(function() { var extra = [
    {
      id: 'az500-201',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra feature should you use to periodically validate group membership and remove users who no longer need access?',
        de: 'Welche Microsoft-Entra-Funktion sollten Sie verwenden, um Gruppenmitgliedschaften regelmäßig zu überprüfen und Benutzer zu entfernen, die keinen Zugriff mehr benötigen?'
      },
      options: [
        { id: 'A', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'B', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'C', text: { en: 'Application Proxy', de: 'Application Proxy' } },
        { id: 'D', text: { en: 'Entitlement management catalogs', de: 'Entitlement-Management-Kataloge' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Access reviews let resource owners or reviewers regularly attest that memberships and assignments are still required.',
        de: 'Mit Zugriffsüberprüfungen können Ressourcenbesitzer oder Prüfer regelmäßig bestätigen, dass Mitgliedschaften und Zuweisungen weiterhin erforderlich sind.'
      },
      hint: {
        en: 'Look for the governance feature designed for recurring attestation.',
        de: 'Suchen Sie nach der Governance-Funktion für wiederkehrende Bestätigungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'az500-202',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which managed identity type is tied to the lifecycle of one Azure resource and is deleted when that resource is deleted?',
        de: 'Welcher Typ verwalteter Identität ist an den Lebenszyklus einer Azure-Ressource gebunden und wird gelöscht, wenn diese Ressource gelöscht wird?'
      },
      options: [
        { id: 'A', text: { en: 'User-assigned managed identity', de: 'Benutzerseitig zugewiesene verwaltete Identität' } },
        { id: 'B', text: { en: 'System-assigned managed identity', de: 'Systemseitig zugewiesene verwaltete Identität' } },
        { id: 'C', text: { en: 'Service principal with certificate', de: 'Dienstprinzipal mit Zertifikat' } },
        { id: 'D', text: { en: 'Managed HSM identity', de: 'Managed-HSM-Identität' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'A system-assigned managed identity exists only on the resource where it is enabled and is removed automatically with that resource.',
        de: 'Eine systemseitig zugewiesene verwaltete Identität existiert nur auf der Ressource, auf der sie aktiviert ist, und wird zusammen mit dieser Ressource automatisch entfernt.'
      },
      hint: {
        en: 'Choose the identity type that cannot be shared across resources.',
        de: 'Wählen Sie den Identitätstyp, der nicht von mehreren Ressourcen gemeinsam genutzt werden kann.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-203',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which resources can you include in a Microsoft Entra access package? Choose all that apply.',
        de: 'Welche Ressourcen können Sie in ein Microsoft-Entra-Zugriffspaket aufnehmen? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Security groups', de: 'Sicherheitsgruppen' } },
        { id: 'B', text: { en: 'Enterprise applications', de: 'Unternehmensanwendungen' } },
        { id: 'C', text: { en: 'SharePoint Online sites', de: 'SharePoint-Online-Websites' } },
        { id: 'D', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Access packages can bundle groups, apps, and SharePoint sites so access can be requested and governed together.',
        de: 'Zugriffspakete können Gruppen, Apps und SharePoint-Websites bündeln, sodass Zugriff gemeinsam angefordert und verwaltet werden kann.'
      },
      hint: {
        en: 'Think about business access resources, not Azure networking controls.',
        de: 'Denken Sie an geschäftliche Zugriffsressourcen und nicht an Azure-Netzwerksteuerungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview'
    },
    {
      id: 'az500-204',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: {
        en: 'Contoso uses GitHub Actions to deploy Bicep templates to Azure. The security team does not allow stored client secrets or certificates in the repository or in the pipeline. Deployments must authenticate directly to Microsoft Entra ID and receive short-lived tokens only during the workflow run.',
        de: 'Contoso verwendet GitHub Actions, um Bicep-Vorlagen nach Azure bereitzustellen. Das Sicherheitsteam erlaubt keine gespeicherten Clientgeheimnisse oder Zertifikate im Repository oder in der Pipeline. Bereitstellungen müssen sich direkt bei Microsoft Entra ID authentifizieren und nur während des Workflowlaufs kurzlebige Token erhalten.'
      },
      question: {
        en: 'What should you configure on the Microsoft Entra application?',
        de: 'Was sollten Sie für die Microsoft-Entra-Anwendung konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'A client secret with a two-year lifetime', de: 'Ein Clientgeheimnis mit einer Laufzeit von zwei Jahren' } },
        { id: 'B', text: { en: 'A federated identity credential', de: 'Eine Verbundidentitätsanmeldeinformation' } },
        { id: 'C', text: { en: 'A stored access policy', de: 'Eine gespeicherte Zugriffsrichtlinie' } },
        { id: 'D', text: { en: 'A shared access signature', de: 'Eine Shared Access Signature' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Workload identity federation lets GitHub exchange a trusted token for Microsoft Entra tokens without storing secrets in the workflow.',
        de: 'Die Workload-Identitätsverbundfunktion ermöglicht es GitHub, ein vertrauenswürdiges Token gegen Microsoft-Entra-Token auszutauschen, ohne Geheimnisse im Workflow zu speichern.'
      },
      hint: {
        en: 'Choose the option that enables secretless trust between an external workload and Microsoft Entra ID.',
        de: 'Wählen Sie die Option, die eine vertrauenswürdige, geheimnisfreie Verbindung zwischen einem externen Workload und Microsoft Entra ID herstellt.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/workload-id/workload-identity-federation'
    },
    {
      id: 'az500-205',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra feature publishes an internal web application to remote users without requiring inbound firewall openings to the app server?',
        de: 'Welche Microsoft-Entra-Funktion veröffentlicht eine interne Webanwendung für Remotebenutzer, ohne eingehende Firewallfreigaben zum Anwendungsserver zu benötigen?'
      },
      options: [
        { id: 'A', text: { en: 'Application Proxy', de: 'Application Proxy' } },
        { id: 'B', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Privileged Identity Management', de: 'Privileged Identity Management' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Application Proxy publishes internal web apps through outbound connectors and can preauthenticate users with Microsoft Entra ID.',
        de: 'Application Proxy veröffentlicht interne Web-Apps über ausgehende Connectors und kann Benutzer mit Microsoft Entra ID vorab authentifizieren.'
      },
      hint: {
        en: 'Look for the feature built specifically for internal web app publishing.',
        de: 'Suchen Sie nach der Funktion, die speziell für die Veröffentlichung interner Web-Apps entwickelt wurde.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/app-proxy/overview-what-is-app-proxy'
    },
    {
      id: 'az500-206',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'You must require administrators to use phishing-resistant MFA when they sign in to the Azure portal. Which Conditional Access setting should you use?',
        de: 'Sie müssen verlangen, dass Administratoren beim Anmelden am Azure-Portal phishingresistente MFA verwenden. Welche Einstellung für bedingten Zugriff sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Sign-in frequency', de: 'Anmeldehäufigkeit' } },
        { id: 'B', text: { en: 'Authentication strength', de: 'Authentifizierungsstärke' } },
        { id: 'C', text: { en: 'Terms of use', de: 'Nutzungsbedingungen' } },
        { id: 'D', text: { en: 'Persistent browser session', de: 'Persistente Browsersitzung' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Authentication strengths let you require specific MFA methods such as phishing-resistant methods for targeted sign-ins.',
        de: 'Mit Authentifizierungsstärken können Sie für gezielte Anmeldungen bestimmte MFA-Methoden wie phishingresistente Methoden verlangen.'
      },
      hint: {
        en: 'Use the control that limits which MFA methods satisfy the policy.',
        de: 'Verwenden Sie die Steuerung, die einschränkt, welche MFA-Methoden die Richtlinie erfüllen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
    },
    {
      id: 'az500-207',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Fabrikam works with external design agencies during short projects. Each agency needs approved access to a Teams-connected SharePoint site, a security group, and a line-of-business SaaS app. Access must expire automatically when the engagement ends.',
        de: 'Fabrikam arbeitet bei kurzfristigen Projekten mit externen Designagenturen zusammen. Jede Agentur benötigt genehmigten Zugriff auf eine mit Teams verbundene SharePoint-Website, eine Sicherheitsgruppe und eine geschäftskritische SaaS-App. Der Zugriff muss automatisch ablaufen, wenn die Zusammenarbeit endet.'
      },
      question: {
        en: 'Which Microsoft Entra capability best meets the requirement?',
        de: 'Welche Microsoft-Entra-Funktion erfüllt die Anforderung am besten?'
      },
      options: [
        { id: 'A', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'B', text: { en: 'Entitlement management access packages', de: 'Entitlement-Management-Zugriffspakete' } },
        { id: 'C', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } },
        { id: 'D', text: { en: 'Named locations', de: 'Benannte Standorte' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Access packages bundle multiple resources, support approvals, and can enforce assignment expiration for external users.',
        de: 'Zugriffspakete bündeln mehrere Ressourcen, unterstützen Genehmigungen und können für externe Benutzer ein Ablaufdatum der Zuweisung erzwingen.'
      },
      hint: {
        en: 'Think about packaging several business resources with approval and expiration.',
        de: 'Denken Sie an das Bündeln mehrerer Geschäftsressourcen mit Genehmigung und Ablaufdatum.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview'
    },
    {
      id: 'az500-208',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra object represents an application instance in a tenant and can receive permissions and role assignments?',
        de: 'Welches Microsoft-Entra-Objekt stellt eine Anwendungsinstanz in einem Mandanten dar und kann Berechtigungen sowie Rollenzuweisungen erhalten?'
      },
      options: [
        { id: 'A', text: { en: 'Service principal', de: 'Dienstprinzipal' } },
        { id: 'B', text: { en: 'Management group', de: 'Verwaltungsgruppe' } },
        { id: 'C', text: { en: 'Administrative unit', de: 'Administrative Einheit' } },
        { id: 'D', text: { en: 'Conditional Access policy', de: 'Richtlinie für bedingten Zugriff' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'The service principal is the security identity of the application in a specific tenant and is what access is granted to.',
        de: 'Der Dienstprinzipal ist die Sicherheitsidentität der Anwendung in einem bestimmten Mandanten und das Objekt, dem Zugriff gewährt wird.'
      },
      hint: {
        en: 'Distinguish the tenant-local security identity from the global app definition.',
        de: 'Unterscheiden Sie zwischen der mandantenlokalen Sicherheitsidentität und der globalen Anwendungsdefinition.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals'
    },
    {
      id: 'az500-209',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra methods provide passwordless sign-in for users? Choose all that apply.',
        de: 'Welche Microsoft-Entra-Methoden ermöglichen Benutzern eine kennwortlose Anmeldung? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'FIDO2 security keys', de: 'FIDO2-Sicherheitsschlüssel' } },
        { id: 'B', text: { en: 'Windows Hello for Business', de: 'Windows Hello for Business' } },
        { id: 'C', text: { en: 'Certificate-based authentication', de: 'Zertifikatbasierte Authentifizierung' } },
        { id: 'D', text: { en: 'SMS one-time passcodes', de: 'Einmalcodes per SMS' } }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'FIDO2 security keys and Windows Hello for Business are passwordless user sign-in methods. Certificate-based authentication and SMS are not the passwordless options targeted in this question.',
        de: 'FIDO2-Sicherheitsschlüssel und Windows Hello for Business sind kennwortlose Methoden für die Benutzeranmeldung. Zertifikatbasierte Authentifizierung und SMS gehören nicht zu den in dieser Frage gesuchten kennwortlosen Optionen.'
      },
      hint: {
        en: 'Pick the sign-in methods designed to remove the password prompt entirely.',
        de: 'Wählen Sie die Anmeldemethoden, die die Kennwortabfrage vollständig ersetzen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
    },
    {
      id: 'az500-210',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Tailwind Traders uses a payroll web app that includes a normal employee portal and a separate page for viewing bank account changes. The security team wants all employees to sign in normally, but the sensitive page must trigger step-up MFA with a stronger method. The app team can add app logic but does not want to split the app into two separate enterprise applications.',
        de: 'Tailwind Traders verwendet eine Gehaltsanwendung mit einem normalen Mitarbeiterportal und einer separaten Seite zum Anzeigen von Änderungen an Bankkonten. Das Sicherheitsteam möchte, dass sich alle Mitarbeiter normal anmelden, die sensible Seite jedoch eine Step-up-MFA mit einer stärkeren Methode auslöst. Das Anwendungsteam kann Logik in die App integrieren, möchte die App aber nicht in zwei separate Unternehmensanwendungen aufteilen.'
      },
      question: {
        en: 'What should you implement?',
        de: 'Was sollten Sie implementieren?'
      },
      options: [
        { id: 'A', text: { en: 'An authentication context with a Conditional Access policy', de: 'Einen Authentifizierungskontext mit einer Richtlinie für bedingten Zugriff' } },
        { id: 'B', text: { en: 'A separate Azure subscription for the sensitive page', de: 'Ein separates Azure-Abonnement für die sensible Seite' } },
        { id: 'C', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } },
        { id: 'D', text: { en: 'A management group lock', de: 'Eine Sperre auf Verwaltungsgruppenebene' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Authentication context lets the app request step-up protection for sensitive actions and lets Conditional Access enforce stronger requirements only when needed.',
        de: 'Mit dem Authentifizierungskontext kann die App für sensible Aktionen einen Step-up-Schutz anfordern, und bedingter Zugriff kann stärkere Anforderungen nur dann erzwingen, wenn sie benötigt werden.'
      },
      hint: {
        en: 'Use the feature that applies Conditional Access to specific operations inside an app.',
        de: 'Verwenden Sie die Funktion, die bedingten Zugriff auf bestimmte Vorgänge innerhalb einer App anwendet.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-cloud-apps'
    },
    {
      id: 'az500-211',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: {
        en: 'Woodgrove Bank wants to delegate role assignment management to a central platform team. The team must be able to assign only backup-related roles and only to service principals used by automation. Security administrators do not want the team to grant broader privileged roles or assign roles to human users.',
        de: 'Woodgrove Bank möchte die Verwaltung von Rollenzuweisungen an ein zentrales Plattformteam delegieren. Das Team darf nur sicherungsbezogene Rollen und nur an von der Automatisierung verwendete Dienstprinzipale zuweisen. Sicherheitsadministratoren möchten nicht, dass das Team weitergehende privilegierte Rollen vergibt oder Rollen an menschliche Benutzer zuweist.'
      },
      question: {
        en: 'What should you use?',
        de: 'Was sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Azure resource locks', de: 'Azure-Ressourcensperren' } },
        { id: 'B', text: { en: 'Role assignment conditions', de: 'Bedingungen für Rollenzuweisungen' } },
        { id: 'C', text: { en: 'Management group deletion protection', de: 'Löschschutz für Verwaltungsgruppen' } },
        { id: 'D', text: { en: 'Azure Policy exemptions', de: 'Azure-Policy-Ausnahmen' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Azure RBAC conditions can constrain which roles can be assigned and to which principal types, reducing delegated access risk.',
        de: 'Mit Azure-RBAC-Bedingungen lässt sich einschränken, welche Rollen und an welche Prinzipaltypen sie zugewiesen werden dürfen, wodurch das Risiko delegierter Zugriffe reduziert wird.'
      },
      hint: {
        en: 'Choose the RBAC feature that adds fine-grained constraints to delegated assignments.',
        de: 'Wählen Sie die RBAC-Funktion, die delegierten Zuweisungen fein granulare Einschränkungen hinzufügt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/conditions-overview'
    },
    {
      id: 'az500-212',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra capability shortens the time before an existing session is reevaluated after events such as account disablement or password reset?',
        de: 'Welche Microsoft-Entra-Funktion verkürzt die Zeit, bis eine bestehende Sitzung nach Ereignissen wie Kontodeaktivierung oder Kennwortzurücksetzung neu bewertet wird?'
      },
      options: [
        { id: 'A', text: { en: 'Continuous Access Evaluation', de: 'Continuous Access Evaluation' } },
        { id: 'B', text: { en: 'Named locations', de: 'Benannte Standorte' } },
        { id: 'C', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'D', text: { en: 'Password writeback', de: 'Kennwortrückschreibung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Continuous Access Evaluation lets supported services respond more quickly to critical changes instead of waiting for normal token expiration.',
        de: 'Continuous Access Evaluation ermöglicht unterstützten Diensten, schneller auf kritische Änderungen zu reagieren, anstatt auf den normalen Ablauf des Tokens zu warten.'
      },
      hint: {
        en: 'Think about near-real-time enforcement after important identity events.',
        de: 'Denken Sie an eine nahezu in Echtzeit erfolgende Durchsetzung nach wichtigen Identitätsereignissen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation'
    },
    {
      id: 'az500-213',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'You need guest users to confirm every quarter that they still require access to a Microsoft Entra group. Which feature should you configure?',
        de: 'Sie müssen erreichen, dass Gastbenutzer jedes Quartal bestätigen, dass sie weiterhin Zugriff auf eine Microsoft-Entra-Gruppe benötigen. Welche Funktion sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'B', text: { en: 'Application Proxy', de: 'Application Proxy' } },
        { id: 'C', text: { en: 'Tenant restrictions', de: 'Mandanteneinschränkungen' } },
        { id: 'D', text: { en: 'Named locations', de: 'Benannte Standorte' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Access reviews support recurring reviews for guests and can remove access automatically based on review outcomes.',
        de: 'Zugriffsüberprüfungen unterstützen wiederkehrende Prüfungen für Gäste und können den Zugriff anhand der Prüfergebnisse automatisch entfernen.'
