window.ExamData = window.ExamData || {};
window.ExamData['az-500'] = {
  meta: {
    id: 'az-500',
    title: {
      en: 'Microsoft Azure Security Technologies',
      de: 'Microsoft Azure-Sicherheitstechnologien'
    },
    description: {
      en: 'This exam measures your ability to secure identities, network access, workloads, data platforms, and security operations in Microsoft Azure.',
      de: 'Diese Prüfung misst Ihre Fähigkeit, Identitäten, Netzwerkzugriffe, Workloads, Datenplattformen und Sicherheitsvorgänge in Microsoft Azure abzusichern.'
    },
    icon: '🛡️',
    level: 'associate',
    passingScore: 700,
    totalTime: 120,
    questionCount: '40-60',
    msLearnUrl: 'https://learn.microsoft.com/en-us/certifications/exams/az-500/',
    domains: [
      {
        name: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
        weight: '25-30%',
        objectives: [
          { en: 'Manage Microsoft Entra users, groups, and workload identities', de: 'Microsoft Entra-Benutzer, -Gruppen und Workloadidentitäten verwalten' },
          { en: 'Manage Azure authorization and RBAC assignments', de: 'Azure-Autorisierung und RBAC-Zuweisungen verwalten' },
          { en: 'Configure application access, Conditional Access, and Privileged Identity Management', de: 'Anwendungszugriff, bedingten Zugriff und Privileged Identity Management konfigurieren' }
        ]
      },
      {
        name: { en: 'Secure networking', de: 'Netzwerke absichern' },
        weight: '20-25%',
        objectives: [
          { en: 'Secure traffic with NSGs, Azure Firewall, and Azure DDoS Protection', de: 'Datenverkehr mit NSGs, Azure Firewall und Azure DDoS Protection absichern' },
          { en: 'Secure web applications by using WAF and edge controls', de: 'Webanwendungen mit WAF und Edge-Kontrollen absichern' },
          { en: 'Secure private and public access to Azure resources', de: 'Privaten und öffentlichen Zugriff auf Azure-Ressourcen absichern' }
        ]
      },
      {
        name: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
        weight: '20-25%',
        objectives: [
          { en: 'Secure virtual machines, containers, and compute identities', de: 'Virtuelle Computer, Container und Compute-Identitäten absichern' },
          { en: 'Protect storage accounts, data encryption keys, and secrets', de: 'Speicherkonten, Datenverschlüsselungsschlüssel und Geheimnisse schützen' },
          { en: 'Secure Azure SQL and other database workloads', de: 'Azure SQL und andere Datenbankworkloads absichern' }
        ]
      },
      {
        name: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
        weight: '25-30%',
        objectives: [
          { en: 'Monitor security posture with Microsoft Defender for Cloud', de: 'Sicherheitsstatus mit Microsoft Defender for Cloud überwachen' },
          { en: 'Detect, investigate, and respond with Microsoft Sentinel', de: 'Mit Microsoft Sentinel erkennen, untersuchen und reagieren' },
          { en: 'Implement recommendations, JIT access, and regulatory compliance workflows', de: 'Empfehlungen, JIT-Zugriff und Workflows für regulatorische Compliance implementieren' }
        ]
      }
    ]
  },
  questions: [
    {
      id: 'az500-001',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Microsoft Entra feature lets an administrator activate an eligible role only for a limited time?', de: 'Welche Microsoft Entra-Funktion ermöglicht es einem Administrator, eine berechtigte Rolle nur für eine begrenzte Zeit zu aktivieren?' },
      options: [
        { id: 'A', text: { en: 'Privileged Identity Management (PIM)', de: 'Privileged Identity Management (PIM)' } },
        { id: 'B', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'C', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } },
        { id: 'D', text: { en: 'Identity Secure Score', de: 'Identity Secure Score' } }
      ],
      correct: ['A'],
      explanation: { en: 'PIM provides just-in-time activation for eligible privileged roles so standing access can be reduced.', de: 'PIM bietet eine Just-in-Time-Aktivierung für berechtigte privilegierte Rollen, sodass dauerhafte Zugriffe reduziert werden können.' },
      hint: { en: 'Think about just-in-time activation for privileged roles.', de: 'Denken Sie an die Just-in-Time-Aktivierung für privilegierte Rollen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'az500-002',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which built-in Azure role should you assign if a user must create RBAC role assignments at a resource group but not manage all resources?', de: 'Welche integrierte Azure-Rolle sollten Sie zuweisen, wenn ein Benutzer RBAC-Rollenzuweisungen in einer Ressourcengruppe erstellen muss, aber nicht alle Ressourcen verwalten soll?' },
      options: [
        { id: 'A', text: { en: 'Reader', de: 'Leser' } },
        { id: 'B', text: { en: 'Security Admin', de: 'Security Admin' } },
        { id: 'C', text: { en: 'User Access Administrator', de: 'Benutzerzugriffsadministrator' } },
        { id: 'D', text: { en: 'Virtual Machine Contributor', de: 'Mitwirkender für virtuelle Computer' } }
      ],
      correct: ['C'],
      explanation: { en: 'User Access Administrator is designed to manage user access to Azure resources without full resource administration permissions.', de: 'Benutzerzugriffsadministrator ist dafür vorgesehen, den Benutzerzugriff auf Azure-Ressourcen zu verwalten, ohne vollständige Verwaltungsrechte für Ressourcen zu vergeben.' },
      hint: { en: 'Choose the role focused on access management rather than resource management.', de: 'Wählen Sie die Rolle, die auf Zugriffsverwaltung statt auf Ressourcenverwaltung ausgerichtet ist.' },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles'
    },
    {
      id: 'az500-003',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which signals can a Conditional Access policy evaluate? Choose all that apply.', de: 'Welche Signale kann eine Richtlinie für bedingten Zugriff auswerten? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Users or groups', de: 'Benutzer oder Gruppen' } },
        { id: 'B', text: { en: 'Locations', de: 'Standorte' } },
        { id: 'C', text: { en: 'Device platforms', de: 'Geräteplattformen' } },
        { id: 'D', text: { en: 'SQL edition', de: 'SQL-Edition' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Conditional Access evaluates identity and session conditions such as users, locations, and device platform. SQL edition is unrelated.', de: 'Bedingter Zugriff wertet Identitäts- und Sitzungsbedingungen wie Benutzer, Standorte und Geräteplattform aus. Die SQL-Edition ist nicht relevant.' },
      hint: { en: 'Focus on sign-in context and device context.', de: 'Konzentrieren Sie sich auf Anmeldekontext und Gerätekontext.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'az500-004',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Contoso Ltd. runs an application on an Azure VM. The application must read secrets from Azure Key Vault without storing credentials in code or configuration files.', de: 'Contoso Ltd. betreibt eine Anwendung auf einem Azure-VM. Die Anwendung muss Geheimnisse aus Azure Key Vault lesen, ohne Anmeldeinformationen im Code oder in Konfigurationsdateien zu speichern.' },
      question: { en: 'What should you configure?', de: 'Was sollten Sie konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'A service principal with a client secret stored in app settings', de: 'Einen Dienstprinzipal mit einem in App-Einstellungen gespeicherten Clientgeheimnis' } },
        { id: 'B', text: { en: 'A system-assigned managed identity on the VM', de: 'Eine systemseitig zugewiesene verwaltete Identität auf der VM' } },
        { id: 'C', text: { en: 'A local administrator account on the VM', de: 'Ein lokales Administratorkonto auf der VM' } },
        { id: 'D', text: { en: 'A shared access signature', de: 'Eine Shared Access Signature' } }
      ],
      correct: ['B'],
      explanation: { en: 'A managed identity lets Azure issue tokens to the VM without storing credentials, which is the recommended pattern for Key Vault access.', de: 'Eine verwaltete Identität ermöglicht Azure, Token für die VM auszustellen, ohne Anmeldeinformationen zu speichern. Das ist das empfohlene Muster für den Zugriff auf Key Vault.' },
      hint: { en: 'Choose the option that removes credential storage completely.', de: 'Wählen Sie die Option, die das Speichern von Anmeldeinformationen vollständig vermeidet.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-005',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'An application needs Microsoft Graph application permissions and must run without a signed-in user. Which OAuth 2.0 flow should it use?', de: 'Eine Anwendung benötigt Microsoft Graph-Anwendungsberechtigungen und muss ohne angemeldeten Benutzer ausgeführt werden. Welchen OAuth 2.0-Flow sollte sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'Authorization code flow', de: 'Authorization-Code-Flow' } },
        { id: 'B', text: { en: 'Device code flow', de: 'Device-Code-Flow' } },
        { id: 'C', text: { en: 'Client credentials flow', de: 'Client-Credentials-Flow' } },
        { id: 'D', text: { en: 'On-behalf-of flow', de: 'On-Behalf-Of-Flow' } }
      ],
      correct: ['C'],
      explanation: { en: 'The client credentials flow is used by daemon or service applications that call APIs as themselves without user interaction.', de: 'Der Client-Credentials-Flow wird von Daemon- oder Dienstanwendungen verwendet, die APIs ohne Benutzerinteraktion in eigenem Namen aufrufen.' },
      hint: { en: 'Think of a background service with no user present.', de: 'Denken Sie an einen Hintergrunddienst ohne anwesenden Benutzer.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-client-creds-grant-flow'
    },
    {
      id: 'az500-006',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'You must block legacy authentication for all users except emergency access accounts. What is the best approach?', de: 'Sie müssen die Legacy-Authentifizierung für alle Benutzer außer Notfallzugriffskonten blockieren. Was ist der beste Ansatz?' },
      options: [
        { id: 'A', text: { en: 'Disable all user accounts manually', de: 'Alle Benutzerkonten manuell deaktivieren' } },
        { id: 'B', text: { en: 'Create a Conditional Access policy for legacy authentication and exclude emergency accounts', de: 'Eine Richtlinie für bedingten Zugriff für Legacy-Authentifizierung erstellen und Notfallkonten ausschließen' } },
        { id: 'C', text: { en: 'Use a network security group to block legacy protocols', de: 'Eine Netzwerksicherheitsgruppe verwenden, um Legacy-Protokolle zu blockieren' } },
        { id: 'D', text: { en: 'Create an Azure Policy on subscriptions', de: 'Eine Azure Policy für Abonnements erstellen' } }
      ],
      correct: ['B'],
      explanation: { en: 'Conditional Access can target legacy authentication client apps directly and emergency accounts can be excluded for break-glass scenarios.', de: 'Bedingter Zugriff kann Legacy-Authentifizierungsclient-Apps direkt adressieren, und Notfallkonten können für Break-Glass-Szenarien ausgeschlossen werden.' },
      hint: { en: 'Use an identity control, not a network control.', de: 'Verwenden Sie eine Identitätskontrolle und keine Netzwerkkontrolle.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'az500-007',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Fabrikam Inc. wants administrators to access the Azure portal only from compliant devices and to use phishing-resistant MFA.', de: 'Fabrikam Inc. möchte, dass Administratoren nur von konformen Geräten aus auf das Azure-Portal zugreifen und phishingresistente MFA verwenden.' },
      question: { en: 'Which Conditional Access configuration best meets the requirement?', de: 'Welche Konfiguration für bedingten Zugriff erfüllt die Anforderung am besten?' },
      options: [
        { id: 'A', text: { en: 'Require password change at every sign-in', de: 'Bei jeder Anmeldung eine Kennwortänderung verlangen' } },
        { id: 'B', text: { en: 'Require a compliant device only', de: 'Nur ein konformes Gerät verlangen' } },
        { id: 'C', text: { en: 'Require a compliant device and a phishing-resistant authentication strength', de: 'Ein konformes Gerät und eine phishingresistente Authentifizierungsstärke verlangen' } },
        { id: 'D', text: { en: 'Enable self-service password reset', de: 'Self-Service-Kennwortzurücksetzung aktivieren' } }
      ],
      correct: ['C'],
      explanation: { en: 'Combining device compliance with an authentication strength ensures both device trust and a strong MFA method.', de: 'Die Kombination aus Gerätekonformität und einer Authentifizierungsstärke stellt sowohl Gerätevertrauen als auch eine starke MFA-Methode sicher.' },
      hint: { en: 'The requirement includes both device state and MFA quality.', de: 'Die Anforderung umfasst sowohl den Gerätezustand als auch die Qualität der MFA.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
    },
    {
      id: 'az500-008',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'At which Azure scope can you centrally apply RBAC and Azure Policy to multiple subscriptions?', de: 'Auf welcher Azure-Ebene können Sie RBAC und Azure Policy zentral auf mehrere Abonnements anwenden?' },
      options: [
        { id: 'A', text: { en: 'Resource', de: 'Ressource' } },
        { id: 'B', text: { en: 'Resource group', de: 'Ressourcengruppe' } },
        { id: 'C', text: { en: 'Management group', de: 'Verwaltungsgruppe' } },
        { id: 'D', text: { en: 'Availability zone', de: 'Verfügbarkeitszone' } }
      ],
      correct: ['C'],
      explanation: { en: 'Management groups sit above subscriptions and provide centralized inheritance for governance and access control.', de: 'Verwaltungsgruppen stehen über Abonnements und bieten zentrale Vererbung für Governance und Zugriffskontrolle.' },
      hint: { en: 'Choose the scope above subscriptions.', de: 'Wählen Sie die Ebene über den Abonnements.' },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/overview'
    },
    {
      id: 'az500-009',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which principals can be assigned Azure RBAC roles? Choose all that apply.', de: 'Welchen Prinzipalen können Azure RBAC-Rollen zugewiesen werden? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Users', de: 'Benutzer' } },
        { id: 'B', text: { en: 'Groups', de: 'Gruppen' } },
        { id: 'C', text: { en: 'Service principals', de: 'Dienstprinzipale' } },
        { id: 'D', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'RBAC role assignments are made to security principals such as users, groups, and service principals. Management groups are scopes, not principals.', de: 'RBAC-Rollenzuweisungen werden Sicherheitsprinzipalen wie Benutzern, Gruppen und Dienstprinzipalen erteilt. Verwaltungsgruppen sind Bereiche und keine Prinzipale.' },
      hint: { en: 'Separate who gets access from where access is assigned.', de: 'Trennen Sie, wer Zugriff erhält, davon, wo der Zugriff zugewiesen wird.' },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/overview'
    },
    {
      id: 'az500-010',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Woodgrove Bank must let external auditors use their own organizational credentials to access selected Azure resources in the tenant.', de: 'Woodgrove Bank muss externen Prüfern erlauben, mit ihren eigenen Organisationsanmeldeinformationen auf ausgewählte Azure-Ressourcen im Mandanten zuzugreifen.' },
      question: { en: 'Which Microsoft Entra capability should be used?', de: 'Welche Microsoft Entra-Funktion sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra ID B2C', de: 'Microsoft Entra ID B2C' } },
        { id: 'B', text: { en: 'Managed identities', de: 'Verwaltete Identitäten' } },
