(function() {
  var extra = [
    {
      "id": "sc300-208",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "You need a dynamic device group that contains only company-owned devices. Which device attribute should you use in the membership rule?",
        "de": "Sie benötigen eine dynamische Gerätegruppe, die nur unternehmenseigene Geräte enthält. Welches Geräteattribut sollten Sie in der Mitgliedschaftsregel verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "device.deviceOwnership", "de": "device.deviceOwnership" } },
        { "id": "B", "text": { "en": "device.trustType", "de": "device.trustType" } },
        { "id": "C", "text": { "en": "device.displayName", "de": "device.displayName" } },
        { "id": "D", "text": { "en": "device.approximateLastSignInDateTime", "de": "device.approximateLastSignInDateTime" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Dynamic device groups can evaluate the deviceOwnership attribute to distinguish company-owned and personal devices. The other attributes do not directly express ownership.",
        "de": "Dynamische Gerätegruppen können das Attribut deviceOwnership auswerten, um zwischen unternehmenseigenen und persönlichen Geräten zu unterscheiden. Die anderen Attribute geben die Besitzverhältnisse nicht direkt an."
      },
      "hint": {
        "en": "Look for the attribute that explicitly describes ownership.",
        "de": "Suchen Sie nach dem Attribut, das die Besitzverhältnisse ausdrücklich beschreibt."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership"
    },
    {
      "id": "sc300-209",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "easy",
      "scenario": {
        "en": "Branch office administrators must manage only the users and devices in their own region.",
        "de": "Administratoren in den Niederlassungen sollen nur die Benutzer und Geräte ihrer eigenen Region verwalten."
      },
      "question": {
        "en": "Which Microsoft Entra feature should you use to scope administration to a subset of directory objects?",
        "de": "Welche Microsoft Entra-Funktion sollten Sie verwenden, um die Verwaltung auf eine Teilmenge von Verzeichnisobjekten zu beschränken?"
      },
      "options": [
        { "id": "A", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "B", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "C", "text": { "en": "Access packages", "de": "Zugriffspakete" } },
        { "id": "D", "text": { "en": "Authentication strengths", "de": "Authentifizierungsstärken" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Administrative units let you delegate administrative permissions over specific users, groups, or devices instead of the entire tenant.",
        "de": "Administrative Einheiten ermöglichen es Ihnen, Verwaltungsberechtigungen für bestimmte Benutzer, Gruppen oder Geräte statt für den gesamten Mandanten zu delegieren."
      },
      "hint": {
        "en": "This feature is about delegated scope, not authentication or governance requests.",
        "de": "Diese Funktion betrifft einen delegierten Verwaltungsbereich, nicht Authentifizierung oder Governance-Anforderungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units"
    },
    {
      "id": "sc300-210",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "The company has several disconnected Active Directory forests and wants a lightweight sync option that uses outbound-only agents.",
        "de": "Das Unternehmen hat mehrere nicht verbundene Active Directory-Gesamtstrukturen und möchte eine leichtgewichtige Synchronisierungsoption mit nur ausgehenden Agenten verwenden."
      },
      "question": {
        "en": "Which hybrid identity solution best fits this requirement?",
        "de": "Welche Hybrididentitätslösung passt am besten zu dieser Anforderung?"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Entra Cloud Sync", "de": "Microsoft Entra Cloud Sync" } },
        { "id": "B", "text": { "en": "Microsoft Entra Application Proxy", "de": "Microsoft Entra Application Proxy" } },
        { "id": "C", "text": { "en": "Terms of Use", "de": "Nutzungsbedingungen" } },
        { "id": "D", "text": { "en": "Privileged Identity Management", "de": "Privileged Identity Management" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Microsoft Entra Cloud Sync uses lightweight provisioning agents and outbound connectivity, making it suitable for multiple disconnected forests. The other options do not provide directory synchronization.",
        "de": "Microsoft Entra Cloud Sync verwendet leichtgewichtige Bereitstellungsagenten und ausgehende Konnektivität und eignet sich daher für mehrere nicht verbundene Gesamtstrukturen. Die anderen Optionen bieten keine Verzeichnissynchronisierung."
      },
      "hint": {
        "en": "Think of the modern lightweight sync architecture, not app publishing or governance.",
        "de": "Denken Sie an die moderne leichtgewichtige Synchronisierungsarchitektur, nicht an App-Veröffentlichung oder Governance."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync"
    },
    {
      "id": "sc300-211",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Users reset their passwords in the cloud, and the new passwords must be written back to on-premises Active Directory. Which feature is required?",
        "de": "Benutzer setzen ihre Kennwörter in der Cloud zurück, und die neuen Kennwörter müssen zurück in das lokale Active Directory geschrieben werden. Welche Funktion wird benötigt?"
      },
      "options": [
        { "id": "A", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } },
        { "id": "B", "text": { "en": "Pass-through authentication", "de": "Pass-Through-Authentifizierung" } },
        { "id": "C", "text": { "en": "Application proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Named locations", "de": "Benannte Standorte" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Password writeback enables password changes or resets performed in Microsoft Entra ID to be written back to on-premises Active Directory.",
        "de": "Die Kennwortrückschreibung ermöglicht es, dass in Microsoft Entra ID durchgeführte Kennwortänderungen oder -zurücksetzungen in das lokale Active Directory zurückgeschrieben werden."
      },
      "hint": {
        "en": "The requirement is specifically about synchronizing a new password back on-premises.",
        "de": "Die Anforderung bezieht sich ausdrücklich auf die Synchronisierung eines neuen Kennworts zurück in die lokale Umgebung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-howitworks"
    },
    {
      "id": "sc300-212",
      "type": "multiple",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which authentication methods can be used for self-service password reset? (Choose all that apply.)",
        "de": "Welche Authentifizierungsmethoden können für Self-Service Password Reset verwendet werden? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Authenticator app notification", "de": "Benachrichtigung in der Microsoft Authenticator-App" } },
        { "id": "B", "text": { "en": "Office phone", "de": "Bürotelefon" } },
        { "id": "C", "text": { "en": "Email", "de": "E-Mail" } },
        { "id": "D", "text": { "en": "FIDO2 security key", "de": "FIDO2-Sicherheitsschlüssel" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "SSPR supports methods such as email, office phone, and Microsoft Authenticator app verification. FIDO2 security keys are for authentication, not SSPR verification.",
        "de": "SSPR unterstützt Methoden wie E-Mail, Bürotelefon und die Verifizierung über die Microsoft Authenticator-App. FIDO2-Sicherheitsschlüssel sind für die Authentifizierung gedacht, nicht für die SSPR-Verifizierung."
      },
      "hint": {
        "en": "Pick the methods used to verify identity for password reset, not passwordless sign-in methods.",
        "de": "Wählen Sie die Methoden aus, die zur Identitätsprüfung bei der Kennwortzurücksetzung dienen, nicht kennwortlose Anmeldemethoden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-howitworks"
    },
    {
      "id": "sc300-213",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "Corporate Windows devices are joined to on-premises Active Directory and must also appear in Microsoft Entra ID for Conditional Access and seamless SSO.",
        "de": "Unternehmensinterne Windows-Geräte sind mit dem lokalen Active Directory verbunden und müssen auch in Microsoft Entra ID erscheinen, um bedingten Zugriff und nahtloses SSO zu ermöglichen."
      },
      "question": {
        "en": "Which device identity state should you implement?",
        "de": "Welchen Gerätezustand sollten Sie implementieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Entra registered", "de": "Microsoft Entra registriert" } },
        { "id": "B", "text": { "en": "Microsoft Entra hybrid joined", "de": "Microsoft Entra hybrid eingebunden" } },
        { "id": "C", "text": { "en": "Workgroup joined", "de": "Arbeitsgruppenmitglied" } },
        { "id": "D", "text": { "en": "B2B direct connect", "de": "B2B Direct Connect" } }
      ],
      "correct": ["B"],
      "explanation": {
        "en": "Microsoft Entra hybrid join is designed for organization-owned Windows devices already joined to on-premises Active Directory that also need a Microsoft Entra identity.",
        "de": "Die hybride Microsoft Entra-Einbindung ist für organisationsinterne Windows-Geräte konzipiert, die bereits in das lokale Active Directory eingebunden sind und zusätzlich eine Microsoft Entra-Identität benötigen."
      },
      "hint": {
        "en": "The devices are already domain-joined on-premises.",
        "de": "Die Geräte sind bereits lokal in die Domäne eingebunden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/devices/concept-hybrid-join"
    },
    {
      "id": "sc300-214",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "easy",
      "scenario": {
        "en": "An employee adds a work account to a personal tablet to access Microsoft 365, but the device should remain personally owned.",
        "de": "Ein Mitarbeiter fügt einem privaten Tablet ein Arbeitskonto hinzu, um auf Microsoft 365 zuzugreifen, das Gerät soll jedoch privat bleiben."
      },
      "question": {
        "en": "What device state best describes this setup?",
        "de": "Welcher Gerätezustand beschreibt diese Konfiguration am besten?"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Entra registered", "de": "Microsoft Entra registriert" } },
        { "id": "B", "text": { "en": "Microsoft Entra joined", "de": "Microsoft Entra eingebunden" } },
        { "id": "C", "text": { "en": "Microsoft Entra hybrid joined", "de": "Microsoft Entra hybrid eingebunden" } },
        { "id": "D", "text": { "en": "Domain joined only", "de": "Nur domänenverbunden" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Microsoft Entra registered is commonly used for BYOD devices where the user registers the device to access work resources without fully joining it to the organization.",
        "de": "Microsoft Entra registriert wird üblicherweise für BYOD-Geräte verwendet, bei denen der Benutzer das Gerät für den Zugriff auf Arbeitsressourcen registriert, ohne es vollständig in die Organisation einzubinden."
      },
      "hint": {
        "en": "Think of BYOD registration, not organization ownership.",
        "de": "Denken Sie an BYOD-Registrierung, nicht an organisationsinterne Besitzverhältnisse."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/devices/concept-directory-join"
    },
    {
      "id": "sc300-215",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "You need a dynamic device group that includes only Windows devices. Which membership rule is correct?",
        "de": "Sie benötigen eine dynamische Gerätegruppe, die nur Windows-Geräte enthält. Welche Mitgliedschaftsregel ist korrekt?"
      },
      "options": [
        { "id": "A", "text": { "en": "(device.deviceOSType -eq \"Windows\")", "de": "(device.deviceOSType -eq \"Windows\")" } },
        { "id": "B", "text": { "en": "(user.operatingSystem -eq \"Windows\")", "de": "(user.operatingSystem -eq \"Windows\")" } },
        { "id": "C", "text": { "en": "(device.accountEnabled -eq true)", "de": "(device.accountEnabled -eq true)" } },
        { "id": "D", "text": { "en": "(group.deviceOSType -eq \"Windows\")", "de": "(group.deviceOSType -eq \"Windows\")" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Dynamic device rules use device attributes such as deviceOSType. User and group attributes are not valid in a device membership rule.",
        "de": "Dynamische Geräteregeln verwenden Geräteattribute wie deviceOSType. Benutzer- und Gruppenattribute sind in einer Gerätemitgliedschaftsregel nicht gültig."
      },
      "hint": {
        "en": "Use a device attribute in a device rule.",
        "de": "Verwenden Sie in einer Geräteregel ein Geräteattribut."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership"
    },
    {
      "id": "sc300-216",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "Employees in the Sales department must automatically receive a license, and the assignment must update when users move in or out of Sales.",
        "de": "Mitarbeiter der Abteilung Vertrieb sollen automatisch eine Lizenz erhalten, und die Zuweisung muss aktualisiert werden, wenn Benutzer in den Vertrieb wechseln oder ihn verlassen."
      },
      "question": {
        "en": "Which solution is best?",
        "de": "Welche Lösung ist am besten geeignet?"
      },
      "options": [
        { "id": "A", "text": { "en": "Assign the license to a dynamic group", "de": "Weisen Sie die Lizenz einer dynamischen Gruppe zu" } },
        { "id": "B", "text": { "en": "Assign the license manually to each user", "de": "Weisen Sie die Lizenz jedem Benutzer manuell zu" } },
        { "id": "C", "text": { "en": "Create an access review", "de": "Erstellen Sie eine Zugriffsüberprüfung" } },
        { "id": "D", "text": { "en": "Use Terms of Use", "de": "Verwenden Sie Nutzungsbedingungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Group-based licensing combined with a dynamic group automatically assigns and removes licenses based on attribute-driven membership.",
        "de": "Die gruppenbasierte Lizenzierung in Kombination mit einer dynamischen Gruppe weist Lizenzen anhand attributbasierter Mitgliedschaften automatisch zu und entfernt sie wieder."
      },
      "hint": {
        "en": "Look for an automated license assignment pattern tied to user attributes.",
        "de": "Suchen Sie nach einem automatisierten Muster zur Lizenzzuweisung, das an Benutzerattribute gebunden ist."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/fundamentals/concept-group-based-licensing"
    },
    {
      "id": "sc300-217",
      "type": "multiple",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which on-premises object types can Microsoft Entra Connect Sync synchronize to Microsoft Entra ID? (Choose all that apply.)",
        "de": "Welche lokalen Objekttypen kann Microsoft Entra Connect Sync nach Microsoft Entra ID synchronisieren? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Users", "de": "Benutzer" } },
        { "id": "B", "text": { "en": "Groups", "de": "Gruppen" } },
        { "id": "C", "text": { "en": "Contacts", "de": "Kontakte" } },
        { "id": "D", "text": { "en": "Conditional Access policies", "de": "Richtlinien für bedingten Zugriff" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Microsoft Entra Connect Sync can synchronize directory objects such as users, groups, and contacts. Conditional Access policies are cloud policy objects and are not synchronized from on-premises AD DS.",
        "de": "Microsoft Entra Connect Sync kann Verzeichnisobjekte wie Benutzer, Gruppen und Kontakte synchronisieren. Richtlinien für bedingten Zugriff sind Cloudrichtlinienobjekte und werden nicht aus lokalem AD DS synchronisiert."
      },
      "hint": {
        "en": "Pick directory objects, not cloud policy artifacts.",
        "de": "Wählen Sie Verzeichnisobjekte aus, keine Cloudrichtlinienartefakte."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-azure-ad-connect"
    },
    {
      "id": "sc300-218",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "You are deploying a second Microsoft Entra Connect server for disaster recovery and want it to import and synchronize data without exporting changes. What should you enable?",
        "de": "Sie stellen einen zweiten Microsoft Entra Connect-Server für die Notfallwiederherstellung bereit und möchten, dass er Daten importiert und synchronisiert, ohne Änderungen zu exportieren. Was sollten Sie aktivieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Staging mode", "de": "Stagingmodus" } },
        { "id": "B", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } },
        { "id": "C", "text": { "en": "Pass-through authentication", "de": "Pass-Through-Authentifizierung" } },
        { "id": "D", "text": { "en": "Application Proxy connector", "de": "Application Proxy-Connector" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Staging mode keeps a Microsoft Entra Connect server ready for failover by processing imports and synchronizations while preventing exports to the tenant.",
        "de": "Der Stagingmodus hält einen Microsoft Entra Connect-Server für den Failover bereit, indem Import- und Synchronisierungsvorgänge verarbeitet werden, Exporte in den Mandanten jedoch verhindert werden."
      },
      "hint": {
        "en": "You need a warm standby server that does not take ownership yet.",
        "de": "Sie benötigen einen betriebsbereiten Standbyserver, der noch keine Änderungen exportiert."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sync-staging-server"
    },
    {
      "id": "sc300-219",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "Service accounts have an extensionAttribute15 value of DoNotSync and must stay on-premises.",
        "de": "Dienstkonten haben im Attribut extensionAttribute15 den Wert DoNotSync und müssen lokal verbleiben."