      },
      hint: {
        en: 'Use the governance feature for periodic recertification.',
        de: 'Verwenden Sie die Governance-Funktion für die periodische Rezertifizierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'az500-214',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which settings can you require when users activate an eligible role in Privileged Identity Management (PIM)? Choose all that apply.',
        de: 'Welche Einstellungen können Sie verlangen, wenn Benutzer in Privileged Identity Management (PIM) eine berechtigte Rolle aktivieren? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Multifactor authentication', de: 'Multifaktorauthentifizierung' } },
        { id: 'B', text: { en: 'Approval before activation', de: 'Genehmigung vor der Aktivierung' } },
        { id: 'C', text: { en: 'Justification', de: 'Begründung' } },
        { id: 'D', text: { en: 'Storage account failover', de: 'Failover des Speicherkontos' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'PIM activation settings can require MFA, justification, approval, and other controls for eligible role activation.',
        de: 'Die Aktivierungseinstellungen in PIM können MFA, Begründung, Genehmigung und weitere Kontrollen für die Aktivierung berechtigter Rollen verlangen.'
      },
      hint: {
        en: 'Select controls that govern role elevation, not infrastructure behavior.',
        de: 'Wählen Sie Kontrollen aus, die die Rolleneskalation steuern, nicht das Verhalten der Infrastruktur.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'az500-215',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which identity solution should AKS workloads use to obtain Microsoft Entra tokens for Azure resources without storing secrets in Kubernetes?',
        de: 'Welche Identitätslösung sollten AKS-Workloads verwenden, um Microsoft-Entra-Token für Azure-Ressourcen zu erhalten, ohne Geheimnisse in Kubernetes zu speichern?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra Workload ID', de: 'Microsoft Entra Workload ID' } },
        { id: 'B', text: { en: 'A local admin account', de: 'Ein lokales Administratorkonto' } },
        { id: 'C', text: { en: 'A shared access signature', de: 'Eine Shared Access Signature' } },
        { id: 'D', text: { en: 'A password hash sync policy', de: 'Eine Richtlinie für die Kennworthashsynchronisierung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Entra Workload ID integrates Kubernetes service accounts with Microsoft Entra ID for secretless workload authentication.',
        de: 'Microsoft Entra Workload ID integriert Kubernetes-Dienstkonten mit Microsoft Entra ID für eine geheimnisfreie Workloadauthentifizierung.'
      },
      hint: {
        en: 'Choose the AKS-native secretless identity option.',
        de: 'Wählen Sie die AKS-native Option für eine geheimnisfreie Identität.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/aks/workload-identity-overview'
    },
    {
      id: 'az500-216',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'An application needs Microsoft Graph application permissions to run without a signed-in user. What must occur before the app can use those permissions?',
        de: 'Eine Anwendung benötigt Microsoft-Graph-Anwendungsberechtigungen, um ohne angemeldeten Benutzer zu laufen. Was muss geschehen, bevor die App diese Berechtigungen verwenden kann?'
      },
      options: [
        { id: 'A', text: { en: 'A user must complete self-service sign-up', de: 'Ein Benutzer muss eine Self-Service-Registrierung abschließen' } },
        { id: 'B', text: { en: 'An administrator must grant admin consent', de: 'Ein Administrator muss Admin Consent erteilen' } },
        { id: 'C', text: { en: 'A management group must be created', de: 'Es muss eine Verwaltungsgruppe erstellt werden' } },
        { id: 'D', text: { en: 'The app must be added to a named location', de: 'Die App muss einem benannten Standort hinzugefügt werden' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Application permissions are tenant-wide permissions and typically require administrator consent before the app can use them.',
        de: 'Anwendungsberechtigungen sind mandantenweite Berechtigungen und erfordern in der Regel Administratorzustimmung, bevor die App sie verwenden kann.'
      },
      hint: {
        en: 'Think about who approves permissions that apply without a user present.',
        de: 'Denken Sie daran, wer Berechtigungen genehmigt, die ohne anwesenden Benutzer gelten.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals'
    },
    {
      id: 'az500-217',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Northwind Traders invited external auditors to Microsoft Entra groups that grant access to audit evidence. The auditors only need access during each quarterly audit window. If an auditor does not respond to the review request, access should be removed automatically.',
        de: 'Northwind Traders hat externe Prüfer in Microsoft-Entra-Gruppen eingeladen, die Zugriff auf Prüfungsnachweise gewähren. Die Prüfer benötigen den Zugriff nur während jedes vierteljährlichen Prüfungszeitraums. Wenn ein Prüfer nicht auf die Überprüfungsanfrage reagiert, soll der Zugriff automatisch entfernt werden.'
      },
      question: {
        en: 'Which governance feature should you configure?',
        de: 'Welche Governance-Funktion sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Recurring access reviews with auto-apply results', de: 'Wiederkehrende Zugriffsüberprüfungen mit automatischer Anwendung der Ergebnisse' } },
        { id: 'B', text: { en: 'A permanent privileged role assignment', de: 'Eine permanente Zuweisung einer privilegierten Rolle' } },
        { id: 'C', text: { en: 'A management group lock', de: 'Eine Sperre auf Verwaltungsgruppenebene' } },
        { id: 'D', text: { en: 'Password writeback', de: 'Kennwortrückschreibung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Access reviews can recur on a schedule and automatically remove access when reviewers deny access or users do not respond.',
        de: 'Zugriffsüberprüfungen können zeitgesteuert wiederkehren und den Zugriff automatisch entfernen, wenn Prüfer den Zugriff ablehnen oder Benutzer nicht reagieren.'
      },
      hint: {
        en: 'Use the feature that combines periodic review with automatic removal.',
        de: 'Verwenden Sie die Funktion, die eine regelmäßige Überprüfung mit automatischer Entfernung kombiniert.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'az500-218',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra feature lets an application signal that a specific sensitive operation should trigger a different Conditional Access policy than the rest of the app?',
        de: 'Welche Microsoft-Entra-Funktion ermöglicht es einer Anwendung, zu signalisieren, dass für einen bestimmten sensiblen Vorgang eine andere Richtlinie für bedingten Zugriff gelten soll als für den Rest der App?'
      },
      options: [
        { id: 'A', text: { en: 'Authentication context', de: 'Authentifizierungskontext' } },
        { id: 'B', text: { en: 'Administrative unit', de: 'Administrative Einheit' } },
        { id: 'C', text: { en: 'Group writeback', de: 'Gruppenrückschreibung' } },
        { id: 'D', text: { en: 'Service endpoint', de: 'Dienstendpunkt' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Authentication context tags sensitive actions so Conditional Access can apply step-up requirements only for those actions.',
        de: 'Der Authentifizierungskontext kennzeichnet sensible Aktionen, sodass bedingter Zugriff Step-up-Anforderungen nur für diese Aktionen anwenden kann.'
      },
      hint: {
        en: 'This feature connects app-defined actions to Conditional Access policies.',
        de: 'Diese Funktion verbindet von der App definierte Aktionen mit Richtlinien für bedingten Zugriff.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-cloud-apps'
    },
    {
      id: 'az500-219',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which elements are part of a Conditional Access policy? Choose all that apply.',
        de: 'Welche Elemente gehören zu einer Richtlinie für bedingten Zugriff? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Assignments', de: 'Zuweisungen' } },
        { id: 'B', text: { en: 'Access controls', de: 'Zugriffssteuerungen' } },
        { id: 'C', text: { en: 'Session controls', de: 'Sitzungssteuerungen' } },
        { id: 'D', text: { en: 'Storage account replication settings', de: 'Replikationseinstellungen des Speicherkontos' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Conditional Access policies are built from assignments, decisions such as grant or block, and optional session controls.',
        de: 'Richtlinien für bedingten Zugriff bestehen aus Zuweisungen, Entscheidungen wie Gewähren oder Blockieren sowie optionalen Sitzungssteuerungen.'
      },
      hint: {
        en: 'Think about how Conditional Access targets users and apps, then enforces requirements.',
        de: 'Denken Sie daran, wie bedingter Zugriff Benutzer und Apps adressiert und anschließend Anforderungen durchsetzt.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'az500-220',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: {
        en: 'Datum Corporation allows administrators to activate the Security Administrator role only when needed. Activations must require approval, MFA, justification, and a ticket number. Each activation must expire after two hours automatically.',
        de: 'Datum Corporation erlaubt Administratoren, die Rolle Security Administrator nur bei Bedarf zu aktivieren. Aktivierungen müssen eine Genehmigung, MFA, eine Begründung und eine Ticketnummer erfordern. Jede Aktivierung muss nach zwei Stunden automatisch ablaufen.'
      },
      question: {
        en: 'Where should you configure these requirements?',
        de: 'Wo sollten Sie diese Anforderungen konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Role activation settings in PIM', de: 'Rollenaktivierungseinstellungen in PIM' } },
        { id: 'B', text: { en: 'A network security group', de: 'Eine Netzwerksicherheitsgruppe' } },
        { id: 'C', text: { en: 'An Azure Policy initiative', de: 'Eine Azure-Policy-Initiative' } },
        { id: 'D', text: { en: 'An Application Proxy connector', de: 'Einen Application-Proxy-Connector' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'PIM role activation settings control approval, MFA, justification, ticketing, and the maximum activation duration for eligible roles.',
        de: 'Die Rollenaktivierungseinstellungen in PIM steuern Genehmigung, MFA, Begründung, Ticketing und die maximale Aktivierungsdauer für berechtigte Rollen.'
      },
      hint: {
        en: 'Use the governance control for just-in-time role activation.',
        de: 'Verwenden Sie die Governance-Steuerung für die Just-in-Time-Rollenaktivierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'az500-221',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which managed identity type can be attached to multiple Azure resources so they can share one identity and permissions set?',
        de: 'Welcher Typ verwalteter Identität kann mehreren Azure-Ressourcen zugewiesen werden, sodass sie eine gemeinsame Identität und Berechtigungsmenge nutzen?'
      },
      options: [
        { id: 'A', text: { en: 'System-assigned managed identity', de: 'Systemseitig zugewiesene verwaltete Identität' } },
        { id: 'B', text: { en: 'User-assigned managed identity', de: 'Benutzerseitig zugewiesene verwaltete Identität' } },
        { id: 'C', text: { en: 'Managed HSM role', de: 'Managed-HSM-Rolle' } },
        { id: 'D', text: { en: 'Conditional Access session control', de: 'Sitzungssteuerung für bedingten Zugriff' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'A user-assigned managed identity is created as a separate Azure resource and can be associated with multiple supported resources.',
        de: 'Eine benutzerseitig zugewiesene verwaltete Identität wird als separate Azure-Ressource erstellt und kann mehreren unterstützten Ressourcen zugeordnet werden.'
      },
      hint: {
        en: 'Choose the identity type that exists independently from any one resource.',
        de: 'Wählen Sie den Identitätstyp, der unabhängig von einer einzelnen Ressource existiert.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-222',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra capability helps block common weak passwords and custom banned passwords during password changes?',
        de: 'Welche Microsoft-Entra-Funktion hilft dabei, häufig verwendete schwache Kennwörter und benutzerdefiniert gesperrte Kennwörter bei Kennwortänderungen zu blockieren?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra Password Protection', de: 'Microsoft Entra Password Protection' } },
        { id: 'B', text: { en: 'Application Proxy', de: 'Application Proxy' } },
        { id: 'C', text: { en: 'Entitlement management', de: 'Entitlement Management' } },
        { id: 'D', text: { en: 'Azure Bastion', de: 'Azure Bastion' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Entra Password Protection evaluates password changes against global and custom banned password lists.',
        de: 'Microsoft Entra Password Protection bewertet Kennwortänderungen anhand globaler und benutzerdefinierter Listen gesperrter Kennwörter.'
      },
      hint: {
        en: 'Use the identity protection feature focused on password quality.',
        de: 'Verwenden Sie die Identitätsschutzfunktion, die auf Kennwortqualität ausgerichtet ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-password-ban-bad-on-premises'
    },
    {
      id: 'az500-223',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: {
        en: 'Proseware runs a multitenant AKS cluster with many namespaces owned by different application teams. The platform team wants pods to obtain Azure tokens by using Kubernetes service accounts and OpenID Connect, without installing older pod identity components. Security also requires secretless authentication for access to Key Vault and Storage.',
        de: 'Proseware betreibt einen mandantenfähigen AKS-Cluster mit vielen Namespaces, die verschiedenen Anwendungsteams gehören. Das Plattformteam möchte, dass Pods Azure-Token über Kubernetes-Dienstkonten und OpenID Connect erhalten, ohne ältere Pod-Identity-Komponenten zu installieren. Außerdem verlangt die Sicherheit eine geheimnisfreie Authentifizierung für den Zugriff auf Key Vault und Storage.'
      },
      question: {
        en: 'Which solution should you deploy?',
        de: 'Welche Lösung sollten Sie bereitstellen?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra Workload ID', de: 'Microsoft Entra Workload ID' } },
        { id: 'B', text: { en: 'A shared client secret in a Kubernetes secret', de: 'Ein gemeinsames Clientgeheimnis in einem Kubernetes-Secret' } },
        { id: 'C', text: { en: 'A local kubeconfig file on every node', de: 'Eine lokale kubeconfig-Datei auf jedem Knoten' } },
        { id: 'D', text: { en: 'A break-glass user account', de: 'Ein Break-Glass-Benutzerkonto' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Entra Workload ID uses OIDC federation between Kubernetes service accounts and Microsoft Entra ID for secretless workload access.',
        de: 'Microsoft Entra Workload ID verwendet OIDC-Verbund zwischen Kubernetes-Dienstkonten und Microsoft Entra ID für einen geheimnisfreien Workloadzugriff.'
      },
      hint: {
        en: 'Use the modern AKS federation approach based on OIDC and service accounts.',
        de: 'Verwenden Sie den modernen AKS-Verbundansatz auf Basis von OIDC und Dienstkonten.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/aks/workload-identity-overview'
    },
    {
      id: 'az500-224',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra feature should you use to delegate user and group administration for only the Europe office objects in the directory?',
        de: 'Welche Microsoft-Entra-Funktion sollten Sie verwenden, um die Benutzer- und Gruppenverwaltung nur für die Verzeichnisobjekte des europäischen Standorts zu delegieren?'
      },
      options: [
        { id: 'A', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'B', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } },
        { id: 'C', text: { en: 'Conditional Access named locations', de: 'Benannte Standorte für bedingten Zugriff' } },
        { id: 'D', text: { en: 'Azure DNS private zones', de: 'Private Azure-DNS-Zonen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Administrative units scope directory administration to a subset of users, groups, or devices instead of the whole tenant.',
        de: 'Administrative Einheiten begrenzen die Verzeichnisverwaltung auf eine Teilmenge von Benutzern, Gruppen oder Geräten statt auf den gesamten Mandanten.'
      },
      hint: {
        en: 'Choose the feature for delegated administration of part of the directory.',
        de: 'Wählen Sie die Funktion für die delegierte Verwaltung eines Teils des Verzeichnisses.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units'
    },
    {
      id: 'az500-225',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which assignments can Microsoft Entra access reviews evaluate? Choose all that apply.',
        de: 'Welche Zuweisungen können Microsoft-Entra-Zugriffsüberprüfungen auswerten? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra group memberships', de: 'Mitgliedschaften in Microsoft-Entra-Gruppen' } },
        { id: 'B', text: { en: 'Enterprise application access assignments', de: 'Zugriffszuweisungen für Unternehmensanwendungen' } },
        { id: 'C', text: { en: 'Privileged role assignments', de: 'Zuweisungen privilegierter Rollen' } },
        { id: 'D', text: { en: 'Azure subscription spending limits', de: 'Ausgabenlimits für Azure-Abonnements' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Access reviews can validate membership in groups, access to enterprise apps, and privileged role assignments, but not billing settings.',
        de: 'Zugriffsüberprüfungen können Gruppenmitgliedschaften, Zugriffe auf Unternehmensanwendungen und Zuweisungen privilegierter Rollen validieren, jedoch keine Abrechnungs- oder Ausgabeneinstellungen.'
      },
      hint: {
        en: 'Select identity and access assignments, not cost-management settings.',
        de: 'Wählen Sie Identitäts- und Zugriffszuweisungen und keine Kostenverwaltungseinstellungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'az500-226',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'When multiple NSG rules could match the same traffic, which rule is processed first?',
        de: 'Wenn mehrere NSG-Regeln auf denselben Datenverkehr zutreffen könnten, welche Regel wird zuerst verarbeitet?'