        { id: 'C', text: { en: 'Microsoft Entra B2B collaboration', de: 'Microsoft Entra B2B-Zusammenarbeit' } },
        { id: 'D', text: { en: 'Password hash synchronization', de: 'Kennworthashsynchronisierung' } }
      ],
      correct: ['C'],
      explanation: { en: 'B2B collaboration is designed for guest users from partner organizations who must use their home credentials.', de: 'Die B2B-Zusammenarbeit ist für Gastbenutzer aus Partnerorganisationen vorgesehen, die ihre Heim-Anmeldeinformationen verwenden müssen.' },
      hint: { en: 'The scenario is partner access, not consumer identity.', de: 'Das Szenario betrifft Partnerzugriff und nicht Verbraucheridentitäten.' },
      reference: 'https://learn.microsoft.com/en-us/entra/external-id/what-is-b2b'
    },
    {
      id: 'az500-011',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Litware Inc. wants subscription Owner access to be eligible, time-bound, and subject to approval before activation.', de: 'Litware Inc. möchte, dass der Zugriff auf die Rolle Besitzer des Abonnements berechtigt, zeitgebunden und vor der Aktivierung genehmigungspflichtig ist.' },
      question: { en: 'Which service should be used?', de: 'Welcher Dienst sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Azure Policy', de: 'Azure Policy' } },
        { id: 'B', text: { en: 'Privileged Identity Management for Azure resources', de: 'Privileged Identity Management für Azure-Ressourcen' } },
        { id: 'C', text: { en: 'Access reviews only', de: 'Nur Zugriffsüberprüfungen' } },
        { id: 'D', text: { en: 'Microsoft Defender for Cloud', de: 'Microsoft Defender for Cloud' } }
      ],
      correct: ['B'],
      explanation: { en: 'PIM for Azure resources supports eligible role assignments, approvals, and activation controls for Azure RBAC roles.', de: 'PIM für Azure-Ressourcen unterstützt berechtigte Rollenzuweisungen, Genehmigungen und Aktivierungssteuerungen für Azure RBAC-Rollen.' },
      hint: { en: 'You need just-in-time activation for an Azure RBAC role.', de: 'Sie benötigen eine Just-in-Time-Aktivierung für eine Azure RBAC-Rolle.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'az500-012',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Entra object represents an application instance in a specific tenant and is used for access decisions?', de: 'Welches Microsoft Entra-Objekt stellt eine Anwendungsinstanz in einem bestimmten Mandanten dar und wird für Zugriffsentscheidungen verwendet?' },
      options: [
        { id: 'A', text: { en: 'App registration', de: 'App-Registrierung' } },
        { id: 'B', text: { en: 'Service principal', de: 'Dienstprinzipal' } },
        { id: 'C', text: { en: 'Management group', de: 'Verwaltungsgruppe' } },
        { id: 'D', text: { en: 'Access package', de: 'Zugriffspaket' } }
      ],
      correct: ['B'],
      explanation: { en: 'The service principal is the tenant-specific identity object that is granted permissions and signs in to resources.', de: 'Der Dienstprinzipal ist das mandantenspezifische Identitätsobjekt, dem Berechtigungen erteilt werden und das sich an Ressourcen anmeldet.' },
      hint: { en: 'Think of the instantiated identity in the tenant, not the global definition.', de: 'Denken Sie an die instanziierte Identität im Mandanten und nicht an die globale Definition.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals'
    },
    {
      id: 'az500-013',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'You need an Azure App Service to connect to Azure SQL by using token-based authentication and no stored database password. What should you use?', de: 'Sie müssen eine Azure App Service-Instanz mit tokenbasierter Authentifizierung und ohne gespeichertes Datenbankkennwort mit Azure SQL verbinden. Was sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'A SQL login stored in configuration', de: 'Ein in der Konfiguration gespeichertes SQL-Anmeldekonto' } },
        { id: 'B', text: { en: 'A managed identity for the App Service', de: 'Eine verwaltete Identität für App Service' } },
        { id: 'C', text: { en: 'A local administrator account', de: 'Ein lokales Administratorkonto' } },
        { id: 'D', text: { en: 'A shared access signature', de: 'Eine Shared Access Signature' } }
      ],
      correct: ['B'],
      explanation: { en: 'A managed identity allows the app to obtain tokens for Azure SQL without storing secrets.', de: 'Eine verwaltete Identität ermöglicht der App, Token für Azure SQL zu beziehen, ohne Geheimnisse zu speichern.' },
      hint: { en: 'Choose the identity feature designed for Azure workloads.', de: 'Wählen Sie die Identitätsfunktion, die für Azure-Workloads entwickelt wurde.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-014',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which statements about Azure deny assignments are correct? Choose all that apply.', de: 'Welche Aussagen zu Azure-Verweigerungszuweisungen sind korrekt? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'They can block actions even when a role assignment would allow them', de: 'Sie können Aktionen blockieren, selbst wenn eine Rollenzuweisung sie erlauben würde' } },
        { id: 'B', text: { en: 'They can be inherited from a parent scope', de: 'Sie können von einem übergeordneten Bereich geerbt werden' } },
        { id: 'C', text: { en: 'Azure creates them for some managed scenarios', de: 'Azure erstellt sie für einige verwaltete Szenarien' } },
        { id: 'D', text: { en: 'They are the standard way to grant least-privilege access', de: 'Sie sind der Standardweg, um Zugriff mit minimalen Rechten zu gewähren' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Deny assignments explicitly block operations, can inherit through scope hierarchy, and are often created by Azure managed scenarios. They do not grant access.', de: 'Verweigerungszuweisungen blockieren Vorgänge explizit, können über die Bereichshierarchie vererbt werden und werden häufig von verwalteten Azure-Szenarien erstellt. Sie gewähren keinen Zugriff.' },
      hint: { en: 'Think about what denies do compared to role assignments.', de: 'Denken Sie daran, was Verweigerungen im Vergleich zu Rollenzuweisungen bewirken.' },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/overview'
    },
    {
      id: 'az500-015',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Tailwind Traders wants to delegate user administration for only the Europe office without giving tenant-wide permissions.', de: 'Tailwind Traders möchte die Benutzerverwaltung nur für das Europa-Büro delegieren, ohne mandantenweite Berechtigungen zu vergeben.' },
      question: { en: 'What should be configured?', de: 'Was sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } },
        { id: 'B', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'C', text: { en: 'Privileged Identity Management', de: 'Privileged Identity Management' } },
        { id: 'D', text: { en: 'Access packages', de: 'Zugriffspakete' } }
      ],
      correct: ['B'],
      explanation: { en: 'Administrative units scope delegated administration to a subset of users, groups, or devices in the directory.', de: 'Administrative Einheiten beschränken die delegierte Verwaltung auf eine Teilmenge von Benutzern, Gruppen oder Geräten im Verzeichnis.' },
      hint: { en: 'Choose scoped directory administration.', de: 'Wählen Sie eine bereichsbezogene Verzeichnisverwaltung.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units'
    },
    {
      id: 'az500-016',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which log should you review to see a successful sign-in and the Conditional Access result?', de: 'Welches Protokoll sollten Sie prüfen, um eine erfolgreiche Anmeldung und das Ergebnis des bedingten Zugriffs zu sehen?' },
      options: [
        { id: 'A', text: { en: 'Audit logs', de: 'Überwachungsprotokolle' } },
        { id: 'B', text: { en: 'Sign-in logs', de: 'Anmeldeprotokolle' } },
        { id: 'C', text: { en: 'Provisioning logs', de: 'Bereitstellungsprotokolle' } },
        { id: 'D', text: { en: 'Access review history', de: 'Historie der Zugriffsüberprüfungen' } }
      ],
      correct: ['B'],
      explanation: { en: 'Sign-in logs contain authentication details and show which Conditional Access policies were applied.', de: 'Anmeldeprotokolle enthalten Authentifizierungsdetails und zeigen, welche Richtlinien für bedingten Zugriff angewendet wurden.' },
      hint: { en: 'Look for authentication events, not configuration changes.', de: 'Suchen Sie nach Authentifizierungsereignissen und nicht nach Konfigurationsänderungen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-sign-ins'
    },
    {
      id: 'az500-017',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Entra feature lets reviewers regularly confirm whether privileged role members still need access?', de: 'Welche Microsoft Entra-Funktion ermöglicht es Prüfern, regelmäßig zu bestätigen, ob Mitglieder privilegierter Rollen noch Zugriff benötigen?' },
      options: [
        { id: 'A', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'B', text: { en: 'Dynamic groups', de: 'Dynamische Gruppen' } },
        { id: 'C', text: { en: 'Named locations', de: 'Benannte Standorte' } },
        { id: 'D', text: { en: 'Service endpoints', de: 'Dienstendpunkte' } }
      ],
      correct: ['A'],
      explanation: { en: 'Access reviews are used to periodically attest and clean up access or role assignments.', de: 'Zugriffsüberprüfungen werden verwendet, um Zugriffe oder Rollenzuweisungen periodisch zu bestätigen und zu bereinigen.' },
      hint: { en: 'Think about periodic attestation of access.', de: 'Denken Sie an die regelmäßige Bestätigung von Zugriffsrechten.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'az500-018',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'You need a custom RBAC role that can start and restart virtual machines but cannot create or delete them. What must the role definition include?', de: 'Sie benötigen eine benutzerdefinierte RBAC-Rolle, die virtuelle Computer starten und neu starten kann, sie aber nicht erstellen oder löschen darf. Was muss die Rollendefinition enthalten?' },
      options: [
        { id: 'A', text: { en: 'Only NotActions and no Actions', de: 'Nur NotActions und keine Actions' } },
        { id: 'B', text: { en: 'Required Actions for VM start and restart plus AssignableScopes', de: 'Erforderliche Actions für VM-Start und Neustart plus AssignableScopes' } },
        { id: 'C', text: { en: 'A Conditional Access policy', de: 'Eine Richtlinie für bedingten Zugriff' } },
        { id: 'D', text: { en: 'A network security group', de: 'Eine Netzwerksicherheitsgruppe' } }
      ],
      correct: ['B'],
      explanation: { en: 'Custom roles are defined through allowed actions and assignable scopes. You grant only the VM operations that are needed.', de: 'Benutzerdefinierte Rollen werden durch erlaubte Actions und AssignableScopes definiert. Sie gewähren nur die benötigten VM-Vorgänge.' },
      hint: { en: 'Focus on the JSON elements that define permissions and scope.', de: 'Konzentrieren Sie sich auf die JSON-Elemente, die Berechtigungen und Bereich definieren.' },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles'
    },
    {
      id: 'az500-019',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Entra capability calculates user risk and sign-in risk for identity-based protection?', de: 'Welche Microsoft Entra-Funktion berechnet Benutzerrisiko und Anmelderisiko für identitätsbasierte Schutzmaßnahmen?' },
      options: [
        { id: 'A', text: { en: 'Identity Protection', de: 'Identity Protection' } },
        { id: 'B', text: { en: 'B2B collaboration', de: 'B2B-Zusammenarbeit' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Cost Management', de: 'Cost Management' } }
      ],
      correct: ['A'],
      explanation: { en: 'Identity Protection evaluates risk signals and can feed risk-based policies and remediation actions.', de: 'Identity Protection wertet Risikosignale aus und kann risikobasierte Richtlinien und Korrekturmaßnahmen speisen.' },
      hint: { en: 'This feature focuses on identity risk analytics.', de: 'Diese Funktion konzentriert sich auf Analysen von Identitätsrisiken.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection'
    },
    {
      id: 'az500-020',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which authentication methods are considered phishing-resistant in Microsoft Entra? Choose all that apply.', de: 'Welche Authentifizierungsmethoden gelten in Microsoft Entra als phishingresistent? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'FIDO2 security keys', de: 'FIDO2-Sicherheitsschlüssel' } },
        { id: 'B', text: { en: 'Windows Hello for Business', de: 'Windows Hello for Business' } },
        { id: 'C', text: { en: 'Certificate-based authentication', de: 'Zertifikatbasierte Authentifizierung' } },
        { id: 'D', text: { en: 'SMS verification', de: 'SMS-Verifizierung' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'FIDO2, Windows Hello for Business, and certificate-based authentication are phishing-resistant methods. SMS is not.', de: 'FIDO2, Windows Hello for Business und zertifikatbasierte Authentifizierung sind phishingresistente Methoden. SMS ist es nicht.' },
      hint: { en: 'Exclude methods that can still be socially engineered easily.', de: 'Schließen Sie Methoden aus, die weiterhin leicht sozial manipuliert werden können.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
    },
    {
      id: 'az500-021',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Contoso Ltd. must keep two emergency access accounts available even if Conditional Access causes a broad outage.', de: 'Contoso Ltd. muss zwei Notfallzugriffskonten verfügbar halten, selbst wenn bedingter Zugriff eine weitreichende Störung verursacht.' },
      question: { en: 'What is the recommended design?', de: 'Was ist das empfohlene Design?' },
      options: [
        { id: 'A', text: { en: 'Apply every Conditional Access policy to the emergency accounts', de: 'Jede Richtlinie für bedingten Zugriff auf die Notfallkonten anwenden' } },
        { id: 'B', text: { en: 'Exclude dedicated emergency access accounts from Conditional Access policies', de: 'Dedizierte Notfallzugriffskonten von Richtlinien für bedingten Zugriff ausschließen' } },
        { id: 'C', text: { en: 'Store the emergency passwords in source code', de: 'Die Notfallkennwörter im Quellcode speichern' } },
        { id: 'D', text: { en: 'Disable MFA on all administrator accounts', de: 'MFA für alle Administratorkonten deaktivieren' } }
      ],
      correct: ['B'],
      explanation: { en: 'Emergency access accounts should be protected carefully but excluded from Conditional Access to preserve break-glass access.', de: 'Notfallzugriffskonten sollten sorgfältig geschützt, aber vom bedingten Zugriff ausgeschlossen werden, um Break-Glass-Zugriff zu erhalten.' },
      hint: { en: 'This is about surviving a policy lockout scenario.', de: 'Hier geht es darum, einen durch Richtlinien verursachten Sperrfall zu überstehen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'az500-022',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Microsoft Entra feature allows users to reset their own password after verification?', de: 'Welche Microsoft Entra-Funktion ermöglicht es Benutzern, ihr eigenes Kennwort nach einer Überprüfung zurückzusetzen?' },
      options: [
        { id: 'A', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } },
        { id: 'B', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'C', text: { en: 'Network Watcher', de: 'Network Watcher' } },
        { id: 'D', text: { en: 'Defender for Cloud', de: 'Defender for Cloud' } }
      ],
      correct: ['A'],