      },
      "question": {
        "en": "What should you configure in Microsoft Entra Connect Sync?",
        "de": "Was sollten Sie in Microsoft Entra Connect Sync konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Attribute-based filtering", "de": "Attributbasierte Filterung" } },
        { "id": "B", "text": { "en": "Authentication strengths", "de": "Authentifizierungsstärken" } },
        { "id": "C", "text": { "en": "Terms of Use", "de": "Nutzungsbedingungen" } },
        { "id": "D", "text": { "en": "Named locations", "de": "Benannte Standorte" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Attribute-based filtering lets you exclude objects from synchronization based on attribute values such as extensionAttribute15.",
        "de": "Mit der attributbasierten Filterung können Sie Objekte anhand von Attributwerten wie extensionAttribute15 von der Synchronisierung ausschließen."
      },
      "hint": {
        "en": "The exclusion is based on an attribute value, not an OU.",
        "de": "Der Ausschluss basiert auf einem Attributwert, nicht auf einer OU."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sync-configure-filtering"
    },
    {
      "id": "sc300-220",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Where can you assign a role so that it applies only to a limited set of users, groups, and devices?",
        "de": "Wo können Sie eine Rolle so zuweisen, dass sie nur für einen begrenzten Satz von Benutzern, Gruppen und Geräten gilt?"
      },
      "options": [
        { "id": "A", "text": { "en": "Administrative unit", "de": "Administrative Einheit" } },
        { "id": "B", "text": { "en": "Connected organization", "de": "Verbundene Organisation" } },
        { "id": "C", "text": { "en": "Conditional Access named location", "de": "Benannter Standort für bedingten Zugriff" } },
        { "id": "D", "text": { "en": "Authentication methods policy", "de": "Richtlinie für Authentifizierungsmethoden" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Administrative units provide scoped administration for subsets of directory objects and support scoped role assignments.",
        "de": "Administrative Einheiten ermöglichen eine bereichsbezogene Verwaltung von Teilmengen der Verzeichnisobjekte und unterstützen entsprechend begrenzte Rollenzuweisungen."
      },
      "hint": {
        "en": "This is about delegated administration scope.",
        "de": "Hier geht es um den Bereich delegierter Verwaltung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units"
    },
    {
      "id": "sc300-221",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "Helpdesk staff reset passwords for hybrid users in Microsoft Entra, and the changes must also update on-premises Active Directory.",
        "de": "Helpdeskmitarbeiter setzen Kennwörter für Hybridbenutzer in Microsoft Entra zurück, und die Änderungen müssen auch das lokale Active Directory aktualisieren."
      },
      "question": {
        "en": "Which prerequisite must be in place?",
        "de": "Welche Voraussetzung muss erfüllt sein?"
      },
      "options": [
        { "id": "A", "text": { "en": "Password writeback must be enabled", "de": "Die Kennwortrückschreibung muss aktiviert sein" } },
        { "id": "B", "text": { "en": "Application Proxy must be configured", "de": "Application Proxy muss konfiguriert sein" } },
        { "id": "C", "text": { "en": "An access package must exist", "de": "Ein Zugriffspaket muss vorhanden sein" } },
        { "id": "D", "text": { "en": "A connected organization must exist", "de": "Eine verbundene Organisation muss vorhanden sein" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Without password writeback, password resets performed in the cloud cannot update the on-premises password for hybrid users.",
        "de": "Ohne Kennwortrückschreibung können in der Cloud durchgeführte Kennwortzurücksetzungen das lokale Kennwort für Hybridbenutzer nicht aktualisieren."
      },
      "hint": {
        "en": "The requirement is specifically about cloud-to-on-premises password updates.",
        "de": "Die Anforderung betrifft ausdrücklich Kennwortaktualisierungen von der Cloud in die lokale Umgebung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-howitworks"
    },
    {
      "id": "sc300-222",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "hard",
      "scenario": null,
      "question": {
        "en": "Which Microsoft Entra feature automatically creates device group membership based on device attributes?",
        "de": "Welche Microsoft Entra-Funktion erstellt die Mitgliedschaft in Gerätegruppen automatisch auf Grundlage von Geräteattributen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Dynamic device groups", "de": "Dynamische Gerätegruppen" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } },
        { "id": "D", "text": { "en": "Entitlement management", "de": "Entitlement Management" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Dynamic device groups evaluate device properties and update membership automatically. The other features do not manage group membership through attribute rules.",
        "de": "Dynamische Gerätegruppen werten Geräteeigenschaften aus und aktualisieren die Mitgliedschaft automatisch. Die anderen Funktionen verwalten Gruppenmitgliedschaften nicht über Attributregeln."
      },
      "hint": {
        "en": "Think attribute-driven automation for devices.",
        "de": "Denken Sie an attributgesteuerte Automatisierung für Geräte."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership"
    },
    {
      "id": "sc300-223",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "easy",
      "scenario": {
        "en": "A new employee account exists on-premises but never appears in Microsoft Entra ID. Investigation shows the user is in an OU that was excluded from synchronization.",
        "de": "Ein neues Mitarbeiterkonto existiert lokal, erscheint aber nie in Microsoft Entra ID. Die Untersuchung zeigt, dass sich der Benutzer in einer OU befindet, die von der Synchronisierung ausgeschlossen wurde."
      },
      "question": {
        "en": "What should you change?",
        "de": "Was sollten Sie ändern?"
      },
      "options": [
        { "id": "A", "text": { "en": "OU filtering in Microsoft Entra Connect Sync", "de": "OU-Filterung in Microsoft Entra Connect Sync" } },
        { "id": "B", "text": { "en": "Conditional Access grant controls", "de": "Zugriffssteuerungen im bedingten Zugriff" } },
        { "id": "C", "text": { "en": "An access review schedule", "de": "Einen Zeitplan für Zugriffsüberprüfungen" } },
        { "id": "D", "text": { "en": "An authentication strength", "de": "Eine Authentifizierungsstärke" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "If the user object is in an excluded organizational unit, the synchronization scope must be updated by changing OU filtering.",
        "de": "Wenn sich das Benutzerobjekt in einer ausgeschlossenen Organisationseinheit befindet, muss der Synchronisierungsumfang durch Anpassen der OU-Filterung aktualisiert werden."
      },
      "hint": {
        "en": "The issue is sync scope, not sign-in policy.",
        "de": "Das Problem betrifft den Synchronisierungsumfang, nicht die Anmelderichtlinie."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sync-configure-filtering"
    },
    {
      "id": "sc300-224",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "Your procurement team needs to invite 500 supplier users from a CSV file as guest accounts.",
        "de": "Ihr Beschaffungsteam muss 500 Lieferantenbenutzer aus einer CSV-Datei als Gastkonten einladen."
      },
      "question": {
        "en": "Which approach should you use?",
        "de": "Welchen Ansatz sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Bulk invite in Microsoft Entra B2B", "de": "Masseneinladung in Microsoft Entra B2B" } },
        { "id": "B", "text": { "en": "Password hash synchronization", "de": "Kennworthashsynchronisierung" } },
        { "id": "C", "text": { "en": "PIM eligible assignments", "de": "PIM-berechtigte Zuweisungen" } },
        { "id": "D", "text": { "en": "Named locations", "de": "Benannte Standorte" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Bulk invite supports adding many guest users at once for B2B collaboration. The other features do not create guest accounts from a CSV list.",
        "de": "Die Masseneinladung unterstützt das gleichzeitige Hinzufügen vieler Gastbenutzer für die B2B-Zusammenarbeit. Die anderen Funktionen erstellen keine Gastkonten aus einer CSV-Liste."
      },
      "hint": {
        "en": "This is a guest user invitation scenario at scale.",
        "de": "Dies ist ein Szenario für die Einladung von Gastbenutzern in großem Umfang."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/external-id/tutorial-bulk-invite"
    },
    {
      "id": "sc300-225",
      "type": "multiple",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which membership types are supported for Microsoft Entra groups? (Choose all that apply.)",
        "de": "Welche Mitgliedschaftstypen werden für Microsoft Entra-Gruppen unterstützt? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Assigned", "de": "Zugewiesen" } },
        { "id": "B", "text": { "en": "Dynamic user", "de": "Dynamischer Benutzer" } },
        { "id": "C", "text": { "en": "Dynamic device", "de": "Dynamisches Gerät" } },
        { "id": "D", "text": { "en": "Inherited OU membership", "de": "Geerbte OU-Mitgliedschaft" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Microsoft Entra groups support assigned membership, dynamic user membership, and dynamic device membership. OU inheritance is not a Microsoft Entra group membership type.",
        "de": "Microsoft Entra-Gruppen unterstützen zugewiesene Mitgliedschaft, dynamische Benutzermitgliedschaft und dynamische Gerätemitgliedschaft. OU-Vererbung ist kein Mitgliedschaftstyp für Microsoft Entra-Gruppen."
      },
      "hint": {
        "en": "Pick the actual Entra membership models.",
        "de": "Wählen Sie die tatsächlichen Entra-Mitgliedschaftsmodelle aus."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-create-rule"
    },
    {
      "id": "sc300-226",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "Regional IT managers must reset passwords only for Germany users and manage only Germany groups.",
        "de": "Regionale IT-Manager sollen Kennwörter nur für Benutzer in Deutschland zurücksetzen und nur Gruppen in Deutschland verwalten."
      },
      "question": {
        "en": "Which design meets the requirement with least privilege?",
        "de": "Welches Design erfüllt die Anforderung mit den geringsten Rechten?"
      },
      "options": [
        { "id": "A", "text": { "en": "Use an administrative unit and assign scoped roles", "de": "Verwenden Sie eine administrative Einheit und weisen Sie bereichsbezogene Rollen zu" } },
        { "id": "B", "text": { "en": "Assign Global Administrator permanently", "de": "Weisen Sie dauerhaft den Globalen Administrator zu" } },
        { "id": "C", "text": { "en": "Exclude them from Conditional Access", "de": "Schließen Sie sie vom bedingten Zugriff aus" } },
        { "id": "D", "text": { "en": "Create a named location for Germany", "de": "Erstellen Sie einen benannten Standort für Deutschland" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Administrative units with scoped role assignments limit delegated administration to the required subset of users and groups.",
        "de": "Administrative Einheiten mit bereichsbezogenen Rollenzuweisungen begrenzen die delegierte Verwaltung auf die erforderliche Teilmenge von Benutzern und Gruppen."
      },
      "hint": {
        "en": "The answer must reduce scope, not widen it.",
        "de": "Die Antwort muss den Bereich einschränken, nicht erweitern."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units"
    },
    {
      "id": "sc300-227",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "What is the primary purpose of Microsoft Entra registered devices?",
        "de": "Was ist der Hauptzweck von Microsoft Entra registrierten Geräten?"
      },
      "options": [
        { "id": "A", "text": { "en": "Support BYOD access to work resources", "de": "BYOD-Zugriff auf Arbeitsressourcen unterstützen" } },
        { "id": "B", "text": { "en": "Replace application permissions", "de": "Anwendungsberechtigungen ersetzen" } },
        { "id": "C", "text": { "en": "Synchronize on-premises forests", "de": "Lokale Gesamtstrukturen synchronisieren" } },
        { "id": "D", "text": { "en": "Manage privileged role activation", "de": "Die Aktivierung privilegierter Rollen verwalten" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Microsoft Entra registered devices are typically personal or BYOD devices that gain a device identity for access to work resources.",
        "de": "Microsoft Entra registrierte Geräte sind typischerweise persönliche oder BYOD-Geräte, die eine Geräteidentität für den Zugriff auf Arbeitsressourcen erhalten."
      },
      "hint": {
        "en": "This state is most associated with personal devices.",
        "de": "Dieser Zustand wird am häufigsten mit persönlichen Geräten verbunden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/devices/concept-directory-join"
    },
    {
      "id": "sc300-228",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "You are testing a replacement Microsoft Entra Connect server and want it to stay synchronized so it can take over quickly if the primary server fails.",
        "de": "Sie testen einen Ersatzserver für Microsoft Entra Connect und möchten, dass er synchron bleibt, damit er bei einem Ausfall des Primärservers schnell übernehmen kann."
      },
      "question": {
        "en": "Which configuration should you use?",
        "de": "Welche Konfiguration sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Staging mode", "de": "Stagingmodus" } },
        { "id": "B", "text": { "en": "Report-only mode", "de": "Nur-Berichtsmodus" } },
        { "id": "C", "text": { "en": "Continuous Access Evaluation", "de": "Continuous Access Evaluation" } },
        { "id": "D", "text": { "en": "Passwordless sign-in", "de": "Kennwortlose Anmeldung" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Staging mode is specifically intended for secondary Microsoft Entra Connect servers that must stay ready without exporting changes.",
        "de": "Der Stagingmodus ist speziell für sekundäre Microsoft Entra Connect-Server vorgesehen, die betriebsbereit bleiben müssen, ohne Änderungen zu exportieren."
      },
      "hint": {
        "en": "Do not confuse sync server standby with Conditional Access report-only mode.",
        "de": "Verwechseln Sie den Standby eines Synchronisierungsservers nicht mit dem Nur-Berichtsmodus des bedingten Zugriffs."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sync-staging-server"
    },
    {
      "id": "sc300-229",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "hard",
      "scenario": null,
      "question": {
        "en": "For new Microsoft Entra Connect deployments, which attribute is commonly recommended as the source anchor?",
        "de": "Welches Attribut wird für neue Microsoft Entra Connect-Bereitstellungen üblicherweise als Source Anchor empfohlen?"
      },
      "options": [
        { "id": "A", "text": { "en": "ms-DS-ConsistencyGuid", "de": "ms-DS-ConsistencyGuid" } },
        { "id": "B", "text": { "en": "displayName", "de": "displayName" } },
        { "id": "C", "text": { "en": "department", "de": "department" } },
        { "id": "D", "text": { "en": "mailNickname", "de": "mailNickname" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "ms-DS-ConsistencyGuid is the commonly recommended source anchor for new deployments because it provides a stable immutable identifier for matching identities.",
        "de": "ms-DS-ConsistencyGuid ist der üblicherweise empfohlene Source Anchor für neue Bereitstellungen, da er einen stabilen unveränderlichen Bezeichner für die Zuordnung von Identitäten bereitstellt."
      },
      "hint": {
        "en": "The source anchor should be stable and immutable.",
        "de": "Der Source Anchor sollte stabil und unveränderlich sein."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/plan-connect-design-concepts"
    },
    {
      "id": "sc300-230",
      "type": "multiple",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which statements about Microsoft Entra Cloud Sync are true? (Choose all that apply.)",
        "de": "Welche Aussagen über Microsoft Entra Cloud Sync sind richtig? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "It uses lightweight provisioning agents", "de": "Es verwendet leichtgewichtige Bereitstellungsagenten" } },
        { "id": "B", "text": { "en": "It relies on outbound connectivity from the agent", "de": "Es basiert auf ausgehender Konnektivität vom Agenten" } },
        { "id": "C", "text": { "en": "It can support multiple disconnected forests", "de": "Es kann mehrere nicht verbundene Gesamtstrukturen unterstützen" } },
        { "id": "D", "text": { "en": "It publishes on-premises web apps externally", "de": "Es veröffentlicht lokale Web-Apps extern" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Cloud Sync uses lightweight agents with outbound connectivity and can support multiple disconnected forests. Publishing on-premises web applications is the role of Application Proxy.",
        "de": "Cloud Sync verwendet leichtgewichtige Agenten mit ausgehender Konnektivität und kann mehrere nicht verbundene Gesamtstrukturen unterstützen. Die Veröffentlichung lokaler Webanwendungen ist Aufgabe des Application Proxy."
