// SC-100 Additional Questions (Part 2)
(function() {
  var extra = [
{
      id: "sc100-121",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which network design best aligns a new Azure landing zone with Zero Trust principles?", de: "Welches Netzwerkdesign richtet eine neue Azure-Landing-Zone am besten an Zero-Trust-Prinzipien aus?" },
      options: [
        { id: "A", text: { en: "Segment workloads by function and use private access paths wherever possible", de: "Workloads nach Funktion segmentieren und nach Möglichkeit private Zugriffspfade verwenden" } },
        { id: "B", text: { en: "Use one flat virtual network for all applications to simplify routing", de: "Ein einziges flaches virtuelles Netzwerk für alle Anwendungen verwenden, um das Routing zu vereinfachen" } },
        { id: "C", text: { en: "Allow broad east-west communication inside the corporate address space", de: "Breite Ost-West-Kommunikation innerhalb des Unternehmensadressraums zulassen" } },
        { id: "D", text: { en: "Publish management ports to the internet for faster administration", de: "Verwaltungsports für eine schnellere Administration im Internet veröffentlichen" } }
      ],
      correct: ["A"],
      explanation: { en: "Zero Trust assumes breach and limits lateral movement by segmenting resources and reducing unnecessary exposure. Private connectivity and narrowly scoped access paths are better aligned than flat network trust models.", de: "Zero Trust geht von einer möglichen Sicherheitsverletzung aus und begrenzt laterale Bewegungen durch Segmentierung von Ressourcen und die Reduzierung unnötiger Exponierung. Private Konnektivität und eng abgegrenzte Zugriffspfade sind besser geeignet als flache Netzwerkvertrauensmodelle." },
      hint: { en: "Choose the option that reduces implicit trust between workloads.", de: "Wählen Sie die Option, die implizites Vertrauen zwischen Workloads reduziert." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview"
    },
    {
      id: "sc100-122",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO statements accurately describe how the Microsoft Cloud Security Benchmark helps architects align designs to external standards?", de: "Welche ZWEI Aussagen beschreiben korrekt, wie der Microsoft Cloud Security Benchmark Architekten dabei unterstützt, Designs an externen Standards auszurichten?" },
      options: [
        { id: "A", text: { en: "It provides Microsoft-aligned control guidance for cloud services", de: "Er stellt an Microsoft ausgerichtete Kontrollleitlinien für Clouddienste bereit" } },
        { id: "B", text: { en: "It replaces regulatory interpretation and legal obligations", de: "Er ersetzt regulatorische Interpretation und rechtliche Verpflichtungen" } },
        { id: "C", text: { en: "It includes mappings that help relate controls to frameworks such as NIST and CIS", de: "Er enthält Zuordnungen, die helfen, Kontrollen mit Frameworks wie NIST und CIS in Beziehung zu setzen" } },
        { id: "D", text: { en: "It applies only to Azure virtual machines and not to platform services", de: "Er gilt nur für Azure-VMs und nicht für Plattformdienste" } }
      ],
      correct: ["A", "C"],
      explanation: { en: "The benchmark provides a Microsoft security baseline and control structure for cloud environments, and its mappings help organizations connect Azure guidance to broader frameworks such as NIST and CIS. It does not replace legal interpretation and it is broader than only virtual machines.", de: "Der Benchmark bietet eine Microsoft-Sicherheitsbasis und Kontrollstruktur für Cloudumgebungen, und seine Zuordnungen helfen Organisationen dabei, Azure-Leitlinien mit breiteren Frameworks wie NIST und CIS zu verbinden. Er ersetzt keine rechtliche Interpretation und ist deutlich breiter als nur virtuelle Maschinen." },
      hint: { en: "Pick the answers that describe baseline guidance and framework mapping.", de: "Wählen Sie die Antworten, die Basisleitlinien und Framework-Zuordnungen beschreiben." },
      reference: "https://learn.microsoft.com/en-us/security/benchmark/azure/overview"
    },
    {
      id: "sc100-123",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "Litware, Inc. is deploying hundreds of Azure subscriptions. The security team must enforce a common baseline, deny unapproved public IP deployments, and send activity logs to a central monitoring platform.", de: "Litware, Inc. führt Hunderte von Azure-Abonnements ein. Das Sicherheitsteam muss eine gemeinsame Basis durchsetzen, nicht genehmigte Bereitstellungen öffentlicher IPs verhindern und Aktivitätsprotokolle an eine zentrale Überwachungsplattform senden." },
      question: { en: "Which design should the architect recommend?", de: "Welches Design sollte der Architekt empfehlen?" },
      options: [
        { id: "A", text: { en: "Assign Azure Policy initiatives and required diagnostics at management group scope", de: "Azure-Policy-Initiativen und erforderliche Diagnoseeinstellungen im Bereich von Verwaltungsgruppen zuweisen" } },
        { id: "B", text: { en: "Let each subscription owner define its own guardrails after deployment", de: "Jeden Abonnementbesitzer seine eigenen Leitplanken nach der Bereitstellung definieren lassen" } },
        { id: "C", text: { en: "Rely on naming standards and quarterly architecture reviews only", de: "Sich nur auf Namensstandards und vierteljährliche Architekturprüfungen verlassen" } },
        { id: "D", text: { en: "Configure controls manually in the production subscriptions with local scripts", de: "Kontrollen manuell in den Produktionsabonnements mit lokalen Skripts konfigurieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Management groups allow architects to apply Azure Policy, RBAC, and platform standards consistently across many subscriptions. That approach is central to secure landing zones because it reduces drift and enforces guardrails before workloads scale.", de: "Verwaltungsgruppen ermöglichen es Architekten, Azure Policy, RBAC und Plattformstandards konsistent über viele Abonnements hinweg anzuwenden. Dieser Ansatz ist zentral für sichere Landing Zones, weil er Drift reduziert und Leitplanken durchsetzt, bevor Workloads skaliert werden." },
      hint: { en: "Look for the control point that sits above subscriptions.", de: "Suchen Sie nach dem Steuerungspunkt, der oberhalb von Abonnements liegt." },
      reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
    },
    {
      id: "sc100-124",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "In the Cloud Adoption Framework, what should be defined before application teams deploy workloads into a landing zone?", de: "Was sollte im Cloud Adoption Framework definiert werden, bevor Anwendungsteams Workloads in einer Landing Zone bereitstellen?" },
      options: [
        { id: "A", text: { en: "The enterprise security baseline and mandatory guardrails", de: "Die Sicherheitsbasis des Unternehmens und verpflichtende Leitplanken" } },
        { id: "B", text: { en: "A detailed list of individual developer workstation preferences", de: "Eine detaillierte Liste individueller Präferenzen für Entwicklerarbeitsplätze" } },
        { id: "C", text: { en: "The final procurement decision for all third-party tools", de: "Die endgültige Beschaffungsentscheidung für alle Drittanbieterwerkzeuge" } },
        { id: "D", text: { en: "The incident postmortem template for future outages", de: "Die Postmortem-Vorlage für zukünftige Ausfälle" } }
      ],
      correct: ["A"],
      explanation: { en: "CAF recommends establishing security baselines and platform guardrails first so workload teams inherit required controls by design. This supports consistency, governance, and faster onboarding without repeated manual review.", de: "CAF empfiehlt, zuerst Sicherheitsbaselines und Plattformleitplanken festzulegen, damit Workload-Teams erforderliche Kontrollen durch das Design erben. Das unterstützt Konsistenz, Governance und eine schnellere Einführung ohne wiederholte manuelle Prüfungen." },
      hint: { en: "Choose the answer that creates a secure foundation, not an operational preference.", de: "Wählen Sie die Antwort, die ein sicheres Fundament schafft und keine betriebliche Präferenz beschreibt." },
      reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-security-baseline"
    },
    {
      id: "sc100-125",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "What is the primary value of Defender for Cloud CSPM in a security architecture program?", de: "Was ist der wichtigste Nutzen von Defender for Cloud CSPM in einem Sicherheitsarchitekturprogramm?" },
      options: [
        { id: "A", text: { en: "Continuous assessment of cloud posture with recommendations and prioritization", de: "Kontinuierliche Bewertung der Cloud-Sicherheitslage mit Empfehlungen und Priorisierung" } },
        { id: "B", text: { en: "Replacement of the organization's backup platform", de: "Ersatz der Backup-Plattform der Organisation" } },
        { id: "C", text: { en: "A directory service for employee payroll systems", de: "Ein Verzeichnisdienst für Gehaltsabrechnungssysteme von Mitarbeitern" } },
        { id: "D", text: { en: "A traffic distribution service for public web applications", de: "Ein Dienst zur Verkehrsverteilung für öffentliche Webanwendungen" } }
      ],
      correct: ["A"],
      explanation: { en: "CSPM focuses on continuously assessing cloud resources, surfacing recommendations, and helping teams improve security posture over time. That makes it a design and governance capability rather than a backup or networking product.", de: "CSPM konzentriert sich auf die kontinuierliche Bewertung von Cloudressourcen, das Bereitstellen von Empfehlungen und die Unterstützung von Teams bei der Verbesserung ihrer Sicherheitslage im Zeitverlauf. Damit ist es eine Design- und Governance-Funktion und kein Backup- oder Netzwerkprodukt." },
      hint: { en: "Think about visibility and posture improvement across cloud resources.", de: "Denken Sie an Transparenz und die Verbesserung der Sicherheitslage über Cloudressourcen hinweg." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-cloud-security-posture-management"
    },
    {
      id: "sc100-126",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Humongous Insurance, a recent ransomware incident showed that tenant administrators could delete backup resources and recovery scripts. Executives now require recovery of Tier-0 business services even when production identities are compromised.", de: "Bei Humongous Insurance zeigte ein aktueller Ransomware-Vorfall, dass Mandantenadministratoren Backup-Ressourcen und Wiederherstellungsskripte löschen konnten. Die Geschäftsleitung verlangt nun die Wiederherstellung geschäftskritischer Tier-0-Dienste, selbst wenn Produktionsidentitäten kompromittiert werden." },
      question: { en: "Which architecture best meets the requirement?", de: "Welche Architektur erfüllt diese Anforderung am besten?" },
      options: [
        { id: "A", text: { en: "Use immutable backups, isolated recovery identities, and a separate recovery subscription or environment", de: "Unveränderliche Sicherungen, isolierte Wiederherstellungsidentitäten und ein separates Recovery-Abonnement oder eine separate Recovery-Umgebung verwenden" } },
        { id: "B", text: { en: "Keep backups in the same subscriptions and let production administrators manage restores", de: "Backups in denselben Abonnements belassen und Produktionsadministratoren Wiederherstellungen verwalten lassen" } },
        { id: "C", text: { en: "Rely on daily exports copied to a standard file share in the production domain", de: "Sich auf tägliche Exporte verlassen, die auf eine Standarddateifreigabe in der Produktionsdomäne kopiert werden" } },
        { id: "D", text: { en: "Use VM snapshots only and store them alongside production workloads", de: "Nur VM-Snapshots verwenden und diese neben den Produktionsworkloads speichern" } }
      ],
      correct: ["A"],
      explanation: { en: "Ransomware-resilient design requires protecting both restore points and the recovery process from the same compromise path. Immutable backups, isolated identities, and a separate recovery environment reduce the likelihood that attackers can tamper with both production and recovery capabilities.", de: "Ein gegen Ransomware widerstandsfähiges Design muss sowohl Wiederherstellungspunkte als auch den Wiederherstellungsprozess vor demselben Kompromittierungspfad schützen. Unveränderliche Sicherungen, isolierte Identitäten und eine separate Recovery-Umgebung verringern die Wahrscheinlichkeit, dass Angreifer sowohl Produktion als auch Wiederherstellungsfähigkeiten manipulieren können." },
      hint: { en: "Prefer designs that separate backup and recovery administration from production trust paths.", de: "Bevorzugen Sie Designs, die Backup- und Recovery-Administration von den Vertrauenspfaden der Produktion trennen." },
      reference: "https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept"
    },
    {
      id: "sc100-127",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO outputs from threat modeling are most valuable before implementation starts?", de: "Welche ZWEI Ergebnisse der Bedrohungsmodellierung sind vor Beginn der Implementierung am wertvollsten?" },
      options: [
        { id: "A", text: { en: "A data flow diagram that shows components, data paths, and trust boundaries", de: "Ein Datenflussdiagramm, das Komponenten, Datenpfade und Vertrauensgrenzen zeigt" } },
        { id: "B", text: { en: "A prioritized list of mitigations for identified threats", de: "Eine priorisierte Liste von Gegenmaßnahmen für identifizierte Bedrohungen" } },
        { id: "C", text: { en: "The final support roster for weekend operations", de: "Die endgültige Einsatzplanung für den Wochenendbetrieb" } },
        { id: "D", text: { en: "A comparison of licensing discounts across vendors", de: "Ein Vergleich von Lizenzrabatten verschiedener Anbieter" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Threat modeling is most useful when it exposes how a system works and where to reduce risk before code or infrastructure is finalized. Data flow diagrams and prioritized mitigations help architects make concrete design decisions early.", de: "Bedrohungsmodellierung ist am nützlichsten, wenn sie zeigt, wie ein System funktioniert und wo Risiken reduziert werden sollten, bevor Code oder Infrastruktur finalisiert sind. Datenflussdiagramme und priorisierte Gegenmaßnahmen helfen Architekten dabei, früh konkrete Designentscheidungen zu treffen." },
      hint: { en: "Choose one answer about understanding the system and one about reducing risk.", de: "Wählen Sie eine Antwort zum Systemverständnis und eine zur Risikoreduzierung." },
      reference: "https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool"
    },
    {
      id: "sc100-128",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "An auditor asks how your Azure security baseline aligns to NIST SP 800-53 and CIS. Which resource should you use first?", de: "Ein Prüfer fragt, wie Ihre Azure-Sicherheitsbasis mit NIST SP 800-53 und CIS übereinstimmt. Welche Ressource sollten Sie zuerst verwenden?" },
      options: [
        { id: "A", text: { en: "The Microsoft Cloud Security Benchmark mappings", de: "Die Zuordnungen des Microsoft Cloud Security Benchmark" } },
        { id: "B", text: { en: "The Azure pricing calculator", de: "Den Azure-Preisrechner" } },
        { id: "C", text: { en: "Service Health advisories", de: "Service-Health-Hinweise" } },
        { id: "D", text: { en: "A Purview eDiscovery case", de: "Einen Purview-eDiscovery-Fall" } }
      ],
      correct: ["A"],
      explanation: { en: "The Microsoft Cloud Security Benchmark provides Microsoft-aligned guidance and includes mappings that help relate Azure security controls to external frameworks such as NIST and CIS. That makes it the right starting point for architecture and audit discussions.", de: "Der Microsoft Cloud Security Benchmark bietet an Microsoft ausgerichtete Leitlinien und enthält Zuordnungen, die helfen, Azure-Sicherheitskontrollen mit externen Frameworks wie NIST und CIS in Beziehung zu setzen. Damit ist er der richtige Ausgangspunkt für Architektur- und Auditgespräche." },
      hint: { en: "Use the Microsoft baseline that already includes framework relationships.", de: "Verwenden Sie die Microsoft-Basis, die bereits Framework-Beziehungen enthält." },
      reference: "https://learn.microsoft.com/en-us/security/benchmark/azure/overview"
    },
    {
      id: "sc100-129",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Woodgrove Bank, after an acquisition, users, devices, and administrators from multiple environments need access to a shared application portfolio. Leadership wants a design that does not trust any network location by default and evaluates identity and device state for every sensitive access decision.", de: "Bei Woodgrove Bank benötigen Benutzer, Geräte und Administratoren aus mehreren Umgebungen nach einer Übernahme Zugriff auf ein gemeinsames Anwendungsportfolio. Die Leitung verlangt ein Design, das keinem Netzwerkstandort standardmäßig vertraut und für jede sensible Zugriffsentscheidung Identität und Gerätezustand bewertet." },
      question: { en: "Which approach should guide the architecture?", de: "Welcher Ansatz sollte die Architektur leiten?" },
      options: [
        { id: "A", text: { en: "Apply Zero Trust by enforcing explicit verification, least privilege, and segmentation for application access", de: "Zero Trust anwenden, indem explizite Verifizierung, geringste Rechte und Segmentierung für den Anwendungszugriff erzwungen werden" } },
        { id: "B", text: { en: "Trust all traffic that comes through the corporate WAN and focus only on perimeter firewalls", de: "Dem gesamten Datenverkehr vertrauen, der über das Unternehmens-WAN kommt, und sich nur auf Perimeter-Firewalls konzentrieren" } },
        { id: "C", text: { en: "Grant broad contributor permissions during the integration phase to reduce friction", de: "Während der Integrationsphase breite Contributor-Berechtigungen gewähren, um Reibung zu verringern" } },
        { id: "D", text: { en: "Use shared admin accounts so each legacy environment can be managed consistently", de: "Gemeinsam genutzte Administratorkonten verwenden, damit jede Altumgebung konsistent verwaltet werden kann" } }
      ],
      correct: ["A"],
      explanation: { en: "Zero Trust is specifically designed to remove implicit trust from network location and require context-aware verification for each request. Combining explicit verification with least privilege and segmentation is the best architectural fit for merged environments with uneven trust.", de: "Zero Trust ist speziell darauf ausgelegt, implizites Vertrauen basierend auf Netzwerkstandorten zu entfernen und für jede Anforderung eine kontextabhängige Verifizierung zu verlangen. Die Kombination aus expliziter Verifizierung, geringsten Rechten und Segmentierung ist die beste architektonische Lösung für zusammengeführte Umgebungen mit uneinheitlichem Vertrauen." },
      hint: { en: "Look for the option that removes default trust from the network itself.", de: "Suchen Sie nach der Option, die Standardvertrauen aus dem Netzwerk selbst entfernt." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview"
    },
    {
      id: "sc100-130",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which design most effectively reduces the blast radius of administrative compromise in an enterprise-scale landing zone?", de: "Welches Design reduziert den Wirkungsradius einer administrativen Kompromittierung in einer Enterprise-Scale-Landing-Zone am effektivsten?" },
      options: [
        { id: "A", text: { en: "Separate platform administration, management subscriptions, and privileged access paths from workload operations", de: "Plattformadministration, Management-Abonnements und privilegierte Zugriffspfade von Workload-Betrieb trennen" } },
        { id: "B", text: { en: "Use the same owner roles and admin workstations across all subscriptions", de: "Dieselben Owner-Rollen und Administrationsarbeitsplätze in allen Abonnements verwenden" } },
        { id: "C", text: { en: "Grant standing Global Administrator rights to the platform team for speed", de: "Dem Plattformteam aus Geschwindigkeitsgründen dauerhafte globale Administratorrechte gewähren" } },
        { id: "D", text: { en: "Manage platform and application resources from the same shared service account", de: "Plattform- und Anwendungsressourcen über dasselbe gemeinsam genutzte Dienstkonto verwalten" } }
      ],
      correct: ["A"],
      explanation: { en: "Administrative blast radius is reduced when platform functions, privileged identities, and management resources are isolated from everyday workload operations. Shared accounts and standing privilege increase the chance that one compromise spreads across the environment.", de: "Der Wirkungsradius administrativer Kompromittierungen wird reduziert, wenn Plattformfunktionen, privilegierte Identitäten und Managementressourcen vom täglichen Workload-Betrieb isoliert werden. Gemeinsame Konten und dauerhafte Privilegien erhöhen die Wahrscheinlichkeit, dass sich eine einzelne Kompromittierung über die gesamte Umgebung ausbreitet." },
      hint: { en: "Choose the option that creates administrative separation instead of convenience-based trust.", de: "Wählen Sie die Option, die administrative Trennung statt vertrauensbasierter Bequemlichkeit schafft." },
      reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
    },
    {
      id: "sc100-131",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which TWO practices best support least-privilege administration?", de: "Welche ZWEI Praktiken unterstützen die Administration nach dem Prinzip der geringsten Rechte am besten?" },
      options: [
        { id: "A", text: { en: "Use Privileged Identity Management for eligible just-in-time role activation", de: "Privileged Identity Management für berechtigte Just-in-Time-Rollenaktivierung verwenden" } },
        { id: "B", text: { en: "Assign permanent owner rights so urgent changes can be made faster", de: "Dauerhafte Owner-Rechte zuweisen, damit dringende Änderungen schneller durchgeführt werden können" } },