      explanation: { en: 'Self-service password reset lets users reset or unlock accounts through configured verification methods.', de: 'Die Self-Service-Kennwortzurücksetzung ermöglicht Benutzern das Zurücksetzen oder Entsperren von Konten über konfigurierte Überprüfungsmethoden.' },
      hint: { en: 'Think about a user-driven password recovery feature.', de: 'Denken Sie an eine vom Benutzer initiierte Funktion zur Kennwortwiederherstellung.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-howitworks'
    },
    {
      id: 'az500-023',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'If you assign an Azure RBAC role at subscription scope, which child scopes inherit the assignment?', de: 'Wenn Sie eine Azure RBAC-Rolle auf Abonnementebene zuweisen, welche untergeordneten Bereiche erben die Zuweisung?' },
      options: [
        { id: 'A', text: { en: 'Only the subscription root object', de: 'Nur das Stammobjekt des Abonnements' } },
        { id: 'B', text: { en: 'Resource groups and resources in that subscription', de: 'Ressourcengruppen und Ressourcen in diesem Abonnement' } },
        { id: 'C', text: { en: 'Only management groups', de: 'Nur Verwaltungsgruppen' } },
        { id: 'D', text: { en: 'Only resources created after the assignment', de: 'Nur Ressourcen, die nach der Zuweisung erstellt werden' } }
      ],
      correct: ['B'],
      explanation: { en: 'RBAC assignments inherit down the scope hierarchy from subscription to resource groups and resources.', de: 'RBAC-Zuweisungen werden in der Bereichshierarchie vom Abonnement auf Ressourcengruppen und Ressourcen nach unten vererbt.' },
      hint: { en: 'Think about inheritance to child scopes.', de: 'Denken Sie an die Vererbung auf untergeordnete Bereiche.' },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/overview'
    },
    {
      id: 'az500-024',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam Inc. wants a GitHub Actions workflow to access Azure resources without storing a client secret or certificate.', de: 'Fabrikam Inc. möchte, dass ein GitHub Actions-Workflow auf Azure-Ressourcen zugreift, ohne ein Clientgeheimnis oder Zertifikat zu speichern.' },
      question: { en: 'What should be configured?', de: 'Was sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'A long-lived client secret in the repository', de: 'Ein langlebiges Clientgeheimnis im Repository' } },
        { id: 'B', text: { en: 'A certificate copied to every runner', de: 'Ein auf jeden Runner kopiertes Zertifikat' } },
        { id: 'C', text: { en: 'Workload identity federation on an app registration', de: 'Workload-Identitätsverbund für eine App-Registrierung' } },
        { id: 'D', text: { en: 'A storage account access key', de: 'Ein Zugriffsschlüssel für ein Speicherkonto' } }
      ],
      correct: ['C'],
      explanation: { en: 'Workload identity federation lets an external workload exchange a trusted token for Microsoft Entra tokens without a stored secret.', de: 'Workload-Identitätsverbund ermöglicht es einem externen Workload, ein vertrauenswürdiges Token gegen Microsoft Entra-Token auszutauschen, ohne ein gespeichertes Geheimnis zu verwenden.' },
      hint: { en: 'Choose the secretless trust model for external workloads.', de: 'Wählen Sie das geheimnislose Vertrauensmodell für externe Workloads.' },
      reference: 'https://learn.microsoft.com/en-us/entra/workload-id/workload-identity-federation'
    },
    {
      id: 'az500-025',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Privileged Identity Management capabilities apply to Azure resource roles? Choose all that apply.', de: 'Welche Funktionen von Privileged Identity Management gelten für Azure-Ressourcenrollen? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Eligible assignments', de: 'Berechtigte Zuweisungen' } },
        { id: 'B', text: { en: 'Time-bound activation', de: 'Zeitgebundene Aktivierung' } },
        { id: 'C', text: { en: 'Approval and MFA on activation', de: 'Genehmigung und MFA bei Aktivierung' } },
        { id: 'D', text: { en: 'NSG flow log collection', de: 'Erfassung von NSG-Flussprotokollen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'PIM supports eligible role assignments, time-limited activation, and activation controls such as MFA and approval. It does not collect network logs.', de: 'PIM unterstützt berechtigte Rollenzuweisungen, zeitlich begrenzte Aktivierung und Aktivierungssteuerungen wie MFA und Genehmigung. Es erfasst keine Netzwerkprotokolle.' },
      hint: { en: 'Focus on privileged role governance features.', de: 'Konzentrieren Sie sich auf Funktionen zur Governance privilegierter Rollen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'az500-026',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which NSG rule is processed first when multiple rules could match traffic?', de: 'Welche NSG-Regel wird zuerst verarbeitet, wenn mehrere Regeln auf den Datenverkehr zutreffen könnten?' },
      options: [
        { id: 'A', text: { en: 'The rule with the lowest priority number', de: 'Die Regel mit der niedrigsten Prioritätsnummer' } },
        { id: 'B', text: { en: 'The rule with the highest priority number', de: 'Die Regel mit der höchsten Prioritätsnummer' } },
        { id: 'C', text: { en: 'The rule created most recently', de: 'Die zuletzt erstellte Regel' } },
        { id: 'D', text: { en: 'The deny rule only', de: 'Nur die Verweigern-Regel' } }
      ],
      correct: ['A'],
      explanation: { en: 'NSG rules are processed in priority order, and lower numbers are evaluated before higher numbers.', de: 'NSG-Regeln werden in Prioritätsreihenfolge verarbeitet, und niedrigere Zahlen werden vor höheren Zahlen ausgewertet.' },
      hint: { en: 'Remember how NSG priorities are ordered.', de: 'Erinnern Sie sich daran, wie NSG-Prioritäten geordnet sind.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-027',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: { en: 'Contoso Ltd. has many spoke virtual networks and wants centralized outbound filtering based on FQDNs and application rules.', de: 'Contoso Ltd. verfügt über viele Spoke-virtuelle Netzwerke und möchte eine zentrale ausgehende Filterung basierend auf FQDNs und Anwendungsregeln.' },
      question: { en: 'Which Azure service is the best fit?', de: 'Welcher Azure-Dienst ist am besten geeignet?' },
      options: [
        { id: 'A', text: { en: 'Azure Firewall', de: 'Azure Firewall' } },
        { id: 'B', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } },
        { id: 'C', text: { en: 'Azure Load Balancer', de: 'Azure Load Balancer' } },
        { id: 'D', text: { en: 'Route tables only', de: 'Nur Routentabellen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Firewall provides centralized L3 to L7 filtering and supports application rules based on FQDNs.', de: 'Azure Firewall bietet zentrale Filterung von L3 bis L7 und unterstützt Anwendungsregeln auf Basis von FQDNs.' },
      hint: { en: 'Choose the managed firewall service, not subnet-level ACLs.', de: 'Wählen Sie den verwalteten Firewall-Dienst und nicht ACLs auf Subnetzebene.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/overview'
    },
    {
      id: 'az500-028',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which traffic properties are evaluated by an NSG rule? Choose all that apply.', de: 'Welche Eigenschaften des Datenverkehrs werden von einer NSG-Regel ausgewertet? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Source and destination addresses', de: 'Quell- und Zieladressen' } },
        { id: 'B', text: { en: 'Ports', de: 'Ports' } },
        { id: 'C', text: { en: 'Protocol', de: 'Protokoll' } },
        { id: 'D', text: { en: 'Virtual machine size', de: 'Größe des virtuellen Computers' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'NSG rules evaluate IP addresses, ports, protocol, direction, and action. VM size is unrelated.', de: 'NSG-Regeln werten IP-Adressen, Ports, Protokoll, Richtung und Aktion aus. Die VM-Größe ist nicht relevant.' },
      hint: { en: 'Think of packet-filtering fields.', de: 'Denken Sie an Felder der Paketfilterung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-029',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure DDoS offering provides enhanced telemetry, cost protection, and dedicated protection for public IP resources?', de: 'Welches Azure-DDoS-Angebot bietet erweiterte Telemetrie, Kostenschutz und dedizierten Schutz für öffentliche IP-Ressourcen?' },
      options: [
        { id: 'A', text: { en: 'DDoS Basic', de: 'DDoS Basic' } },
        { id: 'B', text: { en: 'DDoS Network Protection', de: 'DDoS Network Protection' } },
        { id: 'C', text: { en: 'Web Application Firewall', de: 'Web Application Firewall' } },
        { id: 'D', text: { en: 'Azure Front Door Standard', de: 'Azure Front Door Standard' } }
      ],
      correct: ['B'],
      explanation: { en: 'DDoS Network Protection adds capabilities beyond the built-in Basic service, including cost protection and richer telemetry.', de: 'DDoS Network Protection ergänzt den integrierten Basic-Dienst um Funktionen wie Kostenschutz und umfangreichere Telemetrie.' },
      hint: { en: 'Choose the paid DDoS protection tier.', de: 'Wählen Sie die kostenpflichtige DDoS-Schutzstufe.' },
      reference: 'https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview'
    },
    {
      id: 'az500-030',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam Inc. hosts a public web application and must block SQL injection and cross-site scripting attacks at layer 7.', de: 'Fabrikam Inc. hostet eine öffentliche Webanwendung und muss SQL-Injection- und Cross-Site-Scripting-Angriffe auf Ebene 7 blockieren.' },
      question: { en: 'Which control should be implemented?', de: 'Welche Kontrolle sollte implementiert werden?' },
      options: [
        { id: 'A', text: { en: 'Azure DDoS Network Protection', de: 'Azure DDoS Network Protection' } },
        { id: 'B', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } },
        { id: 'C', text: { en: 'Azure Web Application Firewall', de: 'Azure Web Application Firewall' } },
        { id: 'D', text: { en: 'Route tables', de: 'Routentabellen' } }
      ],
      correct: ['C'],
      explanation: { en: 'WAF is designed to inspect HTTP and HTTPS traffic for common web exploits such as SQL injection and XSS.', de: 'WAF ist darauf ausgelegt, HTTP- und HTTPS-Datenverkehr auf gängige Webangriffe wie SQL-Injection und XSS zu untersuchen.' },
      hint: { en: 'The requirement is application-layer protection.', de: 'Die Anforderung betrifft Schutz auf Anwendungsebene.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-031',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which feature gives a storage account a private IP address inside your virtual network?', de: 'Welche Funktion gibt einem Speicherkonto eine private IP-Adresse innerhalb Ihres virtuellen Netzwerks?' },
      options: [
        { id: 'A', text: { en: 'Private endpoint', de: 'Privater Endpunkt' } },
        { id: 'B', text: { en: 'Service tag', de: 'Diensttag' } },
        { id: 'C', text: { en: 'Network watcher', de: 'Network Watcher' } },
        { id: 'D', text: { en: 'User-defined route', de: 'Benutzerdefinierte Route' } }
      ],
      correct: ['A'],
      explanation: { en: 'A private endpoint maps a supported Azure service to a private IP in your VNet.', de: 'Ein privater Endpunkt ordnet einen unterstützten Azure-Dienst einer privaten IP in Ihrem VNet zu.' },
      hint: { en: 'Choose the feature based on Azure Private Link.', de: 'Wählen Sie die Funktion auf Basis von Azure Private Link.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview'
    },
    {
      id: 'az500-032',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure Firewall SKU supports TLS inspection and IDPS?', de: 'Welche Azure Firewall-SKU unterstützt TLS-Inspektion und IDPS?' },
      options: [
        { id: 'A', text: { en: 'Basic', de: 'Basic' } },
        { id: 'B', text: { en: 'Standard', de: 'Standard' } },
        { id: 'C', text: { en: 'Premium', de: 'Premium' } },
        { id: 'D', text: { en: 'Developer', de: 'Developer' } }
      ],
      correct: ['C'],
      explanation: { en: 'Azure Firewall Premium adds advanced capabilities such as TLS inspection and intrusion detection and prevention.', de: 'Azure Firewall Premium ergänzt erweiterte Funktionen wie TLS-Inspektion sowie Erkennung und Verhinderung von Eindringversuchen.' },
      hint: { en: 'Look for the advanced security SKU.', de: 'Suchen Sie nach der erweiterten Sicherheits-SKU.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/premium-features'
    },
    {
      id: 'az500-033',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which default inbound NSG rule allows traffic from the VirtualNetwork service tag?', de: 'Welche standardmäßige eingehende NSG-Regel erlaubt Datenverkehr aus dem VirtualNetwork-Diensttag?' },
      options: [
        { id: 'A', text: { en: 'AllowVnetInBound', de: 'AllowVnetInBound' } },
        { id: 'B', text: { en: 'AllowAzureLoadBalancerInBound', de: 'AllowAzureLoadBalancerInBound' } },
        { id: 'C', text: { en: 'DenyAllInBound', de: 'DenyAllInBound' } },
        { id: 'D', text: { en: 'AllowInternetInBound', de: 'AllowInternetInBound' } }
      ],
      correct: ['A'],
      explanation: { en: 'AllowVnetInBound is the built-in rule that permits inbound traffic from within the same virtual network.', de: 'AllowVnetInBound ist die integrierte Regel, die eingehenden Datenverkehr aus demselben virtuellen Netzwerk zulässt.' },
      hint: { en: 'Review the default NSG rule names.', de: 'Prüfen Sie die Namen der Standard-NSG-Regeln.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-034',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure Firewall rule collection types are available? Choose all that apply.', de: 'Welche Typen von Azure Firewall-Regelsammlungen sind verfügbar? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'DNAT rules', de: 'DNAT-Regeln' } },
        { id: 'B', text: { en: 'Network rules', de: 'Netzwerkregeln' } },
        { id: 'C', text: { en: 'Application rules', de: 'Anwendungsregeln' } },
        { id: 'D', text: { en: 'Share rules', de: 'Freigaberegeln' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Azure Firewall uses DNAT, network, and application rules to control different traffic patterns.', de: 'Azure Firewall verwendet DNAT-, Netzwerk- und Anwendungsregeln, um unterschiedliche Datenverkehrsmuster zu steuern.' },
      hint: { en: 'Think about inbound translation and outbound filtering.', de: 'Denken Sie an eingehende Übersetzung und ausgehende Filterung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/overview'
    },
    {
      id: 'az500-035',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure service provides regional layer 7 load balancing and can host a WAF policy for web traffic?', de: 'Welcher Azure-Dienst bietet regionale Layer-7-Lastverteilung und kann eine WAF-Richtlinie für Webdatenverkehr hosten?' },
      options: [
        { id: 'A', text: { en: 'Azure Application Gateway', de: 'Azure Application Gateway' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Network security group', de: 'Netzwerksicherheitsgruppe' } },
        { id: 'D', text: { en: 'Azure Route Server', de: 'Azure Route Server' } }
      ],
      correct: ['A'],
      explanation: { en: 'Application Gateway is a regional web traffic load balancer and can integrate with Azure WAF.', de: 'Application Gateway ist ein regionaler Lastverteiler für Webdatenverkehr und kann mit Azure WAF integriert werden.' },
      hint: { en: 'Choose the regional web load balancer.', de: 'Wählen Sie den regionalen Lastverteiler für Webdatenverkehr.' },
      reference: 'https://learn.microsoft.com/en-us/azure/application-gateway/overview'
    },