      },
      options: [
        { id: 'A', text: { en: 'The rule with the lowest priority number', de: 'Die Regel mit der niedrigsten Prioritätsnummer' } },
        { id: 'B', text: { en: 'The newest rule', de: 'Die neueste Regel' } },
        { id: 'C', text: { en: 'The rule with the longest name', de: 'Die Regel mit dem längsten Namen' } },
        { id: 'D', text: { en: 'The deny rule only if it is inbound', de: 'Die Verweigerungsregel nur, wenn sie eingehend ist' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'NSG rules are evaluated by priority, and lower numbers have higher precedence.',
        de: 'NSG-Regeln werden nach Priorität ausgewertet, wobei niedrigere Nummern eine höhere Vorrangigkeit haben.'
      },
      hint: {
        en: 'In NSGs, smaller numbers win.',
        de: 'Bei NSGs gewinnen kleinere Zahlen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-227',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure service should you use for a globally distributed web application that needs edge-based WAF protection and acceleration?',
        de: 'Welchen Azure-Dienst sollten Sie für eine global verteilte Webanwendung verwenden, die WAF-Schutz am Edge und Beschleunigung benötigt?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Network Watcher', de: 'Network Watcher' } },
        { id: 'D', text: { en: 'Azure Backup', de: 'Azure Backup' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Front Door provides global entry, acceleration, and WAF capabilities at the Microsoft edge network.',
        de: 'Azure Front Door bietet globalen Einstieg, Beschleunigung und WAF-Funktionen im Microsoft-Edge-Netzwerk.'
      },
      hint: {
        en: 'Choose the global edge service, not the regional gateway or VM access service.',
        de: 'Wählen Sie den globalen Edge-Dienst und nicht das regionale Gateway oder den VM-Zugriffsdienst.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/frontdoor/front-door-overview'
    },
    {
      id: 'az500-228',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure DDoS Network Protection capabilities go beyond the built-in basic platform service? Choose all that apply.',
        de: 'Welche Funktionen von Azure DDoS Network Protection gehen über den integrierten grundlegenden Plattformdienst hinaus? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Always-on traffic monitoring and attack mitigation', de: 'Ständige Datenverkehrsüberwachung und Angriffsmitigation' } },
        { id: 'B', text: { en: 'Attack analytics and telemetry', de: 'Angriffsanalysen und Telemetrie' } },
        { id: 'C', text: { en: 'Cost protection for scale-out charges from covered attacks', de: 'Kostenschutz für Skalierungskosten bei abgedeckten Angriffen' } },
        { id: 'D', text: { en: 'SQL vulnerability assessment reports', de: 'Berichte zur SQL-Sicherheitslückenbewertung' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Azure DDoS Network Protection provides enhanced mitigation, telemetry, and cost protection benefits for protected public IP resources.',
        de: 'Azure DDoS Network Protection bietet erweiterten Schutz, Telemetrie und Kostenschutz für geschützte Ressourcen mit öffentlichen IP-Adressen.'
      },
      hint: {
        en: 'Focus on network attack protection capabilities, not database assessment tools.',
        de: 'Konzentrieren Sie sich auf Funktionen zum Schutz vor Netzwerkangriffen und nicht auf Datenbank-Bewertungstools.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview'
    },
    {
      id: 'az500-229',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Contoso hosts an Azure SQL Database that stores payroll data. Application servers in a VNet must reach the database by using a private IP address only. Internet-based access to the database endpoint must be blocked completely.',
        de: 'Contoso hostet eine Azure-SQL-Datenbank mit Gehaltsdaten. Anwendungsserver in einem VNet müssen die Datenbank ausschließlich über eine private IP-Adresse erreichen. Internetbasierter Zugriff auf den Datenbankendpunkt muss vollständig blockiert werden.'
      },
      question: {
        en: 'Which private access configuration should you configure for Azure SQL?',
        de: 'Welche Konfiguration für privaten Zugriff sollten Sie für Azure SQL einrichten?'
      },
      options: [
        { id: 'A', text: { en: 'A service endpoint only', de: 'Nur einen Dienstendpunkt' } },
        { id: 'B', text: { en: 'A private endpoint and disable public network access', de: 'Einen privaten Endpunkt und die Deaktivierung des öffentlichen Netzwerkzugriffs' } },
        { id: 'C', text: { en: 'An NSG on the SQL logical server', de: 'Eine NSG auf dem logischen SQL-Server' } },
        { id: 'D', text: { en: 'Application Proxy preauthentication', de: 'Application-Proxy-Vorabauthentifizierung' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'A private endpoint gives the PaaS resource a private IP in the VNet, and disabling public network access removes exposure over the public endpoint.',
        de: 'Ein privater Endpunkt weist der PaaS-Ressource eine private IP im VNet zu, und durch das Deaktivieren des öffentlichen Netzwerkzugriffs entfällt die Erreichbarkeit über den öffentlichen Endpunkt.'
      },
      hint: {
        en: 'Use Azure Private Link, not just endpoint-based filtering.',
        de: 'Verwenden Sie Azure Private Link und nicht nur eine endpointbasierte Filterung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-link-overview'
    },
    {
      id: 'az500-230',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure service provides browser-based RDP and SSH access to VMs without assigning public IP addresses to the VMs?',
        de: 'Welcher Azure-Dienst stellt browserbasierten RDP- und SSH-Zugriff auf VMs bereit, ohne den VMs öffentliche IP-Adressen zuzuweisen?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'B', text: { en: 'Azure Firewall', de: 'Azure Firewall' } },
        { id: 'C', text: { en: 'Application Gateway', de: 'Application Gateway' } },
        { id: 'D', text: { en: 'Traffic Manager', de: 'Traffic Manager' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Bastion offers secure RDP and SSH connectivity over TLS from the Azure portal without exposing VMs to the internet.',
        de: 'Azure Bastion bietet sicheren RDP- und SSH-Zugriff über TLS aus dem Azure-Portal, ohne VMs dem Internet auszusetzen.'
      },
      hint: {
        en: 'Choose the service built for secure VM management access.',
        de: 'Wählen Sie den Dienst, der für sicheren Verwaltungszugriff auf VMs vorgesehen ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/bastion/bastion-overview'
    },
    {
      id: 'az500-231',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Azure service centralizes deployment and policy management for Azure Firewall instances across regions and hubs?',
        de: 'Welcher Azure-Dienst zentralisiert die Bereitstellung und Richtlinienverwaltung für Azure-Firewall-Instanzen über Regionen und Hubs hinweg?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Firewall Manager', de: 'Azure Firewall Manager' } },
        { id: 'B', text: { en: 'Microsoft Sentinel', de: 'Microsoft Sentinel' } },
        { id: 'C', text: { en: 'Azure Monitor Alerts', de: 'Azure Monitor Alerts' } },
        { id: 'D', text: { en: 'Azure Policy guest configuration', de: 'Azure Policy Guest Configuration' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Firewall Manager provides central security policy and deployment management for Azure Firewall and secured virtual hub scenarios.',
        de: 'Azure Firewall Manager bietet eine zentrale Verwaltung von Sicherheitsrichtlinien und Bereitstellungen für Azure Firewall und Szenarien mit gesichertem virtuellem Hub.'
      },
      hint: {
        en: 'Look for the management plane built specifically for Azure Firewall at scale.',
        de: 'Suchen Sie nach der Verwaltungsebene, die speziell für Azure Firewall im großen Maßstab entwickelt wurde.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall-manager/overview'
    },
    {
      id: 'az500-232',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: {
        en: 'Fabrikam administrators manage production VMs only during approved maintenance windows. They want management ports to stay closed by default and open only for the approved source IPs for a limited time. The solution should be managed from the security posture tooling that already monitors the subscription.',
        de: 'Administratoren bei Fabrikam verwalten Produktions-VMs nur während genehmigter Wartungsfenster. Verwaltungsports sollen standardmäßig geschlossen bleiben und nur für genehmigte Quell-IP-Adressen für eine begrenzte Zeit geöffnet werden. Die Lösung soll über das Sicherheitsstatus-Tool verwaltet werden, das das Abonnement bereits überwacht.'
      },
      question: {
        en: 'What should you use?',
        de: 'Was sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Just-in-time VM access in Defender for Cloud', de: 'Just-in-Time-VM-Zugriff in Defender for Cloud' } },
        { id: 'B', text: { en: 'A permanent NSG allow rule', de: 'Eine permanente NSG-Zulassungsregel' } },
        { id: 'C', text: { en: 'Application Proxy', de: 'Application Proxy' } },
        { id: 'D', text: { en: 'An Azure Front Door origin group', de: 'Eine Azure-Front-Door-Origin-Gruppe' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Just-in-time VM access reduces exposure by keeping management ports closed until approved access is requested and time limited.',
        de: 'Just-in-Time-VM-Zugriff reduziert die Angriffsfläche, indem Verwaltungsports geschlossen bleiben, bis genehmigter Zugriff angefordert wird und zeitlich begrenzt ist.'
      },
      hint: {
        en: 'Use the Defender for Cloud feature for temporary management port exposure.',
        de: 'Verwenden Sie die Defender-for-Cloud-Funktion für eine temporäre Freigabe von Verwaltungsports.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview'
    },
    {
      id: 'az500-233',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure service is a cloud-native, stateful network security service for controlling traffic in Azure virtual networks?',
        de: 'Welcher Azure-Dienst ist ein cloudnativer, zustandsbehafteter Netzwerksicherheitsdienst zur Steuerung des Datenverkehrs in Azure Virtual Networks?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Firewall', de: 'Azure Firewall' } },
        { id: 'B', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'C', text: { en: 'Microsoft Purview', de: 'Microsoft Purview' } },
        { id: 'D', text: { en: 'Azure DevOps', de: 'Azure DevOps' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Firewall is a managed, stateful firewall service for controlling and logging network traffic in Azure.',
        de: 'Azure Firewall ist ein verwalteter, zustandsbehafteter Firewall-Dienst zur Steuerung und Protokollierung des Netzwerkverkehrs in Azure.'
      },
      hint: {
        en: 'Choose the dedicated managed firewall service.',
        de: 'Wählen Sie den dedizierten verwalteten Firewall-Dienst.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/overview'
    },
    {
      id: 'az500-234',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which parts of an HTTP request can a Web Application Firewall inspect? Choose all that apply.',
        de: 'Welche Teile einer HTTP-Anforderung kann eine Web Application Firewall überprüfen? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Headers', de: 'Header' } },
        { id: 'B', text: { en: 'Cookies', de: 'Cookies' } },
        { id: 'C', text: { en: 'Query strings', de: 'Abfragezeichenfolgen' } },
        { id: 'D', text: { en: 'Managed disk snapshots', de: 'Snapshots verwalteter Datenträger' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'WAF engines inspect web request elements such as headers, cookies, and query strings to detect malicious patterns.',
        de: 'WAF-Engines überprüfen Webanforderungselemente wie Header, Cookies und Abfragezeichenfolgen, um schädliche Muster zu erkennen.'
      },
      hint: {
        en: 'Focus on HTTP content, not storage objects.',
        de: 'Konzentrieren Sie sich auf HTTP-Inhalte und nicht auf Speicherobjekte.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-235',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: {
        en: 'Tailwind Traders is deploying a regional internet-facing application in Azure. The app needs autoscaling, TLS termination, path-based routing, and OWASP protection in front of the web servers. The architecture does not require global anycast entry points.',
        de: 'Tailwind Traders stellt eine regionale, internetseitige Anwendung in Azure bereit. Die App benötigt Autoskalierung, TLS-Terminierung, pfadbasiertes Routing und OWASP-Schutz vor den Webservern. Die Architektur erfordert keine globalen Anycast-Einstiegspunkte.'
      },
      question: {
        en: 'Which service tier best meets the requirement?',
        de: 'Welche Dienstebene erfüllt die Anforderung am besten?'
      },
      options: [
        { id: 'A', text: { en: 'Application Gateway WAF v2', de: 'Application Gateway WAF v2' } },
        { id: 'B', text: { en: 'Azure Bastion Standard', de: 'Azure Bastion Standard' } },
        { id: 'C', text: { en: 'Azure DDoS IP Protection only', de: 'Nur Azure DDoS IP Protection' } },
        { id: 'D', text: { en: 'Network Security Group', de: 'Netzwerksicherheitsgruppe' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Application Gateway WAF v2 provides regional layer-7 load balancing, autoscaling, and integrated WAF protection.',
        de: 'Application Gateway WAF v2 bietet regionalen Layer-7-Lastenausgleich, Autoskalierung und integrierten WAF-Schutz.'
      },
      hint: {
        en: 'Choose the regional layer-7 gateway with built-in WAF.',
        de: 'Wählen Sie das regionale Layer-7-Gateway mit integrierter WAF.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/application-gateway/overview'
    },
    {
      id: 'az500-236',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Azure Firewall SKU supports TLS inspection for outbound and east-west traffic inspection scenarios?',
        de: 'Welche Azure-Firewall-SKU unterstützt TLS-Inspektion für Szenarien der Prüfung von ausgehendem und East-West-Datenverkehr?'
      },
      options: [
        { id: 'A', text: { en: 'Basic', de: 'Basic' } },
        { id: 'B', text: { en: 'Standard', de: 'Standard' } },
        { id: 'C', text: { en: 'Premium', de: 'Premium' } },
        { id: 'D', text: { en: 'Free', de: 'Free' } }
      ],
      correct: ['C'],
      explanation: {
        en: 'Azure Firewall Premium adds advanced capabilities such as TLS inspection and enhanced intrusion detection and prevention.',
        de: 'Azure Firewall Premium ergänzt erweiterte Funktionen wie TLS-Inspektion und eine verbesserte Erkennung und Verhinderung von Eindringversuchen.'
      },
      hint: {
        en: 'Choose the most feature-rich Azure Firewall SKU.',
        de: 'Wählen Sie die funktionsreichste SKU von Azure Firewall.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/premium-features'
    },
    {
      id: 'az500-237',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure networking capability gives a PaaS resource a private IP address inside your virtual network?',
        de: 'Welche Azure-Netzwerkfunktion weist einer PaaS-Ressource eine private IP-Adresse innerhalb Ihres virtuellen Netzwerks zu?'
      },
      options: [
        { id: 'A', text: { en: 'Private Endpoint', de: 'Privater Endpunkt' } },
        { id: 'B', text: { en: 'Service Endpoint', de: 'Dienstendpunkt' } },
        { id: 'C', text: { en: 'NSG flow logs', de: 'NSG-Datenflussprotokolle' } },
        { id: 'D', text: { en: 'Traffic Analytics', de: 'Traffic Analytics' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A private endpoint maps the PaaS resource into your VNet by using a private IP address through Azure Private Link.',
        de: 'Ein privater Endpunkt bindet die PaaS-Ressource über Azure Private Link mit einer privaten IP-Adresse in Ihr VNet ein.'
      },
      hint: {
        en: 'Choose the option that places the service on a private IP in your VNet.',
        de: 'Wählen Sie die Option, die den Dienst mit einer privaten IP in Ihr VNet bringt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-link-overview'
    },
    {
      id: 'az500-238',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'To make a private endpoint reachable from on-premises by private name resolution, which components do you typically need? Choose all that apply.',
        de: 'Welche Komponenten benötigen Sie typischerweise, damit ein privater Endpunkt vom lokalen Netzwerk aus per privater Namensauflösung erreichbar ist? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'A private endpoint', de: 'Einen privaten Endpunkt' } },
        { id: 'B', text: { en: 'A private DNS zone', de: 'Eine private DNS-Zone' } },
        { id: 'C', text: { en: 'DNS forwarding or conditional forwarding from on-premises', de: 'DNS-Weiterleitung oder bedingte Weiterleitung aus dem lokalen Netzwerk' } },
        { id: 'D', text: { en: 'An Azure DDoS Protection plan', de: 'Einen Azure-DDoS-Protection-Plan' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Private endpoints rely on private DNS integration, and on-premises clients usually need DNS forwarding to resolve Azure private endpoint names correctly.',
        de: 'Private Endpunkte sind auf die Integration privater DNS-Zonen angewiesen, und lokale Clients benötigen in der Regel DNS-Weiterleitung, um Azure-Namen privater Endpunkte korrekt aufzulösen.'
      },
      hint: {
        en: 'Think about both connectivity and DNS resolution.',
        de: 'Denken Sie sowohl an Konnektivität als auch an DNS-Auflösung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-dns'
    },
    {
      id: 'az500-239',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: {
        en: 'Litware uses a hub-and-spoke network topology in Azure. Security requires all internet-bound traffic from the spokes to be inspected centrally before leaving Azure. The company wants a managed firewall service and consistent routing across the spokes.',
        de: 'Litware verwendet in Azure eine Hub-and-Spoke-Netzwerktopologie. Die Sicherheit verlangt, dass sämtlicher internetgebundener Datenverkehr aus den Spokes zentral geprüft wird, bevor er Azure verlässt. Das Unternehmen möchte einen verwalteten Firewall-Dienst und ein konsistentes Routing über alle Spokes hinweg.'
      },
      question: {
        en: 'What is the best design?',
        de: 'Welches Design ist am besten geeignet?'