        { id: "C", text: { en: "Use shared administrator accounts for operational consistency", de: "Gemeinsam genutzte Administratorkonten für betriebliche Konsistenz verwenden" } },
        { id: "D", text: { en: "Scope custom roles and permissions as narrowly as the task allows", de: "Benutzerdefinierte Rollen und Berechtigungen so eng wie die Aufgabe es zulässt eingrenzen" } }
      ],
      correct: ["A", "D"],
      explanation: { en: "Least privilege means granting only the access needed and only for the required time. PIM removes standing privilege, and narrow role scope reduces exposure if an account or process is misused.", de: "Geringste Rechte bedeuten, nur den erforderlichen Zugriff und nur für die benötigte Zeit zu gewähren. PIM entfernt dauerhafte Privilegien, und eng abgegrenzte Rollen verringern die Angriffsfläche, wenn ein Konto oder Prozess missbraucht wird." },
      hint: { en: "Pick the answers that reduce standing access and over-permissioning.", de: "Wählen Sie die Antworten, die dauerhaften Zugriff und Überberechtigung reduzieren." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview"
    },
    {
      id: "sc100-132",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "During threat modeling, what should architects identify first in a new application design?", de: "Was sollten Architekten während der Bedrohungsmodellierung in einem neuen Anwendungsdesign zuerst identifizieren?" },
      options: [
        { id: "A", text: { en: "Trust boundaries and data flows between components", de: "Vertrauensgrenzen und Datenflüsse zwischen Komponenten" } },
        { id: "B", text: { en: "The marketing launch date for the application", de: "Das Marketing-Startdatum der Anwendung" } },
        { id: "C", text: { en: "The final travel schedule for the project team", de: "Den endgültigen Reiseplan des Projektteams" } },
        { id: "D", text: { en: "The preferred desktop wallpaper for developers", de: "Das bevorzugte Desktop-Hintergrundbild der Entwickler" } }
      ],
      correct: ["A"],
      explanation: { en: "Threat modeling begins by understanding how the system works, where data moves, and where trust changes. Those trust boundaries help identify spoofing, tampering, information disclosure, and other risks that influence architecture decisions.", de: "Bedrohungsmodellierung beginnt damit, zu verstehen, wie das System funktioniert, wohin Daten fließen und an welchen Stellen sich Vertrauen ändert. Diese Vertrauensgrenzen helfen dabei, Risiken wie Spoofing, Manipulation und Offenlegung von Informationen zu identifizieren, die Architekturentscheidungen beeinflussen." },
      hint: { en: "First understand the system before listing threats.", de: "Verstehen Sie zuerst das System, bevor Sie Bedrohungen auflisten." },
      reference: "https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool"
    },
    {
      id: "sc100-133",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: { en: "Contoso, Ltd. runs workloads in Azure, AWS, and GCP. Executives want one posture-management program that can prioritize high-risk issues, use a common control language, and support remediation planning across clouds.", de: "Contoso, Ltd. betreibt Workloads in Azure, AWS und GCP. Die Geschäftsleitung möchte ein gemeinsames Programm zur Verwaltung der Sicherheitslage, das Hochrisikothemen priorisieren, eine gemeinsame Kontrollsprache verwenden und die Remediationsplanung über mehrere Clouds hinweg unterstützen kann." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Defender for Cloud CSPM with a benchmark-driven control model such as MCSB and central remediation workflows", de: "Defender for Cloud CSPM mit einem benchmarkbasierten Kontrollmodell wie MCSB und zentralen Remediations-Workflows verwenden" } },
        { id: "B", text: { en: "Track findings in separate spreadsheets for each cloud without a common baseline", de: "Erkenntnisse in separaten Tabellen pro Cloud ohne gemeinsame Basis verfolgen" } },
        { id: "C", text: { en: "Focus only on Azure because it has the largest workload count", de: "Sich nur auf Azure konzentrieren, weil dort die meisten Workloads betrieben werden" } },
        { id: "D", text: { en: "Rely only on antimalware agents installed inside each server", de: "Sich nur auf Antimalware-Agenten verlassen, die auf jedem Server installiert sind" } }
      ],
      correct: ["A"],
      explanation: { en: "A posture-management program needs continuous assessment, prioritization, and a common control language. Defender for Cloud CSPM provides cross-cloud posture visibility, while MCSB offers a structured security baseline that helps organize remediation and reporting.", de: "Ein Programm zur Verwaltung der Sicherheitslage benötigt kontinuierliche Bewertung, Priorisierung und eine gemeinsame Kontrollsprache. Defender for Cloud CSPM bietet cloudübergreifende Sicht auf die Sicherheitslage, während MCSB eine strukturierte Sicherheitsbasis liefert, die Remediation und Berichterstattung unterstützt." },
      hint: { en: "Choose the option that combines posture visibility with a common control taxonomy.", de: "Wählen Sie die Option, die Transparenz der Sicherheitslage mit einer gemeinsamen Kontrolltaxonomie kombiniert." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-cloud-security-posture-management"
    },
    {
      id: "sc100-134",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Why is mapping the Microsoft Cloud Security Benchmark to frameworks such as NIST and CIS valuable during design reviews?", de: "Warum ist es bei Designprüfungen wertvoll, den Microsoft Cloud Security Benchmark auf Frameworks wie NIST und CIS abzubilden?" },
      options: [
        { id: "A", text: { en: "It helps show which control objectives are covered and where gaps remain", de: "Es hilft zu zeigen, welche Kontrollziele abgedeckt sind und wo noch Lücken bestehen" } },
        { id: "B", text: { en: "It guarantees automatic remediation of every control failure", de: "Es garantiert die automatische Behebung jeder Kontrollverletzung" } },
        { id: "C", text: { en: "It eliminates the need for organization-specific policies", de: "Es macht organisationsspezifische Richtlinien überflüssig" } },
        { id: "D", text: { en: "It is useful only after production deployment is complete", de: "Es ist erst nach Abschluss der Produktionsbereitstellung nützlich" } }
      ],
      correct: ["A"],
      explanation: { en: "Framework mapping helps architects explain control intent, demonstrate coverage, and identify where additional design choices are needed. It supports governance discussions, but it does not replace policy, engineering, or remediation work.", de: "Framework-Zuordnung hilft Architekten dabei, Kontrollabsichten zu erklären, Abdeckung nachzuweisen und zu identifizieren, wo zusätzliche Designentscheidungen erforderlich sind. Sie unterstützt Governance-Diskussionen, ersetzt aber weder Richtlinien noch Engineering oder Remediation." },
      hint: { en: "Think about coverage analysis, not automation magic.", de: "Denken Sie an Abdeckungsanalyse und nicht an automatische Wunderlösungen." },
      reference: "https://learn.microsoft.com/en-us/security/benchmark/azure/overview"
    },
    {
      id: "sc100-135",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "The application teams at Litware, Inc. want direct subscription creation and internet egress from every workload. The security team requires centralized egress filtering, private access to platform services, and reusable guardrails for future regions.", de: "Die Anwendungsteams von Litware, Inc. möchten Abonnements direkt erstellen und Internet-Egress von jedem Workload aus. Das Sicherheitsteam verlangt zentrale Egress-Filterung, privaten Zugriff auf Plattformdienste und wiederverwendbare Leitplanken für zukünftige Regionen." },
      question: { en: "Which landing-zone design best meets the requirement?", de: "Welches Landing-Zone-Design erfüllt die Anforderung am besten?" },
      options: [
        { id: "A", text: { en: "A hub-and-spoke model with centralized connectivity services and policy guardrails at management group scope", de: "Ein Hub-and-Spoke-Modell mit zentralen Konnektivitätsdiensten und Policy-Leitplanken im Verwaltungsgruppenbereich" } },
        { id: "B", text: { en: "A flat network where every workload manages its own internet firewall", de: "Ein flaches Netzwerk, in dem jeder Workload seine eigene Internet-Firewall verwaltet" } },
        { id: "C", text: { en: "Separate root management groups for each application team", de: "Separate Root-Verwaltungsgruppen für jedes Anwendungsteam" } },
        { id: "D", text: { en: "Public endpoints for all PaaS services to simplify connectivity", de: "Öffentliche Endpunkte für alle PaaS-Dienste zur Vereinfachung der Konnektivität" } }
      ],
      correct: ["A"],
      explanation: { en: "Centralized connectivity and policy enforcement are core landing-zone patterns for secure scale. They let architects control egress, standardize private access patterns, and roll out new regions without redesigning basic security guardrails.", de: "Zentrale Konnektivität und Richtliniendurchsetzung sind Kernmuster von Landing Zones für sichere Skalierung. Sie ermöglichen es Architekten, Egress zu steuern, private Zugriffsmuster zu standardisieren und neue Regionen einzuführen, ohne grundlegende Sicherheitsleitplanken neu entwerfen zu müssen." },
      hint: { en: "Look for central network controls plus reusable governance.", de: "Achten Sie auf zentrale Netzwerksteuerung plus wiederverwendbare Governance." },
      reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
    },
    {
      id: "sc100-136",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design choices most improve resilience against destructive attacks on identity and the management plane?", de: "Welche ZWEI Designentscheidungen verbessern die Resilienz gegenüber destruktiven Angriffen auf Identität und Verwaltungsebene am stärksten?" },
      options: [
        { id: "A", text: { en: "Maintain monitored emergency access accounts protected separately from day-to-day administration", de: "Überwachte Notfallzugangskonten pflegen, die getrennt von der täglichen Administration geschützt sind" } },
        { id: "B", text: { en: "Replicate backups to immutable or logically isolated storage with separate authorization paths", de: "Backups in unveränderlichen oder logisch isolierten Speicher mit separaten Autorisierungspfaden replizieren" } },
        { id: "C", text: { en: "Reuse production automation identities in recovery workflows", de: "Produktionsautomatisierungsidentitäten in Recovery-Workflows wiederverwenden" } },
        { id: "D", text: { en: "Allow subscription owners to delete backup vaults during incidents", de: "Abonnementbesitzern erlauben, Backup-Tresore während Vorfällen zu löschen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Resilience improves when recovery paths remain usable even if normal administrative controls fail. Strongly protected emergency access accounts help regain control, and immutable or isolated backups make it harder for attackers to destroy recovery points.", de: "Die Resilienz verbessert sich, wenn Wiederherstellungspfade nutzbar bleiben, selbst wenn normale Administrationskontrollen ausfallen. Stark geschützte Notfallzugangskonten helfen, die Kontrolle zurückzugewinnen, und unveränderliche oder isolierte Backups erschweren Angreifern die Zerstörung von Wiederherstellungspunkten." },
      hint: { en: "Choose one answer about regaining access and one about protecting recovery data.", de: "Wählen Sie eine Antwort zur Wiedererlangung des Zugriffs und eine zum Schutz von Wiederherstellungsdaten." },
      reference: "https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept"
    },
    {
      id: "sc100-137",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Microsoft benchmark should architects use as the default cloud security baseline for Azure services?", de: "Welchen Microsoft-Benchmark sollten Architekten als Standard-Cloud-Sicherheitsbasis für Azure-Dienste verwenden?" },
      options: [
        { id: "A", text: { en: "Microsoft Cloud Security Benchmark", de: "Microsoft Cloud Security Benchmark" } },
        { id: "B", text: { en: "Azure pricing calculator", de: "Azure-Preisrechner" } },
        { id: "C", text: { en: "Microsoft 365 roadmap", de: "Microsoft-365-Roadmap" } },
        { id: "D", text: { en: "Windows Event Viewer", de: "Windows-Ereignisanzeige" } }
      ],
      correct: ["A"],
      explanation: { en: "The Microsoft Cloud Security Benchmark is Microsoft's recommended cloud security baseline for Azure and related services. It gives architects a structured starting point for control selection, governance, and design reviews.", de: "Der Microsoft Cloud Security Benchmark ist die von Microsoft empfohlene Cloud-Sicherheitsbasis für Azure und verwandte Dienste. Er gibt Architekten einen strukturierten Ausgangspunkt für Kontrollauswahl, Governance und Designprüfungen." },
      hint: { en: "Pick the Microsoft security baseline, not a planning or operations tool.", de: "Wählen Sie die Microsoft-Sicherheitsbasis und kein Planungs- oder Betriebswerkzeug." },
      reference: "https://learn.microsoft.com/en-us/security/benchmark/azure/overview"
    },
    {
      id: "sc100-138",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "The team at Humongous Insurance is redesigning an internet-facing API on AKS that uses Event Hubs, Azure SQL Database, and several internal microservices. The architect wants to identify likely threats before the first sprint finishes.", de: "Das Team von Humongous Insurance entwirft eine internetfähige API auf AKS neu, die Event Hubs, Azure SQL Database und mehrere interne Microservices verwendet. Der Architekt möchte wahrscheinliche Bedrohungen identifizieren, bevor der erste Sprint abgeschlossen ist." },
      question: { en: "What should the team do first?", de: "Was sollte das Team zuerst tun?" },
      options: [
        { id: "A", text: { en: "Create a data flow diagram, identify trust boundaries, and analyze threats against the design", de: "Ein Datenflussdiagramm erstellen, Vertrauensgrenzen identifizieren und Bedrohungen gegen das Design analysieren" } },
        { id: "B", text: { en: "Wait until production deployment and then review alert data", de: "Bis zur Produktionsbereitstellung warten und danach Warndaten prüfen" } },
        { id: "C", text: { en: "Disable all network security controls to speed up testing", de: "Alle Netzwerksicherheitskontrollen deaktivieren, um Tests zu beschleunigen" } },
        { id: "D", text: { en: "Select the least expensive services first and revisit security later", de: "Zuerst die günstigsten Dienste auswählen und Sicherheit später erneut betrachten" } }
      ],
      correct: ["A"],
      explanation: { en: "Threat modeling should happen early enough to influence architecture choices. Building a data flow diagram and identifying trust boundaries lets the team reason about threats and decide on mitigations before implementation details become costly to change.", de: "Bedrohungsmodellierung sollte früh genug stattfinden, um Architekturentscheidungen zu beeinflussen. Das Erstellen eines Datenflussdiagramms und das Identifizieren von Vertrauensgrenzen ermöglichen es dem Team, Bedrohungen zu bewerten und Gegenmaßnahmen festzulegen, bevor Implementierungsdetails teuer zu ändern werden." },
      hint: { en: "Choose the option that brings security analysis into the design phase.", de: "Wählen Sie die Option, die Sicherheitsanalyse in die Designphase bringt." },
      reference: "https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool"
    },
    {
      id: "sc100-139",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which design most effectively turns NIST or CIS-aligned requirements into enforceable Azure controls at scale?", de: "Welches Design wandelt an NIST oder CIS ausgerichtete Anforderungen im großen Maßstab am effektivsten in durchsetzbare Azure-Kontrollen um?" },
      options: [
        { id: "A", text: { en: "Use Azure Policy initiatives informed by the Microsoft Cloud Security Benchmark and monitor compliance centrally", de: "Azure-Policy-Initiativen verwenden, die durch den Microsoft Cloud Security Benchmark informiert sind, und die Compliance zentral überwachen" } },
        { id: "B", text: { en: "Publish PDF standards and let each subscription implement them independently", de: "PDF-Standards veröffentlichen und jedes Abonnement diese unabhängig umsetzen lassen" } },
        { id: "C", text: { en: "Review controls only after a major incident occurs", de: "Kontrollen erst nach einem größeren Sicherheitsvorfall überprüfen" } },
        { id: "D", text: { en: "Depend on manual administrator memory for baseline settings", de: "Sich bei Basiseinstellungen auf das manuelle Erinnerungsvermögen von Administratoren verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Framework alignment becomes actionable when control intent is translated into policy and measured centrally. Using policy initiatives informed by MCSB helps standardize enforcement, reduce drift, and provide audit evidence across many subscriptions.", de: "Framework-Ausrichtung wird erst dann handlungsfähig, wenn Kontrollabsichten in Richtlinien übersetzt und zentral gemessen werden. Die Verwendung von durch MCSB informierten Policy-Initiativen hilft, Durchsetzung zu standardisieren, Drift zu reduzieren und Audit-Nachweise über viele Abonnements hinweg bereitzustellen." },
      hint: { en: "Choose the answer that combines policy enforcement with centralized measurement.", de: "Wählen Sie die Antwort, die Richtliniendurchsetzung mit zentraler Messung kombiniert." },
      reference: "https://learn.microsoft.com/en-us/security/benchmark/azure/overview"
    },
    {
      id: "sc100-140",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO capabilities should you prioritize in a multicloud security posture management program?", de: "Welche ZWEI Fähigkeiten sollten Sie in einem cloudübergreifenden Programm zur Verwaltung der Sicherheitslage priorisieren?" },
      options: [
        { id: "A", text: { en: "Continuous assessment against defined security standards", de: "Kontinuierliche Bewertung anhand definierter Sicherheitsstandards" } },
        { id: "B", text: { en: "Risk prioritization such as attack path analysis or critical recommendation ranking", de: "Risikopriorisierung wie Angriffspfadanalyse oder Ranking kritischer Empfehlungen" } },
        { id: "C", text: { en: "Annual spreadsheet reviews as the primary control mechanism", de: "Jährliche Tabellenprüfungen als primärer Kontrollmechanismus" } },
        { id: "D", text: { en: "Disabling recommendations to keep dashboards simple", de: "Empfehlungen deaktivieren, um Dashboards einfach zu halten" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Posture management is most effective when it continuously evaluates resources and helps teams focus on the highest-risk findings first. Periodic spreadsheets and suppressed recommendations reduce visibility rather than improving governance.", de: "Die Verwaltung der Sicherheitslage ist am effektivsten, wenn sie Ressourcen kontinuierlich bewertet und Teams hilft, sich zuerst auf die risikoreichsten Erkenntnisse zu konzentrieren. Periodische Tabellen und unterdrückte Empfehlungen verringern die Transparenz, anstatt die Governance zu verbessern." },
      hint: { en: "Choose one answer about visibility and one about prioritization.", de: "Wählen Sie eine Antwort zur Transparenz und eine zur Priorisierung." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-cloud-security-posture-management"
    },
    {
      id: "sc100-141",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Woodgrove Bank, legacy applications hosted on Azure virtual machines still use broad network access and permanent administrator privileges. The company is integrating partner-owned devices and untrusted networks, but must keep the applications online during modernization.", de: "Bei Woodgrove Bank verwenden auf Azure-VMs gehostete Altanwendungen noch breiten Netzwerkzugriff und dauerhafte Administratorrechte. Das Unternehmen integriert Geräte von Partnern und nicht vertrauenswürdige Netzwerke, muss die Anwendungen während der Modernisierung jedoch online halten." },
      question: { en: "Which design best applies Zero Trust while supporting gradual modernization?", de: "Welches Design wendet Zero Trust am besten an und unterstützt gleichzeitig eine schrittweise Modernisierung?" },
      options: [
        { id: "A", text: { en: "Use identity-based access controls, Conditional Access, just-in-time administration, and segmented application paths", de: "Identitätsbasierte Zugriffskontrollen, Conditional Access, Just-in-Time-Administration und segmentierte Anwendungspfade verwenden" } },
        { id: "B", text: { en: "Trust traffic from partner VPNs because they are business approved", de: "Dem Datenverkehr aus Partner-VPNs vertrauen, weil sie geschäftlich freigegeben sind" } },
        { id: "C", text: { en: "Keep standing administrator access until every legacy component is replaced", de: "Dauerhaften Administratorzugriff beibehalten, bis jede Altkomponente ersetzt ist" } },
        { id: "D", text: { en: "Expose management endpoints publicly and monitor them more closely", de: "Managementendpunkte öffentlich bereitstellen und sie stärker überwachen" } }
      ],
      correct: ["A"],
      explanation: { en: "Zero Trust modernization does not require waiting for a full rebuild. Identity-based controls, contextual access evaluation, reduced standing privilege, and network segmentation can all be introduced incrementally to lower risk while legacy systems remain in service.", de: "Zero-Trust-Modernisierung erfordert nicht, auf einen vollständigen Neuaufbau zu warten. Identitätsbasierte Kontrollen, kontextbezogene Zugriffsauswertung, reduzierte dauerhafte Privilegien und Netzwerksegmentierung können schrittweise eingeführt werden, um Risiken zu senken, während Altsysteme weiter betrieben werden." },