      },
      "hint": {
        "en": "Do not confuse sync with application publishing.",
        "de": "Verwechseln Sie Synchronisierung nicht mit der Veröffentlichung von Anwendungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync"
    },
    {
      "id": "sc300-231",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": {
        "en": "New Windows devices should automatically land in a security group so you can target device-based Conditional Access controls.",
        "de": "Neue Windows-Geräte sollen automatisch in einer Sicherheitsgruppe landen, damit Sie gerätebasierte bedingte Zugriffsrichtlinien anwenden können."
      },
      "question": {
        "en": "Which group design should you choose?",
        "de": "Welches Gruppendesign sollten Sie wählen?"
      },
      "options": [
        { "id": "A", "text": { "en": "A dynamic device group", "de": "Eine dynamische Gerätegruppe" } },
        { "id": "B", "text": { "en": "A Microsoft 365 group with manual membership", "de": "Eine Microsoft 365-Gruppe mit manueller Mitgliedschaft" } },
        { "id": "C", "text": { "en": "An administrative unit", "de": "Eine administrative Einheit" } },
        { "id": "D", "text": { "en": "An access package", "de": "Ein Zugriffspaket" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Dynamic device groups automatically evaluate device attributes and keep membership current, which is ideal for device-targeted access decisions.",
        "de": "Dynamische Gerätegruppen werten Geräteattribute automatisch aus und halten die Mitgliedschaft aktuell, was ideal für gerätebezogene Zugriffsentscheidungen ist."
      },
      "hint": {
        "en": "You need automation based on device properties.",
        "de": "Sie benötigen eine Automatisierung auf Basis von Geräteeigenschaften."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership"
    },
    {
      "id": "sc300-232",
      "type": "single",
      "domain": { "en": "Implement and Manage Identities", "de": "Identitäten implementieren und verwalten" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which service should you review to monitor synchronization errors and health for Microsoft Entra Connect?",
        "de": "Welchen Dienst sollten Sie prüfen, um Synchronisierungsfehler und den Zustand von Microsoft Entra Connect zu überwachen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Entra Connect Health", "de": "Microsoft Entra Connect Health" } },
        { "id": "B", "text": { "en": "My Apps", "de": "My Apps" } },
        { "id": "C", "text": { "en": "Lifecycle workflows", "de": "Lifecycle-Workflows" } },
        { "id": "D", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Microsoft Entra Connect Health is used to monitor hybrid identity synchronization and related health alerts.",
        "de": "Microsoft Entra Connect Health wird zur Überwachung der Hybrididentitätssynchronisierung und zugehöriger Zustandswarnungen verwendet."
      },
      "hint": {
        "en": "This is a hybrid sync monitoring question.",
        "de": "Dies ist eine Frage zur Überwachung der Hybridsynchronisierung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-azure-ad-connect"
    },
    {
      "id": "sc300-233",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which feature lets you require specific combinations of authentication methods such as phishing-resistant MFA?",
        "de": "Welche Funktion ermöglicht es Ihnen, bestimmte Kombinationen von Authentifizierungsmethoden wie phishing-resistente MFA zu verlangen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Authentication strengths", "de": "Authentifizierungsstärken" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } },
        { "id": "D", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Authentication strengths define which authentication methods satisfy a Conditional Access requirement, including built-in strengths such as phishing-resistant MFA.",
        "de": "Authentifizierungsstärken definieren, welche Authentifizierungsmethoden eine Anforderung im bedingten Zugriff erfüllen, einschließlich integrierter Stärken wie phishing-resistenter MFA."
      },
      "hint": {
        "en": "The feature is directly tied to allowed authentication method combinations.",
        "de": "Diese Funktion ist direkt mit zulässigen Kombinationen von Authentifizierungsmethoden verknüpft."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths"
    },
    {
      "id": "sc300-234",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Privileged administrators must use only FIDO2 security keys, Windows Hello for Business, or certificate-based authentication.",
        "de": "Privilegierte Administratoren dürfen nur FIDO2-Sicherheitsschlüssel, Windows Hello for Business oder zertifikatbasierte Authentifizierung verwenden."
      },
      "question": {
        "en": "What should you configure?",
        "de": "Was sollten Sie konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "A Conditional Access policy with an authentication strength", "de": "Eine Richtlinie für bedingten Zugriff mit einer Authentifizierungsstärke" } },
        { "id": "B", "text": { "en": "An administrative unit", "de": "Eine administrative Einheit" } },
        { "id": "C", "text": { "en": "A dynamic group", "de": "Eine dynamische Gruppe" } },
        { "id": "D", "text": { "en": "A lifecycle workflow", "de": "Ein Lifecycle-Workflow" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Conditional Access can enforce an authentication strength so that only approved strong methods such as FIDO2, WHfB, or CBA satisfy the policy.",
        "de": "Der bedingte Zugriff kann eine Authentifizierungsstärke erzwingen, sodass nur zugelassene starke Methoden wie FIDO2, WHfB oder CBA die Richtlinie erfüllen."
      },
      "hint": {
        "en": "You need both a policy target and a method requirement.",
        "de": "Sie benötigen sowohl ein Richtlinienziel als auch eine Methodenanforderung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths"
    },
    {
      "id": "sc300-235",
      "type": "multiple",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which are passwordless authentication methods in Microsoft Entra ID? (Choose all that apply.)",
        "de": "Welche kennwortlosen Authentifizierungsmethoden gibt es in Microsoft Entra ID? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "FIDO2 security keys", "de": "FIDO2-Sicherheitsschlüssel" } },
        { "id": "B", "text": { "en": "Windows Hello for Business", "de": "Windows Hello for Business" } },
        { "id": "C", "text": { "en": "Microsoft Authenticator phone sign-in", "de": "Telefonanmeldung mit Microsoft Authenticator" } },
        { "id": "D", "text": { "en": "SMS", "de": "SMS" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "FIDO2 security keys, Windows Hello for Business, and Microsoft Authenticator phone sign-in are passwordless methods. SMS is an MFA method, not a passwordless sign-in method.",
        "de": "FIDO2-Sicherheitsschlüssel, Windows Hello for Business und die Telefonanmeldung mit Microsoft Authenticator sind kennwortlose Methoden. SMS ist eine MFA-Methode, aber keine kennwortlose Anmeldemethode."
      },
      "hint": {
        "en": "Pick the methods that replace the password entirely.",
        "de": "Wählen Sie die Methoden aus, die das Kennwort vollständig ersetzen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passwordless"
    },
    {
      "id": "sc300-236",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which Identity Protection policy can require users to change their password when their user risk is high?",
        "de": "Welche Identity Protection-Richtlinie kann Benutzer dazu zwingen, ihr Kennwort zu ändern, wenn ihr Benutzerrisiko hoch ist?"
      },
      "options": [
        { "id": "A", "text": { "en": "User risk policy", "de": "Benutzerrisikorichtlinie" } },
        { "id": "B", "text": { "en": "Named location policy", "de": "Richtlinie für benannte Standorte" } },
        { "id": "C", "text": { "en": "Administrative unit policy", "de": "Richtlinie für administrative Einheiten" } },
        { "id": "D", "text": { "en": "Access review policy", "de": "Richtlinie für Zugriffsüberprüfungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "A user risk policy evaluates the risk associated with the user account and can require secure password change as remediation.",
        "de": "Eine Benutzerrisikorichtlinie bewertet das Risiko, das mit dem Benutzerkonto verbunden ist, und kann als Behebungsmaßnahme eine sichere Kennwortänderung verlangen."
      },
      "hint": {
        "en": "This is about account compromise risk over time, not a single sign-in event.",
        "de": "Es geht um das Risiko einer Kontokompromittierung über einen Zeitraum hinweg, nicht um ein einzelnes Anmeldeereignis."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-configure-risk-policies"
    },
    {
      "id": "sc300-237",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which Identity Protection signal reflects the likelihood that a specific authentication request is not authorized by the identity owner?",
        "de": "Welches Identity Protection-Signal beschreibt die Wahrscheinlichkeit, dass eine bestimmte Authentifizierungsanforderung nicht vom Inhaber der Identität autorisiert wurde?"
      },
      "options": [
        { "id": "A", "text": { "en": "Sign-in risk", "de": "Anmelderisiko" } },
        { "id": "B", "text": { "en": "User risk", "de": "Benutzerrisiko" } },
        { "id": "C", "text": { "en": "License risk", "de": "Lizenzrisiko" } },
        { "id": "D", "text": { "en": "Tenant risk", "de": "Mandantenrisiko" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Sign-in risk is calculated for a particular authentication event. User risk represents the overall probability that an identity is compromised.",
        "de": "Das Anmelderisiko wird für ein bestimmtes Authentifizierungsereignis berechnet. Das Benutzerrisiko steht für die allgemeine Wahrscheinlichkeit, dass eine Identität kompromittiert ist."
      },
      "hint": {
        "en": "Focus on the phrase specific authentication request.",
        "de": "Achten Sie auf die Formulierung bestimmte Authentifizierungsanforderung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection"
    },
    {
      "id": "sc300-238",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "A user account is disabled after suspected compromise, and you want access to Exchange Online and SharePoint Online to be revoked as quickly as possible.",
        "de": "Ein Benutzerkonto wird nach einem vermuteten Sicherheitsvorfall deaktiviert, und Sie möchten den Zugriff auf Exchange Online und SharePoint Online so schnell wie möglich widerrufen."
      },
      "question": {
        "en": "Which capability helps achieve this?",
        "de": "Welche Funktion hilft dabei?"
      },
      "options": [
        { "id": "A", "text": { "en": "Continuous Access Evaluation", "de": "Continuous Access Evaluation" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Access packages", "de": "Zugriffspakete" } },
        { "id": "D", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Continuous Access Evaluation allows supported services to react to critical events such as user disablement or password change without waiting for normal token expiration.",
        "de": "Continuous Access Evaluation ermöglicht es unterstützten Diensten, auf kritische Ereignisse wie die Deaktivierung eines Benutzers oder eine Kennwortänderung zu reagieren, ohne auf den normalen Tokenablauf zu warten."
      },
      "hint": {
        "en": "This is about near-real-time token invalidation for supported apps.",
        "de": "Hier geht es um die nahezu sofortige Ungültigmachung von Tokens für unterstützte Apps."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation"
    },
    {
      "id": "sc300-239",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": {
        "en": "A new Conditional Access policy will affect executives, and the security team wants to observe impact before turning it on.",
        "de": "Eine neue Richtlinie für bedingten Zugriff betrifft Führungskräfte, und das Sicherheitsteam möchte die Auswirkungen beobachten, bevor sie aktiviert wird."
      },
      "question": {
        "en": "Which mode should you use?",
        "de": "Welchen Modus sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Report-only mode", "de": "Nur-Berichtsmodus" } },
        { "id": "B", "text": { "en": "Staging mode", "de": "Stagingmodus" } },
        { "id": "C", "text": { "en": "Audit logs mode", "de": "Überwachungsprotokollmodus" } },
        { "id": "D", "text": { "en": "Access review mode", "de": "Zugriffsüberprüfungsmodus" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Report-only mode evaluates Conditional Access policy outcomes without enforcing them, making it ideal for validation before go-live.",
        "de": "Der Nur-Berichtsmodus bewertet die Ergebnisse von Richtlinien für bedingten Zugriff, ohne sie durchzusetzen, und eignet sich daher ideal für die Validierung vor dem Produktivbetrieb."
      },
      "hint": {
        "en": "You want to simulate policy effect safely.",
        "de": "Sie möchten die Richtlinienwirkung sicher simulieren."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview"
    },
    {
      "id": "sc300-240",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which Conditional Access component stores trusted IP ranges and countries or regions?",
        "de": "Welche Komponente des bedingten Zugriffs speichert vertrauenswürdige IP-Bereiche sowie Länder oder Regionen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Connected organizations", "de": "Verbundene Organisationen" } },
        { "id": "D", "text": { "en": "Catalogs", "de": "Kataloge" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Named locations are used in Conditional Access to represent IP ranges or countries and regions for policy decisions.",
        "de": "Benannte Standorte werden im bedingten Zugriff verwendet, um IP-Bereiche oder Länder und Regionen für Richtlinienentscheidungen darzustellen."
      },
      "hint": {
        "en": "This is the location abstraction used by CA policies.",
        "de": "Dies ist die Standortabstraktion, die von CA-Richtlinien verwendet wird."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-network"
    },
    {
      "id": "sc300-241",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Your organization wants to block legacy POP and IMAP sign-ins that bypass modern MFA controls.",
        "de": "Ihre Organisation möchte veraltete POP- und IMAP-Anmeldungen blockieren, die moderne MFA-Steuerungen umgehen."
      },
      "question": {
        "en": "What should you configure?",
        "de": "Was sollten Sie konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "A Conditional Access policy targeting legacy authentication client apps and blocking access", "de": "Eine Richtlinie für bedingten Zugriff, die veraltete Authentifizierungsclients adressiert und den Zugriff blockiert" } },
        { "id": "B", "text": { "en": "An administrative unit for POP users", "de": "Eine administrative Einheit für POP-Benutzer" } },
        { "id": "C", "text": { "en": "An access package for mail users", "de": "Ein Zugriffspaket für Mailbenutzer" } },
        { "id": "D", "text": { "en": "A lifecycle workflow", "de": "Einen Lifecycle-Workflow" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Conditional Access can target legacy authentication client apps and block them, which is the recommended way to stop basic-auth protocols such as POP and IMAP.",
        "de": "Der bedingte Zugriff kann veraltete Authentifizierungsclients adressieren und blockieren. Dies ist die empfohlene Methode, um Basic-Auth-Protokolle wie POP und IMAP zu stoppen."
      },
      "hint": {
        "en": "The issue is legacy client protocol access.",
        "de": "Das Problem betrifft den Zugriff über veraltete Clientprotokolle."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions"
    },
    {
      "id": "sc300-242",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "A Conditional Access policy must require both multifactor authentication and a compliant device. Which setting should you configure in the grant controls?",
        "de": "Eine Richtlinie für bedingten Zugriff muss sowohl Multifaktor-Authentifizierung als auch ein konformes Gerät verlangen. Welche Einstellung sollten Sie in den Zugriffssteuerungen konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Require one of the selected controls", "de": "Eine der ausgewählten Steuerungen verlangen" } },
        { "id": "B", "text": { "en": "Require all the selected controls", "de": "Alle ausgewählten Steuerungen verlangen" } },
        { "id": "C", "text": { "en": "Enable report-only mode", "de": "Nur-Berichtsmodus aktivieren" } },
        { "id": "D", "text": { "en": "Use session controls only", "de": "Nur Sitzungssteuerungen verwenden" } }
      ],
      "correct": ["B"],
      "explanation": {
        "en": "If both controls must be satisfied, the policy must be configured to require all selected grant controls.",
        "de": "Wenn beide Steuerungen erfüllt sein müssen, muss die Richtlinie so konfiguriert werden, dass alle ausgewählten Zugriffssteuerungen erforderlich sind."
      },
      "hint": {
        "en": "The word both is the key.",
        "de": "Das Wort sowohl ist der Schlüssel."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-grant"
    },
    {
      "id": "sc300-243",
      "type": "multiple",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which authentication methods satisfy the built-in phishing-resistant MFA strength? (Choose all that apply.)",
        "de": "Welche Authentifizierungsmethoden erfüllen die integrierte Authentifizierungsstärke Phishing-resistente MFA? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "FIDO2 security keys", "de": "FIDO2-Sicherheitsschlüssel" } },
        { "id": "B", "text": { "en": "Windows Hello for Business", "de": "Windows Hello for Business" } },
        { "id": "C", "text": { "en": "Certificate-based authentication", "de": "Zertifikatbasierte Authentifizierung" } },
        { "id": "D", "text": { "en": "SMS", "de": "SMS" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "The built-in phishing-resistant MFA strength includes FIDO2, Windows Hello for Business, and certificate-based authentication. SMS is not phishing resistant.",
        "de": "Die integrierte Stärke Phishing-resistente MFA umfasst FIDO2, Windows Hello for Business und zertifikatbasierte Authentifizierung. SMS ist nicht phishing-resistent."