      },
      options: [
        { id: 'A', text: { en: 'Deploy Azure Firewall in the hub and route spoke traffic to it by using UDRs', de: 'Azure Firewall im Hub bereitstellen und den Spoke-Datenverkehr per UDRs dorthin routen' } },
        { id: 'B', text: { en: 'Publish every workload through Application Proxy', de: 'Jeden Workload über Application Proxy veröffentlichen' } },
        { id: 'C', text: { en: 'Use only subnet NSGs in each spoke', de: 'Nur Subnetz-NSGs in jedem Spoke verwenden' } },
        { id: 'D', text: { en: 'Use Azure Bastion for all outbound traffic', de: 'Azure Bastion für den gesamten ausgehenden Datenverkehr verwenden' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A hub firewall with user-defined routes is the standard pattern for central inspection of spoke traffic in Azure hub-and-spoke networks.',
        de: 'Eine Firewall im Hub mit benutzerdefinierten Routen ist das Standardmuster für die zentrale Prüfung von Spoke-Datenverkehr in Azure-Hub-and-Spoke-Netzwerken.'
      },
      hint: {
        en: 'Use central inspection plus routing, not just distributed ACLs.',
        de: 'Verwenden Sie zentrale Prüfung plus Routing und nicht nur verteilte ACLs.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/overview'
    },
    {
      id: 'az500-240',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure service lets administrators connect to a VM through the Azure portal by using a browser session over TLS?',
        de: 'Welcher Azure-Dienst ermöglicht Administratoren, über eine Browsersitzung im Azure-Portal per TLS eine Verbindung mit einer VM herzustellen?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'B', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'C', text: { en: 'Traffic Manager', de: 'Traffic Manager' } },
        { id: 'D', text: { en: 'Azure DNS', de: 'Azure DNS' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Bastion provides portal-based RDP and SSH access over TLS without exposing the target VMs publicly.',
        de: 'Azure Bastion bietet portalbasierten RDP- und SSH-Zugriff über TLS, ohne die Ziel-VMs öffentlich erreichbar zu machen.'
      },
      hint: {
        en: 'This is the secure portal access service for VMs.',
        de: 'Dies ist der Dienst für den sicheren Portalzugriff auf VMs.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/bastion/bastion-overview'
    },
    {
      id: 'az500-241',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which NSG feature should you use to allow traffic to Azure services without maintaining changing IP address ranges manually?',
        de: 'Welche NSG-Funktion sollten Sie verwenden, um Datenverkehr zu Azure-Diensten zuzulassen, ohne sich ändernde IP-Adressbereiche manuell pflegen zu müssen?'
      },
      options: [
        { id: 'A', text: { en: 'Service tags', de: 'Diensttags' } },
        { id: 'B', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'C', text: { en: 'Azure locks', de: 'Azure-Sperren' } },
        { id: 'D', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Service tags represent groups of IP prefixes for Azure services, reducing manual NSG maintenance.',
        de: 'Diensttags repräsentieren Gruppen von IP-Präfixen für Azure-Dienste und reduzieren den manuellen Pflegeaufwand für NSGs.'
      },
      hint: {
        en: 'Choose the abstraction layer for Azure service IP ranges.',
        de: 'Wählen Sie die Abstraktionsebene für die IP-Bereiche von Azure-Diensten.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-242',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Woodgrove Bank is modernizing a global customer portal. The portal must use a single global entry point, provide WAF protection near users, support bot protection and geo filtering, and accelerate traffic to regional back ends. The security team wants to manage these protections as edge policies.',
        de: 'Woodgrove Bank modernisiert ein globales Kundenportal. Das Portal muss einen einzigen globalen Einstiegspunkt verwenden, WAF-Schutz nahe bei den Benutzern bereitstellen, Bot-Schutz und Geofilterung unterstützen und den Datenverkehr zu regionalen Back-Ends beschleunigen. Das Sicherheitsteam möchte diese Schutzmaßnahmen als Edge-Richtlinien verwalten.'
      },
      question: {
        en: 'Which Azure service should you deploy?',
        de: 'Welchen Azure-Dienst sollten Sie bereitstellen?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Front Door with WAF policy', de: 'Azure Front Door mit WAF-Richtlinie' } },
        { id: 'B', text: { en: 'Azure Bastion Basic', de: 'Azure Bastion Basic' } },
        { id: 'C', text: { en: 'Route Server', de: 'Route Server' } },
        { id: 'D', text: { en: 'Private DNS Resolver', de: 'Private DNS Resolver' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Front Door is the global edge entry point that combines acceleration with WAF capabilities such as custom rules and geo filtering.',
        de: 'Azure Front Door ist der globale Edge-Einstiegspunkt, der Beschleunigung mit WAF-Funktionen wie benutzerdefinierten Regeln und Geofilterung kombiniert.'
      },
      hint: {
        en: 'Choose the global edge security and acceleration platform.',
        de: 'Wählen Sie die globale Edge-Plattform für Sicherheit und Beschleunigung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/afds/afds-overview'
    },
    {
      id: 'az500-243',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure feature extends a subnet identity to selected PaaS services but does not assign a private IP address to the service?',
        de: 'Welche Azure-Funktion erweitert die Identität eines Subnetzes auf ausgewählte PaaS-Dienste, weist dem Dienst jedoch keine private IP-Adresse zu?'
      },
      options: [
        { id: 'A', text: { en: 'Service endpoint', de: 'Dienstendpunkt' } },
        { id: 'B', text: { en: 'Private endpoint', de: 'Privater Endpunkt' } },
        { id: 'C', text: { en: 'Bastion host', de: 'Bastion-Host' } },
        { id: 'D', text: { en: 'Application Proxy', de: 'Application Proxy' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Service endpoints secure traffic to supported PaaS services from a subnet over the Azure backbone without placing the service on a private IP in your VNet.',
        de: 'Dienstendpunkte sichern den Datenverkehr von einem Subnetz zu unterstützten PaaS-Diensten über das Azure-Backbone, ohne den Dienst mit einer privaten IP in Ihrem VNet zu platzieren.'
      },
      hint: {
        en: 'This option is subnet-based, not NIC-based.',
        de: 'Diese Option ist subnetzbasiert und nicht NIC-basiert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/virtual-network-service-endpoints-overview'
    },
    {
      id: 'az500-244',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which traffic properties can an NSG rule evaluate? Choose all that apply.',
        de: 'Welche Datenverkehrseigenschaften kann eine NSG-Regel auswerten? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Source and destination IP addresses', de: 'Quell- und Ziel-IP-Adressen' } },
        { id: 'B', text: { en: 'Protocol', de: 'Protokoll' } },
        { id: 'C', text: { en: 'Source and destination ports', de: 'Quell- und Zielports' } },
        { id: 'D', text: { en: 'Key Vault key type', de: 'Key-Vault-Schlüsseltyp' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'NSG rules filter traffic by IP addresses, ports, protocol, and direction, not by unrelated application metadata.',
        de: 'NSG-Regeln filtern den Datenverkehr nach IP-Adressen, Ports, Protokoll und Richtung, jedoch nicht nach nicht zusammenhängenden Anwendungsmetadaten.'
      },
      hint: {
        en: 'Think about layer-3 and layer-4 criteria.',
        de: 'Denken Sie an Kriterien auf Ebene 3 und 4.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-245',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Humongous Insurance is connecting many branch offices and Azure VNets. The company wants centralized security inspection, simplified branch connectivity, and a managed global transit architecture. The network team also wants to apply firewall policies consistently across these connections.',
        de: 'Humongous Insurance verbindet viele Niederlassungen und Azure-VNets. Das Unternehmen möchte eine zentrale Sicherheitsprüfung, vereinfachte Niederlassungskonnektivität und eine verwaltete globale Transitarchitektur. Das Netzwerkteam möchte Firewallrichtlinien außerdem konsistent über diese Verbindungen hinweg anwenden.'
      },
      question: {
        en: 'Which design best meets the requirement?',
        de: 'Welches Design erfüllt die Anforderung am besten?'
      },
      options: [
        { id: 'A', text: { en: 'Virtual WAN secured virtual hub with Azure Firewall', de: 'Virtual WAN mit gesichertem virtuellem Hub und Azure Firewall' } },
        { id: 'B', text: { en: 'A separate NSG in every branch router', de: 'Eine separate NSG in jedem Branch-Router' } },
        { id: 'C', text: { en: 'Azure Bastion in every branch office', de: 'Azure Bastion in jeder Niederlassung' } },
        { id: 'D', text: { en: 'An Application Gateway in every subnet', de: 'Ein Application Gateway in jedem Subnetz' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A secured virtual hub in Virtual WAN provides managed transit connectivity and centralized security inspection with Azure Firewall.',
        de: 'Ein gesicherter virtueller Hub in Virtual WAN bietet verwaltete Transitkonnektivität und eine zentrale Sicherheitsprüfung mit Azure Firewall.'
      },
      hint: {
        en: 'Use the managed branch and transit networking architecture with integrated security.',
        de: 'Verwenden Sie die verwaltete Architektur für Niederlassungs- und Transitnetzwerke mit integrierter Sicherheit.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall-manager/secured-virtual-hub'
    },
    {
      id: 'az500-246',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure networking tool helps you determine whether an NSG is allowing or denying specific traffic to a VM?',
        de: 'Welches Azure-Netzwerktool hilft Ihnen festzustellen, ob eine NSG bestimmten Datenverkehr zu einer VM zulässt oder verweigert?'
      },
      options: [
        { id: 'A', text: { en: 'IP flow verify', de: 'IP Flow Verify' } },
        { id: 'B', text: { en: 'Cost analysis', de: 'Kostenanalyse' } },
        { id: 'C', text: { en: 'Application Insights Profiler', de: 'Application Insights Profiler' } },
        { id: 'D', text: { en: 'Azure Policy remediation', de: 'Azure-Policy-Korrektur' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'IP flow verify in Network Watcher tests effective NSG and routing decisions for traffic to or from a VM.',
        de: 'IP Flow Verify in Network Watcher testet effektive NSG- und Routingentscheidungen für Datenverkehr zu oder von einer VM.'
      },
      hint: {
        en: 'Choose the diagnostic feature that simulates packet decisions.',
        de: 'Wählen Sie die Diagnosefunktion, die Paketentscheidungen simuliert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/network-watcher/ip-flow-verify-overview'
    },
    {
      id: 'az500-247',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Azure service provides scalable, outbound-only internet connectivity for resources in a subnet without exposing inbound ports?',
        de: 'Welcher Azure-Dienst stellt skalierbare, rein ausgehende Internetkonnektivität für Ressourcen in einem Subnetz bereit, ohne eingehende Ports offenzulegen?'
      },
      options: [
        { id: 'A', text: { en: 'NAT Gateway', de: 'NAT Gateway' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Application Gateway', de: 'Application Gateway' } },
        { id: 'D', text: { en: 'Load Balancer inbound NAT rule', de: 'Eingehende NAT-Regel des Load Balancers' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'NAT Gateway provides managed outbound connectivity and does not open inbound management or application ports.',
        de: 'NAT Gateway bietet verwaltete ausgehende Konnektivität und öffnet keine eingehenden Verwaltungs- oder Anwendungsports.'
      },
      hint: {
        en: 'Choose the managed outbound egress service.',
        de: 'Wählen Sie den verwalteten Dienst für ausgehenden Datenverkehr.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/nat-gateway/nat-overview'
    },
    {
      id: 'az500-248',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which capabilities are specific to Azure Firewall Premium? Choose all that apply.',
        de: 'Welche Funktionen sind spezifisch für Azure Firewall Premium? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'TLS inspection', de: 'TLS-Inspektion' } },
        { id: 'B', text: { en: 'Intrusion detection and prevention', de: 'Erkennung und Verhinderung von Eindringversuchen' } },
        { id: 'C', text: { en: 'Web categories', de: 'Webkategorien' } },
        { id: 'D', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Azure Firewall Premium adds TLS inspection, IDPS, and advanced web filtering capabilities beyond the base experience.',
        de: 'Azure Firewall Premium ergänzt die Grundfunktionalität um TLS-Inspektion, IDPS und erweiterte Webfilterfunktionen.'
      },
      hint: {
        en: 'Select the advanced inspection features of the Premium SKU.',
        de: 'Wählen Sie die erweiterten Prüfungsfunktionen der Premium-SKU.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/premium-features'
    },
    {
      id: 'az500-249',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Contoso runs a public App Service that must be reachable through a single global entry point with WAF. The security team does not want the App Service origin to be directly reachable from the internet. They also want Microsoft-managed private connectivity between the edge service and the origin.',
        de: 'Contoso betreibt einen öffentlichen App Service, der über einen einzigen globalen Einstiegspunkt mit WAF erreichbar sein muss. Das Sicherheitsteam möchte nicht, dass der App-Service-Ursprung direkt aus dem Internet erreichbar ist. Außerdem wird eine von Microsoft verwaltete private Konnektivität zwischen dem Edge-Dienst und dem Ursprung gefordert.'
      },
      question: {
        en: 'Which edge-to-origin connectivity design should you configure?',
        de: 'Welches Design für die Konnektivität zwischen Edge und Ursprung sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Front Door Premium with Private Link to the App Service origin', de: 'Azure Front Door Premium mit Private Link zum App-Service-Ursprung' } },
        { id: 'B', text: { en: 'A public load balancer in front of App Service', de: 'Einen öffentlichen Load Balancer vor App Service' } },
        { id: 'C', text: { en: 'Only an NSG on the App Service plan subnet', de: 'Nur eine NSG im Subnetz des App-Service-Plans' } },
        { id: 'D', text: { en: 'Azure Bastion for users', de: 'Azure Bastion für Benutzer' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Front Door Premium can use Private Link to supported origins so traffic stays private between Front Door and the App Service origin.',
        de: 'Azure Front Door Premium kann Private Link zu unterstützten Ursprüngen verwenden, sodass der Datenverkehr zwischen Front Door und dem App-Service-Ursprung privat bleibt.'
      },
      hint: {
        en: 'Choose the edge service tier that supports private origin connectivity.',
        de: 'Wählen Sie die Edge-Dienstebene, die private Ursprungskonnektivität unterstützt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/frontdoor/private-link'
    },
    {
      id: 'az500-250',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure capability helps protect web applications from common layer-7 exploits such as SQL injection and cross-site scripting?',
        de: 'Welche Azure-Funktion schützt Webanwendungen vor häufigen Layer-7-Angriffen wie SQL Injection und Cross-Site Scripting?'
      },
      options: [
        { id: 'A', text: { en: 'Web Application Firewall (WAF)', de: 'Web Application Firewall (WAF)' } },
        { id: 'B', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } },
        { id: 'C', text: { en: 'Azure Queue Storage', de: 'Azure Queue Storage' } },
        { id: 'D', text: { en: 'Azure Site Recovery', de: 'Azure Site Recovery' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A WAF inspects HTTP and HTTPS traffic for web attack patterns and can block malicious requests.',
        de: 'Eine WAF prüft HTTP- und HTTPS-Datenverkehr auf Webangriffsmuster und kann schädliche Anforderungen blockieren.'
      },
      hint: {
        en: 'Think about protection against OWASP-style web attacks.',
        de: 'Denken Sie an Schutz vor Webangriffen im Stil der OWASP.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-251',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure Key Vault capability lets you recover deleted vaults, keys, and secrets during a retention period?',
        de: 'Welche Azure-Key-Vault-Funktion ermöglicht es Ihnen, gelöschte Vaults, Schlüssel und Geheimnisse innerhalb eines Aufbewahrungszeitraums wiederherzustellen?'
      },
      options: [
        { id: 'A', text: { en: 'Soft delete', de: 'Vorläufiges Löschen' } },
        { id: 'B', text: { en: 'Disk bursting', de: 'Datenträger-Bursting' } },
        { id: 'C', text: { en: 'Geo-replication', de: 'Georeplikation' } },
        { id: 'D', text: { en: 'Point-in-time restore', de: 'Wiederherstellung zu einem bestimmten Zeitpunkt' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Soft delete retains deleted Key Vault objects for a retention period so they can be recovered if deletion was accidental or malicious.',
        de: 'Beim vorläufigen Löschen bleiben gelöschte Key-Vault-Objekte für einen Aufbewahrungszeitraum erhalten, sodass sie bei versehentlicher oder böswilliger Löschung wiederhergestellt werden können.'
      },
      hint: {
        en: 'Choose the safety feature for accidental deletion recovery.',
        de: 'Wählen Sie die Schutzfunktion zur Wiederherstellung nach versehentlichem Löschen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/soft-delete-overview'
    },
    {
      id: 'az500-252',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Key Vault setting prevents permanently deleting a vault or object until the soft-delete retention period expires?',
        de: 'Welche Key-Vault-Einstellung verhindert das endgültige Löschen eines Vaults oder Objekts, bis der Aufbewahrungszeitraum des vorläufigen Löschens abgelaufen ist?'