    {
      id: 'az500-036',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service provides a managed jump host so administrators can reach VMs without public IP addresses on those VMs?', de: 'Welcher Azure-Dienst stellt einen verwalteten Jump Host bereit, damit Administratoren VMs erreichen können, ohne öffentliche IP-Adressen auf diesen VMs?' },
      options: [
        { id: 'A', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'B', text: { en: 'Azure Firewall', de: 'Azure Firewall' } },
        { id: 'C', text: { en: 'Azure DDoS Protection', de: 'Azure DDoS Protection' } },
        { id: 'D', text: { en: 'Azure DNS', de: 'Azure DNS' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Bastion provides browser-based RDP and SSH access to VMs without exposing them directly to the internet.', de: 'Azure Bastion bietet browserbasierten RDP- und SSH-Zugriff auf VMs, ohne diese direkt dem Internet auszusetzen.' },
      hint: { en: 'Think about a managed admin access service.', de: 'Denken Sie an einen verwalteten Dienst für Administratorzugriff.' },
      reference: 'https://learn.microsoft.com/en-us/azure/bastion/bastion-overview'
    },
    {
      id: 'az500-037',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Proseware Inc. must allow Azure SQL access only from selected subnets and wants the public endpoint disabled.', de: 'Proseware Inc. muss Azure SQL-Zugriff nur aus ausgewählten Subnetzen zulassen und möchte den öffentlichen Endpunkt deaktivieren.' },
      question: { en: 'Which design should be used?', de: 'Welches Design sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'A private endpoint and private DNS integration', de: 'Einen privaten Endpunkt und die Integration einer privaten DNS-Zone' } },
        { id: 'B', text: { en: 'A service tag in an NSG only', de: 'Nur einen Diensttag in einer NSG' } },
        { id: 'C', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'D', text: { en: 'A route table with a default route', de: 'Eine Routentabelle mit Standardroute' } }
      ],
      correct: ['A'],
      explanation: { en: 'A private endpoint provides private connectivity to Azure SQL and allows the public endpoint to remain disabled.', de: 'Ein privater Endpunkt stellt private Konnektivität zu Azure SQL bereit und ermöglicht es, den öffentlichen Endpunkt deaktiviert zu lassen.' },
      hint: { en: 'The requirement explicitly removes public access.', de: 'Die Anforderung schließt den öffentlichen Zugriff ausdrücklich aus.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview'
    },
    {
      id: 'az500-038',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'What is the main benefit of using service tags in NSG rules?', de: 'Was ist der Hauptvorteil der Verwendung von Diensttags in NSG-Regeln?' },
      options: [
        { id: 'A', text: { en: 'They replace Azure Firewall', de: 'Sie ersetzen Azure Firewall' } },
        { id: 'B', text: { en: 'They simplify management of changing Azure service IP ranges', de: 'Sie vereinfachen die Verwaltung sich ändernder IP-Bereiche von Azure-Diensten' } },
        { id: 'C', text: { en: 'They encrypt traffic automatically', de: 'Sie verschlüsseln den Datenverkehr automatisch' } },
        { id: 'D', text: { en: 'They create private endpoints', de: 'Sie erstellen private Endpunkte' } }
      ],
      correct: ['B'],
      explanation: { en: 'Service tags let you reference Microsoft-managed service address groups without maintaining raw IP ranges yourself.', de: 'Diensttags ermöglichen es Ihnen, von Microsoft verwaltete Dienstadressgruppen zu referenzieren, ohne selbst rohe IP-Bereiche pflegen zu müssen.' },
      hint: { en: 'This feature reduces manual IP maintenance.', de: 'Diese Funktion reduziert den manuellen Pflegeaufwand für IP-Adressen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-039',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which controls can restrict network access to an Azure Storage account? Choose all that apply.', de: 'Welche Kontrollen können den Netzwerkzugriff auf ein Azure Storage-Konto einschränken? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'IP network rules', de: 'IP-Netzwerkregeln' } },
        { id: 'B', text: { en: 'Virtual network rules', de: 'Regeln für virtuelle Netzwerke' } },
        { id: 'C', text: { en: 'Private endpoints', de: 'Private Endpunkte' } },
        { id: 'D', text: { en: 'Azure Reservations', de: 'Azure Reservations' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Storage accounts support IP rules, virtual network rules, and private endpoints to limit network access.', de: 'Speicherkonten unterstützen IP-Regeln, Regeln für virtuelle Netzwerke und private Endpunkte, um den Netzwerkzugriff einzuschränken.' },
      hint: { en: 'Choose actual storage network controls.', de: 'Wählen Sie tatsächliche Netzwerksteuerungen für Speicherkonten.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-network-security'
    },
    {
      id: 'az500-040',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Contoso Ltd. must inspect outbound HTTPS traffic for URL categories and malicious content before it leaves Azure.', de: 'Contoso Ltd. muss ausgehenden HTTPS-Datenverkehr auf URL-Kategorien und schädliche Inhalte prüfen, bevor er Azure verlässt.' },
      question: { en: 'Which Azure service and SKU should be implemented?', de: 'Welcher Azure-Dienst und welche SKU sollten implementiert werden?' },
      options: [
        { id: 'A', text: { en: 'Azure Firewall Premium', de: 'Azure Firewall Premium' } },
        { id: 'B', text: { en: 'Azure DDoS Basic', de: 'Azure DDoS Basic' } },
        { id: 'C', text: { en: 'Azure DNS Private Resolver', de: 'Azure DNS Private Resolver' } },
        { id: 'D', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Firewall Premium supports advanced HTTPS inspection and filtering features for outbound traffic.', de: 'Azure Firewall Premium unterstützt erweiterte Funktionen zur HTTPS-Inspektion und Filterung für ausgehenden Datenverkehr.' },
      hint: { en: 'You need deep inspection, not just IP filtering.', de: 'Sie benötigen eine tiefgehende Inspektion und nicht nur IP-Filterung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/premium-features'
    },
    {
      id: 'az500-041',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure service protects public IP resources from volumetric layer 3 and layer 4 attacks?', de: 'Welcher Azure-Dienst schützt öffentliche IP-Ressourcen vor volumetrischen Angriffen auf Ebene 3 und Ebene 4?' },
      options: [
        { id: 'A', text: { en: 'Azure DDoS Network Protection', de: 'Azure DDoS Network Protection' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'D', text: { en: 'Azure Policy', de: 'Azure Policy' } }
      ],
      correct: ['A'],
      explanation: { en: 'DDoS Network Protection is designed to mitigate large-scale network attacks against public endpoints.', de: 'DDoS Network Protection ist dafür vorgesehen, groß angelegte Netzwerkangriffe gegen öffentliche Endpunkte abzuwehren.' },
      hint: { en: 'Think about volumetric network attacks.', de: 'Denken Sie an volumetrische Netzwerkangriffe.' },
      reference: 'https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview'
    },
    {
      id: 'az500-042',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: { en: 'Litware Inc. wants to block requests from specific countries to a web application that is protected by Application Gateway.', de: 'Litware Inc. möchte Anfragen aus bestimmten Ländern an eine durch Application Gateway geschützte Webanwendung blockieren.' },
      question: { en: 'What should be configured?', de: 'Was sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'A WAF custom rule with GeoMatch', de: 'Eine benutzerdefinierte WAF-Regel mit GeoMatch' } },
        { id: 'B', text: { en: 'A route table with BGP propagation disabled', de: 'Eine Routentabelle mit deaktivierter BGP-Weitergabe' } },
        { id: 'C', text: { en: 'An NSG on the client subnet', de: 'Eine NSG im Clientsubnetz' } },
        { id: 'D', text: { en: 'Azure DDoS Network Protection only', de: 'Nur Azure DDoS Network Protection' } }
      ],
      correct: ['A'],
      explanation: { en: 'WAF custom rules support geographic matching so requests from specific countries can be blocked before reaching the app.', de: 'Benutzerdefinierte WAF-Regeln unterstützen geografische Übereinstimmung, sodass Anfragen aus bestimmten Ländern blockiert werden können, bevor sie die App erreichen.' },
      hint: { en: 'This is an application-layer filtering requirement.', de: 'Dies ist eine Anforderung an die Filterung auf Anwendungsebene.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/ag/custom-waf-rules-overview'
    },
    {
      id: 'az500-043',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure resource is stateful and filters layer 3 and layer 4 traffic at the subnet or NIC level?', de: 'Welche Azure-Ressource ist zustandsbehaftet und filtert Datenverkehr auf Ebene 3 und Ebene 4 auf Subnetz- oder NIC-Ebene?' },
      options: [
        { id: 'A', text: { en: 'Network security group', de: 'Netzwerksicherheitsgruppe' } },
        { id: 'B', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'C', text: { en: 'Azure Monitor workbook', de: 'Azure Monitor-Arbeitsmappe' } },
        { id: 'D', text: { en: 'Azure DevOps pipeline', de: 'Azure DevOps-Pipeline' } }
      ],
      correct: ['A'],
      explanation: { en: 'An NSG is a stateful packet-filtering control that can be applied to subnets and network interfaces.', de: 'Eine NSG ist eine zustandsbehaftete Paketfilterkontrolle, die auf Subnetze und Netzwerkschnittstellen angewendet werden kann.' },
      hint: { en: 'Choose the core subnet and NIC traffic filter.', de: 'Wählen Sie den grundlegenden Datenverkehrsfilter für Subnetze und NICs.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-044',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which benefits are provided by Azure DDoS Network Protection? Choose all that apply.', de: 'Welche Vorteile bietet Azure DDoS Network Protection? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Attack analytics and mitigation telemetry', de: 'Angriffsanalysen und Mitigationstelemetrie' } },
        { id: 'B', text: { en: 'Cost protection for scale-out charges caused by attacks', de: 'Kostenschutz für Scale-Out-Gebühren durch Angriffe' } },
        { id: 'C', text: { en: 'DDoS rapid response support', de: 'Unterstützung durch DDoS Rapid Response' } },
        { id: 'D', text: { en: 'Built-in SSL offload for web applications', de: 'Integrierte SSL-Auslagerung für Webanwendungen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'DDoS Network Protection adds analytics, cost protection, and support capabilities. SSL offload is unrelated.', de: 'DDoS Network Protection ergänzt Analyse-, Kostenschutz- und Supportfunktionen. SSL-Auslagerung ist nicht relevant.' },
      hint: { en: 'Think of DDoS-specific protection features.', de: 'Denken Sie an Funktionen, die spezifisch für DDoS-Schutz sind.' },
      reference: 'https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview'
    },
    {
      id: 'az500-045',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam Inc. is building a hub-and-spoke network and wants centralized egress control, DNAT, SNAT, and forced tunneling support in the hub.', de: 'Fabrikam Inc. erstellt ein Hub-and-Spoke-Netzwerk und möchte zentrale Egress-Steuerung, DNAT, SNAT und Unterstützung für Forced Tunneling im Hub.' },
      question: { en: 'Which Azure service is the best fit?', de: 'Welcher Azure-Dienst ist am besten geeignet?' },
      options: [
        { id: 'A', text: { en: 'Azure Firewall', de: 'Azure Firewall' } },
        { id: 'B', text: { en: 'Azure DNS', de: 'Azure DNS' } },
        { id: 'C', text: { en: 'Azure NAT Gateway', de: 'Azure NAT Gateway' } },
        { id: 'D', text: { en: 'Azure Monitor', de: 'Azure Monitor' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Firewall is the managed security service built for centralized traffic inspection and translation in hub networks.', de: 'Azure Firewall ist der verwaltete Sicherheitsdienst, der für zentrale Datenverkehrsinspektion und Übersetzung in Hub-Netzwerken entwickelt wurde.' },
      hint: { en: 'You need a central managed firewall, not just outbound NAT.', de: 'Sie benötigen eine zentrale verwaltete Firewall und nicht nur ausgehendes NAT.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/overview'
    },
    {
      id: 'az500-046',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure service collects and analyzes NSG flow logs?', de: 'Welcher Azure-Dienst sammelt und analysiert NSG-Flussprotokolle?' },
      options: [
        { id: 'A', text: { en: 'Network Watcher', de: 'Network Watcher' } },
        { id: 'B', text: { en: 'Azure Policy', de: 'Azure Policy' } },
        { id: 'C', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'D', text: { en: 'Microsoft Entra ID', de: 'Microsoft Entra ID' } }
      ],
      correct: ['A'],
      explanation: { en: 'Network Watcher provides NSG flow log capabilities for traffic analysis and troubleshooting.', de: 'Network Watcher stellt NSG-Flussprotokollfunktionen für Verkehrsanalyse und Fehlerbehebung bereit.' },
      hint: { en: 'Think about the Azure network diagnostics service.', de: 'Denken Sie an den Azure-Dienst für Netzwerkdiagnose.' },
      reference: 'https://learn.microsoft.com/en-us/azure/network-watcher/network-watcher-nsg-flow-logging-overview'
    },
    {
      id: 'az500-047',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: { en: 'Tailwind Traders wants an Azure App Service web app to be reachable only from on-premises networks and a virtual network over private IP.', de: 'Tailwind Traders möchte, dass eine Azure App Service-Webanwendung nur aus lokalen Netzwerken und einem virtuellen Netzwerk über private IP erreichbar ist.' },
      question: { en: 'Which feature should be deployed?', de: 'Welche Funktion sollte bereitgestellt werden?' },
      options: [
        { id: 'A', text: { en: 'App Service private endpoint', de: 'Privater Endpunkt für App Service' } },
        { id: 'B', text: { en: 'Public IP with an NSG', de: 'Öffentliche IP mit einer NSG' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'DDoS Basic', de: 'DDoS Basic' } }
      ],
      correct: ['A'],
      explanation: { en: 'A private endpoint exposes App Service on a private IP and supports private access patterns.', de: 'Ein privater Endpunkt macht App Service über eine private IP verfügbar und unterstützt private Zugriffsmuster.' },
      hint: { en: 'The app must avoid public ingress.', de: 'Die App muss öffentlichen eingehenden Zugriff vermeiden.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview'
    },
    {
      id: 'az500-048',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'If no higher-priority inbound NSG rule matches internet traffic to a VM, which default rule blocks it?', de: 'Wenn keine eingehende NSG-Regel mit höherer Priorität auf Internetdatenverkehr zu einer VM zutrifft, welche Standardregel blockiert ihn?' },
      options: [
        { id: 'A', text: { en: 'AllowVnetInBound', de: 'AllowVnetInBound' } },
        { id: 'B', text: { en: 'AllowAzureLoadBalancerInBound', de: 'AllowAzureLoadBalancerInBound' } },
        { id: 'C', text: { en: 'DenyAllInBound', de: 'DenyAllInBound' } },
        { id: 'D', text: { en: 'AllowInternetOutBound', de: 'AllowInternetOutBound' } }
      ],
      correct: ['C'],
      explanation: { en: 'The default DenyAllInBound rule blocks inbound traffic that is not explicitly allowed by a higher-priority rule.', de: 'Die Standardregel DenyAllInBound blockiert eingehenden Datenverkehr, der nicht explizit durch eine Regel mit höherer Priorität zugelassen wird.' },
