// SC-100 Additional Questions (Part 3)
(function() {
  var extra = [
{
  id: 'sc100-221',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'After an acquisition, Contoso must give Azure, Microsoft 365, AWS, and Google Cloud administrators access to shared services. Leadership requires every sensitive request to be evaluated by identity, device state, and risk, while also removing standing privilege wherever possible.', de: 'Nach einer Übernahme muss Contoso Azure-, Microsoft-365-, AWS- und Google-Cloud-Administratoren Zugriff auf gemeinsame Dienste gewähren. Die Leitung verlangt, dass jede sensible Anforderung anhand von Identität, Gerätezustand und Risiko bewertet wird und gleichzeitig dauerhafte Privilegien nach Möglichkeit entfallen.' },
  question: { en: 'Which architecture should guide the access design?', de: 'Welche Architektur sollte das Zugriffsdesign leiten?' },
  options: [
    { id: 'A', text: { en: 'Adopt a Zero Trust model with Conditional Access and just-in-time privilege for administrative roles', de: 'Ein Zero-Trust-Modell mit Conditional Access und Just-in-Time-Privilegien für administrative Rollen einführen' } },
    { id: 'B', text: { en: 'Trust all requests that arrive through the corporate WAN and keep permanent admin roles', de: 'Allen Anforderungen vertrauen, die über das Unternehmens-WAN kommen, und dauerhafte Administratorrollen beibehalten' } },
    { id: 'C', text: { en: 'Create shared local administrator accounts for each platform team', de: 'Gemeinsam genutzte lokale Administratorkonten für jedes Plattformteam erstellen' } },
    { id: 'D', text: { en: 'Bypass device and risk evaluation for partner administrators to accelerate onboarding', de: 'Die Bewertung von Gerät und Risiko für Partneradministratoren überspringen, um das Onboarding zu beschleunigen' } }
  ],
  correct: ['A'],
  explanation: { en: 'Zero Trust requires explicit verification for every request and pairs that with least privilege. Conditional Access evaluates context such as user, device, and risk, while just-in-time elevation reduces standing administrative exposure.', de: 'Zero Trust verlangt eine explizite Verifizierung jeder Anforderung und kombiniert dies mit geringsten Rechten. Conditional Access bewertet Kontext wie Benutzer, Gerät und Risiko, während Just-in-Time-Erhöhungen dauerhafte administrative Angriffsfläche reduzieren.' },
  hint: { en: 'Choose the option that combines context-aware verification with removal of standing privilege.', de: 'Wählen Sie die Option, die kontextabhängige Verifizierung mit dem Entfernen dauerhafter Privilegien kombiniert.' },
  reference: 'https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview'
},
{
  id: 'sc100-222',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'What is the primary value of the Microsoft Cybersecurity Reference Architecture during solution design?', de: 'Was ist der wichtigste Nutzen der Microsoft Cybersecurity Reference Architecture während des Lösungsdesigns?' },
  options: [
    { id: 'A', text: { en: 'It maps business scenarios to security capabilities and exposes architectural gaps', de: 'Sie ordnet Geschäftsszenarien Sicherheitsfunktionen zu und macht Architekturlücken sichtbar' } },
    { id: 'B', text: { en: 'It replaces threat modeling for new cloud applications', de: 'Sie ersetzt die Bedrohungsmodellierung für neue Cloudanwendungen' } },
    { id: 'C', text: { en: 'It calculates licensing costs for Microsoft security products', de: 'Sie berechnet Lizenzkosten für Microsoft-Sicherheitsprodukte' } },
    { id: 'D', text: { en: 'It automatically deploys Azure Policy assignments', de: 'Sie stellt Azure-Policy-Zuweisungen automatisch bereit' } }
  ],
  correct: ['A'],
  explanation: { en: 'MCRA is a reference architecture that helps architects connect business requirements to security capabilities across identity, devices, applications, data, and infrastructure. It is especially useful for finding control gaps and integration points early.', de: 'Die MCRA ist eine Referenzarchitektur, die Architekten hilft, geschäftliche Anforderungen mit Sicherheitsfunktionen über Identität, Geräte, Anwendungen, Daten und Infrastruktur hinweg zu verbinden. Sie ist besonders nützlich, um Kontrolllücken und Integrationspunkte früh zu erkennen.' },
  hint: { en: 'Think of MCRA as a design blueprint, not a deployment engine.', de: 'Betrachten Sie die MCRA als Design-Blaupause und nicht als Bereitstellungs-Engine.' },
  reference: 'https://learn.microsoft.com/en-us/security/adoption/mcra'
},
{
  id: 'sc100-223',
  type: 'multiple',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: null,
  question: { en: 'Which TWO practices best implement policy as code for Azure landing zones?', de: 'Welche ZWEI Praktiken setzen Policy as Code für Azure-Landing-Zones am besten um?' },
  options: [
    { id: 'A', text: { en: 'Store Azure Policy definitions and initiatives in version control with the infrastructure code', de: 'Azure-Policy-Definitionen und Initiativen zusammen mit dem Infrastrukturcode in der Versionsverwaltung speichern' } },
    { id: 'B', text: { en: 'Evaluate policy compliance in CI or CD pipelines before production deployment', de: 'Die Richtlinienkonformität in CI- oder CD-Pipelines vor der Produktionsbereitstellung auswerten' } },
    { id: 'C', text: { en: 'Rely on manual subscription reviews after teams deploy resources', de: 'Sich auf manuelle Prüfungen von Abonnements verlassen, nachdem Teams Ressourcen bereitgestellt haben' } },
    { id: 'D', text: { en: 'Use permanent global exemptions so deployments are never blocked', de: 'Dauerhafte globale Ausnahmen verwenden, damit Bereitstellungen nie blockiert werden' } }
  ],
  correct: ['A', 'B'],
  explanation: { en: 'Policy as code means governance artifacts are managed like software and validated before release. Version control plus pipeline enforcement reduces drift and moves security decisions earlier in the delivery lifecycle.', de: 'Policy as Code bedeutet, dass Governance-Artefakte wie Software verwaltet und vor der Freigabe validiert werden. Versionsverwaltung plus Pipeline-Durchsetzung reduziert Drift und verlagert Sicherheitsentscheidungen früher in den Bereitstellungszyklus.' },
  hint: { en: 'Pick the answers that treat governance rules like deployable code.', de: 'Wählen Sie die Antworten, die Governance-Regeln wie bereitstellbaren Code behandeln.' },
  reference: 'https://learn.microsoft.com/en-us/azure/governance/policy/overview'
},
{
  id: 'sc100-224',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'At Litware, Inc., a global enterprise is rolling out hundreds of Azure subscriptions. The platform team must enforce a common baseline, deny unapproved regions, and ensure activity logs and diagnostics are sent to central monitoring with minimal manual effort.', de: 'Litware, Inc. führt Hunderte von Azure-Abonnements ein. Das Plattformteam muss eine gemeinsame Basis erzwingen, nicht genehmigte Regionen verweigern und sicherstellen, dass Aktivitätsprotokolle und Diagnosedaten mit minimalem manuellem Aufwand an ein zentrales Monitoring gesendet werden.' },
  question: { en: 'Which design should the architect recommend?', de: 'Welches Design sollte der Architekt empfehlen?' },
  options: [
    { id: 'A', text: { en: 'Assign policy initiatives and required diagnostic settings at management group scope', de: 'Policy-Initiativen und erforderliche Diagnoseeinstellungen im Bereich von Verwaltungsgruppen zuweisen' } },
    { id: 'B', text: { en: 'Let each subscription owner configure controls after workload deployment', de: 'Jeden Abonnementbesitzer Kontrollen nach der Workload-Bereitstellung konfigurieren lassen' } },
    { id: 'C', text: { en: 'Use naming conventions and quarterly audits as the main control mechanism', de: 'Benennungskonventionen und vierteljährliche Audits als wichtigsten Kontrollmechanismus verwenden' } },
    { id: 'D', text: { en: 'Require local scripts in every subscription to recreate the same baseline', de: 'Lokale Skripts in jedem Abonnement verlangen, um dieselbe Basis nachzubilden' } }
  ],
  correct: ['A'],
  explanation: { en: 'Management groups are the enterprise-scale control point above subscriptions. Assigning initiatives and diagnostic requirements there enforces guardrails consistently and reduces operational drift across a large estate.', de: 'Verwaltungsgruppen sind der Enterprise-Scale-Steuerungspunkt oberhalb von Abonnements. Wenn dort Initiativen und Diagnoseanforderungen zugewiesen werden, werden Leitplanken konsistent erzwungen und betrieblicher Drift in einer großen Umgebung reduziert.' },
  hint: { en: 'Look for the Azure scope designed for cross-subscription governance.', de: 'Suchen Sie nach dem Azure-Bereich, der für abonnementübergreifende Governance vorgesehen ist.' },
  reference: 'https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security'
},
{
  id: 'sc100-225',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: { en: 'At Humongous Insurance, a new claims platform receives documents from partners through a SaaS portal, stores them in Azure Storage, and triggers serverless processing. Security architects must identify where trust shifts between external users, the portal, storage, and downstream processing components.', de: 'Bei Humongous Insurance: eine neue Schadensplattform empfängt Dokumente von Partnern über ein SaaS-Portal, speichert sie in Azure Storage und löst serverlose Verarbeitung aus. Sicherheitsarchitekten müssen erkennen, wo sich Vertrauen zwischen externen Benutzern, dem Portal, dem Speicher und nachgelagerten Verarbeitungskomponenten verändert.' },
  question: { en: 'Which threat-modeling artifact is most important to create first?', de: 'Welches Artefakt der Bedrohungsmodellierung sollte zuerst erstellt werden?' },
  options: [
    { id: 'A', text: { en: 'A data flow diagram that shows components, data paths, and trust boundaries', de: 'Ein Datenflussdiagramm, das Komponenten, Datenpfade und Vertrauensgrenzen zeigt' } },
    { id: 'B', text: { en: 'A list of weekend support contacts', de: 'Eine Liste der Wochenend-Supportkontakte' } },
    { id: 'C', text: { en: 'A procurement worksheet for future tooling', de: 'Ein Beschaffungsblatt für zukünftige Werkzeuge' } },
    { id: 'D', text: { en: 'A post-deployment penetration test schedule only', de: 'Ausschließlich ein Zeitplan für Penetrationstests nach der Bereitstellung' } }
  ],
  correct: ['A'],
  explanation: { en: 'Threat modeling starts with understanding how the system works. A data flow diagram with trust boundaries lets the team reason about spoofing, tampering, injection paths, and where mitigations should be placed before implementation decisions are fixed.', de: 'Bedrohungsmodellierung beginnt damit, zu verstehen, wie das System funktioniert. Ein Datenflussdiagramm mit Vertrauensgrenzen ermöglicht es dem Team, über Spoofing, Manipulation, Injektionspfade und die Platzierung von Gegenmaßnahmen nachzudenken, bevor Implementierungsentscheidungen feststehen.' },
  hint: { en: 'Choose the artifact that reveals where trust changes inside the solution.', de: 'Wählen Sie das Artefakt, das zeigt, wo sich Vertrauen innerhalb der Lösung ändert.' },
  reference: 'https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool'
},
{
  id: 'sc100-226',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'easy',
  scenario: null,
  question: { en: 'Which Azure governance construct sits above subscriptions and is designed to apply policy and RBAC at scale?', de: 'Welches Azure-Governance-Konstrukt befindet sich oberhalb von Abonnements und ist dafür ausgelegt, Richtlinien und RBAC im großen Maßstab anzuwenden?' },
  options: [
    { id: 'A', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } },
    { id: 'B', text: { en: 'Resource groups', de: 'Ressourcengruppen' } },
    { id: 'C', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } },
    { id: 'D', text: { en: 'Storage accounts', de: 'Speicherkonten' } }
  ],
  correct: ['A'],
  explanation: { en: 'Management groups provide hierarchical governance above subscriptions. Architects use them to apply policy, RBAC, and standards consistently across many landing zones and business units.', de: 'Verwaltungsgruppen bieten hierarchische Governance oberhalb von Abonnements. Architekten verwenden sie, um Richtlinien, RBAC und Standards konsistent über viele Landing Zones und Geschäftsbereiche hinweg anzuwenden.' },
  hint: { en: 'Think about the Azure scope built specifically for enterprise governance.', de: 'Denken Sie an den Azure-Bereich, der speziell für Unternehmens-Governance entwickelt wurde.' },
  reference: 'https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security'
},
{
  id: 'sc100-227',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'At Woodgrove Bank, a ransomware exercise showed that production administrators could delete backup artifacts and the automation used for recovery. Executives now require recovery of Tier-0 services even if the production tenant and subscriptions are compromised.', de: 'Bei Woodgrove Bank: eine Ransomware-Übung zeigte, dass Produktionsadministratoren Backup-Artefakte und die für die Wiederherstellung verwendete Automatisierung löschen konnten. Die Geschäftsleitung verlangt nun die Wiederherstellung von Tier-0-Diensten, selbst wenn der Produktionsmandant und die Abonnements kompromittiert werden.' },
  question: { en: 'Which recovery architecture best meets the requirement?', de: 'Welche Wiederherstellungsarchitektur erfüllt die Anforderung am besten?' },
  options: [
    { id: 'A', text: { en: 'Use immutable backups, isolated recovery identities, and a separate recovery environment', de: 'Unveränderliche Sicherungen, isolierte Wiederherstellungsidentitäten und eine separate Recovery-Umgebung verwenden' } },
    { id: 'B', text: { en: 'Keep backups and recovery scripts in the same subscriptions as production workloads', de: 'Backups und Wiederherstellungsskripte in denselben Abonnements wie Produktionsworkloads aufbewahren' } },
    { id: 'C', text: { en: 'Rely on VM snapshots only and let production admins manage restore operations', de: 'Sich nur auf VM-Snapshots verlassen und Produktionsadministratoren Wiederherstellungen verwalten lassen' } },
    { id: 'D', text: { en: 'Export backups daily to a standard network share in the production trust path', de: 'Backups täglich auf eine Standard-Netzwerkfreigabe im Vertrauenspfad der Produktion exportieren' } }
  ],
  correct: ['A'],
  explanation: { en: 'Recovery must survive the same compromise that affects production. Immutable backups, separate recovery administration, and an isolated recovery environment reduce the chance that attackers can corrupt both production and recovery capabilities.', de: 'Die Wiederherstellung muss denselben Angriff überstehen, der die Produktion trifft. Unveränderliche Sicherungen, getrennte Recovery-Administration und eine isolierte Recovery-Umgebung verringern die Wahrscheinlichkeit, dass Angreifer sowohl Produktions- als auch Wiederherstellungsfunktionen beschädigen können.' },
  hint: { en: 'Prefer the design that separates recovery trust from production trust.', de: 'Bevorzugen Sie das Design, das Recovery-Vertrauen vom Produktionsvertrauen trennt.' },
  reference: 'https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept'
},
{
  id: 'sc100-228',
  type: 'multiple',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: null,
  question: { en: 'Which TWO design decisions best improve multicloud posture visibility across Azure and Amazon Web Services?', de: 'Welche ZWEI Designentscheidungen verbessern die Transparenz der Multicloud-Sicherheitslage über Azure und Amazon Web Services hinweg am besten?' },
  options: [
    { id: 'A', text: { en: 'Connect AWS accounts to Defender for Cloud CSPM for centralized posture assessment', de: 'AWS-Konten mit Defender for Cloud CSPM verbinden, um eine zentrale Bewertung der Sicherheitslage zu erhalten' } },
    { id: 'B', text: { en: 'Onboard non-Azure servers and Kubernetes resources through Azure Arc where appropriate', de: 'Nicht-Azure-Server und Kubernetes-Ressourcen bei Bedarf über Azure Arc einbinden' } },
    { id: 'C', text: { en: 'Rely on quarterly spreadsheets from each cloud operations team', de: 'Sich auf vierteljährliche Tabellen der jeweiligen Cloud-Betriebsteams verlassen' } },
    { id: 'D', text: { en: 'Use separate unmanaged administrator accounts in each cloud with no shared inventory', de: 'Separate nicht verwaltete Administratorkonten in jeder Cloud ohne gemeinsames Inventar verwenden' } }
  ],
  correct: ['A', 'B'],
  explanation: { en: 'A centralized posture program needs connectors and inventory across providers. Defender for Cloud CSPM and Azure Arc extend visibility, recommendations, and governance coverage beyond native Azure resources.', de: 'Ein zentrales Programm zur Sicherheitslage benötigt Konnektoren und Inventar über Anbieter hinweg. Defender for Cloud CSPM und Azure Arc erweitern Transparenz, Empfehlungen und Governance-Abdeckung über native Azure-Ressourcen hinaus.' },
  hint: { en: 'Choose the options that create shared visibility instead of manual reporting.', de: 'Wählen Sie die Optionen, die gemeinsame Transparenz statt manueller Berichterstellung schaffen.' },
  reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-cloud-security-posture-management'
},
{
  id: 'sc100-229',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'Which design most effectively removes long-lived Azure credentials from deployment pipelines?', de: 'Welches Design entfernt langlebige Azure-Anmeldeinformationen am effektivsten aus Bereitstellungspipelines?' },
  options: [
    { id: 'A', text: { en: 'Use workload identity federation between the CI system and Microsoft Entra ID', de: 'Workload-Identity-Federation zwischen dem CI-System und Microsoft Entra ID verwenden' } },
    { id: 'B', text: { en: 'Store service principal secrets in repository variables and rotate them yearly', de: 'Geheimnisse von Dienstprinzipalen in Repository-Variablen speichern und jährlich rotieren' } },
    { id: 'C', text: { en: 'Reuse one personal access token across all deployment pipelines', de: 'Ein persönliches Zugriffstoken über alle Bereitstellungspipelines hinweg wiederverwenden' } },
    { id: 'D', text: { en: 'Run all deployments manually from a privileged administrator workstation', de: 'Alle Bereitstellungen manuell von einer privilegierten Administratorarbeitsstation ausführen' } }
  ],
  correct: ['A'],
  explanation: { en: 'Workload identity federation lets Azure trust short-lived tokens from the external pipeline identity provider. That removes the need to store long-lived secrets in pipeline systems and reduces credential theft risk.', de: 'Mit Workload-Identity-Federation kann Azure kurzlebigen Token eines externen Pipeline-Identitätsanbieters vertrauen. Dadurch entfällt die Notwendigkeit, langlebige Geheimnisse in Pipeline-Systemen zu speichern, und das Risiko eines Diebstahls von Anmeldeinformationen sinkt.' },
  hint: { en: 'The best answer eliminates stored secrets instead of managing them better.', de: 'Die beste Antwort beseitigt gespeicherte Geheimnisse, anstatt sie nur besser zu verwalten.' },
  reference: 'https://learn.microsoft.com/en-us/entra/workload-id/workload-identities-federation'
},
{
  id: 'sc100-230',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: { en: 'At Contoso, Ltd., an audit team asks how your Azure landing zone baseline aligns with NIST SP 800-53 and CIS controls. They want a Microsoft-aligned starting point for discussing control intent and mappings, not a custom spreadsheet.', de: 'Bei Contoso, Ltd.: ein Auditteam fragt, wie Ihre Azure-Landing-Zone-Basis mit NIST SP 800-53 und CIS-Kontrollen übereinstimmt. Es möchte einen Microsoft-orientierten Ausgangspunkt für die Diskussion von Kontrollabsicht und Zuordnungen und keine benutzerdefinierte Tabelle.' },
  question: { en: 'Which resource should the architect use first?', de: 'Welche Ressource sollte der Architekt zuerst verwenden?' },
  options: [
    { id: 'A', text: { en: 'Microsoft Cloud Security Benchmark mappings', de: 'Zuordnungen des Microsoft Cloud Security Benchmark' } },
    { id: 'B', text: { en: 'Azure pricing calculator exports', de: 'Exporte des Azure-Preisrechners' } },
    { id: 'C', text: { en: 'A list of Azure region pairs', de: 'Eine Liste von Azure-Region-Paaren' } },
    { id: 'D', text: { en: 'Service Health notifications', de: 'Service-Health-Benachrichtigungen' } }
  ],
  correct: ['A'],
  explanation: { en: 'The Microsoft Cloud Security Benchmark provides a structured Azure security baseline and includes mappings to common external frameworks. It is the right place to start when you need Microsoft-aligned control language for architecture and audit conversations.', de: 'Der Microsoft Cloud Security Benchmark bietet eine strukturierte Azure-Sicherheitsbasis und enthält Zuordnungen zu gängigen externen Frameworks. Er ist der richtige Ausgangspunkt, wenn Sie für Architektur- und Auditgespräche an Microsoft ausgerichtete Kontrollsprache benötigen.' },
  hint: { en: 'Use the Microsoft baseline that already relates cloud controls to external frameworks.', de: 'Verwenden Sie die Microsoft-Basis, die Cloud-Kontrollen bereits mit externen Frameworks verknüpft.' },
  reference: 'https://learn.microsoft.com/en-us/security/benchmark/azure/overview'
},
{
  id: 'sc100-231',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'At Litware, Inc., a security operations team manages both Microsoft 365 and Azure Tier-0 services. The design must require hardened admin devices, strong authentication, and isolated admin sessions for high-impact roles.', de: 'Das Sicherheitsteam von Litware, Inc. verwaltet sowohl Microsoft 365 als auch Azure-Tier-0-Dienste. Das Design muss gehärtete Admin-Geräte, starke Authentifizierung und isolierte Admin-Sitzungen für Rollen mit hoher Auswirkung verlangen.' },
  question: { en: 'Which architecture best meets the requirement?', de: 'Welche Architektur erfüllt die Anforderung am besten?' },
  options: [
    { id: 'A', text: { en: 'Use privileged access workstations with Conditional Access and just-in-time privileged role activation', de: 'Privileged Access Workstations mit Conditional Access und Just-in-Time-Aktivierung privilegierter Rollen verwenden' } },
    { id: 'B', text: { en: 'Allow administrators to use personal devices if they connect through VPN', de: 'Administratoren die Nutzung persönlicher Geräte erlauben, wenn sie sich per VPN verbinden' } },
    { id: 'C', text: { en: 'Share one hardened jump box and one permanent Global Administrator account', de: 'Eine gehärtete Jump-Box und ein dauerhaftes Global-Administrator-Konto gemeinsam nutzen' } },
    { id: 'D', text: { en: 'Skip device checks for Tier-0 roles to avoid operational delays', de: 'Geräteprüfungen für Tier-0-Rollen überspringen, um betriebliche Verzögerungen zu vermeiden' } }
  ],
  correct: ['A'],
  explanation: { en: 'Secured admin workstations reduce exposure from everyday browsing and email, while Conditional Access and just-in-time role activation add verification and least privilege. Together they create a stronger administrative control plane for high-impact roles.', de: 'Abgesicherte Administratorarbeitsstationen verringern die Angriffsfläche durch alltägliches Surfen und E-Mail-Nutzung, während Conditional Access und Just-in-Time-Rollenaktivierung Verifizierung und geringste Rechte hinzufügen. Zusammen schaffen sie eine stärkere administrative Steuerungsebene für Rollen mit hoher Auswirkung.' },
  hint: { en: 'Pick the answer that hardens the admin endpoint and removes standing privilege.', de: 'Wählen Sie die Antwort, die den Admin-Endpunkt härtet und dauerhafte Privilegien entfernt.' },
  reference: 'https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deploy'
},
{
  id: 'sc100-232',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'When should threat modeling occur for a new cloud-native application?', de: 'Wann sollte die Bedrohungsmodellierung für eine neue cloudnative Anwendung erfolgen?' },
  options: [
    { id: 'A', text: { en: 'Early in design and again when the architecture changes materially', de: 'Früh im Design und erneut, wenn sich die Architektur wesentlich ändert' } },
    { id: 'B', text: { en: 'Only after user acceptance testing is complete', de: 'Erst nachdem der Benutzerakzeptanztest abgeschlossen ist' } },
    { id: 'C', text: { en: 'Only after the first production incident occurs', de: 'Erst nachdem der erste Produktionsvorfall eingetreten ist' } },
    { id: 'D', text: { en: 'Only during the final release approval meeting', de: 'Nur während der abschließenden Freigabesitzung' } }
  ],
  correct: ['A'],
  explanation: { en: 'Threat modeling is most valuable before design choices are fixed in code and infrastructure. Repeating it when major architecture changes occur keeps mitigations aligned with the actual system.', de: 'Bedrohungsmodellierung ist am wertvollsten, bevor Designentscheidungen in Code und Infrastruktur festgeschrieben werden. Wenn sie bei größeren Architekturänderungen wiederholt wird, bleiben Gegenmaßnahmen auf das tatsächliche System abgestimmt.' },
  hint: { en: 'The earlier a design risk is found, the cheaper it is to fix.', de: 'Je früher ein Designrisiko gefunden wird, desto günstiger ist seine Behebung.' },
  reference: 'https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool'
},
{
  id: 'sc100-233',
  type: 'multiple',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'Which TWO controls are foundational in an enterprise-scale landing zone security baseline?', de: 'Welche ZWEI Kontrollen sind grundlegend für eine Sicherheitsbasis in Enterprise-Scale-Landing-Zones?' },
  options: [
    { id: 'A', text: { en: 'Centralized logging and diagnostic configuration for platform resources', de: 'Zentrale Protokollierung und Diagnosekonfiguration für Plattformressourcen' } },
    { id: 'B', text: { en: 'Platform-managed policy assignments that enforce mandatory guardrails', de: 'Vom Plattformteam verwaltete Policy-Zuweisungen, die verpflichtende Leitplanken erzwingen' } },
    { id: 'C', text: { en: 'Allowing every subscription owner to disable inherited controls when needed', de: 'Jedem Abonnementbesitzer erlauben, geerbte Kontrollen bei Bedarf zu deaktivieren' } },
    { id: 'D', text: { en: 'Tracking exceptions only through email approval threads', de: 'Ausnahmen nur über E-Mail-Freigabeverläufe nachzuverfolgen' } }
  ],
  correct: ['A', 'B'],
  explanation: { en: 'A landing zone baseline needs preventative guardrails and shared observability. Central diagnostics and platform-enforced policy assignments create a repeatable foundation that scales better than local exceptions and manual approval paths.', de: 'Eine Landing-Zone-Basis benötigt präventive Leitplanken und gemeinsame Beobachtbarkeit. Zentrale Diagnosedaten und vom Plattformteam erzwungene Policy-Zuweisungen schaffen eine wiederholbare Grundlage, die besser skaliert als lokale Ausnahmen und manuelle Freigabepfade.' },
  hint: { en: 'Choose one answer for guardrails and one for shared visibility.', de: 'Wählen Sie eine Antwort für Leitplanken und eine für gemeinsame Transparenz.' },
  reference: 'https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-security-baseline'
},
{
  id: 'sc100-234',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'Litware, Inc. runs workloads in Azure, Amazon Web Services, and on-premises datacenters. Architects want one control plane for inventory and security recommendations instead of separate tools and disconnected reports.', de: 'Litware, Inc. betreibt Workloads in Azure, Amazon Web Services und lokalen Rechenzentren. Architekten möchten eine gemeinsame Steuerungsebene für Inventar und Sicherheitsempfehlungen statt separater Werkzeuge und unverbundener Berichte.' },
  question: { en: 'Which design should you recommend?', de: 'Welches Design sollten Sie empfehlen?' },
  options: [
    { id: 'A', text: { en: 'Use Azure Arc for hybrid resource onboarding and connect external clouds to Defender for Cloud', de: 'Azure Arc für die Einbindung hybrider Ressourcen verwenden und externe Clouds mit Defender for Cloud verbinden' } },
    { id: 'B', text: { en: 'Keep separate posture tools in every environment and compare results manually', de: 'Separate Posture-Werkzeuge in jeder Umgebung beibehalten und Ergebnisse manuell vergleichen' } },
    { id: 'C', text: { en: 'Depend only on network connectivity between datacenters and clouds', de: 'Sich nur auf Netzwerkkonnektivität zwischen Rechenzentren und Clouds verlassen' } },
    { id: 'D', text: { en: 'Use only tagging standards for cross-environment governance', de: 'Nur Tagging-Standards für umgebungsübergreifende Governance verwenden' } }
  ],
  correct: ['A'],
  explanation: { en: 'Azure Arc extends Azure management constructs to non-Azure resources, and Defender for Cloud can aggregate posture insights across connected environments. That combination provides a more unified architecture for hybrid and multicloud governance.', de: 'Azure Arc erweitert Azure-Verwaltungskonstrukte auf Nicht-Azure-Ressourcen, und Defender for Cloud kann Sicherheitslage-Erkenntnisse über verbundene Umgebungen hinweg zusammenführen. Diese Kombination bietet eine stärker vereinheitlichte Architektur für hybride und Multicloud-Governance.' },
  hint: { en: 'Pick the option that creates shared inventory and posture recommendations.', de: 'Wählen Sie die Option, die gemeinsames Inventar und gemeinsame Empfehlungen zur Sicherheitslage schafft.' },
  reference: 'https://learn.microsoft.com/en-us/azure/azure-arc/overview'
},
{
  id: 'sc100-235',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'easy',
  scenario: null,