      },
      "hint": {
        "en": "Choose the strongest methods designed to resist credential phishing.",
        "de": "Wählen Sie die stärksten Methoden aus, die zum Schutz vor Credential-Phishing entwickelt wurden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths"
    },
    {
      "id": "sc300-244",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "The security team maintains two emergency access accounts for tenant recovery during MFA or Conditional Access failures.",
        "de": "Das Sicherheitsteam verwaltet zwei Notfallzugangskonten zur Wiederherstellung des Mandanten bei MFA- oder Conditional-Access-Ausfällen."
      },
      "question": {
        "en": "How should these accounts be handled in Conditional Access?",
        "de": "Wie sollten diese Konten im bedingten Zugriff behandelt werden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Exclude them from Conditional Access policies", "de": "Schließen Sie sie von Richtlinien für bedingten Zugriff aus" } },
        { "id": "B", "text": { "en": "Require phishing-resistant MFA for them in every case", "de": "Fordern Sie in jedem Fall phishing-resistente MFA für sie an" } },
        { "id": "C", "text": { "en": "Delete them after setup", "de": "Löschen Sie sie nach der Einrichtung" } },
        { "id": "D", "text": { "en": "Convert them to guest accounts", "de": "Wandeln Sie sie in Gastkonten um" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Emergency access accounts should be excluded from Conditional Access to avoid tenant lockout during outages or policy misconfiguration, while being tightly monitored and protected.",
        "de": "Notfallzugangskonten sollten vom bedingten Zugriff ausgeschlossen werden, um eine Mandantensperre bei Ausfällen oder Fehlkonfigurationen zu vermeiden. Gleichzeitig müssen sie streng überwacht und geschützt werden."
      },
      "hint": {
        "en": "Break-glass accounts exist to preserve access during failures.",
        "de": "Break-Glass-Konten existieren, um den Zugriff bei Ausfällen sicherzustellen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access"
    },
    {
      "id": "sc300-245",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which policy controls which authentication methods users are allowed to register and use?",
        "de": "Welche Richtlinie steuert, welche Authentifizierungsmethoden Benutzer registrieren und verwenden dürfen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Authentication methods policy", "de": "Richtlinie für Authentifizierungsmethoden" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Terms of Use", "de": "Nutzungsbedingungen" } },
        { "id": "D", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "The authentication methods policy enables or disables methods such as FIDO2, Temporary Access Pass, SMS, and Microsoft Authenticator for users or groups.",
        "de": "Die Richtlinie für Authentifizierungsmethoden aktiviert oder deaktiviert Methoden wie FIDO2, Temporary Access Pass, SMS und Microsoft Authenticator für Benutzer oder Gruppen."
      },
      "hint": {
        "en": "This feature manages the available methods themselves.",
        "de": "Diese Funktion verwaltet die verfügbaren Methoden selbst."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage"
    },
    {
      "id": "sc300-246",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "New hires must register passwordless methods on day one before they know a permanent password.",
        "de": "Neue Mitarbeiter müssen am ersten Tag kennwortlose Methoden registrieren, bevor sie ein dauerhaftes Kennwort kennen."
      },
      "question": {
        "en": "Which authentication method is designed for this onboarding scenario?",
        "de": "Welche Authentifizierungsmethode ist für dieses Onboarding-Szenario vorgesehen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Temporary Access Pass", "de": "Temporary Access Pass" } },
        { "id": "B", "text": { "en": "Password hash synchronization", "de": "Kennworthashsynchronisierung" } },
        { "id": "C", "text": { "en": "Named location", "de": "Benannter Standort" } },
        { "id": "D", "text": { "en": "Administrative unit", "de": "Administrative Einheit" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Temporary Access Pass provides a time-limited passcode that helps users sign in and bootstrap passwordless authentication methods.",
        "de": "Temporary Access Pass stellt einen zeitlich begrenzten Passcode bereit, mit dem Benutzer sich anmelden und kennwortlose Authentifizierungsmethoden einrichten können."
      },
      "hint": {
        "en": "You need a short-lived method meant to bootstrap stronger methods.",
        "de": "Sie benötigen eine kurzlebige Methode, die zur Einführung stärkerer Methoden gedacht ist."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-temporary-access-pass"
    },
    {
      "id": "sc300-247",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "What is the benefit of combined security information registration?",
        "de": "Was ist der Vorteil der kombinierten Registrierung von Sicherheitsinformationen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Users register MFA and SSPR information in one experience", "de": "Benutzer registrieren MFA- und SSPR-Informationen in einer einzigen Oberfläche" } },
        { "id": "B", "text": { "en": "It replaces Conditional Access", "de": "Sie ersetzt den bedingten Zugriff" } },
        { "id": "C", "text": { "en": "It publishes on-premises apps", "de": "Sie veröffentlicht lokale Apps" } },
        { "id": "D", "text": { "en": "It grants admin consent", "de": "Sie erteilt Administratorzustimmung" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Combined registration streamlines the user experience by letting users register security information once for both MFA and self-service password reset.",
        "de": "Die kombinierte Registrierung vereinfacht die Benutzererfahrung, indem Benutzer Sicherheitsinformationen einmalig sowohl für MFA als auch für Self-Service Password Reset registrieren."
      },
      "hint": {
        "en": "Think of a unified registration journey.",
        "de": "Denken Sie an einen einheitlichen Registrierungsprozess."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-registration-mfa-sspr-combined"
    },
    {
      "id": "sc300-248",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "The organization wants to require MFA only when Identity Protection detects medium or high sign-in risk.",
        "de": "Die Organisation möchte MFA nur verlangen, wenn Identity Protection ein mittleres oder hohes Anmelderisiko erkennt."
      },
      "question": {
        "en": "What should you configure?",
        "de": "Was sollten Sie konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "A Conditional Access policy with sign-in risk as a condition", "de": "Eine Richtlinie für bedingten Zugriff mit Anmelderisiko als Bedingung" } },
        { "id": "B", "text": { "en": "An administrative unit for risky users", "de": "Eine administrative Einheit für riskante Benutzer" } },
        { "id": "C", "text": { "en": "An access package approval policy", "de": "Eine Genehmigungsrichtlinie für Zugriffspakete" } },
        { "id": "D", "text": { "en": "Application Proxy preauthentication", "de": "Application Proxy-Vorauthentifizierung" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Conditional Access can use sign-in risk as a condition and require MFA only when the risk threshold is met.",
        "de": "Der bedingte Zugriff kann das Anmelderisiko als Bedingung verwenden und MFA nur verlangen, wenn der definierte Risikowert erreicht wird."
      },
      "hint": {
        "en": "The trigger is sign-in risk, not a user attribute.",
        "de": "Der Auslöser ist das Anmelderisiko, nicht ein Benutzerattribut."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-configure-risk-policies"
    },
    {
      "id": "sc300-249",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "hard",
      "scenario": {
        "en": "A business app should require stronger authentication only when users access a particularly sensitive action inside the app.",
        "de": "Eine Geschäftsanwendung soll nur dann eine stärkere Authentifizierung verlangen, wenn Benutzer eine besonders sensible Aktion innerhalb der App ausführen."
      },
      "question": {
        "en": "Which feature should the app and security team use together?",
        "de": "Welche Funktion sollten das App-Team und das Sicherheitsteam gemeinsam verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Authentication context with Conditional Access", "de": "Authentifizierungskontext mit bedingtem Zugriff" } },
        { "id": "B", "text": { "en": "Administrative units with scoped roles", "de": "Administrative Einheiten mit bereichsbezogenen Rollen" } },
        { "id": "C", "text": { "en": "Password hash synchronization", "de": "Kennworthashsynchronisierung" } },
        { "id": "D", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Authentication context lets an application trigger Conditional Access requirements for specific sensitive actions instead of for every app session.",
        "de": "Der Authentifizierungskontext ermöglicht es einer Anwendung, Anforderungen des bedingten Zugriffs für bestimmte sensible Aktionen auszulösen, statt für jede App-Sitzung."
      },
      "hint": {
        "en": "This is step-up authentication inside an application.",
        "de": "Dies ist eine Step-up-Authentifizierung innerhalb einer Anwendung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-cloud-apps"
    },
    {
      "id": "sc300-250",
      "type": "multiple",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which identities can be directly targeted in Conditional Access assignments? (Choose all that apply.)",
        "de": "Welche Identitäten können in Zuweisungen des bedingten Zugriffs direkt adressiert werden? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Users and groups", "de": "Benutzer und Gruppen" } },
        { "id": "B", "text": { "en": "Directory roles", "de": "Verzeichnisrollen" } },
        { "id": "C", "text": { "en": "Guest or external users", "de": "Gast- oder externe Benutzer" } },
        { "id": "D", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Conditional Access can target users and groups, directory roles, and guest or external users. Administrative units scope administration, not CA assignment targeting.",
        "de": "Der bedingte Zugriff kann Benutzer und Gruppen, Verzeichnisrollen sowie Gast- oder externe Benutzer adressieren. Administrative Einheiten dienen der Bereichsverwaltung, nicht der Zielauswahl im bedingten Zugriff."
      },
      "hint": {
        "en": "Pick the identity assignment options exposed by CA policies.",
        "de": "Wählen Sie die Identitätszuweisungsoptionen aus, die CA-Richtlinien bereitstellen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-users-groups"
    },
    {
      "id": "sc300-251",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Users accessing a browser-based app must reauthenticate at least every eight hours.",
        "de": "Benutzer, die auf eine browserbasierte App zugreifen, müssen sich mindestens alle acht Stunden erneut authentifizieren."
      },
      "question": {
        "en": "Which Conditional Access control should you configure?",
        "de": "Welche Steuerung des bedingten Zugriffs sollten Sie konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Sign-in frequency", "de": "Anmeldehäufigkeit" } },
        { "id": "B", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "C", "text": { "en": "User risk", "de": "Benutzerrisiko" } },
        { "id": "D", "text": { "en": "Terms of Use", "de": "Nutzungsbedingungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Sign-in frequency is a Conditional Access session control used to define how often users must reauthenticate.",
        "de": "Die Anmeldehäufigkeit ist eine Sitzungssteuerung des bedingten Zugriffs, mit der festgelegt wird, wie oft Benutzer sich erneut authentifizieren müssen."
      },
      "hint": {
        "en": "The requirement is about periodic reauthentication.",
        "de": "Die Anforderung betrifft eine regelmäßige erneute Authentifizierung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-session-lifetime"
    },
    {
      "id": "sc300-252",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "What are emergency access accounts primarily used for?",
        "de": "Wofür werden Notfallzugangskonten hauptsächlich verwendet?"
      },
      "options": [
        { "id": "A", "text": { "en": "Preserving administrative access during outages or lockout events", "de": "Administrative Zugriffe bei Ausfällen oder Sperrereignissen sicherstellen" } },
        { "id": "B", "text": { "en": "Publishing on-premises applications", "de": "Lokale Anwendungen veröffentlichen" } },
        { "id": "C", "text": { "en": "Assigning licenses automatically", "de": "Lizenzen automatisch zuweisen" } },
        { "id": "D", "text": { "en": "Running access reviews", "de": "Zugriffsüberprüfungen durchführen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Emergency access accounts are maintained so administrators can regain tenant access during outages, MFA failures, or misconfigured policies.",
        "de": "Notfallzugangskonten werden vorgehalten, damit Administratoren bei Ausfällen, MFA-Fehlern oder fehlkonfigurierten Richtlinien wieder Zugriff auf den Mandanten erhalten können."
      },
      "hint": {
        "en": "These are break-glass accounts.",
        "de": "Dies sind Break-Glass-Konten."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access"
    },
    {
      "id": "sc300-253",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which feature helps block weak and commonly used passwords in both cloud and hybrid environments?",
        "de": "Welche Funktion hilft dabei, schwache und häufig verwendete Kennwörter sowohl in Cloud- als auch Hybridumgebungen zu blockieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Entra Password Protection", "de": "Microsoft Entra Password Protection" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Access packages", "de": "Zugriffspakete" } },
        { "id": "D", "text": { "en": "Application Proxy", "de": "Application Proxy" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Microsoft Entra Password Protection helps block bad passwords and custom banned passwords, including support for hybrid deployments.",
        "de": "Microsoft Entra Password Protection hilft dabei, schlechte Kennwörter und benutzerdefinierte verbotene Kennwörter zu blockieren, einschließlich Unterstützung für Hybridbereitstellungen."
      },
      "hint": {
        "en": "This is the password hygiene control, not an access control policy.",
        "de": "Dies ist die Kennworthygienefunktion, keine Zugriffssteuerungsrichtlinie."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-password-ban-bad-on-premises"
    },
    {
      "id": "sc300-254",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "The security team wants users to sign in with the cloud identity service, but passwords must still be validated directly against on-premises Active Directory.",
        "de": "Das Sicherheitsteam möchte, dass sich Benutzer über den Cloud-Identitätsdienst anmelden, aber Kennwörter müssen weiterhin direkt gegen das lokale Active Directory überprüft werden."
      },
      "question": {
        "en": "Which sign-in method should you choose?",
        "de": "Welche Anmeldemethode sollten Sie wählen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Pass-through authentication", "de": "Pass-Through-Authentifizierung" } },
        { "id": "B", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Entitlement management", "de": "Entitlement Management" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Pass-through authentication validates passwords directly against on-premises Active Directory while preserving cloud-based sign-in in Microsoft Entra ID.",
        "de": "Die Pass-Through-Authentifizierung überprüft Kennwörter direkt gegen das lokale Active Directory und ermöglicht gleichzeitig cloudbasierte Anmeldungen in Microsoft Entra ID."
      },
      "hint": {
        "en": "The key phrase is validate directly against on-premises Active Directory.",
        "de": "Der Schlüsselsatz lautet direkt gegen das lokale Active Directory überprüfen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-pta"
    },
    {
      "id": "sc300-255",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which sign-in method provides a cloud authentication backup if on-premises infrastructure becomes unavailable?",
        "de": "Welche Anmeldemethode bietet eine Cloud-Authentifizierung als Backup, wenn die lokale Infrastruktur nicht verfügbar ist?"
      },
      "options": [
        { "id": "A", "text": { "en": "Password hash synchronization", "de": "Kennworthashsynchronisierung" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Terms of Use", "de": "Nutzungsbedingungen" } },
        { "id": "D", "text": { "en": "Application Proxy", "de": "Application Proxy" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "With password hash synchronization, Microsoft Entra ID can authenticate users in the cloud even if on-premises validation infrastructure is unavailable.",
        "de": "Mit der Kennworthashsynchronisierung kann Microsoft Entra ID Benutzer in der Cloud authentifizieren, auch wenn die lokale Validierungsinfrastruktur nicht verfügbar ist."
      },
      "hint": {
        "en": "Choose the method that stores enough password data in the cloud to continue sign-ins.",
        "de": "Wählen Sie die Methode, die genügend Kennwortdaten in der Cloud speichert, um Anmeldungen fortzusetzen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-phs"
    },
    {
      "id": "sc300-256",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "The organization wants smart card-like authentication to Microsoft Entra without using federation services.",
        "de": "Die Organisation möchte eine Smartcard-ähnliche Authentifizierung bei Microsoft Entra ohne den Einsatz von Verbunddiensten."
      },
      "question": {
        "en": "Which method should you use?",
        "de": "Welche Methode sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Certificate-based authentication", "de": "Zertifikatbasierte Authentifizierung" } },
        { "id": "B", "text": { "en": "Email OTP", "de": "Einmalcode per E-Mail" } },
        { "id": "C", "text": { "en": "Security questions", "de": "Sicherheitsfragen" } },
        { "id": "D", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Certificate-based authentication enables X.509 certificate sign-in to Microsoft Entra ID without requiring federation.",
        "de": "Die zertifikatbasierte Authentifizierung ermöglicht die Anmeldung mit X.509-Zertifikaten bei Microsoft Entra ID, ohne dass eine Verbundauthentifizierung erforderlich ist."