      hint: { en: 'Think of the final inbound safety net.', de: 'Denken Sie an das letzte eingehende Sicherheitsnetz.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-049',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which statements about private endpoints are correct? Choose all that apply.', de: 'Welche Aussagen zu privaten Endpunkten sind korrekt? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'They map a supported Azure service to a private IP in your VNet', de: 'Sie ordnen einen unterstützten Azure-Dienst einer privaten IP in Ihrem VNet zu' } },
        { id: 'B', text: { en: 'They can be used while disabling public network access on the target service', de: 'Sie können verwendet werden, während der öffentliche Netzwerkzugriff auf den Zieldienst deaktiviert ist' } },
        { id: 'C', text: { en: 'They require the target service to support Azure Private Link', de: 'Sie erfordern, dass der Zieldienst Azure Private Link unterstützt' } },
        { id: 'D', text: { en: 'They are identical to service endpoints', de: 'Sie sind identisch mit Dienstendpunkten' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Private endpoints use Azure Private Link to assign a private IP to a supported service. They are different from service endpoints.', de: 'Private Endpunkte verwenden Azure Private Link, um einem unterstützten Dienst eine private IP zuzuweisen. Sie unterscheiden sich von Dienstendpunkten.' },
      hint: { en: 'Focus on Private Link semantics.', de: 'Konzentrieren Sie sich auf die Semantik von Private Link.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview'
    },
    {
      id: 'az500-050',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Woodgrove Bank must publish a global web application with edge acceleration and WAF protection close to users worldwide.', de: 'Woodgrove Bank muss eine globale Webanwendung mit Edge-Beschleunigung und WAF-Schutz in der Nähe von Benutzern weltweit veröffentlichen.' },
      question: { en: 'Which Azure service is the best fit?', de: 'Welcher Azure-Dienst ist am besten geeignet?' },
      options: [
        { id: 'A', text: { en: 'Azure Front Door Premium with WAF', de: 'Azure Front Door Premium mit WAF' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } },
        { id: 'D', text: { en: 'Azure Route Server', de: 'Azure Route Server' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Front Door provides global edge entry points and can apply WAF policies close to users.', de: 'Azure Front Door bietet globale Edge-Einstiegspunkte und kann WAF-Richtlinien in der Nähe der Benutzer anwenden.' },
      hint: { en: 'The requirement is global and edge-oriented.', de: 'Die Anforderung ist global und auf Edge ausgerichtet.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-051',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service is designed to centrally store secrets, keys, and certificates?', de: 'Welcher Azure-Dienst ist dafür ausgelegt, Geheimnisse, Schlüssel und Zertifikate zentral zu speichern?' },
      options: [
        { id: 'A', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'B', text: { en: 'Azure Monitor', de: 'Azure Monitor' } },
        { id: 'C', text: { en: 'Azure Firewall', de: 'Azure Firewall' } },
        { id: 'D', text: { en: 'Azure Bastion', de: 'Azure Bastion' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Key Vault is the core Azure service for secrets management and cryptographic key storage.', de: 'Azure Key Vault ist der zentrale Azure-Dienst für Geheimnisverwaltung und Speicherung kryptografischer Schlüssel.' },
      hint: { en: 'Think about the dedicated secrets and keys service.', de: 'Denken Sie an den dedizierten Dienst für Geheimnisse und Schlüssel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'az500-052',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: { en: 'Contoso Ltd. has a VM startup script that must read a database password from Azure Key Vault without embedding credentials.', de: 'Contoso Ltd. hat ein VM-Startskript, das ein Datenbankkennwort aus Azure Key Vault lesen muss, ohne Anmeldeinformationen einzubetten.' },
      question: { en: 'Which design should be used?', de: 'Welches Design sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'A managed identity with Key Vault access', de: 'Eine verwaltete Identität mit Key Vault-Zugriff' } },
        { id: 'B', text: { en: 'A local text file that stores the password', de: 'Eine lokale Textdatei, die das Kennwort speichert' } },
        { id: 'C', text: { en: 'A storage account key', de: 'Ein Speicherkontoschlüssel' } },
        { id: 'D', text: { en: 'A public container', de: 'Ein öffentlicher Container' } }
      ],
      correct: ['A'],
      explanation: { en: 'A managed identity removes credential storage and can be granted data-plane access to Key Vault.', de: 'Eine verwaltete Identität vermeidet die Speicherung von Anmeldeinformationen und kann Datenebenen-Zugriff auf Key Vault erhalten.' },
      hint: { en: 'Choose the pattern that avoids embedded secrets.', de: 'Wählen Sie das Muster, das eingebettete Geheimnisse vermeidet.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-053',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which object types can Azure Key Vault store? Choose all that apply.', de: 'Welche Objekttypen kann Azure Key Vault speichern? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Secrets', de: 'Geheimnisse' } },
        { id: 'B', text: { en: 'Keys', de: 'Schlüssel' } },
        { id: 'C', text: { en: 'Certificates', de: 'Zertifikate' } },
        { id: 'D', text: { en: 'Virtual networks', de: 'Virtuelle Netzwerke' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Key Vault stores secrets, keys, and certificates. Networking objects are not Key Vault items.', de: 'Key Vault speichert Geheimnisse, Schlüssel und Zertifikate. Netzwerkobjekte sind keine Key Vault-Elemente.' },
      hint: { en: 'Focus on data objects, not infrastructure objects.', de: 'Konzentrieren Sie sich auf Datenobjekte und nicht auf Infrastruktur.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'az500-054',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which built-in Key Vault RBAC role can read and manage secret values but not manage keys?', de: 'Welche integrierte Key Vault-RBAC-Rolle kann Geheimniswerte lesen und verwalten, aber keine Schlüssel verwalten?' },
      options: [
        { id: 'A', text: { en: 'Key Vault Secrets Officer', de: 'Key Vault Secrets Officer' } },
        { id: 'B', text: { en: 'Key Vault Crypto Officer', de: 'Key Vault Crypto Officer' } },
        { id: 'C', text: { en: 'Reader', de: 'Leser' } },
        { id: 'D', text: { en: 'Network Contributor', de: 'Netzwerkmitwirkender' } }
      ],
      correct: ['A'],
      explanation: { en: 'Key Vault Secrets Officer is scoped to secret management and does not provide cryptographic key administration.', de: 'Key Vault Secrets Officer ist auf die Verwaltung von Geheimnissen beschränkt und bietet keine Verwaltung kryptografischer Schlüssel.' },
      hint: { en: 'Choose the role focused on secrets only.', de: 'Wählen Sie die Rolle, die nur auf Geheimnisse ausgerichtet ist.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-guide'
    },
    {
      id: 'az500-055',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam Inc. requires customer-managed keys for an Azure Storage account and wants central key rotation and access control.', de: 'Fabrikam Inc. verlangt kundenseitig verwaltete Schlüssel für ein Azure Storage-Konto und möchte zentrale Schlüsselrotation und Zugriffskontrolle.' },
      question: { en: 'Which design should be implemented?', de: 'Welches Design sollte implementiert werden?' },
      options: [
        { id: 'A', text: { en: 'Use a Key Vault key as the storage account customer-managed key', de: 'Einen Key Vault-Schlüssel als kundenseitig verwalteten Schlüssel des Speicherkontos verwenden' } },
        { id: 'B', text: { en: 'Store the key in a local VM file', de: 'Den Schlüssel in einer lokalen VM-Datei speichern' } },
        { id: 'C', text: { en: 'Disable encryption at rest', de: 'Verschlüsselung im Ruhezustand deaktivieren' } },
        { id: 'D', text: { en: 'Use only a network security group', de: 'Nur eine Netzwerksicherheitsgruppe verwenden' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Storage can use a customer-managed key stored in Key Vault so the organization controls key lifecycle and access.', de: 'Azure Storage kann einen in Key Vault gespeicherten kundenseitig verwalteten Schlüssel verwenden, sodass die Organisation den Schlüssel-Lebenszyklus und den Zugriff kontrolliert.' },
      hint: { en: 'The requirement is centralized key ownership.', de: 'Die Anforderung ist eine zentrale Schlüsselhoheit.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/customer-managed-keys-overview'
    },
    {
      id: 'az500-056',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which virtual machine encryption feature encrypts the temp disk and host cache in addition to managed disks?', de: 'Welche Funktion zur Verschlüsselung virtueller Computer verschlüsselt zusätzlich zu verwalteten Datenträgern auch den temporären Datenträger und den Hostcache?' },
      options: [
        { id: 'A', text: { en: 'Azure Disk Encryption', de: 'Azure Disk Encryption' } },
        { id: 'B', text: { en: 'Encryption at host', de: 'Verschlüsselung auf Hostebene' } },
        { id: 'C', text: { en: 'Transparent Data Encryption', de: 'Transparente Datenverschlüsselung' } },
        { id: 'D', text: { en: 'Secure transfer required', de: 'Sicherer Übertragung erforderlich' } }
      ],
      correct: ['B'],
      explanation: { en: 'Encryption at host protects data before it is written to the storage service and also covers cache and temp disk content.', de: 'Die Verschlüsselung auf Hostebene schützt Daten, bevor sie in den Speicherdienst geschrieben werden, und deckt auch Cache- und temporäre Datenträgerinhalte ab.' },
      hint: { en: 'This feature works below the managed disk storage service boundary.', de: 'Diese Funktion arbeitet unterhalb der Grenze des Managed-Disk-Speicherdienstes.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disk-encryption-overview'
    },
    {
      id: 'az500-057',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: { en: 'Tailwind Traders must grant a browser client temporary permission to upload one blob without exposing storage account keys.', de: 'Tailwind Traders muss einem Browser-Client vorübergehend die Berechtigung erteilen, ein Blob hochzuladen, ohne Speicherkontoschlüssel offenzulegen.' },
      question: { en: 'Which token should be issued?', de: 'Welches Token sollte ausgestellt werden?' },
      options: [
        { id: 'A', text: { en: 'Account key', de: 'Kontoschlüssel' } },
        { id: 'B', text: { en: 'User delegation SAS', de: 'User-Delegation-SAS' } },
        { id: 'C', text: { en: 'A local administrator password', de: 'Ein lokales Administratorkennwort' } },
        { id: 'D', text: { en: 'A DNS record', de: 'Ein DNS-Eintrag' } }
      ],
      correct: ['B'],
      explanation: { en: 'A user delegation SAS is signed with Microsoft Entra credentials and avoids direct exposure of the storage account key.', de: 'Eine User-Delegation-SAS wird mit Microsoft Entra-Anmeldeinformationen signiert und vermeidet die direkte Offenlegung des Speicherkontoschlüssels.' },
      hint: { en: 'Choose the SAS type tied to Microsoft Entra authorization.', de: 'Wählen Sie den SAS-Typ, der an Microsoft Entra-Autorisierung gebunden ist.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview'
    },
    {
      id: 'az500-058',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which storage account setting prevents anonymous public access to blob data?', de: 'Welche Einstellung des Speicherkontos verhindert anonymen öffentlichen Zugriff auf Blobdaten?' },
      options: [
        { id: 'A', text: { en: 'Disable public network access', de: 'Öffentlichen Netzwerkzugriff deaktivieren' } },
        { id: 'B', text: { en: 'Set Allow Blob anonymous access to Disabled', de: 'Allow Blob anonymous access auf Deaktiviert setzen' } },
        { id: 'C', text: { en: 'Enable geo-redundant storage', de: 'Georedundanten Speicher aktivieren' } },
        { id: 'D', text: { en: 'Create a new file share', de: 'Eine neue Dateifreigabe erstellen' } }
      ],
      correct: ['B'],
      explanation: { en: 'Disabling anonymous blob access stops containers and blobs from being exposed for public anonymous reads.', de: 'Das Deaktivieren des anonymen Blobzugriffs verhindert, dass Container und Blobs für anonyme öffentliche Lesezugriffe freigegeben werden.' },
      hint: { en: 'Look for the setting that controls anonymous blob reads.', de: 'Suchen Sie nach der Einstellung, die anonyme Blob-Lesezugriffe steuert.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/blobs/anonymous-read-access-prevent'
    },
    {
      id: 'az500-059',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which network controls can secure an Azure Storage account? Choose all that apply.', de: 'Welche Netzwerkkontrollen können ein Azure Storage-Konto absichern? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'IP network rules', de: 'IP-Netzwerkregeln' } },
        { id: 'B', text: { en: 'Virtual network rules', de: 'Regeln für virtuelle Netzwerke' } },
        { id: 'C', text: { en: 'Private endpoints', de: 'Private Endpunkte' } },
        { id: 'D', text: { en: 'Azure AD Connect', de: 'Azure AD Connect' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Storage accounts support several network access controls including IP rules, VNet rules, and private endpoints.', de: 'Speicherkonten unterstützen mehrere Netzwerkkontrollen, darunter IP-Regeln, VNet-Regeln und private Endpunkte.' },
      hint: { en: 'Select the storage networking features.', de: 'Wählen Sie die Netzwerkfunktionen für Storage aus.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-network-security'
    },
    {
      id: 'az500-060',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Woodgrove Bank must ensure that sensitive columns remain encrypted and that the encryption keys stay outside the database engine in Azure Key Vault.', de: 'Woodgrove Bank muss sicherstellen, dass sensible Spalten verschlüsselt bleiben und die Verschlüsselungsschlüssel außerhalb der Datenbank-Engine in Azure Key Vault verbleiben.' },
      question: { en: 'Which Azure SQL feature should be used?', de: 'Welche Azure SQL-Funktion sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Always Encrypted', de: 'Always Encrypted' } },
        { id: 'B', text: { en: 'Geo-replication', de: 'Georeplikation' } },
        { id: 'C', text: { en: 'Read scale-out', de: 'Read Scale-Out' } },
        { id: 'D', text: { en: 'Auto-failover groups', de: 'Automatische Failovergruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Always Encrypted keeps sensitive data encrypted in use scenarios and stores the key material outside the database engine, often in Key Vault.', de: 'Always Encrypted hält sensible Daten in Nutzungsszenarien verschlüsselt und speichert das Schlüsselmaterial außerhalb der Datenbank-Engine, häufig in Key Vault.' },
      hint: { en: 'This feature protects column data from the database engine itself.', de: 'Diese Funktion schützt Spaltendaten sogar vor der Datenbank-Engine selbst.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/always-encrypted-landing?view=azuresql'
    },
    {
      id: 'az500-061',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure SQL feature records database events to destinations such as Azure Storage, Log Analytics, or Event Hubs?', de: 'Welche Azure SQL-Funktion zeichnet Datenbankereignisse an Ziele wie Azure Storage, Log Analytics oder Event Hubs auf?' },
      options: [
        { id: 'A', text: { en: 'Auditing', de: 'Überwachung' } },