  question: { en: 'Which resilience principle best supports ransomware recovery for critical cloud services?', de: 'Welches Resilienzprinzip unterstützt die Wiederherstellung kritischer Clouddienste nach Ransomware am besten?' },
  options: [
    { id: 'A', text: { en: 'Separate backup and recovery trust paths from production administration', de: 'Backup- und Recovery-Vertrauenspfade von der Produktionsadministration trennen' } },
    { id: 'B', text: { en: 'Reuse the same privileged identities for production and recovery operations', de: 'Dieselben privilegierten Identitäten für Produktions- und Recovery-Vorgänge wiederverwenden' } },
    { id: 'C', text: { en: 'Store recovery scripts only in the production subscription', de: 'Wiederherstellungsskripte nur im Produktionsabonnement speichern' } },
    { id: 'D', text: { en: 'Postpone recovery testing until a real incident occurs', de: 'Recovery-Tests verschieben, bis ein echter Vorfall eintritt' } }
  ],
  correct: ['A'],
  explanation: { en: 'Recovery capabilities should not depend on the same trust path that might be compromised in production. Separation of administration, identities, and protected backup assets improves the chance of successful recovery during a destructive attack.', de: 'Recovery-Fähigkeiten sollten nicht von demselben Vertrauenspfad abhängen, der in der Produktion kompromittiert werden könnte. Die Trennung von Administration, Identitäten und geschützten Backup-Assets verbessert die Erfolgschance einer Wiederherstellung bei einem destruktiven Angriff.' },
  hint: { en: 'The key is to avoid putting recovery under the same blast radius as production.', de: 'Der Schlüssel besteht darin, Recovery nicht demselben Blast Radius wie die Produktion zu unterstellen.' },
  reference: 'https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept'
},
{
  id: 'sc100-236',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'At Humongous Insurance, a central cloud team uses Bicep to deploy landing zones. One legacy workload needs a temporary exception from a deny policy, but security leadership will not accept weakening the baseline for every other subscription.', de: 'Bei Humongous Insurance: ein zentrales Cloudteam verwendet Bicep zur Bereitstellung von Landing Zones. Ein Legacy-Workload benötigt eine temporäre Ausnahme von einer Deny-Richtlinie, aber die Sicherheitsleitung akzeptiert keine Abschwächung der Basis für alle anderen Abonnements.' },
  question: { en: 'What should the architect design?', de: 'Was sollte der Architekt entwerfen?' },
  options: [
    { id: 'A', text: { en: 'Keep the standard initiative in place and use a scoped, time-bound Azure Policy exemption', de: 'Die Standardinitiative beibehalten und eine eng begrenzte, zeitlich befristete Azure-Policy-Ausnahme verwenden' } },
    { id: 'B', text: { en: 'Remove the deny policy at the management group until the legacy workload is retired', de: 'Die Deny-Richtlinie auf Ebene der Verwaltungsgruppe entfernen, bis der Legacy-Workload außer Betrieb ist' } },
    { id: 'C', text: { en: 'Give the workload owner permanent Owner rights so they can bypass policy when needed', de: 'Dem Workload-Besitzer dauerhaft Owner-Rechte geben, damit er Richtlinien bei Bedarf umgehen kann' } },
    { id: 'D', text: { en: 'Document the exception in a wiki and leave the policy unchanged', de: 'Die Ausnahme in einem Wiki dokumentieren und die Richtlinie unverändert lassen' } }
  ],
  correct: ['A'],
  explanation: { en: 'A scoped policy exemption preserves the global baseline while allowing a documented and governed exception for a specific resource scope and time period. This is safer than weakening control intent for the whole management group.', de: 'Eine eng begrenzte Policy-Ausnahme bewahrt die globale Basis und ermöglicht gleichzeitig eine dokumentierte und kontrollierte Ausnahme für einen bestimmten Ressourcenbereich und Zeitraum. Das ist sicherer, als die Kontrollabsicht für die gesamte Verwaltungsgruppe abzuschwächen.' },
  hint: { en: 'Choose the answer that contains the exception instead of broadening it.', de: 'Wählen Sie die Antwort, die die Ausnahme eingrenzt, anstatt sie auszuweiten.' },
  reference: 'https://learn.microsoft.com/en-us/azure/governance/policy/concepts/exemption-structure'
},
{
  id: 'sc100-237',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'Why should architects align security designs with MCRA instead of selecting tools independently by silo?', de: 'Warum sollten Architekten Sicherheitsdesigns an der MCRA ausrichten, anstatt Werkzeuge isoliert nach Silos auszuwählen?' },
  options: [
    { id: 'A', text: { en: 'It helps reveal cross-domain dependencies, integration points, and missing controls', de: 'Sie hilft, domänenübergreifende Abhängigkeiten, Integrationspunkte und fehlende Kontrollen sichtbar zu machen' } },
    { id: 'B', text: { en: 'It guarantees regulatory compliance without additional design work', de: 'Sie garantiert regulatorische Compliance ohne zusätzliche Designarbeit' } },
    { id: 'C', text: { en: 'It replaces the need for governance and operating models', de: 'Sie ersetzt die Notwendigkeit von Governance und Betriebsmodellen' } },
    { id: 'D', text: { en: 'It is intended mainly to optimize license consumption', de: 'Sie ist hauptsächlich dazu gedacht, den Lizenzverbrauch zu optimieren' } }
  ],
  correct: ['A'],
  explanation: { en: 'MCRA promotes end-to-end thinking across identities, devices, infrastructure, applications, and data. That makes it useful for exposing integration gaps that product-by-product selection can miss.', de: 'Die MCRA fördert End-to-End-Denken über Identitäten, Geräte, Infrastruktur, Anwendungen und Daten hinweg. Dadurch ist sie nützlich, um Integrationslücken aufzudecken, die eine produktweise Auswahl übersehen kann.' },
  hint: { en: 'The strongest answer is about architecture coherence, not procurement.', de: 'Die stärkste Antwort betrifft Architektur-Kohärenz und nicht Beschaffung.' },
  reference: 'https://learn.microsoft.com/en-us/security/adoption/mcra'
},
{
  id: 'sc100-238',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'The development team at Humongous Insurance uses GitHub Actions to deploy Azure infrastructure and AKS updates. A recent incident exposed a service principal secret, and the security architect must redesign the pipeline so cloud access is based on short-lived trust instead of stored credentials.', de: 'Das Entwicklungsteam von Humongous Insurance verwendet GitHub Actions zur Bereitstellung von Azure-Infrastruktur und AKS-Updates. Ein aktueller Vorfall hat ein Dienstprinzipal-Geheimnis offengelegt, und der Sicherheitsarchitekt muss die Pipeline so neu entwerfen, dass der Cloudzugriff auf kurzlebigem Vertrauen statt auf gespeicherten Anmeldeinformationen basiert.' },
  question: { en: 'Which design should be recommended?', de: 'Welches Design sollte empfohlen werden?' },
  options: [
    { id: 'A', text: { en: 'Configure workload identity federation between GitHub and Microsoft Entra ID', de: 'Workload-Identity-Federation zwischen GitHub und Microsoft Entra ID konfigurieren' } },
    { id: 'B', text: { en: 'Store the secret in more repository variables and rotate it quarterly', de: 'Das Geheimnis in weiteren Repository-Variablen speichern und vierteljährlich rotieren' } },
    { id: 'C', text: { en: 'Use one shared personal access token for both infrastructure and Kubernetes deployments', de: 'Ein gemeinsames persönliches Zugriffstoken für Infrastruktur- und Kubernetes-Bereitstellungen verwenden' } },
    { id: 'D', text: { en: 'Run the pipeline from a self-hosted runner that keeps the secret on disk', de: 'Die Pipeline von einem selbst gehosteten Runner ausführen, der das Geheimnis auf Datenträger speichert' } }
  ],
  correct: ['A'],
  explanation: { en: 'Federation replaces stored cloud secrets with short-lived tokens issued to the external workload identity. That reduces secret sprawl and makes the trust relationship explicit and easier to govern.', de: 'Föderation ersetzt gespeicherte Cloud-Geheimnisse durch kurzlebige Token, die an die externe Workload-Identität ausgestellt werden. Dadurch wird die Verbreitung von Geheimnissen reduziert und die Vertrauensbeziehung expliziter und leichter steuerbar.' },
  hint: { en: 'Pick the option that removes the secret instead of relocating it.', de: 'Wählen Sie die Option, die das Geheimnis entfernt, anstatt es nur zu verlagern.' },
  reference: 'https://learn.microsoft.com/en-us/entra/workload-id/workload-identities-federation'
},
{
  id: 'sc100-239',
  type: 'multiple',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: null,
  question: { en: 'Which TWO controls best align a Zero Trust data access design for Azure PaaS services?', de: 'Welche ZWEI Kontrollen richten ein Zero-Trust-Datenzugriffsdesign für Azure-PaaS-Dienste am besten aus?' },
  options: [
    { id: 'A', text: { en: 'Use private endpoints to reduce broad network exposure to data services', de: 'Private Endpunkte verwenden, um die breite Netzwerkexponierung von Datendiensten zu reduzieren' } },
    { id: 'B', text: { en: 'Assign least-privileged data-plane roles and avoid broad shared secrets', de: 'Datenebenenrollen mit geringsten Rechten zuweisen und breite gemeinsam genutzte Geheimnisse vermeiden' } },
    { id: 'C', text: { en: 'Trust requests automatically when they come from internal subnets', de: 'Anforderungen automatisch vertrauen, wenn sie aus internen Subnetzen kommen' } },
    { id: 'D', text: { en: 'Share storage account keys between application teams to simplify support', de: 'Speicherkontoschlüssel zwischen Anwendungsteams teilen, um den Support zu vereinfachen' } }
  ],
  correct: ['A', 'B'],
  explanation: { en: 'Zero Trust reduces implicit trust both on the network path and in authorization. Private endpoints narrow exposure, and least-privileged data-plane access avoids overbroad credentials such as shared account keys.', de: 'Zero Trust reduziert implizites Vertrauen sowohl auf dem Netzwerkpfad als auch bei der Autorisierung. Private Endpunkte verengen die Exponierung, und Datenebenenzugriff mit geringsten Rechten vermeidet übermäßig breite Anmeldeinformationen wie gemeinsam genutzte Kontoschlüssel.' },
  hint: { en: 'Select one answer for network reduction and one for least privilege.', de: 'Wählen Sie eine Antwort zur Reduzierung der Netzwerkanfälligkeit und eine zu geringsten Rechten.' },
  reference: 'https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview'
},
{
  id: 'sc100-240',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: { en: 'At Woodgrove Bank, a central cloud team must let product teams deploy only approved Azure services, SKUs, and regions without relying on manual ticket reviews. The team wants preventative controls that work consistently across new subscriptions.', de: 'Bei Woodgrove Bank: ein zentrales Cloudteam muss Produktteams nur die Bereitstellung genehmigter Azure-Dienste, SKUs und Regionen erlauben, ohne sich auf manuelle Ticketprüfungen zu verlassen. Das Team möchte präventive Kontrollen, die in neuen Abonnements konsistent funktionieren.' },
  question: { en: 'Which design best fits the requirement?', de: 'Welches Design passt am besten zu der Anforderung?' },
  options: [
    { id: 'A', text: { en: 'Use Azure Policy initiatives with allowed locations and resource controls, validated through pipelines', de: 'Azure-Policy-Initiativen mit zulässigen Regionen und Ressourcenkontrollen verwenden und über Pipelines validieren' } },
    { id: 'B', text: { en: 'Allow all deployments and remediate noncompliant resources during quarterly reviews', de: 'Alle Bereitstellungen zulassen und nicht konforme Ressourcen in vierteljährlichen Prüfungen nachbessern' } },
    { id: 'C', text: { en: 'Grant every product team Owner on the management group so they can self-govern', de: 'Jedem Produktteam Owner auf der Verwaltungsgruppe geben, damit es sich selbst steuern kann' } },
    { id: 'D', text: { en: 'Use a naming standard only and let service owners interpret it individually', de: 'Nur einen Namensstandard verwenden und die Auslegung den Serviceverantwortlichen überlassen' } }
  ],
  correct: ['A'],
  explanation: { en: 'Azure Policy initiatives can enforce allowed locations, resource types, and other platform guardrails consistently. Adding pipeline validation moves these controls earlier and reduces the chance of noncompliant deployments reaching production.', de: 'Azure-Policy-Initiativen können zulässige Regionen, Ressourcentypen und andere Plattformleitplanken konsistent durchsetzen. Wenn Pipeline-Validierung hinzukommt, werden diese Kontrollen nach links verschoben und die Wahrscheinlichkeit sinkt, dass nicht konforme Bereitstellungen die Produktion erreichen.' },
  hint: { en: 'Choose preventative guardrails, not detective reviews.', de: 'Wählen Sie präventive Leitplanken und keine detektivischen Prüfungen.' },
  reference: 'https://learn.microsoft.com/en-us/azure/governance/policy/overview'
},
{
  id: 'sc100-241',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'Which design choice best supports governance at scale across Azure landing zones while minimizing drift?', de: 'Welche Designentscheidung unterstützt Governance im großen Maßstab über Azure-Landing-Zones hinweg am besten und minimiert gleichzeitig Drift?' },
  options: [
    { id: 'A', text: { en: 'Assign policy and RBAC through management groups using infrastructure as code', de: 'Richtlinien und RBAC über Verwaltungsgruppen mithilfe von Infrastructure as Code zuweisen' } },
    { id: 'B', text: { en: 'Configure each subscription manually after it is handed to the workload team', de: 'Jedes Abonnement manuell konfigurieren, nachdem es an das Workload-Team übergeben wurde' } },
    { id: 'C', text: { en: 'Let local administrators override inherited controls when projects are delayed', de: 'Lokalen Administratoren erlauben, geerbte Kontrollen bei Projektverzögerungen zu überschreiben' } },
    { id: 'D', text: { en: 'Depend mainly on architecture review meetings and not on platform enforcement', de: 'Sich hauptsächlich auf Architekturprüfungen und nicht auf Plattformdurchsetzung verlassen' } }
  ],
  correct: ['A'],
  explanation: { en: 'Governance scales best when assignments are hierarchical, repeatable, and automated. Management groups plus infrastructure as code create a stable control plane and reduce configuration drift compared with manual subscription-by-subscription administration.', de: 'Governance skaliert am besten, wenn Zuweisungen hierarchisch, wiederholbar und automatisiert sind. Verwaltungsgruppen plus Infrastructure as Code schaffen eine stabile Steuerungsebene und verringern Konfigurationsdrift im Vergleich zu manueller Verwaltung pro Abonnement.' },
  hint: { en: 'Think about hierarchy and automation together.', de: 'Denken Sie an Hierarchie und Automatisierung zusammen.' },
  reference: 'https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security'
},
{
  id: 'sc100-242',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'Woodgrove Bank operates AKS in Azure and Kubernetes clusters in another cloud. Security leaders want consistent posture assessment, policy reporting, and inventory for clusters without building separate reporting pipelines for each platform.', de: 'Woodgrove Bank betreibt AKS in Azure und Kubernetes-Cluster in einer anderen Cloud. Die Sicherheitsleitung möchte konsistente Bewertung der Sicherheitslage, Richtlinienberichte und Inventar für Cluster, ohne für jede Plattform separate Berichtspipelines aufzubauen.' },
  question: { en: 'Which design should the architect select?', de: 'Welches Design sollte der Architekt auswählen?' },
  options: [
    { id: 'A', text: { en: 'Onboard clusters with Azure Arc where needed and use Defender for Cloud for centralized posture visibility', de: 'Cluster bei Bedarf mit Azure Arc einbinden und Defender for Cloud für zentrale Transparenz der Sicherheitslage verwenden' } },
    { id: 'B', text: { en: 'Rely only on each cloud provider dashboard and compare screenshots monthly', de: 'Sich nur auf Dashboards der jeweiligen Cloudanbieter verlassen und monatlich Screenshots vergleichen' } },
    { id: 'C', text: { en: 'Expose the Kubernetes APIs publicly so one script can read all clusters', de: 'Die Kubernetes-APIs öffentlich bereitstellen, damit ein Skript alle Cluster lesen kann' } },
    { id: 'D', text: { en: 'Use only local cluster administrators and no shared inventory source', de: 'Nur lokale Clusteradministratoren und keine gemeinsame Inventarquelle verwenden' } }
  ],
  correct: ['A'],
  explanation: { en: 'Azure Arc can project non-Azure Kubernetes resources into a shared management plane, and Defender for Cloud can provide centralized posture insights. This supports a more consistent multicloud Kubernetes security architecture.', de: 'Azure Arc kann Nicht-Azure-Kubernetes-Ressourcen in eine gemeinsame Verwaltungsebene projizieren, und Defender for Cloud kann zentrale Erkenntnisse zur Sicherheitslage liefern. Das unterstützt eine konsistentere Multicloud-Kubernetes-Sicherheitsarchitektur.' },
  hint: { en: 'Choose the option that centralizes cluster inventory and posture reporting.', de: 'Wählen Sie die Option, die Cluster-Inventar und Berichte zur Sicherheitslage zentralisiert.' },
  reference: 'https://learn.microsoft.com/en-us/azure/azure-arc/overview'
},
{
  id: 'sc100-243',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'At Contoso, Ltd., during threat modeling of a serverless claims application, the team identifies a trust boundary where external documents are uploaded and then processed automatically. The architect must choose the mitigation that most directly reduces risk at that boundary.', de: 'Bei Contoso, Ltd.: während der Bedrohungsmodellierung einer serverlosen Schadensanwendung identifiziert das Team eine Vertrauensgrenze, an der externe Dokumente hochgeladen und anschließend automatisch verarbeitet werden. Der Architekt muss die Gegenmaßnahme wählen, die das Risiko an dieser Grenze am direktesten reduziert.' },
  question: { en: 'Which mitigation is the best priority?', de: 'Welche Gegenmaßnahme hat die beste Priorität?' },
  options: [
    { id: 'A', text: { en: 'Validate and scan uploaded content, isolate the ingestion path, and run processing with least privilege', de: 'Hochgeladene Inhalte validieren und scannen, den Aufnahmepfad isolieren und die Verarbeitung mit geringsten Rechten ausführen' } },
    { id: 'B', text: { en: 'Grant the processing function broad Contributor access across the subscription', de: 'Der Verarbeitungsfunktion breite Contributor-Rechte im gesamten Abonnement gewähren' } },
    { id: 'C', text: { en: 'Make the storage account public so partners can upload without friction', de: 'Das Speicherkonto öffentlich machen, damit Partner ohne Reibung hochladen können' } },
    { id: 'D', text: { en: 'Skip content inspection because uploaded files are from business partners', de: 'Die Inhaltsprüfung überspringen, weil die hochgeladenen Dateien von Geschäftspartnern stammen' } }
  ],
  correct: ['A'],
  explanation: { en: 'The highest-value mitigation is placed where untrusted content enters the system. Validation, isolation, and least-privileged execution reduce the likelihood that malicious input can move deeper into the application environment.', de: 'Die Gegenmaßnahme mit dem höchsten Nutzen wird dort platziert, wo nicht vertrauenswürdige Inhalte in das System gelangen. Validierung, Isolation und Ausführung mit geringsten Rechten verringern die Wahrscheinlichkeit, dass bösartige Eingaben tiefer in die Anwendungsumgebung gelangen.' },
  hint: { en: 'Focus on the trust boundary where untrusted data first enters.', de: 'Konzentrieren Sie sich auf die Vertrauensgrenze, an der nicht vertrauenswürdige Daten zuerst eintreten.' },
  reference: 'https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool'
},
{
  id: 'sc100-244',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'easy',
  scenario: null,
  question: { en: 'Which Microsoft resource should architects use first when translating cloud security control objectives into Azure-aligned guidance?', de: 'Welche Microsoft-Ressource sollten Architekten zuerst verwenden, wenn sie Cloud-Sicherheitskontrollziele in Azure-orientierte Leitlinien übersetzen?' },
  options: [
    { id: 'A', text: { en: 'Microsoft Cloud Security Benchmark', de: 'Microsoft Cloud Security Benchmark' } },
    { id: 'B', text: { en: 'Azure Resource Graph Explorer', de: 'Azure Resource Graph Explorer' } },
    { id: 'C', text: { en: 'Azure pricing calculator', de: 'Azure-Preisrechner' } },
    { id: 'D', text: { en: 'Azure status page', de: 'Azure-Statusseite' } }
  ],
  correct: ['A'],
  explanation: { en: 'The Microsoft Cloud Security Benchmark is the Microsoft-aligned security baseline for cloud control areas and implementation guidance. It is designed specifically to translate control intent into Azure-relevant recommendations.', de: 'Der Microsoft Cloud Security Benchmark ist die an Microsoft ausgerichtete Sicherheitsbasis für Cloud-Kontrollbereiche und Implementierungsleitlinien. Er ist speziell dafür ausgelegt, die Absicht von Kontrollen in Azure-relevante Empfehlungen zu übersetzen.' },
  hint: { en: 'Choose the Microsoft baseline, not an operations or pricing tool.', de: 'Wählen Sie die Microsoft-Basis und kein Betriebs- oder Preistool.' },
  reference: 'https://learn.microsoft.com/en-us/security/benchmark/azure/overview'
},
{
  id: 'sc100-245',
  type: 'multiple',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'Which TWO outputs from an architecture review are most useful for executive security prioritization?', de: 'Welche ZWEI Ergebnisse einer Architekturprüfung sind für die Priorisierung der Sicherheit durch die Geschäftsleitung am nützlichsten?' },
  options: [
    { id: 'A', text: { en: 'A prioritized list of gaps mapped to business risk', de: 'Eine priorisierte Liste von Lücken, die dem Geschäftsrisiko zugeordnet sind' } },
    { id: 'B', text: { en: 'A target-state control architecture that shows the intended end-to-end design', de: 'Eine Zielarchitektur der Kontrollen, die das beabsichtigte End-to-End-Design zeigt' } },
    { id: 'C', text: { en: 'Line-by-line deployment logs from every engineering pipeline', de: 'Zeilenweise Bereitstellungsprotokolle aus jeder Engineering-Pipeline' } },
    { id: 'D', text: { en: 'A list of vendor conference sessions the team should attend', de: 'Eine Liste von Konferenzsitzungen von Anbietern, an denen das Team teilnehmen sollte' } }
  ],
  correct: ['A', 'B'],
  explanation: { en: 'Executives need to understand what matters, why it matters, and what the destination architecture looks like. Prioritized gaps tied to business risk and a target-state design support funding, sequencing, and accountability decisions.', de: 'Die Geschäftsleitung muss verstehen, was wichtig ist, warum es wichtig ist und wie die Zielarchitektur aussieht. Priorisierte Lücken mit Bezug zum Geschäftsrisiko und ein Zielbild der Architektur unterstützen Entscheidungen zu Finanzierung, Reihenfolge und Verantwortlichkeit.' },
  hint: { en: 'Pick the outputs that help leaders decide what to fund and in which order.', de: 'Wählen Sie die Ergebnisse, die Führungskräften helfen zu entscheiden, was finanziert wird und in welcher Reihenfolge.' },
  reference: 'https://learn.microsoft.com/en-us/security/adoption/mcra'
},
{
  id: 'sc100-246',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'At Litware, Inc., a compromise of the production identity plane is suspected. Leadership asks for an architecture that still permits tenant recovery actions if normal privileged identities and federated dependencies are unavailable.', de: 'Bei Litware, Inc.: es besteht der Verdacht auf eine Kompromittierung der produktiven Identitätsebene. Die Geschäftsleitung fordert eine Architektur, die weiterhin Mandanten-Wiederherstellungsaktionen ermöglicht, wenn normale privilegierte Identitäten und föderierte Abhängigkeiten nicht verfügbar sind.' },
  question: { en: 'Which design should the architect include?', de: 'Welches Design sollte der Architekt einschließen?' },
  options: [
    { id: 'A', text: { en: 'Maintain monitored emergency access accounts protected with strong controls and excluded from risky dependencies', de: 'Überwachte Notfallzugriffskonten beibehalten, die mit starken Kontrollen geschützt und von riskanten Abhängigkeiten ausgenommen sind' } },
    { id: 'B', text: { en: 'Store one shared Global Administrator password in a team vault used by all administrators', de: 'Ein gemeinsames Kennwort für den Global Administrator in einem Team-Tresor speichern, den alle Administratoren verwenden' } },
    { id: 'C', text: { en: 'Disable MFA on one permanent admin account to ensure recovery access', de: 'MFA für ein dauerhaftes Administratorkonto deaktivieren, um Recovery-Zugriff sicherzustellen' } },
    { id: 'D', text: { en: 'Depend only on the same federated identity provider used by production admins', de: 'Ausschließlich vom selben föderierten Identitätsanbieter abhängen, den Produktionsadministratoren verwenden' } }
  ],
  correct: ['A'],
  explanation: { en: 'Emergency access accounts are intended for recovery scenarios when normal administrative paths fail. They must be tightly controlled, monitored, and designed to survive the dependency failures that might affect regular privileged access.', de: 'Notfallzugriffskonten sind für Recovery-Szenarien gedacht, in denen normale administrative Pfade ausfallen. Sie müssen streng kontrolliert, überwacht und so gestaltet sein, dass sie Abhängigkeitsausfälle überstehen, die den regulären privilegierten Zugriff beeinträchtigen könnten.' },
  hint: { en: 'Choose the option that preserves a separate recovery path for identity administration.', de: 'Wählen Sie die Option, die einen separaten Recovery-Pfad für die Identitätsadministration bewahrt.' },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access'
},
{
  id: 'sc100-247',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'Which approach brings security governance furthest left in the lifecycle of landing zone deployments?', de: 'Welcher Ansatz verlagert Sicherheitsgovernance am weitesten nach links im Lebenszyklus von Landing-Zone-Bereitstellungen?' },
  options: [
    { id: 'A', text: { en: 'Evaluate infrastructure code against policy and compliance checks before deployment', de: 'Infrastrukturcode vor der Bereitstellung gegen Richtlinien- und Compliance-Prüfungen auswerten' } },
    { id: 'B', text: { en: 'Review policy compliance only after resources exist in production', de: 'Die Richtlinienkonformität erst prüfen, nachdem Ressourcen in der Produktion vorhanden sind' } },
    { id: 'C', text: { en: 'Rely on annual platform audits to catch drift', de: 'Sich auf jährliche Plattformaudits verlassen, um Drift zu erkennen' } },
    { id: 'D', text: { en: 'Let every project create its own control framework and reconcile later', de: 'Jedes Projekt sein eigenes Kontrollframework erstellen lassen und später abgleichen' } }
  ],
  correct: ['A'],
  explanation: { en: 'Shift-left governance evaluates proposed changes before they become deployed resources. Combining infrastructure code with policy and compliance validation reduces rework and prevents noncompliant baselines from being created.', de: 'Shift-Left-Governance bewertet vorgeschlagene Änderungen, bevor daraus bereitgestellte Ressourcen werden. Die Kombination aus Infrastrukturcode mit Richtlinien- und Compliance-Validierung reduziert Nacharbeit und verhindert, dass nicht konforme Baselines entstehen.' },
  hint: { en: 'The earliest effective control point is before deployment, not after it.', de: 'Der früheste wirksame Kontrollpunkt liegt vor der Bereitstellung und nicht danach.' },
  reference: 'https://learn.microsoft.com/en-us/azure/governance/policy/overview'
},
{
  id: 'sc100-248',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'Contoso shares Microsoft 365 workloads and Azure applications with multiple partner tenants. The architect must design external collaboration so partner identity trust is evaluated, Conditional Access can be applied, and high-impact admin relationships remain tightly limited.', de: 'Contoso teilt Microsoft-365-Workloads und Azure-Anwendungen mit mehreren Partnermandanten. Der Architekt muss die externe Zusammenarbeit so entwerfen, dass das Vertrauen in Partneridentitäten bewertet werden kann, Conditional Access angewendet werden kann und administrative Beziehungen mit hoher Auswirkung eng begrenzt bleiben.' },
  question: { en: 'Which design is most appropriate?', de: 'Welches Design ist am geeignetsten?' },
  options: [
    { id: 'A', text: { en: 'Use Microsoft Entra B2B collaboration with cross-tenant access settings and Conditional Access', de: 'Microsoft Entra B2B Collaboration mit mandantenübergreifenden Zugriffseinstellungen und Conditional Access verwenden' } },
    { id: 'B', text: { en: 'Create shared guest administrator accounts that multiple partners can reuse', de: 'Gemeinsam genutzte Gastadministratorkonten erstellen, die mehrere Partner wiederverwenden können' } },
    { id: 'C', text: { en: 'Trust all partner traffic if it originates from known company IP ranges', de: 'Allen Partnerdatenverkehr vertrauen, wenn er aus bekannten Unternehmens-IP-Bereichen stammt' } },
    { id: 'D', text: { en: 'Allow email one-time passcode sign-in for privileged partner administration', de: 'E-Mail-Einmalkennwortanmeldung für privilegierte Partneradministration zulassen' } }
  ],
  correct: ['A'],
  explanation: { en: 'Cross-tenant access settings and B2B collaboration let organizations manage external trust, inbound and outbound access, and Conditional Access behavior in a governed way. That is a stronger architecture than shared admin identities or network-based trust assumptions.', de: 'Mandantenübergreifende Zugriffseinstellungen und B2B Collaboration ermöglichen es Organisationen, externes Vertrauen, eingehenden und ausgehenden Zugriff sowie das Verhalten von Conditional Access kontrolliert zu verwalten. Das ist eine stärkere Architektur als gemeinsam genutzte Admin-Identitäten oder netzwerkbasierte Vertrauensannahmen.' },