      },
      options: [
        { id: 'A', text: { en: 'Secure transfer required', de: 'Sichere Übertragung erforderlich' } },
        { id: 'B', text: { en: 'Purge protection', de: 'Purge Protection' } },
        { id: 'C', text: { en: 'Trusted launch', de: 'Trusted Launch' } },
        { id: 'D', text: { en: 'Incremental snapshots', de: 'Inkrementelle Snapshots' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Purge protection blocks immediate permanent deletion and is especially important for vaults that store production encryption keys.',
        de: 'Purge Protection verhindert eine sofortige endgültige Löschung und ist besonders wichtig für Vaults, die produktive Verschlüsselungsschlüssel speichern.'
      },
      hint: {
        en: 'This control complements soft delete by blocking permanent removal.',
        de: 'Diese Kontrolle ergänzt das vorläufige Löschen, indem sie die endgültige Entfernung blockiert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/soft-delete-overview'
    },
    {
      id: 'az500-253',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure Key Vault object types are data-plane items that you can version and reference directly from applications? Choose all that apply.',
        de: 'Welche Azure-Key-Vault-Objekttypen sind Datenebenenobjekte, die Sie versionieren und direkt aus Anwendungen referenzieren können? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Keys', de: 'Schlüssel' } },
        { id: 'B', text: { en: 'Secrets', de: 'Geheimnisse' } },
        { id: 'C', text: { en: 'Certificates', de: 'Zertifikate' } },
        { id: 'D', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Keys, secrets, and certificates are versioned Key Vault data objects that applications and services can retrieve directly through Key Vault APIs.',
        de: 'Schlüssel, Geheimnisse und Zertifikate sind versionierte Datenobjekte in Key Vault, die Anwendungen und Dienste direkt über Key-Vault-APIs abrufen können.'
      },
      hint: {
        en: 'Focus on the versioned objects exposed by the Key Vault data plane.',
        de: 'Konzentrieren Sie sich auf die versionierten Objekte, die von der Key-Vault-Datenebene bereitgestellt werden.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'az500-254',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Contoso must use customer-managed keys for a storage account that contains regulated documents. The keys must be stored in Azure Key Vault, and the storage service must be able to access the key without any embedded credentials. The solution must support normal Azure key rotation practices.',
        de: 'Contoso muss kundenseitig verwaltete Schlüssel für ein Speicherkonto verwenden, das regulierte Dokumente enthält. Die Schlüssel müssen in Azure Key Vault gespeichert werden, und der Speicherdienst muss ohne eingebettete Anmeldeinformationen auf den Schlüssel zugreifen können. Die Lösung muss normale Azure-Verfahren zur Schlüsselrotation unterstützen.'
      },
      question: {
        en: 'Which storage encryption design should you configure?',
        de: 'Welches Speicherverschlüsselungsdesign sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'A storage account key stored in App Service settings', de: 'Einen Speicherkontoschlüssel in App-Service-Einstellungen' } },
        { id: 'B', text: { en: 'Storage encryption with a customer-managed key in Key Vault and a managed identity', de: 'Speicherverschlüsselung mit kundenseitig verwaltetem Schlüssel in Key Vault und einer verwalteten Identität' } },
        { id: 'C', text: { en: 'A shared access signature hardcoded in the application', de: 'Eine in der Anwendung hartcodierte Shared Access Signature' } },
        { id: 'D', text: { en: 'Azure Disk Encryption on the storage account', de: 'Azure Disk Encryption für das Speicherkonto' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Storage customer-managed keys use Azure Key Vault and a managed identity so the storage service can access the key securely without stored credentials.',
        de: 'Kundenseitig verwaltete Schlüssel für Storage verwenden Azure Key Vault und eine verwaltete Identität, damit der Speicherdienst sicher und ohne gespeicherte Anmeldeinformationen auf den Schlüssel zugreifen kann.'
      },
      hint: {
        en: 'Use the storage encryption design that combines Key Vault with managed identity.',
        de: 'Verwenden Sie das Speicherverschlüsselungsdesign, das Key Vault mit einer verwalteten Identität kombiniert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/customer-managed-keys-overview'
    },
    {
      id: 'az500-255',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which SAS type for Azure Blob Storage is signed with Microsoft Entra credentials instead of the storage account key?',
        de: 'Welcher SAS-Typ für Azure Blob Storage wird mit Microsoft-Entra-Anmeldeinformationen statt mit dem Speicherkontoschlüssel signiert?'
      },
      options: [
        { id: 'A', text: { en: 'Account SAS', de: 'Account SAS' } },
        { id: 'B', text: { en: 'Service SAS', de: 'Service SAS' } },
        { id: 'C', text: { en: 'User delegation SAS', de: 'User Delegation SAS' } },
        { id: 'D', text: { en: 'Stored access policy SAS', de: 'Stored-Access-Policy-SAS' } }
      ],
      correct: ['C'],
      explanation: {
        en: 'A user delegation SAS is secured with Microsoft Entra credentials and is recommended for Blob Storage when possible.',
        de: 'Eine User Delegation SAS wird mit Microsoft-Entra-Anmeldeinformationen abgesichert und wird für Blob Storage empfohlen, wenn dies möglich ist.'
      },
      hint: {
        en: 'Choose the SAS option tied to identity rather than the account key.',
        de: 'Wählen Sie die SAS-Option, die an eine Identität und nicht an den Kontoschlüssel gebunden ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview'
    },
    {
      id: 'az500-256',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Azure SQL feature keeps plaintext unavailable to the database engine by encrypting and decrypting sensitive columns in the client driver?',
        de: 'Welche Azure-SQL-Funktion hält Klartext für das Datenbankmodul unzugänglich, indem sensible Spalten im Clienttreiber verschlüsselt und entschlüsselt werden?'
      },
      options: [
        { id: 'A', text: { en: 'Transparent Data Encryption', de: 'Transparent Data Encryption' } },
        { id: 'B', text: { en: 'Dynamic data masking', de: 'Dynamische Datenmaskierung' } },
        { id: 'C', text: { en: 'Always Encrypted', de: 'Always Encrypted' } },
        { id: 'D', text: { en: 'SQL auditing', de: 'SQL-Auditing' } }
      ],
      correct: ['C'],
      explanation: {
        en: 'Always Encrypted protects sensitive data in use by ensuring encryption and decryption happen on the client side rather than in the database engine.',
        de: 'Always Encrypted schützt sensible Daten bei der Verwendung, indem Ver- und Entschlüsselung clientseitig und nicht im Datenbankmodul erfolgen.'
      },
      hint: {
        en: 'Choose the feature designed to protect data from database administrators and the engine itself.',
        de: 'Wählen Sie die Funktion, die Daten vor Datenbankadministratoren und dem Datenbankmodul selbst schützt.'
      },
      reference: 'https://learn.microsoft.com/en-us/sql/relational-databases/security/encryption/always-encrypted-database-engine'
    },
    {
      id: 'az500-257',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: {
        en: 'Fabrikam runs containerized workloads on AKS. The workloads need to consume secrets from Azure Key Vault and the application teams do not want to copy secrets into Kubernetes manifests or container images. The solution should support secret rotation with minimal code changes.',
        de: 'Fabrikam betreibt containerisierte Workloads auf AKS. Die Workloads müssen Geheimnisse aus Azure Key Vault verwenden, und die Anwendungsteams möchten keine Geheimnisse in Kubernetes-Manifeste oder Containerimages kopieren. Die Lösung soll die Rotation von Geheimnissen mit minimalen Codeänderungen unterstützen.'
      },
      question: {
        en: 'Which solution should you use?',
        de: 'Welche Lösung sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Key Vault provider for Secrets Store CSI Driver', de: 'Azure-Key-Vault-Provider für den Secrets Store CSI Driver' } },
        { id: 'B', text: { en: 'A plaintext ConfigMap', de: 'Eine ConfigMap im Klartext' } },
        { id: 'C', text: { en: 'A local file on each node', de: 'Eine lokale Datei auf jedem Knoten' } },
        { id: 'D', text: { en: 'An NSG service tag', de: 'Ein NSG-Diensttag' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'The Key Vault CSI integration lets AKS workloads retrieve secrets from Key Vault without hardcoding them into manifests or images.',
        de: 'Die Key-Vault-CSI-Integration ermöglicht es AKS-Workloads, Geheimnisse aus Key Vault abzurufen, ohne sie in Manifesten oder Images fest zu codieren.'
      },
      hint: {
        en: 'Use the AKS secret integration that mounts or syncs from Key Vault.',
        de: 'Verwenden Sie die AKS-Geheimnisintegration, die aus Key Vault einbindet oder synchronisiert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/aks/csi-secrets-store-driver'
    },
    {
      id: 'az500-258',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Defender for Cloud plan adds malware scanning and threat detection capabilities for Azure Storage accounts?',
        de: 'Welcher Microsoft-Defender-for-Cloud-Plan ergänzt Azure Storage-Konten um Funktionen für Malware-Scanning und Bedrohungserkennung?'
      },
      options: [
        { id: 'A', text: { en: 'Defender for Storage', de: 'Defender for Storage' } },
        { id: 'B', text: { en: 'Defender for DNS', de: 'Defender for DNS' } },
        { id: 'C', text: { en: 'Defender for DevOps', de: 'Defender for DevOps' } },
        { id: 'D', text: { en: 'Defender for Identity', de: 'Defender for Identity' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for Storage helps detect suspicious activity in storage accounts and can add advanced protection features such as malware scanning.',
        de: 'Defender for Storage hilft dabei, verdächtige Aktivitäten in Speicherkonten zu erkennen, und kann erweiterte Schutzfunktionen wie Malware-Scanning hinzufügen.'
      },
      hint: {
        en: 'Choose the Defender plan aligned to Azure Storage.',
        de: 'Wählen Sie den Defender-Plan, der zu Azure Storage passt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-storage-introduction'
    },
    {
      id: 'az500-259',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which methods can you use to restrict network access to Azure Key Vault? Choose all that apply.',
        de: 'Mit welchen Methoden können Sie den Netzwerkzugriff auf Azure Key Vault einschränken? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Firewall IP rules', de: 'Firewall-IP-Regeln' } },
        { id: 'B', text: { en: 'Private endpoints', de: 'Private Endpunkte' } },
        { id: 'C', text: { en: 'Virtual network rules', de: 'Regeln für virtuelle Netzwerke' } },
        { id: 'D', text: { en: 'Administrative units', de: 'Administrative Einheiten' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Key Vault network security can use firewall IP rules, selected virtual networks, and private endpoints to limit access paths.',
        de: 'Die Netzwerksicherheit von Key Vault kann Firewall-IP-Regeln, ausgewählte virtuelle Netzwerke und private Endpunkte verwenden, um Zugriffswege einzuschränken.'
      },
      hint: {
        en: 'Select actual network boundary controls, not identity delegation features.',
        de: 'Wählen Sie tatsächliche Netzwerkgrenzkontrollen und keine Identitätsdelegationsfunktionen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/network-security'
    },
    {
      id: 'az500-260',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Tailwind Traders is migrating a line-of-business database to Azure SQL Database. Security policy requires the service to be reachable only by private IP from an Azure VNet. Any public endpoint exposure must be disabled after migration.',
        de: 'Tailwind Traders migriert eine geschäftskritische Datenbank zu Azure SQL Database. Die Sicherheitsrichtlinie verlangt, dass der Dienst nur per privater IP aus einem Azure-VNet erreichbar ist. Jede Exposition über öffentliche Endpunkte muss nach der Migration deaktiviert werden.'
      },
      question: {
        en: 'Which configuration should you implement?',
        de: 'Welche Konfiguration sollten Sie implementieren?'
      },
      options: [
        { id: 'A', text: { en: 'A private endpoint and disable public network access', de: 'Einen privaten Endpunkt und die Deaktivierung des öffentlichen Netzwerkzugriffs' } },
        { id: 'B', text: { en: 'An NSG on the logical server subnet', de: 'Eine NSG im Subnetz des logischen Servers' } },
        { id: 'C', text: { en: 'A user delegation SAS', de: 'Eine User Delegation SAS' } },
        { id: 'D', text: { en: 'Application Gateway WAF', de: 'Application Gateway WAF' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure SQL private endpoints provide private connectivity, and disabling public network access ensures the database is not exposed publicly.',
        de: 'Private Endpunkte für Azure SQL stellen private Konnektivität bereit, und das Deaktivieren des öffentlichen Netzwerkzugriffs stellt sicher, dass die Datenbank nicht öffentlich erreichbar ist.'
      },
      hint: {
        en: 'Use Private Link rather than only network filtering rules.',
        de: 'Verwenden Sie Private Link und nicht nur Regeln zur Netzwerkfilterung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/private-endpoint-overview'
    },
    {
      id: 'az500-261',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure Storage feature provides write-once, read-many (WORM) protection with a time-based retention period?',
        de: 'Welche Azure-Storage-Funktion bietet Write-Once-Read-Many-(WORM)-Schutz mit einer zeitbasierten Aufbewahrungsdauer?'
      },
      options: [
        { id: 'A', text: { en: 'Immutable blob storage', de: 'Unveränderlicher Blobspeicher' } },
        { id: 'B', text: { en: 'Soft delete for blobs', de: 'Vorläufiges Löschen für Blobs' } },
        { id: 'C', text: { en: 'Premium file shares', de: 'Premium-Dateifreigaben' } },
        { id: 'D', text: { en: 'Table Storage', de: 'Table Storage' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Immutable blob storage supports WORM protection through time-based retention policies and legal holds.',
        de: 'Unveränderlicher Blobspeicher unterstützt WORM-Schutz durch zeitbasierte Aufbewahrungsrichtlinien und Legal Holds.'
      },
      hint: {
        en: 'Choose the feature built for retention and tamper resistance.',
        de: 'Wählen Sie die Funktion, die für Aufbewahrung und Manipulationsschutz entwickelt wurde.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/blobs/immutable-storage-overview'
    },
    {
      id: 'az500-262',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: {
        en: 'Humongous Insurance must keep claim records for seven years in Azure Storage. Regulators require the files to be nonmodifiable and undeletable during the retention period. The storage team prefers a native Azure Storage control instead of a custom application workflow.',
        de: 'Humongous Insurance muss Schadensakten sieben Jahre in Azure Storage aufbewahren. Regulatoren verlangen, dass die Dateien während des Aufbewahrungszeitraums weder geändert noch gelöscht werden können. Das Storage-Team bevorzugt eine native Azure-Storage-Steuerung statt eines benutzerdefinierten Anwendungsworkflows.'
      },
      question: {
        en: 'Which feature should you configure?',
        de: 'Welche Funktion sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'A time-based retention policy on immutable blob storage', de: 'Eine zeitbasierte Aufbewahrungsrichtlinie für unveränderlichen Blobspeicher' } },
        { id: 'B', text: { en: 'Blob versioning only', de: 'Nur Blobversionierung' } },
        { id: 'C', text: { en: 'A standard lifecycle management rule', de: 'Eine Standardregel für Lebenszyklusverwaltung' } },
        { id: 'D', text: { en: 'Azure Backup vault locking', de: 'Sperren eines Azure-Backup-Vaults' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A time-based retention policy on immutable blob storage enforces WORM behavior for the configured retention period.',
        de: 'Eine zeitbasierte Aufbewahrungsrichtlinie für unveränderlichen Blobspeicher erzwingt WORM-Verhalten für den konfigurierten Aufbewahrungszeitraum.'
      },
      hint: {
        en: 'Choose the native storage control designed for retention compliance.',
        de: 'Wählen Sie die native Storage-Steuerung, die für Aufbewahrungs-Compliance entwickelt wurde.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/blobs/immutable-storage-overview'
    },
    {
      id: 'az500-263',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Microsoft security service scans container images in Azure Container Registry for vulnerabilities?',
        de: 'Welcher Microsoft-Sicherheitsdienst überprüft Containerimages in Azure Container Registry auf Sicherheitslücken?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender for Cloud', de: 'Microsoft Defender for Cloud' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Azure Policy', de: 'Azure Policy' } },
        { id: 'D', text: { en: 'Traffic Manager', de: 'Traffic Manager' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for Cloud includes protections such as image vulnerability assessment for container registries and related workloads.',
        de: 'Defender for Cloud umfasst Schutzfunktionen wie die Bewertung von Imageschwachstellen für Containerregistrierungen und zugehörige Workloads.'
      },
      hint: {
        en: 'Choose the cloud workload protection platform.',
        de: 'Wählen Sie die Plattform für den Schutz von Cloud-Workloads.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-container-registries-introduction'
    },
    {
      id: 'az500-264',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Azure SQL features help discover or assess sensitive data security posture? Choose all that apply.',
        de: 'Welche Azure-SQL-Funktionen helfen dabei, den Sicherheitsstatus sensibler Daten zu erkennen oder zu bewerten? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Data Discovery & Classification', de: 'Datenermittlung und Klassifizierung' } },
        { id: 'B', text: { en: 'Vulnerability Assessment', de: 'Sicherheitslückenbewertung' } },
        { id: 'C', text: { en: 'SQL Auditing', de: 'SQL-Auditing' } },
        { id: 'D', text: { en: 'Azure Front Door origin groups', de: 'Origin-Gruppen von Azure Front Door' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Azure SQL provides classification, auditing, and vulnerability assessment features to understand and improve database security posture.',
        de: 'Azure SQL bietet Funktionen für Klassifizierung, Auditing und Sicherheitslückenbewertung, um den Sicherheitsstatus von Datenbanken zu verstehen und zu verbessern.'