      },
      "hint": {
        "en": "Think certificate and smart card equivalence.",
        "de": "Denken Sie an die Entsprechung von Zertifikat und Smartcard."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-certificate-based-authentication"
    },
    {
      "id": "sc300-257",
      "type": "multiple",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which signals are associated with Microsoft Entra ID Protection? (Choose all that apply.)",
        "de": "Welche Signale gehören zu Microsoft Entra ID Protection? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "User risk", "de": "Benutzerrisiko" } },
        { "id": "B", "text": { "en": "Sign-in risk", "de": "Anmelderisiko" } },
        { "id": "C", "text": { "en": "Risk detections", "de": "Risikoerkennungen" } },
        { "id": "D", "text": { "en": "Named location trust score", "de": "Vertrauensbewertung für benannte Standorte" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Identity Protection uses user risk, sign-in risk, and risk detections. Named location trust score is not an Identity Protection signal.",
        "de": "Identity Protection verwendet Benutzerrisiko, Anmelderisiko und Risikoerkennungen. Eine Vertrauensbewertung für benannte Standorte ist kein Signal von Identity Protection."
      },
      "hint": {
        "en": "Focus on Identity Protection terminology.",
        "de": "Konzentrieren Sie sich auf die Terminologie von Identity Protection."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection"
    },
    {
      "id": "sc300-258",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Users keep dismissing registration prompts, and you want them guided to register Microsoft Authenticator after sign-in.",
        "de": "Benutzer ignorieren weiterhin Registrierungsaufforderungen, und Sie möchten sie nach der Anmeldung zur Registrierung von Microsoft Authenticator führen."
      },
      "question": {
        "en": "Which feature should you enable?",
        "de": "Welche Funktion sollten Sie aktivieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Registration campaign in the authentication methods policy", "de": "Registrierungskampagne in der Richtlinie für Authentifizierungsmethoden" } },
        { "id": "B", "text": { "en": "A connected organization", "de": "Eine verbundene Organisation" } },
        { "id": "C", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } },
        { "id": "D", "text": { "en": "Lifecycle workflows", "de": "Lifecycle-Workflows" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "The registration campaign feature can prompt users to set up Microsoft Authenticator during sign-in and helps drive MFA registration adoption.",
        "de": "Die Funktion Registrierungskampagne kann Benutzer während der Anmeldung dazu auffordern, Microsoft Authenticator einzurichten, und fördert so die MFA-Registrierung."
      },
      "hint": {
        "en": "This is a user enrollment nudge for authentication methods.",
        "de": "Dies ist ein Steuerungsmechanismus zur Benutzereinführung von Authentifizierungsmethoden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/how-to-mfa-registration-campaign"
    },
    {
      "id": "sc300-259",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "A user account is suspected to be compromised, and you want to invalidate its existing refresh tokens. Which action should you take?",
        "de": "Es besteht der Verdacht, dass ein Benutzerkonto kompromittiert wurde, und Sie möchten dessen vorhandene Aktualisierungstoken ungültig machen. Welche Aktion sollten Sie ausführen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Revoke user sessions", "de": "Benutzersitzungen widerrufen" } },
        { "id": "B", "text": { "en": "Create a named location", "de": "Einen benannten Standort erstellen" } },
        { "id": "C", "text": { "en": "Assign an access package", "de": "Ein Zugriffspaket zuweisen" } },
        { "id": "D", "text": { "en": "Enable staging mode", "de": "Stagingmodus aktivieren" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Revoking user sessions invalidates refresh tokens and forces the user to authenticate again for new sessions.",
        "de": "Das Widerrufen von Benutzersitzungen macht Aktualisierungstoken ungültig und zwingt den Benutzer dazu, sich für neue Sitzungen erneut zu authentifizieren."
      },
      "hint": {
        "en": "This is the direct response action for active session invalidation.",
        "de": "Dies ist die direkte Reaktionsmaßnahme zur Ungültigmachung aktiver Sitzungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/users/users-revoke-access"
    },
    {
      "id": "sc300-260",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Only the Azure portal should require MFA, while other SaaS apps can remain unaffected for now.",
        "de": "Nur das Azure-Portal soll MFA erfordern, während andere SaaS-Apps vorerst unberührt bleiben können."
      },
      "question": {
        "en": "How should you scope the Conditional Access policy?",
        "de": "Wie sollten Sie die Richtlinie für bedingten Zugriff eingrenzen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Target the specific cloud app in Conditional Access", "de": "Adressieren Sie die spezifische Cloud-App im bedingten Zugriff" } },
        { "id": "B", "text": { "en": "Target all users and all cloud apps permanently", "de": "Adressieren Sie dauerhaft alle Benutzer und alle Cloud-Apps" } },
        { "id": "C", "text": { "en": "Use an administrative unit", "de": "Verwenden Sie eine administrative Einheit" } },
        { "id": "D", "text": { "en": "Use access reviews", "de": "Verwenden Sie Zugriffsüberprüfungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Conditional Access policies can be scoped to specific cloud apps so that MFA applies only to the targeted application.",
        "de": "Richtlinien für bedingten Zugriff können auf bestimmte Cloud-Apps begrenzt werden, sodass MFA nur für die adressierte Anwendung gilt."
      },
      "hint": {
        "en": "You need app-level targeting, not tenant-wide scope.",
        "de": "Sie benötigen eine App-bezogene Zielauswahl, keinen mandantenweiten Umfang."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-cloud-apps"
    },
    {
      "id": "sc300-261",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which service generates risk detections such as impossible travel and unfamiliar sign-in properties?",
        "de": "Welcher Dienst erzeugt Risikoerkennungen wie unmögliche Reisen und unbekannte Anmeldeeigenschaften?"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Entra ID Protection", "de": "Microsoft Entra ID Protection" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Entitlement management", "de": "Entitlement Management" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Identity Protection analyzes sign-ins and generates risk detections such as impossible travel and unfamiliar sign-in properties.",
        "de": "Identity Protection analysiert Anmeldungen und erzeugt Risikoerkennungen wie unmögliche Reisen und unbekannte Anmeldeeigenschaften."
      },
      "hint": {
        "en": "This is the risk analytics service, not an access publishing feature.",
        "de": "Dies ist der Dienst für Risikoanalysen, nicht eine Funktion zur Zugriffsveröffentlichung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection"
    },
    {
      "id": "sc300-262",
      "type": "single",
      "domain": { "en": "Implement Authentication and Access Management", "de": "Authentifizierung und Zugriffsverwaltung implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "The business wants to disable SMS as an authentication method for most users while keeping Microsoft Authenticator and FIDO2 available.",
        "de": "Das Unternehmen möchte SMS als Authentifizierungsmethode für die meisten Benutzer deaktivieren, während Microsoft Authenticator und FIDO2 verfügbar bleiben sollen."
      },
      "question": {
        "en": "Which policy should you change?",
        "de": "Welche Richtlinie sollten Sie ändern?"
      },
      "options": [
        { "id": "A", "text": { "en": "Authentication methods policy", "de": "Richtlinie für Authentifizierungsmethoden" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "D", "text": { "en": "Access package assignment policy", "de": "Zuweisungsrichtlinie für Zugriffspakete" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "The authentication methods policy controls whether methods such as SMS, Microsoft Authenticator, and FIDO2 are available to users or groups.",
        "de": "Die Richtlinie für Authentifizierungsmethoden steuert, ob Methoden wie SMS, Microsoft Authenticator und FIDO2 für Benutzer oder Gruppen verfügbar sind."
      },
      "hint": {
        "en": "This is a method availability decision.",
        "de": "Dies ist eine Entscheidung über die Verfügbarkeit von Methoden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage"
    },
    {
      "id": "sc300-263",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which object acts as the global blueprint of an application in its home tenant?",
        "de": "Welches Objekt fungiert im Heimmandanten als globaler Bauplan einer Anwendung?"
      },
      "options": [
        { "id": "A", "text": { "en": "Application object", "de": "Anwendungsobjekt" } },
        { "id": "B", "text": { "en": "Service principal", "de": "Dienstprinzipal" } },
        { "id": "C", "text": { "en": "Administrative unit", "de": "Administrative Einheit" } },
        { "id": "D", "text": { "en": "Connected organization", "de": "Verbundene Organisation" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "The application object is the definition of the app registration in its home tenant. Service principals are tenant-specific instances used for access and sign-in.",
        "de": "Das Anwendungsobjekt ist die Definition der App-Registrierung im Heimmandanten. Dienstprinzipale sind mandantenspezifische Instanzen, die für Zugriff und Anmeldung verwendet werden."
      },
      "hint": {
        "en": "Think blueprint versus local instance.",
        "de": "Denken Sie an Bauplan versus lokale Instanz."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
    },
    {
      "id": "sc300-264",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "What object represents an application in a tenant for sign-in and permission assignment?",
        "de": "Welches Objekt repräsentiert eine Anwendung in einem Mandanten für Anmeldung und Berechtigungszuweisung?"
      },
      "options": [
        { "id": "A", "text": { "en": "Service principal", "de": "Dienstprinzipal" } },
        { "id": "B", "text": { "en": "Administrative unit", "de": "Administrative Einheit" } },
        { "id": "C", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } },
        { "id": "D", "text": { "en": "Dynamic group", "de": "Dynamische Gruppe" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "A service principal is the tenant-local representation of an application and is used for access, SSO, and permissions in that tenant.",
        "de": "Ein Dienstprinzipal ist die mandantenlokale Darstellung einer Anwendung und wird für Zugriff, SSO und Berechtigungen in diesem Mandanten verwendet."
      },
      "hint": {
        "en": "The question is about the tenant-local instance.",
        "de": "Die Frage betrifft die mandantenlokale Instanz."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
    },
    {
      "id": "sc300-265",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "A line-of-business API is for employees in only one tenant and should not allow accounts from other organizations.",
        "de": "Eine Line-of-Business-API ist nur für Mitarbeiter eines einzigen Mandanten bestimmt und soll keine Konten aus anderen Organisationen zulassen."
      },
      "question": {
        "en": "Which supported account type should you choose during app registration?",
        "de": "Welchen Kontotyp sollten Sie bei der App-Registrierung auswählen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Accounts in this organizational directory only", "de": "Konten nur in diesem Organisationsverzeichnis" } },
        { "id": "B", "text": { "en": "Accounts in any organizational directory", "de": "Konten in jedem Organisationsverzeichnis" } },
        { "id": "C", "text": { "en": "Personal Microsoft accounts only", "de": "Nur persönliche Microsoft-Konten" } },
        { "id": "D", "text": { "en": "Personal accounts and any organizational directory", "de": "Persönliche Konten und jedes Organisationsverzeichnis" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "A single-tenant app registration limits sign-in to accounts in the current organization directory only.",
        "de": "Eine Single-Tenant-App-Registrierung beschränkt die Anmeldung auf Konten im aktuellen Organisationsverzeichnis."
      },
      "hint": {
        "en": "Only one tenant should be trusted.",
        "de": "Es soll nur ein Mandant vertrauenswürdig sein."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/single-and-multi-tenant-apps"
    },
    {
      "id": "sc300-266",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "What does granting admin consent to an application typically do?",
        "de": "Was bewirkt die Erteilung von Administratorzustimmung für eine Anwendung typischerweise?"
      },
      "options": [
        { "id": "A", "text": { "en": "Approves requested permissions on behalf of the organization", "de": "Genehmigt angeforderte Berechtigungen im Namen der Organisation" } },
        { "id": "B", "text": { "en": "Publishes the app through Application Proxy", "de": "Veröffentlicht die App über Application Proxy" } },
        { "id": "C", "text": { "en": "Creates an administrative unit", "de": "Erstellt eine administrative Einheit" } },
        { "id": "D", "text": { "en": "Enables password writeback", "de": "Aktiviert die Kennwortrückschreibung" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Admin consent approves application permissions for the tenant so users do not need to grant them individually when the permission model requires admin approval.",
        "de": "Die Administratorzustimmung genehmigt Anwendungsberechtigungen für den Mandanten, sodass Benutzer diese nicht einzeln erteilen müssen, wenn das Berechtigungsmodell eine Administratorgenehmigung erfordert."
      },
      "hint": {
        "en": "This is about permission approval, not publishing or sync.",
        "de": "Es geht um die Genehmigung von Berechtigungen, nicht um Veröffentlichung oder Synchronisierung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
    },
    {
      "id": "sc300-267",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "A background daemon will call Microsoft Graph every night without any signed-in user.",
        "de": "Ein Hintergrunddienst wird jede Nacht Microsoft Graph aufrufen, ohne dass ein Benutzer angemeldet ist."
      },
      "question": {
        "en": "Which permission type should the app use?",
        "de": "Welchen Berechtigungstyp sollte die App verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Application permissions", "de": "Anwendungsberechtigungen" } },
        { "id": "B", "text": { "en": "Delegated permissions", "de": "Delegierte Berechtigungen" } },
        { "id": "C", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "D", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Application permissions are used when an app runs without a signed-in user and acts as itself, such as in daemon or service scenarios.",
        "de": "Anwendungsberechtigungen werden verwendet, wenn eine App ohne angemeldeten Benutzer ausgeführt wird und als sie selbst agiert, wie in Daemon- oder Dienstszenarien."
      },
      "hint": {
        "en": "No user context means the app acts on its own identity.",
        "de": "Kein Benutzerkontext bedeutet, dass die App mit ihrer eigenen Identität agiert."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-client-creds-grant-flow"
    },
    {
      "id": "sc300-268",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "A web application needs to call Microsoft Graph on behalf of the signed-in user. Which permission type is appropriate?",
        "de": "Eine Webanwendung muss Microsoft Graph im Namen des angemeldeten Benutzers aufrufen. Welcher Berechtigungstyp ist geeignet?"
      },
      "options": [
        { "id": "A", "text": { "en": "Delegated permissions", "de": "Delegierte Berechtigungen" } },
        { "id": "B", "text": { "en": "Application permissions", "de": "Anwendungsberechtigungen" } },
        { "id": "C", "text": { "en": "Administrative unit permissions", "de": "Berechtigungen für administrative Einheiten" } },
        { "id": "D", "text": { "en": "Catalog permissions", "de": "Katalogberechtigungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Delegated permissions are used when an app calls an API on behalf of a signed-in user and the user context matters.",
        "de": "Delegierte Berechtigungen werden verwendet, wenn eine App eine API im Namen eines angemeldeten Benutzers aufruft und der Benutzerkontext relevant ist."
      },
      "hint": {
        "en": "On behalf of the user is the key phrase.",
        "de": "Im Namen des Benutzers ist die Schlüsselformulierung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
    },
    {
      "id": "sc300-269",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "You must publish an internal web application so remote users can access it securely without a VPN.",
        "de": "Sie müssen eine interne Webanwendung veröffentlichen, damit Remote-Benutzer sicher ohne VPN darauf zugreifen können."
      },
      "question": {
        "en": "Which Microsoft Entra feature should you use?",
        "de": "Welche Microsoft Entra-Funktion sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "B", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } },
        { "id": "C", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } },
        { "id": "D", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Application Proxy securely publishes on-premises web applications to remote users, integrating with Microsoft Entra authentication and Conditional Access.",
        "de": "Application Proxy veröffentlicht lokale Webanwendungen sicher für Remote-Benutzer und integriert sich in die Microsoft Entra-Authentifizierung sowie den bedingten Zugriff."