  hint: { en: 'Choose the design that governs partner trust at the identity layer.', de: 'Wählen Sie das Design, das das Partnervertrauen auf der Identitätsebene steuert.' },
  reference: 'https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview'
},
{
  id: 'sc100-249',
  type: 'single',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'medium',
  scenario: null,
  question: { en: 'In a multicloud operating model, why is a common control taxonomy important before mapping tools and reports?', de: 'Warum ist in einem Multicloud-Betriebsmodell eine gemeinsame Kontrolltaxonomie wichtig, bevor Werkzeuge und Berichte zugeordnet werden?' },
  options: [
    { id: 'A', text: { en: 'It lets teams compare posture and gaps consistently across providers and frameworks', de: 'Sie ermöglicht es Teams, Sicherheitslage und Lücken konsistent über Anbieter und Frameworks hinweg zu vergleichen' } },
    { id: 'B', text: { en: 'It replaces provider-native security controls entirely', de: 'Sie ersetzt vollständig die nativen Sicherheitskontrollen der Anbieter' } },
    { id: 'C', text: { en: 'It removes the need for governance and policy decisions', de: 'Sie macht Governance- und Richtlinienentscheidungen überflüssig' } },
    { id: 'D', text: { en: 'It guarantees compliance automatically once the labels are defined', de: 'Sie garantiert automatisch Compliance, sobald die Bezeichnungen definiert sind' } }
  ],
  correct: ['A'],
  explanation: { en: 'A shared taxonomy provides a stable language for describing controls, posture, and gaps across multiple clouds. Without that normalization, reporting and prioritization become inconsistent and difficult to compare.', de: 'Eine gemeinsame Taxonomie liefert eine stabile Sprache, um Kontrollen, Sicherheitslage und Lücken über mehrere Clouds hinweg zu beschreiben. Ohne diese Normalisierung werden Berichterstattung und Priorisierung inkonsistent und schwer vergleichbar.' },
  hint: { en: 'Think about standardizing how controls are described before comparing tools.', de: 'Denken Sie daran, zuerst zu standardisieren, wie Kontrollen beschrieben werden, bevor Werkzeuge verglichen werden.' },
  reference: 'https://learn.microsoft.com/en-us/security/benchmark/azure/overview'
},
{
  id: 'sc100-250',
  type: 'scenario',
  domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
  difficulty: 'hard',
  scenario: { en: 'At Humongous Insurance, an acquired business unit must be onboarded quickly into the enterprise Azure environment. It needs separate workload subscriptions and some local autonomy, but all workloads must inherit central identity, networking, logging, and security guardrails from day one.', de: 'Bei Humongous Insurance: ein übernommener Geschäftsbereich muss schnell in die Enterprise-Azure-Umgebung integriert werden. Er benötigt separate Workload-Abonnements und eine gewisse lokale Autonomie, aber alle Workloads müssen von Anfang an zentrale Identitäts-, Netzwerk-, Protokollierungs- und Sicherheitsleitplanken erben.' },
  question: { en: 'Which landing zone design should the architect recommend?', de: 'Welches Landing-Zone-Design sollte der Architekt empfehlen?' },
  options: [
    { id: 'A', text: { en: 'Place the subscriptions under the enterprise management group hierarchy with platform landing zones for shared services and workload landing zones for applications', de: 'Die Abonnements unter die Enterprise-Verwaltungsgruppenhierarchie einordnen, mit Plattform-Landing-Zones für gemeinsame Dienste und Workload-Landing-Zones für Anwendungen' } },
    { id: 'B', text: { en: 'Use one shared subscription for both platform services and all acquired workloads', de: 'Ein gemeinsames Abonnement sowohl für Plattformdienste als auch für alle übernommenen Workloads verwenden' } },
    { id: 'C', text: { en: 'Let the acquired unit create its own root management group and connect later', de: 'Den übernommenen Bereich seine eigene Root-Verwaltungsgruppe erstellen lassen und später verbinden' } },
    { id: 'D', text: { en: 'Delay governance until migration is complete so teams can move faster', de: 'Governance bis zum Abschluss der Migration verzögern, damit Teams schneller arbeiten können' } }
  ],
  correct: ['A'],
  explanation: { en: 'Enterprise-scale landing zones separate shared platform capabilities from workload subscriptions while preserving inherited guardrails. This model supports controlled autonomy without losing centralized governance and security consistency.', de: 'Enterprise-Scale-Landing-Zones trennen gemeinsam genutzte Plattformfähigkeiten von Workload-Abonnements und bewahren gleichzeitig geerbte Leitplanken. Dieses Modell unterstützt kontrollierte Autonomie, ohne zentrale Governance und Sicherheitskonsistenz zu verlieren.' },
  hint: { en: 'Choose the design that combines inherited guardrails with delegated workload ownership.', de: 'Wählen Sie das Design, das geerbte Leitplanken mit delegierter Verantwortung für Workloads kombiniert.' },
  reference: 'https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security'
},
{
  id: "sc100-251",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "Contoso already uses Microsoft Defender XDR for endpoint, identity, email, and SaaS protection. It also must ingest AWS activity, third-party firewall logs, and long-retain security telemetry for a centralized SOC that automates response actions.", de: "Contoso verwendet bereits Microsoft Defender XDR für den Schutz von Endpunkten, Identitäten, E-Mail und SaaS. Zusätzlich müssen AWS-Aktivitäten, Protokolle von Drittanbieter-Firewalls und langfristig aufzubewahrende Sicherheitsdaten für ein zentrales SOC mit automatisierten Reaktionsaktionen erfasst werden." },
  question: { en: "Which architecture should the cybersecurity architect recommend?", de: "Welche Architektur sollte der Cybersecurity-Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Keep Defender XDR for native XDR detection and use Microsoft Sentinel as the central SIEM/SOAR for multicloud ingestion, correlation, retention, and automation", de: "Defender XDR für native XDR-Erkennung beibehalten und Microsoft Sentinel als zentrales SIEM/SOAR für Multicloud-Erfassung, Korrelation, Aufbewahrung und Automatisierung verwenden" } },
    { id: "B", text: { en: "Use only the Defender portal and exclude non-Microsoft telemetry from the SOC design", de: "Nur das Defender-Portal verwenden und Nicht-Microsoft-Telemetrie aus dem SOC-Design ausschließen" } },
    { id: "C", text: { en: "Deploy separate SIEM tools for each cloud and investigate incidents manually across consoles", de: "Separate SIEM-Werkzeuge pro Cloud bereitstellen und Vorfälle manuell über mehrere Konsolen hinweg untersuchen" } },
    { id: "D", text: { en: "Send all alerts to Exchange mailboxes for analyst triage and archive", de: "Alle Warnungen zur Analystenbearbeitung und Archivierung an Exchange-Postfächer senden" } }
  ],
  correct: ["A"],
  explanation: { en: "Defender XDR remains the best source for Microsoft-native XDR incidents, while Sentinel adds broad SIEM ingestion, custom analytics, long-term retention, and SOAR orchestration across hybrid and multicloud environments.", de: "Defender XDR bleibt die beste Quelle für Microsoft-native XDR-Vorfälle, während Sentinel umfassende SIEM-Erfassung, benutzerdefinierte Analysen, langfristige Aufbewahrung und SOAR-Orchestrierung über hybride und Multicloud-Umgebungen hinweg ergänzt." },
  hint: { en: "Choose the design that combines XDR depth with SIEM breadth and automation.", de: "Wählen Sie das Design, das XDR-Tiefe mit SIEM-Breite und Automatisierung kombiniert." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/overview"
},
{
  id: "sc100-252",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Microsoft Sentinel capability is used to deploy packaged data connectors, analytics rules, workbooks, and playbooks from Microsoft and partners?", de: "Welche Microsoft-Sentinel-Funktion wird verwendet, um paketierte Datenkonnektoren, Analyseregeln, Workbooks und Playbooks von Microsoft und Partnern bereitzustellen?" },
  options: [
    { id: "A", text: { en: "Watchlists", de: "Watchlists" } },
    { id: "B", text: { en: "Content hub", de: "Content Hub" } },
    { id: "C", text: { en: "Bookmarks", de: "Lesezeichen" } },
    { id: "D", text: { en: "Hunting queries", de: "Hunting-Abfragen" } }
  ],
  correct: ["B"],
  explanation: { en: "Content hub is the Sentinel delivery model for solution packages that include connectors, detections, playbooks, and visualization content maintained by Microsoft or partners.", de: "Der Content Hub ist das Bereitstellungsmodell von Sentinel für Lösungspakete, die Konnektoren, Erkennungen, Playbooks und Visualisierungsinhalte von Microsoft oder Partnern enthalten." },
  hint: { en: "Look for the packaged content marketplace inside Sentinel.", de: "Suchen Sie nach dem Marktplatz für paketierte Inhalte in Sentinel." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-deploy"
},
{
  id: "sc100-253",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO design choices help reduce Microsoft Sentinel ingestion cost without removing high-value detection use cases?", de: "Welche ZWEI Designentscheidungen helfen, die Erfassungskosten von Microsoft Sentinel zu senken, ohne hochwertige Erkennungsfälle zu entfernen?" },
  options: [
    { id: "A", text: { en: "Filter unnecessary events or columns at collection time by using transformation rules or collection filtering", de: "Unnötige Ereignisse oder Spalten bei der Erfassung mithilfe von Transformationsregeln oder Erfassungsfiltern herausfiltern" } },
    { id: "B", text: { en: "Use commitment tiers when predictable data volume justifies reserved capacity pricing", de: "Commitment Tiers verwenden, wenn ein vorhersehbares Datenvolumen reservierte Kapazitätspreise rechtfertigt" } },
    { id: "C", text: { en: "Duplicate the same log source into multiple workspaces for every SOC team", de: "Dieselbe Protokollquelle für jedes SOC-Team in mehrere Workspaces duplizieren" } },
    { id: "D", text: { en: "Ingest verbose debug logs for all systems into Analytics tables by default", de: "Ausführliche Debug-Protokolle für alle Systeme standardmäßig in Analytics-Tabellen erfassen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Architects control cost most effectively by reducing low-value ingestion before it lands in the workspace and by selecting the right pricing model for stable volume. Duplicating or overcollecting data increases cost without improving security outcomes.", de: "Architekten steuern Kosten am effektivsten, indem sie geringwertige Erfassung bereits vor dem Landing im Workspace reduzieren und für stabiles Volumen das passende Preismodell wählen. Das Duplizieren oder Übererfassen von Daten erhöht die Kosten, ohne die Sicherheitswirkung zu verbessern." },
  hint: { en: "Pick one answer about collecting less noise and one about buying capacity efficiently.", de: "Wählen Sie eine Antwort zum Reduzieren von Rauschen bei der Erfassung und eine zur effizienten Kapazitätsbeschaffung." },
  reference: "https://learn.microsoft.com/en-us/azure/azure-monitor/logs/cost-logs"
},
{
  id: "sc100-254",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Litware, Inc., the SOC wants low-confidence incidents auto-closed when matching suppression criteria are met, while high-severity incidents must be enriched with threat intelligence and sent to ServiceNow for tracked response.", de: "Bei Litware, Inc. möchte das SOC Vorfälle mit geringer Vertrauenswürdigkeit automatisch schließen, wenn Unterdrückungskriterien erfüllt sind, während Vorfälle mit hoher Priorität mit Threat Intelligence angereichert und zur nachverfolgten Bearbeitung an ServiceNow gesendet werden müssen." },
  question: { en: "Which Sentinel design best meets the requirement?", de: "Welches Sentinel-Design erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Use automation rules to route and suppress incidents, and trigger Logic Apps playbooks for enrichment and ticketing", de: "Automatisierungsregeln verwenden, um Vorfälle zu leiten und zu unterdrücken, und Logic-Apps-Playbooks für Anreicherung und Ticketing auslösen" } },
    { id: "B", text: { en: "Use only workbooks because they can replace incident handling", de: "Nur Workbooks verwenden, weil sie die Vorfallsbearbeitung ersetzen können" } },
    { id: "C", text: { en: "Create additional watchlists and let analysts manually execute every response step", de: "Zusätzliche Watchlists erstellen und Analysten jeden Reaktionsschritt manuell ausführen lassen" } },
    { id: "D", text: { en: "Move all incidents to Azure Monitor alerts and stop using Sentinel incidents", de: "Alle Vorfälle in Azure-Monitor-Warnungen verschieben und Sentinel-Vorfälle nicht mehr verwenden" } }
  ],
  correct: ["A"],
  explanation: { en: "Automation rules handle incident-level routing, suppression, and trigger conditions, while Logic Apps playbooks add enrichment, integrations, and orchestrated response actions such as ticket creation.", de: "Automatisierungsregeln übernehmen Routing, Unterdrückung und Auslösekriterien auf Vorfallsebene, während Logic-Apps-Playbooks Anreicherung, Integrationen und orchestrierte Reaktionsaktionen wie die Ticketerstellung ergänzen." },
  hint: { en: "Separate incident triage logic from orchestration logic.", de: "Trennen Sie die Triage-Logik für Vorfälle von der Orchestrierungslogik." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules"
},
{
  id: "sc100-255",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Entra design most directly removes standing privileged access for administrator roles?", de: "Welches Microsoft-Entra-Design entfernt dauerhaften privilegierten Zugriff für Administratorrollen am direktesten?" },
  options: [
    { id: "A", text: { en: "Assign permanent Global Administrator rights and review them quarterly", de: "Dauerhafte globale Administratorrechte zuweisen und vierteljährlich prüfen" } },
    { id: "B", text: { en: "Use Privileged Identity Management eligible assignments with just-in-time activation", de: "Privileged Identity Management mit berechtigten Zuweisungen und Just-in-Time-Aktivierung verwenden" } },
    { id: "C", text: { en: "Use shared admin accounts for each operations shift", de: "Gemeinsam genutzte Administratorkonten pro Betriebsschicht verwenden" } },
    { id: "D", text: { en: "Add all senior engineers to the Privileged Role Administrator role permanently", de: "Alle leitenden Ingenieure dauerhaft der Rolle Privileged Role Administrator hinzufügen" } }
  ],
  correct: ["B"],
  explanation: { en: "PIM eligible assignments eliminate standing privilege by making administrators eligible rather than always active. Access is elevated only when approved and needed, which aligns with Zero Trust and audit requirements.", de: "Berechtigte Zuweisungen in PIM beseitigen dauerhafte Privilegien, indem Administratoren nur berechtigt statt ständig aktiv sind. Der Zugriff wird nur bei Bedarf und nach Genehmigung erhöht, was Zero Trust und Audit-Anforderungen unterstützt." },
  hint: { en: "Choose the feature built for just-in-time elevation.", de: "Wählen Sie die Funktion, die für Just-in-Time-Erhöhungen entwickelt wurde." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
},
{
  id: "sc100-256",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, privileged administrators may access Azure and Microsoft 365 admin portals only from managed administrator workstations. The organization also requires phishing-resistant authentication rather than basic MFA claims.", de: "Bei Humongous Insurance dürfen privilegierte Administratoren nur von verwalteten Administrator-Arbeitsstationen auf Azure- und Microsoft-365-Adminportale zugreifen. Die Organisation verlangt außerdem phishingresistente Authentifizierung statt einfacher MFA-Nachweise." },
  question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
  options: [
    { id: "A", text: { en: "Create a Conditional Access policy targeting admin roles that requires compliant devices and an authentication strength such as phishing-resistant MFA", de: "Eine Conditional-Access-Richtlinie für Administratorrollen erstellen, die konforme Geräte und eine Authentifizierungsstärke wie phishingresistente MFA verlangt" } },
    { id: "B", text: { en: "Require password changes every 14 days for all administrators", de: "Kennwortänderungen alle 14 Tage für alle Administratoren verlangen" } },
    { id: "C", text: { en: "Move all administrators to guest accounts in a separate tenant", de: "Alle Administratoren in Gastkonten in einem separaten Mandanten verschieben" } },
    { id: "D", text: { en: "Exclude admin roles from Conditional Access to avoid portal lockout", de: "Administratorrollen von Conditional Access ausschließen, um Portal-Sperren zu vermeiden" } }
  ],
  correct: ["A"],
  explanation: { en: "Conditional Access can evaluate role, device compliance, and authentication strength in a single access decision. This supports secure admin workstation strategies and stronger assurance than generic MFA requirements alone.", de: "Conditional Access kann Rolle, Gerätekonformität und Authentifizierungsstärke in einer einzigen Zugriffsentscheidung bewerten. Das unterstützt Strategien für sichere Administrator-Arbeitsstationen und bietet höhere Sicherheit als allgemeine MFA-Anforderungen allein." },
  hint: { en: "Look for the policy combination that checks both device trust and phishing resistance.", de: "Suchen Sie nach der Richtlinienkombination, die sowohl Gerätevertrauen als auch Phishing-Resistenz prüft." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths"
},
{
  id: "sc100-257",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Conditional Access feature lets architects require a specific class of sign-in methods, such as FIDO2 security keys or certificate-based authentication, instead of accepting any MFA method?", de: "Welche Conditional-Access-Funktion ermöglicht es Architekten, eine bestimmte Klasse von Anmeldemethoden wie FIDO2-Sicherheitsschlüssel oder zertifikatbasierte Authentifizierung zu verlangen, anstatt jede MFA-Methode zu akzeptieren?" },
  options: [
    { id: "A", text: { en: "Authentication strengths", de: "Authentifizierungsstärken" } },
    { id: "B", text: { en: "Named locations", de: "Benannte Standorte" } },
    { id: "C", text: { en: "Administrative units", de: "Administrative Einheiten" } },
    { id: "D", text: { en: "Access packages", de: "Zugriffspakete" } }
  ],
  correct: ["A"],
  explanation: { en: "Authentication strengths let you require stronger or phishing-resistant methods for selected apps and users, which is more precise than a general MFA requirement.", de: "Authentifizierungsstärken erlauben es, für ausgewählte Apps und Benutzer stärkere oder phishingresistente Methoden zu verlangen. Das ist präziser als eine allgemeine MFA-Anforderung." },
  hint: { en: "Choose the feature that narrows acceptable MFA methods by strength.", de: "Wählen Sie die Funktion, die zulässige MFA-Methoden nach Stärke eingrenzt." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths"
},
{
  id: "sc100-258",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Guest researchers need time-bound access to a project team, SharePoint site, and SaaS app. Sponsors must approve requests, and business owners must periodically revalidate access. Which TWO capabilities should be included in the design?", de: "Externe Forscher benötigen zeitlich begrenzten Zugriff auf ein Projektteam, eine SharePoint-Website und eine SaaS-App. Sponsoren müssen Anfragen genehmigen, und Verantwortliche müssen den Zugriff regelmäßig neu bestätigen. Welche ZWEI Funktionen sollten in das Design aufgenommen werden?" },
  options: [
    { id: "A", text: { en: "Entitlement management access packages", de: "Entitlement-Management-Zugriffspakete" } },
    { id: "B", text: { en: "Privileged Identity Management for directory roles", de: "Privileged Identity Management für Verzeichnisrollen" } },
    { id: "C", text: { en: "Access reviews", de: "Zugriffsüberprüfungen" } },
    { id: "D", text: { en: "Administrative units", de: "Administrative Einheiten" } }
  ],
  correct: ["A", "C"],
  explanation: { en: "Access packages handle request, approval, bundling, and expiration of business access. Access reviews add recurring recertification so owners can confirm that external users still need that access.", de: "Zugriffspakete übernehmen Anforderung, Genehmigung, Bündelung und Ablauf von Geschäftsressourcen. Zugriffsüberprüfungen ergänzen die wiederkehrende Rezertifizierung, damit Verantwortliche bestätigen können, dass externe Benutzer den Zugriff weiterhin benötigen." },
  hint: { en: "Pick one capability for packaging access and one for recertifying it.", de: "Wählen Sie eine Funktion zum Bündeln von Zugriff und eine zur Rezertifizierung." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
},
{
  id: "sc100-259",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Woodgrove Bank, after an acquisition, users from the new subsidiary tenant need access to applications in the parent tenant. Security wants to trust the subsidiary's MFA and compliant-device claims where appropriate, but still control inbound collaboration per partner organization.", de: "Bei Woodgrove Bank benötigen Benutzer nach einer Übernahme des neuen Tochtermandanten Zugriff auf Anwendungen im Hauptmandanten. Die Sicherheit möchte MFA- und Geräte-Konformitätsnachweise des Tochtermandanten gezielt vertrauen, aber eingehende Zusammenarbeit weiterhin pro Partnerorganisation steuern." },
  question: { en: "Which Microsoft Entra design best fits the requirement?", de: "Welches Microsoft-Entra-Design passt am besten zur Anforderung?" },
  options: [
    { id: "A", text: { en: "Configure cross-tenant access settings with organization-specific inbound trust for MFA and device claims", de: "Cross-Tenant-Access-Einstellungen mit organisationsspezifischem eingehendem Vertrauen für MFA- und Gerätesignale konfigurieren" } },
    { id: "B", text: { en: "Convert all subsidiary users into member accounts in the parent tenant", de: "Alle Benutzer der Tochtergesellschaft in Mitgliedskonten im Hauptmandanten umwandeln" } },
    { id: "C", text: { en: "Disable all external collaboration and use only shared passwords for acquired users", de: "Jegliche externe Zusammenarbeit deaktivieren und für übernommene Benutzer nur gemeinsame Kennwörter verwenden" } },
    { id: "D", text: { en: "Use Azure Lighthouse because it replaces Entra collaboration policy controls", de: "Azure Lighthouse verwenden, weil es Entra-Kollaborationsrichtlinien ersetzt" } }
  ],
  correct: ["A"],
  explanation: { en: "Cross-tenant access settings are designed to control inbound and outbound B2B trust relationships. They can selectively trust partner MFA and device claims while keeping policy boundaries per external organization.", de: "Cross-Tenant-Access-Einstellungen sind dafür vorgesehen, eingehende und ausgehende B2B-Vertrauensbeziehungen zu steuern. Sie können Partner-MFA- und Gerätesignale selektiv vertrauen, während Richtliniengrenzen pro externer Organisation erhalten bleiben." },
  hint: { en: "Choose the Entra feature made for per-partner collaboration trust settings.", de: "Wählen Sie die Entra-Funktion, die für kollaborationsbezogene Vertrauenseinstellungen pro Partner entwickelt wurde." },
  reference: "https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview"
},
{
  id: "sc100-260",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Entra feature should you use to allow users on managed corporate networks or devices to access only approved external tenants and block all others?", de: "Welche Microsoft-Entra-Funktion sollten Sie verwenden, damit Benutzer in verwalteten Unternehmensnetzwerken oder auf verwalteten Geräten nur auf genehmigte externe Mandanten zugreifen können und alle anderen blockiert werden?" },
  options: [
    { id: "A", text: { en: "Tenant restrictions v2", de: "Tenant Restrictions v2" } },
    { id: "B", text: { en: "Named locations", de: "Benannte Standorte" } },
    { id: "C", text: { en: "Self-service sign-up", de: "Self-Service-Registrierung" } },
    { id: "D", text: { en: "Dynamic groups", de: "Dynamische Gruppen" } }
  ],
  correct: ["A"],
  explanation: { en: "Tenant restrictions v2 helps control which external tenants users can access from corporate context, reducing unmanaged collaboration and shadow identities in unapproved tenants.", de: "Tenant Restrictions v2 hilft dabei zu steuern, auf welche externen Mandanten Benutzer aus dem Unternehmenskontext zugreifen können. Dadurch werden unkontrollierte Zusammenarbeit und Schattenidentitäten in nicht genehmigten Mandanten reduziert." },
  hint: { en: "Think about the control built specifically for limiting external tenant access.", de: "Denken Sie an die Kontrolle, die speziell für die Begrenzung des Zugriffs auf externe Mandanten entwickelt wurde." },
  reference: "https://learn.microsoft.com/en-us/entra/external-id/tenant-restrictions-v2"
},
{
  id: "sc100-261",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "Contoso, Ltd. hires and offboards thousands of contractors every month. The identity team wants automated tasks for welcome communications, group assignment, manager notifications, and deprovisioning based on employment attributes and dates.", de: "Contoso, Ltd. stellt jeden Monat Tausende von Auftragnehmern ein und ab. Das Identitätsteam möchte automatische Aufgaben für Willkommenskommunikation, Gruppenzuweisung, Managerbenachrichtigungen und Deprovisionierung basierend auf Beschäftigungsmerkmalen und Daten." },
  question: { en: "Which Entra capability should the architect use?", de: "Welche Entra-Funktion sollte der Architekt verwenden?" },
  options: [
    { id: "A", text: { en: "Administrative units", de: "Administrative Einheiten" } },
    { id: "B", text: { en: "Lifecycle workflows", de: "Lifecycle-Workflows" } },
    { id: "C", text: { en: "Named locations", de: "Benannte Standorte" } },
    { id: "D", text: { en: "Authentication contexts", de: "Authentifizierungskontexte" } }
  ],
  correct: ["B"],
  explanation: { en: "Lifecycle workflows automate identity lifecycle tasks for joiners, movers, and leavers by using user attributes and schedule-based triggers. They reduce manual provisioning and improve access hygiene.", de: "Lifecycle-Workflows automatisieren Identitäts-Lebenszyklusaufgaben für Joiner, Mover und Leaver anhand von Benutzerattributen und zeitbasierten Auslösern. Dadurch wird manuelle Bereitstellung reduziert und die Zugriffshygiene verbessert." },
  hint: { en: "Choose the identity governance feature for automated joiner-mover-leaver processes.", de: "Wählen Sie die Identity-Governance-Funktion für automatisierte Joiner-Mover-Leaver-Prozesse." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/what-are-lifecycle-workflows"
},
{
  id: "sc100-262",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "A role-assignable group grants access to highly privileged administrative roles. Which capability lets eligible users activate temporary membership in that group instead of being permanent members?", de: "Eine rollenzuweisbare Gruppe gewährt Zugriff auf hochprivilegierte Administratorrollen. Welche Funktion ermöglicht es berechtigten Benutzern, eine temporäre Mitgliedschaft in dieser Gruppe zu aktivieren, anstatt dauerhaft Mitglied zu sein?" },
  options: [
    { id: "A", text: { en: "Privileged access groups in PIM", de: "Privileged Access Groups in PIM" } },
    { id: "B", text: { en: "Dynamic membership rules", de: "Dynamische Mitgliedschaftsregeln" } },
    { id: "C", text: { en: "Self-service group management", de: "Self-Service-Gruppenverwaltung" } },
    { id: "D", text: { en: "Access panels", de: "Zugriffsbereiche" } }
  ],
  correct: ["A"],
  explanation: { en: "Privileged access groups extend PIM controls to role-assignable groups so membership itself can be just-in-time, approved, and audited.", de: "Privileged Access Groups erweitern PIM-Kontrollen auf rollenzuweisbare Gruppen, sodass die Mitgliedschaft selbst Just-in-Time, genehmigt und auditierbar sein kann." },
  hint: { en: "Look for the PIM feature that governs privileged group membership.", de: "Suchen Sie nach der PIM-Funktion, die privilegierte Gruppenmitgliedschaften steuert." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/concept-pim-for-groups"
},
{
  id: "sc100-263",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "Litware, Inc. must keep raw security logs in regional boundaries for legal reasons, but a central SOC still needs unified hunting, analytics, and operational oversight across all regions.", de: "Litware, Inc. muss Roh-Sicherheitsprotokolle aus rechtlichen Gründen innerhalb regionaler Grenzen halten, aber ein zentrales SOC benötigt dennoch einheitliches Hunting, Analysen und operative Übersicht über alle Regionen hinweg." },
  question: { en: "Which workspace architecture is most appropriate?", de: "Welche Workspace-Architektur ist am geeignetsten?" },
  options: [
    { id: "A", text: { en: "Deploy regional Log Analytics workspaces with Microsoft Sentinel enabled in each region and use cross-workspace operations and centralized management for the SOC", de: "Regionale Log-Analytics-Workspaces mit aktiviertem Microsoft Sentinel pro Region bereitstellen und für das SOC workspaceübergreifende Operationen sowie zentrale Verwaltung nutzen" } },
    { id: "B", text: { en: "Send all regional logs to a single workspace in one country because centralization is always simpler", de: "Alle regionalen Protokolle an einen einzelnen Workspace in einem Land senden, weil Zentralisierung immer einfacher ist" } },
