüberprüfung oder Standort."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage"
  },
  {
    "id": "sc300-138",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The security baseline no longer accepts SMS or phone call MFA for admins.",
      "de": "Die Sicherheitsbaseline akzeptiert für Administratoren keine MFA per SMS oder Anruf mehr."
    },
    "question": {
      "en": "You must require phishing-resistant authentication for administrators who access the Azure portal. Which Conditional Access feature should you use?",
      "de": "Sie müssen für Administratoren, die auf das Azure-Portal zugreifen, phishingresistente Authentifizierung verlangen. Welche Funktion des bedingten Zugriffs sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Authentication strengths",
          "de": "Authentifizierungsstärken"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Report-only mode",
          "de": "Nur-Berichtsmodus"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Per-user MFA",
          "de": "MFA pro Benutzer"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Authentication strengths let Conditional Access require a specific class of methods, such as phishing-resistant MFA, instead of any MFA method. The other options do not enforce method strength.",
      "de": "Authentifizierungsstärken ermöglichen es dem bedingten Zugriff, eine bestimmte Methodenklasse wie phishingresistente MFA statt beliebiger MFA-Methoden zu verlangen. Die anderen Optionen erzwingen keine Methodenstärke."
    },
    "hint": {
      "en": "You need to limit which methods satisfy the policy.",
      "de": "Sie müssen begrenzen, welche Methoden die Richtlinie erfüllen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths"
  },
  {
    "id": "sc300-139",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The goal is to reduce MFA fatigue attacks.",
      "de": "Ziel ist die Verringerung von MFA-Müdigkeitsangriffen."
    },
    "question": {
      "en": "Users keep approving Microsoft Authenticator prompts by mistake. Which feature helps prevent push fatigue by requiring a matching number?",
      "de": "Benutzer bestätigen Microsoft Authenticator-Aufforderungen immer wieder versehentlich. Welche Funktion hilft, Push-Müdigkeit zu verhindern, indem sie eine übereinstimmende Zahl verlangt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Number matching",
          "de": "Zahlengleichabgleich"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Token lifetime policy",
          "de": "Tokenlebensdauerrichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Group writeback",
          "de": "Gruppenrückschreibung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Number matching adds a challenge that requires the user to enter or approve the correct number shown during sign-in, which reduces accidental or fraudulent approvals. The other options do not affect Authenticator prompt approval.",
      "de": "Der Zahlengleichabgleich fügt eine Herausforderung hinzu, bei der der Benutzer die bei der Anmeldung angezeigte richtige Zahl eingeben oder bestätigen muss, was versehentliche oder betrügerische Freigaben reduziert. Die anderen Optionen beeinflussen die Genehmigung von Authenticator-Aufforderungen nicht."
    },
    "hint": {
      "en": "Choose the Authenticator control that adds sign-in context to the approval.",
      "de": "Wählen Sie die Authenticator-Steuerung, die dem Genehmigungsvorgang Anmeldekontext hinzufügt."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage"
  },
  {
    "id": "sc300-140",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which passwordless method uses the Microsoft Authenticator app on a mobile phone as the primary sign-in factor?",
      "de": "Welche kennwortlose Methode verwendet die Microsoft Authenticator-App auf einem Mobiltelefon als primären Anmeldefaktor?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Authenticator phone sign-in",
          "de": "Telefonanmeldung mit Microsoft Authenticator"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "SMS verification",
          "de": "SMS-Verifizierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Email one-time passcode",
          "de": "Einmalpasscode per E-Mail"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Security questions",
          "de": "Sicherheitsfragen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Phone sign-in with Microsoft Authenticator is a passwordless method that uses the registered mobile device and app. SMS, email OTP, and security questions are not passwordless Authenticator sign-in methods.",
      "de": "Die Telefonanmeldung mit Microsoft Authenticator ist eine kennwortlose Methode, die das registrierte Mobilgerät und die App verwendet. SMS, E-Mail-Einmalpasscodes und Sicherheitsfragen sind keine kennwortlosen Authenticator-Anmeldemethoden."
    },
    "hint": {
      "en": "This method is tied directly to the Authenticator app on the phone.",
      "de": "Diese Methode ist direkt an die Authenticator-App auf dem Telefon gebunden."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage"
  },
  {
    "id": "sc300-141",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Security wants to stop older mail protocols that bypass modern MFA controls.",
      "de": "Das Sicherheitsteam möchte ältere E-Mail-Protokolle stoppen, die moderne MFA-Steuerungen umgehen."
    },
    "question": {
      "en": "You need to block sign-ins that use legacy protocols such as IMAP and POP. Which Conditional Access condition is most important?",
      "de": "Sie müssen Anmeldungen blockieren, die Legacyprotokolle wie IMAP und POP verwenden. Welche Bedingung des bedingten Zugriffs ist am wichtigsten?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Client apps",
          "de": "Client-Apps"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Device platform",
          "de": "Geräteplattform"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Authentication strength",
          "de": "Authentifizierungsstärke"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Administrative unit",
          "de": "Administrative Einheit"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Legacy authentication is commonly targeted by using the Client apps condition in Conditional Access. Device platform and authentication strength solve different policy dimensions, and administrative units are unrelated.",
      "de": "Legacy-Authentifizierung wird im bedingten Zugriff typischerweise über die Bedingung Client-Apps adressiert. Geräteplattform und Authentifizierungsstärke lösen andere Richtliniendimensionen, und administrative Einheiten sind nicht relevant."
    },
    "hint": {
      "en": "Think about how Conditional Access distinguishes modern clients from legacy protocols.",
      "de": "Denken Sie daran, wie bedingter Zugriff moderne Clients von Legacyprotokollen unterscheidet."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions"
  },
  {
    "id": "sc300-142",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "The company wants location-based policy decisions without maintaining separate spreadsheets.",
      "de": "Das Unternehmen möchte standortbasierte Richtlinienentscheidungen ohne separate Tabellen pflegen."
    },
    "question": {
      "en": "You want to define trusted headquarters IP ranges and also block access from countries where your company never operates. What should you configure?",
      "de": "Sie möchten vertrauenswürdige IP-Bereiche für den Hauptsitz definieren und außerdem den Zugriff aus Ländern blockieren, in denen Ihr Unternehmen nie tätig ist. Was sollten Sie konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Custom security attributes",
          "de": "Benutzerdefinierte Sicherheitsattribute"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Lifecycle workflows",
          "de": "Lifecycle-Workflows"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Named locations let you define public IP ranges or countries and regions for use in Conditional Access policies. The other features do not model network or geography signals.",
      "de": "Benannte Standorte ermöglichen es, öffentliche IP-Bereiche oder Länder und Regionen für die Verwendung in Richtlinien für bedingten Zugriff zu definieren. Die anderen Funktionen modellieren keine Netzwerk- oder Geografiesignale."
    },
    "hint": {
      "en": "This is about location signals for Conditional Access.",
      "de": "Hier geht es um Standortsignale für den bedingten Zugriff."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-network"
  },
  {
    "id": "sc300-143",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The policy targets executives, so the team wants validation before go-live.",
      "de": "Die Richtlinie richtet sich an Führungskräfte, daher möchte das Team eine Validierung vor der Aktivierung."
    },
    "question": {
      "en": "Before enforcing a new Conditional Access policy, you want to see how it would affect real users without actually blocking them. What should you use?",
      "de": "Bevor Sie eine neue Richtlinie für bedingten Zugriff erzwingen, möchten Sie sehen, wie sie sich auf echte Benutzer auswirken würde, ohne sie tatsächlich zu blockieren. Was sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Report-only mode",
          "de": "Nur-Berichtsmodus"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Permanent active role assignment",
          "de": "Dauerhaft aktive Rollenzuweisung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Password writeback",
          "de": "Kennwortrückschreibung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "App consent workflow",
          "de": "App-Zustimmungsworkflow"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Report-only mode evaluates Conditional Access policies and logs the potential result without enforcing the policy. The other options do not simulate sign-in policy impact.",
      "de": "Der Nur-Berichtsmodus wertet Richtlinien für bedingten Zugriff aus und protokolliert das potenzielle Ergebnis, ohne die Richtlinie durchzusetzen. Die anderen Optionen simulieren keine Auswirkungen von Anmelderichtlinien."
    },
    "hint": {
      "en": "You need safe evaluation before enforcement.",
      "de": "Sie benötigen eine sichere Auswertung vor der Durchsetzung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions"
  },
  {
    "id": "sc300-144",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The app contains payroll information and cannot rely on long-lived web sessions.",
      "de": "Die App enthält Gehaltsinformationen und kann sich nicht auf langlebige Websitzungen verlassen."
    },
    "question": {
      "en": "Users must reauthenticate to a sensitive application every eight hours even if their session is still active. Which Conditional Access session control should you configure?",
      "de": "Benutzer müssen sich alle acht Stunden bei einer sensiblen Anwendung erneut authentifizieren, selbst wenn ihre Sitzung noch aktiv ist. Welche Sitzungssteuerung des bedingten Zugriffs sollten Sie konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Sign-in frequency",
          "de": "Anmeldehäufigkeit"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named location",
          "de": "Benannter Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Authentication method migration",
          "de": "Migration der Authentifizierungsmethoden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "User assignment required",
          "de": "Benutzerzuweisung erforderlich"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Sign-in frequency is the Conditional Access session control that forces periodic reauthentication. Named locations are network signals, while the other options are unrelated.",
      "de": "Die Anmeldehäufigkeit ist die Sitzungssteuerung des bedingten Zugriffs, die eine periodische erneute Authentifizierung erzwingt. Benannte Standorte sind Netzwerksignale, während die anderen Optionen nicht relevant sind."
    },
    "hint": {
      "en": "The requirement is time-based reauthentication.",
      "de": "Die Anforderung ist zeitbasierte erneute Authentifizierung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-session"
  },
  {
    "id": "sc300-145",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The legal team still needs read-only web access from personal devices during travel.",
      "de": "Das Rechtsteam benötigt während Reisen weiterhin schreibgeschützten Webzugriff von privaten Geräten."
    },
    "question": {
      "en": "Users on unmanaged devices should be able to view SharePoint Online in the browser, but downloads must be limited. Which Conditional Access session control is designed for this?",
      "de": "Benutzer auf nicht verwalteten Geräten sollen SharePoint Online im Browser anzeigen können, aber Downloads müssen eingeschränkt werden. Welche Sitzungssteuerung des bedingten Zugriffs ist dafür vorgesehen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Use app enforced restrictions",
          "de": "App-erzwungene Einschränkungen verwenden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Require password change",
          "de": "Kennwortänderung verlangen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Permanent browser session",
          "de": "Dauerhafte Browsersitzung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Authentication strength",
          "de": "Authentifizierungsstärke"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "App enforced restrictions is the session control used with supported Microsoft 365 apps such as SharePoint Online to limit what unmanaged devices can do. The other options do not provide this browser-based limitation model.",
      "de": "App-erzwungene Einschränkungen ist die Sitzungssteuerung, die mit unterstützten Microsoft 365-Apps wie SharePoint Online verwendet wird, um zu begrenzen, was nicht verwaltete Geräte tun können. Die anderen Optionen bieten dieses browserbasierte Einschränkungsmodell nicht."
    },
    "hint": {
      "en": "You want limited browser access rather than a full block.",
      "de": "Sie möchten eingeschränkten Browserzugriff statt einer vollständigen Blockierung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-session"
  },
  {
    "id": "sc300-146",
    "type": "multiple",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which settings are valid Conditional Access grant controls? (Choose all that apply.)",
      "de": "Welche Einstellungen sind gültige Zugriffssteuerungen im bedingten Zugriff? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Require multifactor authentication",
          "de": "Multi-Faktor-Authentifizierung verlangen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Require device to be marked as compliant",
          "de": "Verlangen, dass das Gerät als konform markiert ist"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Block access",
          "de": "Zugriff blockieren"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Require schema extension update",
          "de": "Aktualisierung der Schemaerweiterung verlangen"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Conditional Access grant controls include actions such as require MFA, require a compliant device, and block access. Updating a schema extension is not a sign-in grant control.",
      "de": "Zu den Zugriffssteuerungen im bedingten Zugriff gehören Aktionen wie MFA verlangen, ein konformes Gerät verlangen und den Zugriff blockieren. Das Aktualisieren einer Schemaerweiterung ist keine Zugriffssteuerung für Anmeldungen."