      hint: { en: "Look for the option that removes implicit trust without demanding a full replacement first.", de: "Suchen Sie nach der Option, die implizites Vertrauen entfernt, ohne zuerst einen vollständigen Ersatz zu verlangen." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview"
    },
    {
      id: "sc100-142",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What is the main security reason to use management groups in enterprise-scale landing zones?", de: "Was ist der wichtigste Sicherheitsgrund für die Verwendung von Verwaltungsgruppen in Enterprise-Scale-Landing-Zones?" },
      options: [
        { id: "A", text: { en: "They let policy and role assignments inherit consistently across subscriptions", de: "Sie ermöglichen die konsistente Vererbung von Richtlinien- und Rollenzuweisungen über Abonnements hinweg" } },
        { id: "B", text: { en: "They increase virtual machine CPU performance", de: "Sie erhöhen die CPU-Leistung virtueller Maschinen" } },
        { id: "C", text: { en: "They replace the need for Key Vault and secret management", de: "Sie ersetzen die Notwendigkeit von Key Vault und Geheimnisverwaltung" } },
        { id: "D", text: { en: "They remove the need for monitoring and logging", de: "Sie machen Monitoring und Protokollierung überflüssig" } }
      ],
      correct: ["A"],
      explanation: { en: "Management groups exist to apply governance consistently at scale. From a security architecture perspective, that means policy inheritance, centralized guardrails, and less configuration drift across many subscriptions.", de: "Verwaltungsgruppen dienen dazu, Governance im großen Maßstab konsistent anzuwenden. Aus Sicht der Sicherheitsarchitektur bedeutet das Richtlinienvererbung, zentrale Leitplanken und weniger Konfigurationsdrift über viele Abonnements hinweg." },
      hint: { en: "Think about governance inheritance, not workload performance.", de: "Denken Sie an Governance-Vererbung und nicht an Workload-Leistung." },
      reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
    },
    {
      id: "sc100-143",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: { en: "The security operations team at Contoso, Ltd. wants a single dashboard that shows security recommendations and posture trends across all onboarded Azure subscriptions before they invest in more advanced automation.", de: "Das Sicherheitsbetriebsteam von Contoso, Ltd. möchte ein einziges Dashboard, das Sicherheitsempfehlungen und Trends der Sicherheitslage über alle eingebundenen Azure-Abonnements hinweg zeigt, bevor in weitergehende Automatisierung investiert wird." },
      question: { en: "Which service should the architect recommend first?", de: "Welchen Dienst sollte der Architekt zuerst empfehlen?" },
      options: [
        { id: "A", text: { en: "Defender for Cloud", de: "Defender for Cloud" } },
        { id: "B", text: { en: "Azure Batch", de: "Azure Batch" } },
        { id: "C", text: { en: "Azure DevTest Labs", de: "Azure DevTest Labs" } },
        { id: "D", text: { en: "Azure Traffic Manager", de: "Azure Traffic Manager" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Cloud provides secure score, recommendations, and posture visibility across onboarded environments. It is an appropriate first step when the goal is centralized posture awareness before more advanced response automation is added.", de: "Defender for Cloud bietet Secure Score, Empfehlungen und Transparenz über die Sicherheitslage in eingebundenen Umgebungen. Es ist ein geeigneter erster Schritt, wenn das Ziel zentrale Transparenz der Sicherheitslage ist, bevor weitergehende Reaktionsautomatisierung hinzugefügt wird." },
      hint: { en: "Choose the service focused on recommendations and posture visibility.", de: "Wählen Sie den Dienst, der auf Empfehlungen und Transparenz der Sicherheitslage ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-cloud-security-posture-management"
    },
    {
      id: "sc100-144",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "After a ransomware-focused risk assessment, which recovery design consideration most strongly influences architecture decisions?", de: "Welche Designüberlegung zur Wiederherstellung beeinflusst nach einer auf Ransomware fokussierten Risikobewertung Architekturentscheidungen am stärksten?" },
      options: [
        { id: "A", text: { en: "Whether recovery identities, automation, and restore data can be isolated from production compromise", de: "Ob Recovery-Identitäten, Automatisierung und Wiederherstellungsdaten von einer Produktionskompromittierung isoliert werden können" } },
        { id: "B", text: { en: "How many help-desk staff are scheduled each weekend", de: "Wie viele Helpdesk-Mitarbeiter jedes Wochenende eingeplant sind" } },
        { id: "C", text: { en: "Which slide template is used for executive reporting", de: "Welche Folienvorlage für das Berichtswesen an die Geschäftsleitung verwendet wird" } },
        { id: "D", text: { en: "Whether the office guest Wi-Fi uses a captive portal", de: "Ob das Gast-WLAN im Büro ein Captive Portal verwendet" } }
      ],
      correct: ["A"],
      explanation: { en: "Recovery architecture fails when attackers can compromise production and recovery through the same identities or control paths. Isolation of recovery identities, automation, and restore data is therefore a primary design factor for ransomware resilience.", de: "Wiederherstellungsarchitekturen scheitern, wenn Angreifer Produktion und Recovery über dieselben Identitäten oder Steuerungspfade kompromittieren können. Die Isolierung von Recovery-Identitäten, Automatisierung und Wiederherstellungsdaten ist daher ein primärer Designfaktor für Ransomware-Resilienz." },
      hint: { en: "Focus on whether recovery survives the same compromise path as production.", de: "Konzentrieren Sie sich darauf, ob die Recovery denselben Kompromittierungspfad wie die Produktion überlebt." },
      reference: "https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept"
    },
    {
      id: "sc100-145",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Microsoft resource best helps architects map business scenarios such as identity compromise, data exfiltration, and hybrid administration to end-to-end security capabilities?", de: "Welche Microsoft-Ressource hilft Architekten am besten dabei, Geschäftsszenarien wie Identitätskompromittierung, Datenexfiltration und hybride Administration auf durchgängige Sicherheitsfunktionen abzubilden?" },
      options: [
        { id: "A", text: { en: "Microsoft Cybersecurity Reference Architecture (MCRA)", de: "Microsoft Cybersecurity Reference Architecture (MCRA)" } },
        { id: "B", text: { en: "Azure Service Health", de: "Azure Service Health" } },
        { id: "C", text: { en: "Azure pricing calculator", de: "Azure-Preisrechner" } },
        { id: "D", text: { en: "Storage browser tools", de: "Storage-Browser-Werkzeuge" } }
      ],
      correct: ["A"],
      explanation: { en: "MCRA helps architects connect business and technology scenarios to security capability areas, making it useful for identifying gaps and shaping end-to-end security designs. The other options do not provide that architectural mapping function.", de: "Die MCRA hilft Architekten dabei, Geschäfts- und Technologieszenarien mit Sicherheitsfähigkeitsbereichen zu verbinden, und ist damit nützlich, um Lücken zu erkennen und durchgängige Sicherheitsdesigns zu gestalten. Die anderen Optionen bieten diese architektonische Zuordnungsfunktion nicht." },
      hint: { en: "Choose the reference architecture resource, not an operational utility.", de: "Wählen Sie die Referenzarchitektur-Ressource und kein Betriebswerkzeug." },
      reference: "https://learn.microsoft.com/en-us/security/adoption/mcra"
    },
{
  id: "sc100-146",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which Azure component serves as the data store for Microsoft Sentinel and enables KQL-based hunting?", de: "Welche Azure-Komponente dient als Datenspeicher für Microsoft Sentinel und ermöglicht KQL-basierte Suche?" },
  options: [
    { id: "A", text: { en: "A Log Analytics workspace", de: "Ein Log-Analytics-Arbeitsbereich" } },
    { id: "B", text: { en: "An Azure Bastion host", de: "Ein Azure-Bastion-Host" } },
    { id: "C", text: { en: "A Microsoft Purview account", de: "Ein Microsoft-Purview-Konto" } },
    { id: "D", text: { en: "An Azure Key Vault", de: "Ein Azure Key Vault" } }
  ],
  correct: ["A"],
  explanation: { en: "Microsoft Sentinel is built on top of a Log Analytics workspace, which stores the security data and supports KQL queries for hunting, analytics, and investigations. The other options do not provide Sentinel's primary analytics data store.", de: "Microsoft Sentinel basiert auf einem Log-Analytics-Arbeitsbereich, der die Sicherheitsdaten speichert und KQL-Abfragen für Hunting, Analysen und Untersuchungen unterstützt. Die anderen Optionen stellen nicht den primären Analysedatenspeicher von Sentinel bereit." },
  hint: { en: "Think about the Azure Monitor data platform that Sentinel uses underneath.", de: "Denken Sie an die Azure-Monitor-Datenplattform, die Sentinel im Hintergrund verwendet." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/overview"
},
{
  id: "sc100-147",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "Litware, Inc. must keep EU and US security logs in their respective geographies, but it wants one global SOC to run common investigations and reporting.", de: "Litware, Inc. muss EU- und US-Sicherheitsprotokolle in den jeweiligen Regionen aufbewahren, möchte jedoch ein globales SOC für gemeinsame Untersuchungen und Berichte betreiben." },
  question: { en: "Which Microsoft Sentinel architecture should you recommend?", de: "Welche Microsoft-Sentinel-Architektur sollten Sie empfehlen?" },
  options: [
    { id: "A", text: { en: "Deploy separate Sentinel workspaces per data residency boundary and let the SOC use cross-workspace operations", de: "Separate Sentinel-Arbeitsbereiche pro Datenresidenzgrenze bereitstellen und dem SOC arbeitsbereichsübergreifende Vorgänge ermöglichen" } },
    { id: "B", text: { en: "Send all logs to one workspace in a single region to simplify dashboards", de: "Alle Protokolle zur Vereinfachung der Dashboards an einen Arbeitsbereich in einer einzelnen Region senden" } },
    { id: "C", text: { en: "Export regional logs to CSV files and investigate them manually", de: "Regionale Protokolle in CSV-Dateien exportieren und manuell untersuchen" } },
    { id: "D", text: { en: "Create a separate tenant for each region and prevent any shared SOC process", de: "Für jede Region einen separaten Mandanten erstellen und gemeinsame SOC-Prozesse verhindern" } }
  ],
  correct: ["A"],
  explanation: { en: "A multi-workspace architecture lets the organization meet residency requirements while still giving a central SOC the ability to query, hunt, and report across regions. The other options either violate residency goals or make operations unnecessarily fragmented.", de: "Eine Architektur mit mehreren Arbeitsbereichen ermöglicht es der Organisation, Anforderungen an die Datenresidenz zu erfüllen und dem zentralen SOC dennoch bereichsübergreifende Abfragen, Hunting und Berichte zu ermöglichen. Die anderen Optionen verletzen entweder Residenzziele oder zersplittern den Betrieb unnötig." },
  hint: { en: "Choose the design that balances local data storage with centralized security operations.", de: "Wählen Sie das Design, das lokale Datenspeicherung mit zentralem Sicherheitsbetrieb ausbalanciert." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/overview"
},
{
  id: "sc100-148",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO design choices best improve secure and maintainable SOAR automation in Microsoft Sentinel?", de: "Welche ZWEI Designentscheidungen verbessern sichere und wartbare SOAR-Automatisierung in Microsoft Sentinel am besten?" },
  options: [
    { id: "A", text: { en: "Use automation rules to trigger playbooks that run with managed identities and least privilege", de: "Automatisierungsregeln verwenden, um Playbooks auszulösen, die mit verwalteten Identitäten und geringsten Rechten ausgeführt werden" } },
    { id: "B", text: { en: "Store privileged service account passwords directly inside playbook steps", de: "Kennwörter privilegierter Dienstkonten direkt in Playbook-Schritten speichern" } },
    { id: "C", text: { en: "Add approval steps for containment actions that can disrupt production systems", de: "Genehmigungsschritte für Eindämmungsmaßnahmen hinzufügen, die Produktionssysteme beeinträchtigen können" } },
    { id: "D", text: { en: "Allow every analyst to edit production playbooks without change control", de: "Jedem Analysten erlauben, Produktions-Playbooks ohne Änderungssteuerung zu bearbeiten" } }
  ],
  correct: ["A", "C"],
  explanation: { en: "Managed identities and least privilege reduce credential risk, while approval steps prevent destructive automation from causing unnecessary business impact. The other options increase security or operational risk rather than reducing it.", de: "Verwaltete Identitäten und geringste Rechte reduzieren das Anmeldedatenrisiko, während Genehmigungsschritte verhindern, dass destruktive Automatisierung unnötige geschäftliche Auswirkungen verursacht. Die anderen Optionen erhöhen Sicherheits- oder Betriebsrisiken statt sie zu verringern." },
  hint: { en: "Choose one answer about secure execution identity and one about safe operational control.", de: "Wählen Sie eine Antwort zur sicheren Ausführungsidentität und eine zur sicheren betrieblichen Kontrolle." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/automation"
},
{
  id: "sc100-149",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "What is the best role of Microsoft Defender XDR in a Microsoft-centric detection strategy?", de: "Welche Rolle erfüllt Microsoft Defender XDR am besten in einer Microsoft-zentrierten Erkennungsstrategie?" },
  options: [
    { id: "A", text: { en: "Correlate incidents across endpoints, identities, email, and apps while Sentinel adds broader SIEM and orchestration", de: "Vorfälle über Endpunkte, Identitäten, E-Mail und Apps korrelieren, während Sentinel umfassenderes SIEM und Orchestrierung ergänzt" } },
    { id: "B", text: { en: "Replace all SIEM ingestion for third-party security devices", de: "Die gesamte SIEM-Datenerfassung für Sicherheitsgeräte von Drittanbietern ersetzen" } },
    { id: "C", text: { en: "Act as the tenant's certificate authority for privileged administrators", de: "Als Zertifizierungsstelle des Mandanten für privilegierte Administratoren dienen" } },
    { id: "D", text: { en: "Manage document retention and records disposition", de: "Dokumentenaufbewahrung und Records-Disposition verwalten" } }
  ],
  correct: ["A"],
  explanation: { en: "Defender XDR is optimized for cross-domain Microsoft signal correlation and unified incident experiences. Sentinel complements it with broader ingestion, custom analytics, long-term retention, and SOAR across Microsoft and non-Microsoft sources.", de: "Defender XDR ist für die domänenübergreifende Korrelation von Microsoft-Signalen und einheitliche Incident-Erlebnisse optimiert. Sentinel ergänzt dies durch umfassendere Datenerfassung, benutzerdefinierte Analysen, langfristige Aufbewahrung und SOAR über Microsoft- und Nicht-Microsoft-Quellen hinweg." },
  hint: { en: "Think XDR for native Microsoft signal correlation, SIEM for broader data and orchestration.", de: "Denken Sie an XDR für die native Korrelation von Microsoft-Signalen und an SIEM für umfassendere Daten und Orchestrierung." },
  reference: "https://learn.microsoft.com/en-us/defender-xdr/microsoft-365-defender"
},
{
  id: "sc100-150",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "At Humongous Insurance, a SOC receives separate alerts for the same phishing campaign from email, endpoint, and identity tools. Analysts waste time opening multiple cases before they can understand the scope.", de: "Bei Humongous Insurance erhält ein SOC separate Warnungen für dieselbe Phishing-Kampagne aus E-Mail-, Endpunkt- und Identitätstools. Analysten verlieren Zeit, weil sie mehrere Fälle öffnen müssen, bevor sie den Umfang verstehen." },
  question: { en: "What should architects design first to improve the investigation workflow?", de: "Was sollten Architekten zuerst entwerfen, um den Untersuchungsworkflow zu verbessern?" },
  options: [
    { id: "A", text: { en: "Use incident correlation and automated enrichment so related alerts are grouped and routed before analyst assignment", de: "Incident-Korrelation und automatische Anreicherung verwenden, damit zusammengehörige Warnungen vor der Zuweisung an Analysten gruppiert und weitergeleitet werden" } },
    { id: "B", text: { en: "Create a separate ticket for every alert in every security tool", de: "Für jede Warnung in jedem Sicherheitstool ein separates Ticket erstellen" } },
    { id: "C", text: { en: "Disable all email-related detections to reduce ticket volume", de: "Alle E-Mail-bezogenen Erkennungen deaktivieren, um das Ticketvolumen zu reduzieren" } },
    { id: "D", text: { en: "Require analysts to manually copy indicators between consoles before triage", de: "Von Analysten verlangen, Indikatoren vor der Triage manuell zwischen Konsolen zu kopieren" } }
  ],
  correct: ["A"],
  explanation: { en: "Correlating related alerts into incidents and enriching them automatically reduces analyst context switching and improves time to triage. The other options increase manual effort or reduce detection coverage.", de: "Die Korrelation zusammengehöriger Warnungen zu Incidents und deren automatische Anreicherung reduziert den Kontextwechsel der Analysten und verbessert die Zeit bis zur Triage. Die anderen Optionen erhöhen den manuellen Aufwand oder verringern die Erkennungsabdeckung." },
  hint: { en: "Focus on reducing duplicate case handling across security domains.", de: "Konzentrieren Sie sich darauf, doppelte Fallbearbeitung über Sicherheitsdomänen hinweg zu reduzieren." },
  reference: "https://learn.microsoft.com/en-us/defender-xdr/incidents-overview"
},
{
  id: "sc100-151",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Entra capability should you use when partner users must access your apps by using their own home-organization credentials?", de: "Welche Microsoft-Entra-Funktion sollten Sie verwenden, wenn Partnerbenutzer mit den Anmeldeinformationen ihrer eigenen Heimatorganisation auf Ihre Apps zugreifen müssen?" },
  options: [
    { id: "A", text: { en: "B2B collaboration", de: "B2B-Zusammenarbeit" } },
    { id: "B", text: { en: "Local machine accounts", de: "Lokale Computerkonten" } },
    { id: "C", text: { en: "Azure Key Vault RBAC", de: "Azure-Key-Vault-RBAC" } },
    { id: "D", text: { en: "Microsoft Sentinel watchlists", de: "Microsoft-Sentinel-Watchlists" } }
  ],
  correct: ["A"],
  explanation: { en: "Microsoft Entra B2B collaboration lets external users authenticate with their home identities while you control authorization and governance in your tenant. The other options do not provide the required external identity collaboration model.", de: "Mit Microsoft Entra B2B-Zusammenarbeit können sich externe Benutzer mit ihren Heimatidentitäten authentifizieren, während Sie Autorisierung und Governance in Ihrem Mandanten steuern. Die anderen Optionen bieten nicht das erforderliche Modell für externe Identitätszusammenarbeit." },
  hint: { en: "Choose the Entra feature for guest collaboration, not for device or data management.", de: "Wählen Sie die Entra-Funktion für Gastzusammenarbeit und nicht für Geräte- oder Datenverwaltung." },
  reference: "https://learn.microsoft.com/en-us/entra/external-id/what-is-b2b"
},
{
  id: "sc100-152",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO Privileged Identity Management design choices most reduce standing privilege for directory administrators?", de: "Welche ZWEI Designentscheidungen in Privileged Identity Management reduzieren dauerhafte Privilegien für Verzeichnisadministratoren am stärksten?" },
  options: [
    { id: "A", text: { en: "Make role assignments eligible instead of permanently active", de: "Rollenzuweisungen berechtigt statt dauerhaft aktiv machen" } },
    { id: "B", text: { en: "Require approval, MFA, and justification during activation", de: "Bei der Aktivierung Genehmigung, MFA und Begründung verlangen" } },
    { id: "C", text: { en: "Use shared administrator accounts for operational flexibility", de: "Gemeinsame Administratorkonten für betriebliche Flexibilität verwenden" } },
    { id: "D", text: { en: "Exclude privileged role assignments from audit logging", de: "Privilegierte Rollenzuweisungen von der Überwachungsprotokollierung ausschließen" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Eligible assignments remove always-on privilege, and activation requirements add strong controls when elevation is needed. Shared accounts and missing audit trails weaken governance instead of strengthening it.", de: "Berechtigte Zuweisungen entfernen ständig vorhandene Privilegien, und Aktivierungsanforderungen fügen starke Kontrollen hinzu, wenn eine Erhöhung benötigt wird. Gemeinsame Konten und fehlende Audit-Spuren schwächen die Governance statt sie zu stärken." },
  hint: { en: "Pick the answers that support just-in-time elevation and stronger activation controls.", de: "Wählen Sie die Antworten, die Just-in-Time-Erhöhung und stärkere Aktivierungskontrollen unterstützen." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
},
{
  id: "sc100-153",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: { en: "Woodgrove Bank wants all administrator sign-ins to require MFA and it also wants to block legacy authentication protocols that cannot enforce modern controls.", de: "Woodgrove Bank möchte für alle Administratoranmeldungen MFA erzwingen und gleichzeitig Legacy-Authentifizierungsprotokolle blockieren, die keine modernen Kontrollen unterstützen." },
  question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
  options: [
    { id: "A", text: { en: "Use Conditional Access policies that target admin roles, require MFA, and block legacy authentication", de: "Conditional-Access-Richtlinien verwenden, die Administratorrollen adressieren, MFA verlangen und Legacy-Authentifizierung blockieren" } },