    { id: "C", text: { en: "Store logs only in local CSV files and email summaries to the SOC", de: "Protokolle nur in lokalen CSV-Dateien speichern und Zusammenfassungen per E-Mail an das SOC senden" } },
    { id: "D", text: { en: "Use separate SIEM products per country with no shared hunting capability", de: "Pro Land separate SIEM-Produkte ohne gemeinsame Hunting-Fähigkeit verwenden" } }
  ],
  correct: ["A"],
  explanation: { en: "Multiple workspaces can satisfy data residency and legal boundaries while still supporting centralized monitoring patterns. Sentinel and Azure Monitor support multi-workspace designs for large enterprises with regional constraints.", de: "Mehrere Workspaces können Datenresidenz- und Rechtsanforderungen erfüllen und dennoch zentrale Überwachungsmuster unterstützen. Sentinel und Azure Monitor unterstützen Multi-Workspace-Designs für große Unternehmen mit regionalen Einschränkungen." },
  hint: { en: "Choose the design that keeps data regional but operations federated.", de: "Wählen Sie das Design, das Daten regional hält, den Betrieb aber föderiert." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/design-your-workspace-architecture"
},
{
  id: "sc100-264",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Conditional Access design most directly prevents legacy authentication protocols from bypassing MFA?", de: "Welches Conditional-Access-Design verhindert am direktesten, dass Legacy-Authentifizierungsprotokolle MFA umgehen?" },
  options: [
    { id: "A", text: { en: "Block legacy authentication clients", de: "Legacy-Authentifizierungsclients blockieren" } },
    { id: "B", text: { en: "Require password complexity changes every month", de: "Monatliche Änderungen der Kennwortkomplexität verlangen" } },
    { id: "C", text: { en: "Turn off self-service password reset", de: "Self-Service-Kennwortzurücksetzung deaktivieren" } },
    { id: "D", text: { en: "Allow all trusted network locations without challenge", de: "Alle vertrauenswürdigen Netzwerkstandorte ohne Abfrage zulassen" } }
  ],
  correct: ["A"],
  explanation: { en: "Legacy authentication often cannot enforce modern controls such as MFA. Blocking those protocol flows removes a common bypass path from the identity architecture.", de: "Legacy-Authentifizierung kann moderne Kontrollen wie MFA häufig nicht erzwingen. Das Blockieren dieser Protokollflüsse beseitigt einen häufigen Umgehungspfad in der Identitätsarchitektur." },
  hint: { en: "Target the protocol class that does not support modern auth controls.", de: "Zielen Sie auf die Protokollklasse, die moderne Authentifizierungskontrollen nicht unterstützt." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview"
},
{
  id: "sc100-265",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "The security team at Humongous Insurance wants access to a payroll application blocked when a sign-in is high risk. If a user's account is later remediated after password reset, normal access should be allowed again without redesigning the app.", de: "Das Sicherheitsteam von Humongous Insurance möchte den Zugriff auf eine Gehaltsanwendung blockieren, wenn eine Anmeldung ein hohes Risiko aufweist. Wenn das Konto eines Benutzers nach einer Kennwortzurücksetzung später bereinigt wird, soll normaler Zugriff wieder möglich sein, ohne die Anwendung neu zu entwerfen." },
  question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
  options: [
    { id: "A", text: { en: "Use Entra ID Protection risk signals with Conditional Access sign-in risk and user risk policies", de: "Entra-ID-Protection-Risikosignale mit Conditional-Access-Richtlinien für Anmelderisiko und Benutzerrisiko verwenden" } },
    { id: "B", text: { en: "Use only network location filters in Conditional Access", de: "In Conditional Access nur Netzwerkstandortfilter verwenden" } },
    { id: "C", text: { en: "Deploy an application proxy and ignore identity risk", de: "Einen Application Proxy bereitstellen und Identitätsrisiko ignorieren" } },
    { id: "D", text: { en: "Require a monthly access review for payroll users", de: "Eine monatliche Zugriffsüberprüfung für Gehaltsbenutzer verlangen" } }
  ],
  correct: ["A"],
  explanation: { en: "Identity Protection calculates user and sign-in risk from identity signals, and Conditional Access can act on those signals dynamically. Remediation workflows can restore normal access after risk is addressed.", de: "Identity Protection berechnet Benutzer- und Anmelderisiko aus Identitätssignalen, und Conditional Access kann dynamisch auf diese Signale reagieren. Bereinigungsworkflows können normalen Zugriff wiederherstellen, nachdem das Risiko behoben wurde." },
  hint: { en: "Choose the solution that uses identity risk scoring instead of static network rules.", de: "Wählen Sie die Lösung, die Identitätsrisikobewertung statt statischer Netzwerkregeln verwendet." },
  reference: "https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-configure-risk-policies"
},
{
  id: "sc100-266",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "When designing Microsoft Entra B2B collaboration with partner organizations, which TWO controls best align with Zero Trust?", de: "Welche ZWEI Kontrollen passen bei der Gestaltung von Microsoft-Entra-B2B-Zusammenarbeit mit Partnerorganisationen am besten zu Zero Trust?" },
  options: [
    { id: "A", text: { en: "Configure organization-specific inbound and outbound cross-tenant access settings", de: "Organisationsspezifische ein- und ausgehende Cross-Tenant-Access-Einstellungen konfigurieren" } },
    { id: "B", text: { en: "Trust partner MFA or compliant-device claims selectively where governance allows it", de: "Partner-MFA- oder Geräte-Konformitätsnachweise selektiv vertrauen, wo Governance dies zulässt" } },
    { id: "C", text: { en: "Convert all external users into permanent internal members by default", de: "Alle externen Benutzer standardmäßig in dauerhafte interne Mitglieder umwandeln" } },
    { id: "D", text: { en: "Disable review and expiration controls for guest access to reduce overhead", de: "Überprüfungs- und Ablaufkontrollen für Gastzugriff deaktivieren, um Aufwand zu reduzieren" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Zero Trust collaboration requires explicit partner scoping and careful trust configuration rather than blanket trust. Cross-tenant access settings and selective trust for MFA or device signals support that model.", de: "Zero-Trust-Zusammenarbeit erfordert eine explizite Partnerabgrenzung und eine sorgfältige Vertrauenskonfiguration statt pauschalem Vertrauen. Cross-Tenant-Access-Einstellungen und selektives Vertrauen in MFA- oder Gerätesignale unterstützen dieses Modell." },
  hint: { en: "Pick the answers that scope trust rather than expand implicit access.", de: "Wählen Sie die Antworten, die Vertrauen eingrenzen, statt impliziten Zugriff auszuweiten." },
  reference: "https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview"
},
{
  id: "sc100-267",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which identity governance feature should be used when business owners need to define and delegate approval workflows for bundles of applications, groups, and SharePoint resources?", de: "Welche Identity-Governance-Funktion sollte verwendet werden, wenn Fachverantwortliche Genehmigungsworkflows für Bündel aus Anwendungen, Gruppen und SharePoint-Ressourcen definieren und delegieren müssen?" },
  options: [
    { id: "A", text: { en: "Entitlement management access packages", de: "Entitlement-Management-Zugriffspakete" } },
    { id: "B", text: { en: "Named locations", de: "Benannte Standorte" } },
    { id: "C", text: { en: "Authentication strengths", de: "Authentifizierungsstärken" } },
    { id: "D", text: { en: "Temporary Access Pass", de: "Temporary Access Pass" } }
  ],
  correct: ["A"],
  explanation: { en: "Access packages let business owners govern bundles of resources, approvals, assignment policies, and lifecycle settings without making everything an IT-only process.", de: "Zugriffspakete ermöglichen es Fachverantwortlichen, Bündel von Ressourcen, Genehmigungen, Zuweisungsrichtlinien und Lebenszykluseinstellungen zu steuern, ohne dass alles ausschließlich ein IT-Prozess sein muss." },
  hint: { en: "Choose the feature that packages business access as a governed offering.", de: "Wählen Sie die Funktion, die Geschäftszugriff als gesteuertes Angebot bündelt." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
},
{
  id: "sc100-268",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "Woodgrove Bank must keep research records for 10 years, mark selected items as immutable records, and require disposition review before deletion at the end of the retention period.", de: "Woodgrove Bank muss Forschungsunterlagen 10 Jahre aufbewahren, ausgewählte Elemente als unveränderliche Datensätze kennzeichnen und vor dem Löschen am Ende der Aufbewahrungsfrist eine Dispositionsprüfung verlangen." },
  question: { en: "Which Microsoft Purview design best meets the requirement?", de: "Welches Microsoft-Purview-Design erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Use retention labels with record or regulatory record settings and disposition review", de: "Aufbewahrungsbezeichnungen mit Datensatz- oder regulatorischen Datensatz-Einstellungen und Dispositionsprüfung verwenden" } },
    { id: "B", text: { en: "Use only eDiscovery holds because they are the long-term records solution", de: "Nur eDiscovery-Holds verwenden, weil sie die Langzeitlösung für Datensätze sind" } },
    { id: "C", text: { en: "Rely on mailbox litigation hold for all research content", de: "Sich für alle Forschungsinhalte auf Litigation Hold für Postfächer verlassen" } },
    { id: "D", text: { en: "Export records yearly to file shares and manage deletion manually", de: "Datensätze jährlich in Dateifreigaben exportieren und Löschungen manuell verwalten" } }
  ],
  correct: ["A"],
  explanation: { en: "Purview retention labels support record and regulatory record behavior, event or time-based retention, and disposition review. That combination is designed for defensible records management rather than ad hoc preservation.", de: "Purview-Aufbewahrungsbezeichnungen unterstützen Datensatz- und regulatorisches Datensatzverhalten, ereignis- oder zeitbasierte Aufbewahrung sowie Dispositionsprüfung. Diese Kombination ist für belastbares Records Management ausgelegt und nicht für ad hoc Preservation." },
  hint: { en: "Pick the Purview feature intended for formal records governance.", de: "Wählen Sie die Purview-Funktion, die für formale Datensatz-Governance vorgesehen ist." },
  reference: "https://learn.microsoft.com/en-us/purview/records-management"
},
{
  id: "sc100-269",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Purview solution should legal teams use when they need custodial management, advanced indexing, conversation threading, and near-duplicate detection during an investigation?", de: "Welche Microsoft-Purview-Lösung sollten Rechtsteams verwenden, wenn sie im Rahmen einer Untersuchung Custodian-Verwaltung, erweiterte Indizierung, Conversation Threading und Near-Duplicate-Erkennung benötigen?" },
  options: [
    { id: "A", text: { en: "eDiscovery (Premium)", de: "eDiscovery (Premium)" } },
    { id: "B", text: { en: "Communication compliance", de: "Kommunikationscompliance" } },
    { id: "C", text: { en: "Compliance Manager", de: "Compliance Manager" } },
    { id: "D", text: { en: "Sensitivity labels", de: "Vertraulichkeitsbezeichnungen" } }
  ],
  correct: ["A"],
  explanation: { en: "eDiscovery Premium is built for complex legal investigations with custodians, collections, review sets, analytics, and advanced review experiences such as threading and near-duplicate detection.", de: "eDiscovery Premium ist für komplexe rechtliche Untersuchungen mit Custodians, Sammlungen, Review Sets, Analysen und erweiterten Prüfungsfunktionen wie Threading und Near-Duplicate-Erkennung konzipiert." },
  hint: { en: "Choose the Purview investigation solution with analytics-rich review sets.", de: "Wählen Sie die Purview-Untersuchungslösung mit analysefähigen Review Sets." },
  reference: "https://learn.microsoft.com/en-us/purview/ediscovery"
},
{
  id: "sc100-270",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Contoso, Ltd., security leadership wants DLP controls to react differently depending on insider risk. Users with elevated insider risk should face stricter restrictions on exfiltration actions, while low-risk users should keep normal productivity-friendly controls.", de: "Bei Contoso, Ltd. möchte die Sicherheitsleitung, dass DLP-Kontrollen je nach Insider-Risiko unterschiedlich reagieren. Benutzer mit erhöhtem Insider-Risiko sollen strengere Beschränkungen für Exfiltrationsaktionen erhalten, während Benutzer mit geringem Risiko produktivitätsfreundliche Standardkontrollen behalten sollen." },
  question: { en: "Which Microsoft Purview capability should you design for?", de: "Für welche Microsoft-Purview-Funktion sollten Sie das Design auslegen?" },
  options: [
    { id: "A", text: { en: "Adaptive protection", de: "Adaptive Protection" } },
    { id: "B", text: { en: "Basic audit retention", de: "Grundlegende Auditaufbewahrung" } },
    { id: "C", text: { en: "Records management only", de: "Nur Records Management" } },
    { id: "D", text: { en: "Sensitivity labels without insider signals", de: "Vertraulichkeitsbezeichnungen ohne Insider-Signale" } }
  ],
  correct: ["A"],
  explanation: { en: "Adaptive protection uses insider risk context to dynamically tune the strength of protections such as DLP actions. That allows stronger controls for higher-risk users without applying the harshest restrictions to everyone.", de: "Adaptive Protection nutzt den Kontext des Insider-Risikos, um die Stärke von Schutzmaßnahmen wie DLP-Aktionen dynamisch anzupassen. Dadurch werden stärkere Kontrollen für Benutzer mit höherem Risiko möglich, ohne die strengsten Einschränkungen auf alle anzuwenden." },
  hint: { en: "Look for the feature that changes protection based on insider risk level.", de: "Suchen Sie nach der Funktion, die Schutzmaßnahmen anhand des Insider-Risikoniveaus verändert." },
  reference: "https://learn.microsoft.com/en-us/purview/insider-risk-management-adaptive-protection"
},
{
  id: "sc100-271",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Microsoft Purview solution provides improvement actions and an overall score mapped to regulatory and standards-based assessments?", de: "Welche Microsoft-Purview-Lösung bietet Verbesserungsmaßnahmen und einen Gesamtscore, der regulatorischen und standardbasierten Bewertungen zugeordnet ist?" },
  options: [
    { id: "A", text: { en: "Compliance Manager", de: "Compliance Manager" } },
    { id: "B", text: { en: "eDiscovery", de: "eDiscovery" } },
    { id: "C", text: { en: "Insider Risk Management", de: "Insider Risk Management" } },
    { id: "D", text: { en: "Data connectors", de: "Datenkonnektoren" } }
  ],
  correct: ["A"],
  explanation: { en: "Compliance Manager helps organizations assess compliance posture, track improvement actions, and measure progress against regulations and standards in a structured way.", de: "Compliance Manager hilft Organisationen, die Compliance-Lage zu bewerten, Verbesserungsmaßnahmen nachzuverfolgen und Fortschritte strukturiert gegenüber Vorschriften und Standards zu messen." },
  hint: { en: "Choose the Purview capability focused on assessment and remediation tracking.", de: "Wählen Sie die Purview-Funktion, die auf Bewertung und Nachverfolgung von Maßnahmen ausgerichtet ist." },
  reference: "https://learn.microsoft.com/en-us/purview/compliance-manager"
},
{
  id: "sc100-272",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "A company wants to prevent sensitive data exfiltration across Exchange Online, SharePoint Online, Teams, and managed endpoints. Which TWO capabilities should be central to the design?", de: "Ein Unternehmen möchte die Exfiltration sensibler Daten über Exchange Online, SharePoint Online, Teams und verwaltete Endpunkte hinweg verhindern. Welche ZWEI Funktionen sollten zentraler Bestandteil des Designs sein?" },
  options: [
    { id: "A", text: { en: "Microsoft Purview Data Loss Prevention policies for Microsoft 365 workloads", de: "Microsoft-Purview-Data-Loss-Prevention-Richtlinien für Microsoft-365-Workloads" } },
    { id: "B", text: { en: "Endpoint DLP on supported devices", de: "Endpoint DLP auf unterstützten Geräten" } },
    { id: "C", text: { en: "Administrative units", de: "Administrative Einheiten" } },
    { id: "D", text: { en: "Password protection policy", de: "Kennwortschutzrichtlinie" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Purview DLP covers Microsoft 365 services, while Endpoint DLP extends exfiltration controls to supported client devices. Together they provide a unified policy model across collaboration and endpoint channels.", de: "Purview DLP deckt Microsoft-365-Dienste ab, während Endpoint DLP Exfiltrationskontrollen auf unterstützte Clientgeräte erweitert. Zusammen liefern sie ein einheitliches Richtlinienmodell über Kollaborations- und Endpunktkanäle hinweg." },
  hint: { en: "Choose one answer for cloud collaboration and one for device-level control.", de: "Wählen Sie eine Antwort für Cloud-Kollaboration und eine für gerätebezogene Kontrolle." },
  reference: "https://learn.microsoft.com/en-us/purview/dlp-learn-about-dlp"
},
{
  id: "sc100-273",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Litware, Inc., HR and legal need to detect harassing, threatening, or policy-violating messages in Microsoft Teams and Exchange. Matches must route to trained reviewers without creating a full eDiscovery case for every event.", de: "Bei Litware, Inc. müssen HR und Rechtsabteilung belästigende, bedrohliche oder richtlinienwidrige Nachrichten in Microsoft Teams und Exchange erkennen. Treffer sollen an geschulte Prüfer weitergeleitet werden, ohne für jedes Ereignis einen vollständigen eDiscovery-Fall zu erstellen." },
  question: { en: "Which solution should the architect recommend?", de: "Welche Lösung sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Communication compliance", de: "Kommunikationscompliance" } },
    { id: "B", text: { en: "Compliance Manager", de: "Compliance Manager" } },
    { id: "C", text: { en: "Microsoft Sentinel watchlists", de: "Microsoft-Sentinel-Watchlists" } },
    { id: "D", text: { en: "Administrative units", de: "Administrative Einheiten" } }
  ],
  correct: ["A"],
  explanation: { en: "Communication compliance is designed to detect and review risky or policy-violating communications in collaboration channels. It routes alerts to designated reviewers without requiring a litigation-focused workflow.", de: "Kommunikationscompliance ist dafür ausgelegt, riskante oder richtlinienwidrige Kommunikation in Kollaborationskanälen zu erkennen und zu prüfen. Sie leitet Warnungen an benannte Prüfer weiter, ohne einen prozessfokussierten Litigation-Workflow zu erfordern." },
  hint: { en: "Pick the Purview solution focused on reviewing message behavior.", de: "Wählen Sie die Purview-Lösung, die auf die Prüfung von Nachrichtenverhalten ausgerichtet ist." },
  reference: "https://learn.microsoft.com/en-us/purview/communication-compliance"
},
{
  id: "sc100-274",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Microsoft Purview capability provides searchable user and administrator activity records across Microsoft 365 workloads for forensic investigation?", de: "Welche Microsoft-Purview-Funktion stellt durchsuchbare Aktivitäten von Benutzern und Administratoren über Microsoft-365-Workloads hinweg für forensische Untersuchungen bereit?" },
  options: [
    { id: "A", text: { en: "Microsoft Purview Audit", de: "Microsoft Purview Audit" } },
    { id: "B", text: { en: "Access packages", de: "Zugriffspakete" } },
    { id: "C", text: { en: "Conditional Access", de: "Conditional Access" } },
    { id: "D", text: { en: "Defender for Cloud Apps session policies", de: "Sessionrichtlinien von Defender for Cloud Apps" } }
  ],
  correct: ["A"],
  explanation: { en: "Purview Audit centralizes searchable activity logs across Microsoft 365 services, which is essential for compliance investigations, timeline building, and administrative forensics.", de: "Purview Audit zentralisiert durchsuchbare Aktivitätsprotokolle über Microsoft-365-Dienste hinweg. Das ist wesentlich für Compliance-Untersuchungen, Zeitleistenanalysen und administrative Forensik." },
  hint: { en: "Choose the Purview feature dedicated to audit records.", de: "Wählen Sie die Purview-Funktion, die speziell für Auditaufzeichnungen vorgesehen ist." },
  reference: "https://learn.microsoft.com/en-us/purview/audit-solutions-overview"
},
{
  id: "sc100-275",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, after suspected intellectual property theft, legal must preserve content for named custodians immediately, search across Exchange, Teams, and SharePoint, and export only reviewed relevant data for outside counsel.", de: "Bei Humongous Insurance muss die Rechtsabteilung nach einem vermuteten Diebstahl geistigen Eigentums Inhalte benannter Custodians sofort aufbewahren, über Exchange, Teams und SharePoint hinweg suchen und nur geprüfte relevante Daten für externe Anwälte exportieren." },
  question: { en: "Which design best meets the requirement?", de: "Welches Design erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Create a Microsoft Purview eDiscovery (Premium) case with custodians, holds, collections, and review sets", de: "Einen Microsoft-Purview-eDiscovery-(Premium)-Fall mit Custodians, Holds, Sammlungen und Review Sets erstellen" } },
    { id: "B", text: { en: "Use only retention labels and wait for the normal disposition cycle", de: "Nur Aufbewahrungsbezeichnungen verwenden und auf den normalen Dispositionszyklus warten" } },
    { id: "C", text: { en: "Rely on Communication compliance to preserve all evidence", de: "Sich auf Kommunikationscompliance verlassen, um alle Beweise aufzubewahren" } },
    { id: "D", text: { en: "Copy mailboxes manually to PST and save Teams messages as screenshots", de: "Postfächer manuell in PST kopieren und Teams-Nachrichten als Screenshots speichern" } }
  ],
  correct: ["A"],
  explanation: { en: "eDiscovery Premium provides the investigation workflow for custodians, preservation holds, targeted collection, review sets, analytics, and controlled export for legal matters.", de: "eDiscovery Premium bietet den Untersuchungsworkflow für Custodians, Preservation Holds, gezielte Sammlungen, Review Sets, Analysen und kontrollierten Export für rechtliche Verfahren." },
  hint: { en: "Choose the legal investigation workflow, not the broader records feature.", de: "Wählen Sie den Untersuchungsworkflow für Rechtsfälle und nicht die breitere Records-Funktion." },
  reference: "https://learn.microsoft.com/en-us/purview/ediscovery"
},
{
  id: "sc100-276",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Purview feature should be used to prevent users in restricted business units from communicating or sharing files with specified other groups in Microsoft 365?", de: "Welche Microsoft-Purview-Funktion sollte verwendet werden, um zu verhindern, dass Benutzer in eingeschränkten Geschäftsbereichen mit bestimmten anderen Gruppen in Microsoft 365 kommunizieren oder Dateien teilen?" },
  options: [
    { id: "A", text: { en: "Information barriers", de: "Information Barriers" } },
    { id: "B", text: { en: "Administrative units", de: "Administrative Einheiten" } },
    { id: "C", text: { en: "Privileged access groups", de: "Privileged Access Groups" } },
    { id: "D", text: { en: "Named locations", de: "Benannte Standorte" } }
  ],
  correct: ["A"],
  explanation: { en: "Information barriers enforce communication and collaboration boundaries between defined segments of users in services such as Teams, SharePoint, and Exchange.", de: "Information Barriers erzwingen Kommunikations- und Kollaborationsgrenzen zwischen definierten Benutzersegmenten in Diensten wie Teams, SharePoint und Exchange." },
  hint: { en: "Think about the compliance feature for ethical walls between groups.", de: "Denken Sie an die Compliance-Funktion für sogenannte Ethical Walls zwischen Gruppen." },
  reference: "https://learn.microsoft.com/en-us/purview/information-barriers"
},
{
  id: "sc100-277",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Woodgrove Bank, two companies want to collaborate in Microsoft Teams shared channels without creating guest accounts in each other's tenants. Each side wants users to access the shared resources with home-tenant identities and home policies.", de: "Bei Woodgrove Bank möchten zwei Unternehmen in freigegebenen Microsoft-Teams-Kanälen zusammenarbeiten, ohne in den Mandanten des jeweils anderen Gastkonten zu erstellen. Beide Seiten möchten, dass Benutzer mit ihren Heimmandanten-Identitäten und Heimrichtlinien auf die freigegebenen Ressourcen zugreifen." },
  question: { en: "Which design should be used?", de: "Welches Design sollte verwendet werden?" },
  options: [
    { id: "A", text: { en: "B2B direct connect with cross-tenant access settings", de: "B2B Direct Connect mit Cross-Tenant-Access-Einstellungen" } },
    { id: "B", text: { en: "Classic guest invitations with no partner trust configuration", de: "Klassische Gasteinladungen ohne Partner-Vertrauenseinstellungen" } },
    { id: "C", text: { en: "Azure Lighthouse because it is the Teams shared channel identity model", de: "Azure Lighthouse, weil es das Identitätsmodell für freigegebene Teams-Kanäle ist" } },
    { id: "D", text: { en: "Local Active Directory forest trusts between the two companies", de: "Lokale Active-Directory-Gesamtstrukturvertrauensstellungen zwischen den beiden Unternehmen" } }
  ],
  correct: ["A"],
  explanation: { en: "B2B direct connect is designed for Teams shared channel collaboration where users stay in their home tenant and policies are governed through cross-tenant access settings.", de: "B2B Direct Connect ist für die Zusammenarbeit in freigegebenen Teams-Kanälen ausgelegt, bei der Benutzer in ihrem Heimmandanten bleiben und Richtlinien über Cross-Tenant-Access-Einstellungen gesteuert werden." },
  hint: { en: "Choose the Entra feature created specifically for Teams shared channels.", de: "Wählen Sie die Entra-Funktion, die speziell für freigegebene Teams-Kanäle entwickelt wurde." },
  reference: "https://learn.microsoft.com/en-us/entra/external-id/b2b-direct-connect-overview"
},
{
  id: "sc100-278",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO practices are recommended when designing emergency access accounts for Microsoft Entra?", de: "Welche ZWEI Vorgehensweisen werden bei der Gestaltung von Notfallzugriffskonten für Microsoft Entra empfohlen?" },
  options: [
    { id: "A", text: { en: "Use cloud-only accounts that are not dependent on external federation availability", de: "Cloud-only-Konten verwenden, die nicht von der Verfügbarkeit externer Föderation abhängen" } },
    { id: "B", text: { en: "Exclude the emergency accounts from Conditional Access policies that could block recovery access", de: "Die Notfallkonten von Conditional-Access-Richtlinien ausschließen, die den Wiederherstellungszugriff blockieren könnten" } },
    { id: "C", text: { en: "Share the credentials broadly across all operations staff for convenience", de: "Die Anmeldeinformationen der Einfachheit halber breit mit dem gesamten Betriebspersonal teilen" } },
    { id: "D", text: { en: "Use the accounts for daily administration so they stay familiar to engineers", de: "Die Konten für tägliche Administration verwenden, damit Ingenieure mit ihnen vertraut bleiben" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Emergency access accounts must remain available during outages of normal identity controls. Cloud-only design and exclusion from blocking Conditional Access policies help preserve a break-glass recovery path.", de: "Notfallzugriffskonten müssen auch bei Ausfällen normaler Identitätskontrollen verfügbar bleiben. Cloud-only-Design und der Ausschluss von blockierenden Conditional-Access-Richtlinien helfen, einen Break-Glass-Wiederherstellungspfad zu erhalten." },
  hint: { en: "Pick the answers that maximize recoverability, not daily convenience.", de: "Wählen Sie die Antworten, die Wiederherstellbarkeit maximieren und nicht die tägliche Bequemlichkeit." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access"
},
{
  id: "sc100-279",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "Contoso, Ltd. wants regional help desks to reset passwords and manage group membership only for users in their own region. The security team does not want tenant-wide User Administrator rights delegated to regional staff.", de: "Contoso, Ltd. möchte, dass regionale Helpdesks Kennwörter zurücksetzen und Gruppenmitgliedschaften nur für Benutzer in ihrer eigenen Region verwalten. Das Sicherheitsteam möchte regionalen Mitarbeitern keine mandantenweiten User-Administrator-Rechte delegieren." },
  question: { en: "Which Microsoft Entra design best meets the requirement?", de: "Welches Microsoft-Entra-Design erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Use administrative units with scoped role assignments for each region", de: "Administrative Einheiten mit bereichsbezogenen Rollenzuweisungen pro Region verwenden" } },
    { id: "B", text: { en: "Assign User Administrator at tenant scope to each regional help desk", de: "User Administrator im Mandantenbereich an jede regionale Helpdesk-Gruppe zuweisen" } },
    { id: "C", text: { en: "Create dynamic device groups because they replace delegated administration", de: "Dynamische Gerätegruppen erstellen, weil sie delegierte Administration ersetzen" } },