        { id: 'B', text: { en: 'Automatic tuning', de: 'Automatische Optimierung' } },
        { id: 'C', text: { en: 'Geo-backup', de: 'Geosicherung' } },
        { id: 'D', text: { en: 'Elastic jobs', de: 'Elastische Aufträge' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure SQL Auditing captures database events for compliance and investigation scenarios.', de: 'Azure SQL Auditing erfasst Datenbankereignisse für Compliance- und Untersuchungsszenarien.' },
      hint: { en: 'Think about compliance event logging.', de: 'Denken Sie an die Protokollierung von Compliance-Ereignissen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/auditing-overview'
    },
    {
      id: 'az500-062',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Proseware Inc. must encrypt Windows VM disks and store the required secrets in Azure Key Vault.', de: 'Proseware Inc. muss Windows-VM-Datenträger verschlüsseln und die erforderlichen Geheimnisse in Azure Key Vault speichern.' },
      question: { en: 'Which feature should be used?', de: 'Welche Funktion sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Azure Disk Encryption', de: 'Azure Disk Encryption' } },
        { id: 'B', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'C', text: { en: 'Azure DDoS Protection', de: 'Azure DDoS Protection' } },
        { id: 'D', text: { en: 'Application Gateway WAF', de: 'Application Gateway WAF' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Disk Encryption uses BitLocker or DM-Crypt and integrates with Key Vault for encryption secrets.', de: 'Azure Disk Encryption verwendet BitLocker oder DM-Crypt und integriert sich mit Key Vault für Verschlüsselungsgeheimnisse.' },
      hint: { en: 'Choose the guest-based disk encryption feature.', de: 'Wählen Sie die gastbasierte Datenträgerverschlüsselungsfunktion.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disk-encryption-overview'
    },
    {
      id: 'az500-063',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which identity type should an Azure VM use to request tokens for Azure Key Vault at runtime?', de: 'Welchen Identitätstyp sollte eine Azure-VM verwenden, um zur Laufzeit Token für Azure Key Vault anzufordern?' },
      options: [
        { id: 'A', text: { en: 'Managed identity', de: 'Verwaltete Identität' } },
        { id: 'B', text: { en: 'Storage account key', de: 'Speicherkontoschlüssel' } },
        { id: 'C', text: { en: 'Local administrator account', de: 'Lokales Administratorkonto' } },
        { id: 'D', text: { en: 'SAS token', de: 'SAS-Token' } }
      ],
      correct: ['A'],
      explanation: { en: 'Managed identities are designed for Azure resources that need token-based access to other Azure services.', de: 'Verwaltete Identitäten sind für Azure-Ressourcen vorgesehen, die tokenbasierten Zugriff auf andere Azure-Dienste benötigen.' },
      hint: { en: 'Use the Azure-native workload identity.', de: 'Verwenden Sie die Azure-native Workloadidentität.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-064',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure SQL security capabilities help detect and assess database threats? Choose all that apply.', de: 'Welche Azure SQL-Sicherheitsfunktionen helfen dabei, Datenbankbedrohungen zu erkennen und zu bewerten? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender for SQL', de: 'Microsoft Defender für SQL' } },
        { id: 'B', text: { en: 'Vulnerability Assessment', de: 'Vulnerability Assessment' } },
        { id: 'C', text: { en: 'Auditing', de: 'Überwachung' } },
        { id: 'D', text: { en: 'Azure Load Balancer', de: 'Azure Load Balancer' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Defender for SQL, Vulnerability Assessment, and Auditing all contribute to database protection and investigation. Load Balancer does not.', de: 'Defender für SQL, Vulnerability Assessment und Auditing tragen alle zum Schutz und zur Untersuchung von Datenbanken bei. Load Balancer nicht.' },
      hint: { en: 'Pick the database security controls, not networking infrastructure.', de: 'Wählen Sie die Datenbanksicherheitskontrollen und nicht Netzwerkinfrastruktur.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-sql-introduction'
    },
    {
      id: 'az500-065',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which storage account setting enforces that all requests use HTTPS?', de: 'Welche Einstellung des Speicherkontos erzwingt, dass alle Anforderungen HTTPS verwenden?' },
      options: [
        { id: 'A', text: { en: 'Secure transfer required', de: 'Sicherer Übertragung erforderlich' } },
        { id: 'B', text: { en: 'Soft delete', de: 'Vorläufiges Löschen' } },
        { id: 'C', text: { en: 'Versioning', de: 'Versionierung' } },
        { id: 'D', text: { en: 'Hierarchical namespace', de: 'Hierarchischer Namespace' } }
      ],
      correct: ['A'],
      explanation: { en: 'Secure transfer required rejects insecure requests and helps ensure traffic uses TLS.', de: 'Sicherer Übertragung erforderlich weist unsichere Anforderungen zurück und hilft sicherzustellen, dass der Datenverkehr TLS verwendet.' },
      hint: { en: 'This setting is about transport security.', de: 'Diese Einstellung betrifft die Transportsicherheit.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-require-secure-transfer'
    },
    {
      id: 'az500-066',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which encryption model is enabled by default for Azure Storage data at rest?', de: 'Welches Verschlüsselungsmodell ist standardmäßig für ruhende Daten in Azure Storage aktiviert?' },
      options: [
        { id: 'A', text: { en: 'Server-side encryption with Microsoft-managed keys', de: 'Serverseitige Verschlüsselung mit von Microsoft verwalteten Schlüsseln' } },
        { id: 'B', text: { en: 'Client-side encryption only', de: 'Nur clientseitige Verschlüsselung' } },
        { id: 'C', text: { en: 'No encryption by default', de: 'Standardmäßig keine Verschlüsselung' } },
        { id: 'D', text: { en: 'Azure Disk Encryption', de: 'Azure Disk Encryption' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Storage encrypts data at rest by default using server-side encryption with Microsoft-managed keys.', de: 'Azure Storage verschlüsselt Daten im Ruhezustand standardmäßig mit serverseitiger Verschlüsselung und von Microsoft verwalteten Schlüsseln.' },
      hint: { en: 'Think of the default storage-at-rest protection.', de: 'Denken Sie an den Standardschutz für ruhende Speicherdaten.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-service-encryption'
    },
    {
      id: 'az500-067',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Contoso Ltd. wants a group of managed disks encrypted with customer-managed keys that are controlled through Azure Key Vault.', de: 'Contoso Ltd. möchte eine Gruppe verwalteter Datenträger mit kundenseitig verwalteten Schlüsseln verschlüsseln, die über Azure Key Vault kontrolliert werden.' },
      question: { en: 'Which Azure resource should be associated with the disks?', de: 'Welche Azure-Ressource sollte mit den Datenträgern verknüpft werden?' },
      options: [
        { id: 'A', text: { en: 'Disk Encryption Set', de: 'Disk Encryption Set' } },
        { id: 'B', text: { en: 'Network security group', de: 'Netzwerksicherheitsgruppe' } },
        { id: 'C', text: { en: 'Application security group', de: 'Anwendungssicherheitsgruppe' } },
        { id: 'D', text: { en: 'Route table', de: 'Routentabelle' } }
      ],
      correct: ['A'],
      explanation: { en: 'A Disk Encryption Set links managed disks to a customer-managed key in Key Vault for encryption at rest.', de: 'Ein Disk Encryption Set verknüpft verwaltete Datenträger mit einem kundenseitig verwalteten Schlüssel in Key Vault für die Verschlüsselung im Ruhezustand.' },
      hint: { en: 'Look for the managed disk resource that references a CMK.', de: 'Suchen Sie nach der Managed-Disk-Ressource, die einen kundenseitig verwalteten Schlüssel referenziert.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disks-enable-customer-managed-keys-portal'
    },
    {
      id: 'az500-068',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which endpoint inside an Azure VM is used by managed identities to obtain access tokens?', de: 'Welcher Endpunkt innerhalb einer Azure-VM wird von verwalteten Identitäten verwendet, um Zugriffstoken zu erhalten?' },
      options: [
        { id: 'A', text: { en: 'Azure Instance Metadata Service', de: 'Azure Instance Metadata Service' } },
        { id: 'B', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'C', text: { en: 'Application Gateway listener', de: 'Application Gateway-Listener' } },
        { id: 'D', text: { en: 'Azure DNS zone', de: 'Azure DNS-Zone' } }
      ],
      correct: ['A'],
      explanation: { en: 'Managed identities retrieve tokens from the Azure Instance Metadata Service inside the VM.', de: 'Verwaltete Identitäten beziehen Token vom Azure Instance Metadata Service innerhalb der VM.' },
      hint: { en: 'Think of the local metadata endpoint.', de: 'Denken Sie an den lokalen Metadatenendpunkt.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-069',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Key Vault data-plane operations are valid? Choose all that apply.', de: 'Welche Datenebenenoperationen von Key Vault sind gültig? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Get a secret', de: 'Ein Geheimnis abrufen' } },
        { id: 'B', text: { en: 'Wrap a key', de: 'Einen Schlüssel wrappen' } },
        { id: 'C', text: { en: 'Sign data', de: 'Daten signieren' } },
        { id: 'D', text: { en: 'Create a resource group', de: 'Eine Ressourcengruppe erstellen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Getting secrets, wrapping keys, and signing are Key Vault data-plane operations. Creating resource groups is not.', de: 'Geheimnisse abrufen, Schlüssel wrappen und Daten signieren sind Datenebenenoperationen von Key Vault. Das Erstellen von Ressourcengruppen ist es nicht.' },
      hint: { en: 'Choose actions against vault contents, not Azure management plane actions.', de: 'Wählen Sie Aktionen gegen den Vault-Inhalt und keine Aktionen der Azure-Verwaltungsebene.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'az500-070',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam Inc. must retain security logs in Blob Storage for seven years and prevent modification or deletion during the retention period.', de: 'Fabrikam Inc. muss Sicherheitsprotokolle sieben Jahre lang in Blob Storage aufbewahren und während des Aufbewahrungszeitraums Änderungen oder Löschungen verhindern.' },
      question: { en: 'Which feature should be configured?', de: 'Welche Funktion sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'Immutable Blob Storage with a time-based retention policy', de: 'Unveränderlicher Blob Storage mit zeitbasierter Aufbewahrungsrichtlinie' } },
        { id: 'B', text: { en: 'Soft delete only', de: 'Nur vorläufiges Löschen' } },
        { id: 'C', text: { en: 'A premium file share', de: 'Eine Premium-Dateifreigabe' } },
        { id: 'D', text: { en: 'A storage access key rotation policy', de: 'Eine Richtlinie zur Rotation von Speicherzugriffsschlüsseln' } }
      ],
      correct: ['A'],
      explanation: { en: 'Immutable storage supports WORM retention so data cannot be changed or deleted before the retention period ends.', de: 'Unveränderlicher Speicher unterstützt WORM-Aufbewahrung, sodass Daten vor Ablauf des Aufbewahrungszeitraums nicht geändert oder gelöscht werden können.' },
      hint: { en: 'The requirement is write once, read many.', de: 'Die Anforderung lautet: einmal schreiben, vielfach lesen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/blobs/immutable-storage-overview'
    },
    {
      id: 'az500-071',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Defender for Cloud capability adds advanced threat protection for Azure SQL workloads?', de: 'Welche Funktion von Defender for Cloud fügt erweiterten Bedrohungsschutz für Azure SQL-Workloads hinzu?' },
      options: [
        { id: 'A', text: { en: 'Defender for SQL', de: 'Defender für SQL' } },
        { id: 'B', text: { en: 'Azure Backup', de: 'Azure Backup' } },
        { id: 'C', text: { en: 'Traffic Analytics', de: 'Traffic Analytics' } },
        { id: 'D', text: { en: 'Azure Bastion', de: 'Azure Bastion' } }
      ],
      correct: ['A'],
      explanation: { en: 'Defender for SQL helps detect anomalous and potentially malicious activity in Azure SQL resources.', de: 'Defender für SQL hilft dabei, anomale und potenziell schädliche Aktivitäten in Azure SQL-Ressourcen zu erkennen.' },
      hint: { en: 'Choose the database workload protection plan.', de: 'Wählen Sie den Schutzplan für Datenbankworkloads.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-sql-introduction'
    },
    {
      id: 'az500-072',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service should hold a customer-managed key that is used by several Azure services?', de: 'Welcher Azure-Dienst sollte einen kundenseitig verwalteten Schlüssel speichern, der von mehreren Azure-Diensten verwendet wird?' },
      options: [
        { id: 'A', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'B', text: { en: 'Azure Monitor', de: 'Azure Monitor' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Azure DNS', de: 'Azure DNS' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Key Vault is the standard centralized service for customer-managed keys and key lifecycle control.', de: 'Azure Key Vault ist der standardmäßige zentrale Dienst für kundenseitig verwaltete Schlüssel und die Kontrolle ihres Lebenszyklus.' },
      hint: { en: 'Think about central key custody.', de: 'Denken Sie an zentrale Schlüsselverwahrung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'az500-073',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which feature assigns a private IP in your virtual network to an Azure Storage account for data access?', de: 'Welche Funktion weist einem Azure Storage-Konto für den Datenzugriff eine private IP in Ihrem virtuellen Netzwerk zu?' },
      options: [
        { id: 'A', text: { en: 'Private endpoint', de: 'Privater Endpunkt' } },
        { id: 'B', text: { en: 'Azure DDoS Basic', de: 'Azure DDoS Basic' } },
        { id: 'C', text: { en: 'Public load balancer', de: 'Öffentlicher Lastenausgleich' } },
        { id: 'D', text: { en: 'Management lock', de: 'Verwaltungssperre' } }
      ],
      correct: ['A'],
      explanation: { en: 'A private endpoint is the Azure feature that exposes a supported PaaS service on a private IP in your VNet.', de: 'Ein privater Endpunkt ist die Azure-Funktion, die einen unterstützten PaaS-Dienst über eine private IP in Ihrem VNet verfügbar macht.' },
      hint: { en: 'Use the private connectivity feature, not a filtering feature.', de: 'Verwenden Sie die Funktion für private Konnektivität und nicht eine Filterfunktion.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview'
    },
    {
      id: 'az500-074',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure compute services support managed identities? Choose all that apply.', de: 'Welche Azure-Compute-Dienste unterstützen verwaltete Identitäten? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Virtual Machines', de: 'Virtuelle Computer' } },
        { id: 'B', text: { en: 'App Service', de: 'App Service' } },
        { id: 'C', text: { en: 'Azure Functions', de: 'Azure Functions' } },
        { id: 'D', text: { en: 'Azure DNS zones', de: 'Azure DNS-Zonen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Managed identities are supported by many Azure compute services including VMs, App Service, and Functions. DNS zones are not compute workloads.', de: 'Verwaltete Identitäten werden von vielen Azure-Compute-Diensten unterstützt, darunter VMs, App Service und Functions. DNS-Zonen sind keine Compute-Workloads.' },