    { id: "B", text: { en: "Allow legacy protocols for administrators but rotate passwords every 30 days", de: "Legacy-Protokolle für Administratoren zulassen, aber Kennwörter alle 30 Tage rotieren" } },
    { id: "C", text: { en: "Trust all sign-ins from the corporate network without additional checks", de: "Allen Anmeldungen aus dem Unternehmensnetzwerk ohne zusätzliche Prüfungen vertrauen" } },
    { id: "D", text: { en: "Apply MFA only after an administrator reports suspicious activity", de: "MFA erst anwenden, nachdem ein Administrator verdächtige Aktivitäten gemeldet hat" } }
  ],
  correct: ["A"],
  explanation: { en: "Conditional Access is the Microsoft Entra policy engine used to require MFA and block legacy authentication based on identity conditions. The other options leave significant gaps in protection.", de: "Conditional Access ist die Microsoft-Entra-Richtlinienengine, mit der MFA erzwungen und Legacy-Authentifizierung basierend auf Identitätsbedingungen blockiert werden kann. Die anderen Optionen lassen erhebliche Schutzlücken offen." },
  hint: { en: "Use the control plane that evaluates sign-in conditions in real time.", de: "Verwenden Sie die Steuerungsebene, die Anmeldebedingungen in Echtzeit auswertet." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview"
},
{
  id: "sc100-154",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which PIM control should you configure when a high-impact role must be activated only after business justification, MFA, and approver sign-off?", de: "Welche PIM-Kontrolle sollten Sie konfigurieren, wenn eine hochkritische Rolle erst nach geschäftlicher Begründung, MFA und Genehmigung aktiviert werden darf?" },
  options: [
    { id: "A", text: { en: "Role activation settings on an eligible assignment", de: "Rollenaktivierungseinstellungen für eine berechtigte Zuweisung" } },
    { id: "B", text: { en: "A permanent active assignment with quarterly manager review", de: "Eine dauerhaft aktive Zuweisung mit vierteljährlicher Managerprüfung" } },
    { id: "C", text: { en: "A shared break-glass account used by the entire admin team", de: "Ein gemeinsames Break-Glass-Konto, das vom gesamten Admin-Team verwendet wird" } },
    { id: "D", text: { en: "A standard Microsoft 365 group membership", de: "Eine standardmäßige Microsoft-365-Gruppenmitgliedschaft" } }
  ],
  correct: ["A"],
  explanation: { en: "PIM activation settings let you require justification, MFA, approval, and time limits for eligible role activations. The other options preserve standing access or provide no just-in-time governance control.", de: "Mit PIM-Aktivierungseinstellungen können Sie für berechtigte Rollenaktivierungen Begründung, MFA, Genehmigung und Zeitlimits verlangen. Die anderen Optionen erhalten dauerhaften Zugriff oder bieten keine Just-in-Time-Governance-Kontrolle." },
  hint: { en: "Look for the PIM feature that governs how an eligible role is activated.", de: "Suchen Sie nach der PIM-Funktion, die steuert, wie eine berechtigte Rolle aktiviert wird." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
},
{
  id: "sc100-155",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "Contoso, Ltd. brings in 250 supplier engineers for a six-month project. They need access to a Teams site, a SharePoint site, and one SaaS app. Business sponsors must approve access and it must expire automatically at project end.", de: "Contoso, Ltd. bindet 250 Lieferanteningenieure für ein sechsmonatiges Projekt ein. Sie benötigen Zugriff auf eine Teams-Website, eine SharePoint-Website und eine SaaS-App. Fachliche Sponsoren müssen den Zugriff genehmigen, und er muss am Projektende automatisch ablaufen." },
  question: { en: "Which design should architects recommend?", de: "Welches Design sollten Architekten empfehlen?" },
  options: [
    { id: "A", text: { en: "Use entitlement management access packages with approval workflows and expiration policies", de: "Entitlement-Management-Zugriffspakete mit Genehmigungsworkflows und Ablaufrichtlinien verwenden" } },
    { id: "B", text: { en: "Create local accounts manually and track expiry dates in a spreadsheet", de: "Lokale Konten manuell erstellen und Ablaufdaten in einer Tabellenkalkulation nachverfolgen" } },
    { id: "C", text: { en: "Assign every supplier engineer the Global Reader role for easier visibility", de: "Jedem Lieferanteningenieur zur besseren Sichtbarkeit die Rolle Global Reader zuweisen" } },
    { id: "D", text: { en: "Grant access through permanent security groups without sponsor approval", de: "Zugriff über permanente Sicherheitsgruppen ohne Sponsor-Genehmigung gewähren" } }
  ],
  correct: ["A"],
  explanation: { en: "Entitlement management access packages bundle resources, approvals, and lifecycle controls into one governed process. That makes them a strong design choice for project-based external access. The other options are manual, excessive, or weakly governed.", de: "Entitlement-Management-Zugriffspakete bündeln Ressourcen, Genehmigungen und Lebenszykluskontrollen in einem gesteuerten Prozess. Das macht sie zu einer starken Designentscheidung für projektbasierten externen Zugriff. Die anderen Optionen sind manuell, überzogen oder schwach gesteuert." },
  hint: { en: "Choose the identity governance feature built for governed resource bundles and automatic expiration.", de: "Wählen Sie die Identity-Governance-Funktion, die für gesteuerte Ressourcenbündel und automatischen Ablauf entwickelt wurde." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
},
{
  id: "sc100-156",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "What is the primary purpose of Microsoft Entra access reviews?", de: "Was ist der Hauptzweck von Microsoft Entra Access Reviews?" },
  options: [
    { id: "A", text: { en: "To periodically verify that users still need assigned access", de: "Regelmäßig zu überprüfen, ob Benutzer den zugewiesenen Zugriff noch benötigen" } },
    { id: "B", text: { en: "To store privileged credentials for administrators", de: "Privilegierte Anmeldedaten für Administratoren zu speichern" } },
    { id: "C", text: { en: "To encrypt virtual machine disks", de: "Festplatten virtueller Maschinen zu verschlüsseln" } },
    { id: "D", text: { en: "To normalize security logs for analytics", de: "Sicherheitsprotokolle für Analysen zu normalisieren" } }
  ],
  correct: ["A"],
  explanation: { en: "Access reviews are used to recertify access to groups, applications, and privileged roles so organizations can remove access that is no longer needed. The other options belong to different security capabilities.", de: "Access Reviews werden verwendet, um Zugriffe auf Gruppen, Anwendungen und privilegierte Rollen erneut zu bestätigen, damit Organisationen nicht mehr benötigte Zugriffe entfernen können. Die anderen Optionen gehören zu anderen Sicherheitsfunktionen." },
  hint: { en: "Think of periodic attestation and cleanup of access.", de: "Denken Sie an regelmäßige Bestätigung und Bereinigung von Zugriffsrechten." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
},
{
  id: "sc100-157",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which TWO Microsoft Purview design choices best support enterprise content classification and lifecycle governance?", de: "Welche ZWEI Designentscheidungen in Microsoft Purview unterstützen Klassifizierung von Inhalten und Governance über den Lebenszyklus am besten?" },
  options: [
    { id: "A", text: { en: "Use sensitivity labels to classify and protect content", de: "Sensitivitätsbezeichnungen verwenden, um Inhalte zu klassifizieren und zu schützen" } },
    { id: "B", text: { en: "Use retention labels and policies to govern how long content is kept or deleted", de: "Aufbewahrungsbezeichnungen und -richtlinien verwenden, um zu steuern, wie lange Inhalte aufbewahrt oder gelöscht werden" } },
    { id: "C", text: { en: "Use network security groups to define document retention periods", de: "Netzwerksicherheitsgruppen verwenden, um Aufbewahrungsfristen für Dokumente festzulegen" } },
    { id: "D", text: { en: "Use Azure resource locks to apply mailbox classification", de: "Azure-Ressourcensperren verwenden, um Postfachklassifizierung anzuwenden" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Sensitivity labels address classification and protection, while retention labels and policies govern content lifecycle. Together they form core Purview compliance controls. The other options are unrelated infrastructure controls.", de: "Sensitivitätsbezeichnungen decken Klassifizierung und Schutz ab, während Aufbewahrungsbezeichnungen und -richtlinien den Lebenszyklus von Inhalten steuern. Zusammen bilden sie zentrale Purview-Compliance-Kontrollen. Die anderen Optionen sind nicht verwandte Infrastrukturkontrollen." },
  hint: { en: "Choose one answer for protection and one for retention governance.", de: "Wählen Sie eine Antwort für Schutz und eine für Aufbewahrungs-Governance." },
  reference: "https://learn.microsoft.com/en-us/purview/compliance-portal"
},
{
  id: "sc100-158",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: { en: "At Litware, Inc., HR notifies security that a researcher has resigned. The company wants to detect unusual file exfiltration behavior, but it wants to limit who can see the user's identity until an investigation is justified.", de: "Bei Litware, Inc. informiert die Personalabteilung das Sicherheitsteam darüber, dass ein Forscher gekündigt hat. Das Unternehmen möchte ungewöhnliches Verhalten beim Dateiabfluss erkennen, aber begrenzen, wer die Identität des Benutzers sehen kann, bis eine Untersuchung gerechtfertigt ist." },
  question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
  options: [
    { id: "A", text: { en: "Use Insider Risk Management with role-based access and anonymization settings", de: "Insider Risk Management mit rollenbasiertem Zugriff und Anonymisierungseinstellungen verwenden" } },
    { id: "B", text: { en: "Give every SOC analyst unrestricted access to HR records and mailbox content", de: "Jedem SOC-Analysten uneingeschränkten Zugriff auf HR-Daten und Postfachinhalte geben" } },
    { id: "C", text: { en: "Rely only on manual manager interviews after data loss is confirmed", de: "Sich erst nach bestätigtem Datenverlust ausschließlich auf manuelle Manager-Interviews verlassen" } },
    { id: "D", text: { en: "Disable exfiltration monitoring for resigning employees to avoid privacy concerns", de: "Die Überwachung von Datenabfluss bei kündigenden Mitarbeitern deaktivieren, um Datenschutzbedenken zu vermeiden" } }
  ],
  correct: ["A"],
  explanation: { en: "Insider Risk Management is designed to detect risky insider activity while supporting privacy controls such as role separation and anonymization. The other options either overexpose sensitive data or fail to provide effective detection.", de: "Insider Risk Management wurde entwickelt, um riskante Insider-Aktivitäten zu erkennen und gleichzeitig Datenschutzkontrollen wie Rollentrennung und Anonymisierung zu unterstützen. Die anderen Optionen legen sensible Daten zu weit offen oder bieten keine wirksame Erkennung." },
  hint: { en: "Look for the Purview solution built specifically for insider behavior analytics with privacy safeguards.", de: "Suchen Sie nach der Purview-Lösung, die speziell für Insider-Verhaltensanalysen mit Datenschutzschutz entwickelt wurde." },
  reference: "https://learn.microsoft.com/en-us/purview/insider-risk-management"
},
{
  id: "sc100-159",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Purview capability should legal teams use for custodian management, holds, collections, and review sets in complex investigations?", de: "Welche Microsoft-Purview-Funktion sollten Rechtsteams für Custodian-Verwaltung, Aufbewahrung, Sammlungen und Review Sets in komplexen Untersuchungen verwenden?" },
  options: [
    { id: "A", text: { en: "eDiscovery (Premium)", de: "eDiscovery (Premium)" } },
    { id: "B", text: { en: "Azure Policy", de: "Azure Policy" } },
    { id: "C", text: { en: "Microsoft Sentinel watchlists", de: "Microsoft-Sentinel-Watchlists" } },
    { id: "D", text: { en: "Intune compliance policies", de: "Intune-Compliance-Richtlinien" } }
  ],
  correct: ["A"],
  explanation: { en: "eDiscovery (Premium) provides advanced legal investigation features including custodians, holds, collections, review sets, and analysis workflows. The other options do not provide legal discovery case management.", de: "eDiscovery (Premium) bietet erweiterte Funktionen für rechtliche Untersuchungen, einschließlich Custodians, Holds, Sammlungen, Review Sets und Analyseworkflows. Die anderen Optionen bieten keine Fallverwaltung für rechtliche Discovery-Prozesse." },
  hint: { en: "Choose the Purview solution built for legal matters, not security operations or device management.", de: "Wählen Sie die Purview-Lösung für rechtliche Angelegenheiten und nicht für Sicherheitsbetrieb oder Geräteverwaltung." },
  reference: "https://learn.microsoft.com/en-us/purview/ediscovery"
},
{
  id: "sc100-160",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "Humongous Insurance uses Microsoft Defender for Endpoint, Defender for Identity, third-party firewalls, and industrial syslog appliances. Executives want a single SOC model that keeps Microsoft-native XDR investigations but also ingests non-Microsoft telemetry for long-term analytics and response.", de: "Humongous Insurance verwendet Microsoft Defender for Endpoint, Defender for Identity, Firewalls von Drittanbietern und industrielle Syslog-Appliances. Die Führungsebene möchte ein einheitliches SOC-Modell, das Microsoft-native XDR-Untersuchungen beibehält, aber auch Nicht-Microsoft-Telemetrie für langfristige Analysen und Reaktion erfasst." },
  question: { en: "Which architecture best meets this requirement?", de: "Welche Architektur erfüllt diese Anforderung am besten?" },
  options: [
    { id: "A", text: { en: "Use Defender XDR for Microsoft-native correlation and integrate it with Sentinel as the broader SIEM and SOAR platform", de: "Defender XDR für die Microsoft-native Korrelation verwenden und es mit Sentinel als umfassenderer SIEM- und SOAR-Plattform integrieren" } },
    { id: "B", text: { en: "Use only Defender XDR and ignore non-Microsoft security telemetry", de: "Nur Defender XDR verwenden und Nicht-Microsoft-Sicherheitstelemetrie ignorieren" } },
    { id: "C", text: { en: "Use only third-party SIEM tooling and disable Microsoft incident correlation", de: "Nur SIEM-Tools von Drittanbietern verwenden und die Microsoft-Incident-Korrelation deaktivieren" } },
    { id: "D", text: { en: "Store each product's alerts locally and ask analysts to combine them during escalations", de: "Die Warnungen jedes Produkts lokal speichern und Analysten bitten, sie bei Eskalationen zusammenzuführen" } }
  ],
  correct: ["A"],
  explanation: { en: "This design uses Defender XDR where it is strongest—cross-domain Microsoft detection and investigation—while Sentinel provides broader vendor-neutral ingestion, analytics, orchestration, and retention. The other options either lose coverage or create unnecessary manual effort.", de: "Dieses Design nutzt Defender XDR dort, wo es am stärksten ist – bei domänenübergreifender Microsoft-Erkennung und Untersuchung – während Sentinel breitere herstellerneutrale Datenerfassung, Analysen, Orchestrierung und Aufbewahrung bereitstellt. Die anderen Optionen verlieren entweder Abdeckung oder verursachen unnötigen manuellen Aufwand." },
  hint: { en: "Blend Microsoft-native XDR with a broader SIEM, instead of forcing one tool to do everything.", de: "Kombinieren Sie Microsoft-natives XDR mit einem umfassenderen SIEM, statt ein einziges Tool alles erledigen zu lassen." },
  reference: "https://learn.microsoft.com/en-us/defender-xdr/microsoft-365-defender"
},
{
  id: "sc100-161",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "In Microsoft Sentinel, what is the primary purpose of automation rules?", de: "Was ist in Microsoft Sentinel der Hauptzweck von Automatisierungsregeln?" },
  options: [
    { id: "A", text: { en: "To apply incident conditions and trigger playbooks or tasks automatically", de: "Incident-Bedingungen anzuwenden und automatisch Playbooks oder Aufgaben auszulösen" } },
    { id: "B", text: { en: "To replace all analytic rules for scheduled detections", de: "Alle Analyseregeln für geplante Erkennungen zu ersetzen" } },
    { id: "C", text: { en: "To encrypt data already stored in the workspace", de: "Bereits im Arbeitsbereich gespeicherte Daten zu verschlüsseln" } },
    { id: "D", text: { en: "To synchronize user passwords from on-premises Active Directory", de: "Benutzerkennwörter aus lokalem Active Directory zu synchronisieren" } }
  ],
  correct: ["A"],
  explanation: { en: "Automation rules are used to evaluate incident conditions and automatically run playbooks, assign owners, set severity, or apply tags. They streamline SOC workflows rather than replacing detection logic or identity services.", de: "Automatisierungsregeln werden verwendet, um Incident-Bedingungen auszuwerten und automatisch Playbooks auszuführen, Besitzer zuzuweisen, Schweregrade festzulegen oder Tags anzuwenden. Sie optimieren SOC-Workflows, ersetzen jedoch weder Erkennungslogik noch Identitätsdienste." },
  hint: { en: "Think workflow orchestration after an alert or incident already exists.", de: "Denken Sie an Workflow-Orchestrierung, nachdem bereits eine Warnung oder ein Incident existiert." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/automation"
},
{
  id: "sc100-162",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "Which TWO signals can Microsoft Entra Conditional Access evaluate directly during sign-in decisions?", de: "Welche ZWEI Signale kann Microsoft Entra Conditional Access direkt bei Anmeldeentscheidungen auswerten?" },
  options: [
    { id: "A", text: { en: "Device compliance state", de: "Geräte-Compliance-Status" } },
    { id: "B", text: { en: "User or sign-in risk", de: "Benutzer- oder Anmelderisiko" } },
    { id: "C", text: { en: "Backup vault immutability setting", de: "Unveränderlichkeitseinstellung eines Backup-Tresors" } },
    { id: "D", text: { en: "Azure subscription spending limit", de: "Ausgabenlimit eines Azure-Abonnements" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Conditional Access can evaluate signals such as device compliance and user or sign-in risk to enforce access controls. Backup settings and subscription budgets are outside the Conditional Access decision scope.", de: "Conditional Access kann Signale wie Geräte-Compliance und Benutzer- oder Anmelderisiko auswerten, um Zugriffskontrollen durchzusetzen. Backup-Einstellungen und Abonnementbudgets liegen außerhalb des Entscheidungsumfangs von Conditional Access." },
  hint: { en: "Choose the signals tied to identity and device trust.", de: "Wählen Sie die Signale, die mit Identität und Gerätevertrauen zusammenhängen." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview"
},
{
  id: "sc100-163",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "Woodgrove Bank has two on-premises Active Directory forests and is moving collaboration apps to Microsoft 365. Architects want a common cloud identity plane, minimal password attack surface, and a low-complexity sign-in experience for users.", de: "Woodgrove Bank verfügt über zwei lokale Active-Directory-Gesamtstrukturen und verlagert Collaboration-Apps nach Microsoft 365. Architekten möchten eine gemeinsame Cloud-Identitätsebene, eine minimale Angriffsfläche für Kennwörter und ein Anmeldeerlebnis mit geringer Komplexität für Benutzer." },
  question: { en: "Which Entra ID architecture should you recommend?", de: "Welche Entra-ID-Architektur sollten Sie empfehlen?" },
  options: [
    { id: "A", text: { en: "Use Microsoft Entra Connect Sync with password hash synchronization and seamless SSO for synced identities", de: "Microsoft Entra Connect Sync mit Kennworthashsynchronisierung und nahtlosem SSO für synchronisierte Identitäten verwenden" } },
    { id: "B", text: { en: "Keep separate local-only identities and require users to maintain cloud shadow accounts manually", de: "Getrennte rein lokale Identitäten beibehalten und Benutzer zur manuellen Pflege von Cloud-Schattenkonten verpflichten" } },
    { id: "C", text: { en: "Use only shared administrator accounts for all cloud applications", de: "Für alle Cloud-Anwendungen ausschließlich gemeinsame Administratorkonten verwenden" } },
    { id: "D", text: { en: "Create a separate Microsoft Entra tenant for every department to simplify governance", de: "Für jede Abteilung einen separaten Microsoft-Entra-Mandanten erstellen, um die Governance zu vereinfachen" } }
  ],
  correct: ["A"],
  explanation: { en: "Microsoft Entra Connect Sync with password hash sync and seamless SSO provides a practical hybrid identity architecture with one cloud identity plane and lower complexity than federation-heavy designs in many enterprises. The other options create fragmentation or poor security practices.", de: "Microsoft Entra Connect Sync mit Kennworthashsynchronisierung und nahtlosem SSO bietet eine praktikable hybride Identitätsarchitektur mit einer gemeinsamen Cloud-Identitätsebene und in vielen Unternehmen geringerer Komplexität als stark föderationsbasierte Designs. Die anderen Optionen führen zu Zersplitterung oder schlechten Sicherheitspraktiken." },
  hint: { en: "Choose the hybrid identity pattern that centralizes cloud identity without forcing users to manage separate cloud accounts.", de: "Wählen Sie das hybride Identitätsmuster, das die Cloud-Identität zentralisiert, ohne Benutzer zur Verwaltung separater Cloud-Konten zu zwingen." },
  reference: "https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-azure-ad-connect-v2"
},
{
  id: "sc100-164",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Purview feature applies classification, visual markings, and optional encryption to documents and emails?", de: "Welche Microsoft-Purview-Funktion wendet Klassifizierung, sichtbare Markierungen und optional Verschlüsselung auf Dokumente und E-Mails an?" },
  options: [
    { id: "A", text: { en: "Sensitivity labels", de: "Sensitivitätsbezeichnungen" } },