    { id: "D", text: { en: "Use Privileged Identity Management only, without any scope boundary", de: "Nur Privileged Identity Management ohne Bereichsgrenzen verwenden" } }
  ],
  correct: ["A"],
  explanation: { en: "Administrative units let architects scope directory roles to subsets of users, groups, or devices. That enables regional delegation without granting tenant-wide control.", de: "Administrative Einheiten ermöglichen es Architekten, Verzeichnisrollen auf Teilmengen von Benutzern, Gruppen oder Geräten zu begrenzen. Dadurch wird regionale Delegation möglich, ohne mandantenweite Kontrolle zu gewähren." },
  hint: { en: "Choose the Entra construct used for delegated administration by subset.", de: "Wählen Sie das Entra-Konstrukt, das für delegierte Administration nach Teilmengen verwendet wird." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units"
},
{
  id: "sc100-280",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "Litware, Inc. wants to detect potential insider-driven exfiltration, automatically increase data protection controls for the riskiest users, and provide the SOC with correlated alerts for investigation across security and compliance domains.", de: "Litware, Inc. möchte potenzielle insidergetriebene Exfiltration erkennen, die Datenschutzkontrollen für die riskantesten Benutzer automatisch erhöhen und dem SOC korrelierte Warnungen für Untersuchungen über Sicherheits- und Compliance-Domänen hinweg bereitstellen." },
  question: { en: "Which architecture best meets the requirement?", de: "Welche Architektur erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Combine Purview Insider Risk Management with Adaptive Protection and integrate the resulting signals into the SOC's incident workflows", de: "Purview Insider Risk Management mit Adaptive Protection kombinieren und die entstehenden Signale in die Incident-Workflows des SOC integrieren" } },
    { id: "B", text: { en: "Use only static DLP policies and ask analysts to review cases manually once per quarter", de: "Nur statische DLP-Richtlinien verwenden und Analysten Fälle einmal pro Quartal manuell prüfen lassen" } },
    { id: "C", text: { en: "Use eDiscovery Premium as the primary real-time insider detection engine", de: "eDiscovery Premium als primäre Echtzeit-Engine zur Insider-Erkennung verwenden" } },
    { id: "D", text: { en: "Rely only on endpoint antivirus alerts because they already cover exfiltration intent", de: "Sich nur auf Antivirenwarnungen von Endpunkten verlassen, weil diese bereits Exfiltrationsabsichten abdecken" } }
  ],
  correct: ["A"],
  explanation: { en: "Insider Risk Management identifies risky behavior, Adaptive Protection can tighten controls dynamically, and integrated alert handling lets the SOC investigate the combined security and compliance context.", de: "Insider Risk Management identifiziert riskantes Verhalten, Adaptive Protection kann Kontrollen dynamisch verschärfen, und integrierte Warnungsbearbeitung ermöglicht dem SOC Untersuchungen mit kombiniertem Sicherheits- und Compliance-Kontext." },
  hint: { en: "Choose the design that links insider analytics, dynamic controls, and SOC response.", de: "Wählen Sie das Design, das Insider-Analysen, dynamische Kontrollen und SOC-Reaktion verbindet." },
  reference: "https://learn.microsoft.com/en-us/purview/insider-risk-management-adaptive-protection"
},
{
  id: "sc100-281",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "Contoso is building enterprise landing zones with separate subscriptions for platform, production, and development. Security requires centralized egress inspection, no public IPs on administrative workloads, and tightly controlled east-west traffic between application tiers.", de: "Contoso erstellt Enterprise-Landing-Zones mit separaten Abonnements für Plattform, Produktion und Entwicklung. Die Sicherheit verlangt eine zentrale Prüfung des ausgehenden Datenverkehrs, keine öffentlichen IP-Adressen für administrative Workloads und streng kontrollierten Ost-West-Verkehr zwischen Anwendungsebenen." },
  question: { en: "Which architecture should the security architect recommend?", de: "Welche Architektur sollte der Sicherheitsarchitekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Use a hub-and-spoke design with Azure Firewall in the hub, user-defined routes, Azure Bastion, and segmented spokes", de: "Ein Hub-and-Spoke-Design mit Azure Firewall im Hub, benutzerdefinierten Routen, Azure Bastion und segmentierten Spokes verwenden" } },
    { id: "B", text: { en: "Use one flat virtual network with NSGs and allow direct internet egress from every subnet", de: "Ein einziges flaches virtuelles Netzwerk mit NSGs verwenden und direkten Internetausgang aus jedem Subnetz zulassen" } },
    { id: "C", text: { en: "Deploy separate firewalls in each workload subnet and publish management ports only to corporate IP ranges", de: "Separate Firewalls in jedem Workload-Subnetz bereitstellen und Verwaltungsports nur für Unternehmens-IP-Bereiche veröffentlichen" } },
    { id: "D", text: { en: "Let each subscription owner decide network controls after deployment", de: "Jeden Abonnementbesitzer die Netzwerkkontrollen nach der Bereitstellung selbst festlegen lassen" } }
  ],
  correct: ["A"],
  explanation: { en: "A hub-and-spoke landing zone centralizes inspection and shared services while preserving workload isolation. Routing traffic through Azure Firewall, removing public management exposure, and segmenting spokes reduces lateral movement and supports enterprise governance.", de: "Eine Hub-and-Spoke-Landing-Zone zentralisiert Prüfung und gemeinsam genutzte Dienste und erhält gleichzeitig die Workload-Isolierung. Wenn Datenverkehr über Azure Firewall geleitet, öffentliche Verwaltungszugriffe entfernt und Spokes segmentiert werden, reduziert dies laterale Bewegungen und unterstützt Enterprise-Governance." },
  hint: { en: "Choose the option that combines central inspection with workload isolation.", de: "Wählen Sie die Option, die zentrale Prüfung mit Workload-Isolierung verbindet." },
  reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
},
{
  id: "sc100-282",
  type: "multiple",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO design decisions most effectively reduce attack paths to privileged infrastructure management endpoints?", de: "Welche ZWEI Designentscheidungen reduzieren Angriffspfade zu privilegierten Infrastrukturverwaltungs-Endpunkten am effektivsten?" },
  options: [
    { id: "A", text: { en: "Require administrators to use privileged access workstations for sensitive tasks", de: "Administratoren verpflichten, für sensible Aufgaben Privileged Access Workstations zu verwenden" } },
    { id: "B", text: { en: "Allow admin portals from any personal device as long as MFA is used", de: "Administratorportale von jedem privaten Gerät zulassen, solange MFA verwendet wird" } },
    { id: "C", text: { en: "Remove public RDP and SSH exposure and use Azure Bastion or just-in-time access", de: "Öffentliche RDP- und SSH-Exponierung entfernen und Azure Bastion oder Just-in-Time-Zugriff verwenden" } },
    { id: "D", text: { en: "Place management tools on shared jump boxes accessible to all developers", de: "Verwaltungswerkzeuge auf gemeinsam genutzten Jump Hosts bereitstellen, auf die alle Entwickler zugreifen können" } }
  ],
  correct: ["A", "C"],
  explanation: { en: "Privileged access workstations isolate administrator activity from common compromise paths, and eliminating always-open management ports removes common entry points. Together, these controls materially reduce credential theft and lateral movement opportunities.", de: "Privileged Access Workstations isolieren Administratoraktivitäten von üblichen Kompromittierungspfaden, und das Entfernen dauerhaft offener Verwaltungsports beseitigt typische Einstiegspunkte. Zusammen reduzieren diese Kontrollen spürbar Möglichkeiten für Anmeldedatendiebstahl und laterale Bewegungen." },
  hint: { en: "Pick the answers that isolate admins and remove exposed management surfaces.", de: "Wählen Sie die Antworten, die Administratoren isolieren und exponierte Verwaltungsflächen entfernen." },
  reference: "https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment"
},
{
  id: "sc100-283",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, a global e-commerce platform runs in multiple Azure regions behind public endpoints. Executives want one global entry point, Layer 7 inspection for OWASP risks, and the ability to keep regional origins from being directly exposed.", de: "Bei Humongous Insurance läuft eine globale E-Commerce-Plattform in mehreren Azure-Regionen hinter öffentlichen Endpunkten. Die Geschäftsleitung möchte einen einzigen globalen Einstiegspunkt, Layer-7-Prüfung auf OWASP-Risiken und die Möglichkeit, regionale Ursprungsdienste vor direkter Exponierung zu schützen." },
  question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
  options: [
    { id: "A", text: { en: "Use Azure Front Door Premium with WAF and restrict origin access so traffic flows through Front Door", de: "Azure Front Door Premium mit WAF verwenden und den Ursprung so einschränken, dass der Datenverkehr über Front Door fließt" } },
    { id: "B", text: { en: "Use Azure Traffic Manager only and protect the app with local NSGs", de: "Nur Azure Traffic Manager verwenden und die Anwendung mit lokalen NSGs schützen" } },
    { id: "C", text: { en: "Use Azure DDoS Network Protection only and leave the regional apps directly reachable", de: "Nur Azure DDoS Network Protection verwenden und die regionalen Anwendungen direkt erreichbar lassen" } },
    { id: "D", text: { en: "Publish each regional application separately and rely on application code for request filtering", de: "Jede regionale Anwendung separat veröffentlichen und sich bei der Anforderungsfilterung auf Anwendungscode verlassen" } }
  ],
  correct: ["A"],
  explanation: { en: "Azure Front Door Premium provides global entry, acceleration, and integrated WAF inspection. Restricting origin access reduces direct exposure of regional applications and creates a stronger application-edge pattern than DNS-only routing.", de: "Azure Front Door Premium bietet globalen Einstieg, Beschleunigung und integrierte WAF-Prüfung. Wenn der Ursprungszugriff eingeschränkt wird, verringert sich die direkte Exponierung regionaler Anwendungen, und es entsteht ein stärkeres Muster für den Anwendungseingang als bei reinem DNS-Routing." },
  hint: { en: "Look for the option that combines global entry and web application inspection.", de: "Suchen Sie nach der Option, die globalen Einstieg und Webanwendungsprüfung kombiniert." },
  reference: "https://learn.microsoft.com/en-us/azure/web-application-firewall/overview"
},
{
  id: "sc100-284",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Azure service should be chosen when the primary requirement is automatic mitigation of volumetric and protocol attacks against public IP resources across VNets?", de: "Welcher Azure-Dienst sollte gewählt werden, wenn die Hauptanforderung die automatische Abwehr volumetrischer und protokollbasierter Angriffe auf öffentliche IP-Ressourcen über mehrere VNets hinweg ist?" },
  options: [
    { id: "A", text: { en: "Azure DDoS Network Protection", de: "Azure DDoS Network Protection" } },
    { id: "B", text: { en: "Azure Web Application Firewall", de: "Azure Web Application Firewall" } },
    { id: "C", text: { en: "Azure Firewall Basic", de: "Azure Firewall Basic" } },
    { id: "D", text: { en: "Azure Bastion", de: "Azure Bastion" } }
  ],
  correct: ["A"],
  explanation: { en: "DDoS Network Protection is designed for automatic detection and mitigation of Layer 3 and Layer 4 denial-of-service attacks against protected public IP resources. WAF and Azure Firewall serve different control objectives.", de: "DDoS Network Protection ist für die automatische Erkennung und Abwehr von Denial-of-Service-Angriffen auf Layer 3 und Layer 4 gegen geschützte öffentliche IP-Ressourcen konzipiert. WAF und Azure Firewall verfolgen andere Kontrollziele." },
  hint: { en: "Focus on volumetric network attacks, not web request inspection.", de: "Konzentrieren Sie sich auf volumetrische Netzwerkangriffe, nicht auf die Prüfung von Webanforderungen." },
  reference: "https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview"
},
{
  id: "sc100-285",
  type: "multiple",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO elements are fundamental to a Private Link design that minimizes data exfiltration risk from Azure PaaS services?", de: "Welche ZWEI Elemente sind grundlegend für ein Private-Link-Design, das das Risiko von Datenexfiltration aus Azure-PaaS-Diensten minimiert?" },
  options: [
    { id: "A", text: { en: "Create private endpoints in approved virtual networks", de: "Private Endpunkte in genehmigten virtuellen Netzwerken erstellen" } },
    { id: "B", text: { en: "Integrate name resolution with private DNS zones for the private endpoints", de: "Die Namensauflösung mit privaten DNS-Zonen für die privaten Endpunkte integrieren" } },
    { id: "C", text: { en: "Leave public network access enabled permanently for operational fallback", de: "Den öffentlichen Netzwerkzugriff dauerhaft als betrieblichen Fallback aktiviert lassen" } },
    { id: "D", text: { en: "Use service tags instead of private endpoints for SQL and Storage traffic", de: "Diensttags anstelle privater Endpunkte für SQL- und Storage-Datenverkehr verwenden" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Private Link depends on approved private endpoints and correct private DNS resolution so clients connect to private IPs instead of public service addresses. That pattern helps constrain access paths and supports public endpoint removal where supported.", de: "Private Link basiert auf genehmigten privaten Endpunkten und korrekter privater DNS-Auflösung, damit Clients eine Verbindung zu privaten IP-Adressen statt zu öffentlichen Dienstadressen herstellen. Dieses Muster hilft, Zugriffspfade einzugrenzen und unterstützt die Entfernung öffentlicher Endpunkte, wo dies unterstützt wird." },
  hint: { en: "Choose one answer about private connectivity and one about private name resolution.", de: "Wählen Sie eine Antwort zur privaten Konnektivität und eine zur privaten Namensauflösung." },
  reference: "https://learn.microsoft.com/en-us/azure/private-link/private-link-overview"
},
{
  id: "sc100-286",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "Fabrikam operates Azure virtual machines, on-premises Windows servers, and AWS EC2 instances. The CISO wants unified posture recommendations, server protection, and a governance model that does not require rehosting workloads into Azure first.", de: "Fabrikam betreibt Azure-VMs, lokale Windows-Server und AWS-EC2-Instanzen. Der CISO möchte einheitliche Posture-Empfehlungen, Serverschutz und ein Governance-Modell, das keine vorherige Verlagerung der Workloads nach Azure erfordert." },
  question: { en: "Which design should the architect recommend?", de: "Welches Design sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Onboard on-premises servers with Azure Arc, connect AWS to Defender for Cloud, and enable the relevant server protection plans", de: "Lokale Server mit Azure Arc einbinden, AWS mit Defender for Cloud verbinden und die relevanten Serverschutzpläne aktivieren" } },
    { id: "B", text: { en: "Migrate all workloads into one Azure subscription before applying security controls", de: "Alle Workloads zuerst in ein einziges Azure-Abonnement migrieren, bevor Sicherheitskontrollen angewendet werden" } },
    { id: "C", text: { en: "Keep native tools in each environment and compare the results manually every quarter", de: "Native Werkzeuge in jeder Umgebung beibehalten und die Ergebnisse vierteljährlich manuell vergleichen" } },
    { id: "D", text: { en: "Deploy one network virtual appliance in Azure and use it as the primary multicloud control", de: "Eine virtuelle Netzwerkappliance in Azure bereitstellen und sie als primäre Multicloud-Kontrolle verwenden" } }
  ],
  correct: ["A"],
  explanation: { en: "Azure Arc and Defender for Cloud extend governance and protection across hybrid and multicloud infrastructure without requiring immediate migration. This design creates a unified control plane for posture, inventory, and workload protection.", de: "Azure Arc und Defender for Cloud erweitern Governance und Schutz über hybride und Multicloud-Infrastruktur hinweg, ohne eine sofortige Migration zu erfordern. Dieses Design schafft eine einheitliche Kontrollebene für Posture, Inventarisierung und Workload-Schutz." },
  hint: { en: "Choose the option that centralizes governance without forcing rehosting.", de: "Wählen Sie die Option, die Governance zentralisiert, ohne eine Verlagerung zu erzwingen." },
  reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/multicloud-security-posture-management-overview"
},
{
  id: "sc100-287",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "For Tier-0 administrators who manage identity, networking, and production infrastructure, which endpoint strategy most strongly aligns with Zero Trust?", de: "Welche Endpunktstrategie entspricht für Tier-0-Administratoren, die Identität, Netzwerke und Produktionsinfrastruktur verwalten, am stärksten Zero Trust?" },
  options: [
    { id: "A", text: { en: "Dedicated privileged access workstations that are hardened and used only for administrative tasks", de: "Dedizierte gehärtete Privileged Access Workstations, die nur für Verwaltungsaufgaben genutzt werden" } },
    { id: "B", text: { en: "Standard laptops with local administrator rights so tools can be installed quickly", de: "Standard-Laptops mit lokalen Administratorrechten, damit Werkzeuge schnell installiert werden können" } },
    { id: "C", text: { en: "Shared kiosk devices in the operations room", de: "Gemeinsam genutzte Kioskgeräte im Betriebsraum" } },
    { id: "D", text: { en: "Personally owned devices protected only by VPN access", de: "Private Geräte, die nur durch VPN-Zugriff geschützt sind" } }
  ],
  correct: ["A"],
  explanation: { en: "Privileged access workstations isolate high-impact administrative actions from everyday user activity and reduce exposure to phishing, malware, and credential theft. This is a stronger design than trying to harden general-purpose endpoints for Tier-0 tasks.", de: "Privileged Access Workstations isolieren hochkritische Verwaltungsaktionen von alltäglichen Benutzeraktivitäten und reduzieren die Angriffsfläche für Phishing, Malware und Anmeldedatendiebstahl. Das ist ein stärkeres Design, als Allzweckendpunkte für Tier-0-Aufgaben härten zu wollen." },
  hint: { en: "Think about isolation for the most sensitive admin roles.", de: "Denken Sie an Isolation für die sensibelsten Administratorrollen." },
  reference: "https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment"
},
{
  id: "sc100-288",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Woodgrove Bank, an AKS platform hosts regulated workloads. Architects must eliminate stored Azure secrets in pods, restrict the Kubernetes API to private access, and block privileged containers at admission time.", de: "Bei Woodgrove Bank hostet eine AKS-Plattform regulierte Workloads. Architekten müssen gespeicherte Azure-Geheimnisse in Pods eliminieren, die Kubernetes-API auf privaten Zugriff beschränken und privilegierte Container bereits bei der Aufnahme blockieren." },
  question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
  options: [
    { id: "A", text: { en: "Use Microsoft Entra Workload ID, private AKS clusters, and Azure Policy for Kubernetes", de: "Microsoft Entra Workload ID, private AKS-Cluster und Azure Policy for Kubernetes verwenden" } },
    { id: "B", text: { en: "Use service principal secrets in Kubernetes secrets and keep the API server public", de: "Dienstprinzipal-Geheimnisse in Kubernetes-Secrets verwenden und den API-Server öffentlich lassen" } },
    { id: "C", text: { en: "Run the cluster with unrestricted pod security and rely on manual reviews", de: "Den Cluster mit uneingeschränkter Pod-Sicherheit betreiben und sich auf manuelle Prüfungen verlassen" } },
    { id: "D", text: { en: "Expose the API server through Azure Front Door with WAF", de: "Den API-Server über Azure Front Door mit WAF veröffentlichen" } }
  ],
  correct: ["A"],
  explanation: { en: "Workload ID removes the need for long-lived Azure secrets in pods, private clusters reduce control-plane exposure, and Azure Policy for Kubernetes enforces preventative guardrails. Together they address identity, network exposure, and cluster configuration risk.", de: "Workload ID beseitigt die Notwendigkeit langlebiger Azure-Geheimnisse in Pods, private Cluster reduzieren die Exponierung der Kontrollebene, und Azure Policy for Kubernetes erzwingt präventive Leitplanken. Zusammen adressieren sie Identität, Netzwerkexponierung und Konfigurationsrisiken des Clusters." },
  hint: { en: "Choose the option that removes pod secrets and hardens the control plane.", de: "Wählen Sie die Option, die Pod-Geheimnisse entfernt und die Kontrollebene härtet." },
  reference: "https://learn.microsoft.com/en-us/azure/aks/workload-identity-overview"
},
{
  id: "sc100-289",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Azure Firewall SKU should architects choose when outbound TLS inspection and intrusion detection are explicit requirements?", de: "Welche Azure-Firewall-SKU sollten Architekten wählen, wenn ausgehende TLS-Inspektion und Angriffserkennung explizite Anforderungen sind?" },
  options: [
    { id: "A", text: { en: "Azure Firewall Premium", de: "Azure Firewall Premium" } },
    { id: "B", text: { en: "Azure Firewall Standard", de: "Azure Firewall Standard" } },
    { id: "C", text: { en: "Azure Firewall Basic", de: "Azure Firewall Basic" } },
    { id: "D", text: { en: "Azure DNS Private Resolver", de: "Azure DNS Private Resolver" } }
  ],
  correct: ["A"],
  explanation: { en: "Azure Firewall Premium adds TLS inspection and IDPS capabilities that are not the primary feature set of the lower SKUs. It is the right choice when architects need deeper inspection of encrypted traffic flows.", de: "Azure Firewall Premium fügt TLS-Inspektion und IDPS-Funktionen hinzu, die nicht den primären Funktionsumfang der kleineren SKUs bilden. Sie ist die richtige Wahl, wenn Architekten eine tiefere Prüfung verschlüsselter Datenströme benötigen." },
  hint: { en: "Pick the SKU with advanced inspection features.", de: "Wählen Sie die SKU mit erweiterten Prüffunktionen." },
  reference: "https://learn.microsoft.com/en-us/azure/firewall/premium-features"
},
{
  id: "sc100-290",
  type: "multiple",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO controls should typically be enforced at management group scope in a secure landing zone design?", de: "Welche ZWEI Kontrollen sollten in einem sicheren Landing-Zone-Design typischerweise im Bereich von Verwaltungsgruppen erzwungen werden?" },
  options: [
    { id: "A", text: { en: "Azure Policy initiatives for mandatory security guardrails", de: "Azure-Policy-Initiativen für verpflichtende Sicherheitsleitplanken" } },
    { id: "B", text: { en: "Requirements for centralized logging and diagnostic configuration through policy", de: "Anforderungen für zentrales Logging und Diagnosekonfiguration durch Richtlinien" } },
    { id: "C", text: { en: "Manual exception tracking in spreadsheets as the primary control mechanism", de: "Manuelle Nachverfolgung von Ausnahmen in Tabellen als primärer Kontrollmechanismus" } },
    { id: "D", text: { en: "Local administrator discretion for each subscription after deployment", de: "Entscheidungsfreiheit lokaler Administratoren pro Abonnement nach der Bereitstellung" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Management groups are designed to apply mandatory controls consistently across many subscriptions. Security guardrails and centralized logging requirements belong at that scope because they reduce drift and improve auditability.", de: "Verwaltungsgruppen sind dafür ausgelegt, verpflichtende Kontrollen konsistent über viele Abonnements hinweg anzuwenden. Sicherheitsleitplanken und Anforderungen an zentrales Logging gehören in diesen Bereich, weil sie Drift reduzieren und die Nachvollziehbarkeit verbessern." },
  hint: { en: "Choose the answers that scale governance above the subscription level.", de: "Wählen Sie die Antworten, die Governance oberhalb der Abonnementebene skalieren." },
  reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
},
{
  id: "sc100-291",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Contoso, Ltd., a public payment portal must withstand large volumetric attacks while also blocking SQL injection and cross-site scripting. Security wants both protections designed as complementary layers, not as alternatives.", de: "Bei Contoso, Ltd. muss ein öffentliches Zahlungsportal große volumetrische Angriffe abwehren und gleichzeitig SQL-Injection sowie Cross-Site Scripting blockieren. Die Sicherheit möchte beide Schutzmechanismen als ergänzende Schichten und nicht als Alternativen entwerfen." },
  question: { en: "Which architecture is the best fit?", de: "Welche Architektur passt am besten?" },
  options: [
    { id: "A", text: { en: "Combine Azure DDoS Network Protection with a WAF-enabled web entry point", de: "Azure DDoS Network Protection mit einem WAF-geschützten Webeingang kombinieren" } },
    { id: "B", text: { en: "Use only Azure Firewall Standard for all attack types", de: "Nur Azure Firewall Standard für alle Angriffsarten verwenden" } },
    { id: "C", text: { en: "Use only NSGs and autoscaling for resilience", de: "Nur NSGs und Autoskalierung für Resilienz verwenden" } },
    { id: "D", text: { en: "Publish the application directly and rely on input validation alone", de: "Die Anwendung direkt veröffentlichen und sich nur auf Eingabevalidierung verlassen" } }
  ],
  correct: ["A"],
  explanation: { en: "DDoS Network Protection addresses large-scale network attacks, while WAF addresses application-layer threats such as SQL injection and cross-site scripting. Using both creates layered protection aligned to different attack surfaces.", de: "DDoS Network Protection adressiert groß angelegte Netzwerkangriffe, während WAF Anwendungsschicht-Bedrohungen wie SQL-Injection und Cross-Site Scripting adressiert. Der gemeinsame Einsatz schafft einen mehrschichtigen Schutz für unterschiedliche Angriffsflächen." },
  hint: { en: "One control handles network floods; the other inspects HTTP traffic.", de: "Eine Kontrolle behandelt Netzwerküberlastungen, die andere prüft HTTP-Datenverkehr." },
  reference: "https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview"
},
{
  id: "sc100-292",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Azure service lets administrators open browser-based RDP and SSH sessions to private VMs without assigning a public IP to each machine?", de: "Welcher Azure-Dienst ermöglicht Administratoren browserbasierte RDP- und SSH-Sitzungen zu privaten VMs, ohne jeder Maschine eine öffentliche IP-Adresse zuzuweisen?" },
  options: [
    { id: "A", text: { en: "Azure Bastion", de: "Azure Bastion" } },
    { id: "B", text: { en: "Azure Front Door", de: "Azure Front Door" } },
    { id: "C", text: { en: "Azure Route Server", de: "Azure Route Server" } },
    { id: "D", text: { en: "Azure Traffic Manager", de: "Azure Traffic Manager" } }
  ],
  correct: ["A"],
  explanation: { en: "Azure Bastion provides managed browser-based administrative connectivity to VMs over private IP addresses. This reduces direct exposure of management protocols on workload machines.", de: "Azure Bastion bietet verwaltete browserbasierte Administrationskonnektivität zu VMs über private IP-Adressen. Dadurch wird die direkte Exponierung von Verwaltungsprotokollen auf Workload-Maschinen reduziert." },
  hint: { en: "Think of the managed Azure jump-host service.", de: "Denken Sie an den verwalteten Azure-Jump-Host-Dienst." },
  reference: "https://learn.microsoft.com/en-us/azure/bastion/bastion-overview"
},
{
  id: "sc100-293",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Litware, Inc., a finance team must access Azure SQL Database and Storage from on-premises over ExpressRoute. The architect must remove dependency on public endpoints and keep name resolution consistent for private service access.", de: "Bei Litware, Inc. muss ein Finanzteam über ExpressRoute von lokal auf Azure SQL Database und Storage zugreifen. Der Architekt muss die Abhängigkeit von öffentlichen Endpunkten entfernen und die Namensauflösung für privaten Dienstzugriff konsistent halten." },
  question: { en: "Which design should be used?", de: "Welches Design sollte verwendet werden?" },
  options: [
    { id: "A", text: { en: "Use Private Endpoints, integrate DNS with private zones, and route traffic over private connectivity", de: "Private Endpunkte verwenden, DNS mit privaten Zonen integrieren und den Datenverkehr über private Konnektivität leiten" } },
    { id: "B", text: { en: "Use service endpoints from on-premises networks", de: "Dienstendpunkte aus lokalen Netzwerken verwenden" } },
    { id: "C", text: { en: "Keep public endpoints and restrict them to known source IP ranges", de: "Öffentliche Endpunkte beibehalten und auf bekannte Quell-IP-Bereiche beschränken" } },
    { id: "D", text: { en: "Publish the PaaS endpoints through Azure Bastion", de: "Die PaaS-Endpunkte über Azure Bastion veröffentlichen" } }
  ],
  correct: ["A"],
  explanation: { en: "Private Endpoints provide private IP-based access to supported PaaS services, and private DNS integration ensures clients resolve the service names to those private addresses. This enables a cleaner private-access architecture than simply filtering public endpoints.", de: "Private Endpunkte bieten privaten IP-basierten Zugriff auf unterstützte PaaS-Dienste, und die Integration privater DNS-Zonen stellt sicher, dass Clients die Dienstnamen in diese privaten Adressen auflösen. Das ermöglicht eine sauberere Architektur für privaten Zugriff als das bloße Filtern öffentlicher Endpunkte." },