    },
    "hint": {
      "en": "Pick the controls that directly allow or deny access at sign-in time.",
      "de": "Wählen Sie die Steuerungen aus, die den Zugriff zum Zeitpunkt der Anmeldung direkt zulassen oder verweigern."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions"
  },
  {
    "id": "sc300-147",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Security wants extra proof only when the sign-in itself looks suspicious.",
      "de": "Das Sicherheitsteam möchte zusätzlichen Nachweis nur dann, wenn die Anmeldung selbst verdächtig aussieht."
    },
    "question": {
      "en": "You want users with medium or high sign-in risk to complete MFA before access is granted. Which policy type should you configure?",
      "de": "Sie möchten, dass Benutzer mit mittlerem oder hohem Anmelderisiko MFA durchführen, bevor der Zugriff gewährt wird. Welchen Richtlinientyp sollten Sie konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Sign-in risk policy",
          "de": "Anmelderisikorichtlinie"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "User risk policy",
          "de": "Benutzerrisikorichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "App consent policy",
          "de": "App-Zustimmungsrichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Terms of Use",
          "de": "Nutzungsbedingungen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "A sign-in risk policy responds to the risk level of the current sign-in and can require MFA for risky authentication attempts. A user risk policy is centered on user compromise state rather than a specific sign-in event.",
      "de": "Eine Anmelderisikorichtlinie reagiert auf das Risikoniveau der aktuellen Anmeldung und kann MFA für riskante Authentifizierungsversuche verlangen. Eine Benutzerrisikorichtlinie bezieht sich auf den Kompromittierungszustand des Benutzers und nicht auf ein bestimmtes Anmeldeereignis."
    },
    "hint": {
      "en": "This question is about the risk of one sign-in attempt.",
      "de": "Diese Frage betrifft das Risiko eines einzelnen Anmeldeversuchs."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection"
  },
  {
    "id": "sc300-148",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Identity Protection flagged leaked credentials for several employees.",
      "de": "Identity Protection hat kompromittierte Anmeldeinformationen für mehrere Mitarbeiter gemeldet."
    },
    "question": {
      "en": "High user risk should force affected users to change their password before normal access continues. Which policy should you use?",
      "de": "Ein hohes Benutzerrisiko soll betroffene Benutzer dazu zwingen, ihr Kennwort zu ändern, bevor der normale Zugriff fortgesetzt wird. Welche Richtlinie sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "User risk policy",
          "de": "Benutzerrisikorichtlinie"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Sign-in risk policy",
          "de": "Anmelderisikorichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named location policy",
          "de": "Richtlinie für benannte Standorte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Authentication methods policy",
          "de": "Richtlinie für Authentifizierungsmethoden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "A user risk policy is designed to remediate risky users, commonly by requiring a secure password change when the user risk level is high. A sign-in risk policy focuses on a single sign-in event instead.",
      "de": "Eine Benutzerrisikorichtlinie ist dafür vorgesehen, riskante Benutzer zu beheben, typischerweise durch eine sichere Kennwortänderung bei hohem Benutzerrisiko. Eine Anmelderisikorichtlinie konzentriert sich dagegen auf ein einzelnes Anmeldeereignis."
    },
    "hint": {
      "en": "The signal is the user compromise state, not one sign-in attempt.",
      "de": "Das Signal ist der Kompromittierungszustand des Benutzers und nicht ein einzelner Anmeldeversuch."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection"
  },
  {
    "id": "sc300-149",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Leaked credentials usually contribute to which Identity Protection concept?",
      "de": "Kompromittierte Anmeldeinformationen tragen in der Regel zu welchem Konzept in Identity Protection bei?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "User risk",
          "de": "Benutzerrisiko"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named location",
          "de": "Benannter Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Access package",
          "de": "Zugriffspaket"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Service principal",
          "de": "Dienstprinzipal"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Leaked credentials are a strong signal that an identity may be compromised, so they contribute to user risk. The other options are unrelated to Identity Protection risk detections.",
      "de": "Kompromittierte Anmeldeinformationen sind ein starkes Signal dafür, dass eine Identität kompromittiert sein könnte, und tragen daher zum Benutzerrisiko bei. Die anderen Optionen stehen nicht mit Risikoerkennungen in Identity Protection in Zusammenhang."
    },
    "hint": {
      "en": "Think about compromise of the person, not just one sign-in event.",
      "de": "Denken Sie an die Kompromittierung der Person und nicht nur an ein einzelnes Anmeldeereignis."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection"
  },
  {
    "id": "sc300-150",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The company wants risk remediation to take effect sooner than normal token expiry.",
      "de": "Das Unternehmen möchte, dass Risikobehebungen früher wirksam werden als beim normalen Tokenablauf."
    },
    "question": {
      "en": "You need tokens to be reevaluated quickly when a user account is disabled or the password changes. Which capability provides near real-time enforcement?",
      "de": "Sie benötigen eine schnelle Neubewertung von Token, wenn ein Benutzerkonto deaktiviert wird oder sich das Kennwort ändert. Welche Funktion bietet eine nahezu Echtzeitdurchsetzung?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Continuous Access Evaluation",
          "de": "Continuous Access Evaluation"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Token lifetime policy",
          "de": "Tokenlebensdauerrichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Role-assignable groups",
          "de": "Rollenzuweisbare Gruppen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Continuous Access Evaluation lets supported clients and resources react quickly to critical events such as account disablement and password change. Token lifetime policies alone do not deliver the same near real-time response.",
      "de": "Continuous Access Evaluation ermöglicht es unterstützten Clients und Ressourcen, schnell auf kritische Ereignisse wie Kontodeaktivierung und Kennwortänderung zu reagieren. Tokenlebensdauerrichtlinien allein liefern keine vergleichbare nahezu Echtzeitreaktion."
    },
    "hint": {
      "en": "The requirement is fast revocation after critical account events.",
      "de": "Die Anforderung ist eine schnelle Sperrung nach kritischen Kontenereignissen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation"
  },
  {
    "id": "sc300-151",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "You want a Microsoft-recommended starting point for a new Conditional Access policy such as Require MFA for admins. What should you use?",
      "de": "Sie möchten einen von Microsoft empfohlenen Ausgangspunkt für eine neue Richtlinie für bedingten Zugriff wie MFA für Administratoren verlangen. Was sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A Conditional Access template",
          "de": "Eine Vorlage für bedingten Zugriff"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A custom security attribute",
          "de": "Ein benutzerdefiniertes Sicherheitsattribut"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "An access review",
          "de": "Eine Zugriffsüberprüfung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A provisioning agent",
          "de": "Einen Bereitstellungsagenten"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Conditional Access templates provide preconfigured starting points based on common best practices. They accelerate policy creation but can still be customized before enforcement.",
      "de": "Vorlagen für bedingten Zugriff bieten vorkonfigurierte Ausgangspunkte auf Basis gängiger Best Practices. Sie beschleunigen die Richtlinienerstellung, können aber vor der Durchsetzung weiterhin angepasst werden."
    },
    "hint": {
      "en": "Use the feature designed as a best-practice starting point.",
      "de": "Verwenden Sie die Funktion, die als Ausgangspunkt nach Best Practices vorgesehen ist."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions"
  },
  {
    "id": "sc300-152",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The accounts are stored offline and used only when normal admin sign-in fails.",
      "de": "Die Konten werden offline aufbewahrt und nur verwendet, wenn die normale Administratoranmeldung fehlschlägt."
    },
    "question": {
      "en": "Emergency access accounts must always be able to sign in if Conditional Access misbehaves. How should you handle these accounts?",
      "de": "Notfallzugriffskonten müssen sich immer anmelden können, falls der bedingte Zugriff fehlerhaft arbeitet. Wie sollten Sie mit diesen Konten umgehen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Exclude them from Conditional Access policies",
          "de": "Schließen Sie sie von Richtlinien für bedingten Zugriff aus"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Place them in every targeted group",
          "de": "Nehmen Sie sie in jede Zielgruppe auf"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Require phishing-resistant MFA only",
          "de": "Verlangen Sie nur phishingresistente MFA"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Delete them after setup",
          "de": "Löschen Sie sie nach der Einrichtung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Emergency or break-glass accounts should typically be excluded from Conditional Access so they remain available for recovery scenarios. Targeting them like normal users can lock out administrators during an incident.",
      "de": "Notfall- oder Break-Glass-Konten sollten typischerweise von Richtlinien für bedingten Zugriff ausgeschlossen werden, damit sie für Wiederherstellungsszenarien verfügbar bleiben. Werden sie wie normale Benutzer einbezogen, können Administratoren während eines Vorfalls ausgesperrt werden."
    },
    "hint": {
      "en": "Think about tenant recovery and avoiding self-inflicted lockout.",
      "de": "Denken Sie an die Mandantenwiederherstellung und die Vermeidung selbst verursachter Aussperrung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions"
  },
  {
    "id": "sc300-153",
    "type": "multiple",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which methods can be managed through the Authentication methods policy? (Choose all that apply.)",
      "de": "Welche Methoden können über die Richtlinie für Authentifizierungsmethoden verwaltet werden? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "FIDO2 security keys",
          "de": "FIDO2-Sicherheitsschlüssel"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Temporary Access Pass",
          "de": "Temporary Access Pass"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Software OATH tokens",
          "de": "Software-OATH-Token"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Security questions only",
          "de": "Nur Sicherheitsfragen"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "The Authentication methods policy manages modern methods such as FIDO2, Temporary Access Pass, and Software OATH. Security questions remain a legacy SSPR-only method and are not managed there as the sole option.",
      "de": "Die Richtlinie für Authentifizierungsmethoden verwaltet moderne Methoden wie FIDO2, Temporary Access Pass und Software OATH. Sicherheitsfragen bleiben eine Legacy-Methode nur für SSPR und werden dort nicht als alleinige Option verwaltet."
    },
    "hint": {
      "en": "Choose the modern methods that the central policy can target.",
      "de": "Wählen Sie die modernen Methoden aus, die von der zentralen Richtlinie erfasst werden können."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage"
  },
  {
    "id": "sc300-154",
    "type": "multiple",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "What can token lifetime policies still control in supported scenarios? (Choose all that apply.)",
      "de": "Was können Tokenlebensdauerrichtlinien in unterstützten Szenarien noch steuern? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Access token lifetime",
          "de": "Lebensdauer von Zugriffstoken"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "ID token lifetime",
          "de": "Lebensdauer von ID-Token"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "SAML token lifetime",
          "de": "Lebensdauer von SAML-Token"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Refresh token lifetime",
          "de": "Lebensdauer von Aktualisierungstoken"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Configurable token lifetime policies apply to access, ID, and SAML tokens in supported scenarios. Refresh and session token lifetimes are no longer configurable through token lifetime policies.",
      "de": "Konfigurierbare Tokenlebensdauerrichtlinien gelten in unterstützten Szenarien für Zugriffs-, ID- und SAML-Token. Die Lebensdauer von Aktualisierungs- und Sitzungstoken kann nicht mehr über Tokenlebensdauerrichtlinien konfiguriert werden."
    },
    "hint": {
      "en": "Remember which token types remain configurable and which do not.",
      "de": "Merken Sie sich, welche Tokentypen noch konfigurierbar sind und welche nicht."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/configurable-token-lifetimes"
  },
  {
    "id": "sc300-155",
    "type": "multiple",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which sources can define named locations for Conditional Access? (Choose all that apply.)",
      "de": "Welche Quellen können benannte Standorte für den bedingten Zugriff definieren? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Public IP address ranges",
          "de": "Öffentliche IP-Adressbereiche"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Countries or regions",
          "de": "Länder oder Regionen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Compliant network locations",
          "de": "Konforme Netzwerkstandorte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Device serial numbers",
          "de": "Geräte-Seriennummern"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Named locations can be based on public IP ranges, countries or regions, and compliant network signals where supported. Device serial numbers are not a location definition source in Conditional Access.",
      "de": "Benannte Standorte können auf öffentlichen IP-Bereichen, Ländern oder Regionen und unterstützten Signalen konformer Netzwerke basieren. Geräte-Seriennummern sind keine Quelle zur Definition von Standorten im bedingten Zugriff."