    { id: "B", text: { en: "Retention lock", de: "Aufbewahrungssperre" } },
    { id: "C", text: { en: "Access reviews", de: "Access Reviews" } },
    { id: "D", text: { en: "Azure Policy initiatives", de: "Azure-Policy-Initiativen" } }
  ],
  correct: ["A"],
  explanation: { en: "Sensitivity labels classify content and can apply markings and encryption to protect information across Microsoft 365. The other options address different governance or infrastructure use cases.", de: "Sensitivitätsbezeichnungen klassifizieren Inhalte und können Markierungen sowie Verschlüsselung anwenden, um Informationen in Microsoft 365 zu schützen. Die anderen Optionen betreffen andere Governance- oder Infrastruktur-Anwendungsfälle." },
  hint: { en: "Think information protection at the content level.", de: "Denken Sie an Informationsschutz auf Inhaltsebene." },
  reference: "https://learn.microsoft.com/en-us/purview/sensitivity-labels"
},
{
  id: "sc100-165",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: null,
  question: { en: "Which identity governance capability should architects use when guests need one governed request workflow for a bundle of resources and that access must expire automatically when the project ends?", de: "Welche Identity-Governance-Funktion sollten Architekten verwenden, wenn Gäste einen gesteuerten Anforderungsworkflow für ein Bündel von Ressourcen benötigen und dieser Zugriff am Projektende automatisch ablaufen muss?" },
  options: [
    { id: "A", text: { en: "Entitlement management access packages", de: "Entitlement-Management-Zugriffspakete" } },
    { id: "B", text: { en: "Access reviews only", de: "Nur Access Reviews" } },
    { id: "C", text: { en: "Permanent security group membership", de: "Permanente Sicherheitsgruppenmitgliedschaft" } },
    { id: "D", text: { en: "A shared mailbox approval process outside Entra ID", de: "Ein Freigabeprozess über ein gemeinsames Postfach außerhalb von Entra ID" } }
  ],
  correct: ["A"],
  explanation: { en: "Access packages are designed to bundle multiple resources with approvals, assignments, and expiration controls in one lifecycle-managed flow. Access reviews alone help recertify access but do not provide the same end-to-end request packaging.", de: "Zugriffspakete sind dafür ausgelegt, mehrere Ressourcen mit Genehmigungen, Zuweisungen und Ablaufkontrollen in einem lebenszyklusgesteuerten Ablauf zu bündeln. Access Reviews allein helfen bei der erneuten Bestätigung von Zugriffen, bieten jedoch nicht dieselbe durchgängige Anforderungsbündelung." },
  hint: { en: "Choose the feature for governed self-service access packages, not periodic recertification by itself.", de: "Wählen Sie die Funktion für gesteuerte Self-Service-Zugriffspakete und nicht nur für periodische Rezertifizierung." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview"
},
{
  id: "sc100-166",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Purview capability should investigators use first to reconstruct user and administrator activity before deciding whether to open an eDiscovery case?", de: "Welche Microsoft-Purview-Funktion sollten Ermittler zuerst verwenden, um Benutzer- und Administratoraktivitäten zu rekonstruieren, bevor sie entscheiden, ob ein eDiscovery-Fall eröffnet werden soll?" },
  options: [
    { id: "A", text: { en: "Audit", de: "Audit" } },
    { id: "B", text: { en: "Azure Firewall Manager", de: "Azure Firewall Manager" } },
    { id: "C", text: { en: "Defender for Cloud regulatory compliance", de: "Defender for Cloud – Einhaltung gesetzlicher Vorschriften" } },
    { id: "D", text: { en: "Microsoft Intune app configuration", de: "Microsoft-Intune-App-Konfiguration" } }
  ],
  correct: ["A"],
  explanation: { en: "Purview Audit provides the searchable activity record needed to understand who did what and when across Microsoft 365 services. That often informs whether a formal eDiscovery case is necessary. The other options do not provide tenant activity audit reconstruction.", de: "Purview Audit stellt das durchsuchbare Aktivitätsprotokoll bereit, das benötigt wird, um zu verstehen, wer wann was in Microsoft-365-Diensten getan hat. Das hilft oft bei der Entscheidung, ob ein formaler eDiscovery-Fall erforderlich ist. Die anderen Optionen bieten keine Rekonstruktion von Mandantenaktivitäten per Audit." },
  hint: { en: "Start with activity evidence before moving to legal collection workflows.", de: "Beginnen Sie mit Aktivitätsnachweisen, bevor Sie zu rechtlichen Sammlungsworkflows übergehen." },
  reference: "https://learn.microsoft.com/en-us/purview/audit-solutions-overview"
},
{
  id: "sc100-167",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "easy",
  scenario: null,
  question: { en: "What is the purpose of ASIM in Microsoft Sentinel?", de: "Welchem Zweck dient ASIM in Microsoft Sentinel?" },
  options: [
    { id: "A", text: { en: "To normalize data from different sources into a common schema for detections and hunting", de: "Daten aus verschiedenen Quellen in ein gemeinsames Schema für Erkennungen und Hunting zu normalisieren" } },
    { id: "B", text: { en: "To replace Microsoft Entra ID as the identity provider", de: "Microsoft Entra ID als Identitätsanbieter zu ersetzen" } },
    { id: "C", text: { en: "To archive retired incidents to cold storage automatically", de: "Abgeschlossene Incidents automatisch in Cold Storage zu archivieren" } },
    { id: "D", text: { en: "To manage software updates for Linux servers", de: "Softwareupdates für Linux-Server zu verwalten" } }
  ],
  correct: ["A"],
  explanation: { en: "ASIM, the Advanced Security Information Model, normalizes diverse security telemetry into common schemas so analytics rules and hunting queries can work more consistently across sources. The other options describe unrelated services.", de: "ASIM, das Advanced Security Information Model, normalisiert unterschiedliche Sicherheitstelemetrie in gemeinsame Schemata, damit Analyseregeln und Hunting-Abfragen konsistenter über Quellen hinweg funktionieren. Die anderen Optionen beschreiben nicht verwandte Dienste." },
  hint: { en: "Think schema normalization for better reusable analytics.", de: "Denken Sie an Schemanormalisierung für besser wiederverwendbare Analysen." },
  reference: "https://learn.microsoft.com/en-us/azure/sentinel/normalization"
},
{
  id: "sc100-168",
  type: "multiple",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which TWO design actions help analysts investigate faster across Microsoft Defender XDR and Microsoft Sentinel?", de: "Welche ZWEI Designmaßnahmen helfen Analysten, Untersuchungen über Microsoft Defender XDR und Microsoft Sentinel hinweg schneller durchzuführen?" },
  options: [
    { id: "A", text: { en: "Preserve entity mapping and enrichment so users, hosts, and mailboxes stay connected to incidents", de: "Entity-Mapping und Anreicherung beibehalten, damit Benutzer, Hosts und Postfächer mit Incidents verknüpft bleiben" } },
    { id: "B", text: { en: "Integrate Defender XDR incidents into Sentinel and use automation for routing and enrichment", de: "Defender-XDR-Incidents in Sentinel integrieren und Automatisierung für Weiterleitung und Anreicherung verwenden" } },
    { id: "C", text: { en: "Force each tool to use unrelated case IDs and manual copy-paste between portals", de: "Jedes Tool zwingen, unabhängige Fall-IDs sowie manuelles Kopieren zwischen Portalen zu verwenden" } },
    { id: "D", text: { en: "Disable alert grouping to maximize the number of separate tickets", de: "Alert-Gruppierung deaktivieren, um die Anzahl separater Tickets zu maximieren" } }
  ],
  correct: ["A", "B"],
  explanation: { en: "Entity context and integrated incident handling reduce analyst pivot time and preserve investigation quality. Manual fragmentation and disabled grouping slow down triage instead of improving it.", de: "Entity-Kontext und integrierte Incident-Bearbeitung reduzieren die Pivot-Zeit der Analysten und erhalten die Qualität der Untersuchung. Manuelle Fragmentierung und deaktivierte Gruppierung verlangsamen die Triage statt sie zu verbessern." },
  hint: { en: "Choose the answers that preserve context and reduce portal switching.", de: "Wählen Sie die Antworten, die Kontext erhalten und Portalwechsel reduzieren." },
  reference: "https://learn.microsoft.com/en-us/defender-xdr/microsoft-365-defender"
},
{
  id: "sc100-169",
  type: "scenario",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "hard",
  scenario: { en: "After a layoff announcement, Contoso, Ltd. wants to identify employees who suddenly download large volumes of sensitive data, correlate that behavior with policy violations, and escalate only substantiated cases to legal investigators.", de: "Nach der Ankündigung von Entlassungen möchte Contoso, Ltd. Mitarbeiter identifizieren, die plötzlich große Mengen sensibler Daten herunterladen, dieses Verhalten mit Richtlinienverstößen korrelieren und nur fundierte Fälle an die Rechtsabteilung eskalieren." },
  question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
  options: [
    { id: "A", text: { en: "Use Insider Risk Management with HR indicators and DLP-related signals, then escalate confirmed cases to eDiscovery when needed", de: "Insider Risk Management mit HR-Indikatoren und DLP-bezogenen Signalen verwenden und bestätigte Fälle bei Bedarf an eDiscovery eskalieren" } },
    { id: "B", text: { en: "Wait until employees leave and then review only manually exported file server logs", de: "Warten, bis Mitarbeiter ausgeschieden sind, und dann nur manuell exportierte Dateiserverprotokolle prüfen" } },
    { id: "C", text: { en: "Give all line managers permanent access to mailbox and file contents for monitoring", de: "Allen Linienmanagern permanenten Zugriff auf Postfach- und Dateiinhalte zur Überwachung geben" } },
    { id: "D", text: { en: "Disable DLP policies during layoffs to avoid false positives", de: "DLP-Richtlinien während Entlassungen deaktivieren, um Fehlalarme zu vermeiden" } }
  ],
  correct: ["A"],
  explanation: { en: "Insider Risk Management is designed to combine risk indicators such as HR events and DLP signals into governed insider investigations. Escalating only substantiated cases to eDiscovery aligns technical detection with legal process. The other options either reduce oversight or create excessive exposure.", de: "Insider Risk Management wurde dafür entwickelt, Risikoindikatoren wie HR-Ereignisse und DLP-Signale in gesteuerten Insider-Untersuchungen zusammenzuführen. Nur fundierte Fälle an eDiscovery zu eskalieren, richtet technische Erkennung am Rechtsprozess aus. Die anderen Optionen reduzieren entweder die Aufsicht oder schaffen übermäßige Exponierung." },
  hint: { en: "Look for the Purview capability that correlates insider indicators before legal escalation.", de: "Suchen Sie nach der Purview-Funktion, die Insider-Indikatoren vor einer rechtlichen Eskalation korreliert." },
  reference: "https://learn.microsoft.com/en-us/purview/insider-risk-management"
},
{
  id: "sc100-170",
  type: "single",
  domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
  difficulty: "medium",
  scenario: null,
  question: { en: "Which Microsoft Entra capability should you use when administrators need just-in-time membership in a role-assignable group that grants access to multiple resources?", de: "Welche Microsoft-Entra-Funktion sollten Sie verwenden, wenn Administratoren eine Just-in-Time-Mitgliedschaft in einer rollenzuweisbaren Gruppe benötigen, die Zugriff auf mehrere Ressourcen gewährt?" },
  options: [
    { id: "A", text: { en: "Privileged access groups in PIM", de: "Privileged Access Groups in PIM" } },
    { id: "B", text: { en: "Dynamic device groups", de: "Dynamische Gerätegruppen" } },
    { id: "C", text: { en: "Microsoft Sentinel data connectors", de: "Microsoft-Sentinel-Datenconnectors" } },
    { id: "D", text: { en: "Azure Policy exemptions", de: "Azure-Policy-Ausnahmen" } }
  ],
  correct: ["A"],
  explanation: { en: "Privileged access groups extend just-in-time governance to role-assignable groups, which is useful when group membership grants access to multiple resources or roles. The other options do not provide governed privileged group activation.", de: "Privileged Access Groups erweitern die Just-in-Time-Governance auf rollenzuweisbare Gruppen. Das ist nützlich, wenn die Gruppenmitgliedschaft Zugriff auf mehrere Ressourcen oder Rollen gewährt. Die anderen Optionen bieten keine gesteuerte Aktivierung privilegierter Gruppen." },
  hint: { en: "Choose the PIM feature for temporary activation of privileged group membership.", de: "Wählen Sie die PIM-Funktion für die temporäre Aktivierung privilegierter Gruppenmitgliedschaft." },
  reference: "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
},
{
      id: "sc100-171",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "What is the primary purpose of Azure Arc-enabled servers in a hybrid security architecture?", de: "Was ist der Hauptzweck von Azure-Arc-fähigen Servern in einer hybriden Sicherheitsarchitektur?" },
      options: [
        { id: "A", text: { en: "Bring non-Azure Windows and Linux servers into Azure for governance, security, and management", de: "Nicht in Azure befindliche Windows- und Linux-Server für Governance, Sicherheit und Verwaltung in Azure einbinden" } },
        { id: "B", text: { en: "Replace Microsoft Entra ID for workforce authentication", de: "Microsoft Entra ID für die Authentifizierung der Belegschaft ersetzen" } },
        { id: "C", text: { en: "Publish on-premises servers directly to the internet", de: "Lokale Server direkt im Internet veröffentlichen" } },
        { id: "D", text: { en: "Replicate all virtual machines automatically into a second region", de: "Alle virtuellen Maschinen automatisch in eine zweite Region replizieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Arc-enabled servers extend Azure governance and security capabilities to machines running outside Azure. This lets architects apply consistent inventory, policy, and protection patterns across hybrid environments.", de: "Azure-Arc-fähige Server erweitern Azure-Governance- und Sicherheitsfunktionen auf Computer außerhalb von Azure. Dadurch können Architekten konsistente Inventarisierungs-, Richtlinien- und Schutzmuster über hybride Umgebungen hinweg anwenden." },
      hint: { en: "Think about the service that makes non-Azure servers manageable as Azure resources.", de: "Denken Sie an den Dienst, der Nicht-Azure-Server als Azure-Ressourcen verwaltbar macht." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-arc/servers/overview"
    },
    {
      id: "sc100-172",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Defender for Cloud capability gives architects a unified posture view across Azure, AWS, and Google Cloud after the relevant connectors are configured?", de: "Welche Defender-for-Cloud-Funktion gibt Architekten nach der Konfiguration der relevanten Konnektoren eine einheitliche Posture-Sicht über Azure, AWS und Google Cloud?" },
      options: [
        { id: "A", text: { en: "Multicloud security posture management", de: "Multicloud Security Posture Management" } },
        { id: "B", text: { en: "Azure Bastion", de: "Azure Bastion" } },
        { id: "C", text: { en: "Azure Route Server", de: "Azure Route Server" } },
        { id: "D", text: { en: "Azure DNS Private Resolver", de: "Azure DNS Private Resolver" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Cloud can aggregate posture findings and recommendations from connected multicloud environments. This helps security architects design common control visibility without forcing immediate migration into Azure.", de: "Defender for Cloud kann Posture-Erkenntnisse und Empfehlungen aus verbundenen Multicloud-Umgebungen zusammenführen. Das hilft Sicherheitsarchitekten, eine gemeinsame Sicht auf Kontrollen zu entwerfen, ohne eine sofortige Migration nach Azure zu erzwingen." },
      hint: { en: "Choose the capability focused on posture and recommendations across more than one cloud.", de: "Wählen Sie die Funktion, die auf Posture und Empfehlungen über mehr als eine Cloud hinweg ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/multicloud-security-posture-management-overview"
    },
    {
      id: "sc100-173",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO benefits do you gain by onboarding on-premises servers to Azure Arc before applying Azure Policy and Defender for Cloud?", de: "Welche ZWEI Vorteile erhalten Sie, wenn Sie lokale Server in Azure Arc einbinden, bevor Sie Azure Policy und Defender for Cloud anwenden?" },
      options: [
        { id: "A", text: { en: "The servers appear as Azure resources for centralized inventory and governance", de: "Die Server erscheinen als Azure-Ressourcen für zentrale Inventarisierung und Governance" } },
        { id: "B", text: { en: "You can use policy-based configuration and compliance assessment on the machines", de: "Sie können richtlinienbasierte Konfiguration und Compliancebewertung auf den Maschinen verwenden" } },
        { id: "C", text: { en: "The servers must be rehosted into Azure virtual machines first", de: "Die Server müssen zuerst in Azure Virtual Machines rehostet werden" } },
        { id: "D", text: { en: "RDP and SSH are automatically exposed publicly for management", de: "RDP und SSH werden automatisch öffentlich für die Verwaltung freigegeben" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Azure Arc projects hybrid machines into Azure Resource Manager so they can participate in centralized inventory, governance, and policy workflows. That foundation also enables consistent compliance and security assessment across the server estate.", de: "Azure Arc projiziert Hybridcomputer in Azure Resource Manager, sodass sie an zentralen Inventarisierungs-, Governance- und Richtlinienworkflows teilnehmen können. Diese Grundlage ermöglicht außerdem konsistente Compliance- und Sicherheitsbewertungen über die gesamte Serverlandschaft hinweg." },
      hint: { en: "Pick the answers that improve centralized governance without requiring migration.", de: "Wählen Sie die Antworten, die die zentrale Governance verbessern, ohne eine Migration zu erfordern." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-arc/servers/overview"
    },
    {
      id: "sc100-174",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: { en: "Litware, Inc. keeps domain controllers and SQL servers on-premises while application servers run in Azure. Security architects need one control plane for governance, compliance measurement, and server protection, including just-in-time administrative access where supported.", de: "Litware, Inc. betreibt Domänencontroller und SQL-Server lokal, während Anwendungsserver in Azure ausgeführt werden. Sicherheitsarchitekten benötigen eine einheitliche Kontrollebene für Governance, Compliance-Messung und Serverschutz, einschließlich Just-in-Time-Administratorzugriff, wo dies unterstützt wird." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Connect the on-premises servers with Azure Arc, enable Defender for Servers Plan 2, and assign Azure Policy at scale", de: "Die lokalen Server mit Azure Arc verbinden, Defender for Servers Plan 2 aktivieren und Azure Policy im großen Maßstab zuweisen" } },
        { id: "B", text: { en: "Use separate local tools for each environment and compare results manually every quarter", de: "Für jede Umgebung separate lokale Werkzeuge verwenden und die Ergebnisse vierteljährlich manuell vergleichen" } },
        { id: "C", text: { en: "Expose all servers through public IP addresses so administrators can reach them directly", de: "Alle Server über öffentliche IP-Adressen verfügbar machen, damit Administratoren direkt darauf zugreifen können" } },
        { id: "D", text: { en: "Manage the hybrid estate only with local Group Policy and no cloud connection", de: "Die hybride Umgebung ausschließlich mit lokaler Gruppenrichtlinie und ohne Cloud-Anbindung verwalten" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Arc provides the hybrid control plane, while Defender for Servers Plan 2 adds protection features such as vulnerability assessment and just-in-time access for supported machines. Together with Azure Policy, this design creates consistent governance and server security across Azure and non-Azure infrastructure.", de: "Azure Arc stellt die hybride Kontrollebene bereit, während Defender for Servers Plan 2 Schutzfunktionen wie Schwachstellenbewertung und Just-in-Time-Zugriff für unterstützte Computer hinzufügt. Zusammen mit Azure Policy schafft dieses Design konsistente Governance und Serversicherheit über Azure- und Nicht-Azure-Infrastruktur hinweg." },
      hint: { en: "Look for the option that combines hybrid management, posture, and workload protection.", de: "Suchen Sie nach der Option, die hybrides Management, Posture und Workload-Schutz kombiniert." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/plan-defender-for-servers-select-plan"
    },
    {
      id: "sc100-175",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Azure capability provides private IP-based access from a virtual network to a platform service such as Azure Storage without using the public internet?", de: "Welche Azure-Funktion bietet privaten IP-basierten Zugriff von einem virtuellen Netzwerk auf einen Plattformdienst wie Azure Storage, ohne das öffentliche Internet zu verwenden?" },
      options: [
        { id: "A", text: { en: "Azure Private Link", de: "Azure Private Link" } },
        { id: "B", text: { en: "Azure Front Door", de: "Azure Front Door" } },
        { id: "C", text: { en: "Azure Traffic Manager", de: "Azure Traffic Manager" } },
        { id: "D", text: { en: "Azure Monitor", de: "Azure Monitor" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Private Link exposes supported services through private endpoints inside your virtual network. This reduces exposure by keeping traffic on Microsoft’s backbone and avoiding direct public endpoint dependency.", de: "Azure Private Link stellt unterstützte Dienste über private Endpunkte innerhalb Ihres virtuellen Netzwerks bereit. Das reduziert die Exponierung, indem der Datenverkehr im Microsoft-Backbone bleibt und keine direkte Abhängigkeit von öffentlichen Endpunkten besteht." },