  hint: { en: "Choose the answer that replaces public service access with private IP-based access.", de: "Wählen Sie die Antwort, die öffentlichen Dienstzugriff durch privaten IP-basierten Zugriff ersetzt." },
  reference: "https://learn.microsoft.com/en-us/azure/private-link/private-link-overview"
},
{
  id: "sc100-294",
  type: "multiple",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO design choices best reduce lateral movement toward crown-jewel workloads in Azure?", de: "Welche ZWEI Designentscheidungen reduzieren laterale Bewegungen in Richtung besonders kritischer Workloads in Azure am besten?" },
  options: [
    { id: "A", text: { en: "Segment workloads by tier or trust boundary with deny-by-default filtering", de: "Workloads nach Ebene oder Vertrauensgrenze segmentieren und standardmäßig blockierende Filterung einsetzen" } },
    { id: "B", text: { en: "Route east-west traffic that requires inspection through a central Azure Firewall", de: "Ost-West-Datenverkehr, der geprüft werden muss, über eine zentrale Azure Firewall leiten" } },
    { id: "C", text: { en: "Place all workloads in one subnet to simplify routing and troubleshooting", de: "Alle Workloads in ein Subnetz legen, um Routing und Fehlersuche zu vereinfachen" } },
    { id: "D", text: { en: "Allow administrators to open temporary public RDP during incidents", de: "Administratoren erlauben, bei Vorfällen temporär öffentliches RDP zu öffnen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Reducing lateral movement depends on clear trust boundaries and controlled inspection paths. Segmenting workloads and selectively steering traffic through centralized inspection limits unintended reachability between workloads.", de: "Die Reduzierung lateraler Bewegungen hängt von klaren Vertrauensgrenzen und kontrollierten Prüfpunkten ab. Wenn Workloads segmentiert und Datenverkehr gezielt durch zentrale Prüfung geleitet wird, sinkt die unbeabsichtigte Erreichbarkeit zwischen Workloads." },
  hint: { en: "Pick one answer about segmentation and one about controlled inspection paths.", de: "Wählen Sie eine Antwort zur Segmentierung und eine zu kontrollierten Prüfpunkten." },
  reference: "https://learn.microsoft.com/en-us/azure/architecture/networking/guide/network-level-segmentation"
},
{
  id: "sc100-295",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, after several acquisitions, an organization needs one security program across Azure, AWS, and Google Cloud. Leaders specifically want contextual attack-path visibility and prioritized remediation instead of isolated findings from each cloud.", de: "Bei Humongous Insurance benötigt eine Organisation nach mehreren Übernahmen ein einheitliches Sicherheitsprogramm über Azure, AWS und Google Cloud hinweg. Die Leitung möchte ausdrücklich kontextbezogene Transparenz über Angriffspfade und priorisierte Gegenmaßnahmen statt isolierter Erkenntnisse aus jeder Cloud." },
  question: { en: "Which design is the best fit?", de: "Welches Design ist am besten geeignet?" },
  options: [
    { id: "A", text: { en: "Use Defender for Cloud with multicloud connectors and Defender CSPM capabilities", de: "Defender for Cloud mit Multicloud-Konnektoren und Defender-CSPM-Funktionen verwenden" } },
    { id: "B", text: { en: "Depend on separate native dashboards in each cloud and compare them manually", de: "Auf getrennte native Dashboards in jeder Cloud setzen und diese manuell vergleichen" } },
    { id: "C", text: { en: "Centralize only network flow logs and ignore resource posture data", de: "Nur Netzwerkflussprotokolle zentralisieren und Ressourcen-Posture-Daten ignorieren" } },
    { id: "D", text: { en: "Standardize on one antivirus product and delay posture integration", de: "Sich auf ein Antivirenprodukt standardisieren und die Posture-Integration verschieben" } }
  ],
  correct: ["A"],
  explanation: { en: "Defender for Cloud can aggregate multicloud posture data and provide contextual analysis such as attack paths and prioritized recommendations. That supports architect-level decisions better than isolated, cloud-specific dashboards.", de: "Defender for Cloud kann Multicloud-Posture-Daten zusammenführen und kontextbezogene Analysen wie Angriffspfade und priorisierte Empfehlungen bereitstellen. Das unterstützt Architekturentscheidungen besser als isolierte, cloudspezifische Dashboards." },
  hint: { en: "Choose the option that unifies posture and prioritization across clouds.", de: "Wählen Sie die Option, die Posture und Priorisierung über Clouds hinweg vereinheitlicht." },
  reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-attack-path"
},
{
  id: "sc100-296",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "For a regional web application hosted behind an Azure virtual network, which service is most appropriate when the design calls for reverse proxy, TLS termination, and WAF inspection in the same component?", de: "Welcher Dienst ist für eine regionale Webanwendung hinter einem Azure Virtual Network am besten geeignet, wenn das Design Reverse Proxy, TLS-Terminierung und WAF-Prüfung in derselben Komponente vorsieht?" },
  options: [
    { id: "A", text: { en: "Application Gateway with Web Application Firewall", de: "Application Gateway mit Web Application Firewall" } },
    { id: "B", text: { en: "Azure Front Door Standard without WAF", de: "Azure Front Door Standard ohne WAF" } },
    { id: "C", text: { en: "Azure DDoS IP Protection", de: "Azure DDoS IP Protection" } },
    { id: "D", text: { en: "Azure Route Server", de: "Azure Route Server" } }
  ],
  correct: ["A"],
  explanation: { en: "Application Gateway with WAF provides regional reverse proxy capabilities, TLS termination, and Layer 7 filtering in a single service. It is a strong fit when the application is anchored to a regional VNet-based architecture.", de: "Application Gateway mit WAF bietet regionale Reverse-Proxy-Funktionen, TLS-Terminierung und Layer-7-Filterung in einem einzigen Dienst. Das ist eine starke Wahl, wenn die Anwendung an eine regionale VNet-basierte Architektur gebunden ist." },
  hint: { en: "Think of the regional Azure service that combines reverse proxy and WAF.", de: "Denken Sie an den regionalen Azure-Dienst, der Reverse Proxy und WAF kombiniert." },
  reference: "https://learn.microsoft.com/en-us/azure/web-application-firewall/overview"
},
{
  id: "sc100-297",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "Woodgrove Bank needs separate landing zones for production, development, and shared services. Auditors require clear blast-radius boundaries, inherited security policy, and centralized network services without giving application teams control of the platform layer.", de: "Woodgrove Bank benötigt separate Landing Zones für Produktion, Entwicklung und gemeinsam genutzte Dienste. Prüfer verlangen klare Grenzen für den Blast Radius, vererbte Sicherheitsrichtlinien und zentrale Netzwerkdienste, ohne Anwendungsteams Kontrolle über die Plattformebene zu geben." },
  question: { en: "Which design should be recommended?", de: "Welches Design sollte empfohlen werden?" },
  options: [
    { id: "A", text: { en: "Use management groups, dedicated subscriptions per environment, and platform services in shared hub subscriptions", de: "Verwaltungsgruppen, dedizierte Abonnements pro Umgebung und Plattformdienste in gemeinsam genutzten Hub-Abonnements verwenden" } },
    { id: "B", text: { en: "Put all environments in one subscription and separate them only with tags", de: "Alle Umgebungen in ein Abonnement legen und nur mit Tags trennen" } },
    { id: "C", text: { en: "Allow every application team to build and govern its own hub network", de: "Jedem Anwendungsteam erlauben, sein eigenes Hub-Netzwerk aufzubauen und zu verwalten" } },
    { id: "D", text: { en: "Use one shared contributor group across platform and workload resources", de: "Eine gemeinsame Contributor-Gruppe für Plattform- und Workload-Ressourcen verwenden" } }
  ],
  correct: ["A"],
  explanation: { en: "Separate subscriptions and management groups provide governance boundaries and better blast-radius control. Central platform subscriptions keep shared services under tighter control while still allowing workload teams to consume approved connectivity and security services.", de: "Separate Abonnements und Verwaltungsgruppen schaffen Governance-Grenzen und eine bessere Kontrolle des Blast Radius. Zentrale Plattformabonnements halten gemeinsam genutzte Dienste unter strengerer Kontrolle, während Workload-Teams weiterhin genehmigte Konnektivitäts- und Sicherheitsdienste nutzen können." },
  hint: { en: "Choose the option that separates environments and centralizes shared platform controls.", de: "Wählen Sie die Option, die Umgebungen trennt und gemeinsame Plattformkontrollen zentralisiert." },
  reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
},
{
  id: "sc100-298",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "What is the primary security value of Azure Arc-enabled Kubernetes in a hybrid or multicloud design?", de: "Was ist der primäre Sicherheitsnutzen von Azure Arc-enabled Kubernetes in einem hybriden oder Multicloud-Design?" },
  options: [
    { id: "A", text: { en: "It projects external clusters into Azure so policy, RBAC, and extensions can be applied consistently", de: "Es projiziert externe Cluster in Azure, sodass Richtlinien, RBAC und Erweiterungen konsistent angewendet werden können" } },
    { id: "B", text: { en: "It replaces Kubernetes RBAC with local Windows groups", de: "Es ersetzt Kubernetes-RBAC durch lokale Windows-Gruppen" } },
    { id: "C", text: { en: "It publishes every cluster API server to the internet by default", de: "Es veröffentlicht standardmäßig jeden Cluster-API-Server im Internet" } },
    { id: "D", text: { en: "It migrates every cluster into AKS automatically", de: "Es migriert jeden Cluster automatisch in AKS" } }
  ],
  correct: ["A"],
  explanation: { en: "Azure Arc-enabled Kubernetes brings non-AKS clusters into Azure management so architects can apply governance, policy, and extensions more consistently across environments. It strengthens control consistency rather than replacing Kubernetes fundamentals.", de: "Azure Arc-enabled Kubernetes bringt Nicht-AKS-Cluster in die Azure-Verwaltung, sodass Architekten Governance, Richtlinien und Erweiterungen konsistenter über Umgebungen hinweg anwenden können. Es stärkt die Konsistenz der Kontrollen, ersetzt aber nicht die Kubernetes-Grundlagen." },
  hint: { en: "Think about centralized governance for clusters running outside Azure.", de: "Denken Sie an zentrale Governance für Cluster, die außerhalb von Azure laufen." },
  reference: "https://learn.microsoft.com/en-us/azure/azure-arc/kubernetes/overview"
},
{
  id: "sc100-299",
  type: "multiple",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO choices are most aligned with AKS hardening for sensitive workloads?", de: "Welche ZWEI Optionen entsprechen am stärksten der Härtung von AKS für sensible Workloads?" },
  options: [
    { id: "A", text: { en: "Use a private cluster to limit control-plane exposure", de: "Einen privaten Cluster verwenden, um die Exponierung der Kontrollebene zu begrenzen" } },
    { id: "B", text: { en: "Enforce Kubernetes network policies between namespaces or pods", de: "Kubernetes-Netzwerkrichtlinien zwischen Namespaces oder Pods erzwingen" } },
    { id: "C", text: { en: "Store cloud credentials in ConfigMaps for easier application access", de: "Cloud-Anmeldedaten in ConfigMaps speichern, damit Anwendungen leichter darauf zugreifen können" } },
    { id: "D", text: { en: "Grant cluster-admin permanently to all application teams", de: "Allen Anwendungsteams dauerhaft cluster-admin gewähren" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Private clusters reduce exposure of the control plane, while network policies reduce unnecessary east-west communication between workloads. Both are foundational AKS hardening measures for sensitive environments.", de: "Private Cluster reduzieren die Exponierung der Kontrollebene, während Netzwerkrichtlinien unnötige Ost-West-Kommunikation zwischen Workloads verringern. Beides sind grundlegende Härtungsmaßnahmen für AKS in sensiblen Umgebungen." },
  hint: { en: "Pick one answer for control-plane exposure and one for workload isolation.", de: "Wählen Sie eine Antwort zur Exponierung der Kontrollebene und eine zur Workload-Isolierung." },
  reference: "https://learn.microsoft.com/en-us/azure/aks/operator-best-practices-cluster-security"
},
{
  id: "sc100-300",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Contoso, Ltd., operations teams manage Linux and Windows VMs across many spokes. The design must avoid public management ports, support portal-based administration, and limit inbound exposure when no session is active.", de: "Bei Contoso, Ltd. verwalten Betriebsteams Linux- und Windows-VMs über viele Spokes hinweg. Das Design muss öffentliche Verwaltungsports vermeiden, portalbasierte Administration unterstützen und die eingehende Exponierung begrenzen, wenn keine Sitzung aktiv ist." },
  question: { en: "Which design should be used?", de: "Welches Design sollte verwendet werden?" },
  options: [
    { id: "A", text: { en: "Deploy Azure Bastion in the hub and use just-in-time VM access where appropriate", de: "Azure Bastion im Hub bereitstellen und, wo geeignet, Just-in-Time-Zugriff für VMs verwenden" } },
    { id: "B", text: { en: "Assign public IPs to every VM and protect them with NSGs", de: "Jeder VM eine öffentliche IP-Adresse zuweisen und sie mit NSGs schützen" } },
    { id: "C", text: { en: "Use one shared local administrator account and a VPN only", de: "Ein gemeinsam genutztes lokales Administratorkonto und nur ein VPN verwenden" } },
    { id: "D", text: { en: "Permit RDP and SSH from the corporate public IP range at all times", de: "RDP und SSH dauerhaft aus dem öffentlichen IP-Bereich des Unternehmens zulassen" } }
  ],
  correct: ["A"],
  explanation: { en: "Azure Bastion removes the need to expose RDP and SSH on individual VMs, and just-in-time access further reduces administrative exposure windows for supported scenarios. This is more secure than leaving management ports reachable.", de: "Azure Bastion macht es überflüssig, RDP und SSH auf einzelnen VMs freizugeben, und Just-in-Time-Zugriff reduziert bei unterstützten Szenarien zusätzlich die Exponierungszeit administrativer Zugriffe. Das ist sicherer, als Verwaltungsports erreichbar zu lassen." },
  hint: { en: "Choose the design that minimizes management exposure by default.", de: "Wählen Sie das Design, das die Verwaltungsexponierung standardmäßig minimiert." },
  reference: "https://learn.microsoft.com/en-us/azure/bastion/bastion-overview"
},
{
  id: "sc100-301",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which control is designed primarily to mitigate Layer 3 and Layer 4 denial-of-service attacks against Azure public IP resources?", de: "Welche Kontrolle ist primär dafür ausgelegt, Denial-of-Service-Angriffe auf Layer 3 und Layer 4 gegen öffentliche Azure-IP-Ressourcen abzuwehren?" },
  options: [
    { id: "A", text: { en: "Azure DDoS Network Protection", de: "Azure DDoS Network Protection" } },
    { id: "B", text: { en: "Azure Web Application Firewall", de: "Azure Web Application Firewall" } },
    { id: "C", text: { en: "Azure Firewall", de: "Azure Firewall" } },
    { id: "D", text: { en: "Azure Private Link", de: "Azure Private Link" } }
  ],
  correct: ["A"],
  explanation: { en: "Azure DDoS Network Protection is the Azure service built for volumetric and protocol attack mitigation at the network layer. WAF is for web-layer inspection, not for absorbing large L3 and L4 attacks.", de: "Azure DDoS Network Protection ist der Azure-Dienst für die Abwehr volumetrischer und protokollbasierter Angriffe auf der Netzwerkschicht. WAF ist für die Prüfung auf Webebene gedacht, nicht für die Abwehr großer L3- und L4-Angriffe." },
  hint: { en: "Think network-layer flood protection.", de: "Denken Sie an Schutz vor Überflutung auf Netzwerkschicht." },
  reference: "https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview"
},
{
  id: "sc100-302",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Defender for Cloud plan should underpin a design that needs vulnerability assessment, endpoint protection integration, and just-in-time access for supported servers?", de: "Welcher Defender-for-Cloud-Plan sollte die Grundlage für ein Design bilden, das Schwachstellenbewertung, Integration von Endpunktschutz und Just-in-Time-Zugriff für unterstützte Server benötigt?" },
  options: [
    { id: "A", text: { en: "Defender for Servers Plan 2", de: "Defender for Servers Plan 2" } },
    { id: "B", text: { en: "Defender for Key Vault", de: "Defender for Key Vault" } },
    { id: "C", text: { en: "Defender for App Service", de: "Defender for App Service" } },
    { id: "D", text: { en: "Defender for Storage", de: "Defender for Storage" } }
  ],
  correct: ["A"],
  explanation: { en: "Defender for Servers Plan 2 is the plan aligned to advanced server protection scenarios, including vulnerability-related insights and just-in-time access for supported machines. The other plans protect different resource types.", de: "Defender for Servers Plan 2 ist der Plan für fortgeschrittene Serverschutzszenarien, einschließlich schwachstellenbezogener Erkenntnisse und Just-in-Time-Zugriff für unterstützte Maschinen. Die anderen Pläne schützen andere Ressourcentypen." },
  hint: { en: "Choose the plan focused on server workloads.", de: "Wählen Sie den Plan, der auf Server-Workloads ausgerichtet ist." },
  reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/plan-defender-for-servers-select-plan"
},
{
  id: "sc100-303",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Litware, Inc., a data platform uses Azure Storage, Key Vault, and SQL Database. The security architect must ensure these services are reachable only from approved virtual networks and that public internet paths are removed wherever supported.", de: "Bei Litware, Inc. verwendet eine Datenplattform Azure Storage, Key Vault und SQL Database. Der Sicherheitsarchitekt muss sicherstellen, dass diese Dienste nur aus genehmigten virtuellen Netzwerken erreichbar sind und öffentliche Internetpfade überall dort entfernt werden, wo dies unterstützt wird." },
  question: { en: "Which design best meets the requirement?", de: "Welches Design erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Use Private Endpoints for each service, disable public network access where supported, and control DNS resolution centrally", de: "Private Endpunkte für jeden Dienst verwenden, öffentlichen Netzwerkzugriff wo unterstützt deaktivieren und die DNS-Auflösung zentral steuern" } },
    { id: "B", text: { en: "Keep public endpoints and rely on strong passwords and role assignments", de: "Öffentliche Endpunkte beibehalten und sich auf starke Kennwörter und Rollenzuweisungen verlassen" } },
    { id: "C", text: { en: "Use only NSGs because PaaS services are already isolated by Microsoft", de: "Nur NSGs verwenden, weil PaaS-Dienste bereits von Microsoft isoliert sind" } },
    { id: "D", text: { en: "Publish all service endpoints through a reverse proxy in the DMZ", de: "Alle Dienstendpunkte über einen Reverse Proxy in der DMZ veröffentlichen" } }
  ],
  correct: ["A"],
  explanation: { en: "Private Endpoints and centralized private DNS create a consistent private-access pattern for PaaS services. Disabling public access where supported reduces exposure and narrows the set of valid network paths.", de: "Private Endpunkte und zentrale private DNS-Zonen schaffen ein konsistentes Muster für privaten Zugriff auf PaaS-Dienste. Das Deaktivieren öffentlicher Zugriffe, wo dies unterstützt wird, reduziert die Angriffsfläche und begrenzt die gültigen Netzwerkpfade." },
  hint: { en: "Choose the option that removes public reachability rather than merely filtering it.", de: "Wählen Sie die Option, die öffentliche Erreichbarkeit entfernt, statt sie nur zu filtern." },
  reference: "https://learn.microsoft.com/en-us/azure/private-link/private-link-overview"
},
{
  id: "sc100-304",
  type: "multiple",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO design choices best support centralized Azure Firewall governance across multiple hubs or regions?", de: "Welche ZWEI Designentscheidungen unterstützen eine zentralisierte Governance von Azure Firewall über mehrere Hubs oder Regionen hinweg am besten?" },
  options: [
    { id: "A", text: { en: "Use Azure Firewall Policy to manage rules consistently", de: "Azure Firewall Policy verwenden, um Regeln konsistent zu verwalten" } },
    { id: "B", text: { en: "Associate regional firewalls with shared parent or child policies for inheritance", de: "Regionale Firewalls mit gemeinsamen übergeordneten oder untergeordneten Richtlinien für Vererbung verknüpfen" } },
    { id: "C", text: { en: "Configure each firewall independently by local administrators only", de: "Jede Firewall ausschließlich von lokalen Administratoren unabhängig konfigurieren lassen" } },
    { id: "D", text: { en: "Depend on NSGs alone for requirements that need central application-aware inspection", de: "Sich bei Anforderungen, die zentrale anwendungsbezogene Prüfung benötigen, allein auf NSGs verlassen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Azure Firewall Policy is the recommended mechanism for consistent rule management, and policy inheritance helps scale governance across multiple firewalls. Independent local rule sets increase drift and weaken centralized control.", de: "Azure Firewall Policy ist der empfohlene Mechanismus für konsistente Regelverwaltung, und Richtlinienvererbung hilft, Governance über mehrere Firewalls hinweg zu skalieren. Unabhängige lokale Regelsätze erhöhen Drift und schwächen die zentrale Kontrolle." },
  hint: { en: "Pick the answers that centralize rule definition and reuse.", de: "Wählen Sie die Antworten, die Regeldefinition und Wiederverwendung zentralisieren." },
  reference: "https://learn.microsoft.com/en-us/azure/firewall-manager/policy-overview"
},
{
  id: "sc100-305",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Defender for Cloud capability is most useful when architects want to prioritize remediations that break realistic exploit chains rather than fix isolated findings in random order?", de: "Welche Defender-for-Cloud-Funktion ist am nützlichsten, wenn Architekten Gegenmaßnahmen priorisieren möchten, die realistische Exploit-Ketten unterbrechen, statt isolierte Befunde in zufälliger Reihenfolge zu beheben?" },
  options: [
    { id: "A", text: { en: "Attack path analysis", de: "Angriffspfadanalyse" } },
    { id: "B", text: { en: "Cost Management", de: "Cost Management" } },
    { id: "C", text: { en: "Azure Service Health", de: "Azure Service Health" } },
    { id: "D", text: { en: "Azure Policy remediation tasks", de: "Azure-Policy-Korrekturaufgaben" } }
  ],
  correct: ["A"],
  explanation: { en: "Attack path analysis highlights exploit chains and choke points that matter most to an attacker. That helps architects focus on remediations that reduce practical breach paths instead of treating every finding as equally urgent.", de: "Die Angriffspfadanalyse zeigt Exploit-Ketten und Engpässe, die für einen Angreifer am wichtigsten sind. Dadurch können Architekten Gegenmaßnahmen auf praktische Einbruchspfade ausrichten, statt jeden Befund als gleich dringend zu behandeln." },
  hint: { en: "Choose the capability that adds context to exposure, not just a list of findings.", de: "Wählen Sie die Funktion, die Risiken kontextualisiert und nicht nur Befunde auflistet." },
  reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/how-to-manage-attack-path"
},
{
  id: "sc100-306",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, an outsourcing partner must administer production infrastructure, but the organization forbids privileged access from unmanaged contractor laptops. The solution must isolate admin activity, enforce strong device controls, and avoid exposing VM management ports.", de: "Bei Humongous Insurance muss ein Outsourcing-Partner Produktionsinfrastruktur verwalten, aber die Organisation verbietet privilegierten Zugriff von nicht verwalteten Laptops externer Mitarbeiter. Die Lösung muss Administratoraktivitäten isolieren, starke Gerätekontrollen erzwingen und die Exponierung von VM-Verwaltungsports vermeiden." },
  question: { en: "Which design should be recommended?", de: "Welches Design sollte empfohlen werden?" },
  options: [
    { id: "A", text: { en: "Require privileged access workstations or secured admin endpoints and use Azure Bastion for VM access", de: "Privileged Access Workstations oder gesicherte Admin-Endpunkte verlangen und Azure Bastion für den VM-Zugriff verwenden" } },
    { id: "B", text: { en: "Allow contractor BYOD devices as long as they use VPN and passwords", de: "Externe BYOD-Geräte zulassen, solange sie VPN und Kennwörter verwenden" } },
    { id: "C", text: { en: "Publish jump servers with public IPs for convenience", de: "Jump Server aus Bequemlichkeit mit öffentlichen IP-Adressen veröffentlichen" } },
    { id: "D", text: { en: "Share one privileged account between contractor engineers", de: "Ein privilegiertes Konto zwischen externen Ingenieuren gemeinsam nutzen" } }
  ],
  correct: ["A"],
  explanation: { en: "Secured admin endpoints reduce credential exposure and create a controlled device trust path for privileged work. Using Azure Bastion further avoids direct exposure of RDP and SSH on production machines.", de: "Gesicherte Admin-Endpunkte reduzieren die Exponierung von Anmeldedaten und schaffen einen kontrollierten Gerätevertrauenspfad für privilegierte Arbeiten. Die Nutzung von Azure Bastion vermeidet zusätzlich die direkte Exponierung von RDP und SSH auf Produktionsmaschinen." },
  hint: { en: "Choose the option that controls both the admin device and the VM access path.", de: "Wählen Sie die Option, die sowohl das Admin-Gerät als auch den VM-Zugriffspfad kontrolliert." },
  reference: "https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment"
},
{
  id: "sc100-307",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "When multiple application tiers share a virtual network, which Azure construct is best for writing security rules based on workload role instead of individual IP addresses?", de: "Welches Azure-Konstrukt eignet sich am besten, um Sicherheitsregeln in einem gemeinsam genutzten virtuellen Netzwerk auf Basis der Workload-Rolle statt einzelner IP-Adressen zu schreiben?" },
  options: [
    { id: "A", text: { en: "Application Security Groups", de: "Application Security Groups" } },
    { id: "B", text: { en: "Route tables", de: "Routentabellen" } },
    { id: "C", text: { en: "Availability sets", de: "Verfügbarkeitsgruppen" } },
    { id: "D", text: { en: "Update domains", de: "Updatedomänen" } }
  ],
  correct: ["A"],
  explanation: { en: "Application Security Groups let architects express NSG rules in terms of workload role rather than fixed IP addresses. That makes segmentation easier to maintain as infrastructure scales and changes.", de: "Application Security Groups ermöglichen es Architekten, NSG-Regeln anhand von Workload-Rollen statt fester IP-Adressen auszudrücken. Dadurch lässt sich Segmentierung leichter pflegen, wenn Infrastruktur skaliert und sich verändert." },
  hint: { en: "Look for the construct that groups workload NICs for rule targeting.", de: "Suchen Sie nach dem Konstrukt, das Workload-NICs für die Regelausrichtung gruppiert." },
  reference: "https://learn.microsoft.com/en-us/azure/architecture/networking/guide/network-level-segmentation"
},
{
  id: "sc100-308",
  type: "multiple",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO landing zone design choices most effectively reduce blast radius in enterprise Azure environments?", de: "Welche ZWEI Landing-Zone-Designentscheidungen reduzieren den Blast Radius in Azure-Unternehmensumgebungen am effektivsten?" },
  options: [
    { id: "A", text: { en: "Separate production and nonproduction resources into different subscriptions", de: "Produktions- und Nichtproduktionsressourcen in unterschiedliche Abonnements trennen" } },
    { id: "B", text: { en: "Place shared platform services such as firewalls and Bastion in dedicated platform subscriptions", de: "Gemeinsame Plattformdienste wie Firewalls und Bastion in dedizierten Plattformabonnements platzieren" } },
    { id: "C", text: { en: "Grant Contributor at the root management group to all application teams", de: "Allen Anwendungsteams Contributor auf Root-Management-Group-Ebene gewähren" } },
    { id: "D", text: { en: "Host all environments in one subscription and rely on naming standards", de: "Alle Umgebungen in einem Abonnement hosten und sich auf Namensstandards verlassen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Subscription boundaries help contain operational and security impact, while dedicated platform subscriptions isolate shared controls from workload administration. This combination improves separation of duties and reduces the likelihood of broad compromise from one scope.", de: "Abonnementgrenzen helfen, betriebliche und sicherheitsrelevante Auswirkungen einzugrenzen, während dedizierte Plattformabonnements gemeinsame Kontrollen von der Workload-Administration isolieren. Diese Kombination verbessert die Aufgabentrennung und reduziert die Wahrscheinlichkeit einer weitreichenden Kompromittierung aus einem Bereich." },
  hint: { en: "Pick the answers that create stronger boundaries between workloads and shared controls.", de: "Wählen Sie die Antworten, die stärkere Grenzen zwischen Workloads und gemeinsamen Kontrollen schaffen." },
  reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
},
{
  id: "sc100-309",
  type: "scenario",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "hard",
  scenario: { en: "Woodgrove Bank exposes APIs from AKS to internet clients. The architecture must inspect inbound HTTP requests for OWASP-style attacks, keep the cluster API private, and force outbound internet traffic through a controllable inspection point.", de: "Woodgrove Bank stellt APIs aus AKS für Internetclients bereit. Die Architektur muss eingehende HTTP-Anforderungen auf OWASP-artige Angriffe prüfen, die Cluster-API privat halten und ausgehenden Internetverkehr über einen kontrollierbaren Prüfpunkt leiten." },
  question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
  options: [
    { id: "A", text: { en: "Use a private AKS cluster with WAF-protected ingress and route egress through Azure Firewall", de: "Einen privaten AKS-Cluster mit WAF-geschütztem Ingress verwenden und ausgehenden Verkehr über Azure Firewall leiten" } },
    { id: "B", text: { en: "Expose the Kubernetes API publicly and depend on Kubernetes RBAC", de: "Die Kubernetes-API öffentlich verfügbar machen und sich auf Kubernetes-RBAC verlassen" } },
    { id: "C", text: { en: "Use public LoadBalancer services for all traffic and no dedicated egress control", de: "Öffentliche LoadBalancer-Dienste für den gesamten Verkehr verwenden und keine dedizierte Ausgangskontrolle vorsehen" } },
    { id: "D", text: { en: "Terminate TLS directly in each pod and bypass centralized inspection", de: "TLS direkt in jedem Pod terminieren und zentrale Prüfung umgehen" } }
  ],
  correct: ["A"],
  explanation: { en: "A private AKS cluster reduces control-plane exposure, WAF protects internet-facing application traffic, and Azure Firewall provides controlled outbound inspection. This layered pattern is closer to a secure AKS baseline than direct public exposure.", de: "Ein privater AKS-Cluster reduziert die Exponierung der Kontrollebene, WAF schützt internetseitigen Anwendungsverkehr, und Azure Firewall bietet kontrollierte Prüfung des ausgehenden Verkehrs. Dieses mehrschichtige Muster entspricht eher einer sicheren AKS-Basis als direkte öffentliche Exponierung." },
  hint: { en: "Choose the answer that hardens both ingress and egress while keeping the API private.", de: "Wählen Sie die Antwort, die sowohl Ingress als auch Egress härtet und gleichzeitig die API privat hält." },
  reference: "https://learn.microsoft.com/en-us/azure/architecture/reference-architectures/containers/aks/secure-baseline-aks"
},
{
  id: "sc100-310",
  type: "single",
  domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "After multicloud connectors are configured, which Defender for Cloud capability gives architects one posture view across Azure, AWS, and Google Cloud?", de: "Welche Defender-for-Cloud-Funktion gibt Architekten nach der Konfiguration von Multicloud-Konnektoren eine einheitliche Posture-Sicht über Azure, AWS und Google Cloud?" },
  options: [
    { id: "A", text: { en: "Multicloud security posture management", de: "Multicloud Security Posture Management" } },
    { id: "B", text: { en: "Azure Bastion", de: "Azure Bastion" } },
    { id: "C", text: { en: "Azure Route Server", de: "Azure Route Server" } },
    { id: "D", text: { en: "Azure DDoS IP Protection", de: "Azure DDoS IP Protection" } }
  ],
  correct: ["A"],
  explanation: { en: "Multicloud security posture management in Defender for Cloud aggregates recommendations and posture data across connected cloud environments. That gives architects a single place to evaluate control coverage and prioritize improvements.", de: "Multicloud Security Posture Management in Defender for Cloud fasst Empfehlungen und Posture-Daten über verbundene Cloudumgebungen hinweg zusammen. Dadurch erhalten Architekten einen zentralen Ort, um Kontrollabdeckung zu bewerten und Verbesserungen zu priorisieren." },
  hint: { en: "Choose the Defender for Cloud capability focused on posture across more than one cloud.", de: "Wählen Sie die Defender-for-Cloud-Funktion, die auf Posture über mehr als eine Cloud hinweg ausgerichtet ist." },
  reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/multicloud-security-posture-management-overview"
},
{
  id: "sc100-311",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which DevSecOps control most directly prevents new hard-coded secrets from being pushed to a GitHub repository used for Azure deployments?", de: "Welche DevSecOps-Kontrolle verhindert am direktesten, dass neue hart codierte Geheimnisse in ein GitHub-Repository für Azure-Bereitstellungen gepusht werden?" },
  options: [
    { id: "A", text: { en: "Enable secret scanning with push protection", de: "Secret Scanning mit Push Protection aktivieren" } },
    { id: "B", text: { en: "Review credentials during quarterly audits", de: "Anmeldeinformationen in vierteljährlichen Audits überprüfen" } },
    { id: "C", text: { en: "Keep the repository private", de: "Das Repository privat halten" } },
    { id: "D", text: { en: "Encrypt developer laptops only", de: "Nur Entwicklerlaptops verschlüsseln" } }
  ],
  correct: ["A"],
  explanation: { en: "Push protection blocks detected secrets before they reach the repository, which reduces exposure earlier than periodic review or private repo controls.", de: "Push Protection blockiert erkannte Geheimnisse, bevor sie das Repository erreichen, und reduziert damit die Angriffsfläche früher als periodische Prüfungen oder ein privates Repository." },
  hint: { en: "Choose the control that stops the commit before it lands.", de: "Wählen Sie die Kontrolle, die den Commit stoppt, bevor er gespeichert wird." },
  reference: "https://learn.microsoft.com/en-us/training/modules/introduction-to-github-advanced-security/"
},
{
  id: "sc100-312",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "Contoso, Ltd. uses GitHub, Azure Container Registry, and AKS. Architects must ensure code scanning, dependency review, SBOM generation, signed artifacts, environment approvals, and no long-lived Azure credentials in pipelines.", de: "Contoso, Ltd. verwendet GitHub, Azure Container Registry und AKS. Architekten müssen Code Scanning, Dependency Review, SBOM-Erzeugung, signierte Artefakte, Umgebungsfreigaben und den Verzicht auf langlebige Azure-Anmeldeinformationen in Pipelines sicherstellen." },
  question: { en: "Which design should the architect recommend?", de: "Welches Design sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Use GitHub Advanced Security, dependency review, signed build artifacts, protected environments, and workload identity federation to Azure", de: "GitHub Advanced Security, Dependency Review, signierte Build-Artefakte, geschützte Umgebungen und Workload-Identity-Föderation zu Azure verwenden" } },
    { id: "B", text: { en: "Store service principal secrets in repository variables and approve production changes by email", de: "Geheimnisse von Dienstprinzipalen in Repository-Variablen speichern und Produktionsänderungen per E-Mail freigeben" } },
    { id: "C", text: { en: "Allow developers to push container images from local workstations after peer review", de: "Entwicklern erlauben, Container-Images nach Peer Review von lokalen Arbeitsstationen zu pushen" } },
    { id: "D", text: { en: "Rely on runtime scanning in AKS and skip security checks earlier in the pipeline", de: "Sich auf Laufzeit-Scanning in AKS verlassen und frühere Sicherheitsprüfungen in der Pipeline auslassen" } }
  ],
  correct: ["A"],
  explanation: { en: "This design inserts security gates across the software supply chain and removes persistent cloud secrets from CI/CD. It provides traceability and policy enforcement before workloads reach AKS.", de: "Dieses Design setzt Sicherheitskontrollen entlang der gesamten Software-Lieferkette durch und entfernt dauerhafte Cloud-Geheimnisse aus CI/CD. Es schafft Nachvollziehbarkeit und Richtliniendurchsetzung, bevor Workloads AKS erreichen." },
  hint: { en: "Pick the option that secures both the pipeline identity and the released artifact.", de: "Wählen Sie die Option, die sowohl die Pipeline-Identität als auch das freigegebene Artefakt absichert." },
  reference: "https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github"
},
{
  id: "sc100-313",
  type: "multiple",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO Azure API Management policies most directly stop malformed or unauthorized JSON requests before they reach backend APIs?", de: "Welche ZWEI Azure-API-Management-Richtlinien stoppen fehlerhafte oder nicht autorisierte JSON-Anforderungen am direktesten, bevor sie die Backend-APIs erreichen?" },
  options: [
    { id: "A", text: { en: "validate-jwt", de: "validate-jwt" } },
    { id: "B", text: { en: "validate-content against schema or size constraints", de: "validate-content gegen Schema- oder Größenbeschränkungen" } },
    { id: "C", text: { en: "set-backend-service", de: "set-backend-service" } },
    { id: "D", text: { en: "cache-lookup-value", de: "cache-lookup-value" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "JWT validation blocks unauthorized callers, and content validation rejects unexpected payloads before the backend processes them. Routing and caching do not provide the same security assurance.", de: "Die JWT-Validierung blockiert nicht autorisierte Aufrufer, und die Inhaltsvalidierung weist unerwartete Nutzdaten zurück, bevor das Backend sie verarbeitet. Routing und Caching bieten nicht dieselbe Sicherheitsgarantie." },
  hint: { en: "Choose one policy for caller identity and one for payload validation.", de: "Wählen Sie eine Richtlinie für die Identität des Aufrufers und eine für die Nutzdatenprüfung." },
  reference: "https://learn.microsoft.com/en-us/azure/api-management/api-management-policies"
},
{
  id: "sc100-314",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "Litware, Inc. exposes partner APIs that run on AKS. Requirements include WAF inspection, centralized token validation and throttling, no direct public access to the cluster, and private connectivity from the gateway to the backend.", de: "Litware, Inc. stellt Partner-APIs bereit, die auf AKS ausgeführt werden. Zu den Anforderungen gehören WAF-Inspektion, zentrale Tokenvalidierung und Drosselung, kein direkter öffentlicher Zugriff auf den Cluster und private Konnektivität vom Gateway zum Backend." },
  question: { en: "Which architecture best meets the requirements?", de: "Welche Architektur erfüllt die Anforderungen am besten?" },
  options: [
    { id: "A", text: { en: "Place API Management in internal VNet mode behind Application Gateway WAF and connect privately to AKS", de: "API Management im internen VNet-Modus hinter Application Gateway WAF platzieren und privat mit AKS verbinden" } },
    { id: "B", text: { en: "Expose the AKS ingress controller directly on a public IP and validate tokens in each microservice", de: "Den AKS-Ingress-Controller direkt über eine öffentliche IP bereitstellen und Token in jedem Microservice validieren" } },
    { id: "C", text: { en: "Use a public storage account as the API entry point and forward requests through functions", de: "Ein öffentliches Speicherkonto als API-Einstiegspunkt verwenden und Anforderungen über Functions weiterleiten" } },
    { id: "D", text: { en: "Publish the APIs through a VPN only and remove the gateway layer", de: "Die APIs nur über ein VPN veröffentlichen und die Gateway-Schicht entfernen" } }
  ],
  correct: ["A"],
  explanation: { en: "This pattern keeps backend services private while centralizing edge inspection, authentication, and rate controls. It reduces duplicate security logic inside individual microservices.", de: "Dieses Muster hält Backend-Dienste privat und zentralisiert gleichzeitig Edge-Inspektion, Authentifizierung und Ratenkontrollen. Es reduziert doppelte Sicherheitslogik in einzelnen Microservices." },
  hint: { en: "Look for the design that combines WAF, API gateway policy, and private backend reachability.", de: "Suchen Sie nach dem Design, das WAF, API-Gateway-Richtlinien und private Backend-Erreichbarkeit kombiniert." },
  reference: "https://learn.microsoft.com/en-us/azure/api-management/virtual-network-concepts"
},
{
  id: "sc100-315",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Key Vault protection should be mandatory when deleted keys must not be immediately and permanently removable by an administrator?", de: "Welche Key-Vault-Schutzfunktion sollte verpflichtend sein, wenn gelöschte Schlüssel nicht sofort und dauerhaft durch einen Administrator entfernt werden dürfen?" },
  options: [
    { id: "A", text: { en: "Purge protection", de: "Purge Protection" } },
    { id: "B", text: { en: "Diagnostic settings", de: "Diagnoseeinstellungen" } },
    { id: "C", text: { en: "Resource tags", de: "Ressourcentags" } },
    { id: "D", text: { en: "Azure Monitor alerts only", de: "Nur Azure-Monitor-Warnungen" } }
  ],
  correct: ["A"],
  explanation: { en: "Purge protection prevents permanent removal of soft-deleted vault objects until the retention period ends, which is critical for CMK-backed services.", de: "Purge Protection verhindert die dauerhafte Entfernung softgelöschter Vault-Objekte bis zum Ende des Aufbewahrungszeitraums und ist für Dienste mit kundenseitig verwalteten Schlüsseln entscheidend." },
  hint: { en: "Choose the setting that blocks irreversible deletion.", de: "Wählen Sie die Einstellung, die eine irreversible Löschung blockiert." },
  reference: "https://learn.microsoft.com/en-us/azure/key-vault/general/soft-delete-overview"
},
{
  id: "sc100-316",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, a payment processor needs centralized signing keys for transaction services. Requirements include single-tenant HSM isolation, no key export, role separation between security officers and crypto users, and high-throughput signing operations.", de: "Bei Humongous Insurance benötigt ein Zahlungsabwickler zentrale Signaturschlüssel für Transaktionsdienste. Die Anforderungen umfassen Single-Tenant-HSM-Isolierung, keinen Schlüssel-Export, Rollentrennung zwischen Sicherheitsverantwortlichen und Kryptobenutzern sowie Signaturvorgänge mit hohem Durchsatz." },
  question: { en: "Which design should the architect recommend?", de: "Welches Design sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Use Azure Key Vault Managed HSM with dedicated administrative and crypto roles", de: "Azure Key Vault Managed HSM mit dedizierten administrativen und kryptografischen Rollen verwenden" } },
    { id: "B", text: { en: "Store PFX files in application configuration and rotate them manually", de: "PFX-Dateien in der Anwendungskonfiguration speichern und manuell rotieren" } },
    { id: "C", text: { en: "Keep private keys on developer workstations and upload signatures later", de: "Private Schlüssel auf Entwicklerarbeitsstationen behalten und Signaturen später hochladen" } },
    { id: "D", text: { en: "Use one shared Key Vault secret for all signing services", de: "Ein gemeinsames Key-Vault-Geheimnis für alle Signaturdienste verwenden" } }
  ],
  correct: ["A"],
  explanation: { en: "Managed HSM is designed for dedicated HSM-backed key custody with administrative separation and non-exportable keys. That aligns to regulated signing workloads better than general secret storage.", de: "Managed HSM ist für dedizierte HSM-gestützte Schlüsselverwahrung mit administrativer Trennung und nicht exportierbaren Schlüsseln ausgelegt. Das passt besser zu regulierten Signatur-Workloads als allgemeine Geheimnisspeicherung." },
  hint: { en: "Choose the service built for single-tenant HSM governance, not generic secret storage.", de: "Wählen Sie den Dienst, der für Single-Tenant-HSM-Governance und nicht für allgemeine Geheimnisspeicherung entwickelt wurde." },
  reference: "https://learn.microsoft.com/en-us/azure/key-vault/managed-hsm/overview"
},
{
  id: "sc100-317",
  type: "multiple",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO Purview techniques are best when architects must classify customer data where exact IDs must match a reference dataset and unstructured contract language must also be detected?", de: "Welche ZWEI Purview-Techniken sind am besten geeignet, wenn Architekten Kundendaten klassifizieren müssen, bei denen exakte IDs mit einem Referenzdatensatz übereinstimmen müssen und zusätzlich unstrukturierte Vertragssprache erkannt werden soll?" },
  options: [
    { id: "A", text: { en: "Exact Data Match sensitive information types", de: "Sensitive Information Types mit Exact Data Match" } },
    { id: "B", text: { en: "Trainable classifiers", de: "Trainierbare Klassifizierer" } },
    { id: "C", text: { en: "Folder naming conventions only", de: "Nur Ordnerbenennungskonventionen" } },
    { id: "D", text: { en: "Network security groups", de: "Netzwerksicherheitsgruppen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Exact Data Match is designed for precise matching against known records, while trainable classifiers help detect unstructured content patterns that regex alone may miss.", de: "Exact Data Match ist für präzise Abgleiche mit bekannten Datensätzen ausgelegt, während trainierbare Klassifizierer unstrukturierte Inhaltsmuster erkennen, die mit regulären Ausdrücken allein oft nicht erfasst werden." },
  hint: { en: "Choose one method for structured exact matching and one for learned unstructured detection.", de: "Wählen Sie eine Methode für strukturiertes exaktes Matching und eine für gelernte Erkennung unstrukturierter Inhalte." },
  reference: "https://learn.microsoft.com/en-us/purview/trainable-classifiers-learn-about"
},
{
  id: "sc100-318",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Woodgrove Bank, board documents are stored in SharePoint and shared through Teams. The company needs automatic classification, encryption that persists after download, and policy tips when users try to overshare externally.", de: "Bei Woodgrove Bank werden Vorstandsdokumente in SharePoint gespeichert und über Teams geteilt. Das Unternehmen benötigt automatische Klassifizierung, Verschlüsselung, die nach dem Download bestehen bleibt, und Richtlinientipps, wenn Benutzer Inhalte extern zu weit freigeben möchten." },
  question: { en: "Which design best meets the requirement?", de: "Welches Design erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Use auto-labeling with sensitivity labels and DLP policies for SharePoint, OneDrive, and Teams", de: "Auto-Labeling mit Vertraulichkeitsbezeichnungen und DLP-Richtlinien für SharePoint, OneDrive und Teams verwenden" } },
    { id: "B", text: { en: "Use retention labels only and rely on user awareness training for sharing decisions", de: "Nur Aufbewahrungsbezeichnungen verwenden und sich bei Freigabeentscheidungen auf Benutzerschulungen verlassen" } },
    { id: "C", text: { en: "Move all documents to an Azure file share and protect access with SMB ACLs", de: "Alle Dokumente in eine Azure-Dateifreigabe verschieben und den Zugriff mit SMB-ACLs schützen" } },
    { id: "D", text: { en: "Require users to rename sensitive files manually before sending them", de: "Benutzer verpflichten, sensible Dateien vor dem Senden manuell umzubenennen" } }
  ],
  correct: ["A"],
  explanation: { en: "Sensitivity labels provide persistent encryption and rights management, while DLP adds sharing enforcement and user guidance in collaboration channels.", de: "Vertraulichkeitsbezeichnungen bieten dauerhafte Verschlüsselung und Rechteverwaltung, während DLP Freigabekontrollen und Benutzerhinweise in Kollaborationskanälen ergänzt." },
  hint: { en: "Pick the option that combines persistent protection with oversharing controls.", de: "Wählen Sie die Option, die dauerhaften Schutz mit Kontrollen gegen Überfreigabe kombiniert." },
  reference: "https://learn.microsoft.com/en-us/purview/sensitivity-labels"
},
{
  id: "sc100-319",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Azure SQL capability lets auditors verify that committed table data has not been tampered with?", de: "Welche Azure-SQL-Funktion ermöglicht es Prüfern, nachzuweisen, dass festgeschriebene Tabellendaten nicht manipuliert wurden?" },
  options: [
    { id: "A", text: { en: "SQL Ledger", de: "SQL Ledger" } },
    { id: "B", text: { en: "Dynamic data masking", de: "Dynamische Datenmaskierung" } },
    { id: "C", text: { en: "Transparent Data Encryption", de: "Transparent Data Encryption" } },
    { id: "D", text: { en: "Long-term backup retention", de: "Langfristige Backup-Aufbewahrung" } }
  ],
  correct: ["A"],
  explanation: { en: "SQL Ledger provides tamper-evident capabilities for data changes, which is different from masking, encryption at rest, or backup retention.", de: "SQL Ledger bietet manipulationsnachweisende Funktionen für Datenänderungen und unterscheidet sich damit von Maskierung, Verschlüsselung ruhender Daten oder Backup-Aufbewahrung." },
  hint: { en: "Choose the feature focused on integrity proof, not confidentiality alone.", de: "Wählen Sie die Funktion, die auf Integritätsnachweise und nicht nur auf Vertraulichkeit ausgerichtet ist." },
  reference: "https://learn.microsoft.com/en-us/azure/azure-sql/database/ledger-overview"
},
{
  id: "sc100-320",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "Contoso, Ltd. stores audit evidence in Azure Blob Storage. Regulations require write-once retention for seven years, legal holds during investigations, and protection against administrator deletion.", de: "Contoso, Ltd. speichert Prüfungsnachweise in Azure Blob Storage. Vorschriften verlangen eine Write-Once-Aufbewahrung für sieben Jahre, rechtliche Holds während Untersuchungen und Schutz vor Löschung durch Administratoren." },
  question: { en: "Which storage design should the architect recommend?", de: "Welches Storage-Design sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Use immutable blob storage with time-based retention and legal holds", de: "Unveränderlichen Blob-Speicher mit zeitbasierter Aufbewahrung und Legal Holds verwenden" } },
    { id: "B", text: { en: "Use blob snapshots and trust storage account owners not to delete them", de: "Blob-Snapshots verwenden und darauf vertrauen, dass Speicherkonto-Besitzer sie nicht löschen" } },
    { id: "C", text: { en: "Replicate the data to another region and disable audit logging", de: "Die Daten in eine andere Region replizieren und die Auditprotokollierung deaktivieren" } },
    { id: "D", text: { en: "Export files monthly to local disks for archival", de: "Dateien monatlich zur Archivierung auf lokale Datenträger exportieren" } }
  ],
  correct: ["A"],
  explanation: { en: "Immutable storage enforces WORM semantics at the storage layer and supports legal hold scenarios that ordinary copies or snapshots do not guarantee.", de: "Unveränderlicher Speicher erzwingt WORM-Semantik auf der Speicherebene und unterstützt Legal-Hold-Szenarien, die gewöhnliche Kopien oder Snapshots nicht garantieren." },
  hint: { en: "Look for the option that enforces retention in the service itself.", de: "Suchen Sie nach der Option, die die Aufbewahrung im Dienst selbst erzwingt." },
  reference: "https://learn.microsoft.com/en-us/azure/storage/blobs/immutable-storage-overview"
},
{
  id: "sc100-321",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "An Azure DevOps pipeline must deploy to Azure without storing a service principal secret. Which authentication design should architects prefer?", de: "Eine Azure-DevOps-Pipeline muss in Azure bereitstellen, ohne ein Geheimnis eines Dienstprinzipals zu speichern. Welches Authentifizierungsdesign sollten Architekten bevorzugen?" },
  options: [
    { id: "A", text: { en: "An Azure Resource Manager service connection that uses workload identity federation", de: "Eine Azure-Resource-Manager-Serviceverbindung, die Workload-Identity-Föderation verwendet" } },
    { id: "B", text: { en: "A shared Global Administrator account", de: "Ein gemeinsam genutztes Global-Administrator-Konto" } },
    { id: "C", text: { en: "A certificate file stored in the repository", de: "Eine im Repository gespeicherte Zertifikatsdatei" } },
    { id: "D", text: { en: "A personal access token copied into each pipeline", de: "Ein persönliches Zugriffstoken, das in jede Pipeline kopiert wird" } }
  ],
  correct: ["A"],
  explanation: { en: "Workload identity federation removes long-lived credentials from the service connection and allows Azure DevOps to exchange trusted tokens at run time.", de: "Workload-Identity-Föderation entfernt langlebige Anmeldeinformationen aus der Serviceverbindung und ermöglicht Azure DevOps den Austausch vertrauenswürdiger Token zur Laufzeit." },
  hint: { en: "Choose the option that replaces stored credentials with token exchange.", de: "Wählen Sie die Option, die gespeicherte Anmeldeinformationen durch Tokenaustausch ersetzt." },
  reference: "https://learn.microsoft.com/en-us/azure/devops/pipelines/library/connect-to-azure?view=azure-devops"
},
{
  id: "sc100-322",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Litware, Inc., a legacy web application on Azure App Service connects to Azure Storage, Service Bus, and Azure SQL Database by using connection strings in configuration. The team wants to remove secrets incrementally with minimal disruption.", de: "Bei Litware, Inc. verbindet sich eine Legacy-Webanwendung auf Azure App Service mit Azure Storage, Service Bus und Azure SQL Database über Verbindungszeichenfolgen in der Konfiguration. Das Team möchte Geheimnisse schrittweise und mit minimaler Unterbrechung entfernen." },
  question: { en: "Which transition design is best?", de: "Welches Übergangsdesign ist am besten geeignet?" },
  options: [
    { id: "A", text: { en: "Enable a managed identity, move supported connections to Microsoft Entra-based authentication, and use Key Vault references only for remaining secrets during migration", de: "Eine verwaltete Identität aktivieren, unterstützte Verbindungen auf Microsoft-Entra-basierte Authentifizierung umstellen und während der Migration Key-Vault-Referenzen nur für verbleibende Geheimnisse verwenden" } },
    { id: "B", text: { en: "Copy all connection strings into deployment pipeline variables and rotate them yearly", de: "Alle Verbindungszeichenfolgen in Bereitstellungspipeline-Variablen kopieren und jährlich rotieren" } },
    { id: "C", text: { en: "Store the configuration file in source control because the repository is private", de: "Die Konfigurationsdatei in der Quellcodeverwaltung speichern, weil das Repository privat ist" } },
    { id: "D", text: { en: "Consolidate every service behind one shared secret to simplify administration", de: "Alle Dienste hinter einem gemeinsamen Geheimnis konsolidieren, um die Verwaltung zu vereinfachen" } }
  ],
  correct: ["A"],
  explanation: { en: "A staged passwordless design removes secrets where the platform already supports identity-based access, while Key Vault can temporarily hold the remaining secrets until code changes are complete.", de: "Ein gestuftes kennwortloses Design entfernt Geheimnisse dort, wo die Plattform bereits identitätsbasierten Zugriff unterstützt, während Key Vault verbleibende Geheimnisse vorübergehend aufnehmen kann, bis Codeänderungen abgeschlossen sind." },
  hint: { en: "Choose the option that reduces secret usage now without requiring a big-bang rewrite.", de: "Wählen Sie die Option, die die Nutzung von Geheimnissen jetzt reduziert, ohne einen Big-Bang-Umbau zu erfordern." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview"
},
{
  id: "sc100-323",
  type: "multiple",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO properties are fundamental to an Azure confidential computing architecture?", de: "Welche ZWEI Eigenschaften sind grundlegend für eine Azure-Confidential-Computing-Architektur?" },
  options: [
    { id: "A", text: { en: "Protection of data in use inside hardware-isolated memory", de: "Schutz von Daten während der Nutzung in hardwareisoliertem Speicher" } },
    { id: "B", text: { en: "Remote attestation of the trusted execution environment", de: "Remote Attestation der vertrauenswürdigen Ausführungsumgebung" } },
    { id: "C", text: { en: "Reliance on disk encryption alone", de: "Abhängigkeit ausschließlich von Datenträgerverschlüsselung" } },
    { id: "D", text: { en: "Trust in hypervisor administrators to inspect memory safely", de: "Vertrauen darauf, dass Hypervisor-Administratoren den Speicher sicher inspizieren" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Confidential computing is about protecting data while it is being processed and proving the integrity of the execution environment through attestation.", de: "Confidential Computing zielt darauf ab, Daten während der Verarbeitung zu schützen und die Integrität der Ausführungsumgebung über Attestation nachzuweisen." },
  hint: { en: "Choose one answer for protection in use and one for proof of environment trust.", de: "Wählen Sie eine Antwort für Schutz während der Nutzung und eine für den Nachweis der Vertrauenswürdigkeit der Umgebung." },
  reference: "https://learn.microsoft.com/en-us/azure/confidential-computing/overview"
},
{
  id: "sc100-324",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, a healthcare vendor must lift and shift a third-party application to Azure without changing the code. The workload requires memory protection for data in use, secure boot, and vTPM-backed integrity controls.", de: "Bei Humongous Insurance muss ein Gesundheitsdienstleister eine Drittanbieteranwendung ohne Codeänderungen nach Azure migrieren. Der Workload erfordert Speicherschutz für Daten während der Nutzung, Secure Boot und vTPM-gestützte Integritätskontrollen." },
  question: { en: "Which compute design should be recommended?", de: "Welches Compute-Design sollte empfohlen werden?" },
  options: [