    },
    "hint": {
      "en": "This is a network and geography feature, not an asset inventory feature.",
      "de": "Dies ist eine Funktion für Netzwerk und Geografie, nicht für das Asset-Inventar."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-network"
  },
  {
    "id": "sc300-156",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The company wants to block downloads of sensitive files to unmanaged devices while still allowing sign-in.",
      "de": "Das Unternehmen möchte Downloads sensibler Dateien auf nicht verwaltete Geräte blockieren und die Anmeldung dennoch zulassen."
    },
    "question": {
      "en": "Security wants to monitor and control user sessions inside supported cloud apps after sign-in, not just at the moment of authentication. Which session control should you use?",
      "de": "Das Sicherheitsteam möchte Benutzersitzungen innerhalb unterstützter Cloud-Apps nach der Anmeldung überwachen und steuern, nicht nur im Moment der Authentifizierung. Welche Sitzungssteuerung sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Conditional Access App Control",
          "de": "Conditional Access App Control"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Pass-through authentication",
          "de": "Pass-Through-Authentifizierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Password hash synchronization",
          "de": "Kennworthashsynchronisierung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Conditional Access App Control is the session control used to monitor and govern user actions in supported cloud applications after sign-in. The other options are not post-sign-in session controls.",
      "de": "Conditional Access App Control ist die Sitzungssteuerung, die zur Überwachung und Steuerung von Benutzeraktionen in unterstützten Cloudanwendungen nach der Anmeldung verwendet wird. Die anderen Optionen sind keine Sitzungssteuerungen nach der Anmeldung."
    },
    "hint": {
      "en": "This requirement is about in-session monitoring and control.",
      "de": "Diese Anforderung betrifft die Überwachung und Steuerung innerhalb der Sitzung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-session"
  },
  {
    "id": "sc300-157",
    "type": "single",
    "domain": {
      "en": "Implement Authentication and Access Management",
      "de": "Authentifizierung und Zugriffsverwaltung implementieren"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "Where do you manage configurable token lifetime policies today?",
      "de": "Wo verwalten Sie konfigurierbare Tokenlebensdauerrichtlinien heute?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Graph API or Microsoft Graph PowerShell",
          "de": "Microsoft Graph-API oder Microsoft Graph PowerShell"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Only in the Microsoft Entra admin center",
          "de": "Nur im Microsoft Entra Admin Center"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Only in Azure DevOps",
          "de": "Nur in Azure DevOps"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Only in Privileged Identity Management",
          "de": "Nur in Privileged Identity Management"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Configurable token lifetime policies are managed through Microsoft Graph API or Microsoft Graph PowerShell. There is no portal UI for configuring them in the Microsoft Entra admin center.",
      "de": "Konfigurierbare Tokenlebensdauerrichtlinien werden über die Microsoft Graph-API oder Microsoft Graph PowerShell verwaltet. Es gibt keine Portaloberfläche zur Konfiguration im Microsoft Entra Admin Center."
    },
    "hint": {
      "en": "The limitation is about management surface, not policy purpose.",
      "de": "Die Einschränkung betrifft die Verwaltungsoberfläche und nicht den Zweck der Richtlinie."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/configurable-token-lifetimes"
  },
  {
    "id": "sc300-158",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "The developer is receiving a redirect URI mismatch error during sign-in.",
      "de": "Der Entwickler erhält während der Anmeldung einen Fehler wegen nicht übereinstimmender Umleitungs-URI."
    },
    "question": {
      "en": "A web application signs users in through Microsoft Entra ID and must send them back to https://portal.contoso.com/signin-oidc after authentication. Where do you configure this URL?",
      "de": "Eine Webanwendung meldet Benutzer über Microsoft Entra ID an und muss sie nach der Authentifizierung an https://portal.contoso.com/signin-oidc zurücksenden. Wo konfigurieren Sie diese URL?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Redirect URI in the app registration",
          "de": "Umleitungs-URI in der App-Registrierung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named location",
          "de": "Benannter Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Access package policy",
          "de": "Zugriffspaketrichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Administrative unit",
          "de": "Administrative Einheit"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Redirect URIs are configured in the app registration so the identity platform knows where it may return tokens after successful authentication. The other options do not define sign-in reply endpoints.",
      "de": "Umleitungs-URIs werden in der App-Registrierung konfiguriert, damit die Identitätsplattform weiß, wohin sie nach erfolgreicher Authentifizierung Token zurückgeben darf. Die anderen Optionen definieren keine Antwortendpunkte für Anmeldungen."
    },
    "hint": {
      "en": "This is the callback URL for the application.",
      "de": "Dies ist die Rückruf-URL der Anwendung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
  },
  {
    "id": "sc300-159",
    "type": "multiple",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which credentials can a confidential client app use in its app registration? (Choose all that apply.)",
      "de": "Welche Anmeldeinformationen kann eine vertrauliche Client-App in ihrer App-Registrierung verwenden? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Client secret",
          "de": "Geheimer Clientschlüssel"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Certificate credential",
          "de": "Zertifikatanmeldeinformation"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "SMS code",
          "de": "SMS-Code"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Security question",
          "de": "Sicherheitsfrage"
        }
      }
    ],
    "correct": [
      "A",
      "B"
    ],
    "explanation": {
      "en": "Confidential clients authenticate with credentials such as client secrets or certificates. SMS codes and security questions are user authentication mechanisms, not application credentials.",
      "de": "Vertrauliche Clients authentifizieren sich mit Anmeldeinformationen wie geheimen Clientschlüsseln oder Zertifikaten. SMS-Codes und Sicherheitsfragen sind Benutzerauthentifizierungsmechanismen, keine Anmeldeinformationen für Anwendungen."
    },
    "hint": {
      "en": "Think about credentials an app can present by itself.",
      "de": "Denken Sie an Anmeldeinformationen, die eine App selbst vorlegen kann."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
  },
  {
    "id": "sc300-160",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The service runs every hour as a background job.",
      "de": "Der Dienst läuft jede Stunde als Hintergrundauftrag."
    },
    "question": {
      "en": "A daemon app must call a web API without a signed-in user. Which API permission type does it need?",
      "de": "Eine Daemon-App muss eine Web-API ohne angemeldeten Benutzer aufrufen. Welchen Typ von API-Berechtigung benötigt sie?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Application permission",
          "de": "Anwendungsberechtigung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Delegated permission",
          "de": "Delegierte Berechtigung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Optional claim",
          "de": "Optionaler Anspruch"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Group claim",
          "de": "Gruppenanspruch"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Application permissions are intended for app-only access when no user is signed in. Delegated permissions require user context, while claims settings do not grant API rights.",
      "de": "Anwendungsberechtigungen sind für den Zugriff nur durch die App gedacht, wenn kein Benutzer angemeldet ist. Delegierte Berechtigungen erfordern einen Benutzerkontext, während Anspruchseinstellungen keine API-Rechte vergeben."
    },
    "hint": {
      "en": "No user context means the app acts as itself.",
      "de": "Ohne Benutzerkontext handelt die App als sie selbst."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
  },
  {
    "id": "sc300-161",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The design must honor the current user's identity and permissions.",
      "de": "Das Design muss die Identität und Berechtigungen des aktuellen Benutzers berücksichtigen."
    },
    "question": {
      "en": "A web app must call Microsoft Graph to read the signed-in user's profile. Which permission type should the app request?",
      "de": "Eine Web-App muss Microsoft Graph aufrufen, um das Profil des angemeldeten Benutzers zu lesen. Welchen Berechtigungstyp sollte die App anfordern?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Delegated permission",
          "de": "Delegierte Berechtigung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Application permission",
          "de": "Anwendungsberechtigung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Directory role",
          "de": "Verzeichnisrolle"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Custom security attribute",
          "de": "Benutzerdefiniertes Sicherheitsattribut"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Delegated permissions are used when an app acts on behalf of a signed-in user. Application permissions would give app-only access and are not needed for reading only the current user's profile in a user session.",
      "de": "Delegierte Berechtigungen werden verwendet, wenn eine App im Namen eines angemeldeten Benutzers handelt. Anwendungsberechtigungen würden App-Only-Zugriff gewähren und sind nicht erforderlich, um in einer Benutzersitzung nur das Profil des aktuellen Benutzers zu lesen."
    },
    "hint": {
      "en": "The app is acting in the context of the signed-in user.",
      "de": "Die App handelt im Kontext des angemeldeten Benutzers."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
  },
  {
    "id": "sc300-162",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The permission allows broad directory access and standard users cannot approve it.",
      "de": "Die Berechtigung erlaubt breiten Verzeichniszugriff und Standardbenutzer können sie nicht genehmigen."
    },
    "question": {
      "en": "Your app requests a highly privileged Microsoft Graph permission that users are not allowed to grant themselves. What is required before the app can use it?",
      "de": "Ihre App fordert eine hoch privilegierte Microsoft Graph-Berechtigung an, die Benutzer sich nicht selbst erteilen dürfen. Was ist erforderlich, bevor die App sie verwenden kann?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Admin consent",
          "de": "Administratoreinwilligung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Access review",
          "de": "Zugriffsüberprüfung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A named location",
          "de": "Einen benannten Standort"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A PIM alert",
          "de": "Eine PIM-Warnung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "High-impact or application permissions often require administrator consent before the app can use them. Access reviews and locations do not approve API permission grants.",
      "de": "Berechtigungen mit hoher Auswirkung oder Anwendungsberechtigungen erfordern häufig eine Administratoreinwilligung, bevor die App sie verwenden kann. Zugriffsüberprüfungen und Standorte genehmigen keine API-Berechtigungsgewährungen."
    },
    "hint": {
      "en": "The missing step is approval of the permission grant.",
      "de": "Der fehlende Schritt ist die Genehmigung der Berechtigungsgewährung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
  },
  {
    "id": "sc300-163",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The compliance team wants low-impact permissions to remain user-consentable.",
      "de": "Das Compliance-Team möchte, dass Berechtigungen mit geringer Auswirkung weiterhin durch Benutzer zustimmbar bleiben."
    },
    "question": {
      "en": "You want to mark some API permissions as high impact so regular users cannot consent to apps requesting them. Which framework element helps with this?",
      "de": "Sie möchten einige API-Berechtigungen als hochwirksam kennzeichnen, damit normale Benutzer Apps, die diese anfordern, nicht zustimmen können. Welches Element des Frameworks hilft dabei?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Permission classifications",
          "de": "Berechtigungsklassifizierungen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "SAML claims mapping",
          "de": "Zuordnung von SAML-Ansprüchen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Permission classifications help identify the impact of permissions and support user consent governance decisions. The other options are unrelated to app consent classification.",
      "de": "Berechtigungsklassifizierungen helfen dabei, die Auswirkung von Berechtigungen zu kennzeichnen und unterstützen Entscheidungen zur Governance der Benutzereinwilligung. Die anderen Optionen stehen nicht mit der Klassifizierung von App-Einwilligungen in Zusammenhang."
    },
    "hint": {
      "en": "This is about consent governance, not sign-in location or administration scope.",
      "de": "Dies betrifft die Governance von Zustimmungen und nicht Anmeldestandorte oder Verwaltungsbereiche."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
  },
  {
    "id": "sc300-164",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The app owner wants to prevent broad tenant-wide sign-in by default.",
      "de": "Der App-Besitzer möchte standardmäßig eine breite mandantenweite Anmeldung verhindern."