      },
      "hint": {
        "en": "This is the on-premises web app publishing feature.",
        "de": "Dies ist die Funktion zur Veröffentlichung lokaler Webanwendungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/app-proxy/what-is-application-proxy"
    },
    {
      "id": "sc300-270",
      "type": "multiple",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which single sign-on methods are commonly supported for enterprise applications in Microsoft Entra ID? (Choose all that apply.)",
        "de": "Welche Single-Sign-On-Methoden werden für Unternehmensanwendungen in Microsoft Entra ID häufig unterstützt? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "SAML", "de": "SAML" } },
        { "id": "B", "text": { "en": "OpenID Connect or OAuth 2.0", "de": "OpenID Connect oder OAuth 2.0" } },
        { "id": "C", "text": { "en": "Password-based SSO", "de": "Kennwortbasiertes SSO" } },
        { "id": "D", "text": { "en": "DNS delegation", "de": "DNS-Delegierung" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Enterprise applications can be integrated with SAML, OpenID Connect or OAuth, and password-based SSO. DNS delegation is unrelated to app SSO methods.",
        "de": "Unternehmensanwendungen können mit SAML, OpenID Connect oder OAuth sowie kennwortbasiertem SSO integriert werden. DNS-Delegierung hat nichts mit App-SSO-Methoden zu tun."
      },
      "hint": {
        "en": "Pick authentication protocols and SSO patterns, not networking features.",
        "de": "Wählen Sie Authentifizierungsprotokolle und SSO-Muster aus, keine Netzwerkfunktionen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/what-is-single-sign-on"
    },
    {
      "id": "sc300-271",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Only members of a specific group should be able to sign in to a SaaS application that has already been integrated with Microsoft Entra ID.",
        "de": "Nur Mitglieder einer bestimmten Gruppe sollen sich bei einer SaaS-Anwendung anmelden können, die bereits in Microsoft Entra ID integriert ist."
      },
      "question": {
        "en": "What should you configure on the enterprise application?",
        "de": "Was sollten Sie für die Unternehmensanwendung konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Set User assignment required to Yes and assign the group", "de": "Setzen Sie Benutzerzuweisung erforderlich auf Ja und weisen Sie die Gruppe zu" } },
        { "id": "B", "text": { "en": "Enable password writeback", "de": "Aktivieren Sie die Kennwortrückschreibung" } },
        { "id": "C", "text": { "en": "Create a named location", "de": "Erstellen Sie einen benannten Standort" } },
        { "id": "D", "text": { "en": "Move the app into an administrative unit", "de": "Verschieben Sie die App in eine administrative Einheit" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "When User assignment required is enabled, only explicitly assigned users or groups can sign in to the enterprise application.",
        "de": "Wenn Benutzerzuweisung erforderlich aktiviert ist, können sich nur ausdrücklich zugewiesene Benutzer oder Gruppen bei der Unternehmensanwendung anmelden."
      },
      "hint": {
        "en": "The goal is to restrict sign-in to assigned identities only.",
        "de": "Ziel ist es, die Anmeldung auf ausdrücklich zugewiesene Identitäten zu beschränken."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/assign-user-or-group-access-portal"
    },
    {
      "id": "sc300-272",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Users must be able to request admin approval when they try to consent to an application that needs administrator review. What should you configure?",
        "de": "Benutzer sollen Administratorgenehmigung anfordern können, wenn sie versuchen, einer Anwendung zuzustimmen, die eine Administratorprüfung erfordert. Was sollten Sie konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Admin consent workflow", "de": "Administratorzustimmungsworkflow" } },
        { "id": "B", "text": { "en": "Application Proxy connector", "de": "Application Proxy-Connector" } },
        { "id": "C", "text": { "en": "Staging mode", "de": "Stagingmodus" } },
        { "id": "D", "text": { "en": "Authentication context", "de": "Authentifizierungskontext" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "The admin consent workflow lets users submit requests for administrator review when app consent requires approval.",
        "de": "Der Administratorzustimmungsworkflow ermöglicht es Benutzern, Anforderungen zur Administratorprüfung einzureichen, wenn die App-Zustimmung genehmigt werden muss."
      },
      "hint": {
        "en": "This feature governs consent request handling.",
        "de": "Diese Funktion steuert die Bearbeitung von Zustimmungsanforderungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-admin-consent-workflow"
    },
    {
      "id": "sc300-273",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "An Azure virtual machine needs to access Azure Key Vault without storing secrets in configuration files.",
        "de": "Eine virtuelle Azure-Maschine muss auf Azure Key Vault zugreifen, ohne Geheimnisse in Konfigurationsdateien zu speichern."
      },
      "question": {
        "en": "Which identity feature should you use?",
        "de": "Welche Identitätsfunktion sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Managed identity", "de": "Verwaltete Identität" } },
        { "id": "B", "text": { "en": "Admin consent workflow", "de": "Administratorzustimmungsworkflow" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Dynamic group", "de": "Dynamische Gruppe" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Managed identities let Azure resources authenticate to supported services without storing credentials in code or configuration.",
        "de": "Verwaltete Identitäten ermöglichen es Azure-Ressourcen, sich bei unterstützten Diensten zu authentifizieren, ohne Anmeldeinformationen im Code oder in der Konfiguration zu speichern."
      },
      "hint": {
        "en": "The goal is secretless workload identity for an Azure resource.",
        "de": "Ziel ist eine geheime, nicht gespeicherte Workloadidentität für eine Azure-Ressource."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview"
    },
    {
      "id": "sc300-274",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "You need client applications to request a custom delegated permission to call your web API on behalf of a user. What should you configure?",
        "de": "Clientanwendungen sollen eine benutzerdefinierte delegierte Berechtigung anfordern können, um Ihre Web-API im Namen eines Benutzers aufzurufen. Was sollten Sie konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Expose an API and define scopes", "de": "API verfügbar machen und Bereiche definieren" } },
        { "id": "B", "text": { "en": "Create an administrative unit", "de": "Eine administrative Einheit erstellen" } },
        { "id": "C", "text": { "en": "Enable password writeback", "de": "Kennwortrückschreibung aktivieren" } },
        { "id": "D", "text": { "en": "Configure Terms of Use", "de": "Nutzungsbedingungen konfigurieren" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "When you expose an API in an app registration, you can define delegated scopes that client apps request when calling the API on behalf of users.",
        "de": "Wenn Sie eine API in einer App-Registrierung verfügbar machen, können Sie delegierte Bereiche definieren, die Client-Apps anfordern, wenn sie die API im Namen von Benutzern aufrufen."
      },
      "hint": {
        "en": "The app must define the permission it wants clients to request.",
        "de": "Die App muss die Berechtigung definieren, die Clients anfordern sollen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-configure-app-expose-web-apis"
    },
    {
      "id": "sc300-275",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Where can end users view and launch the applications assigned to them?",
        "de": "Wo können Endbenutzer die ihnen zugewiesenen Anwendungen anzeigen und starten?"
      },
      "options": [
        { "id": "A", "text": { "en": "My Apps", "de": "My Apps" } },
        { "id": "B", "text": { "en": "Privileged Identity Management", "de": "Privileged Identity Management" } },
        { "id": "C", "text": { "en": "Conditional Access Insights", "de": "Conditional Access Insights" } },
        { "id": "D", "text": { "en": "Administrative Units portal", "de": "Portal für administrative Einheiten" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "My Apps is the end-user portal for viewing and launching assigned applications.",
        "de": "My Apps ist das Endbenutzerportal zum Anzeigen und Starten zugewiesener Anwendungen."
      },
      "hint": {
        "en": "Think of the user-facing app launcher.",
        "de": "Denken Sie an den benutzerorientierten App-Launcher."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/myapps-overview"
    },
    {
      "id": "sc300-276",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "External contractors must access an on-premises intranet application after Microsoft Entra preauthentication and Conditional Access evaluation.",
        "de": "Externe Auftragnehmer müssen nach Microsoft Entra-Vorauthentifizierung und Bewertung durch den bedingten Zugriff auf eine lokale Intranetanwendung zugreifen."
      },
      "question": {
        "en": "Which solution should you deploy?",
        "de": "Welche Lösung sollten Sie bereitstellen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Application Proxy with Microsoft Entra preauthentication", "de": "Application Proxy mit Microsoft Entra-Vorauthentifizierung" } },
        { "id": "B", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } },
        { "id": "C", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "D", "text": { "en": "Access review auto-apply", "de": "Automatisches Anwenden von Zugriffsüberprüfungen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Application Proxy can publish an on-premises application while enforcing Microsoft Entra preauthentication and Conditional Access before the request reaches the internal app.",
        "de": "Application Proxy kann eine lokale Anwendung veröffentlichen und dabei Microsoft Entra-Vorauthentifizierung sowie bedingten Zugriff erzwingen, bevor die Anforderung die interne App erreicht."
      },
      "hint": {
        "en": "The app remains on-premises, but access should be controlled in Entra first.",
        "de": "Die App bleibt lokal, aber der Zugriff soll zunächst in Entra gesteuert werden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/app-proxy/what-is-application-proxy"
    },
    {
      "id": "sc300-277",
      "type": "multiple",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "To which principals can app roles be assigned? (Choose all that apply.)",
        "de": "Welchen Prinzipalen können App-Rollen zugewiesen werden? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Users", "de": "Benutzer" } },
        { "id": "B", "text": { "en": "Groups", "de": "Gruppen" } },
        { "id": "C", "text": { "en": "Service principals", "de": "Dienstprinzipale" } },
        { "id": "D", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "App roles can be assigned to users, groups, and service principals. Administrative units are not application principals.",
        "de": "App-Rollen können Benutzern, Gruppen und Dienstprinzipalen zugewiesen werden. Administrative Einheiten sind keine Anwendungsprinzipale."
      },
      "hint": {
        "en": "Pick security principals, not administrative containers.",
        "de": "Wählen Sie Sicherheitsprinzipale aus, keine administrativen Container."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/howto-add-app-roles-in-apps"
    },
    {
      "id": "sc300-278",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "A tenant administrator wants to review and approve requested permissions before an application can access organizational data. Which action is relevant?",
        "de": "Ein Mandantenadministrator möchte angeforderte Berechtigungen prüfen und genehmigen, bevor eine Anwendung auf Organisationsdaten zugreifen kann. Welche Aktion ist relevant?"
      },
      "options": [
        { "id": "A", "text": { "en": "Grant admin consent", "de": "Administratorzustimmung erteilen" } },
        { "id": "B", "text": { "en": "Create an administrative unit", "de": "Eine administrative Einheit erstellen" } },
        { "id": "C", "text": { "en": "Enable report-only mode", "de": "Nur-Berichtsmodus aktivieren" } },
        { "id": "D", "text": { "en": "Start a lifecycle workflow", "de": "Einen Lifecycle-Workflow starten" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Granting admin consent approves the app requested permissions for use in the organization when those permissions require administrator approval.",
        "de": "Das Erteilen der Administratorzustimmung genehmigt die von der App angeforderten Berechtigungen für die Verwendung in der Organisation, wenn diese Berechtigungen eine Administratorgenehmigung erfordern."
      },
      "hint": {
        "en": "This is about approving API permissions.",
        "de": "Es geht um die Genehmigung von API-Berechtigungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview"
    },
    {
      "id": "sc300-279",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "A multitenant SaaS app is used by customer organizations. After a customer consents, the app becomes visible in that customer tenant.",
        "de": "Eine mandantenübergreifende SaaS-App wird von Kundenorganisationen verwendet. Nachdem ein Kunde zugestimmt hat, wird die App im Mandanten dieses Kunden sichtbar."
      },
      "question": {
        "en": "What object is created in the customer tenant?",
        "de": "Welches Objekt wird im Kundemandanten erstellt?"
      },
      "options": [
        { "id": "A", "text": { "en": "A service principal", "de": "Ein Dienstprinzipal" } },
        { "id": "B", "text": { "en": "A new application object in the home tenant", "de": "Ein neues Anwendungsobjekt im Heimmandanten" } },
        { "id": "C", "text": { "en": "An administrative unit", "de": "Eine administrative Einheit" } },
        { "id": "D", "text": { "en": "A lifecycle workflow", "de": "Ein Lifecycle-Workflow" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "For multitenant applications, a service principal is created in each consuming tenant to represent the app locally.",
        "de": "Bei mandantenübergreifenden Anwendungen wird in jedem konsumierenden Mandanten ein Dienstprinzipal erstellt, der die App lokal repräsentiert."
      },
      "hint": {
        "en": "The local tenant gets a local app instance, not the original blueprint.",
        "de": "Der lokale Mandant erhält eine lokale App-Instanz, nicht den ursprünglichen Bauplan."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals"
    },
    {
      "id": "sc300-280",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "hard",
      "scenario": null,
      "question": {
        "en": "Which OAuth 2.0 flow is commonly used when a daemon application acquires tokens with application permissions?",
        "de": "Welcher OAuth 2.0-Flow wird üblicherweise verwendet, wenn eine Daemon-Anwendung Token mit Anwendungsberechtigungen anfordert?"
      },
      "options": [
        { "id": "A", "text": { "en": "Client credentials flow", "de": "Client-Credentials-Flow" } },
        { "id": "B", "text": { "en": "Authorization code flow", "de": "Authorization-Code-Flow" } },
        { "id": "C", "text": { "en": "Device code flow", "de": "Device-Code-Flow" } },
        { "id": "D", "text": { "en": "On-behalf-of flow", "de": "On-Behalf-Of-Flow" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Daemon and service applications that act as themselves and use application permissions typically use the OAuth 2.0 client credentials flow.",
        "de": "Daemon- und Dienstanwendungen, die als sie selbst agieren und Anwendungsberechtigungen verwenden, nutzen typischerweise den OAuth 2.0 Client-Credentials-Flow."
      },
      "hint": {
        "en": "No signed-in user means client credentials.",
        "de": "Kein angemeldeter Benutzer bedeutet Client Credentials."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-client-creds-grant-flow"
    },
    {
      "id": "sc300-281",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "You want to integrate a third-party SaaS application from the gallery and configure SAML-based single sign-on and provisioning.",
        "de": "Sie möchten eine Drittanbieter-SaaS-Anwendung aus dem Katalog integrieren und SAML-basiertes Single Sign-On sowie Bereitstellung konfigurieren."
      },
      "question": {
        "en": "What should you add?",
        "de": "Was sollten Sie hinzufügen?"
      },
      "options": [
        { "id": "A", "text": { "en": "An enterprise application from the gallery", "de": "Eine Unternehmensanwendung aus dem Katalog" } },
        { "id": "B", "text": { "en": "An administrative unit", "de": "Eine administrative Einheit" } },
        { "id": "C", "text": { "en": "A Temporary Access Pass", "de": "Einen Temporary Access Pass" } },
        { "id": "D", "text": { "en": "A connected organization", "de": "Eine verbundene Organisation" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Gallery SaaS integrations are typically added as enterprise applications, where you can configure SSO, user assignment, and provisioning.",
        "de": "SaaS-Integrationen aus dem Katalog werden typischerweise als Unternehmensanwendungen hinzugefügt. Dort können Sie SSO, Benutzerzuweisungen und Bereitstellung konfigurieren."
      },
      "hint": {
        "en": "This is an enterprise app integration scenario, not a governance feature.",
        "de": "Dies ist ein Integrationsszenario für Unternehmensanwendungen, keine Governance-Funktion."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/what-is-enterprise-app-management"
    },
    {
      "id": "sc300-282",
      "type": "single",
      "domain": { "en": "Implement Access Management for Applications", "de": "Zugriffsverwaltung für Anwendungen implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "For a confidential client application running in production, which credential type is generally more secure than a client secret?",
        "de": "Welcher Anmeldeinformationstyp ist für eine vertrauliche Clientanwendung im Produktivbetrieb im Allgemeinen sicherer als ein Clientgeheimnis?"