      hint: { en: 'Choose workload services that run code.', de: 'Wählen Sie Workload-Dienste aus, die Code ausführen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-075',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: { en: 'Woodgrove Bank wants Azure SQL audit events to be available to its SIEM with minimal custom code or export tooling.', de: 'Woodgrove Bank möchte, dass Azure SQL-Überwachungsereignisse mit minimalem benutzerdefiniertem Code oder Exportwerkzeugen im SIEM verfügbar sind.' },
      question: { en: 'What should be configured?', de: 'Was sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'Send Azure SQL auditing to Log Analytics and use Microsoft Sentinel', de: 'Azure SQL-Auditing an Log Analytics senden und Microsoft Sentinel verwenden' } },
        { id: 'B', text: { en: 'Copy audit rows manually into Excel', de: 'Überwachungszeilen manuell in Excel kopieren' } },
        { id: 'C', text: { en: 'Create a public blob container', de: 'Einen öffentlichen Blobcontainer erstellen' } },
        { id: 'D', text: { en: 'Disable auditing to reduce noise', de: 'Auditing deaktivieren, um Rauschen zu reduzieren' } }
      ],
      correct: ['A'],
      explanation: { en: 'Sending audit data to Log Analytics makes it immediately usable by Sentinel without custom parsers or file exports.', de: 'Das Senden von Auditing-Daten an Log Analytics macht sie sofort für Sentinel nutzbar, ohne benutzerdefinierte Parser oder Dateiexporte.' },
      hint: { en: 'Use native Azure monitoring integration.', de: 'Verwenden Sie die native Azure-Monitoring-Integration.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/auditing-overview'
    },
    {
      id: 'az500-076',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Defender for Cloud metric measures how much of your recommended security posture has been implemented?', de: 'Welche Kennzahl von Defender for Cloud misst, wie viel des empfohlenen Sicherheitsstatus umgesetzt wurde?' },
      options: [
        { id: 'A', text: { en: 'Secure score', de: 'Secure Score' } },
        { id: 'B', text: { en: 'Availability set', de: 'Verfügbarkeitsgruppe' } },
        { id: 'C', text: { en: 'Service health', de: 'Dienstintegrität' } },
        { id: 'D', text: { en: 'Message retention', de: 'Nachrichtenaufbewahrung' } }
      ],
      correct: ['A'],
      explanation: { en: 'Secure score summarizes how well your environment aligns with Defender for Cloud recommendations.', de: 'Der Secure Score fasst zusammen, wie gut Ihre Umgebung mit den Empfehlungen von Defender for Cloud übereinstimmt.' },
      hint: { en: 'Think about the posture score in Defender for Cloud.', de: 'Denken Sie an die Sicherheitsstatusbewertung in Defender for Cloud.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls'
    },
    {
      id: 'az500-077',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Contoso Ltd. wants administrators to open RDP to VMs only when needed, from approved source IPs, and for a limited time.', de: 'Contoso Ltd. möchte, dass Administratoren RDP zu VMs nur bei Bedarf, aus genehmigten Quell-IP-Adressen und für eine begrenzte Zeit öffnen.' },
      question: { en: 'Which feature should be enabled?', de: 'Welche Funktion sollte aktiviert werden?' },
      options: [
        { id: 'A', text: { en: 'Just-in-time VM access', de: 'Just-in-Time-VM-Zugriff' } },
        { id: 'B', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'C', text: { en: 'A public load balancer', de: 'Ein öffentlicher Lastenausgleich' } },
        { id: 'D', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } }
      ],
      correct: ['A'],
      explanation: { en: 'JIT VM access in Defender for Cloud reduces exposure of management ports by opening them only on demand.', de: 'Der JIT-VM-Zugriff in Defender for Cloud reduziert die Exponierung von Verwaltungsports, indem diese nur bei Bedarf geöffnet werden.' },
      hint: { en: 'Choose the feature that limits exposure time for management ports.', de: 'Wählen Sie die Funktion, die die Expositionszeit von Verwaltungsports begrenzt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview'
    },
    {
      id: 'az500-078',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which resource types can Defender for Cloud assess for security posture? Choose all that apply.', de: 'Welche Ressourcentypen kann Defender for Cloud hinsichtlich des Sicherheitsstatus bewerten? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Virtual machines', de: 'Virtuelle Computer' } },
        { id: 'B', text: { en: 'Storage accounts', de: 'Speicherkonten' } },
        { id: 'C', text: { en: 'SQL resources', de: 'SQL-Ressourcen' } },
        { id: 'D', text: { en: 'Local printers', de: 'Lokale Drucker' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Defender for Cloud assesses many Azure resource types including VMs, storage accounts, and SQL resources.', de: 'Defender for Cloud bewertet viele Azure-Ressourcentypen, darunter VMs, Speicherkonten und SQL-Ressourcen.' },
      hint: { en: 'Pick Azure workloads, not local devices.', de: 'Wählen Sie Azure-Workloads und keine lokalen Geräte.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'az500-079',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which workspace service stores the logs that Microsoft Sentinel analyzes?', de: 'Welcher Arbeitsbereichsdienst speichert die Protokolle, die Microsoft Sentinel analysiert?' },
      options: [
        { id: 'A', text: { en: 'Log Analytics workspace', de: 'Log Analytics-Arbeitsbereich' } },
        { id: 'B', text: { en: 'Recovery Services vault', de: 'Recovery Services-Tresor' } },
        { id: 'C', text: { en: 'Azure Bastion host', de: 'Azure Bastion-Host' } },
        { id: 'D', text: { en: 'DNS zone', de: 'DNS-Zone' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Sentinel is built on top of a Log Analytics workspace for data storage and query.', de: 'Microsoft Sentinel basiert für Datenspeicherung und Abfragen auf einem Log Analytics-Arbeitsbereich.' },
      hint: { en: 'Think about the Azure Monitor log store behind Sentinel.', de: 'Denken Sie an den Azure Monitor-Protokollspeicher hinter Sentinel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    },
    {
      id: 'az500-080',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam Inc. wants every high-severity Microsoft Sentinel incident to start an automated containment workflow built in Logic Apps.', de: 'Fabrikam Inc. möchte, dass jeder Vorfall mit hohem Schweregrad in Microsoft Sentinel einen in Logic Apps erstellten automatisierten Eindämmungsworkflow startet.' },
      question: { en: 'What should be used?', de: 'Was sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'An automation rule that runs a playbook', de: 'Eine Automatisierungsregel, die ein Playbook ausführt' } },
        { id: 'B', text: { en: 'A network security group only', de: 'Nur eine Netzwerksicherheitsgruppe' } },
        { id: 'C', text: { en: 'A storage account lifecycle policy', de: 'Eine Lebenszyklusrichtlinie für Speicherkonten' } },
        { id: 'D', text: { en: 'A management lock', de: 'Eine Verwaltungssperre' } }
      ],
      correct: ['A'],
      explanation: { en: 'In Sentinel, automation rules can trigger playbooks that are implemented with Logic Apps.', de: 'In Sentinel können Automatisierungsregeln Playbooks auslösen, die mit Logic Apps implementiert sind.' },
      hint: { en: 'Use the Sentinel automation feature tied to Logic Apps.', de: 'Verwenden Sie die Sentinel-Automatisierungsfunktion, die mit Logic Apps verknüpft ist.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'az500-081',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which query language is used for Microsoft Sentinel hunting queries and many analytics rules?', de: 'Welche Abfragesprache wird für Microsoft Sentinel-Hunting-Abfragen und viele Analyseregeln verwendet?' },
      options: [
        { id: 'A', text: { en: 'Kusto Query Language', de: 'Kusto Query Language' } },
        { id: 'B', text: { en: 'Transact-SQL only', de: 'Nur Transact-SQL' } },
        { id: 'C', text: { en: 'Python only', de: 'Nur Python' } },
        { id: 'D', text: { en: 'Power Query M only', de: 'Nur Power Query M' } }
      ],
      correct: ['A'],
      explanation: { en: 'Sentinel relies heavily on Kusto Query Language for log search, hunting, and detections.', de: 'Sentinel stützt sich stark auf Kusto Query Language für Protokollsuche, Hunting und Erkennungen.' },
      hint: { en: 'Think of the query language used by Azure Monitor Logs.', de: 'Denken Sie an die Abfragesprache von Azure Monitor Logs.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/hunting'
    },
    {
      id: 'az500-082',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure service provides a unified cloud security posture view across Azure, AWS, and GCP?', de: 'Welcher Azure-Dienst bietet eine einheitliche Ansicht des Cloud-Sicherheitsstatus über Azure, AWS und GCP hinweg?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender for Cloud', de: 'Microsoft Defender for Cloud' } },
        { id: 'B', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'C', text: { en: 'Azure DNS', de: 'Azure DNS' } },
        { id: 'D', text: { en: 'Network Watcher', de: 'Network Watcher' } }
      ],
      correct: ['A'],
      explanation: { en: 'Defender for Cloud supports multicloud security posture management across Azure and supported non-Azure environments.', de: 'Defender for Cloud unterstützt Multicloud-Sicherheitsstatusverwaltung über Azure und unterstützte Nicht-Azure-Umgebungen hinweg.' },
      hint: { en: 'This is a posture management capability, not a networking feature.', de: 'Dies ist eine Funktion zur Verwaltung des Sicherheitsstatus und keine Netzwerkfunktion.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'az500-083',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Defender for Cloud dashboard maps your environment to standards such as CIS and PCI DSS?', de: 'Welches Dashboard von Defender for Cloud ordnet Ihre Umgebung Standards wie CIS und PCI DSS zu?' },
      options: [
        { id: 'A', text: { en: 'Regulatory compliance dashboard', de: 'Dashboard für regulatorische Compliance' } },
        { id: 'B', text: { en: 'Azure Service Health', de: 'Azure Service Health' } },
        { id: 'C', text: { en: 'Cost analysis', de: 'Kostenanalyse' } },
        { id: 'D', text: { en: 'Traffic manager profile', de: 'Traffic Manager-Profil' } }
      ],
      correct: ['A'],
      explanation: { en: 'The regulatory compliance dashboard tracks how resources align with standards and controls.', de: 'Das Dashboard für regulatorische Compliance verfolgt, wie Ressourcen mit Standards und Kontrollen übereinstimmen.' },
      hint: { en: 'Think of standards and control mappings.', de: 'Denken Sie an Standard- und Kontrollzuordnungen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard'
    },
    {
      id: 'az500-084',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Sentinel artifacts help analysts during investigations? Choose all that apply.', de: 'Welche Microsoft Sentinel-Artefakte helfen Analysten bei Untersuchungen? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Incidents', de: 'Vorfälle' } },
        { id: 'B', text: { en: 'Entities', de: 'Entitäten' } },
        { id: 'C', text: { en: 'Bookmarks', de: 'Lesezeichen' } },
        { id: 'D', text: { en: 'ARM templates', de: 'ARM-Vorlagen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Incidents, entities, and bookmarks are part of the investigation workflow in Sentinel. ARM templates are deployment artifacts.', de: 'Vorfälle, Entitäten und Lesezeichen sind Teil des Untersuchungsworkflows in Sentinel. ARM-Vorlagen sind Bereitstellungsartefakte.' },
      hint: { en: 'Choose investigation objects, not deployment templates.', de: 'Wählen Sie Untersuchungsobjekte und keine Bereitstellungsvorlagen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/bookmarks'
    },
    {
      id: 'az500-085',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Woodgrove Bank wants RDP opened to one administrator public IP for two hours after approval and then closed automatically.', de: 'Woodgrove Bank möchte, dass RDP nach Genehmigung für zwei Stunden für eine öffentliche IP-Adresse eines Administrators geöffnet und danach automatisch geschlossen wird.' },
      question: { en: 'What should be configured?', de: 'Was sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'A JIT VM access policy with port, source IP, and duration settings', de: 'Eine JIT-VM-Zugriffsrichtlinie mit Einstellungen für Port, Quell-IP und Dauer' } },
        { id: 'B', text: { en: 'A permanent NSG allow rule', de: 'Eine permanente NSG-Zulassungsregel' } },
        { id: 'C', text: { en: 'A public load balancer', de: 'Ein öffentlicher Lastenausgleich' } },
        { id: 'D', text: { en: 'A route filter', de: 'Ein Routenfilter' } }
      ],
      correct: ['A'],
      explanation: { en: 'JIT policies can restrict management access by time window, source IP, and requested port.', de: 'JIT-Richtlinien können Verwaltungszugriff nach Zeitfenster, Quell-IP und angefordertem Port einschränken.' },
      hint: { en: 'This is time-bound management port access.', de: 'Dies ist zeitgebundener Zugriff auf Verwaltungsports.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview'
    },
    {
      id: 'az500-086',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Sentinel feature creates incidents from ingested data when a detection condition is met?', de: 'Welche Funktion von Microsoft Sentinel erstellt Vorfälle aus aufgenommenen Daten, wenn eine Erkennungsbedingung erfüllt ist?' },
      options: [
        { id: 'A', text: { en: 'Analytics rules', de: 'Analyseregeln' } },
        { id: 'B', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } },
        { id: 'C', text: { en: 'RBAC custom roles', de: 'Benutzerdefinierte RBAC-Rollen' } },
        { id: 'D', text: { en: 'Azure Bastion', de: 'Azure Bastion' } }
      ],
      correct: ['A'],
      explanation: { en: 'Analytics rules evaluate ingested data and generate alerts or incidents when the configured logic matches.', de: 'Analyseregeln werten aufgenommene Daten aus und erzeugen Warnungen oder Vorfälle, wenn die konfigurierte Logik zutrifft.' },
      hint: { en: 'Think of the detection engine in Sentinel.', de: 'Denken Sie an die Erkennungs-Engine in Sentinel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/detect-threats-built-in'
    },
    {
      id: 'az500-087',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Proseware Inc. wants recurring low-value Sentinel incidents to be suppressed during planned maintenance windows.', de: 'Proseware Inc. möchte wiederkehrende Vorfälle mit geringem Wert in Sentinel während geplanter Wartungsfenster unterdrücken.' },
      question: { en: 'What should be configured?', de: 'Was sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'Automation rules', de: 'Automatisierungsregeln' } },
        { id: 'B', text: { en: 'A route table', de: 'Eine Routentabelle' } },
        { id: 'C', text: { en: 'A Key Vault access policy', de: 'Eine Key Vault-Zugriffsrichtlinie' } },
        { id: 'D', text: { en: 'A VM scale set', de: 'Ein VM-Skalierungssatz' } }
      ],
      correct: ['A'],
      explanation: { en: 'Automation rules can update, suppress, or triage incidents based on conditions such as severity and timing.', de: 'Automatisierungsregeln können Vorfälle basierend auf Bedingungen wie Schweregrad und Zeitpunkt aktualisieren, unterdrücken oder klassifizieren.' },