      },
      hint: {
        en: 'Select the database governance and assessment features.',
        de: 'Wählen Sie die Funktionen für Datenbank-Governance und -Bewertung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/sql-vulnerability-assessment'
    },
    {
      id: 'az500-265',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure SQL encryption option uses a customer-managed key stored in Azure Key Vault to protect encryption at rest?',
        de: 'Welche Azure-SQL-Verschlüsselungsoption verwendet einen kundenseitig verwalteten Schlüssel in Azure Key Vault, um die Verschlüsselung ruhender Daten zu schützen?'
      },
      options: [
        { id: 'A', text: { en: 'Transparent Data Encryption with customer-managed key', de: 'Transparent Data Encryption mit kundenseitig verwaltetem Schlüssel' } },
        { id: 'B', text: { en: 'Dynamic data masking', de: 'Dynamische Datenmaskierung' } },
        { id: 'C', text: { en: 'SQL auditing', de: 'SQL-Auditing' } },
        { id: 'D', text: { en: 'Row-level security', de: 'Sicherheit auf Zeilenebene' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure SQL supports bring-your-own-key for TDE so database encryption keys are protected by customer-managed keys in Key Vault.',
        de: 'Azure SQL unterstützt Bring-Your-Own-Key für TDE, sodass Datenbankverschlüsselungsschlüssel durch kundenseitig verwaltete Schlüssel in Key Vault geschützt werden.'
      },
      hint: {
        en: 'Choose the at-rest encryption feature that integrates with Key Vault.',
        de: 'Wählen Sie die Funktion zur Verschlüsselung ruhender Daten, die sich in Key Vault integriert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/transparent-data-encryption-byok-overview'
    },
    {
      id: 'az500-266',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Woodgrove Bank stores card images and audit archives in the same storage account for operational reasons. Security requires the two data sets to use separate encryption boundaries and separate customer-managed keys. The platform team wants to avoid creating multiple storage accounts if possible.',
        de: 'Woodgrove Bank speichert aus betrieblichen Gründen Kartenbilder und Prüfungsarchive im selben Speicherkonto. Die Sicherheit verlangt, dass die beiden Datensätze getrennte Verschlüsselungsgrenzen und getrennte kundenseitig verwaltete Schlüssel verwenden. Das Plattformteam möchte nach Möglichkeit vermeiden, mehrere Speicherkonten zu erstellen.'
      },
      question: {
        en: 'Which storage encryption feature should you configure?',
        de: 'Welche Speicherverschlüsselungsfunktion sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Encryption scopes', de: 'Verschlüsselungsbereiche' } },
        { id: 'B', text: { en: 'Blob soft delete', de: 'Vorläufiges Löschen von Blobs' } },
        { id: 'C', text: { en: 'An availability set', de: 'Eine Verfügbarkeitsgruppe' } },
        { id: 'D', text: { en: 'A stored access policy', de: 'Eine gespeicherte Zugriffsrichtlinie' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Encryption scopes let you define separate encryption boundaries within a storage account and associate different keys with different blobs.',
        de: 'Mit Verschlüsselungsbereichen können Sie innerhalb eines Speicherkontos getrennte Verschlüsselungsgrenzen definieren und unterschiedlichen Blobs verschiedene Schlüssel zuordnen.'
      },
      hint: {
        en: 'Use the feature for multiple encryption domains inside one storage account.',
        de: 'Verwenden Sie die Funktion für mehrere Verschlüsselungsdomänen innerhalb eines Speicherkontos.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/blobs/encryption-scope-overview'
    },
    {
      id: 'az500-267',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure service provides single-tenant, FIPS 140-2 Level 3 validated HSM-backed key storage and cryptographic operations?',
        de: 'Welcher Azure-Dienst bietet mandantenexklusiven, HSM-gestützten Schlüsselspeicher und kryptografische Vorgänge mit FIPS-140-2-Level-3-Validierung?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Key Vault Managed HSM', de: 'Azure Key Vault Managed HSM' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Azure Front Door', de: 'Azure Front Door' } },
        { id: 'D', text: { en: 'Azure Policy', de: 'Azure Policy' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Managed HSM is a dedicated key management service backed by validated hardware security modules for high-assurance key scenarios.',
        de: 'Managed HSM ist ein dedizierter Schlüsselverwaltungsdienst auf Basis validierter Hardware Security Modules für Szenarien mit hohen Sicherheitsanforderungen.'
      },
      hint: {
        en: 'Choose the dedicated HSM service, not the general secret vault.',
        de: 'Wählen Sie den dedizierten HSM-Dienst und nicht den allgemeinen Secret-Vault.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/managed-hsm/overview'
    },
    {
      id: 'az500-268',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which storage account setting enforces the use of HTTPS instead of unencrypted HTTP for client connections?',
        de: 'Welche Einstellung des Speicherkontos erzwingt die Verwendung von HTTPS statt unverschlüsseltem HTTP für Clientverbindungen?'
      },
      options: [
        { id: 'A', text: { en: 'Secure transfer required', de: 'Sichere Übertragung erforderlich' } },
        { id: 'B', text: { en: 'Blob versioning', de: 'Blobversionierung' } },
        { id: 'C', text: { en: 'Lifecycle management', de: 'Lebenszyklusverwaltung' } },
        { id: 'D', text: { en: 'Hierarchical namespace', de: 'Hierarchischer Namespace' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Secure transfer required blocks unencrypted HTTP requests and requires clients to use HTTPS.',
        de: 'Sichere Übertragung erforderlich blockiert unverschlüsselte HTTP-Anforderungen und erzwingt die Verwendung von HTTPS durch Clients.'
      },
      hint: {
        en: 'Choose the setting that enforces encrypted transport.',
        de: 'Wählen Sie die Einstellung, die verschlüsselten Transport erzwingt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-require-secure-transfer'
    },
    {
      id: 'az500-269',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure resources can use a managed identity to access keys in Azure Key Vault for encryption scenarios? Choose all that apply.',
        de: 'Welche Azure-Ressourcen können in Verschlüsselungsszenarien eine verwaltete Identität verwenden, um auf Schlüssel in Azure Key Vault zuzugreifen? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Storage accounts using customer-managed keys', de: 'Speicherkonten mit kundenseitig verwalteten Schlüsseln' } },
        { id: 'B', text: { en: 'Azure SQL servers using TDE with customer-managed keys', de: 'Azure-SQL-Server mit TDE und kundenseitig verwalteten Schlüsseln' } },
        { id: 'C', text: { en: 'Disk Encryption Sets', de: 'Disk Encryption Sets' } },
        { id: 'D', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Managed identities are commonly used so Azure services such as Storage, Azure SQL, and Disk Encryption Sets can retrieve keys from Key Vault securely.',
        de: 'Verwaltete Identitäten werden häufig verwendet, damit Azure-Dienste wie Storage, Azure SQL und Disk Encryption Sets sicher Schlüssel aus Key Vault abrufen können.'
      },
      hint: {
        en: 'Select services that integrate with Key Vault for customer-managed encryption keys.',
        de: 'Wählen Sie Dienste aus, die sich für kundenseitig verwaltete Verschlüsselungsschlüssel in Key Vault integrieren.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/customer-managed-keys-overview'
    },
    {
      id: 'az500-270',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Northwind Traders must retain database audit trails for investigators in a central workspace. Security analysts want to query those records with KQL alongside other security data. Database administrators want the auditing target managed natively by Azure SQL.',
        de: 'Northwind Traders muss Prüfprotokolle von Datenbanken für Ermittler in einem zentralen Arbeitsbereich aufbewahren. Sicherheitsanalysten möchten diese Datensätze gemeinsam mit anderen Sicherheitsdaten per KQL abfragen. Datenbankadministratoren möchten, dass das Auditziel nativ von Azure SQL verwaltet wird.'
      },
      question: {
        en: 'Which Azure SQL auditing destination should you configure?',
        de: 'Welches Ziel für Azure-SQL-Auditing sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Azure SQL auditing to a Log Analytics workspace', de: 'Azure-SQL-Auditing in einen Log-Analytics-Arbeitsbereich' } },
        { id: 'B', text: { en: 'A shared access signature in the application code', de: 'Eine Shared Access Signature im Anwendungscode' } },
        { id: 'C', text: { en: 'A dynamic group in Microsoft Entra ID', de: 'Eine dynamische Gruppe in Microsoft Entra ID' } },
        { id: 'D', text: { en: 'Azure Bastion session recording', de: 'Sitzungsaufzeichnung von Azure Bastion' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure SQL auditing can send audit events to Log Analytics so investigators can centrally search and correlate audit trails.',
        de: 'Azure-SQL-Auditing kann Auditereignisse an Log Analytics senden, sodass Ermittler Prüfprotokolle zentral durchsuchen und korrelieren können.'
      },
      hint: {
        en: 'Use the native SQL auditing destination that supports KQL queries.',
        de: 'Verwenden Sie das native SQL-Auditziel, das KQL-Abfragen unterstützt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/auditing-overview'
    },
    {
      id: 'az500-271',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Azure SQL feature obscures sensitive data for nonprivileged users but does not encrypt the underlying stored values?',
        de: 'Welche Azure-SQL-Funktion verschleiert sensible Daten für nicht privilegierte Benutzer, verschlüsselt jedoch nicht die zugrunde liegenden gespeicherten Werte?'
      },
      options: [
        { id: 'A', text: { en: 'Dynamic data masking', de: 'Dynamische Datenmaskierung' } },
        { id: 'B', text: { en: 'Always Encrypted', de: 'Always Encrypted' } },
        { id: 'C', text: { en: 'Transparent Data Encryption', de: 'Transparent Data Encryption' } },
        { id: 'D', text: { en: 'Ledger tables', de: 'Ledger-Tabellen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Dynamic data masking limits what some users see in query results, but the data remains stored in plaintext unless another encryption feature is used.',
        de: 'Dynamische Datenmaskierung begrenzt, was bestimmte Benutzer in Abfrageergebnissen sehen, doch die Daten bleiben unverschlüsselt gespeichert, sofern keine weitere Verschlüsselungsfunktion verwendet wird.'
      },
      hint: {
        en: 'Choose the presentation-layer protection, not the encryption feature.',
        de: 'Wählen Sie den Schutz auf Darstellungsebene und nicht die Verschlüsselungsfunktion.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/dynamic-data-masking-overview'
    },
    {
      id: 'az500-272',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure services support customer-managed keys from Azure Key Vault? Choose all that apply.',
        de: 'Welche Azure-Dienste unterstützen kundenseitig verwaltete Schlüssel aus Azure Key Vault? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Azure Storage accounts', de: 'Azure-Speicherkonten' } },
        { id: 'B', text: { en: 'Azure SQL Database', de: 'Azure SQL Database' } },
        { id: 'C', text: { en: 'Managed disks by using Disk Encryption Sets', de: 'Verwaltete Datenträger mithilfe von Disk Encryption Sets' } },
        { id: 'D', text: { en: 'Network security groups', de: 'Netzwerksicherheitsgruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Azure Storage, Azure SQL, and managed disks can integrate with Key Vault-backed customer-managed keys, whereas NSGs do not use encryption keys this way.',
        de: 'Azure Storage, Azure SQL und verwaltete Datenträger können sich in kundenseitig verwaltete, von Key Vault bereitgestellte Schlüssel integrieren, während NSGs solche Verschlüsselungsschlüssel nicht auf diese Weise verwenden.'
      },
      hint: {
        en: 'Select services that encrypt data at rest with customer keys.',
        de: 'Wählen Sie Dienste aus, die ruhende Daten mit Kundenschlüsseln verschlüsseln.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/customer-managed-keys-overview'
    },
    {
      id: 'az500-273',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which storage networking option gives a storage account endpoint a private IP address in your virtual network?',
        de: 'Welche Storage-Netzwerkoption weist einem Endpunkt eines Speicherkontos in Ihrem virtuellen Netzwerk eine private IP-Adresse zu?'
      },
      options: [
        { id: 'A', text: { en: 'Private endpoint', de: 'Privater Endpunkt' } },
        { id: 'B', text: { en: 'Service endpoint', de: 'Dienstendpunkt' } },
        { id: 'C', text: { en: 'Trusted services exception', de: 'Ausnahme für vertrauenswürdige Dienste' } },
        { id: 'D', text: { en: 'CORS rule', de: 'CORS-Regel' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A private endpoint places the storage service behind a private IP in your VNet by using Azure Private Link.',
        de: 'Ein privater Endpunkt bringt den Speicherdienst mithilfe von Azure Private Link hinter eine private IP in Ihrem VNet.'
      },
      hint: {
        en: 'Choose the option that creates a private IP for the service.',
        de: 'Wählen Sie die Option, die eine private IP für den Dienst erstellt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-private-endpoints'
    },
    {
      id: 'az500-274',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: {
        en: 'Proseware must provide Azure Files shares to application servers in Azure and to on-premises servers over private connectivity. The storage account cannot be reachable from the public internet. Name resolution for the storage endpoint must stay consistent for both Azure and on-premises clients.',
        de: 'Proseware muss Azure-Files-Freigaben für Anwendungsserver in Azure und für lokale Server über private Konnektivität bereitstellen. Das Speicherkonto darf aus dem öffentlichen Internet nicht erreichbar sein. Die Namensauflösung für den Storage-Endpunkt muss für Azure- und lokale Clients konsistent bleiben.'
      },
      question: {
        en: 'Which private file-access design should you configure?',
        de: 'Welches Design für privaten Dateizugriff sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Private endpoints for the storage account and private DNS integration', de: 'Private Endpunkte für das Speicherkonto und Integration privater DNS-Zonen' } },
        { id: 'B', text: { en: 'A public endpoint with anonymous read access', de: 'Einen öffentlichen Endpunkt mit anonymem Lesezugriff' } },
        { id: 'C', text: { en: 'Only a service endpoint on one subnet', de: 'Nur einen Dienstendpunkt in einem Subnetz' } },
        { id: 'D', text: { en: 'A local administrator account on each server', de: 'Ein lokales Administratorkonto auf jedem Server' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Private endpoints provide private access to the storage account, and private DNS keeps name resolution aligned for private connectivity scenarios.',
        de: 'Private Endpunkte ermöglichen privaten Zugriff auf das Speicherkonto, und private DNS-Zonen halten die Namensauflösung für private Konnektivitätsszenarien konsistent.'
      },
      hint: {
        en: 'Use Private Link plus DNS, not a public endpoint or subnet-only trust.',
        de: 'Verwenden Sie Private Link plus DNS und nicht einen öffentlichen Endpunkt oder nur ein Subnetzvertrauen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-private-endpoints'
    },
    {
      id: 'az500-275',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: {
        en: 'Datum Corporation stores production secrets and encryption keys in Azure Key Vault. Virtual machines in a private network must reach the vault without traversing the public internet. The security team wants to eliminate public network exposure for the vault entirely.',
        de: 'Datum Corporation speichert Produktionsgeheimnisse und Verschlüsselungsschlüssel in Azure Key Vault. Virtuelle Computer in einem privaten Netzwerk müssen den Vault erreichen können, ohne das öffentliche Internet zu durchqueren. Das Sicherheitsteam möchte die öffentliche Netzwerkerreichbarkeit des Vaults vollständig eliminieren.'
      },
      question: {
        en: 'Which configuration best meets the requirement?',
        de: 'Welche Konfiguration erfüllt die Anforderung am besten?'
      },
      options: [
        { id: 'A', text: { en: 'A private endpoint for Key Vault and disable public network access', de: 'Einen privaten Endpunkt für Key Vault und die Deaktivierung des öffentlichen Netzwerkzugriffs' } },
        { id: 'B', text: { en: 'A service principal secret in local configuration files', de: 'Ein Dienstprinzipal-Geheimnis in lokalen Konfigurationsdateien' } },
        { id: 'C', text: { en: 'A public endpoint with trusted services enabled only', de: 'Einen öffentlichen Endpunkt nur mit aktivierten vertrauenswürdigen Diensten' } },
        { id: 'D', text: { en: 'An NSG on the VM NIC only', de: 'Nur eine NSG auf der VM-NIC' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A private endpoint gives Key Vault a private reachability path, and disabling public network access removes exposure over the public endpoint.',
        de: 'Ein privater Endpunkt stellt für Key Vault einen privaten Erreichbarkeitspfad bereit, und die Deaktivierung des öffentlichen Netzwerkzugriffs entfernt die Erreichbarkeit über den öffentlichen Endpunkt.'
      },
      hint: {
        en: 'Use the private-access pattern for PaaS services and turn off the public endpoint.',
        de: 'Verwenden Sie das Muster für privaten Zugriff auf PaaS-Dienste und schalten Sie den öffentlichen Endpunkt aus.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/network-security'
    },
    {
      id: 'az500-276',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Defender for Cloud metric summarizes your overall security posture and improvement progress?',
        de: 'Welche Kennzahl in Microsoft Defender for Cloud fasst Ihren allgemeinen Sicherheitsstatus und den Fortschritt bei Verbesserungen zusammen?'