    { id: "A", text: { en: "Azure Confidential VMs", de: "Azure Confidential VMs" } },
    { id: "B", text: { en: "Standard virtual machines with disk encryption only", de: "Standard-VMs nur mit Datenträgerverschlüsselung" } },
    { id: "C", text: { en: "Azure Batch pools", de: "Azure Batch Pools" } },
    { id: "D", text: { en: "A public App Service plan", de: "Ein öffentlicher App-Service-Plan" } }
  ],
  correct: ["A"],
  explanation: { en: "Confidential VMs are designed for lift-and-shift scenarios that need hardware-backed protection for memory and measured boot controls without rewriting the application.", de: "Confidential VMs sind für Lift-and-Shift-Szenarien ausgelegt, die hardwaregestützten Schutz für den Arbeitsspeicher und gemessene Boot-Kontrollen benötigen, ohne die Anwendung umzuschreiben." },
  hint: { en: "Pick the option that protects data in use for existing VM-based workloads.", de: "Wählen Sie die Option, die Daten während der Nutzung für bestehende VM-basierte Workloads schützt." },
  reference: "https://learn.microsoft.com/en-us/azure/confidential-computing/confidential-vm-overview"
},
{
  id: "sc100-325",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "An API receives a user token and must call downstream APIs by using the user's delegated context without storing separate user credentials. Which design is most appropriate?", de: "Eine API empfängt ein Benutzertoken und muss nachgelagerte APIs im delegierten Kontext des Benutzers aufrufen, ohne separate Benutzeranmeldeinformationen zu speichern. Welches Design ist am geeignetsten?" },
  options: [
    { id: "A", text: { en: "OAuth 2.0 on-behalf-of flow", de: "OAuth-2.0-On-Behalf-Of-Flow" } },
    { id: "B", text: { en: "Client credentials flow with one app-only token for all users", de: "Client-Credentials-Flow mit einem appbasierten Token für alle Benutzer" } },
    { id: "C", text: { en: "Resource owner password credentials flow", de: "Resource-Owner-Password-Credentials-Flow" } },
    { id: "D", text: { en: "Anonymous downstream access over private networking", de: "Anonymer nachgelagerter Zugriff über private Netzwerke" } }
  ],
  correct: ["A"],
  explanation: { en: "The on-behalf-of flow is specifically designed for API-to-API delegation while preserving user context and avoiding stored user passwords.", de: "Der On-Behalf-Of-Flow ist speziell für API-zu-API-Delegation ausgelegt, wobei der Benutzerkontext erhalten bleibt und keine gespeicherten Benutzerkennwörter nötig sind." },
  hint: { en: "Choose the flow intended for downstream API delegation from a middle-tier service.", de: "Wählen Sie den Flow, der für die Delegation an nachgelagerte APIs aus einem Middle-Tier-Dienst vorgesehen ist." },
  reference: "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-on-behalf-of-flow"
},
{
  id: "sc100-326",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Woodgrove Bank, a genomics research platform stores highly sensitive data in Azure Storage. Policy requires customer-managed encryption keys, an additional infrastructure-level encryption layer, and no public endpoints.", de: "Bei Woodgrove Bank speichert eine Genomik-Forschungsplattform hochsensible Daten in Azure Storage. Die Richtlinie verlangt kundenseitig verwaltete Verschlüsselungsschlüssel, eine zusätzliche Verschlüsselung auf Infrastrukturebene und keine öffentlichen Endpunkte." },
  question: { en: "Which design best meets the policy?", de: "Welches Design erfüllt die Richtlinie am besten?" },
  options: [
    { id: "A", text: { en: "Use Storage with customer-managed keys, infrastructure encryption, and private endpoints", de: "Storage mit kundenseitig verwalteten Schlüsseln, Infrastrukturverschlüsselung und privaten Endpunkten verwenden" } },
    { id: "B", text: { en: "Use Microsoft-managed keys and rely on IP allowlists for public access", de: "Von Microsoft verwaltete Schlüssel verwenden und sich bei öffentlichem Zugriff auf IP-Allowlisten verlassen" } },
    { id: "C", text: { en: "Encrypt files in the application only and disable storage encryption", de: "Dateien nur in der Anwendung verschlüsseln und die Speicherverschlüsselung deaktivieren" } },
    { id: "D", text: { en: "Store data in a public container and rotate account keys monthly", de: "Daten in einem öffentlichen Container speichern und Kontoschlüssel monatlich rotieren" } }
  ],
  correct: ["A"],
  explanation: { en: "This design combines customer control over keys, double encryption for additional assurance, and private network exposure boundaries.", de: "Dieses Design kombiniert Kundenkontrolle über Schlüssel, doppelte Verschlüsselung für zusätzliche Sicherheit und private Netzwerkgrenzen für die Exponierung." },
  hint: { en: "Look for the option that addresses encryption ownership, extra encryption, and network isolation together.", de: "Suchen Sie nach der Option, die Schlüsselkontrolle, zusätzliche Verschlüsselung und Netzwerkisolierung gemeinsam adressiert." },
  reference: "https://learn.microsoft.com/en-us/azure/storage/common/infrastructure-encryption-enable"
},
{
  id: "sc100-327",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Purview feature should be used when records must be retained for a required period and users must not permanently remove them before that period ends?", de: "Welche Purview-Funktion sollte verwendet werden, wenn Datensätze für einen vorgeschriebenen Zeitraum aufbewahrt werden müssen und Benutzer sie vorher nicht dauerhaft entfernen dürfen?" },
  options: [
    { id: "A", text: { en: "Retention labels", de: "Aufbewahrungsbezeichnungen" } },
    { id: "B", text: { en: "Sensitivity labels only", de: "Nur Vertraulichkeitsbezeichnungen" } },
    { id: "C", text: { en: "Conditional Access", de: "Conditional Access" } },
    { id: "D", text: { en: "Azure DDoS Protection", de: "Azure DDoS Protection" } }
  ],
  correct: ["A"],
  explanation: { en: "Retention labels are designed to govern preservation and deletion behavior over time, which is different from confidentiality controls such as sensitivity labels.", de: "Aufbewahrungsbezeichnungen sind dafür ausgelegt, Aufbewahrungs- und Löschverhalten im Zeitverlauf zu steuern, was sich von Vertraulichkeitskontrollen wie Vertraulichkeitsbezeichnungen unterscheidet." },
  hint: { en: "Choose the feature focused on records lifecycle, not encryption.", de: "Wählen Sie die Funktion, die auf den Lebenszyklus von Datensätzen und nicht auf Verschlüsselung ausgerichtet ist." },
  reference: "https://learn.microsoft.com/en-us/purview/retention"
},
{
  id: "sc100-328",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Contoso, Ltd., a SaaS analytics solution stores tenant data in Azure Cosmos DB for NoSQL and runs on AKS. Security requires passwordless runtime access from pods, private network exposure only, and least-privilege authorization without distributing account keys.", de: "Bei Contoso, Ltd. speichert eine SaaS-Analyselösung Mandantendaten in Azure Cosmos DB for NoSQL und läuft auf AKS. Die Sicherheit verlangt kennwortlosen Laufzeitzugriff aus Pods, ausschließlich private Netzwerksichtbarkeit und Least-Privilege-Autorisierung ohne Verteilung von Kontoschlüsseln." },
  question: { en: "Which architecture should the architect recommend?", de: "Welche Architektur sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Use AKS Workload ID with Microsoft Entra token-based access, assign Cosmos DB data-plane roles, and restrict the account through private endpoints", de: "AKS Workload ID mit Microsoft-Entra-tokenbasiertem Zugriff verwenden, Cosmos-DB-Datenebenenrollen zuweisen und das Konto über private Endpunkte einschränken" } },
    { id: "B", text: { en: "Store the Cosmos DB account key as a Kubernetes secret in every namespace", de: "Den Cosmos-DB-Kontoschlüssel als Kubernetes-Secret in jedem Namespace speichern" } },
    { id: "C", text: { en: "Expose Cosmos DB publicly and limit access only with client-side encryption", de: "Cosmos DB öffentlich bereitstellen und den Zugriff nur mit clientseitiger Verschlüsselung begrenzen" } },
    { id: "D", text: { en: "Use one shared administrator connection string for all tenants", de: "Eine gemeinsame Administrator-Verbindungszeichenfolge für alle Mandanten verwenden" } }
  ],
  correct: ["A"],
  explanation: { en: "This design removes shared secrets from the pods, aligns authorization to identity and role assignment, and keeps the database off the public internet.", de: "Dieses Design entfernt gemeinsame Geheimnisse aus den Pods, richtet die Autorisierung an Identität und Rollenzuweisung aus und hält die Datenbank vom öffentlichen Internet fern." },
  hint: { en: "Pick the option that combines workload identity, least privilege, and private connectivity.", de: "Wählen Sie die Option, die Workload-Identität, Least Privilege und private Konnektivität kombiniert." },
  reference: "https://learn.microsoft.com/en-us/azure/cosmos-db/secure-access-to-data"
},
{
  id: "sc100-329",
  type: "multiple",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO controls best reduce blast radius when applications need temporary access to Azure Blob data?", de: "Welche ZWEI Kontrollen reduzieren den Schadensradius am besten, wenn Anwendungen temporären Zugriff auf Azure-Blob-Daten benötigen?" },
  options: [
    { id: "A", text: { en: "Use user delegation SAS", de: "User Delegation SAS verwenden" } },
    { id: "B", text: { en: "Disable Shared Key authorization when supported", de: "Shared-Key-Autorisierung deaktivieren, wenn unterstützt" } },
    { id: "C", text: { en: "Distribute storage account keys to application teams", de: "Speicherkonto-Schlüssel an Anwendungsteams verteilen" } },
    { id: "D", text: { en: "Create long-lived account SAS tokens", de: "Langlebige Account-SAS-Token erstellen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "User delegation SAS ties delegation to Microsoft Entra identities instead of account keys, and disabling Shared Key prevents fallback to broad static credentials.", de: "User Delegation SAS bindet die Delegation an Microsoft-Entra-Identitäten statt an Kontoschlüssel, und das Deaktivieren von Shared Key verhindert den Rückfall auf weitreichende statische Anmeldeinformationen." },
  hint: { en: "Choose the answers that minimize reliance on storage account keys.", de: "Wählen Sie die Antworten, die die Abhängigkeit von Speicherkonto-Schlüsseln minimieren." },
  reference: "https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview"
},
{
  id: "sc100-330",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Litware, Inc., a multi-tenant SaaS platform exposes management APIs to customers. The architects need per-customer plans, quotas, JWT validation, and a way to apply these controls without adding the logic to every microservice.", de: "Bei Litware, Inc. stellt eine Multi-Tenant-SaaS-Plattform Management-APIs für Kunden bereit. Die Architekten benötigen kundenspezifische Pläne, Kontingente, JWT-Validierung und eine Möglichkeit, diese Kontrollen anzuwenden, ohne die Logik in jeden Microservice einzubauen." },
  question: { en: "Which design is the best fit?", de: "Welches Design ist am besten geeignet?" },
  options: [
    { id: "A", text: { en: "Publish the APIs through Azure API Management by using products, quotas, rate limits, and validate-jwt policies", de: "Die APIs über Azure API Management mit Produkten, Kontingenten, Ratenbegrenzungen und validate-jwt-Richtlinien veröffentlichen" } },
    { id: "B", text: { en: "Expose each microservice directly and let every team implement custom throttling", de: "Jeden Microservice direkt bereitstellen und jedes Team eigene Drosselung implementieren lassen" } },
    { id: "C", text: { en: "Use Azure DNS to distinguish customers and handle authorization in spreadsheets", de: "Azure DNS zur Kundentrennung verwenden und Autorisierung in Tabellen verwalten" } },
    { id: "D", text: { en: "Put all customers behind one anonymous endpoint and monitor consumption later", de: "Alle Kunden hinter einen anonymen Endpunkt stellen und die Nutzung später überwachen" } }
  ],
  correct: ["A"],
  explanation: { en: "API Management centralizes tenant-facing plans and security policies at the gateway, which simplifies enforcement and keeps backend services cleaner.", de: "API Management zentralisiert mandantenorientierte Pläne und Sicherheitsrichtlinien am Gateway, was die Durchsetzung vereinfacht und Backend-Dienste schlanker hält." },
  hint: { en: "Look for the option that externalizes tenant controls to the gateway layer.", de: "Suchen Sie nach der Option, die Mandantenkontrollen in die Gateway-Schicht auslagert." },
  reference: "https://learn.microsoft.com/en-us/azure/api-management/api-management-policies"
},
{
  id: "sc100-331",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Azure service lets architects centralize nonsecret settings and feature flags while resolving secret values from Key Vault references?", de: "Welcher Azure-Dienst ermöglicht es Architekten, nicht geheime Einstellungen und Feature Flags zentral zu verwalten und dabei Geheimniswerte über Key-Vault-Referenzen aufzulösen?" },
  options: [
    { id: "A", text: { en: "Azure App Configuration", de: "Azure App Configuration" } },
    { id: "B", text: { en: "Azure Policy", de: "Azure Policy" } },
    { id: "C", text: { en: "Azure Monitor", de: "Azure Monitor" } },
    { id: "D", text: { en: "Application Gateway", de: "Application Gateway" } }
  ],
  correct: ["A"],
  explanation: { en: "App Configuration is designed for centralized application settings and feature management, and it can reference secrets that remain stored in Key Vault.", de: "App Configuration ist für zentrale Anwendungseinstellungen und Feature-Management ausgelegt und kann auf Geheimnisse verweisen, die weiterhin in Key Vault gespeichert bleiben." },
  hint: { en: "Choose the service for configuration management, not governance or networking.", de: "Wählen Sie den Dienst für Konfigurationsmanagement und nicht für Governance oder Netzwerke." },
  reference: "https://learn.microsoft.com/en-us/azure/azure-app-configuration/overview"
},
{
  id: "sc100-332",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "Humongous Insurance plans to enable generative AI over data stored in Azure SQL, Azure Storage, and Power BI. Before rollout, the security team needs a governed inventory of sensitive data and protection that persists if exported documents leave Microsoft 365.", de: "Humongous Insurance plant, generative KI über Daten in Azure SQL, Azure Storage und Power BI zu aktivieren. Vor dem Rollout benötigt das Sicherheitsteam ein governetes Inventar sensibler Daten und einen Schutz, der bestehen bleibt, wenn exportierte Dokumente Microsoft 365 verlassen." },
  question: { en: "Which design should the architect recommend?", de: "Welches Design sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Use Microsoft Purview Data Map and scans for discovery, and sensitivity labels for persistent protection", de: "Microsoft Purview Data Map und Scans für die Erkennung sowie Vertraulichkeitsbezeichnungen für dauerhaften Schutz verwenden" } },
    { id: "B", text: { en: "Rely on resource tags and require users to classify files manually", de: "Sich auf Ressourcentags verlassen und Benutzer zur manuellen Klassifizierung von Dateien verpflichten" } },
    { id: "C", text: { en: "Use only network segmentation because AI workloads do not change data risk", de: "Nur Netzwerksegmentierung verwenden, da KI-Workloads das Datenrisiko nicht verändern" } },
    { id: "D", text: { en: "Copy sensitive datasets to a separate subscription and disable collaboration", de: "Sensible Datensätze in ein separates Abonnement kopieren und Zusammenarbeit deaktivieren" } }
  ],
  correct: ["A"],
  explanation: { en: "Purview Data Map provides discovery and classification visibility across sources, while sensitivity labels carry protection with the content itself beyond the original storage location.", de: "Purview Data Map bietet Erkennungs- und Klassifizierungstransparenz über Quellen hinweg, während Vertraulichkeitsbezeichnungen den Schutz zusammen mit dem Inhalt über den ursprünglichen Speicherort hinaus mitführen." },
  hint: { en: "Pick the option that combines governed discovery with persistent content protection.", de: "Wählen Sie die Option, die governete Erkennung mit dauerhaftem Inhaltsschutz kombiniert." },
  reference: "https://learn.microsoft.com/en-us/purview/data-map"
},
{
  id: "sc100-333",
  type: "multiple",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO Key Vault safeguards should architects require before storing customer-managed encryption keys for mission-critical services?", de: "Welche ZWEI Key-Vault-Schutzmechanismen sollten Architekten verlangen, bevor kundenseitig verwaltete Verschlüsselungsschlüssel für geschäftskritische Dienste gespeichert werden?" },
  options: [
    { id: "A", text: { en: "Soft delete", de: "Soft Delete" } },
    { id: "B", text: { en: "Purge protection", de: "Purge Protection" } },
    { id: "C", text: { en: "Public network access from any source", de: "Öffentlicher Netzwerkzugriff aus beliebigen Quellen" } },
    { id: "D", text: { en: "One shared administrator account for all vaults", de: "Ein gemeinsames Administratorkonto für alle Vaults" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Soft delete supports recovery of deleted vault objects, and purge protection prevents irreversible removal during the retention window. Both are essential when dependent services use CMKs.", de: "Soft Delete unterstützt die Wiederherstellung gelöschter Vault-Objekte, und Purge Protection verhindert deren irreversible Entfernung während des Aufbewahrungsfensters. Beides ist wesentlich, wenn abhängige Dienste kundenseitig verwaltete Schlüssel verwenden." },
  hint: { en: "Choose the two features that protect key recoverability.", de: "Wählen Sie die zwei Funktionen, die die Wiederherstellbarkeit von Schlüsseln schützen." },
  reference: "https://learn.microsoft.com/en-us/azure/key-vault/general/soft-delete-overview"
},
{
  id: "sc100-334",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Woodgrove Bank, high-value B2B APIs are consumed only by approved partner gateways. The company requires client certificate validation, JWT validation, payload inspection, and WAF protection before requests reach the API gateway.", de: "Bei Woodgrove Bank werden hochwertige B2B-APIs nur von genehmigten Partner-Gateways genutzt. Das Unternehmen verlangt die Validierung von Clientzertifikaten, JWT-Validierung, Payload-Inspektion und WAF-Schutz, bevor Anforderungen das API-Gateway erreichen." },
  question: { en: "Which design best meets the requirement?", de: "Welches Design erfüllt die Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Place Application Gateway WAF in front of API Management and enforce mutual TLS plus gateway validation policies", de: "Application Gateway WAF vor API Management platzieren und gegenseitiges TLS sowie Gateway-Validierungsrichtlinien erzwingen" } },
    { id: "B", text: { en: "Expose backend APIs directly and check certificates inside application code only", de: "Backend-APIs direkt bereitstellen und Zertifikate nur im Anwendungscode prüfen" } },
    { id: "C", text: { en: "Use Azure DNS for partner trust and skip token validation because certificates are enough", de: "Azure DNS für Partnervertrauen verwenden und die Tokenvalidierung überspringen, weil Zertifikate ausreichen" } },
    { id: "D", text: { en: "Rely on a VPN tunnel and remove all API-layer inspection", de: "Sich auf einen VPN-Tunnel verlassen und jede API-Ebenen-Inspektion entfernen" } }
  ],
  correct: ["A"],
  explanation: { en: "This design layers perimeter inspection with API-specific identity and content checks, which is appropriate for high-value partner integrations.", de: "Dieses Design kombiniert Perimeter-Inspektion mit API-spezifischen Identitäts- und Inhaltsprüfungen, was für hochwertige Partnerintegrationen geeignet ist." },
  hint: { en: "Pick the option that combines WAF and API gateway enforcement instead of choosing only one layer.", de: "Wählen Sie die Option, die WAF und API-Gateway-Durchsetzung kombiniert, anstatt nur eine Ebene zu nutzen." },
  reference: "https://learn.microsoft.com/en-us/azure/api-management/api-management-policies"
},
{
  id: "sc100-335",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which SAS type should be preferred for Azure Blob access when permissions must be derived from a Microsoft Entra identity instead of storage account keys?", de: "Welcher SAS-Typ sollte für den Zugriff auf Azure Blob bevorzugt werden, wenn Berechtigungen aus einer Microsoft-Entra-Identität statt aus Speicherkonto-Schlüsseln abgeleitet werden müssen?" },
  options: [
    { id: "A", text: { en: "User delegation SAS", de: "User Delegation SAS" } },
    { id: "B", text: { en: "Account SAS", de: "Account SAS" } },
    { id: "C", text: { en: "Service SAS signed with the account key", de: "Mit dem Kontoschlüssel signierte Service SAS" } },
    { id: "D", text: { en: "Anonymous public access", de: "Anonymer öffentlicher Zugriff" } }
  ],
  correct: ["A"],
  explanation: { en: "User delegation SAS is signed by a user delegation key associated with Microsoft Entra authentication, which reduces dependence on storage account keys.", de: "User Delegation SAS wird mit einem User-Delegation-Key signiert, der mit Microsoft-Entra-Authentifizierung verknüpft ist, und reduziert so die Abhängigkeit von Speicherkonto-Schlüsseln." },
  hint: { en: "Choose the SAS model tied to Entra identity.", de: "Wählen Sie das SAS-Modell, das an die Entra-Identität gebunden ist." },
  reference: "https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview"
},
{
  id: "sc100-336",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Contoso, Ltd., a trading platform stores orders in Azure SQL Database. Auditors require encryption at rest, a customer-controlled TDE protector, and cryptographic evidence if historical rows are modified after the fact.", de: "Bei Contoso, Ltd. speichert eine Handelsplattform Aufträge in Azure SQL Database. Prüfer verlangen Verschlüsselung ruhender Daten, einen kundenseitig kontrollierten TDE-Schutzschlüssel und kryptografische Nachweise, falls historische Zeilen nachträglich verändert werden." },
  question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
  options: [
    { id: "A", text: { en: "Use TDE with a customer-managed key in Key Vault and enable SQL Ledger for tamper evidence", de: "TDE mit einem kundenseitig verwalteten Schlüssel in Key Vault verwenden und SQL Ledger für Manipulationsnachweise aktivieren" } },
    { id: "B", text: { en: "Use dynamic data masking and weekly exports to CSV", de: "Dynamische Datenmaskierung und wöchentliche Exporte nach CSV verwenden" } },
    { id: "C", text: { en: "Use only Microsoft-managed TDE and trust administrator activity logs", de: "Nur Microsoft-verwaltetes TDE verwenden und auf Administrator-Aktivitätsprotokolle vertrauen" } },
    { id: "D", text: { en: "Store order history in application logs instead of the database", de: "Auftragshistorien statt in der Datenbank in Anwendungsprotokollen speichern" } }
  ],
  correct: ["A"],
  explanation: { en: "Customer-managed TDE addresses key ownership for encryption at rest, and SQL Ledger adds tamper-evident integrity guarantees for recorded data changes.", de: "Kundenseitig verwaltetes TDE adressiert die Schlüsselhoheit für Verschlüsselung ruhender Daten, und SQL Ledger ergänzt manipulationsnachweisende Integritätsgarantien für aufgezeichnete Datenänderungen." },
  hint: { en: "Choose one option that solves both encryption ownership and integrity proof.", de: "Wählen Sie die Option, die sowohl Schlüsselhoheit für Verschlüsselung als auch Integritätsnachweise löst." },
  reference: "https://learn.microsoft.com/en-us/azure/azure-sql/database/ledger-overview"
},
{
  id: "sc100-337",
  type: "single",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Azure security service should be enabled on storage accounts when architects need anomaly detection, sensitive operation alerts, and malware scanning for uploaded content?", de: "Welcher Azure-Sicherheitsdienst sollte für Speicherkonten aktiviert werden, wenn Architekten Anomalieerkennung, Warnungen bei sensitiven Vorgängen und Malware-Scanning für hochgeladene Inhalte benötigen?" },
  options: [
    { id: "A", text: { en: "Microsoft Defender for Storage", de: "Microsoft Defender for Storage" } },
    { id: "B", text: { en: "Azure Route Server", de: "Azure Route Server" } },
    { id: "C", text: { en: "Azure Update Manager", de: "Azure Update Manager" } },
    { id: "D", text: { en: "Azure Cost Management", de: "Azure Cost Management" } }
  ],
  correct: ["A"],
  explanation: { en: "Defender for Storage adds threat detection and malware scanning capabilities at the storage layer, which helps identify suspicious access and malicious content early.", de: "Defender for Storage ergänzt Bedrohungserkennung und Malware-Scanning auf der Storage-Ebene und hilft so, verdächtige Zugriffe und schädliche Inhalte früh zu erkennen." },
  hint: { en: "Pick the storage-specific protection plan, not a network or cost feature.", de: "Wählen Sie den storage-spezifischen Schutzplan und keine Netzwerk- oder Kostenfunktion." },
  reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-storage-introduction"
},
{
  id: "sc100-338",
  type: "scenario",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: { en: "The platform team at Litware, Inc. wants an end-to-end secretless path. GitHub builds a container image, pushes it to Azure Container Registry, deploys it to AKS, and the running pod must access Key Vault and Azure Storage without stored secrets.", de: "Das Plattformteam von Litware, Inc. möchte einen vollständig geheimnisfreien End-to-End-Pfad. GitHub baut ein Container-Image, pusht es nach Azure Container Registry, stellt es in AKS bereit, und der laufende Pod muss ohne gespeicherte Geheimnisse auf Key Vault und Azure Storage zugreifen." },
  question: { en: "Which architecture should the architect recommend?", de: "Welche Architektur sollte der Architekt empfehlen?" },
  options: [
    { id: "A", text: { en: "Use GitHub OIDC federation to Azure for CI, then use AKS Workload ID for pod access to Key Vault and Storage", de: "GitHub-OIDC-Föderation zu Azure für CI verwenden und anschließend AKS Workload ID für den Pod-Zugriff auf Key Vault und Storage nutzen" } },
    { id: "B", text: { en: "Store ACR, Key Vault, and Storage credentials as encrypted repository secrets and copy them into Kubernetes secrets", de: "ACR-, Key-Vault- und Storage-Anmeldeinformationen als verschlüsselte Repository-Geheimnisse speichern und in Kubernetes-Secrets kopieren" } },
    { id: "C", text: { en: "Use one shared service principal password for both the pipeline and the cluster", de: "Ein gemeinsames Passwort für Dienstprinzipale sowohl für die Pipeline als auch für den Cluster verwenden" } },
    { id: "D", text: { en: "Let developers perform image pushes and production deployments manually from local machines", de: "Entwickler Image-Pushes und Produktionsbereitstellungen manuell von lokalen Rechnern ausführen lassen" } }
  ],
  correct: ["A"],
  explanation: { en: "This pattern removes static secrets from both the CI path and the runtime path by using federated trust for GitHub and workload identities for AKS pods.", de: "Dieses Muster entfernt statische Geheimnisse sowohl aus dem CI-Pfad als auch aus dem Laufzeitpfad, indem föderiertes Vertrauen für GitHub und Workload-Identitäten für AKS-Pods genutzt werden." },
  hint: { en: "Choose the option that is secretless in both pipeline and runtime.", de: "Wählen Sie die Option, die sowohl in der Pipeline als auch zur Laufzeit geheimnisfrei ist." },
  reference: "https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github"
},
{
  id: "sc100-339",
  type: "multiple",
  domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO architectural choices best reduce blast radius in an enterprise Key Vault estate that stores both application secrets and customer-managed keys?", de: "Welche ZWEI Architekturentscheidungen reduzieren den Schadensradius in einer unternehmensweiten Key-Vault-Landschaft am besten, die sowohl Anwendungsgeheimnisse als auch kundenseitig verwaltete Schlüssel speichert?" },
  options: [
    { id: "A", text: { en: "Separate vaults by environment or trust boundary", de: "Vaults nach Umgebung oder Vertrauensgrenze trennen" } },
    { id: "B", text: { en: "Use RBAC to separate key administrators from secret consumers", de: "RBAC verwenden, um Schlüsseladministratoren von Geheimnisnutzern zu trennen" } },
    { id: "C", text: { en: "Store production and development material in one shared vault for simplicity", de: "Produktions- und Entwicklungsdaten aus Einfachheitsgründen in einem gemeinsamen Vault speichern" } },
    { id: "D", text: { en: "Grant broad list and get permissions to all engineering teams", de: "Allen Entwicklungsteams weitreichende List- und Get-Berechtigungen erteilen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Segmenting vaults limits the scope of compromise, and RBAC separation helps enforce least privilege and duty separation between administration and consumption.", de: "Die Segmentierung von Vaults begrenzt den Umfang einer Kompromittierung, und die RBAC-Trennung hilft, Least Privilege und Funktionstrennung zwischen Administration und Nutzung durchzusetzen." },
  hint: { en: "Choose one answer about isolation and one about authorization boundaries.", de: "Wählen Sie eine Antwort zur Isolierung und eine zu Autorisierungsgrenzen." },
  reference: "https://learn.microsoft.com/en-us/azure/key-vault/general/security-features"
}
  ];
  if (window.ExamData && window.ExamData['sc-100']) {
    window.ExamData['sc-100'].questions = window.ExamData['sc-100'].questions.concat(extra);
  }
})();