      hint: { en: 'Choose the incident orchestration feature.', de: 'Wählen Sie die Funktion zur Orchestrierung von Vorfällen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'az500-088',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Defender for Cloud plan provides advanced protection for servers, including richer threat protection capabilities?', de: 'Welcher Plan von Defender for Cloud bietet erweiterten Schutz für Server einschließlich umfangreicherer Bedrohungsschutzfunktionen?' },
      options: [
        { id: 'A', text: { en: 'Defender for Servers Plan 2', de: 'Defender for Servers Plan 2' } },
        { id: 'B', text: { en: 'Defender for DNS Plan 1', de: 'Defender for DNS Plan 1' } },
        { id: 'C', text: { en: 'Azure Backup vault', de: 'Azure Backup-Tresor' } },
        { id: 'D', text: { en: 'DDoS Basic', de: 'DDoS Basic' } }
      ],
      correct: ['A'],
      explanation: { en: 'Defender for Servers Plan 2 includes more advanced server protection capabilities than the basic server coverage.', de: 'Defender for Servers Plan 2 enthält weitergehende Server-Schutzfunktionen als die grundlegende Serverabdeckung.' },
      hint: { en: 'Choose the more advanced server protection plan.', de: 'Wählen Sie den weitergehenden Server-Schutzplan.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/plan-defender-for-servers-select-plan'
    },
    {
      id: 'az500-089',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Microsoft data sources have built-in Microsoft Sentinel connectors? Choose all that apply.', de: 'Welche Microsoft-Datenquellen verfügen über integrierte Microsoft Sentinel-Konnektoren? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra ID', de: 'Microsoft Entra ID' } },
        { id: 'B', text: { en: 'Microsoft 365', de: 'Microsoft 365' } },
        { id: 'C', text: { en: 'Azure Activity', de: 'Azure Activity' } },
        { id: 'D', text: { en: 'Azure Reserved Instances', de: 'Azure Reserved Instances' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Sentinel includes connectors for Microsoft services such as Entra ID, Microsoft 365, and Azure Activity logs.', de: 'Sentinel enthält Konnektoren für Microsoft-Dienste wie Entra ID, Microsoft 365 und Azure Activity-Protokolle.' },
      hint: { en: 'Pick common security-relevant Microsoft log sources.', de: 'Wählen Sie gängige sicherheitsrelevante Microsoft-Protokollquellen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-data-sources'
    },
    {
      id: 'az500-090',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Analysts want to hunt for port scanning by querying Azure Firewall and NSG logs. Where should they write the query?', de: 'Analysten möchten nach Portscans suchen, indem sie Azure Firewall- und NSG-Protokolle abfragen. Wo sollten sie die Abfrage schreiben?' },
      options: [
        { id: 'A', text: { en: 'In Microsoft Sentinel by using KQL', de: 'In Microsoft Sentinel mithilfe von KQL' } },
        { id: 'B', text: { en: 'In an NSG security rule', de: 'In einer NSG-Sicherheitsregel' } },
        { id: 'C', text: { en: 'Inside Azure Key Vault', de: 'In Azure Key Vault' } },
        { id: 'D', text: { en: 'In a DNS zone file', de: 'In einer DNS-Zonendatei' } }
      ],
      correct: ['A'],
      explanation: { en: 'Sentinel and Log Analytics use KQL for log hunting and are the right place to query network security logs.', de: 'Sentinel und Log Analytics verwenden KQL für Log-Hunting und sind der richtige Ort, um Netzwerksicherheitsprotokolle abzufragen.' },
      hint: { en: 'Use the SIEM query layer, not a policy object.', de: 'Verwenden Sie die Abfrageebene des SIEM und kein Richtlinienobjekt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/hunting'
    },
    {
      id: 'az500-091',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service aggregates security alerts, recommendations, and posture findings for Azure resources?', de: 'Welcher Azure-Dienst sammelt Sicherheitswarnungen, Empfehlungen und Befunde zum Sicherheitsstatus für Azure-Ressourcen?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender for Cloud', de: 'Microsoft Defender for Cloud' } },
        { id: 'B', text: { en: 'Azure DevOps', de: 'Azure DevOps' } },
        { id: 'C', text: { en: 'Azure Cost Management', de: 'Azure Cost Management' } },
        { id: 'D', text: { en: 'Azure CDN', de: 'Azure CDN' } }
      ],
      correct: ['A'],
      explanation: { en: 'Defender for Cloud is the central security posture and workload protection service for Azure resources.', de: 'Defender for Cloud ist der zentrale Dienst für Sicherheitsstatus und Workloadschutz für Azure-Ressourcen.' },
      hint: { en: 'Think about the main Azure cloud security center.', de: 'Denken Sie an das zentrale Cloud-Sicherheitszentrum von Azure.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'az500-092',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Contoso Ltd. wants Defender for Cloud recommendations and alerts to create tickets automatically in an ITSM system.', de: 'Contoso Ltd. möchte, dass Empfehlungen und Warnungen aus Defender for Cloud automatisch Tickets in einem ITSM-System erstellen.' },
      question: { en: 'Which feature should be used?', de: 'Welche Funktion sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Workflow automation with Logic Apps', de: 'Workflow-Automatisierung mit Logic Apps' } },
        { id: 'B', text: { en: 'Azure DDoS Basic', de: 'Azure DDoS Basic' } },
        { id: 'C', text: { en: 'A storage lifecycle policy', de: 'Eine Lebenszyklusrichtlinie für Speicher' } },
        { id: 'D', text: { en: 'A management lock', de: 'Eine Verwaltungssperre' } }
      ],
      correct: ['A'],
      explanation: { en: 'Workflow automation in Defender for Cloud can call Logic Apps to open tickets and perform other responses.', de: 'Die Workflow-Automatisierung in Defender for Cloud kann Logic Apps aufrufen, um Tickets zu erstellen und andere Reaktionen auszuführen.' },
      hint: { en: 'Choose the feature that reacts to Defender findings automatically.', de: 'Wählen Sie die Funktion, die automatisch auf Defender-Befunde reagiert.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/workflow-automation'
    },
    {
      id: 'az500-093',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Defender for Cloud recommendation commonly helps reduce exposure of management ports on virtual machines?', de: 'Welche Empfehlung von Defender for Cloud hilft üblicherweise dabei, die Exponierung von Verwaltungsports auf virtuellen Computern zu reduzieren?' },
      options: [
        { id: 'A', text: { en: 'Enable JIT VM access', de: 'JIT-VM-Zugriff aktivieren' } },
        { id: 'B', text: { en: 'Increase CPU quota', de: 'CPU-Kontingent erhöhen' } },
        { id: 'C', text: { en: 'Disable diagnostics logs', de: 'Diagnoseprotokolle deaktivieren' } },
        { id: 'D', text: { en: 'Enable anonymous blob access', de: 'Anonymen Blobzugriff aktivieren' } }
      ],
      correct: ['A'],
      explanation: { en: 'Enabling JIT VM access reduces the attack surface of RDP and SSH by limiting when the ports are open.', de: 'Das Aktivieren von JIT-VM-Zugriff reduziert die Angriffsfläche von RDP und SSH, indem begrenzt wird, wann die Ports geöffnet sind.' },
      hint: { en: 'This recommendation targets management port exposure.', de: 'Diese Empfehlung zielt auf die Exponierung von Verwaltungsports ab.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview'
    },
    {
      id: 'az500-094',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which actions can a Microsoft Sentinel playbook automate? Choose all that apply.', de: 'Welche Aktionen kann ein Microsoft Sentinel-Playbook automatisieren? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Send notifications to collaboration tools', de: 'Benachrichtigungen an Kollaborationstools senden' } },
        { id: 'B', text: { en: 'Create a ticket in an external system', de: 'Ein Ticket in einem externen System erstellen' } },
        { id: 'C', text: { en: 'Disable or update an account through a connected API', de: 'Ein Konto über eine verbundene API deaktivieren oder aktualisieren' } },
        { id: 'D', text: { en: 'Change the size of every VM automatically without a connector', de: 'Die Größe jeder VM ohne Konnektor automatisch ändern' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Sentinel playbooks use Logic Apps connectors to send notifications, create tickets, and trigger response actions.', de: 'Sentinel-Playbooks verwenden Logic Apps-Konnektoren, um Benachrichtigungen zu senden, Tickets zu erstellen und Reaktionsaktionen auszulösen.' },
      hint: { en: 'Think of SOAR actions through connectors.', de: 'Denken Sie an SOAR-Aktionen über Konnektoren.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'az500-095',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam Inc. wants analysts to prioritize incidents based on abnormal user behavior and peer group analysis.', de: 'Fabrikam Inc. möchte, dass Analysten Vorfälle auf Basis abnormalen Benutzerverhaltens und Peer-Group-Analysen priorisieren.' },
      question: { en: 'Which Sentinel capability should be enabled?', de: 'Welche Sentinel-Funktion sollte aktiviert werden?' },
      options: [
        { id: 'A', text: { en: 'User and Entity Behavior Analytics', de: 'User and Entity Behavior Analytics' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Azure Policy exemptions', de: 'Azure Policy-Ausnahmen' } },
        { id: 'D', text: { en: 'Disk Encryption Set', de: 'Disk Encryption Set' } }
      ],
      correct: ['A'],
      explanation: { en: 'UEBA enriches investigations with behavioral baselines and anomaly insights for users and entities.', de: 'UEBA reichert Untersuchungen mit Verhaltens-Basiswerten und Anomalieerkenntnissen für Benutzer und Entitäten an.' },
      hint: { en: 'Choose the behavioral analytics feature.', de: 'Wählen Sie die Funktion für Verhaltensanalysen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics'
    },
    {
      id: 'az500-096',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Sentinel artifact lets analysts save specific query results for later investigation context?', de: 'Welches Sentinel-Artefakt ermöglicht es Analysten, bestimmte Abfrageergebnisse für späteren Untersuchungskontext zu speichern?' },
      options: [
        { id: 'A', text: { en: 'Bookmark', de: 'Lesezeichen' } },
        { id: 'B', text: { en: 'Availability zone', de: 'Verfügbarkeitszone' } },
        { id: 'C', text: { en: 'RBAC role assignment', de: 'RBAC-Rollenzuweisung' } },
        { id: 'D', text: { en: 'Key vault key', de: 'Key Vault-Schlüssel' } }
      ],
      correct: ['A'],
      explanation: { en: 'Bookmarks let analysts preserve relevant events or records discovered during hunting for future investigation.', de: 'Lesezeichen ermöglichen es Analysten, während des Huntings entdeckte relevante Ereignisse oder Datensätze für spätere Untersuchungen zu sichern.' },
      hint: { en: 'Think of saved hunting evidence.', de: 'Denken Sie an gespeicherte Beweise aus dem Hunting.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/bookmarks'
    },
    {
      id: 'az500-097',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service provides a cloud-native SIEM and SOAR platform?', de: 'Welcher Azure-Dienst bietet eine cloudnative SIEM- und SOAR-Plattform?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Sentinel', de: 'Microsoft Sentinel' } },
        { id: 'B', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Azure Files', de: 'Azure Files' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Sentinel is Azure and Microsofts cloud-native SIEM and SOAR solution.', de: 'Microsoft Sentinel ist die cloudnative SIEM- und SOAR-Lösung von Azure und Microsoft.' },
      hint: { en: 'Pick the security operations platform.', de: 'Wählen Sie die Plattform für Sicherheitsvorgänge.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    },
    {
      id: 'az500-098',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which workspace setting controls how long Log Analytics data remains searchable before archival or deletion policies apply?', de: 'Welche Arbeitsbereichseinstellung steuert, wie lange Log Analytics-Daten durchsuchbar bleiben, bevor Archivierungs- oder Löschrichtlinien greifen?' },
      options: [
        { id: 'A', text: { en: 'Retention period', de: 'Aufbewahrungszeitraum' } },
        { id: 'B', text: { en: 'NSG priority', de: 'NSG-Priorität' } },
        { id: 'C', text: { en: 'Recovery point objective', de: 'Recovery Point Objective' } },
        { id: 'D', text: { en: 'Key size', de: 'Schlüsselgröße' } }
      ],
      correct: ['A'],
      explanation: { en: 'Log Analytics retention controls how long data stays in the analytics tier for interactive search.', de: 'Die Log Analytics-Aufbewahrung steuert, wie lange Daten in der Analyseeinheit für interaktive Suchen verbleiben.' },
      hint: { en: 'This is a workspace data lifecycle setting.', de: 'Dies ist eine Einstellung für den Datenlebenszyklus des Arbeitsbereichs.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-monitor/logs/data-retention-configure'
    },
    {
      id: 'az500-099',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Tailwind Traders wants Microsoft Sentinel to ingest Microsoft 365 audit data quickly with minimal custom work.', de: 'Tailwind Traders möchte, dass Microsoft Sentinel Microsoft 365-Auditdaten schnell und mit minimalem benutzerdefiniertem Aufwand aufnimmt.' },
      question: { en: 'What should be used?', de: 'Was sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'The built-in Microsoft 365 data connector', de: 'Der integrierte Microsoft 365-Datenkonnektor' } },
        { id: 'B', text: { en: 'A public blob container', de: 'Ein öffentlicher Blobcontainer' } },
        { id: 'C', text: { en: 'A VM startup script', de: 'Ein VM-Startskript' } },
        { id: 'D', text: { en: 'A route table', de: 'Eine Routentabelle' } }
      ],
      correct: ['A'],
      explanation: { en: 'The built-in connector is the fastest native way to ingest Microsoft 365 audit data into Sentinel.', de: 'Der integrierte Konnektor ist der schnellste native Weg, Microsoft 365-Auditdaten in Sentinel aufzunehmen.' },
      hint: { en: 'Use the native connector instead of building exports yourself.', de: 'Verwenden Sie den nativen Konnektor, anstatt selbst Exporte zu bauen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-data-sources'
    },
    {
      id: 'az500-100',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which statements about Defender for Cloud secure score are correct? Choose all that apply.', de: 'Welche Aussagen zum Secure Score von Defender for Cloud sind korrekt? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'It is recalculated as recommendations are implemented', de: 'Er wird neu berechnet, wenn Empfehlungen umgesetzt werden' } },
        { id: 'B', text: { en: 'Recommendations can increase the score when remediated', de: 'Empfehlungen können den Wert erhöhen, wenn sie behoben werden' } },
        { id: 'C', text: { en: 'It can be viewed across scopes such as subscriptions', de: 'Er kann über Bereiche wie Abonnements hinweg angezeigt werden' } },
        { id: 'D', text: { en: 'It replaces all regulatory compliance requirements', de: 'Er ersetzt alle regulatorischen Compliance-Anforderungen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Secure score is a posture metric driven by recommendation remediation and can be reviewed across scopes. It does not replace compliance programs.', de: 'Der Secure Score ist eine Kennzahl für den Sicherheitsstatus, die durch die Behebung von Empfehlungen beeinflusst wird und über Bereiche hinweg betrachtet werden kann. Er ersetzt keine Compliance-Programme.' },
      hint: { en: 'Think of secure score as guidance, not a compliance waiver.', de: 'Denken Sie an den Secure Score als Orientierungshilfe und nicht als Compliance-Ausnahme.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls'
    }
  ]
};