      },
      options: [
        { id: 'A', text: { en: 'Secure score', de: 'Secure Score' } },
        { id: 'B', text: { en: 'Capacity reservation', de: 'Kapazitätsreservierung' } },
        { id: 'C', text: { en: 'Availability zone index', de: 'Verfügbarkeitszonenindex' } },
        { id: 'D', text: { en: 'SNAT port usage', de: 'SNAT-Portnutzung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Secure score helps measure security posture and prioritizes actions that improve protection across your environment.',
        de: 'Der Secure Score hilft dabei, den Sicherheitsstatus zu messen, und priorisiert Maßnahmen, die den Schutz in Ihrer Umgebung verbessern.'
      },
      hint: {
        en: 'Choose the posture metric, not a networking or capacity metric.',
        de: 'Wählen Sie die Kennzahl für den Sicherheitsstatus und keine Netzwerk- oder Kapazitätskennzahl.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'az500-277',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Microsoft Sentinel component creates detections and incidents based on log conditions and schedules?',
        de: 'Welche Komponente in Microsoft Sentinel erstellt Erkennungen und Incidents auf Grundlage von Protokollbedingungen und Zeitplänen?'
      },
      options: [
        { id: 'A', text: { en: 'Analytics rule', de: 'Analyserichtlinie' } },
        { id: 'B', text: { en: 'Workbook', de: 'Arbeitsmappe' } },
        { id: 'C', text: { en: 'Watchlist', de: 'Watchlist' } },
        { id: 'D', text: { en: 'Private endpoint', de: 'Privater Endpunkt' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Analytics rules in Microsoft Sentinel evaluate data and create alerts or incidents when their conditions are met.',
        de: 'Analyserichtlinien in Microsoft Sentinel werten Daten aus und erstellen Warnungen oder Incidents, wenn ihre Bedingungen erfüllt sind.'
      },
      hint: {
        en: 'Choose the detection logic component, not the visualization component.',
        de: 'Wählen Sie die Komponente für die Erkennungslogik und nicht die für Visualisierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    },
    {
      id: 'az500-278',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure resource types can Microsoft Defender for Cloud help protect? Choose all that apply.',
        de: 'Welche Azure-Ressourcentypen kann Microsoft Defender for Cloud schützen? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Virtual machines and servers', de: 'Virtuelle Computer und Server' } },
        { id: 'B', text: { en: 'SQL resources', de: 'SQL-Ressourcen' } },
        { id: 'C', text: { en: 'Storage accounts', de: 'Speicherkonten' } },
        { id: 'D', text: { en: 'Physical network cables', de: 'Physische Netzwerkkabel' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Defender for Cloud provides posture management and workload protection across resources such as servers, SQL, and Storage.',
        de: 'Defender for Cloud bietet Sicherheitsstatusverwaltung und Workloadschutz für Ressourcen wie Server, SQL und Storage.'
      },
      hint: {
        en: 'Select cloud resource types, not physical infrastructure components.',
        de: 'Wählen Sie Cloud-Ressourcentypen und keine physischen Infrastrukturkomponenten.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'az500-279',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: {
        en: 'Contoso wants a high-severity Microsoft Sentinel incident to trigger an automatic response. The response must notify a Teams channel and create a service desk ticket. Analysts want the logic to run consistently whenever qualifying incidents are created.',
        de: 'Contoso möchte, dass ein Incident mit hoher Priorität in Microsoft Sentinel automatisch eine Reaktion auslöst. Die Reaktion muss einen Teams-Kanal benachrichtigen und ein Service-Desk-Ticket erstellen. Analysten möchten, dass die Logik jedes Mal konsistent ausgeführt wird, wenn passende Incidents erstellt werden.'
      },
      question: {
        en: 'What should you implement?',
        de: 'Was sollten Sie implementieren?'
      },
      options: [
        { id: 'A', text: { en: 'An automation rule that runs a Logic Apps playbook', de: 'Eine Automatisierungsregel, die ein Logic-Apps-Playbook ausführt' } },
        { id: 'B', text: { en: 'A management group delete lock', de: 'Eine Löschsperre auf Verwaltungsgruppenebene' } },
        { id: 'C', text: { en: 'A private DNS zone', de: 'Eine private DNS-Zone' } },
        { id: 'D', text: { en: 'A resource tag policy only', de: 'Nur eine Richtlinie für Ressourcentags' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Automation rules can evaluate incidents and trigger playbooks, while Logic Apps performs the notification and ticketing workflow.',
        de: 'Automatisierungsregeln können Incidents auswerten und Playbooks auslösen, während Logic Apps den Benachrichtigungs- und Ticketworkflow ausführt.'
      },
      hint: {
        en: 'Use Sentinel automation for the trigger and Logic Apps for the actions.',
        de: 'Verwenden Sie Sentinel-Automatisierung für den Auslöser und Logic Apps für die Aktionen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules'
    },
    {
      id: 'az500-280',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure service provides SIEM and SOAR capabilities for security operations?',
        de: 'Welcher Azure-Dienst stellt SIEM- und SOAR-Funktionen für Sicherheitsvorgänge bereit?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Sentinel', de: 'Microsoft Sentinel' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Azure Container Apps', de: 'Azure Container Apps' } },
        { id: 'D', text: { en: 'Application Gateway', de: 'Application Gateway' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Sentinel is Microsoft’s cloud-native SIEM and SOAR platform for detection, investigation, and response.',
        de: 'Microsoft Sentinel ist die cloudnative SIEM- und SOAR-Plattform von Microsoft für Erkennung, Untersuchung und Reaktion.'
      },
      hint: {
        en: 'Choose the security operations platform.',
        de: 'Wählen Sie die Plattform für Sicherheitsvorgänge.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    },
    {
      id: 'az500-281',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Defender for Cloud feature can start Logic Apps automatically when recommendations or alerts meet defined conditions?',
        de: 'Welche Defender-for-Cloud-Funktion kann Logic Apps automatisch starten, wenn Empfehlungen oder Warnungen definierte Bedingungen erfüllen?'
      },
      options: [
        { id: 'A', text: { en: 'Workflow automation', de: 'Workflowautomatisierung' } },
        { id: 'B', text: { en: 'Application Gateway rewrite rules', de: 'Umschreibregeln von Application Gateway' } },
        { id: 'C', text: { en: 'Azure Blueprints', de: 'Azure Blueprints' } },
        { id: 'D', text: { en: 'Traffic Manager profiles', de: 'Traffic-Manager-Profile' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Workflow automation in Defender for Cloud can react to recommendations and alerts by launching Logic Apps-based workflows.',
        de: 'Die Workflowautomatisierung in Defender for Cloud kann auf Empfehlungen und Warnungen reagieren, indem sie auf Logic Apps basierende Workflows startet.'
      },
      hint: {
        en: 'Choose the Defender for Cloud feature for event-driven remediation workflows.',
        de: 'Wählen Sie die Defender-for-Cloud-Funktion für ereignisgesteuerte Workflows zur Reaktion.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/workflow-automation'
    },
    {
      id: 'az500-282',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Fabrikam runs critical workloads in AWS in addition to Azure. The CISO wants one place to review posture, recommendations, and cloud security findings across both clouds. The solution must use Microsoft Defender for Cloud rather than separate third-party dashboards.',
        de: 'Fabrikam betreibt neben Azure auch kritische Workloads in AWS. Der CISO möchte einen zentralen Ort, um Sicherheitsstatus, Empfehlungen und Cloud-Sicherheitsbefunde über beide Clouds hinweg zu prüfen. Die Lösung muss Microsoft Defender for Cloud anstelle separater Dashboards von Drittanbietern verwenden.'
      },
      question: {
        en: 'What should you do first?',
        de: 'Was sollten Sie zuerst tun?'
      },
      options: [
        { id: 'A', text: { en: 'Connect the AWS environment to Defender for Cloud', de: 'Die AWS-Umgebung mit Defender for Cloud verbinden' } },
        { id: 'B', text: { en: 'Create a private endpoint for every AWS VPC', de: 'Einen privaten Endpunkt für jede AWS-VPC erstellen' } },
        { id: 'C', text: { en: 'Deploy Azure Bastion into AWS', de: 'Azure Bastion in AWS bereitstellen' } },
        { id: 'D', text: { en: 'Create a management group in Azure only', de: 'Nur in Azure eine Verwaltungsgruppe erstellen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for Cloud can onboard AWS environments so posture and protection findings are visible in the same console as Azure resources.',
        de: 'Defender for Cloud kann AWS-Umgebungen einbinden, sodass Sicherheitsstatus und Schutzbefunde in derselben Konsole wie Azure-Ressourcen sichtbar sind.'
      },
      hint: {
        en: 'Start by onboarding the non-Azure environment to Defender for Cloud.',
        de: 'Beginnen Sie damit, die Nicht-Azure-Umgebung in Defender for Cloud einzubinden.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/quickstart-onboard-aws'
    },
    {
      id: 'az500-283',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which workspace type stores Microsoft Sentinel data?',
        de: 'Welcher Arbeitsspeichertyp speichert Daten von Microsoft Sentinel?'
      },
      options: [
        { id: 'A', text: { en: 'Log Analytics workspace', de: 'Log-Analytics-Arbeitsbereich' } },
        { id: 'B', text: { en: 'Recovery Services vault', de: 'Recovery-Services-Tresor' } },
        { id: 'C', text: { en: 'Managed HSM pool', de: 'Managed-HSM-Pool' } },
        { id: 'D', text: { en: 'Azure Bastion host', de: 'Azure-Bastion-Host' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Sentinel is deployed on top of a Log Analytics workspace where its ingested data is stored and queried.',
        de: 'Microsoft Sentinel wird auf einem Log-Analytics-Arbeitsbereich bereitgestellt, in dem die aufgenommenen Daten gespeichert und abgefragt werden.'
      },
      hint: {
        en: 'Sentinel builds on the Azure Monitor logs platform.',
        de: 'Sentinel basiert auf der Azure-Monitor-Protokollplattform.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-monitor/logs/log-analytics-workspace-overview'
    },
    {
      id: 'az500-284',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which data sources can Microsoft Sentinel ingest through connectors? Choose all that apply.',
        de: 'Welche Datenquellen kann Microsoft Sentinel über Connectors aufnehmen? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra ID sign-in logs', de: 'Microsoft-Entra-ID-Anmeldeprotokolle' } },
        { id: 'B', text: { en: 'Microsoft Defender XDR data', de: 'Daten aus Microsoft Defender XDR' } },
        { id: 'C', text: { en: 'Syslog from Linux systems', de: 'Syslog von Linux-Systemen' } },
        { id: 'D', text: { en: 'Physical door lock battery levels', de: 'Batteriestände physischer Türschlösser' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Sentinel supports many connectors including Microsoft security products, Microsoft Entra data, and Syslog/CEF sources.',
        de: 'Sentinel unterstützt viele Connectors, darunter Microsoft-Sicherheitsprodukte, Microsoft-Entra-Daten sowie Syslog-/CEF-Quellen.'
      },
      hint: {
        en: 'Select realistic security telemetry sources.',
        de: 'Wählen Sie realistische Quellen für Sicherheitstelemetrie.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/data-connectors-reference'
    },
    {
      id: 'az500-285',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Tailwind Traders allows administrators to manage production Windows VMs only when approved. RDP should stay blocked most of the time and open only for a requested time window from approved source IPs. The security team wants this managed from Defender for Cloud recommendations and workflows.',
        de: 'Tailwind Traders erlaubt Administratoren, Produktions-Windows-VMs nur nach Genehmigung zu verwalten. RDP soll die meiste Zeit blockiert bleiben und nur für ein angefordertes Zeitfenster von genehmigten Quell-IP-Adressen geöffnet werden. Das Sicherheitsteam möchte dies über Empfehlungen und Workflows in Defender for Cloud verwalten.'
      },
      question: {
        en: 'Which feature should you enable?',
        de: 'Welche Funktion sollten Sie aktivieren?'
      },
      options: [
        { id: 'A', text: { en: 'Just-in-time VM access', de: 'Just-in-Time-VM-Zugriff' } },
        { id: 'B', text: { en: 'Private DNS zones', de: 'Private DNS-Zonen' } },
        { id: 'C', text: { en: 'Blob immutability', de: 'Blob-Unveränderlichkeit' } },
        { id: 'D', text: { en: 'Azure Front Door', de: 'Azure Front Door' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Just-in-time VM access reduces exposure by opening management ports only on request and for a limited time.',
        de: 'Just-in-Time-VM-Zugriff reduziert die Angriffsfläche, indem Verwaltungsports nur auf Anforderung und für eine begrenzte Zeit geöffnet werden.'
      },
      hint: {
        en: 'Use the Defender for Cloud feature that time-limits management port access.',
        de: 'Verwenden Sie die Defender-for-Cloud-Funktion, die den Zugriff auf Verwaltungsports zeitlich begrenzt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview'
    },
    {
      id: 'az500-286',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Microsoft Sentinel capability enriches investigations by using user and entity behavior analytics based on baselines and anomalies?',
        de: 'Welche Funktion in Microsoft Sentinel reichert Untersuchungen mithilfe von Benutzer- und Entitätsverhaltensanalysen auf Basis von Baselines und Anomalien an?'
      },
      options: [
        { id: 'A', text: { en: 'UEBA', de: 'UEBA' } },
        { id: 'B', text: { en: 'Azure Policy', de: 'Azure Policy' } },
        { id: 'C', text: { en: 'Resource locks', de: 'Ressourcensperren' } },
        { id: 'D', text: { en: 'Service endpoints', de: 'Dienstendpunkte' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'UEBA adds behavioral context about users and entities so analysts can investigate anomalies and related activities more effectively.',
        de: 'UEBA fügt Verhaltenskontext zu Benutzern und Entitäten hinzu, sodass Analysten Anomalien und zugehörige Aktivitäten effektiver untersuchen können.'
      },
      hint: {
        en: 'Choose the behavior-analytics capability.',
        de: 'Wählen Sie die Funktion für Verhaltensanalysen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics'
    },
    {
      id: 'az500-287',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which capabilities are provided by Microsoft Defender for Cloud? Choose all that apply.',
        de: 'Welche Funktionen stellt Microsoft Defender for Cloud bereit? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Secure score', de: 'Secure Score' } },
        { id: 'B', text: { en: 'Security recommendations', de: 'Sicherheitsempfehlungen' } },
        { id: 'C', text: { en: 'Regulatory compliance views', de: 'Ansichten zur regulatorischen Compliance' } },
        { id: 'D', text: { en: 'Authoritative DNS hosting for public zones', de: 'Autoritatives DNS-Hosting für öffentliche Zonen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Defender for Cloud delivers posture metrics, recommendations, and compliance reporting, but it is not a DNS hosting platform.',
        de: 'Defender for Cloud liefert Sicherheitsstatusmetriken, Empfehlungen und Compliance-Berichte, ist jedoch keine Plattform für DNS-Hosting.'
      },
      hint: {
        en: 'Select posture management capabilities, not networking services.',
        de: 'Wählen Sie Funktionen für die Sicherheitsstatusverwaltung und keine Netzwerkdienste.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'az500-288',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'During a planned maintenance window, a known scanner generates low-value incidents in Microsoft Sentinel. Analysts do not want these incidents routed to the on-call team, but they also do not want to disable the underlying analytics rule permanently. The filtering should stop automatically after maintenance ends.',
        de: 'Während eines geplanten Wartungsfensters erzeugt ein bekannter Scanner in Microsoft Sentinel Incidents mit geringem Mehrwert. Analysten möchten nicht, dass diese Incidents an das Bereitschaftsteam weitergeleitet werden, möchten die zugrunde liegende Analyserichtlinie jedoch auch nicht dauerhaft deaktivieren. Die Filterung soll nach Ende der Wartung automatisch beendet werden.'
      },
      question: {
        en: 'Which Sentinel incident-handling feature should you configure?',
        de: 'Welche Funktion zur Incidentbehandlung in Sentinel sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'A Sentinel automation rule with conditions and expiration', de: 'Eine Sentinel-Automatisierungsregel mit Bedingungen und Ablaufdatum' } },
        { id: 'B', text: { en: 'A permanent delete lock on the workspace', de: 'Eine permanente Löschsperre für den Arbeitsbereich' } },
        { id: 'C', text: { en: 'An NSG deny rule', de: 'Eine NSG-Verweigerungsregel' } },
        { id: 'D', text: { en: 'A new management group hierarchy', de: 'Eine neue Hierarchie von Verwaltungsgruppen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Automation rules can apply conditions, modify incident handling, and expire automatically so temporary suppressions do not become permanent.',
        de: 'Automatisierungsregeln können Bedingungen anwenden, die Incident-Behandlung ändern und automatisch ablaufen, sodass temporäre Unterdrückungen nicht dauerhaft werden.'