    },
    "question": {
      "en": "Only users who are explicitly assigned to an enterprise application should be able to sign in to it. Which setting should you enable?",
      "de": "Nur Benutzer, die einer Unternehmensanwendung explizit zugewiesen sind, sollen sich bei ihr anmelden können. Welche Einstellung sollten Sie aktivieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "User assignment required",
          "de": "Benutzerzuweisung erforderlich"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Terms of Use required",
          "de": "Nutzungsbedingungen erforderlich"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Report-only mode",
          "de": "Nur-Berichtsmodus"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Password writeback",
          "de": "Kennwortrückschreibung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "User assignment required ensures that only assigned users or groups can sign in to the enterprise application. The other settings do not enforce assignment-based access.",
      "de": "Benutzerzuweisung erforderlich stellt sicher, dass sich nur zugewiesene Benutzer oder Gruppen bei der Unternehmensanwendung anmelden können. Die anderen Einstellungen erzwingen keinen zuweisungsbasierten Zugriff."
    },
    "hint": {
      "en": "You want assignment-based access control on the enterprise app.",
      "de": "Sie möchten einen zuweisungsbasierten Zugriff auf die Unternehmensanwendung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/plan-sso-deployment"
  },
  {
    "id": "sc300-165",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The development team wants the API itself to make authorization decisions from token contents.",
      "de": "Das Entwicklungsteam möchte, dass die API selbst Autorisierungsentscheidungen anhand des Tokeninhalts trifft."
    },
    "question": {
      "en": "Your custom API should emit role values such as Approver and Auditor in tokens so applications can authorize users. Where should you define these roles?",
      "de": "Ihre benutzerdefinierte API soll Rollenwerte wie Approver und Auditor in Token ausgeben, damit Anwendungen Benutzer autorisieren können. Wo sollten Sie diese Rollen definieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "In the app registration as app roles",
          "de": "In der App-Registrierung als App-Rollen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "In a named location",
          "de": "In einem benannten Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "In an access review",
          "de": "In einer Zugriffsüberprüfung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "In a Conditional Access policy",
          "de": "In einer Richtlinie für bedingten Zugriff"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "App roles are defined in the app registration and can then be assigned to users, groups, or applications so those role values appear in tokens. The other features do not define application authorization roles.",
      "de": "App-Rollen werden in der App-Registrierung definiert und können dann Benutzern, Gruppen oder Anwendungen zugewiesen werden, sodass diese Rollenwerte in Token erscheinen. Die anderen Funktionen definieren keine Anwendungsautorisierungsrollen."
    },
    "hint": {
      "en": "Define the authorization model in the app registration, not in access policy features.",
      "de": "Definieren Sie das Autorisierungsmodell in der App-Registrierung und nicht in Zugriffsrichtlinienfunktionen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-configure-app-expose-web-apis"
  },
  {
    "id": "sc300-166",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The vendor changed its assertion consumer service URL after a migration.",
      "de": "Der Anbieter hat nach einer Migration seine Assertion-Consumer-Service-URL geändert."
    },
    "question": {
      "en": "A SaaS application uses SAML SSO and the sign-in fails because the app cannot identify the correct issuer and reply endpoint. Which part of enterprise app configuration should you review first?",
      "de": "Eine SaaS-Anwendung verwendet SAML-SSO und die Anmeldung schlägt fehl, weil die Anwendung den richtigen Aussteller und Antwortendpunkt nicht identifizieren kann. Welchen Teil der Konfiguration der Unternehmensanwendung sollten Sie zuerst prüfen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Basic SAML configuration",
          "de": "Grundlegende SAML-Konfiguration"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Lifecycle workflows",
          "de": "Lifecycle-Workflows"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Password writeback",
          "de": "Kennwortrückschreibung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Basic SAML configuration contains core values such as Identifier and Reply URL. If those are wrong, the SaaS app cannot complete the federation exchange correctly.",
      "de": "Die grundlegende SAML-Konfiguration enthält Kernwerte wie Bezeichner und Antwort-URL. Wenn diese falsch sind, kann die SaaS-App den Verbundaustausch nicht korrekt abschließen."
    },
    "hint": {
      "en": "SAML problems often start with Identifier and Reply URL mismatches.",
      "de": "SAML-Probleme beginnen häufig mit nicht übereinstimmenden Bezeichnern und Antwort-URLs."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/plan-sso-deployment"
  },
  {
    "id": "sc300-167",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "Users must reach the app from home without a VPN.",
      "de": "Benutzer müssen die App von zu Hause ohne VPN erreichen."
    },
    "question": {
      "en": "You need to publish an internal web app externally without opening inbound firewall ports to your datacenter. Which Microsoft Entra feature is designed for this?",
      "de": "Sie müssen eine interne Web-App extern veröffentlichen, ohne eingehende Firewallports in Ihr Rechenzentrum zu öffnen. Welche Microsoft Entra-Funktion ist dafür vorgesehen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Application Proxy",
          "de": "Application Proxy"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Access review",
          "de": "Zugriffsüberprüfung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Administrative unit",
          "de": "Administrative Einheit"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Identity Protection",
          "de": "Identity Protection"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Application Proxy publishes internal web applications externally by using outbound connectors, so inbound firewall openings are not required. The other features do not publish internal web apps.",
      "de": "Application Proxy veröffentlicht interne Webanwendungen extern über ausgehende Connectors, sodass keine eingehenden Firewallöffnungen erforderlich sind. Die anderen Funktionen veröffentlichen keine internen Web-Apps."
    },
    "hint": {
      "en": "Look for secure remote access to an on-premises web app.",
      "de": "Suchen Sie nach sicherem Remotezugriff auf eine lokale Web-App."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/app-proxy/overview-what-is-app-proxy"
  },
  {
    "id": "sc300-168",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Latency is too high when apps in Europe use connectors located in the US datacenter.",
      "de": "Die Latenz ist zu hoch, wenn Apps in Europa Connectors im US-Rechenzentrum verwenden."
    },
    "question": {
      "en": "You have connectors in two datacenters and want each published app to use connectors closest to the backend servers. What should you configure?",
      "de": "Sie haben Connectors in zwei Rechenzentren und möchten, dass jede veröffentlichte App die Connectors verwendet, die den Back-End-Servern am nächsten sind. Was sollten Sie konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Connector groups",
          "de": "Connectorgruppen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Role-assignable groups",
          "de": "Rollenzuweisbare Gruppen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Authentication strengths",
          "de": "Authentifizierungsstärken"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Connector groups let you associate Application Proxy apps with the appropriate connectors based on network placement or backend proximity. The other options do not control connector routing.",
      "de": "Connectorgruppen ermöglichen es, Application Proxy-Apps den geeigneten Connectors basierend auf Netzwerkplatzierung oder Nähe zum Back-End zuzuordnen. Die anderen Optionen steuern kein Connector-Routing."
    },
    "hint": {
      "en": "This is about mapping published apps to the right connector set.",
      "de": "Hier geht es darum, veröffentlichte Apps dem richtigen Connectorset zuzuordnen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/app-proxy/overview-what-is-app-proxy"
  },
  {
    "id": "sc300-169",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The security team insists on MFA and device controls at the edge.",
      "de": "Das Sicherheitsteam besteht auf MFA und Gerätesteuerungen am Rand."
    },
    "question": {
      "en": "You want an Application Proxy-published app to use Conditional Access and MFA before the user reaches the backend app. Which preauthentication option should you choose?",
      "de": "Sie möchten, dass eine über Application Proxy veröffentlichte App bedingten Zugriff und MFA verwendet, bevor der Benutzer die Back-End-App erreicht. Welche Vorabauthentifizierungsoption sollten Sie wählen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Entra ID preauthentication",
          "de": "Vorabauthentifizierung mit Microsoft Entra ID"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Passthrough preauthentication",
          "de": "Passthrough-Vorabauthentifizierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "No authentication",
          "de": "Keine Authentifizierung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Password writeback",
          "de": "Kennwortrückschreibung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Microsoft Entra ID preauthentication lets the service enforce Conditional Access and MFA before the request reaches the application. Passthrough preauthentication skips those Entra-based controls.",
      "de": "Die Vorabauthentifizierung mit Microsoft Entra ID ermöglicht es dem Dienst, bedingten Zugriff und MFA durchzusetzen, bevor die Anforderung die Anwendung erreicht. Die Passthrough-Vorabauthentifizierung überspringt diese Entra-basierten Steuerungen."
    },
    "hint": {
      "en": "Use Entra as the gatekeeper before the app is accessed.",
      "de": "Verwenden Sie Entra als Gatekeeper, bevor auf die App zugegriffen wird."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/app-proxy/overview-what-is-app-proxy"
  },
  {
    "id": "sc300-170",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "Users should not reenter credentials after Entra sign-in.",
      "de": "Benutzer sollen nach der Entra-Anmeldung keine Anmeldeinformationen erneut eingeben."
    },
    "question": {
      "en": "A published internal web app uses Integrated Windows Authentication and the backend should see the user's Kerberos identity. What should you configure with Application Proxy?",
      "de": "Eine veröffentlichte interne Web-App verwendet die integrierte Windows-Authentifizierung und das Back-End soll die Kerberos-Identität des Benutzers sehen. Was sollten Sie mit Application Proxy konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Kerberos Constrained Delegation",
          "de": "Kerberos Constrained Delegation"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A token lifetime policy",
          "de": "Eine Tokenlebensdauerrichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A dynamic user group",
          "de": "Eine dynamische Benutzergruppe"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "An access package",
          "de": "Ein Zugriffspaket"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Application Proxy uses Kerberos Constrained Delegation to translate the authenticated user identity to backend Integrated Windows Authentication where supported. The other options do not solve backend Kerberos delegation.",
      "de": "Application Proxy verwendet Kerberos Constrained Delegation, um die authentifizierte Benutzeridentität bei unterstützten Szenarien an die integrierte Windows-Authentifizierung des Back-Ends zu übergeben. Die anderen Optionen lösen keine Kerberos-Delegation zum Back-End."
    },
    "hint": {
      "en": "The app needs backend Kerberos, not just frontend sign-in.",
      "de": "Die App benötigt Kerberos im Back-End und nicht nur eine Anmeldung im Front-End."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/app-proxy/overview-what-is-app-proxy"
  },
  {
    "id": "sc300-171",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Several frontend apps will consume the API and need least-privileged delegated access.",
      "de": "Mehrere Front-End-Apps werden die API nutzen und benötigen delegierten Zugriff mit geringsten Rechten."
    },
    "question": {
      "en": "You are building a custom web API and need client apps to request delegated scopes such as api.read. Where should you define those scopes?",
      "de": "Sie entwickeln eine benutzerdefinierte Web-API und müssen zulassen, dass Client-Apps delegierte Bereiche wie api.read anfordern. Wo sollten Sie diese Bereiche definieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Expose an API in the app registration",
          "de": "Eine API in der App-Registrierung verfügbar machen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Enterprise application sign-in logs",
          "de": "Anmeldeprotokolle der Unternehmensanwendung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Terms of Use",
          "de": "Nutzungsbedingungen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Delegated scopes for a custom API are authored in the app registration under Expose an API. Sign-in logs, locations, and Terms of Use do not define OAuth scopes.",
      "de": "Delegierte Bereiche für eine benutzerdefinierte API werden in der App-Registrierung unter Eine API verfügbar machen erstellt. Anmeldeprotokolle, Standorte und Nutzungsbedingungen definieren keine OAuth-Bereiche."
    },
    "hint": {
      "en": "Scopes belong to the API definition in the app registration.",
      "de": "Bereiche gehören zur API-Definition in der App-Registrierung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-configure-app-expose-web-apis"
  },
  {
    "id": "sc300-172",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "The web API should not call Graph as itself.",
      "de": "Die Web-API soll Graph nicht als sie selbst aufrufen."
    },
    "question": {
      "en": "A middle-tier API receives a user token and then must call Microsoft Graph while preserving the user context. Which OAuth 2.0 flow is designed for this?",
      "de": "Eine mittlere API-Ebene erhält ein Benutzertoken und muss dann Microsoft Graph aufrufen, während der Benutzerkontext erhalten bleibt. Welcher OAuth 2.0-Flow ist dafür vorgesehen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "On-behalf-of flow",
          "de": "On-Behalf-Of-Flow"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Client credentials flow",
          "de": "Client-Credentials-Flow"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Device code flow",
          "de": "Device-Code-Flow"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Implicit flow",
          "de": "Implicit-Flow"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The on-behalf-of flow is specifically designed for a middle tier to exchange an incoming user token for another downstream token while preserving user delegation. Client credentials is app-only and would lose user context.",
      "de": "Der On-Behalf-Of-Flow ist speziell dafür vorgesehen, dass eine mittlere Ebene ein eingehendes Benutzertoken gegen ein weiteres nachgelagertes Token austauscht, während die Benutzerdelegierung erhalten bleibt. Client Credentials ist App-Only und würde den Benutzerkontext verlieren."