      hint: { en: "Choose the service that maps a PaaS endpoint to a private IP in your VNet.", de: "Wählen Sie den Dienst, der einen PaaS-Endpunkt auf eine private IP in Ihrem VNet abbildet." },
      reference: "https://learn.microsoft.com/en-us/azure/private-link/private-link-overview"
    },
    {
      id: "sc100-176",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO Azure Firewall Premium capabilities are most relevant when a design requires outbound TLS inspection and detection of malicious traffic patterns?", de: "Welche ZWEI Azure-Firewall-Premium-Funktionen sind am relevantesten, wenn ein Design ausgehende TLS-Inspektion und die Erkennung bösartiger Datenverkehrsmuster erfordert?" },
      options: [
        { id: "A", text: { en: "TLS inspection", de: "TLS-Inspektion" } },
        { id: "B", text: { en: "Intrusion detection and prevention", de: "Angriffserkennung und -verhinderung" } },
        { id: "C", text: { en: "Azure Policy guest configuration", de: "Azure Policy Guest Configuration" } },
        { id: "D", text: { en: "Private DNS zone auto-registration", de: "Automatische Registrierung privater DNS-Zonen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Azure Firewall Premium adds advanced inspection capabilities, including TLS inspection and IDPS, for deeper visibility into encrypted outbound traffic and attack signatures. These controls are central when architects need more than basic network filtering.", de: "Azure Firewall Premium fügt erweiterte Inspektionsfunktionen hinzu, darunter TLS-Inspektion und IDPS, für tiefere Einblicke in verschlüsselten ausgehenden Datenverkehr und Angriffssignaturen. Diese Kontrollen sind zentral, wenn Architekten mehr als nur grundlegende Netzwerkfilterung benötigen." },
      hint: { en: "Pick the options that inspect and analyze traffic content, not just routing.", de: "Wählen Sie die Optionen, die Verkehrsinhalte prüfen und analysieren, nicht nur weiterleiten." },
      reference: "https://learn.microsoft.com/en-us/azure/firewall/premium-features"
    },
    {
      id: "sc100-177",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Humongous Insurance, an AKS cluster hosts payment microservices. Pods must access Azure resources without stored secrets, and security policy must prevent privileged containers and hostPath mounts.", de: "Bei Humongous Insurance hostet ein AKS-Cluster Zahlungs-Microservices. Pods müssen ohne gespeicherte Geheimnisse auf Azure-Ressourcen zugreifen können, und Sicherheitsrichtlinien müssen privilegierte Container sowie hostPath-Mounts verhindern." },
      question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Entra Workload ID for pod authentication and Azure Policy for Kubernetes guardrails", de: "Microsoft Entra Workload ID für die Pod-Authentifizierung und Azure Policy für Kubernetes-Leitplanken verwenden" } },
        { id: "B", text: { en: "Store a shared service principal secret in every namespace and allow cluster-admin for troubleshooting", de: "Ein gemeinsames Dienstprinzipal-Geheimnis in jedem Namespace speichern und cluster-admin zur Fehlersuche zulassen" } },
        { id: "C", text: { en: "Use ConfigMaps for credentials and disable admission control", de: "ConfigMaps für Anmeldeinformationen verwenden und Admission Control deaktivieren" } },
        { id: "D", text: { en: "Publish the Kubernetes API publicly so workloads can request tokens directly", de: "Die Kubernetes-API öffentlich veröffentlichen, damit Workloads direkt Token anfordern können" } }
      ],
      correct: ["A"],
      explanation: { en: "Workload identity removes the need for long-lived secrets in pods, and Azure Policy for Kubernetes enforces preventative cluster guardrails. This combination aligns with least privilege and helps harden AKS at both identity and configuration layers.", de: "Workload Identity beseitigt die Notwendigkeit langlebiger Geheimnisse in Pods, und Azure Policy für Kubernetes erzwingt präventive Cluster-Leitplanken. Diese Kombination richtet sich an Least Privilege aus und härtet AKS sowohl auf Identitäts- als auch auf Konfigurationsebene." },
      hint: { en: "Choose the answer that removes pod secrets and enforces admission-time controls.", de: "Wählen Sie die Antwort, die Pod-Geheimnisse entfernt und Kontrollen zur Aufnahmezeit erzwingt." },
      reference: "https://learn.microsoft.com/en-us/azure/aks/workload-identity-overview"
    },
    {
      id: "sc100-178",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Azure service should be placed in front of an internet-facing web application to inspect HTTP and HTTPS requests for common application-layer attacks?", de: "Welcher Azure-Dienst sollte vor einer internetseitigen Webanwendung platziert werden, um HTTP- und HTTPS-Anforderungen auf typische Angriffe auf Anwendungsebene zu prüfen?" },
      options: [
        { id: "A", text: { en: "Azure Web Application Firewall", de: "Azure Web Application Firewall" } },
        { id: "B", text: { en: "Azure ExpressRoute", de: "Azure ExpressRoute" } },
        { id: "C", text: { en: "Azure DDoS Network Protection", de: "Azure DDoS Network Protection" } },
        { id: "D", text: { en: "Azure Bastion", de: "Azure Bastion" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure WAF is designed to inspect web requests and block common Layer 7 threats such as SQL injection and cross-site scripting. DDoS protection and Bastion serve different security purposes.", de: "Azure WAF wurde dafür entwickelt, Webanforderungen zu prüfen und typische Layer-7-Bedrohungen wie SQL-Injection und Cross-Site Scripting zu blockieren. DDoS-Schutz und Bastion erfüllen andere Sicherheitszwecke." },
      hint: { en: "Think about the service focused specifically on web requests and OWASP-style attacks.", de: "Denken Sie an den Dienst, der speziell auf Webanforderungen und Angriffe im OWASP-Stil ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/azure/web-application-firewall/overview"
    },
    {
      id: "sc100-179",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "An organization wants only compliant devices with low endpoint risk to access privileged admin portals. Which design best supports this requirement?", de: "Eine Organisation möchte, dass nur konforme Geräte mit geringem Endpunktrisiko auf privilegierte Administratorportale zugreifen. Welches Design unterstützt diese Anforderung am besten?" },
      options: [
        { id: "A", text: { en: "Combine Intune device compliance, Microsoft Defender for Endpoint risk signals, and Conditional Access", de: "Intune-Gerätecompliance, Risikosignale von Microsoft Defender for Endpoint und Conditional Access kombinieren" } },
        { id: "B", text: { en: "Allow access from any device on the corporate network and review logs monthly", de: "Zugriff von jedem Gerät im Unternehmensnetzwerk zulassen und Protokolle monatlich prüfen" } },
        { id: "C", text: { en: "Use shared administrator workstations with no device health validation", de: "Gemeinsame Administratorarbeitsplätze ohne Überprüfung des Gerätezustands verwenden" } },
        { id: "D", text: { en: "Rely only on password complexity for admin accounts", de: "Sich bei Administratorkonten nur auf Kennwortkomplexität verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Intune provides compliance evaluation, Defender for Endpoint provides device risk insight, and Conditional Access can enforce access decisions based on both signals. This creates a stronger endpoint-based control path for privileged access.", de: "Intune liefert die Compliancebewertung, Defender for Endpoint stellt Geräte-Risikoeinblicke bereit, und Conditional Access kann Zugriffsentscheidungen auf Grundlage beider Signale erzwingen. Dadurch entsteht ein stärkerer, endpunktbasierter Kontrollpfad für privilegierten Zugriff." },
      hint: { en: "Choose the design that links device management, endpoint detection, and access control together.", de: "Wählen Sie das Design, das Geräteverwaltung, Endpunkterkennung und Zugriffskontrolle miteinander verbindet." },
      reference: "https://learn.microsoft.com/en-us/defender-endpoint/conditional-access"
    },
    {
      id: "sc100-180",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "Woodgrove Bank has hundreds of Windows and Linux servers in Azure and on-premises. Architects need vulnerability findings, endpoint protection, and just-in-time administrative access as part of one server protection strategy.", de: "Woodgrove Bank verfügt über Hunderte von Windows- und Linux-Servern in Azure und lokal. Architekten benötigen Schwachstellenerkenntnisse, Endpunktschutz und Just-in-Time-Administratorzugriff als Teil einer einheitlichen Serverschutzstrategie." },
      question: { en: "Which solution should you design?", de: "Welche Lösung sollten Sie entwerfen?" },
      options: [
        { id: "A", text: { en: "Enable Microsoft Defender for Servers Plan 2 and onboard non-Azure machines through Azure Arc", de: "Microsoft Defender for Servers Plan 2 aktivieren und Nicht-Azure-Computer über Azure Arc einbinden" } },
        { id: "B", text: { en: "Use only network security groups and no server protection plan", de: "Nur Netzwerksicherheitsgruppen und keinen Serverschutzplan verwenden" } },
        { id: "C", text: { en: "Install antivirus only and manage findings through email", de: "Nur Antivirensoftware installieren und Erkenntnisse per E-Mail verwalten" } },
        { id: "D", text: { en: "Use Azure Bastion alone for all server security requirements", de: "Azure Bastion allein für alle Serversicherheitsanforderungen verwenden" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Servers Plan 2 combines workload protection, security recommendations, and features such as just-in-time access for supported scenarios. Azure Arc extends that design to non-Azure machines so the protection strategy can cover the full hybrid estate.", de: "Defender for Servers Plan 2 kombiniert Workload-Schutz, Sicherheitsempfehlungen und Funktionen wie Just-in-Time-Zugriff für unterstützte Szenarien. Azure Arc erweitert dieses Design auf Nicht-Azure-Computer, sodass die Schutzstrategie die gesamte hybride Umgebung abdecken kann." },
      hint: { en: "Look for the plan built specifically for server workload protection across hybrid estates.", de: "Suchen Sie nach dem Plan, der speziell für den Schutz von Server-Workloads in hybriden Umgebungen entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/plan-defender-for-servers-select-plan"
    },
    {
      id: "sc100-181",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO design choices best support network segmentation between web, application, and data tiers in a hub-and-spoke Azure environment?", de: "Welche ZWEI Designentscheidungen unterstützen die Netzwerksegmentierung zwischen Web-, Anwendungs- und Datenebene in einer Hub-and-Spoke-Azure-Umgebung am besten?" },
      options: [
        { id: "A", text: { en: "Place tiers in separate subnets and apply NSGs or application security groups based on function", de: "Ebenen in getrennten Subnetzen platzieren und NSGs oder Application Security Groups funktionsbasiert anwenden" } },
        { id: "B", text: { en: "Deploy all tiers in a single flat subnet to simplify troubleshooting", de: "Alle Ebenen in einem einzigen flachen Subnetz bereitstellen, um die Fehlersuche zu vereinfachen" } },
        { id: "C", text: { en: "Route spoke east-west and outbound traffic through a central Azure Firewall by using user-defined routes", de: "Spoke-Ost-West- und ausgehenden Verkehr mithilfe benutzerdefinierter Routen über eine zentrale Azure Firewall leiten" } },
        { id: "D", text: { en: "Allow any-to-any communication between spokes by default", de: "Beliebige Kommunikation zwischen Spokes standardmäßig zulassen" } }
      ],
      correct: ["A", "C"],
      explanation: { en: "Effective segmentation uses separate trust boundaries at the subnet or workload-group level and enforces controlled paths through centralized inspection where appropriate. Flat networks and unrestricted east-west access increase lateral movement risk.", de: "Wirksame Segmentierung verwendet getrennte Vertrauensgrenzen auf Subnetz- oder Workload-Gruppenebene und erzwingt bei Bedarf kontrollierte Pfade durch zentrale Inspektion. Flache Netzwerke und uneingeschränkter Ost-West-Zugriff erhöhen das Risiko lateraler Bewegungen." },
      hint: { en: "Pick one answer for workload separation and one for controlled traffic paths.", de: "Wählen Sie eine Antwort für Workload-Trennung und eine für kontrollierte Verkehrspfade." },
      reference: "https://learn.microsoft.com/en-us/azure/architecture/networking/guide/network-level-segmentation"
    },
    {
      id: "sc100-182",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Azure service lets administrators open RDP or SSH sessions to Azure virtual machines through the Azure portal without assigning public IP addresses to each VM?", de: "Welcher Azure-Dienst ermöglicht es Administratoren, RDP- oder SSH-Sitzungen zu Azure Virtual Machines über das Azure-Portal zu öffnen, ohne jeder VM eine öffentliche IP-Adresse zuzuweisen?" },
      options: [
        { id: "A", text: { en: "Azure Bastion", de: "Azure Bastion" } },
        { id: "B", text: { en: "Azure Front Door", de: "Azure Front Door" } },
        { id: "C", text: { en: "Azure Load Balancer", de: "Azure Load Balancer" } },
        { id: "D", text: { en: "Azure Traffic Manager", de: "Azure Traffic Manager" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Bastion provides browser-based administrative connectivity to Azure VMs over private IPs. This helps reduce management-plane exposure by avoiding public RDP and SSH endpoints on each workload.", de: "Azure Bastion bietet browserbasierte Administrationskonnektivität zu Azure-VMs über private IPs. Das hilft, die Angriffsfläche der Verwaltungsebene zu reduzieren, indem öffentliche RDP- und SSH-Endpunkte auf jedem Workload vermieden werden." },
      hint: { en: "Think of the managed jump-host service in Azure.", de: "Denken Sie an den verwalteten Jump-Host-Dienst in Azure." },
      reference: "https://learn.microsoft.com/en-us/azure/bastion/bastion-overview"
    },
    {
      id: "sc100-183",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: { en: "Contoso, Ltd. uses Azure, AWS, and Google Cloud as well as on-premises Kubernetes clusters. The CISO wants unified recommendations, attack-path visibility, and security coverage for connected servers and containers where supported.", de: "Contoso, Ltd. verwendet Azure, AWS und Google Cloud sowie lokale Kubernetes-Cluster. Der CISO möchte einheitliche Empfehlungen, Transparenz über Angriffspfade und Sicherheitsabdeckung für verbundene Server und Container, soweit unterstützt." },
      question: { en: "Which design is the best fit?", de: "Welches Design passt am besten?" },
      options: [
        { id: "A", text: { en: "Connect the multicloud accounts and Azure Arc resources to Defender for Cloud and enable the relevant plans", de: "Die Multicloud-Konten und Azure-Arc-Ressourcen mit Defender for Cloud verbinden und die relevanten Pläne aktivieren" } },
        { id: "B", text: { en: "Use only native security tools in each platform and manually normalize the results", de: "Ausschließlich native Sicherheitstools jeder Plattform verwenden und die Ergebnisse manuell vereinheitlichen" } },
        { id: "C", text: { en: "Deploy one perimeter firewall and leave cloud posture management to each application team", de: "Eine einzelne Perimeter-Firewall bereitstellen und das Cloud-Posture-Management jedem Anwendungsteam überlassen" } },
        { id: "D", text: { en: "Postpone security integration until all workloads can be migrated into Azure", de: "Die Sicherheitsintegration verschieben, bis alle Workloads nach Azure migriert werden können" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Cloud is intended to extend posture and workload protection across Azure, multicloud connectors, and relevant Azure Arc resources. This gives architects a more unified control strategy for complex enterprise estates instead of fragmented dashboards.", de: "Defender for Cloud ist dafür vorgesehen, Posture- und Workload-Schutz über Azure, Multicloud-Konnektoren und relevante Azure-Arc-Ressourcen hinweg zu erweitern. Dadurch erhalten Architekten eine stärker vereinheitlichte Kontrollstrategie für komplexe Unternehmensumgebungen statt fragmentierter Dashboards." },
      hint: { en: "Choose the option that centralizes posture and protection across connected environments.", de: "Wählen Sie die Option, die Posture und Schutz über verbundene Umgebungen hinweg zentralisiert." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/multicloud-security-posture-management-overview"
    },
    {
      id: "sc100-184",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Defender for Cloud plan is specifically focused on image assessment and runtime threat detection for Kubernetes and other containerized workloads?", de: "Welcher Defender-for-Cloud-Plan ist speziell auf Imagebewertung und Laufzeit-Bedrohungserkennung für Kubernetes- und andere containerisierte Workloads ausgerichtet?" },
      options: [
        { id: "A", text: { en: "Defender for Containers", de: "Defender for Containers" } },
        { id: "B", text: { en: "Defender for DNS", de: "Defender for DNS" } },
        { id: "C", text: { en: "Defender for Resource Manager", de: "Defender for Resource Manager" } },
        { id: "D", text: { en: "Defender for Key Vault", de: "Defender for Key Vault" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Containers is the plan built for container security scenarios, including vulnerability insight and runtime protections for Kubernetes environments. It addresses risks that are different from traditional VM workloads.", de: "Defender for Containers ist der Plan für Containersicherheitsszenarien, einschließlich Schwachstelleneinblicken und Laufzeitschutz für Kubernetes-Umgebungen. Er adressiert Risiken, die sich von klassischen VM-Workloads unterscheiden." },
      hint: { en: "Choose the plan named for the workload type you are protecting.", de: "Wählen Sie den Plan, der nach dem zu schützenden Workload-Typ benannt ist." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-introduction"
    },
    {
      id: "sc100-185",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Litware, Inc., several on-premises Kubernetes clusters will remain in service for the next three years. Architects need Azure-based governance, policy enforcement, and GitOps-driven configuration control without rebuilding the clusters.", de: "Bei Litware, Inc. bleiben mehrere lokale Kubernetes-Cluster in den nächsten drei Jahren in Betrieb. Architekten benötigen Azure-basierte Governance, Richtliniendurchsetzung und GitOps-gesteuerte Konfigurationskontrolle, ohne die Cluster neu aufzubauen." },
      question: { en: "Which design should you choose?", de: "Welches Design sollten Sie wählen?" },
      options: [
        { id: "A", text: { en: "Onboard the clusters to Azure Arc-enabled Kubernetes and use Azure Policy plus GitOps extensions", de: "Die Cluster in Azure-Arc-fähiges Kubernetes einbinden und Azure Policy plus GitOps-Erweiterungen verwenden" } },
        { id: "B", text: { en: "Expose each Kubernetes API publicly and govern changes with email approvals", de: "Jede Kubernetes-API öffentlich verfügbar machen und Änderungen per E-Mail-Freigabe steuern" } },
        { id: "C", text: { en: "Manage cluster state only with manual kubectl commands from administrator laptops", de: "Den Clusterzustand nur mit manuellen kubectl-Befehlen von Administratorlaptops aus verwalten" } },
        { id: "D", text: { en: "Replace the clusters with standalone virtual machines before applying any security controls", de: "Die Cluster durch einzelne virtuelle Maschinen ersetzen, bevor Sicherheitskontrollen angewendet werden" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Arc-enabled Kubernetes is designed to extend Azure governance capabilities to non-Azure clusters. Combined with Azure Policy and GitOps, it helps enforce desired state and security guardrails consistently over time.", de: "Azure-Arc-fähiges Kubernetes wurde entwickelt, um Azure-Governance-Funktionen auf Nicht-Azure-Cluster auszuweiten. In Kombination mit Azure Policy und GitOps hilft es, den gewünschten Zustand und Sicherheitsleitplanken im Zeitverlauf konsistent durchzusetzen." },
      hint: { en: "Look for the option that brings existing Kubernetes clusters under Azure governance.", de: "Suchen Sie nach der Option, die bestehende Kubernetes-Cluster unter Azure-Governance bringt." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-arc/kubernetes/overview"
    },
    {
      id: "sc100-186",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Azure service is designed to protect public IP resources from volumetric and protocol distributed denial-of-service attacks?", de: "Welcher Azure-Dienst wurde entwickelt, um öffentliche IP-Ressourcen vor volumetrischen und protokollbasierten Distributed-Denial-of-Service-Angriffen zu schützen?" },
      options: [
        { id: "A", text: { en: "Azure DDoS Network Protection", de: "Azure DDoS Network Protection" } },
        { id: "B", text: { en: "Azure Web Application Firewall", de: "Azure Web Application Firewall" } },
        { id: "C", text: { en: "Azure Private Link", de: "Azure Private Link" } },
        { id: "D", text: { en: "Microsoft Intune", de: "Microsoft Intune" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure DDoS Network Protection is intended to defend public-facing IP endpoints against large-scale network-layer attacks. WAF focuses on application-layer filtering, while Private Link and Intune solve different problems.", de: "Azure DDoS Network Protection soll öffentliche IP-Endpunkte gegen großvolumige Angriffe auf Netzwerkebene verteidigen. WAF konzentriert sich auf Filterung auf Anwendungsebene, während Private Link und Intune andere Probleme lösen." },
      hint: { en: "Choose the service focused on network-layer denial-of-service resilience.", de: "Wählen Sie den Dienst, der auf Resilienz gegen Denial-of-Service-Angriffe auf Netzwerkebene ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview"