      },
      "options": [
        { "id": "A", "text": { "en": "A certificate credential", "de": "Eine Zertifikatanmeldeinformation" } },
        { "id": "B", "text": { "en": "A dynamic group", "de": "Eine dynamische Gruppe" } },
        { "id": "C", "text": { "en": "An administrative unit", "de": "Eine administrative Einheit" } },
        { "id": "D", "text": { "en": "A named location", "de": "Ein benannter Standort" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Certificates are generally preferred over shared secrets for confidential clients because they offer stronger credential protection and lifecycle management.",
        "de": "Zertifikate werden für vertrauliche Clients im Allgemeinen gegenüber gemeinsamen Geheimnissen bevorzugt, da sie einen stärkeren Schutz der Anmeldeinformationen und ein besseres Lebenszyklusmanagement bieten."
      },
      "hint": {
        "en": "Choose the stronger application credential type.",
        "de": "Wählen Sie den stärkeren Typ von Anmeldeinformationen für Anwendungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/identity-platform/certificate-credentials"
    },
    {
      "id": "sc300-283",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which Identity Governance feature bundles groups, applications, and SharePoint sites into a requestable package?",
        "de": "Welche Identity-Governance-Funktion bündelt Gruppen, Anwendungen und SharePoint-Websites zu einem anforderbaren Paket?"
      },
      "options": [
        { "id": "A", "text": { "en": "Access package", "de": "Zugriffspaket" } },
        { "id": "B", "text": { "en": "Administrative unit", "de": "Administrative Einheit" } },
        { "id": "C", "text": { "en": "Named location", "de": "Benannter Standort" } },
        { "id": "D", "text": { "en": "Authentication strength", "de": "Authentifizierungsstärke" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Access packages in entitlement management bundle multiple resources into a governed request and assignment experience.",
        "de": "Zugriffspakete im Entitlement Management bündeln mehrere Ressourcen zu einer geregelten Anforderungs- und Zuweisungserfahrung."
      },
      "hint": {
        "en": "This feature is about governed resource bundles.",
        "de": "Diese Funktion betrifft geregelte Ressourcenbündel."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
    },
    {
      "id": "sc300-284",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which feature is used for periodic attestation that users still need access to a group, app, or role?",
        "de": "Welche Funktion wird für die regelmäßige Bestätigung verwendet, dass Benutzer weiterhin Zugriff auf eine Gruppe, App oder Rolle benötigen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } },
        { "id": "B", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Named locations", "de": "Benannte Standorte" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Access reviews let reviewers periodically attest whether users should keep access to resources or privileged assignments.",
        "de": "Mit Zugriffsüberprüfungen können Prüfer regelmäßig bestätigen, ob Benutzer den Zugriff auf Ressourcen oder privilegierte Zuweisungen behalten sollen."
      },
      "hint": {
        "en": "This is the periodic recertification feature.",
        "de": "Dies ist die Funktion zur regelmäßigen Rezertifizierung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
    },
    {
      "id": "sc300-285",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Guest users often keep project access long after work ends, and the business wants a regular process to confirm they still need it.",
        "de": "Gastbenutzer behalten Projektzugriff oft noch lange nach Projektende, und das Unternehmen möchte einen regelmäßigen Prozess, um zu bestätigen, dass sie ihn noch benötigen."
      },
      "question": {
        "en": "Which solution best addresses this requirement?",
        "de": "Welche Lösung erfüllt diese Anforderung am besten?"
      },
      "options": [
        { "id": "A", "text": { "en": "Recurring access reviews for guest users", "de": "Wiederkehrende Zugriffsüberprüfungen für Gastbenutzer" } },
        { "id": "B", "text": { "en": "A named location for guests", "de": "Ein benannter Standort für Gäste" } },
        { "id": "C", "text": { "en": "A dynamic device group", "de": "Eine dynamische Gerätegruppe" } },
        { "id": "D", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Recurring access reviews are designed to validate whether guest users still require access and can automatically remove access if configured.",
        "de": "Wiederkehrende Zugriffsüberprüfungen dienen dazu, zu prüfen, ob Gastbenutzer weiterhin Zugriff benötigen, und können den Zugriff bei entsprechender Konfiguration automatisch entfernen."
      },
      "hint": {
        "en": "The requirement is ongoing recertification of external access.",
        "de": "Die Anforderung ist eine fortlaufende Rezertifizierung des externen Zugriffs."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
    },
    {
      "id": "sc300-286",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "In Privileged Identity Management, what does an eligible assignment mean?",
        "de": "Was bedeutet in Privileged Identity Management eine berechtigte Zuweisung?"
      },
      "options": [
        { "id": "A", "text": { "en": "The user can activate the role when needed", "de": "Der Benutzer kann die Rolle bei Bedarf aktivieren" } },
        { "id": "B", "text": { "en": "The user holds the role permanently active", "de": "Der Benutzer hat die Rolle dauerhaft aktiv" } },
        { "id": "C", "text": { "en": "The role is assigned only to guests", "de": "Die Rolle wird nur Gästen zugewiesen" } },
        { "id": "D", "text": { "en": "The assignment applies only in report-only mode", "de": "Die Zuweisung gilt nur im Nur-Berichtsmodus" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "An eligible assignment in PIM means the user is not active in the role by default but can activate it just in time when access is required.",
        "de": "Eine berechtigte Zuweisung in PIM bedeutet, dass der Benutzer die Rolle standardmäßig nicht aktiv innehat, sie aber Just-in-Time aktivieren kann, wenn Zugriff erforderlich ist."
      },
      "hint": {
        "en": "Eligible is about potential activation, not permanent activity.",
        "de": "Berechtigt bedeutet potenzielle Aktivierung, nicht dauerhafte Aktivität."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
    },
    {
      "id": "sc300-287",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Security requires administrators to provide justification, perform MFA, and obtain approval before elevating to a privileged role.",
        "de": "Die Sicherheit verlangt, dass Administratoren vor der Erhöhung in eine privilegierte Rolle eine Begründung angeben, MFA durchführen und eine Genehmigung erhalten."
      },
      "question": {
        "en": "Which feature should you configure?",
        "de": "Welche Funktion sollten Sie konfigurieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "PIM role activation settings", "de": "PIM-Einstellungen für Rollenaktivierung" } },
        { "id": "B", "text": { "en": "Dynamic group rules", "de": "Regeln für dynamische Gruppen" } },
        { "id": "C", "text": { "en": "Application Proxy preauthentication", "de": "Application Proxy-Vorauthentifizierung" } },
        { "id": "D", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "PIM activation settings can require MFA, justification, approval, and other controls before a user activates a privileged role.",
        "de": "Die Aktivierungseinstellungen von PIM können MFA, Begründung, Genehmigung und andere Kontrollen verlangen, bevor ein Benutzer eine privilegierte Rolle aktiviert."
      },
      "hint": {
        "en": "This is just-in-time privileged elevation governance.",
        "de": "Dies ist Governance für Just-in-Time-Erhöhungen privilegierter Rollen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-how-to-activate-role"
    },
    {
      "id": "sc300-288",
      "type": "multiple",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which resources can Privileged Identity Management manage? (Choose all that apply.)",
        "de": "Welche Ressourcen kann Privileged Identity Management verwalten? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Microsoft Entra roles", "de": "Microsoft Entra-Rollen" } },
        { "id": "B", "text": { "en": "Azure resource roles", "de": "Azure-Ressourcenrollen" } },
        { "id": "C", "text": { "en": "Groups with PIM for Groups", "de": "Gruppen mit PIM für Gruppen" } },
        { "id": "D", "text": { "en": "Named locations", "de": "Benannte Standorte" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "PIM can manage Microsoft Entra roles, Azure resource roles, and eligible membership or ownership in groups through PIM for Groups. Named locations are not PIM-managed resources.",
        "de": "PIM kann Microsoft Entra-Rollen, Azure-Ressourcenrollen sowie berechtigte Mitgliedschaft oder Besitz von Gruppen über PIM für Gruppen verwalten. Benannte Standorte sind keine von PIM verwalteten Ressourcen."
      },
      "hint": {
        "en": "Pick privileged roles and groups, not Conditional Access artifacts.",
        "de": "Wählen Sie privilegierte Rollen und Gruppen aus, keine Artefakte des bedingten Zugriffs."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
    },
    {
      "id": "sc300-289",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "HR events should automatically trigger onboarding and offboarding tasks such as adding users to groups, sending emails, and disabling accounts.",
        "de": "HR-Ereignisse sollen automatisch Onboarding- und Offboardingaufgaben auslösen, etwa Benutzer zu Gruppen hinzufügen, E-Mails senden und Konten deaktivieren."
      },
      "question": {
        "en": "Which feature should you use?",
        "de": "Welche Funktion sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Lifecycle workflows", "de": "Lifecycle-Workflows" } },
        { "id": "B", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Staging mode", "de": "Stagingmodus" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Lifecycle workflows automate identity tasks tied to joiner, mover, and leaver events, including communication and access-related tasks.",
        "de": "Lifecycle-Workflows automatisieren Identitätsaufgaben, die an Joiner-, Mover- und Leaver-Ereignisse gekoppelt sind, einschließlich Kommunikation und zugriffsbezogener Aufgaben."
      },
      "hint": {
        "en": "This is HR-driven identity process automation.",
        "de": "Dies ist eine HR-gesteuerte Automatisierung von Identitätsprozessen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/what-are-lifecycle-workflows"
    },
    {
      "id": "sc300-290",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "What should you use to present a legal agreement that users or guests must accept before accessing applications?",
        "de": "Was sollten Sie verwenden, um eine rechtliche Vereinbarung bereitzustellen, die Benutzer oder Gäste vor dem Zugriff auf Anwendungen akzeptieren müssen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Terms of Use", "de": "Nutzungsbedingungen" } },
        { "id": "B", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "C", "text": { "en": "Dynamic groups", "de": "Dynamische Gruppen" } },
        { "id": "D", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Terms of Use documents can be presented to users and guests and enforced through Conditional Access before app access is granted.",
        "de": "Dokumente zu Nutzungsbedingungen können Benutzern und Gästen angezeigt und über den bedingten Zugriff erzwungen werden, bevor App-Zugriff gewährt wird."
      },
      "hint": {
        "en": "This is the legal acknowledgment feature.",
        "de": "Dies ist die Funktion für rechtliche Bestätigungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/terms-of-use"
    },
    {
      "id": "sc300-291",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "External partners should request a bundle of resources, require manager approval, and automatically lose access after 30 days unless renewed.",
        "de": "Externe Partner sollen ein Bündel von Ressourcen anfordern, die Genehmigung des Managers benötigen und den Zugriff nach 30 Tagen automatisch verlieren, sofern er nicht erneuert wird."
      },
      "question": {
        "en": "Which configuration best fits?",
        "de": "Welche Konfiguration passt am besten?"
      },
      "options": [
        { "id": "A", "text": { "en": "An access package assignment policy", "de": "Eine Zuweisungsrichtlinie für Zugriffspakete" } },
        { "id": "B", "text": { "en": "A named location policy", "de": "Eine Richtlinie für benannte Standorte" } },
        { "id": "C", "text": { "en": "A synchronization rule", "de": "Eine Synchronisierungsregel" } },
        { "id": "D", "text": { "en": "A staging server", "de": "Ein Stagingserver" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Access package assignment policies define who can request a package, what approvals are required, and how long the assignment lasts.",
        "de": "Zuweisungsrichtlinien für Zugriffspakete legen fest, wer ein Paket anfordern darf, welche Genehmigungen erforderlich sind und wie lange die Zuweisung gültig ist."
      },
      "hint": {
        "en": "The answer must combine request, approval, and expiration.",
        "de": "Die Antwort muss Anforderung, Genehmigung und Ablauf kombinieren."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy"
    },
    {
      "id": "sc300-292",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "What setting in an access review applies the reviewers decisions automatically when the review ends?",
        "de": "Welche Einstellung in einer Zugriffsüberprüfung wendet die Entscheidungen der Prüfer automatisch an, wenn die Überprüfung endet?"
      },
      "options": [
        { "id": "A", "text": { "en": "Auto-apply results", "de": "Ergebnisse automatisch anwenden" } },
        { "id": "B", "text": { "en": "Report-only mode", "de": "Nur-Berichtsmodus" } },
        { "id": "C", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } },
        { "id": "D", "text": { "en": "Staging mode", "de": "Stagingmodus" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Auto-apply results ensures access review decisions are enforced automatically after the review completes.",
        "de": "Ergebnisse automatisch anwenden stellt sicher, dass Entscheidungen aus Zugriffsüberprüfungen nach Abschluss der Überprüfung automatisch durchgesetzt werden."
      },
      "hint": {
        "en": "The goal is to avoid a manual cleanup step after review.",
        "de": "Ziel ist es, einen manuellen Bereinigungsschritt nach der Überprüfung zu vermeiden."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
    },
    {
      "id": "sc300-293",
      "type": "multiple",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which resources can be included in an access package? (Choose all that apply.)",
        "de": "Welche Ressourcen können in ein Zugriffspaket aufgenommen werden? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Groups", "de": "Gruppen" } },
        { "id": "B", "text": { "en": "Applications", "de": "Anwendungen" } },
        { "id": "C", "text": { "en": "SharePoint sites", "de": "SharePoint-Websites" } },
        { "id": "D", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Access packages can include groups, applications, and SharePoint Online sites. Administrative units are not package resources.",
        "de": "Zugriffspakete können Gruppen, Anwendungen und SharePoint Online-Websites enthalten. Administrative Einheiten sind keine Paketressourcen."
      },
      "hint": {
        "en": "Pick end-user access resources, not admin scoping objects.",
        "de": "Wählen Sie Endbenutzerzugriffsressourcen aus, keine Objekte zur Verwaltungsbegrenzung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
    },
    {
      "id": "sc300-294",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Audit findings show too many users have permanent User Administrator and Global Administrator assignments.",
        "de": "Audit-Ergebnisse zeigen, dass zu viele Benutzer dauerhafte Zuweisungen als Benutzeradministrator und Globaler Administrator haben."
      },
      "question": {
        "en": "What should you implement to reduce standing privilege?",
        "de": "Was sollten Sie implementieren, um dauerhafte Privilegien zu reduzieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "Eligible role assignments in PIM", "de": "Berechtigte Rollenzuweisungen in PIM" } },
        { "id": "B", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Dynamic device groups", "de": "Dynamische Gerätegruppen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Eligible assignments in PIM provide just-in-time activation and reduce permanent privileged access.",
        "de": "Berechtigte Zuweisungen in PIM ermöglichen Just-in-Time-Aktivierung und reduzieren dauerhaften privilegierten Zugriff."
      },
      "hint": {
        "en": "The goal is to replace always-on admin access.",
        "de": "Ziel ist es, ständig aktiven Administratorzugriff zu ersetzen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
    },
    {
      "id": "sc300-295",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "A project sponsor should decide whether invited guest users still need access to the project group every quarter.",
        "de": "Ein Projektsponsor soll vierteljährlich entscheiden, ob eingeladene Gastbenutzer weiterhin Zugriff auf die Projektgruppe benötigen."
      },
      "question": {
        "en": "Which reviewer option should you choose in the access review?",
        "de": "Welche Prüferoption sollten Sie in der Zugriffsüberprüfung auswählen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Sponsors", "de": "Sponsoren" } },
        { "id": "B", "text": { "en": "Anonymous users", "de": "Anonyme Benutzer" } },
        { "id": "C", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "D", "text": { "en": "Lifecycle workflow tasks", "de": "Lifecycle-Workflow-Aufgaben" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Access reviews for guests can use sponsors as reviewers so the business owner or sponsor can attest continued need for access.",
        "de": "Zugriffsüberprüfungen für Gäste können Sponsoren als Prüfer verwenden, sodass der Geschäftsverantwortliche oder Sponsor den fortbestehenden Zugriffsbedarf bestätigen kann."