    },
    "hint": {
      "en": "The key clue is preserve user context through a middle tier.",
      "de": "Der entscheidende Hinweis ist, den Benutzerkontext durch eine mittlere Ebene zu erhalten."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-on-behalf-of-flow"
  },
  {
    "id": "sc300-173",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which OAuth 2.0 flow should a background daemon use to obtain a token for an API when no user is present?",
      "de": "Welchen OAuth 2.0-Flow sollte ein Hintergrunddaemon verwenden, um ein Token für eine API zu erhalten, wenn kein Benutzer vorhanden ist?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Client credentials flow",
          "de": "Client-Credentials-Flow"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Authorization code flow",
          "de": "Authorization-Code-Flow"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Device code flow",
          "de": "Device-Code-Flow"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "On-behalf-of flow",
          "de": "On-Behalf-Of-Flow"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The client credentials flow is the app-only flow for services and daemons running without a user. The other flows require user interaction or an incoming user token.",
      "de": "Der Client-Credentials-Flow ist der App-Only-Flow für Dienste und Daemons, die ohne Benutzer laufen. Die anderen Flows erfordern Benutzerinteraktion oder ein eingehendes Benutzertoken."
    },
    "hint": {
      "en": "No user means app-only authentication.",
      "de": "Kein Benutzer bedeutet Authentifizierung nur durch die App."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-client-creds-grant-flow"
  },
  {
    "id": "sc300-174",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The tool runs on shared kiosks and embedded systems.",
      "de": "Das Tool läuft auf gemeinsam genutzten Kiosken und eingebetteten Systemen."
    },
    "question": {
      "en": "A command-line tool runs on devices with limited input capabilities and needs users to complete sign-in on another device. Which OAuth 2.0 flow should it use?",
      "de": "Ein Befehlszeilentool läuft auf Geräten mit begrenzten Eingabemöglichkeiten und benötigt eine Anmeldung, die Benutzer auf einem anderen Gerät abschließen. Welchen OAuth 2.0-Flow sollte es verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Device code flow",
          "de": "Device-Code-Flow"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Client credentials flow",
          "de": "Client-Credentials-Flow"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "On-behalf-of flow",
          "de": "On-Behalf-Of-Flow"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "SAML bearer assertion flow",
          "de": "SAML-Bearer-Assertion-Flow"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The device code flow is built for devices or tools with limited browser or keyboard capability. It lets the user sign in on another device and then authorizes the original client.",
      "de": "Der Device-Code-Flow ist für Geräte oder Tools mit eingeschränkten Browser- oder Tastatureigenschaften gedacht. Er ermöglicht es dem Benutzer, sich auf einem anderen Gerät anzumelden und dann den ursprünglichen Client zu autorisieren."
    },
    "hint": {
      "en": "Think of sign-in on a separate device for a constrained client.",
      "de": "Denken Sie an eine Anmeldung auf einem separaten Gerät für einen eingeschränkten Client."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-device-code"
  },
  {
    "id": "sc300-175",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The app runs fully in the browser and does not have a confidential backend.",
      "de": "Die App läuft vollständig im Browser und hat kein vertrauliches Back-End."
    },
    "question": {
      "en": "A single-page application written in JavaScript must sign in users securely with modern browser guidance. Which flow should it use?",
      "de": "Eine in JavaScript geschriebene Single-Page-Anwendung muss Benutzer gemäß moderner Browserempfehlungen sicher anmelden. Welchen Flow sollte sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Authorization code flow with PKCE",
          "de": "Authorization-Code-Flow mit PKCE"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Client credentials flow",
          "de": "Client-Credentials-Flow"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Password grant flow",
          "de": "Password-Grant-Flow"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "On-behalf-of flow",
          "de": "On-Behalf-Of-Flow"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "SPAs should use the authorization code flow with PKCE. Client credentials is app-only, resource owner password is legacy and not recommended, and on-behalf-of is for middle tiers.",
      "de": "SPAs sollten den Authorization-Code-Flow mit PKCE verwenden. Client Credentials ist App-Only, Resource Owner Password ist veraltet und nicht empfohlen, und On-Behalf-Of ist für mittlere Ebenen gedacht."
    },
    "hint": {
      "en": "This is the modern browser-friendly interactive flow for SPAs.",
      "de": "Dies ist der moderne browserfreundliche interaktive Flow für SPAs."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-auth-code-flow"
  },
  {
    "id": "sc300-176",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "When a multitenant application is consented to in a customer tenant, what object is created in that tenant to represent the app locally?",
      "de": "Wenn einer mandantenfähigen Anwendung in einem Kundentenant zugestimmt wird, welches Objekt wird in diesem Tenant erstellt, um die App lokal zu repräsentieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Service principal",
          "de": "Dienstprinzipal"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Administrative unit",
          "de": "Administrative Einheit"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named location",
          "de": "Benannter Standort"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Access package",
          "de": "Zugriffspaket"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "A service principal is created in each tenant where the app is used so that assignments, permissions, and sign-in can be managed locally. The app registration itself remains the global definition in the home tenant.",
      "de": "In jedem Tenant, in dem die App verwendet wird, wird ein Dienstprinzipal erstellt, damit Zuweisungen, Berechtigungen und Anmeldungen lokal verwaltet werden können. Die App-Registrierung selbst bleibt die globale Definition im Heimtenant."
    },
    "hint": {
      "en": "Think of the tenant-local representation of the app.",
      "de": "Denken Sie an die tenantlokale Darstellung der App."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
  },
  {
    "id": "sc300-177",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Security has banned embedded secrets in deployment pipelines.",
      "de": "Die Sicherheit hat eingebettete Geheimnisse in Bereitstellungspipelines verboten."
    },
    "question": {
      "en": "An Azure Function must access Azure Key Vault without storing secrets in code or configuration. What should you use?",
      "de": "Eine Azure Function muss auf Azure Key Vault zugreifen, ohne Geheimnisse im Code oder in der Konfiguration zu speichern. Was sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Managed identity",
          "de": "Verwaltete Identität"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A guest user account",
          "de": "Ein Gastbenutzerkonto"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A password spray policy",
          "de": "Eine Richtlinie gegen Kennwort-Spraying"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A named location",
          "de": "Einen benannten Standort"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Managed identities give Azure resources a Microsoft Entra identity so they can request tokens without stored secrets. The other options do not provide secretless workload authentication.",
      "de": "Verwaltete Identitäten geben Azure-Ressourcen eine Microsoft Entra-Identität, sodass sie Token ohne gespeicherte Geheimnisse anfordern können. Die anderen Optionen bieten keine geheimnislose Workload-Authentifizierung."
    },
    "hint": {
      "en": "Use the identity designed for Azure workloads.",
      "de": "Verwenden Sie die Identität, die für Azure-Workloads vorgesehen ist."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview"
  },
  {
    "id": "sc300-178",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The developers need richer token data for downstream authorization checks.",
      "de": "Die Entwickler benötigen umfangreichere Tokendaten für nachgelagerte Autorisierungsprüfungen."
    },
    "question": {
      "en": "Your application token must include extra claims such as employee ID and groups. Which app configuration area should you review?",
      "de": "Das Token Ihrer Anwendung muss zusätzliche Ansprüche wie Mitarbeiter-ID und Gruppen enthalten. Welchen Konfigurationsbereich der App sollten Sie prüfen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Token configuration",
          "de": "Tokenkonfiguration"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Administrative units",
          "de": "Administrative Einheiten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Access reviews",
          "de": "Zugriffsüberprüfungen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Token configuration is where you add optional claims and configure group claims for tokens. The other features do not shape token contents.",
      "de": "In der Tokenkonfiguration fügen Sie optionale Ansprüche hinzu und konfigurieren Gruppenansprüche für Token. Die anderen Funktionen beeinflussen den Tokeninhalt nicht."
    },
    "hint": {
      "en": "This is about token contents, not access policy scope.",
      "de": "Dies betrifft den Tokeninhalt und nicht den Bereich von Zugriffsrichtlinien."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/optional-claims"
  },
  {
    "id": "sc300-179",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The app runs in production for several years and must minimize credential exposure.",
      "de": "Die App läuft mehrere Jahre in Produktion und muss die Offenlegung von Anmeldeinformationen minimieren."
    },
    "question": {
      "en": "A security review recommends replacing client secrets for a confidential web app with a stronger credential type. What should you use?",
      "de": "Eine Sicherheitsüberprüfung empfiehlt, geheime Clientschlüssel für eine vertrauliche Web-App durch einen stärkeren Anmeldeinformationstyp zu ersetzen. Was sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A certificate credential",
          "de": "Eine Zertifikatanmeldeinformation"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A security question",
          "de": "Eine Sicherheitsfrage"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "An SMS code",
          "de": "Einen SMS-Code"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A named location",
          "de": "Einen benannten Standort"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Certificates are generally stronger than client secrets for confidential clients and support better credential hygiene and rotation practices. The other options are not app credentials.",
      "de": "Zertifikate sind für vertrauliche Clients im Allgemeinen stärker als geheime Clientschlüssel und unterstützen bessere Verfahren für Anmeldeinformationshygiene und Rotation. Die anderen Optionen sind keine App-Anmeldeinformationen."
    },
    "hint": {
      "en": "Choose the stronger workload credential, not a user factor.",
      "de": "Wählen Sie die stärkere Workload-Anmeldeinformation und keinen Benutzerfaktor."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
  },
  {
    "id": "sc300-180",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The application team wants an auditable self-service request process.",
      "de": "Das Anwendungsteam möchte einen nachvollziehbaren Self-Service-Anforderungsprozess."
    },
    "question": {
      "en": "User consent is disabled for most permissions, but users should be able to request administrator approval for an app instead of opening a help desk ticket. What should you enable?",
      "de": "Die Benutzereinwilligung ist für die meisten Berechtigungen deaktiviert, aber Benutzer sollen statt eines Helpdesk-Tickets eine Administratorgenehmigung für eine App anfordern können. Was sollten Sie aktivieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Admin consent workflow",
          "de": "Administratoreinwilligungsworkflow"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Conditional Access App Control",
          "de": "Conditional Access App Control"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Password writeback",
          "de": "Kennwortrückschreibung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Access review history",
          "de": "Verlauf der Zugriffsüberprüfung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The admin consent workflow lets users submit app consent requests for administrator review and approval. The other features do not provide a request-and-approval path for blocked app consent.",
      "de": "Der Administratoreinwilligungsworkflow ermöglicht es Benutzern, Anforderungen zur App-Einwilligung zur Prüfung und Genehmigung durch Administratoren einzureichen. Die anderen Funktionen bieten keinen Anforderungs- und Genehmigungspfad für blockierte App-Einwilligungen."
    },
    "hint": {
      "en": "This is about routing blocked consent requests to admins.",
      "de": "Hier geht es darum, blockierte Zustimmungsanforderungen an Administratoren weiterzuleiten."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
  },
  {
    "id": "sc300-181",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which object in the home tenant is the global blueprint for an application, before any tenant-local service principals are created?",
      "de": "Welches Objekt im Heimtenant ist die globale Vorlage für eine Anwendung, bevor tenantlokale Dienstprinzipale erstellt werden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Application object or app registration",
          "de": "Anwendungsobjekt oder App-Registrierung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Enterprise application assignment",
          "de": "Zuweisung der Unternehmensanwendung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named location",
          "de": "Benannter Standort"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Access package",
          "de": "Zugriffspaket"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The application object, shown as the app registration, is the global definition of the application in its home tenant. Service principals are created later as tenant-local instances.",
      "de": "Das Anwendungsobjekt, dargestellt als App-Registrierung, ist die globale Definition der Anwendung in ihrem Heimtenant. Dienstprinzipale werden später als tenantlokale Instanzen erstellt."