    },
    {
      id: "sc100-187",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO controls best reduce administrative exposure when operators manage production servers in Azure and on-premises?", de: "Welche ZWEI Kontrollen reduzieren die Angriffsfläche bei der Verwaltung von Produktionsservern in Azure und lokal am besten?" },
      options: [
        { id: "A", text: { en: "Use Azure Bastion for browser-based administration instead of public RDP or SSH exposure", de: "Azure Bastion für browserbasierte Administration anstelle von öffentlich freigegebenem RDP oder SSH verwenden" } },
        { id: "B", text: { en: "Enable just-in-time access for supported servers so management ports open only when needed", de: "Just-in-Time-Zugriff für unterstützte Server aktivieren, damit Verwaltungsports nur bei Bedarf geöffnet werden" } },
        { id: "C", text: { en: "Keep management ports permanently open from the full corporate IP range", de: "Verwaltungsports dauerhaft für den gesamten Unternehmens-IP-Bereich geöffnet lassen" } },
        { id: "D", text: { en: "Share one local administrator password across all servers for faster support", de: "Ein lokales Administratorkennwort auf allen Servern gemeinsam verwenden, um den Support zu beschleunigen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Azure Bastion reduces the need for public management endpoints, and just-in-time access limits exposure windows for administrative ports. Together they support a more controlled and lower-risk server administration model.", de: "Azure Bastion reduziert die Notwendigkeit öffentlicher Verwaltungsendpunkte, und Just-in-Time-Zugriff begrenzt die Expositionszeit von Administrationsports. Zusammen unterstützen sie ein kontrollierteres und risikoärmeres Serververwaltungsmodell." },
      hint: { en: "Pick the answers that remove standing exposure and shorten admin access windows.", de: "Wählen Sie die Antworten, die dauerhafte Exponierung entfernen und Verwaltungszugriffsfenster verkürzen." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview"
    },
    {
      id: "sc100-188",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: { en: "Humongous Insurance issues Windows and macOS laptops plus iOS and Android phones. It wants consistent configuration, compliance reporting, and endpoint risk signals that can be used in access decisions.", de: "Humongous Insurance gibt Windows- und macOS-Laptops sowie iOS- und Android-Telefone aus. Es möchte konsistente Konfiguration, Compliance-Berichte und Endpunkt-Risikosignale, die für Zugriffsentscheidungen verwendet werden können." },
      question: { en: "Which design should architects recommend?", de: "Welches Design sollten Architekten empfehlen?" },
      options: [
        { id: "A", text: { en: "Manage devices with Intune and integrate Microsoft Defender for Endpoint", de: "Geräte mit Intune verwalten und Microsoft Defender for Endpoint integrieren" } },
        { id: "B", text: { en: "Send users hardening checklists by email and rely on self-attestation", de: "Benutzern Härtungs-Checklisten per E-Mail senden und auf Selbstauskunft vertrauen" } },
        { id: "C", text: { en: "Require VPN usage only and skip device management", de: "Nur die Nutzung eines VPN verlangen und Geräteverwaltung auslassen" } },
        { id: "D", text: { en: "Manage mobile devices through on-premises Active Directory alone", de: "Mobile Geräte ausschließlich über lokales Active Directory verwalten" } }
      ],
      correct: ["A"],
      explanation: { en: "Intune provides device configuration and compliance management, while Defender for Endpoint adds protection and device risk insight. This combination supports a modern endpoint strategy that can feed security posture into access control.", de: "Intune stellt Gerätekonfiguration und Complianceverwaltung bereit, während Defender for Endpoint Schutz und Geräte-Risikoanalysen hinzufügt. Diese Kombination unterstützt eine moderne Endpunktstrategie, die Sicherheitsstatus in die Zugriffskontrolle einspeisen kann." },
      hint: { en: "Choose the combination that joins device management with endpoint protection.", de: "Wählen Sie die Kombination, die Geräteverwaltung mit Endpunktschutz verbindet." },
      reference: "https://learn.microsoft.com/en-us/mem/intune/protect/microsoft-defender-atp"
    },
    {
      id: "sc100-189",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What is the primary role of Microsoft Defender for Endpoint in an enterprise endpoint strategy?", de: "Was ist die primäre Rolle von Microsoft Defender for Endpoint in einer unternehmensweiten Endpunktstrategie?" },
      options: [
        { id: "A", text: { en: "Provide endpoint detection and response plus threat and vulnerability insight on managed devices", de: "Endpunkterkennung und -reaktion sowie Einblicke in Bedrohungen und Schwachstellen auf verwalteten Geräten bereitstellen" } },
        { id: "B", text: { en: "Replace Azure Firewall for network egress inspection", de: "Azure Firewall für die Prüfung des ausgehenden Netzwerkverkehrs ersetzen" } },
        { id: "C", text: { en: "Act as Azure’s platform DDoS mitigation service", de: "Als Plattformdienst von Azure zur DDoS-Abwehr dienen" } },
        { id: "D", text: { en: "Host private endpoints for platform services", de: "Private Endpunkte für Plattformdienste hosten" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Endpoint is Microsoft’s endpoint security platform for detection, response, investigation, and vulnerability-related insight on devices. It complements, rather than replaces, network and platform security controls.", de: "Defender for Endpoint ist Microsofts Endpunktsicherheitsplattform für Erkennung, Reaktion, Untersuchung und schwachstellenbezogene Einblicke auf Geräten. Sie ergänzt Netzwerk- und Plattformsicherheitskontrollen, ersetzt diese jedoch nicht." },
      hint: { en: "Think device protection and response, not network perimeter filtering.", de: "Denken Sie an Geräteschutz und Reaktion, nicht an Filterung am Netzwerkperimeter." },
      reference: "https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-endpoint"
    },
    {
      id: "sc100-190",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Woodgrove Bank, an AKS environment hosts regulated applications. Requirements state that the Kubernetes API must not be exposed publicly, images must come only from a private registry, and outbound traffic from nodes must be inspected before reaching the internet or platform services.", de: "Bei Woodgrove Bank hostet eine AKS-Umgebung regulierte Anwendungen. Die Anforderungen besagen, dass die Kubernetes-API nicht öffentlich verfügbar sein darf, Images nur aus einer privaten Registry stammen dürfen und ausgehender Datenverkehr von Knoten geprüft werden muss, bevor er das Internet oder Plattformdienste erreicht." },
      question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
      options: [
        { id: "A", text: { en: "Deploy a private AKS cluster, use a private Azure Container Registry or Private Link-enabled access, and route egress through Azure Firewall Premium", de: "Einen privaten AKS-Cluster bereitstellen, eine private Azure Container Registry oder Private-Link-fähigen Zugriff verwenden und ausgehenden Verkehr über Azure Firewall Premium leiten" } },
        { id: "B", text: { en: "Use a public AKS API endpoint and pull images from any public registry with tag filtering", de: "Einen öffentlichen AKS-API-Endpunkt verwenden und Images mit Tag-Filterung aus beliebigen öffentlichen Registries beziehen" } },
        { id: "C", text: { en: "Keep the API public but limit it to corporate IP addresses and use only network security groups for all other controls", de: "Die API öffentlich belassen, aber auf Unternehmens-IP-Adressen beschränken und für alle anderen Kontrollen nur Netzwerksicherheitsgruppen verwenden" } },
        { id: "D", text: { en: "Allow direct node internet access and rely on manual image reviews before deployment", de: "Direkten Internetzugriff der Knoten zulassen und sich vor Bereitstellungen auf manuelle Image-Prüfungen verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "A private AKS cluster reduces control-plane exposure, private registry access helps secure the image source, and Azure Firewall Premium supports inspected egress paths. This combination addresses control-plane, supply-chain, and network egress requirements together.", de: "Ein privater AKS-Cluster reduziert die Exponierung der Kontrollebene, privater Registry-Zugriff hilft bei der Absicherung der Image-Quelle, und Azure Firewall Premium unterstützt geprüfte Egress-Pfade. Diese Kombination adressiert Anforderungen an Kontrollebene, Lieferkette und ausgehenden Netzwerkverkehr gemeinsam." },
      hint: { en: "Choose the answer that secures the API, the image source, and egress in one design.", de: "Wählen Sie die Antwort, die API, Image-Quelle und Egress in einem Design absichert." },
      reference: "https://learn.microsoft.com/en-us/azure/architecture/reference-architectures/containers/aks/secure-baseline-aks"
    },
    {
      id: "sc100-191",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO design choices improve container supply chain security before workloads run in AKS?", de: "Welche ZWEI Designentscheidungen verbessern die Sicherheit der Container-Lieferkette, bevor Workloads in AKS ausgeführt werden?" },
      options: [
        { id: "A", text: { en: "Store images in a private Azure Container Registry and limit access with least privilege", de: "Images in einer privaten Azure Container Registry speichern und den Zugriff nach Least Privilege begrenzen" } },
        { id: "B", text: { en: "Scan images for vulnerabilities as part of Defender for Containers or registry-integrated workflows", de: "Images im Rahmen von Defender for Containers oder registryintegrierten Workflows auf Schwachstellen prüfen" } },
        { id: "C", text: { en: "Allow developers to pull unreviewed images directly from any public registry into production", de: "Entwicklern erlauben, ungeprüfte Images direkt aus beliebigen öffentlichen Registries in die Produktion zu ziehen" } },
        { id: "D", text: { en: "Store registry credentials in plaintext in source control for deployment automation", de: "Registry-Anmeldeinformationen zur Bereitstellungsautomatisierung im Klartext in der Quellcodeverwaltung speichern" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Container supply chain security starts with controlling the registry source and validating images before deployment. Private registries with least-privilege access and vulnerability scanning reduce the chance of introducing malicious or weak artifacts into AKS.", de: "Die Sicherheit der Container-Lieferkette beginnt mit der Kontrolle der Registry-Quelle und der Validierung von Images vor der Bereitstellung. Private Registries mit Least-Privilege-Zugriff und Schwachstellenprüfungen verringern die Wahrscheinlichkeit, schädliche oder schwache Artefakte in AKS einzubringen." },
      hint: { en: "Pick the answers that control image origin and verify image health.", de: "Wählen Sie die Antworten, die die Herkunft von Images kontrollieren und deren Sicherheit überprüfen." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-introduction"
    },
    {
      id: "sc100-192",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "After connecting servers to Azure Arc, which governance mechanism can assess and enforce machine configuration standards across hybrid machines?", de: "Welche Governance-Funktion kann nach dem Verbinden von Servern mit Azure Arc Konfigurationsstandards auf Hybridcomputern bewerten und durchsetzen?" },
      options: [
        { id: "A", text: { en: "Azure Policy guest configuration", de: "Azure Policy Guest Configuration" } },
        { id: "B", text: { en: "Azure Cost Management budgets", de: "Azure Cost Management-Budgets" } },
        { id: "C", text: { en: "Azure Route Server", de: "Azure Route Server" } },
        { id: "D", text: { en: "Azure CDN rules engine", de: "Azure CDN-Regelwerk" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Policy guest configuration extends policy assessment into the operating system configuration of supported machines, including Arc-connected servers. This helps architects apply and measure configuration baselines consistently in hybrid estates.", de: "Azure Policy Guest Configuration erweitert die Richtlinienbewertung auf die Betriebssystemkonfiguration unterstützter Computer, einschließlich Arc-verbundener Server. Dies hilft Architekten, Konfigurationsbaselines in hybriden Umgebungen konsistent anzuwenden und zu messen." },
      hint: { en: "Choose the policy feature that checks settings inside the machine, not only on the Azure resource wrapper.", de: "Wählen Sie die Richtlinienfunktion, die Einstellungen innerhalb des Computers prüft, nicht nur auf der Azure-Ressourcenhülle." },
      reference: "https://learn.microsoft.com/en-us/azure/governance/policy/concepts/guest-configuration"
    },
    {
      id: "sc100-193",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which design is best for publishing an internet-facing web app while filtering common HTTP attacks by using managed rule sets?", de: "Welches Design eignet sich am besten, um eine internetseitige Webanwendung zu veröffentlichen und dabei typische HTTP-Angriffe mithilfe verwalteter Regelsätze zu filtern?" },
      options: [
        { id: "A", text: { en: "Deploy Application Gateway with Web Application Firewall enabled", de: "Application Gateway mit aktivierter Web Application Firewall bereitstellen" } },
        { id: "B", text: { en: "Use Azure Bastion in front of the application", de: "Azure Bastion vor der Anwendung verwenden" } },
        { id: "C", text: { en: "Publish the app through a private endpoint only", de: "Die Anwendung nur über einen privaten Endpunkt veröffentlichen" } },
        { id: "D", text: { en: "Use Microsoft Intune to inspect inbound requests", de: "Microsoft Intune zur Prüfung eingehender Anforderungen verwenden" } }
      ],
      correct: ["A"],
      explanation: { en: "Application Gateway with WAF is designed to publish and protect HTTP or HTTPS applications by applying managed and custom web protection rules. Bastion and Intune do not inspect inbound web traffic.", de: "Application Gateway mit WAF wurde entwickelt, um HTTP- oder HTTPS-Anwendungen zu veröffentlichen und durch verwaltete sowie benutzerdefinierte Webschutzregeln zu schützen. Bastion und Intune prüfen keinen eingehenden Webverkehr." },
      hint: { en: "Think of the Azure load-balancing service that can add WAF protection.", de: "Denken Sie an den Azure-Lastverteilungsdienst, der WAF-Schutz hinzufügen kann." },
      reference: "https://learn.microsoft.com/en-us/azure/web-application-firewall/ag/ag-overview"
    },
    {
      id: "sc100-194",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which design best combines segmentation and advanced inspection for a hub-and-spoke environment that hosts sensitive workloads and private platform dependencies?", de: "Welches Design kombiniert Segmentierung und erweiterte Inspektion für eine Hub-and-Spoke-Umgebung mit sensiblen Workloads und privaten Plattformabhängigkeiten am besten?" },
      options: [
        { id: "A", text: { en: "Place Azure Firewall Premium in the hub, force spoke traffic through it with user-defined routes, and use Private Link for platform services", de: "Azure Firewall Premium im Hub platzieren, Spoke-Datenverkehr mit benutzerdefinierten Routen darüber erzwingen und Private Link für Plattformdienste verwenden" } },
        { id: "B", text: { en: "Connect every spoke directly to the internet and use only local host firewalls", de: "Jeden Spoke direkt mit dem Internet verbinden und nur lokale Host-Firewalls verwenden" } },
        { id: "C", text: { en: "Deploy all workloads in one flat virtual network to minimize routing complexity", de: "Alle Workloads in einem flachen virtuellen Netzwerk bereitstellen, um die Routing-Komplexität zu minimieren" } },
        { id: "D", text: { en: "Expose platform services through public endpoints and filter access only with DNS settings", de: "Plattformdienste über öffentliche Endpunkte bereitstellen und den Zugriff nur mit DNS-Einstellungen filtern" } }
      ],
      correct: ["A"],
      explanation: { en: "A hub-and-spoke design with Azure Firewall Premium supports centralized inspection and controlled traffic paths, while Private Link reduces exposure to platform services. This combination is aligned with segmentation, least privilege, and private connectivity goals.", de: "Ein Hub-and-Spoke-Design mit Azure Firewall Premium unterstützt zentrale Inspektion und kontrollierte Verkehrspfade, während Private Link die Exponierung von Plattformdiensten reduziert. Diese Kombination entspricht Zielen für Segmentierung, Least Privilege und private Konnektivität." },
      hint: { en: "Choose the answer that centralizes inspection and avoids public PaaS exposure.", de: "Wählen Sie die Antwort, die die Inspektion zentralisiert und öffentliche PaaS-Exponierung vermeidet." },
      reference: "https://learn.microsoft.com/en-us/azure/firewall/premium-features"
    },
    {
      id: "sc100-195",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Intune capability should you use when you need Microsoft-recommended hardening settings deployed consistently across Windows endpoints?", de: "Welche Intune-Funktion sollten Sie verwenden, wenn von Microsoft empfohlene Härtungseinstellungen konsistent auf Windows-Endpunkten bereitgestellt werden müssen?" },
      options: [
        { id: "A", text: { en: "Intune security baselines", de: "Intune-Sicherheitsbaselines" } },
        { id: "B", text: { en: "Azure Route Tables", de: "Azure-Routentabellen" } },
        { id: "C", text: { en: "Azure Bastion policies", de: "Azure-Bastion-Richtlinien" } },
        { id: "D", text: { en: "Azure DDoS Network Protection", de: "Azure DDoS Network Protection" } }
      ],
      correct: ["A"],
      explanation: { en: "Intune security baselines package Microsoft-recommended security settings so endpoint hardening can be deployed and managed more consistently. They help standardize device posture without building every control from scratch.", de: "Intune-Sicherheitsbaselines bündeln von Microsoft empfohlene Sicherheitseinstellungen, sodass die Endpunkthärtung konsistenter bereitgestellt und verwaltet werden kann. Sie helfen, den Gerätestatus zu standardisieren, ohne jede Kontrolle von Grund auf neu zu erstellen." },
      hint: { en: "Choose the Intune feature meant to apply curated security settings at scale.", de: "Wählen Sie die Intune-Funktion, die dafür gedacht ist, kuratierte Sicherheitseinstellungen im großen Maßstab anzuwenden." },
      reference: "https://learn.microsoft.com/en-us/mem/intune/protect/security-baselines"
    },
{
      id: "sc100-196",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which design decision most effectively reduces secret sprawl in CI/CD pipelines that deploy Azure resources?", de: "Welche Designentscheidung reduziert die Verbreitung von Geheimnissen in CI/CD-Pipelines, die Azure-Ressourcen bereitstellen, am effektivsten?" },
      options: [
        { id: "A", text: { en: "Use workload identity federation between GitHub Actions and Microsoft Entra ID", de: "Workload-Identity-Federation zwischen GitHub Actions und Microsoft Entra ID verwenden" } },
        { id: "B", text: { en: "Store service principal secrets in repository variables", de: "Geheimnisse von Dienstprinzipalen in Repository-Variablen speichern" } },
        { id: "C", text: { en: "Reuse one personal access token across all pipelines", de: "Ein persönliches Zugriffstoken in allen Pipelines wiederverwenden" } },
        { id: "D", text: { en: "Export deployment credentials into pipeline artifacts", de: "Bereitstellungsanmeldeinformationen in Pipeline-Artefakte exportieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Workload identity federation removes long-lived secrets from the pipeline and lets Azure trust short-lived tokens issued by the external identity provider. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Workload-Identity-Federation entfernt langlebige Geheimnisse aus der Pipeline und ermöglicht es Azure, kurzlebigen Token eines externen Identitätsanbieters zu vertrauen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the pattern that removes stored secrets instead of rotating them better.", de: "Wählen Sie das Muster, das gespeicherte Geheimnisse beseitigt, anstatt sie nur besser zu rotieren." },
      reference: "https://learn.microsoft.com/en-us/entra/workload-id/workload-identities-federation"
    },
    {
      id: "sc100-197",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: { en: "Contoso, Ltd. builds containerized APIs for AKS. Auditors require traceability from pull request to deployed image, an inventory of third-party components, and blocking of untrusted artifacts before release.", de: "Contoso, Ltd. erstellt containerisierte APIs für AKS. Prüfer verlangen Nachvollziehbarkeit vom Pull Request bis zum bereitgestellten Image, ein Inventar von Drittkomponenten und das Blockieren nicht vertrauenswürdiger Artefakte vor dem Release." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Generate SBOMs, sign images in the pipeline, publish only to trusted ACR repositories, and enforce deployment policy for approved artifacts", de: "SBOMs erzeugen, Images in der Pipeline signieren, nur in vertrauenswürdige ACR-Repositorys veröffentlichen und eine Bereitstellungsrichtlinie für genehmigte Artefakte erzwingen" } },
        { id: "B", text: { en: "Let each team push unsigned images directly from local laptops to the cluster", de: "Jedes Team unsignierte Images direkt von lokalen Laptops in den Cluster übertragen lassen" } },
        { id: "C", text: { en: "Store container images in a public registry and review them after deployment", de: "Container-Images in einer öffentlichen Registry speichern und erst nach der Bereitstellung prüfen" } },