      },
      hint: {
        en: 'Use Sentinel incident automation with a defined lifetime.',
        de: 'Verwenden Sie die Incident-Automatisierung von Sentinel mit einer definierten Laufzeit.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules'
    },
    {
      id: 'az500-289',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Sentinel feature stores imported lists that you can use in analytics rules, hunting queries, and investigations?',
        de: 'Welche Funktion in Microsoft Sentinel speichert importierte Listen, die Sie in Analyserichtlinien, Hunting-Abfragen und Untersuchungen verwenden können?'
      },
      options: [
        { id: 'A', text: { en: 'Watchlists', de: 'Watchlists' } },
        { id: 'B', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } },
        { id: 'C', text: { en: 'Storage accounts', de: 'Speicherkonten' } },
        { id: 'D', text: { en: 'Managed identities', de: 'Verwaltete Identitäten' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Watchlists hold reference data that can be joined with Sentinel logs to enrich detections and investigations.',
        de: 'Watchlists enthalten Referenzdaten, die mit Sentinel-Protokollen verknüpft werden können, um Erkennungen und Untersuchungen anzureichern.'
      },
      hint: {
        en: 'Choose the feature for imported reference lists.',
        de: 'Wählen Sie die Funktion für importierte Referenzlisten.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/watchlists'
    },
    {
      id: 'az500-290',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'A third-party firewall exports logs in Common Event Format (CEF). Which integration path should you use to ingest these logs into Microsoft Sentinel?',
        de: 'Eine Firewall eines Drittanbieters exportiert Protokolle im Common Event Format (CEF). Welchen Integrationspfad sollten Sie verwenden, um diese Protokolle in Microsoft Sentinel aufzunehmen?'
      },
      options: [
        { id: 'A', text: { en: 'The CEF connector through the supported Syslog/AMA collection path', de: 'Den CEF-Connector über den unterstützten Syslog-/AMA-Sammelpfad' } },
        { id: 'B', text: { en: 'Azure Bastion session logs', de: 'Sitzungsprotokolle von Azure Bastion' } },
        { id: 'C', text: { en: 'A Key Vault private endpoint', de: 'Einen privaten Endpunkt für Key Vault' } },
        { id: 'D', text: { en: 'An Azure Policy initiative', de: 'Eine Azure-Policy-Initiative' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Sentinel supports CEF ingestion through the appropriate connector and collection pipeline for Syslog-style security devices.',
        de: 'Microsoft Sentinel unterstützt die Aufnahme von CEF über den entsprechenden Connector und die passende Sammelpipeline für sicherheitsrelevante Geräte im Syslog-Stil.'
      },
      hint: {
        en: 'Use the Sentinel connector intended for CEF-emitting appliances.',
        de: 'Verwenden Sie den Sentinel-Connector, der für CEF-ausgebende Appliances vorgesehen ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-common-event-format'
    },
    {
      id: 'az500-291',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Azure governance mechanism underpins many Microsoft Defender for Cloud recommendations and can enforce secure settings at scale?',
        de: 'Welcher Azure-Governance-Mechanismus bildet die Grundlage vieler Empfehlungen von Microsoft Defender for Cloud und kann sichere Einstellungen im großen Maßstab erzwingen?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Policy', de: 'Azure Policy' } },
        { id: 'B', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } },
        { id: 'C', text: { en: 'Bicep modules only', de: 'Nur Bicep-Module' } },
        { id: 'D', text: { en: 'Private DNS zones', de: 'Private DNS-Zonen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for Cloud relies on Azure Policy for assessment and can use policy-based controls to enforce or remediate settings.',
        de: 'Defender for Cloud stützt sich für Bewertungen auf Azure Policy und kann richtlinienbasierte Kontrollen verwenden, um Einstellungen durchzusetzen oder zu korrigieren.'
      },
      hint: {
        en: 'Choose the governance service for assessment and enforcement.',
        de: 'Wählen Sie den Governance-Dienst für Bewertung und Durchsetzung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'az500-292',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What does the Defender for Cloud regulatory compliance dashboard provide? Choose all that apply.',
        de: 'Was stellt das Dashboard für regulatorische Compliance in Defender for Cloud bereit? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Mappings to compliance standards', de: 'Zuordnungen zu Compliance-Standards' } },
        { id: 'B', text: { en: 'Control and assessment status', de: 'Status von Kontrollen und Bewertungen' } },
        { id: 'C', text: { en: 'Improvement recommendations', de: 'Empfehlungen zur Verbesserung' } },
        { id: 'D', text: { en: 'Direct replacement of your legal counsel', de: 'Einen direkten Ersatz für Ihre Rechtsberatung' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'The regulatory compliance dashboard shows standard mappings, control status, and the recommendations that affect compliance posture.',
        de: 'Das Dashboard für regulatorische Compliance zeigt Standardzuordnungen, den Status von Kontrollen und die Empfehlungen, die sich auf den Compliance-Status auswirken.'
      },
      hint: {
        en: 'Select governance and assessment outputs, not nontechnical services.',
        de: 'Wählen Sie Governance- und Bewertungsausgaben und keine nichttechnischen Dienste.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard'
    },
    {
      id: 'az500-293',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: {
        en: 'Woodgrove Bank operates many Azure SQL databases across business units. Security leadership wants recurring vulnerability checks, a central view of findings, and recommendations for remediation. Database teams do not want to build a custom scanning solution.',
        de: 'Woodgrove Bank betreibt viele Azure-SQL-Datenbanken in unterschiedlichen Geschäftsbereichen. Die Sicherheitsleitung möchte wiederkehrende Prüfungen auf Sicherheitslücken, eine zentrale Sicht auf Befunde und Empfehlungen zur Behebung. Die Datenbankteams möchten keine benutzerdefinierte Scanlösung entwickeln.'
      },
      question: {
        en: 'Which capability should you enable?',
        de: 'Welche Funktion sollten Sie aktivieren?'
      },
      options: [
        { id: 'A', text: { en: 'Defender for SQL with Vulnerability Assessment', de: 'Defender for SQL mit Sicherheitslückenbewertung' } },
        { id: 'B', text: { en: 'Azure Front Door WAF', de: 'Azure Front Door WAF' } },
        { id: 'C', text: { en: 'Application Proxy', de: 'Application Proxy' } },
        { id: 'D', text: { en: 'Azure Bastion host sharing', de: 'Gemeinsame Nutzung von Azure-Bastion-Hosts' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for SQL and SQL Vulnerability Assessment provide built-in scanning, findings, and remediation guidance for Azure SQL resources.',
        de: 'Defender for SQL und die SQL-Sicherheitslückenbewertung bieten integrierte Scans, Befunde und Empfehlungen zur Behebung für Azure-SQL-Ressourcen.'
      },
      hint: {
        en: 'Use the native SQL security assessment capability, not a network control.',
        de: 'Verwenden Sie die native SQL-Sicherheitsbewertung und keine Netzwerkkontrolle.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/sql-vulnerability-assessment'
    },
    {
      id: 'az500-294',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Azure Monitor feature is commonly used in Microsoft Sentinel to build visual dashboards for security data and investigations?',
        de: 'Welche Azure-Monitor-Funktion wird in Microsoft Sentinel typischerweise verwendet, um visuelle Dashboards für Sicherheitsdaten und Untersuchungen zu erstellen?'
      },
      options: [
        { id: 'A', text: { en: 'Workbooks', de: 'Arbeitsmappen' } },
        { id: 'B', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } },
        { id: 'C', text: { en: 'Azure Site Recovery', de: 'Azure Site Recovery' } },
        { id: 'D', text: { en: 'Managed disks', de: 'Verwaltete Datenträger' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Workbooks provide interactive visualizations and dashboards based on log and security data in Azure Monitor and Sentinel.',
        de: 'Arbeitsmappen bieten interaktive Visualisierungen und Dashboards auf Basis von Protokoll- und Sicherheitsdaten in Azure Monitor und Sentinel.'
      },
      hint: {
        en: 'Choose the visualization layer for logs and investigations.',
        de: 'Wählen Sie die Visualisierungsebene für Protokolle und Untersuchungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/monitor-your-data'
    },
    {
      id: 'az500-295',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Northwind Traders wants some Sentinel incidents to trigger containment actions automatically after analyst approval. Examples include disabling a compromised user account or notifying an external ticketing platform. The automation must integrate with Microsoft and third-party services.',
        de: 'Northwind Traders möchte, dass einige Sentinel-Incidents nach Freigabe durch Analysten automatisch Eindämmungsmaßnahmen auslösen. Beispiele sind das Deaktivieren eines kompromittierten Benutzerkontos oder die Benachrichtigung einer externen Ticketplattform. Die Automatisierung muss sich in Microsoft- und Drittanbieterdienste integrieren.'
      },
      question: {
        en: 'Which technology should you use for these response workflows?',
        de: 'Welche Technologie sollten Sie für diese Reaktionsworkflows verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Sentinel playbooks based on Azure Logic Apps', de: 'Microsoft-Sentinel-Playbooks auf Basis von Azure Logic Apps' } },
        { id: 'B', text: { en: 'NSG default rules', de: 'NSG-Standardregeln' } },
        { id: 'C', text: { en: 'Azure Virtual Desktop', de: 'Azure Virtual Desktop' } },
        { id: 'D', text: { en: 'Azure DNS private zones', de: 'Private Azure-DNS-Zonen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Sentinel playbooks use Azure Logic Apps connectors to automate response steps across Microsoft and third-party systems.',
        de: 'Sentinel-Playbooks verwenden Azure-Logic-Apps-Connectors, um Reaktionsschritte über Microsoft- und Drittanbietersysteme hinweg zu automatisieren.'
      },
      hint: {
        en: 'Choose the response automation technology used by Sentinel.',
        de: 'Wählen Sie die Reaktionsautomatisierungstechnologie, die von Sentinel verwendet wird.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'az500-296',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which query language should analysts use for Microsoft Sentinel hunting, workbooks, and analytics over workspace data?',
        de: 'Welche Abfragesprache sollten Analysten für Microsoft Sentinel Hunting, Arbeitsmappen und Analysen über Arbeitsbereichsdaten verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Kusto Query Language (KQL)', de: 'Kusto Query Language (KQL)' } },
        { id: 'B', text: { en: 'T-SQL only', de: 'Nur T-SQL' } },
        { id: 'C', text: { en: 'PowerShell DSC', de: 'PowerShell DSC' } },
        { id: 'D', text: { en: 'YAML', de: 'YAML' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Sentinel relies heavily on KQL for hunting, analytics, and investigation queries over log data.',
        de: 'Microsoft Sentinel stützt sich bei Hunting, Analysen und Untersuchungsabfragen über Protokolldaten stark auf KQL.'
      },
      hint: {
        en: 'Choose the query language used across Azure Monitor logs.',
        de: 'Wählen Sie die Abfragesprache, die in Azure-Monitor-Protokollen verwendet wird.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/data-explorer/kusto/query/'
    },
    {
      id: 'az500-297',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which actions can Microsoft Sentinel automation rules perform directly on incidents without requiring a playbook? Choose all that apply.',
        de: 'Welche Aktionen können Microsoft-Sentinel-Automatisierungsregeln direkt auf Incidents ausführen, ohne ein Playbook zu benötigen? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Assign an owner', de: 'Einen Besitzer zuweisen' } },
        { id: 'B', text: { en: 'Change incident status', de: 'Den Incidentstatus ändern' } },
        { id: 'C', text: { en: 'Change incident severity', de: 'Die Incidentpriorität ändern' } },
        { id: 'D', text: { en: 'Disable a user account in Microsoft Entra ID', de: 'Ein Benutzerkonto in Microsoft Entra ID deaktivieren' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Automation rules can directly update incident properties such as owner, status, and severity; actions against external systems require a playbook.',
        de: 'Automatisierungsregeln können Incidenteigenschaften wie Besitzer, Status und Priorität direkt aktualisieren; Aktionen gegen externe Systeme erfordern ein Playbook.'
      },
      hint: {
        en: 'Distinguish built-in incident updates from orchestrated response actions.',
        de: 'Unterscheiden Sie integrierte Incidentaktualisierungen von orchestrierten Reaktionsaktionen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules'
    },
    {
      id: 'az500-298',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Contoso still operates Windows servers in its datacenter. The security team wants these machines assessed in Microsoft Defender for Cloud and wants to enable relevant server protections through the same service. The company prefers a Microsoft-supported onboarding path for non-Azure machines.',
        de: 'Contoso betreibt noch Windows-Server im eigenen Rechenzentrum. Das Sicherheitsteam möchte diese Systeme in Microsoft Defender for Cloud bewerten lassen und relevante Serverschutzfunktionen über denselben Dienst aktivieren. Das Unternehmen bevorzugt einen von Microsoft unterstützten Onboardingpfad für Nicht-Azure-Systeme.'
      },
      question: {
        en: 'What should you implement?',
        de: 'Was sollten Sie implementieren?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Arc-enabled servers and the appropriate Defender plan', de: 'Azure-Arc-fähige Server und den passenden Defender-Plan' } },
        { id: 'B', text: { en: 'Azure Bastion on each on-premises server', de: 'Azure Bastion auf jedem lokalen Server' } },
        { id: 'C', text: { en: 'A private endpoint for every file share', de: 'Einen privaten Endpunkt für jede Dateifreigabe' } },
        { id: 'D', text: { en: 'A local NSG on each server', de: 'Eine lokale NSG auf jedem Server' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Arc is the supported path to onboard non-Azure servers so Defender for Cloud can assess and protect them.',
        de: 'Azure Arc ist der unterstützte Weg, um Nicht-Azure-Server einzubinden, sodass Defender for Cloud sie bewerten und schützen kann.'
      },
      hint: {
        en: 'Use the hybrid server onboarding service first.',
        de: 'Verwenden Sie zuerst den Hybridserver-Onboardingdienst.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-arc/servers/overview'
    },
    {
      id: 'az500-299',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Defender for Cloud capability monitors changes to important operating system and application files on supported machines?',
        de: 'Welche Defender-for-Cloud-Funktion überwacht Änderungen an wichtigen Betriebssystem- und Anwendungsdateien auf unterstützten Computern?'
      },
      options: [
        { id: 'A', text: { en: 'File Integrity Monitoring', de: 'Dateiintegritätsüberwachung' } },
        { id: 'B', text: { en: 'Azure Site Recovery', de: 'Azure Site Recovery' } },
        { id: 'C', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } },
        { id: 'D', text: { en: 'Storage lifecycle management', de: 'Storage-Lebenszyklusverwaltung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'File Integrity Monitoring tracks changes to designated files and registries to support security monitoring and investigations.',
        de: 'Die Dateiintegritätsüberwachung verfolgt Änderungen an festgelegten Dateien und Registrierungsobjekten, um Sicherheitsüberwachung und Untersuchungen zu unterstützen.'
      },
      hint: {
        en: 'Choose the capability focused on detecting monitored file changes.',
        de: 'Wählen Sie die Funktion, die auf das Erkennen überwachter Dateiänderungen ausgerichtet ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/file-integrity-monitoring-overview'
    },
    {
      id: 'az500-300',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: {
        en: 'Proseware wants a single investigation console that correlates alerts from identities, endpoints, and cloud workloads. Analysts also want entity graphs, incident grouping, and behavioral context to speed up triage. The organization is already invested in Microsoft security telemetry.',
        de: 'Proseware möchte eine zentrale Untersuchungskonsole, die Warnungen aus Identitäten, Endpunkten und Cloud-Workloads korreliert. Analysten wünschen sich außerdem Entitätsgraphen, Incidentgruppierung und Verhaltenskontext, um die Triage zu beschleunigen. Die Organisation investiert bereits stark in Microsoft-Sicherheitstelemetrie.'
      },
      question: {
        en: 'Which solution best meets the requirement?',
        de: 'Welche Lösung erfüllt die Anforderung am besten?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Sentinel with integrated Microsoft security data and UEBA', de: 'Microsoft Sentinel mit integrierten Microsoft-Sicherheitsdaten und UEBA' } },
        { id: 'B', text: { en: 'Only Azure Policy assignments', de: 'Nur Azure-Policy-Zuweisungen' } },
        { id: 'C', text: { en: 'A standalone storage account for logs', de: 'Ein eigenständiges Speicherkonto für Protokolle' } },
        { id: 'D', text: { en: 'An Application Gateway WAF policy', de: 'Eine Application-Gateway-WAF-Richtlinie' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Sentinel provides centralized incident correlation and investigation, and UEBA adds entity behavior context to improve analyst workflows.',
        de: 'Microsoft Sentinel bietet zentrale Incidentkorrelation und Untersuchung, und UEBA ergänzt Verhaltenskontext zu Entitäten, um Analystenworkflows zu verbessern.'
      },
      hint: {
        en: 'Use the SIEM/SOAR platform with behavior analytics and Microsoft telemetry integration.',
        de: 'Verwenden Sie die SIEM/SOAR-Plattform mit Verhaltensanalysen und Integration von Microsoft-Telemetrie.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    }
]; if (window.ExamData && window.ExamData['az-500']) { window.ExamData['az-500'].questions = window.ExamData['az-500'].questions.concat(extra); } })();