    },
    "hint": {
      "en": "This is the design-time object, not the tenant-local runtime instance.",
      "de": "Dies ist das Entwurfsobjekt und nicht die tenantlokale Laufzeitinstanz."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
  },
  {
    "id": "sc300-182",
    "type": "single",
    "domain": {
      "en": "Implement Access Management for Applications",
      "de": "Zugriffsverwaltung für Anwendungen implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The vendor asked for federation metadata and the signing certificate thumbprint.",
      "de": "Der Anbieter hat nach Verbundmetadaten und dem Fingerabdruck des Signaturzertifikats gefragt."
    },
    "question": {
      "en": "A SAML enterprise application must sign tokens that the SaaS provider will trust. Which certificate is used for that purpose?",
      "de": "Eine SAML-Unternehmensanwendung muss Token signieren, denen der SaaS-Anbieter vertraut. Welches Zertifikat wird dafür verwendet?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "The SAML signing certificate in the enterprise application",
          "de": "Das SAML-Signaturzertifikat in der Unternehmensanwendung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "The TLS certificate on the user device",
          "de": "Das TLS-Zertifikat auf dem Benutzergerät"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A BitLocker recovery certificate",
          "de": "Ein BitLocker-Wiederherstellungszertifikat"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A certificate from the named location",
          "de": "Ein Zertifikat aus dem benannten Standort"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "For SAML federation, the enterprise application uses its SAML signing certificate to sign assertions or responses that the SaaS provider validates. The other certificates are unrelated.",
      "de": "Für SAML-Verbund verwendet die Unternehmensanwendung ihr SAML-Signaturzertifikat, um Assertions oder Antworten zu signieren, die der SaaS-Anbieter validiert. Die anderen Zertifikate sind nicht relevant."
    },
    "hint": {
      "en": "Think of the certificate tied directly to SAML token signing.",
      "de": "Denken Sie an das Zertifikat, das direkt mit der Signierung von SAML-Token verbunden ist."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/plan-sso-deployment"
  },
  {
    "id": "sc300-183",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "easy",
    "scenario": {
      "en": "Project teams need fast access without manual ticket processing for every resource.",
      "de": "Projektteams benötigen schnellen Zugriff ohne manuelle Ticketbearbeitung für jede einzelne Ressource."
    },
    "question": {
      "en": "Employees need a self-service way to request a bundle of resources such as groups, apps, and SharePoint sites with approval and expiration. Which feature should you use?",
      "de": "Mitarbeiter benötigen eine Self-Service-Möglichkeit, ein Bündel aus Ressourcen wie Gruppen, Apps und SharePoint-Websites mit Genehmigung und Ablauf anzufordern. Welche Funktion sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Access package",
          "de": "Zugriffspaket"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named location",
          "de": "Benannter Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Dynamic device group",
          "de": "Dynamische Gerätegruppe"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Token lifetime policy",
          "de": "Tokenlebensdauerrichtlinie"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "An access package bundles resources and applies request, approval, and expiration policies for governed self-service access. The other options do not deliver packaged governed access.",
      "de": "Ein Zugriffspaket bündelt Ressourcen und wendet Anforderungs-, Genehmigungs- und Ablaufrichtlinien für geregelten Self-Service-Zugriff an. Die anderen Optionen liefern keinen paketierten geregelten Zugriff."
    },
    "hint": {
      "en": "Look for the governance object that bundles resources for requesters.",
      "de": "Suchen Sie nach dem Governance-Objekt, das Ressourcen für Anforderer bündelt."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
  },
  {
    "id": "sc300-184",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What is the purpose of a catalog in entitlement management?",
      "de": "Welchen Zweck hat ein Katalog im Entitlement Management?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "To organize resources that can be included in access packages",
          "de": "Um Ressourcen zu organisieren, die in Zugriffspaketen enthalten sein können"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "To enforce token expiry",
          "de": "Um den Tokenablauf zu erzwingen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "To publish on-premises apps",
          "de": "Um lokale Apps zu veröffentlichen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "To register MFA methods",
          "de": "Um MFA-Methoden zu registrieren"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "A catalog is the entitlement management container that holds resources such as groups, apps, and SharePoint sites for use in access packages. The other options are unrelated services.",
      "de": "Ein Katalog ist der Container im Entitlement Management, der Ressourcen wie Gruppen, Apps und SharePoint-Websites für Zugriffspakete enthält. Die anderen Optionen sind nicht relevant."
    },
    "hint": {
      "en": "A catalog is about organizing governable resources.",
      "de": "Ein Katalog dient der Organisation steuerbarer Ressourcen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-catalog-create"
  },
  {
    "id": "sc300-185",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The partner should not need local member accounts in your directory.",
      "de": "Der Partner soll keine lokalen Mitgliedskonten in Ihrem Verzeichnis benötigen."
    },
    "question": {
      "en": "External users from a partner company should request access packages by using their home identities. What should you configure for that partner first?",
      "de": "Externe Benutzer eines Partnerunternehmens sollen Zugriffspakete mit ihren Heimidentitäten anfordern können. Was sollten Sie für diesen Partner zuerst konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A connected organization",
          "de": "Eine verbundene Organisation"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A named location",
          "de": "Einen benannten Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A token lifetime policy",
          "de": "Eine Tokenlebensdauerrichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A service principal",
          "de": "Einen Dienstprinzipal"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Connected organizations represent partner organizations in entitlement management so their users can participate in governed external access scenarios. The other options do not establish that partner relationship.",
      "de": "Verbundene Organisationen repräsentieren Partnerorganisationen im Entitlement Management, damit deren Benutzer an geregelten externen Zugriffsszenarien teilnehmen können. Die anderen Optionen stellen diese Partnerbeziehung nicht her."
    },
    "hint": {
      "en": "This is the object that models an external partner for entitlement management.",
      "de": "Dies ist das Objekt, das einen externen Partner für das Entitlement Management modelliert."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
  },
  {
    "id": "sc300-186",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "HR already maintains Department accurately in Microsoft Entra ID.",
      "de": "HR pflegt das Attribut Department bereits korrekt in Microsoft Entra ID."
    },
    "question": {
      "en": "All internal employees in the Finance department should automatically receive an access package without submitting a request. Which policy feature should you use?",
      "de": "Alle internen Mitarbeiter der Finanzabteilung sollen ein Zugriffspaket automatisch erhalten, ohne eine Anforderung zu stellen. Welche Richtlinienfunktion sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "An auto-assignment policy",
          "de": "Eine automatische Zuweisungsrichtlinie"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A sign-in risk policy",
          "de": "Eine Anmelderisikorichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A named location",
          "de": "Einen benannten Standort"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A PIM alert",
          "de": "Eine PIM-Warnung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Auto-assignment policies can automatically assign access packages to internal users who match defined criteria, such as department. The other options do not perform entitlement auto-assignment.",
      "de": "Automatische Zuweisungsrichtlinien können Zugriffspakete automatisch internen Benutzern zuweisen, die definierte Kriterien wie eine Abteilung erfüllen. Die anderen Optionen führen keine automatische Zuweisung im Entitlement Management durch."
    },
    "hint": {
      "en": "You need automatic governed assignment, not approval after a request.",
      "de": "Sie benötigen eine automatische geregelte Zuweisung und keine Genehmigung nach einer Anforderung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy"
  },
  {
    "id": "sc300-187",
    "type": "multiple",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which items are configured in an access package assignment policy? (Choose all that apply.)",
      "de": "Welche Elemente werden in einer Zuweisungsrichtlinie für Zugriffspakete konfiguriert? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Who can request access",
          "de": "Wer Zugriff anfordern kann"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Approval requirements",
          "de": "Genehmigungsanforderungen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Expiration and extension settings",
          "de": "Ablauf- und Verlängerungseinstellungen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Kerberos Constrained Delegation",
          "de": "Kerberos Constrained Delegation"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Assignment policies define requester scope, approval stages, and lifecycle settings such as expiration and extension. Kerberos Constrained Delegation is an Application Proxy feature, not an entitlement setting.",
      "de": "Zuweisungsrichtlinien definieren den Kreis der Anforderer, Genehmigungsstufen und Lebenszykluseinstellungen wie Ablauf und Verlängerung. Kerberos Constrained Delegation ist eine Application-Proxy-Funktion und keine Einstellung im Entitlement Management."
    },
    "hint": {
      "en": "Focus on requester, approval, and lifecycle controls.",
      "de": "Konzentrieren Sie sich auf Anforderer-, Genehmigungs- und Lebenszyklussteuerungen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy"
  },
  {
    "id": "sc300-188",
    "type": "multiple",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which resource types can you add to an access package catalog? (Choose all that apply.)",
      "de": "Welche Ressourcentypen können Sie einem Zugriffspaketkatalog hinzufügen? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Groups",
          "de": "Gruppen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Applications",
          "de": "Anwendungen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "SharePoint Online sites",
          "de": "SharePoint Online-Websites"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Conditional Access templates",
          "de": "Vorlagen für bedingten Zugriff"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Access package catalogs can contain groups, applications, and SharePoint Online sites. Conditional Access templates are policy artifacts, not resources that access packages grant.",
      "de": "Zugriffspaketkataloge können Gruppen, Anwendungen und SharePoint Online-Websites enthalten. Vorlagen für bedingten Zugriff sind Richtlinienartefakte und keine Ressourcen, die Zugriffspakete gewähren."
    },
    "hint": {
      "en": "Choose resources that can actually be granted to a requester.",
      "de": "Wählen Sie Ressourcen aus, die einem Anforderer tatsächlich gewährt werden können."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-catalog-create"
  },
  {
    "id": "sc300-189",
    "type": "multiple",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which targets can Microsoft Entra access reviews evaluate? (Choose all that apply.)",
      "de": "Welche Ziele können Microsoft Entra-Zugriffsüberprüfungen auswerten? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Group memberships",
          "de": "Gruppenmitgliedschaften"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Enterprise application assignments",
          "de": "Zuweisungen zu Unternehmensanwendungen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Microsoft Entra role assignments",
          "de": "Microsoft Entra-Rollenzuweisungen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Access reviews can target group memberships, application access, and privileged role assignments. Named locations are policy objects and are not access review targets.",
      "de": "Zugriffsüberprüfungen können Gruppenmitgliedschaften, Anwendungszugriff und privilegierte Rollenzuweisungen prüfen. Benannte Standorte sind Richtlinienobjekte und keine Ziele für Zugriffsüberprüfungen."
    },
    "hint": {
      "en": "Access reviews focus on who has access, not on policy objects.",
      "de": "Zugriffsüberprüfungen konzentrieren sich darauf, wer Zugriff hat, nicht auf Richtlinienobjekte."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
  },
  {
    "id": "sc300-190",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The team wants review ownership to stay close to the business resource.",
      "de": "Das Team möchte, dass die Verantwortung für die Überprüfung nahe an der Geschäftsressource bleibt."
    },
    "question": {
      "en": "A Microsoft 365 group should be reviewed periodically by the people who own that group. Who should you set as the reviewers?",
      "de": "Eine Microsoft 365-Gruppe soll regelmäßig von den Eigentümern dieser Gruppe überprüft werden. Wen sollten Sie als Prüfer festlegen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Group owners",
          "de": "Gruppenbesitzer"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "The Application Proxy connector",
          "de": "Den Application-Proxy-Connector"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "All guest users",
          "de": "Alle Gastbenutzer"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "The token issuer",
          "de": "Den Tokenaussteller"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Group owners are a common and supported reviewer choice for access reviews of group membership because they understand the business need for access. The other options are not appropriate reviewers.",
      "de": "Gruppenbesitzer sind eine gängige und unterstützte Wahl als Prüfer für Zugriffsüberprüfungen von Gruppenmitgliedschaften, da sie den geschäftlichen Bedarf für den Zugriff kennen. Die anderen Optionen sind keine geeigneten Prüfer."
    },
    "hint": {
      "en": "Pick the people who understand the membership purpose of the group.",
      "de": "Wählen Sie die Personen, die den Zweck der Gruppenmitgliedschaft verstehen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
  },
  {
    "id": "sc300-191",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Auditors found that overdue reviews were leaving excessive access in place.",
      "de": "Auditoren haben festgestellt, dass überfällige Überprüfungen übermäßigen Zugriff bestehen ließen."