      },
      "hint": {
        "en": "The reviewer should be the business owner closest to the guest relationship.",
        "de": "Der Prüfer sollte der Geschäftsverantwortliche sein, der der Gastbeziehung am nächsten steht."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
    },
    {
      "id": "sc300-296",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which feature provides just-in-time membership or ownership for groups that control access to applications and resources?",
        "de": "Welche Funktion bietet Just-in-Time-Mitgliedschaft oder -Besitz für Gruppen, die den Zugriff auf Anwendungen und Ressourcen steuern?"
      },
      "options": [
        { "id": "A", "text": { "en": "PIM for Groups", "de": "PIM für Gruppen" } },
        { "id": "B", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Named locations", "de": "Benannte Standorte" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "PIM for Groups enables just-in-time eligibility and activation for group membership or ownership, reducing standing access.",
        "de": "PIM für Gruppen ermöglicht Just-in-Time-Berechtigung und -Aktivierung für Gruppenmitgliedschaft oder -Besitz und reduziert damit dauerhaften Zugriff."
      },
      "hint": {
        "en": "The question is about privileged access to groups, not roles.",
        "de": "Die Frage betrifft privilegierten Zugriff auf Gruppen, nicht auf Rollen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/concept-pim-for-groups"
    },
    {
      "id": "sc300-297",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "When contractors leave, the organization wants identity tasks to run automatically, such as removing group memberships, disabling the account, and notifying managers.",
        "de": "Wenn Auftragnehmer ausscheiden, möchte die Organisation Identitätsaufgaben automatisch ausführen, etwa Gruppenmitgliedschaften entfernen, das Konto deaktivieren und Manager benachrichtigen."
      },
      "question": {
        "en": "Which feature should you use?",
        "de": "Welche Funktion sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Lifecycle workflows", "de": "Lifecycle-Workflows" } },
        { "id": "B", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } },
        { "id": "C", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "D", "text": { "en": "Named locations", "de": "Benannte Standorte" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Lifecycle workflows automate joiner, mover, and leaver tasks, including notifications and access cleanup for departing workers.",
        "de": "Lifecycle-Workflows automatisieren Joiner-, Mover- und Leaver-Aufgaben, einschließlich Benachrichtigungen und Zugriffsbereinigung für ausscheidende Mitarbeiter."
      },
      "hint": {
        "en": "This is event-driven identity lifecycle automation.",
        "de": "Dies ist ereignisgesteuerte Automatisierung des Identitätslebenszyklus."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/what-are-lifecycle-workflows"
    },
    {
      "id": "sc300-298",
      "type": "multiple",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which settings can an access package assignment policy control? (Choose all that apply.)",
        "de": "Welche Einstellungen kann eine Zuweisungsrichtlinie für Zugriffspakete steuern? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Who can request the package", "de": "Wer das Paket anfordern kann" } },
        { "id": "B", "text": { "en": "Approval requirements", "de": "Genehmigungsanforderungen" } },
        { "id": "C", "text": { "en": "Assignment expiration", "de": "Ablauf der Zuweisung" } },
        { "id": "D", "text": { "en": "Named location IP ranges", "de": "IP-Bereiche benannter Standorte" } }
      ],
      "correct": ["A", "B", "C"],
      "explanation": {
        "en": "Access package assignment policies define requestor scope, approval settings, and assignment duration or expiration. Named location IP ranges are unrelated.",
        "de": "Zuweisungsrichtlinien für Zugriffspakete definieren den Anforderungsbereich, Genehmigungseinstellungen sowie Dauer oder Ablauf der Zuweisung. IP-Bereiche benannter Standorte sind hiervon unabhängig."
      },
      "hint": {
        "en": "Think about how the package is requested and governed over time.",
        "de": "Denken Sie daran, wie das Paket angefordert und im Zeitverlauf gesteuert wird."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy"
    },
    {
      "id": "sc300-299",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "easy",
      "scenario": null,
      "question": {
        "en": "Which feature helps discover and remediate excessive permanent privileged role assignments?",
        "de": "Welche Funktion hilft dabei, übermäßige dauerhafte Zuweisungen privilegierter Rollen zu erkennen und zu beheben?"
      },
      "options": [
        { "id": "A", "text": { "en": "Privileged Identity Management", "de": "Privileged Identity Management" } },
        { "id": "B", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "C", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "D", "text": { "en": "Password writeback", "de": "Kennwortrückschreibung" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "PIM is designed to reduce standing privilege through eligibility, activation controls, and visibility into privileged assignments.",
        "de": "PIM wurde entwickelt, um dauerhafte Privilegien durch Berechtigung, Aktivierungssteuerungen und Transparenz über privilegierte Zuweisungen zu reduzieren."
      },
      "hint": {
        "en": "This is the least-privilege governance feature for admin roles.",
        "de": "Dies ist die Governance-Funktion für Administratorrollen nach dem Prinzip der geringsten Rechte."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
    },
    {
      "id": "sc300-300",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Your legal department updates the acceptable use policy every year and requires users to reaccept the latest document.",
        "de": "Ihre Rechtsabteilung aktualisiert die Richtlinie zur akzeptablen Nutzung jedes Jahr und verlangt, dass Benutzer das aktuelle Dokument erneut akzeptieren."
      },
      "question": {
        "en": "Which feature supports this requirement?",
        "de": "Welche Funktion unterstützt diese Anforderung?"
      },
      "options": [
        { "id": "A", "text": { "en": "Terms of Use", "de": "Nutzungsbedingungen" } },
        { "id": "B", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } },
        { "id": "C", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "D", "text": { "en": "Dynamic groups", "de": "Dynamische Gruppen" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Terms of Use supports presenting policy documents and requiring reacceptance when documents are updated.",
        "de": "Nutzungsbedingungen unterstützen die Darstellung von Richtliniendokumenten und können eine erneute Zustimmung verlangen, wenn Dokumente aktualisiert werden."
      },
      "hint": {
        "en": "This is about legal acknowledgment lifecycle, not access packaging.",
        "de": "Es geht um den Lebenszyklus rechtlicher Bestätigungen, nicht um Zugriffspakete."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/terms-of-use"
    },
    {
      "id": "sc300-301",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which feature lets you make a user eligible for temporary ownership of a Microsoft 365 group?",
        "de": "Welche Funktion ermöglicht es, einen Benutzer für den temporären Besitz einer Microsoft 365-Gruppe berechtigt zu machen?"
      },
      "options": [
        { "id": "A", "text": { "en": "PIM for Groups", "de": "PIM für Gruppen" } },
        { "id": "B", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } },
        { "id": "C", "text": { "en": "Conditional Access named locations", "de": "Benannte Standorte für bedingten Zugriff" } },
        { "id": "D", "text": { "en": "Application Proxy", "de": "Application Proxy" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "PIM for Groups supports eligible and time-bound ownership or membership for groups, including Microsoft 365 groups.",
        "de": "PIM für Gruppen unterstützt berechtigten und zeitlich begrenzten Besitz oder Mitgliedschaft für Gruppen, einschließlich Microsoft 365-Gruppen."
      },
      "hint": {
        "en": "This is privileged group governance.",
        "de": "Dies ist Governance für privilegierte Gruppen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/concept-pim-for-groups"
    },
    {
      "id": "sc300-302",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "Managers want quarterly review campaigns for a group and would like recommendation insights when deciding whether members still need access.",
        "de": "Manager möchten vierteljährliche Überprüfungskampagnen für eine Gruppe und hätten gerne Empfehlungseinblicke, wenn sie entscheiden, ob Mitglieder weiterhin Zugriff benötigen."
      },
      "question": {
        "en": "Which feature should you use?",
        "de": "Welche Funktion sollten Sie verwenden?"
      },
      "options": [
        { "id": "A", "text": { "en": "Access reviews", "de": "Zugriffsüberprüfungen" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Application Proxy", "de": "Application Proxy" } },
        { "id": "D", "text": { "en": "Cloud Sync", "de": "Cloud Sync" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Access reviews support recurring reviews of group membership and can provide recommendations to reviewers based on user activity.",
        "de": "Zugriffsüberprüfungen unterstützen wiederkehrende Überprüfungen von Gruppenmitgliedschaften und können Prüfern auf Basis der Benutzeraktivität Empfehlungen geben."
      },
      "hint": {
        "en": "This is the recertification feature with reviewer decisions.",
        "de": "Dies ist die Rezertifizierungsfunktion mit Prüferentscheidungen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
    },
    {
      "id": "sc300-303",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "In entitlement management, what defines the external organizations whose users can request access packages?",
        "de": "Was definiert im Entitlement Management die externen Organisationen, deren Benutzer Zugriffspakete anfordern können?"
      },
      "options": [
        { "id": "A", "text": { "en": "Connected organizations", "de": "Verbundene Organisationen" } },
        { "id": "B", "text": { "en": "Administrative units", "de": "Administrative Einheiten" } },
        { "id": "C", "text": { "en": "Named locations", "de": "Benannte Standorte" } },
        { "id": "D", "text": { "en": "Authentication strengths", "de": "Authentifizierungsstärken" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Connected organizations identify external organizations whose users can be governed through entitlement management and request access packages.",
        "de": "Verbundene Organisationen identifizieren externe Organisationen, deren Benutzer über Entitlement Management gesteuert werden und Zugriffspakete anfordern können."
      },
      "hint": {
        "en": "This is the entitlement management concept for external sources.",
        "de": "Dies ist das Entitlement-Management-Konzept für externe Quellen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
    },
    {
      "id": "sc300-304",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "A business owner must manage access package resources and policies in a catalog without receiving tenant-wide governance administration rights.",
        "de": "Ein Geschäftsverantwortlicher muss Ressourcen und Richtlinien für Zugriffspakete in einem Katalog verwalten, ohne mandantenweite Governance-Administrationsrechte zu erhalten."
      },
      "question": {
        "en": "Which delegated role should you assign?",
        "de": "Welche delegierte Rolle sollten Sie zuweisen?"
      },
      "options": [
        { "id": "A", "text": { "en": "Catalog owner", "de": "Katalogbesitzer" } },
        { "id": "B", "text": { "en": "Global Administrator", "de": "Globaler Administrator" } },
        { "id": "C", "text": { "en": "Privileged Role Administrator", "de": "Privilegierter Rollenadministrator" } },
        { "id": "D", "text": { "en": "Authentication Administrator", "de": "Authentifizierungsadministrator" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Catalog owners can manage resources and access packages in a specific catalog without broad tenant-wide administration.",
        "de": "Katalogbesitzer können Ressourcen und Zugriffspakete in einem bestimmten Katalog verwalten, ohne umfassende mandantenweite Administration zu erhalten."
      },
      "hint": {
        "en": "The requirement is catalog-scoped delegation.",
        "de": "Die Anforderung ist eine auf den Katalog beschränkte Delegation."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-delegate"
    },
    {
      "id": "sc300-305",
      "type": "multiple",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": null,
      "question": {
        "en": "Which controls can Privileged Identity Management require during role activation? (Choose all that apply.)",
        "de": "Welche Kontrollen kann Privileged Identity Management bei der Rollenaktivierung verlangen? (Wählen Sie alle zutreffenden Antworten aus.)"
      },
      "options": [
        { "id": "A", "text": { "en": "Approval", "de": "Genehmigung" } },
        { "id": "B", "text": { "en": "Multifactor authentication", "de": "Multifaktor-Authentifizierung" } },
        { "id": "C", "text": { "en": "Justification", "de": "Begründung" } },
        { "id": "D", "text": { "en": "Ticket information", "de": "Ticketinformationen" } }
      ],
      "correct": ["A", "B", "C", "D"],
      "explanation": {
        "en": "PIM can require approval, MFA, justification, and ticket information as part of privileged role activation governance.",
        "de": "PIM kann Genehmigung, MFA, Begründung und Ticketinformationen als Teil der Governance für die Aktivierung privilegierter Rollen verlangen."
      },
      "hint": {
        "en": "PIM activation can enforce several operational controls together.",
        "de": "Die PIM-Aktivierung kann mehrere operative Kontrollen gemeinsam erzwingen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
    },
    {
      "id": "sc300-306",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "A contractor needs one request to gain access to a Teams group, a SharePoint site, and a SaaS application, with automatic expiration at project end.",
        "de": "Ein Auftragnehmer soll mit einer einzigen Anforderung Zugriff auf eine Teams-Gruppe, eine SharePoint-Website und eine SaaS-Anwendung erhalten, mit automatischem Ablauf zum Projektende."
      },
      "question": {
        "en": "Which feature should you implement?",
        "de": "Welche Funktion sollten Sie implementieren?"
      },
      "options": [
        { "id": "A", "text": { "en": "An access package", "de": "Ein Zugriffspaket" } },
        { "id": "B", "text": { "en": "A named location", "de": "Einen benannten Standort" } },
        { "id": "C", "text": { "en": "A device compliance policy", "de": "Eine Gerätekonformitätsrichtlinie" } },
        { "id": "D", "text": { "en": "A dynamic device group", "de": "Eine dynamische Gerätegruppe" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "Access packages bundle multiple resource assignments into a governed request with approval and time-bound access.",
        "de": "Zugriffspakete bündeln mehrere Ressourcenzuweisungen in einer geregelten Anforderung mit Genehmigung und zeitlich begrenztem Zugriff."
      },
      "hint": {
        "en": "You need one governed request for several resources.",
        "de": "Sie benötigen eine geregelte Anforderung für mehrere Ressourcen."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
    },
    {
      "id": "sc300-307",
      "type": "single",
      "domain": { "en": "Plan and Implement Identity Governance", "de": "Identity Governance planen und implementieren" },
      "difficulty": "medium",
      "scenario": {
        "en": "An engineer needs Privileged Role Administrator rights only during a migration weekend, with approval required and a maximum activation time of eight hours.",
        "de": "Ein Techniker benötigt die Rechte eines Privilegierten Rollenadministrators nur während eines Migrationswochenendes, wobei eine Genehmigung erforderlich ist und die maximale Aktivierungszeit acht Stunden beträgt."
      },
      "question": {
        "en": "Which solution best fits this requirement?",
        "de": "Welche Lösung passt am besten zu dieser Anforderung?"
      },
      "options": [
        { "id": "A", "text": { "en": "Create an eligible PIM assignment with approval and activation duration settings", "de": "Erstellen Sie eine berechtigte PIM-Zuweisung mit Genehmigungs- und Aktivierungsdauer-Einstellungen" } },
        { "id": "B", "text": { "en": "Assign the role permanently and rely on audit logs", "de": "Weisen Sie die Rolle dauerhaft zu und verlassen Sie sich auf Überwachungsprotokolle" } },
        { "id": "C", "text": { "en": "Publish the role through Application Proxy", "de": "Veröffentlichen Sie die Rolle über Application Proxy" } },
        { "id": "D", "text": { "en": "Use a named location instead of role governance", "de": "Verwenden Sie einen benannten Standort anstelle von Rollen-Governance" } }
      ],
      "correct": ["A"],
      "explanation": {
        "en": "An eligible PIM role assignment with approval and a limited activation duration provides just-in-time privileged access that ends automatically after the approved window.",
        "de": "Eine berechtigte PIM-Rollenzuweisung mit Genehmigung und begrenzter Aktivierungsdauer bietet Just-in-Time-Zugriff auf privilegierte Rollen, der nach dem genehmigten Zeitraum automatisch endet."
      },
      "hint": {
        "en": "The requirement combines temporary access, approval, and time limits.",
        "de": "Die Anforderung kombiniert temporären Zugriff, Genehmigung und Zeitbegrenzung."
      },
      "reference": "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
    }
  ];
  if (window.ExamData && window.ExamData['sc-300']) {
    window.ExamData['sc-300'].questions = window.ExamData['sc-300'].questions.concat(extra);
  }
})();