    },
    "question": {
      "en": "If reviewers do not respond by the deadline, access must be removed automatically. Which access review settings should you use?",
      "de": "Wenn Prüfer nicht bis zur Frist reagieren, muss der Zugriff automatisch entfernt werden. Welche Einstellungen für die Zugriffsüberprüfung sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Enable auto-apply results and set no response to Remove access",
          "de": "Aktivieren Sie Automatisches Anwenden der Ergebnisse und setzen Sie Keine Antwort auf Zugriff entfernen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Disable recommendations and keep manual application only",
          "de": "Deaktivieren Sie Empfehlungen und lassen Sie nur manuelle Anwendung zu"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Use a named location",
          "de": "Verwenden Sie einen benannten Standort"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Move the users to a dynamic group",
          "de": "Verschieben Sie die Benutzer in eine dynamische Gruppe"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Auto-apply results enforces the review outcome, and setting no response to remove access ensures unreviewed access is removed. The other options do not create automatic enforcement.",
      "de": "Das automatische Anwenden der Ergebnisse setzt das Überprüfungsergebnis durch, und die Einstellung Keine Antwort auf Zugriff entfernen stellt sicher, dass nicht überprüfter Zugriff entfernt wird. Die anderen Optionen schaffen keine automatische Durchsetzung."
    },
    "hint": {
      "en": "You need both enforcement and a secure outcome for no response.",
      "de": "Sie benötigen sowohl Durchsetzung als auch ein sicheres Ergebnis bei fehlender Antwort."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
  },
  {
    "id": "sc300-192",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Managers want data-driven guidance, not just manual memory, during reviews.",
      "de": "Manager möchten während der Überprüfungen datenbasierte Hinweise statt bloßer Erinnerung erhalten."
    },
    "question": {
      "en": "You want reviewers to get system recommendations based on whether users recently accessed an application. Which access review capability supports this?",
      "de": "Sie möchten, dass Prüfer Systemempfehlungen erhalten, basierend darauf, ob Benutzer kürzlich auf eine Anwendung zugegriffen haben. Welche Funktion der Zugriffsüberprüfung unterstützt dies?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Recommendations based on activity",
          "de": "Empfehlungen auf Basis von Aktivität"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Password writeback",
          "de": "Kennwortrückschreibung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Token lifetime policy",
          "de": "Tokenlebensdauerrichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Connector groups",
          "de": "Connectorgruppen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Access reviews can generate recommendations using activity signals such as recent sign-ins or lack of activity. The other options are unrelated to review recommendations.",
      "de": "Zugriffsüberprüfungen können Empfehlungen anhand von Aktivitätssignalen wie aktuellen Anmeldungen oder fehlender Aktivität generieren. Die anderen Optionen stehen nicht mit Empfehlungen in Überprüfungen in Zusammenhang."
    },
    "hint": {
      "en": "The recommendation engine looks at whether the access appears to be used.",
      "de": "Die Empfehlungs-Engine berücksichtigt, ob der Zugriff offenbar genutzt wird."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
  },
  {
    "id": "sc300-193",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The business owner wants a lightweight quarterly attestation process for guests.",
      "de": "Der Geschäftsverantwortliche möchte einen einfachen vierteljährlichen Bestätigungsprozess für Gäste."
    },
    "question": {
      "en": "Guest users in a project group have no reliable manager information in your tenant, but they must attest their own need for access. Who should be configured as the reviewer?",
      "de": "Gastbenutzer in einer Projektgruppe haben in Ihrem Tenant keine verlässlichen Managerinformationen, müssen aber ihren eigenen Zugriffsbedarf bestätigen. Wer sollte als Prüfer konfiguriert werden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "The guest users themselves",
          "de": "Die Gastbenutzer selbst"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "The Application Proxy connector",
          "de": "Der Application-Proxy-Connector"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "The token signing certificate",
          "de": "Das Tokesignaturzertifikat"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "The dynamic membership engine",
          "de": "Die Engine für dynamische Mitgliedschaft"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Self-review is appropriate when no manager relationship is available and each guest must attest whether access is still required. The other options are technical components, not human reviewers.",
      "de": "Die Selbstüberprüfung ist geeignet, wenn keine Managerbeziehung verfügbar ist und jeder Gast bestätigen muss, ob der Zugriff noch erforderlich ist. Die anderen Optionen sind technische Komponenten und keine menschlichen Prüfer."
    },
    "hint": {
      "en": "If no manager exists, let the subject attest their own need.",
      "de": "Wenn kein Manager vorhanden ist, sollte die betroffene Person ihren Bedarf selbst bestätigen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
  },
  {
    "id": "sc300-194",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which PIM assignment type lets a user activate a role only when needed and for a limited duration?",
      "de": "Welcher Zuweisungstyp in PIM erlaubt es einem Benutzer, eine Rolle nur bei Bedarf und für eine begrenzte Dauer zu aktivieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Eligible",
          "de": "Berechtigt"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Permanent active",
          "de": "Dauerhaft aktiv"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Dynamic",
          "de": "Dynamisch"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Catalog-based",
          "de": "Katalogbasiert"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Eligible assignments are the basis of just-in-time access in PIM. Permanent active assignments grant standing access instead of on-demand activation.",
      "de": "Berechtigte Zuweisungen sind die Grundlage für Just-in-Time-Zugriff in PIM. Dauerhaft aktive Zuweisungen gewähren stehenden Zugriff statt einer Aktivierung bei Bedarf."
    },
    "hint": {
      "en": "Just-in-time access starts from an eligible assignment.",
      "de": "Just-in-Time-Zugriff beginnt mit einer berechtigten Zuweisung."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
  },
  {
    "id": "sc300-195",
    "type": "multiple",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "Which controls can PIM require during activation of an eligible role? (Choose all that apply.)",
      "de": "Welche Steuerungen kann PIM bei der Aktivierung einer berechtigten Rolle verlangen? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Multifactor authentication",
          "de": "Multi-Faktor-Authentifizierung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Justification",
          "de": "Begründung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Ticket information",
          "de": "Ticketinformationen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Approval",
          "de": "Genehmigung"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C",
      "D"
    ],
    "explanation": {
      "en": "PIM can require MFA, justification, ticket information, and approval when users activate eligible roles. All four are valid activation controls.",
      "de": "PIM kann bei der Aktivierung berechtigter Rollen MFA, Begründung, Ticketinformationen und Genehmigung verlangen. Alle vier sind gültige Aktivierungssteuerungen."
    },
    "hint": {
      "en": "Think of the full set of activation hardening options.",
      "de": "Denken Sie an die vollständige Menge an Härtungsoptionen für Aktivierungen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-resource-roles-configure-role-settings"
  },
  {
    "id": "sc300-196",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The security operations center wants proactive detection, not only audit logs after the fact.",
      "de": "Das Security Operations Center möchte proaktive Erkennung und nicht erst nachträgliche Auditprotokolle."
    },
    "question": {
      "en": "Security wants built-in alerts when too many permanent administrators exist or when privileged roles are assigned outside PIM. Which capability should you use?",
      "de": "Die Sicherheit möchte integrierte Warnungen, wenn zu viele permanente Administratoren existieren oder privilegierte Rollen außerhalb von PIM zugewiesen werden. Welche Funktion sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "PIM alerts",
          "de": "PIM-Warnungen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Access packages",
          "de": "Zugriffspakete"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Application Proxy",
          "de": "Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "PIM alerts detect risky or nonstandard privileged access patterns, including permanent assignments and assignments made outside the governed workflow. The other options do not provide privileged access alerts.",
      "de": "PIM-Warnungen erkennen riskante oder ungewöhnliche Muster beim privilegierten Zugriff, einschließlich permanenter Zuweisungen und Zuweisungen außerhalb des geregelten Workflows. Die anderen Optionen liefern keine Warnungen für privilegierten Zugriff."
    },
    "hint": {
      "en": "You need privileged access monitoring, not access packaging.",
      "de": "Sie benötigen Überwachung privilegierten Zugriffs und kein Paketieren von Zugriff."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
  },
  {
    "id": "sc300-197",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The group grants highly sensitive access to production systems.",
      "de": "Die Gruppe gewährt hochsensiblen Zugriff auf Produktionssysteme."
    },
    "question": {
      "en": "Your on-call engineers should become members of a privileged access group only during their shift, with approval and automatic expiration. Which feature fits best?",
      "de": "Ihre Bereitschaftsingenieure sollen nur während ihrer Schicht Mitglieder einer privilegierten Zugriffsgruppe werden, mit Genehmigung und automatischem Ablauf. Welche Funktion passt am besten?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "PIM for Groups",
          "de": "PIM für Gruppen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A static security group",
          "de": "Eine statische Sicherheitsgruppe"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A dynamic Microsoft 365 group",
          "de": "Eine dynamische Microsoft 365-Gruppe"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A named location",
          "de": "Ein benannter Standort"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "PIM for Groups provides eligible, time-bound, and auditable membership or ownership in privileged access groups. Static or dynamic groups do not provide the same governed activation workflow.",
      "de": "PIM für Gruppen bietet berechtigte, zeitgebundene und nachvollziehbare Mitgliedschaft oder Besitz in privilegierten Zugriffsgruppen. Statische oder dynamische Gruppen bieten keinen vergleichbaren gesteuerten Aktivierungsworkflow."
    },
    "hint": {
      "en": "This is just-in-time governance for group membership.",
      "de": "Dies ist Just-in-Time-Governance für Gruppenmitgliedschaft."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/concept-pim-for-groups"
  },
  {
    "id": "sc300-198",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which attribute commonly triggers a joiner workflow relative to a new employee start date?",
      "de": "Welches Attribut löst üblicherweise einen Joiner-Workflow relativ zum Eintrittsdatum eines neuen Mitarbeiters aus?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "employeeHireDateTime",
          "de": "employeeHireDateTime"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "usageLocation",
          "de": "usageLocation"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "mailNickname",
          "de": "mailNickname"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "proxyAddresses",
          "de": "proxyAddresses"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Joiner workflows are commonly scheduled around employeeHireDateTime so onboarding tasks occur at the correct time relative to the start date. The other attributes do not represent the employee start date.",
      "de": "Joiner-Workflows werden üblicherweise um employeeHireDateTime herum geplant, damit Onboardingaufgaben zum richtigen Zeitpunkt relativ zum Startdatum ausgeführt werden. Die anderen Attribute repräsentieren nicht das Eintrittsdatum des Mitarbeiters."
    },
    "hint": {
      "en": "Look for the attribute that explicitly stores the hire date and time.",
      "de": "Suchen Sie nach dem Attribut, das explizit das Einstellungsdatum und die Uhrzeit speichert."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflows-overview"
  },
  {
    "id": "sc300-199",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Department changes determine which groups and apps employees should keep.",
      "de": "Änderungen der Abteilung bestimmen, welche Gruppen und Apps Mitarbeiter behalten sollen."
    },
    "question": {
      "en": "HR updates the Department attribute whenever employees move internally. Which lifecycle workflow trigger model should you use to automate access changes?",
      "de": "HR aktualisiert das Attribut Department immer dann, wenn Mitarbeiter intern wechseln. Welches Triggermodell für Lifecycle-Workflows sollten Sie verwenden, um Zugriffsänderungen zu automatisieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Attribute change trigger",
          "de": "Trigger bei Attributänderung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Only a yearly access review",
          "de": "Nur eine jährliche Zugriffsüberprüfung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named location trigger",
          "de": "Trigger für benannten Standort"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "SAML token trigger",
          "de": "SAML-Token-Trigger"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Mover scenarios align with attribute change triggers because the workflow should react when HR-driven identity data changes. The other options are not event-driven lifecycle triggers for internal moves.",
      "de": "Mover-Szenarien passen zu Triggern bei Attributänderungen, weil der Workflow reagieren soll, wenn sich HR-gesteuerte Identitätsdaten ändern. Die anderen Optionen sind keine ereignisgesteuerten Lifecycle-Trigger für interne Wechsel."
    },
    "hint": {
      "en": "A mover workflow should react to identity data changes.",
      "de": "Ein Mover-Workflow sollte auf Änderungen an Identitätsdaten reagieren."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflows-overview"
  },
  {
    "id": "sc300-200",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which attribute commonly drives leaver workflows based on a planned departure date?",
      "de": "Welches Attribut steuert üblicherweise Leaver-Workflows auf Basis eines geplanten Austrittsdatums?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "employeeLeaveDateTime",
          "de": "employeeLeaveDateTime"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "preferredLanguage",
          "de": "preferredLanguage"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "mailNickname",
          "de": "mailNickname"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "signInActivity",
          "de": "signInActivity"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Leaver workflows are commonly timed around employeeLeaveDateTime so offboarding tasks can occur before, on, or after the planned departure. The other attributes do not represent the scheduled leave time.",
      "de": "Leaver-Workflows werden üblicherweise um employeeLeaveDateTime herum geplant, sodass Offboardingaufgaben vor, am oder nach dem geplanten Austritt stattfinden können. Die anderen Attribute repräsentieren nicht den geplanten Austrittszeitpunkt."
    },
    "hint": {
      "en": "Use the attribute that stores the departure date and time.",
      "de": "Verwenden Sie das Attribut, das Austrittsdatum und -zeit speichert."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflows-overview"
  },
  {
    "id": "sc300-201",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "HR onboarding needs to trigger an external badge creation system.",
      "de": "Das HR-Onboarding muss ein externes System zur Ausweiserstellung auslösen."
    },
    "question": {
      "en": "A lifecycle workflow must call a custom business process that exists in another system. Which integration option should you use?",
      "de": "Ein Lifecycle-Workflow muss einen benutzerdefinierten Geschäftsprozess aufrufen, der in einem anderen System existiert. Welche Integrationsoption sollten Sie verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A custom task extension backed by Logic Apps",
          "de": "Eine benutzerdefinierte Aufgabenerweiterung mit Logic Apps"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A named location",
          "de": "Einen benannten Standort"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A mail-enabled security group",
          "de": "Eine E-Mail-aktivierte Sicherheitsgruppe"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A token lifetime policy",
          "de": "Eine Tokenlebensdauerrichtlinie"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Custom task extensions let lifecycle workflows call external processes by integrating with Logic Apps. The other options do not extend workflow execution into external systems.",
      "de": "Benutzerdefinierte Aufgabenerweiterungen ermöglichen es Lifecycle-Workflows, externe Prozesse durch Integration mit Logic Apps aufzurufen. Die anderen Optionen erweitern die Workflowausführung nicht in externe Systeme."
    },
    "hint": {
      "en": "This is about extending lifecycle automation beyond built-in tasks.",
      "de": "Hier geht es darum, die Lifecycle-Automatisierung über integrierte Aufgaben hinaus zu erweitern."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/trigger-custom-task"
  },
  {
    "id": "sc300-202",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The legal department wants evidence that external users accepted the latest agreement.",
      "de": "Die Rechtsabteilung möchte Nachweise darüber, dass externe Benutzer die aktuelle Vereinbarung akzeptiert haben."
    },
    "question": {
      "en": "Guest users must accept legal text before they can access selected apps. Which combination should you configure?",
      "de": "Gastbenutzer müssen rechtliche Texte akzeptieren, bevor sie auf ausgewählte Apps zugreifen können. Welche Kombination sollten Sie konfigurieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Terms of Use enforced by Conditional Access",
          "de": "Nutzungsbedingungen, erzwungen durch bedingten Zugriff"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Access reviews with auto-apply",
          "de": "Zugriffsüberprüfungen mit automatischer Anwendung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Named locations with trusted IPs",
          "de": "Benannte Standorte mit vertrauenswürdigen IPs"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "PIM alerts",
          "de": "PIM-Warnungen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Terms of Use capture legal acceptance, and Conditional Access can require that acceptance before app access is granted. Access reviews confirm ongoing access need, but they do not capture legal acceptance at sign-in.",
      "de": "Nutzungsbedingungen erfassen die rechtliche Zustimmung, und der bedingte Zugriff kann diese Zustimmung verlangen, bevor App-Zugriff gewährt wird. Zugriffsüberprüfungen bestätigen den fortlaufenden Zugriffsbedarf, erfassen aber keine rechtliche Zustimmung bei der Anmeldung."
    },
    "hint": {
      "en": "The requirement is legal acceptance at access time.",
      "de": "Die Anforderung ist die rechtliche Zustimmung zum Zeitpunkt des Zugriffs."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/terms-of-use"
  },
  {
    "id": "sc300-203",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Where can an administrator get an at-a-glance view of Identity Governance posture, recommendations, and key activities?",
      "de": "Wo kann ein Administrator einen Überblick über den Status von Identity Governance, Empfehlungen und wichtige Aktivitäten erhalten?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "The Microsoft Entra ID Governance dashboard",
          "de": "Das Dashboard für Microsoft Entra ID Governance"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "The SAML signing certificate blade",
          "de": "Das Blatt für das SAML-Signaturzertifikat"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "The named locations list only",
          "de": "Nur in der Liste der benannten Standorte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "The Application Proxy connector service",
          "de": "Im Connector-Dienst von Application Proxy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The ID Governance dashboard is the at-a-glance view for governance recommendations, activities, and posture. The other options are narrow feature areas and do not provide governance-wide insight.",
      "de": "Das ID-Governance-Dashboard ist die Übersicht für Governance-Empfehlungen, Aktivitäten und Status. Die anderen Optionen sind eng begrenzte Funktionsbereiche und bieten keine mandantenweite Governance-Übersicht."
    },
    "hint": {
      "en": "Use the overview surface for governance, not an individual feature blade.",
      "de": "Verwenden Sie die Übersichtsoberfläche für Governance und nicht ein einzelnes Funktionsblatt."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/identity-governance-overview"
  },
  {
    "id": "sc300-204",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The review occurred last quarter and the evidence must be exported for compliance.",
      "de": "Die Überprüfung fand im letzten Quartal statt und die Nachweise müssen für die Compliance exportiert werden."
    },
    "question": {
      "en": "An auditor asks for evidence of who approved or denied access in a completed review. What should you export?",
      "de": "Ein Auditor verlangt Nachweise darüber, wer in einer abgeschlossenen Überprüfung Zugriff genehmigt oder abgelehnt hat. Was sollten Sie exportieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Access review history",
          "de": "Verlauf der Zugriffsüberprüfung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Named locations",
          "de": "Benannte Standorte"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "MFA registration details",
          "de": "MFA-Registrierungsdetails"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Application Proxy connector logs",
          "de": "Application-Proxy-Connectorprotokolle"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Access review history contains the reviewer decisions and outcomes needed for audit evidence. The other artifacts do not show governance decisions from completed reviews.",
      "de": "Der Verlauf der Zugriffsüberprüfung enthält die Prüferentscheidungen und Ergebnisse, die als Auditnachweis benötigt werden. Die anderen Artefakte zeigen keine Governance-Entscheidungen aus abgeschlossenen Überprüfungen."
    },
    "hint": {
      "en": "The auditor wants the review decision trail.",
      "de": "Der Auditor möchte den Entscheidungspfad der Überprüfung sehen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
  },
  {
    "id": "sc300-205",
    "type": "multiple",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which role scopes can Privileged Identity Management manage? (Choose all that apply.)",
      "de": "Welche Rollenbereiche kann Privileged Identity Management verwalten? (Wählen Sie alle zutreffenden Antworten aus.)"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Entra roles",
          "de": "Microsoft Entra-Rollen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Azure resource roles",
          "de": "Azure-Ressourcenrollen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "SharePoint site visitor roles",
          "de": "Besucherrollen für SharePoint-Websites"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Named location definitions",
          "de": "Definitionen benannter Standorte"
        }
      }
    ],
    "correct": [
      "A",
      "B"
    ],
    "explanation": {
      "en": "PIM manages privileged access for Microsoft Entra roles and Azure resource roles. SharePoint visitor roles and named locations are not PIM role scopes.",
      "de": "PIM verwaltet privilegierten Zugriff für Microsoft Entra-Rollen und Azure-Ressourcenrollen. SharePoint-Besucherrollen und benannte Standorte sind keine Rollenbereiche von PIM."
    },
    "hint": {
      "en": "Think of directory roles and Azure RBAC roles.",
      "de": "Denken Sie an Verzeichnisrollen und Azure-RBAC-Rollen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
  },
  {
    "id": "sc300-206",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Procurement wants tighter partner governance after a recent third-party review.",
      "de": "Der Einkauf möchte nach einer aktuellen Drittanbieterprüfung strengere Partnergovernance."
    },
    "question": {
      "en": "An access package should be visible only to guest users from approved partner tenants, not to internal employees and not to arbitrary external email addresses. Which request setting should you choose?",
      "de": "Ein Zugriffspaket soll nur für Gastbenutzer aus genehmigten Partnertenants sichtbar sein, nicht für interne Mitarbeiter und nicht für beliebige externe E-Mail-Adressen. Welche Anforderungseinstellung sollten Sie wählen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "For users not in your directory, then Specific connected organizations",
          "de": "Für Benutzer, die nicht in Ihrem Verzeichnis sind, dann Bestimmte verbundene Organisationen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "All members in your directory",
          "de": "Alle Mitglieder in Ihrem Verzeichnis"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "None, administrator direct assignment only",
          "de": "Keine, nur direkte Zuweisung durch Administratoren"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Any external user with an email address",
          "de": "Jeder externe Benutzer mit einer E-Mail-Adresse"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Selecting users not in your directory and limiting them to specific connected organizations lets only approved partner tenants request the package. The other choices either target internal users, disable requests, or allow unapproved externals.",
      "de": "Wenn Sie Benutzer auswählen, die nicht in Ihrem Verzeichnis sind, und diese auf bestimmte verbundene Organisationen begrenzen, können nur genehmigte Partnertenants das Paket anfordern. Die anderen Optionen richten sich an interne Benutzer, deaktivieren Anforderungen oder erlauben nicht genehmigte Externe."
    },
    "hint": {
      "en": "The key is scoping external requesters to approved partner organizations.",
      "de": "Entscheidend ist die Begrenzung externer Anforderer auf genehmigte Partnerorganisationen."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy"
  },
  {
    "id": "sc300-207",
    "type": "single",
    "domain": {
      "en": "Plan and Implement Identity Governance",
      "de": "Identity Governance planen und implementieren"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The governance team wants time-bound project access to end automatically.",
      "de": "Das Governance-Team möchte, dass zeitgebundener Projektzugriff automatisch endet."
    },
    "question": {
      "en": "An access package assignment expires tonight. What should happen to the access granted through that package?",
      "de": "Eine Zugriffspaketzuweisung läuft heute Nacht ab. Was sollte mit dem Zugriff geschehen, der über dieses Paket gewährt wurde?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Access granted through the package is removed unless extended or renewed",
          "de": "Über das Paket gewährter Zugriff wird entfernt, sofern er nicht verlängert oder erneuert wird"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "The access becomes permanent automatically",
          "de": "Der Zugriff wird automatisch dauerhaft"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Only the SharePoint access is removed",
          "de": "Nur der SharePoint-Zugriff wird entfernt"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "The package converts into a named location",
          "de": "Das Paket wird in einen benannten Standort umgewandelt"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Access package assignments are lifecycle-governed. When they expire, the access granted through the package is removed unless policy allows and grants an extension or renewal. The other options are incorrect.",
      "de": "Zugriffspaketzuweisungen unterliegen einer Lifecycle-Governance. Wenn sie ablaufen, wird der über das Paket gewährte Zugriff entfernt, sofern die Richtlinie keine Verlängerung oder Erneuerung zulässt und gewährt. Die anderen Optionen sind falsch."
    },
    "hint": {
      "en": "Access packages are meant to avoid forgotten permanent access.",
      "de": "Zugriffspakete sollen vergessenen dauerhaften Zugriff vermeiden."
    },
    "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy"
  }
];
  if (window.ExamData && window.ExamData['sc-300']) {
    window.ExamData['sc-300'].questions = window.ExamData['sc-300'].questions.concat(extra);
  }
})();