        { id: "D", text: { en: "Depend only on runtime antivirus in the cluster", de: "Sich im Cluster ausschließlich auf Laufzeit-Antivirus verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "A secure supply chain design combines component visibility, artifact integrity, and policy enforcement before release. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Ein sicheres Lieferketten-Design kombiniert Komponententransparenz, Artefaktintegrität und Richtliniendurchsetzung vor dem Release. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the option that addresses provenance, trusted publication, and admission control together.", de: "Wählen Sie die Option, die Herkunft, vertrauenswürdige Veröffentlichung und Zulassungskontrolle gemeinsam adressiert." },
      reference: "https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github"
    },
    {
      id: "sc100-198",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO practices best strengthen enterprise data classification for collaboration and analytics content?", de: "Welche ZWEI Praktiken stärken die unternehmensweite Datenklassifizierung für Kollaborations- und Analyseinhalte am besten?" },
      options: [
        { id: "A", text: { en: "Publish sensitivity labels with a clear taxonomy across Microsoft 365 and Power BI", de: "Vertraulichkeitsbezeichnungen mit einer klaren Taxonomie über Microsoft 365 und Power BI hinweg veröffentlichen" } },
        { id: "B", text: { en: "Use auto-labeling or classifiers for sensitive information types where appropriate", de: "Wo passend Auto-Labeling oder Klassifizierer für vertrauliche Informationstypen verwenden" } },
        { id: "C", text: { en: "Ask users to store regulated data in folders named Confidential", de: "Benutzer auffordern, regulierte Daten in Ordnern mit dem Namen Vertraulich zu speichern" } },
        { id: "D", text: { en: "Rely only on network segmentation to indicate data sensitivity", de: "Sich ausschließlich auf Netzwerksegmentierung verlassen, um Datensensitivität anzuzeigen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Sensitivity labels provide consistent classification and protection semantics, and auto-labeling improves scale and consistency for sensitive content. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Vertraulichkeitsbezeichnungen liefern konsistente Semantik für Klassifizierung und Schutz, und Auto-Labeling verbessert Skalierung und Konsistenz für sensible Inhalte. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for governance taxonomy and one for scalable classification.", de: "Wählen Sie eine Antwort für Governance-Taxonomie und eine für skalierbare Klassifizierung." },
      reference: "https://learn.microsoft.com/en-us/purview/sensitivity-labels"
    },
    {
      id: "sc100-199",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "An Azure App Service must read a secret from Key Vault without storing credentials in code or configuration. Which identity design should you choose?", de: "Ein Azure App Service muss ein Geheimnis aus Key Vault lesen, ohne Anmeldeinformationen im Code oder in der Konfiguration zu speichern. Welches Identitätsdesign sollten Sie wählen?" },
      options: [
        { id: "A", text: { en: "System-assigned managed identity", de: "Systemseitig zugewiesene verwaltete Identität" } },
        { id: "B", text: { en: "Shared administrator account", de: "Gemeinsam genutztes Administratorkonto" } },
        { id: "C", text: { en: "Storage account access key", de: "Speicherkonto-Zugriffsschlüssel" } },
        { id: "D", text: { en: "SQL login stored in app settings", de: "In App-Einstellungen gespeicherte SQL-Anmeldung" } }
      ],
      correct: ["A"],
      explanation: { en: "A system-assigned managed identity lets the app authenticate to Key Vault without embedded secrets and ties the identity lifecycle to the resource. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Eine systemseitig zugewiesene verwaltete Identität ermöglicht der App die Authentifizierung bei Key Vault ohne eingebettete Geheimnisse und koppelt den Lebenszyklus der Identität an die Ressource. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Use the Azure identity that eliminates stored application credentials.", de: "Verwenden Sie die Azure-Identität, die gespeicherte Anwendungsanmeldeinformationen beseitigt." },
      reference: "https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview"
    },
    {
      id: "sc100-200",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: { en: "Litware, Inc. exposes internal and partner-facing APIs. Security architects must validate OAuth tokens, enforce throttling, and hide backend endpoints behind a consistent policy layer.", de: "Litware, Inc. stellt interne und partnerorientierte APIs bereit. Sicherheitsarchitekten müssen OAuth-Token validieren, Drosselung erzwingen und Backend-Endpunkte hinter einer konsistenten Richtlinienschicht verbergen." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Azure API Management with inbound policies such as validate-jwt and rate-limit", de: "Azure API Management mit eingehenden Richtlinien wie validate-jwt und rate-limit verwenden" } },
        { id: "B", text: { en: "Allow partners to call microservices directly and log results in the app", de: "Partner Microservices direkt aufrufen lassen und Ergebnisse in der App protokollieren" } },
        { id: "C", text: { en: "Publish backend endpoints on the internet and manage quotas manually", de: "Backend-Endpunkte im Internet veröffentlichen und Quoten manuell verwalten" } },
        { id: "D", text: { en: "Place the APIs behind Azure Files", de: "Die APIs hinter Azure Files platzieren" } }
      ],
      correct: ["A"],
      explanation: { en: "API Management provides centralized policy enforcement for authentication, traffic shaping, and gateway abstraction before requests reach the backend. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "API Management bietet zentrale Richtliniendurchsetzung für Authentifizierung, Verkehrssteuerung und Gateway-Abstraktion, bevor Anforderungen das Backend erreichen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the Azure gateway that enforces identity and consumption controls inline.", de: "Wählen Sie das Azure-Gateway, das Identitäts- und Verbrauchskontrollen inline durchsetzt." },
      reference: "https://learn.microsoft.com/en-us/azure/api-management/api-management-policies"
    },
    {
      id: "sc100-201",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which Azure service should architects choose when code-signing keys must remain in dedicated HSM partitions under centralized, single-tenant control?", de: "Welchen Azure-Dienst sollten Architekten wählen, wenn Code-Signaturschlüssel in dedizierten HSM-Partitionen unter zentraler Single-Tenant-Kontrolle verbleiben müssen?" },
      options: [
        { id: "A", text: { en: "Azure Key Vault Managed HSM", de: "Azure Key Vault Managed HSM" } },
        { id: "B", text: { en: "Azure App Configuration", de: "Azure App Configuration" } },
        { id: "C", text: { en: "Azure Files", de: "Azure Files" } },
        { id: "D", text: { en: "A standard secret stored in a general Key Vault configuration", de: "Ein Standardgeheimnis, das in einer allgemeinen Key-Vault-Konfiguration gespeichert wird" } }
      ],
      correct: ["A"],
      explanation: { en: "Managed HSM is the Azure service designed for centralized, single-tenant, hardware-backed cryptographic key management. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Managed HSM ist der Azure-Dienst für zentrales, mandantenexklusives, hardwaregestütztes Management kryptografischer Schlüssel. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for the HSM service with dedicated tenancy, not a general configuration store.", de: "Suchen Sie nach dem HSM-Dienst mit dedizierter Mandantenisolierung und nicht nach einem allgemeinen Konfigurationsspeicher." },
      reference: "https://learn.microsoft.com/en-us/azure/key-vault/managed-hsm/overview"
    },
    {
      id: "sc100-202",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO controls best protect sensitive data in transit to Azure storage-backed applications?", de: "Welche ZWEI Kontrollen schützen sensible Daten bei der Übertragung zu Azure-speicherbasierten Anwendungen am besten?" },
      options: [
        { id: "A", text: { en: "Enforce HTTPS and a minimum TLS version", de: "HTTPS und eine Mindestversion von TLS erzwingen" } },
        { id: "B", text: { en: "Use private endpoints for private connectivity", de: "Private Endpunkte für private Konnektivität verwenden" } },
        { id: "C", text: { en: "Allow HTTP for legacy partners", de: "HTTP für Legacy-Partner zulassen" } },
        { id: "D", text: { en: "Share storage account keys over email", de: "Speicherkonto-Schlüssel per E-Mail teilen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Encrypted transport and private connectivity reduce interception risk and exposure of storage-backed applications. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Verschlüsselter Transport und private Konnektivität reduzieren das Risiko des Abfangens und die Exponierung speicherbasierter Anwendungen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick one answer for transport encryption and one for network isolation.", de: "Wählen Sie eine Antwort für Transportverschlüsselung und eine für Netzwerkisolierung." },
      reference: "https://learn.microsoft.com/en-us/azure/storage/common/storage-network-security"
    },
    {
      id: "sc100-203",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Azure capability is designed to connect an application host to Azure services while reducing manual secret management and supporting managed identities?", de: "Welche Azure-Funktion dient dazu, einen Anwendungshost mit Azure-Diensten zu verbinden, dabei manuelle Geheimnisverwaltung zu reduzieren und verwaltete Identitäten zu unterstützen?" },
      options: [
        { id: "A", text: { en: "Service Connector", de: "Service Connector" } },
        { id: "B", text: { en: "Azure Policy", de: "Azure Policy" } },
        { id: "C", text: { en: "Network Watcher", de: "Network Watcher" } },
        { id: "D", text: { en: "Cost Management", de: "Cost Management" } }
      ],
      correct: ["A"],
      explanation: { en: "Service Connector is built to simplify service-to-service connectivity and can use managed identities to avoid storing credentials manually. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Service Connector ist dafür ausgelegt, Dienst-zu-Dienst-Konnektivität zu vereinfachen, und kann verwaltete Identitäten nutzen, um gespeicherte Anmeldeinformationen zu vermeiden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the Azure feature created for app-to-service connections, not governance or diagnostics.", de: "Wählen Sie die Azure-Funktion für App-zu-Dienst-Verbindungen und nicht für Governance oder Diagnose." },
      reference: "https://learn.microsoft.com/en-us/azure/service-connector/overview"
    },
    {
      id: "sc100-204",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Humongous Insurance, a healthcare analytics platform stores patient data in Azure SQL Database. Security requirements state that DBAs must not see plaintext values, but the application still needs to run rich queries on selected encrypted columns.", de: "Bei Humongous Insurance speichert eine Healthcare-Analyseplattform Patientendaten in Azure SQL Database. Die Sicherheitsanforderungen verlangen, dass DBAs keine Klartextwerte sehen dürfen, die Anwendung aber dennoch umfangreiche Abfragen auf ausgewählten verschlüsselten Spalten ausführen muss." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Always Encrypted with secure enclaves and store column master keys in Key Vault", de: "Always Encrypted mit sicheren Enclaves verwenden und Spaltenhauptschlüssel in Key Vault speichern" } },
        { id: "B", text: { en: "Use Transparent Data Encryption only", de: "Nur Transparent Data Encryption verwenden" } },
        { id: "C", text: { en: "Expose the database through a public endpoint and trust network ACLs", de: "Die Datenbank über einen öffentlichen Endpunkt bereitstellen und Netzwerkrichtlinien vertrauen" } },
        { id: "D", text: { en: "Create shared SQL logins for analysts and administrators", de: "Gemeinsam genutzte SQL-Anmeldungen für Analysten und Administratoren erstellen" } }
      ],
      correct: ["A"],
      explanation: { en: "Always Encrypted with secure enclaves helps keep sensitive data protected from database administrators while still enabling richer operations on encrypted columns. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Always Encrypted mit sicheren Enclaves trägt dazu bei, sensible Daten vor Datenbankadministratoren zu schützen und dennoch umfangreichere Operationen auf verschlüsselten Spalten zu ermöglichen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the SQL feature that protects plaintext from privileged operators while supporting selected computations.", de: "Wählen Sie die SQL-Funktion, die Klartext vor privilegierten Betreibern schützt und zugleich ausgewählte Berechnungen unterstützt." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-sql/database/security-overview"
    },
    {
      id: "sc100-205",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Azure Storage feature keeps previous versions of blobs so administrators can recover from accidental or malicious overwrites?", de: "Welche Azure-Storage-Funktion behält frühere Versionen von Blobs bei, sodass Administratoren versehentliche oder böswillige Überschreibungen rückgängig machen können?" },
      options: [
        { id: "A", text: { en: "Blob versioning", de: "Blob-Versionierung" } },
        { id: "B", text: { en: "Anonymous public access", de: "Anonymer öffentlicher Zugriff" } },
        { id: "C", text: { en: "Lifecycle deletion rules only", de: "Nur Lebenszyklus-Löschregeln" } },
        { id: "D", text: { en: "Storage account keys", de: "Speicherkonto-Schlüssel" } }
      ],
      correct: ["A"],
      explanation: { en: "Blob versioning preserves earlier states of blob data and supports recovery from overwrite or deletion events. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Die Blob-Versionierung bewahrt frühere Zustände von Blob-Daten auf und unterstützt die Wiederherstellung nach Überschreibungs- oder Löschereignissen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the feature that preserves historical blob states, not one that broadens access.", de: "Wählen Sie die Funktion, die historische Blob-Zustände erhält, und nicht diejenige, die den Zugriff erweitert." },
      reference: "https://learn.microsoft.com/en-us/azure/storage/blobs/versioning-overview"
    },
    {
      id: "sc100-206",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design choices best harden an enterprise Azure Key Vault deployment used by many applications?", de: "Welche ZWEI Designentscheidungen härten eine unternehmensweite Azure-Key-Vault-Bereitstellung, die von vielen Anwendungen genutzt wird, am besten ab?" },
      options: [
        { id: "A", text: { en: "Use private endpoints and restrict public network access", de: "Private Endpunkte verwenden und öffentlichen Netzwerkzugriff einschränken" } },
        { id: "B", text: { en: "Use Azure RBAC with least-privilege role assignments", de: "Azure RBAC mit Rollenzuweisungen nach dem Least-Privilege-Prinzip verwenden" } },
        { id: "C", text: { en: "Grant every developer the Key Vault Administrator role", de: "Jedem Entwickler die Rolle Key Vault Administrator zuweisen" } },
        { id: "D", text: { en: "Store copies of secrets in pipeline variables for convenience", de: "Der Einfachheit halber Kopien der Geheimnisse in Pipeline-Variablen speichern" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Private connectivity reduces vault exposure, and least-privilege RBAC helps separate duties and limit administrative reach. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Private Konnektivität reduziert die Exponierung des Vaults, und RBAC nach dem Least-Privilege-Prinzip hilft bei der Funktionstrennung und begrenzt administrative Reichweite. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for network isolation and one for authorization hygiene.", de: "Wählen Sie eine Antwort für Netzwerkisolierung und eine für saubere Autorisierung." },
      reference: "https://learn.microsoft.com/en-us/azure/key-vault/general/security-features"
    },
    {
      id: "sc100-207",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: { en: "Woodgrove Bank stores data in Microsoft 365, Azure SQL Database, and Azure Storage. Before enabling new AI and analytics workloads, security architects need a governed inventory of sensitive data, classifications, and lineage across sources.", de: "Woodgrove Bank speichert Daten in Microsoft 365, Azure SQL Database und Azure Storage. Bevor neue KI- und Analyse-Workloads aktiviert werden, benötigen Sicherheitsarchitekten ein governetes Inventar sensibler Daten, Klassifizierungen und Lineage über die Quellen hinweg." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Purview data map, scans, and classification insights", de: "Microsoft Purview Data Map, Scans und Klassifizierungseinblicke verwenden" } },
        { id: "B", text: { en: "Export CSV inventories from each platform once per year", de: "Einmal pro Jahr CSV-Inventare aus jeder Plattform exportieren" } },
        { id: "C", text: { en: "Depend only on storage account tags to identify sensitive data", de: "Sich ausschließlich auf Tags von Speicherkonten verlassen, um sensible Daten zu identifizieren" } },
        { id: "D", text: { en: "Build a manual spreadsheet of database names and file shares", de: "Eine manuelle Tabelle mit Datenbanknamen und Dateifreigaben erstellen" } }
      ],
      correct: ["A"],
      explanation: { en: "Purview is designed to scan sources, build a governed metadata map, and surface classifications and lineage for enterprise data governance decisions. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Purview ist darauf ausgelegt, Quellen zu scannen, eine governete Metadatenkarte aufzubauen und Klassifizierungen sowie Lineage für Entscheidungen der Unternehmensdaten-Governance sichtbar zu machen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the platform built for discovery, classification, and lineage across data estates.", de: "Wählen Sie die Plattform, die für Erkennung, Klassifizierung und Lineage über Datenlandschaften hinweg entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/purview/data-map"
    },
    {
      id: "sc100-208",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which managed identity type is best when several Azure resources need the same identity lifecycle and permissions independent of the individual resource instances?", de: "Welcher Typ verwalteter Identität ist am besten geeignet, wenn mehrere Azure-Ressourcen denselben Identitätslebenszyklus und dieselben Berechtigungen unabhängig von den einzelnen Ressourceninstanzen benötigen?" },
      options: [
        { id: "A", text: { en: "User-assigned managed identity", de: "Benutzerseitig zugewiesene verwaltete Identität" } },
        { id: "B", text: { en: "System-assigned managed identity on each resource", de: "Systemseitig zugewiesene verwaltete Identität auf jeder Ressource" } },
        { id: "C", text: { en: "Shared local administrator account", de: "Gemeinsam genutztes lokales Administratorkonto" } },
        { id: "D", text: { en: "Shared access signature", de: "Shared Access Signature" } }
      ],
      correct: ["A"],
      explanation: { en: "A user-assigned managed identity can be attached to multiple resources and managed independently, which simplifies shared permission and lifecycle scenarios. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Eine benutzerseitig zugewiesene verwaltete Identität kann mehreren Ressourcen zugeordnet und unabhängig verwaltet werden, was gemeinsame Berechtigungs- und Lebenszyklusszenarien vereinfacht. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the identity that is reusable across resources instead of being tied to only one instance.", de: "Wählen Sie die Identität, die über mehrere Ressourcen hinweg wiederverwendbar ist, statt nur an eine Instanz gebunden zu sein." },
      reference: "https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview"
    },
    {
      id: "sc100-209",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "What is the main purpose of Microsoft Purview sensitivity labels?", de: "Was ist der Hauptzweck von Microsoft Purview-Vertraulichkeitsbezeichnungen?" },
      options: [
        { id: "A", text: { en: "Classify and protect content with markings, encryption, and usage controls", de: "Inhalte mit Kennzeichnungen, Verschlüsselung und Nutzungssteuerungen klassifizieren und schützen" } },
        { id: "B", text: { en: "Replace multifactor authentication", de: "Multi-Faktor-Authentifizierung ersetzen" } },
        { id: "C", text: { en: "Provide network routing between virtual networks", de: "Netzwerkrouting zwischen virtuellen Netzwerken bereitstellen" } },
        { id: "D", text: { en: "Patch operating systems automatically", de: "Betriebssysteme automatisch patchen" } }
      ],
      correct: ["A"],
      explanation: { en: "Sensitivity labels help organizations classify content and apply persistent protection such as encryption, markings, and usage restrictions. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Vertraulichkeitsbezeichnungen helfen Organisationen dabei, Inhalte zu klassifizieren und dauerhaften Schutz wie Verschlüsselung, Kennzeichnungen und Nutzungsbeschränkungen anzuwenden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think about content governance and protection, not identity or networking.", de: "Denken Sie an Content-Governance und Schutz, nicht an Identität oder Netzwerke." },
      reference: "https://learn.microsoft.com/en-us/purview/sensitivity-labels"
    },
    {
      id: "sc100-210",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: { en: "Woodgrove Bank and partner banks want to run joint fraud analysis in Azure without exposing raw customer data to each other or to cloud operators. They require hardware-based protection for data while it is being processed.", de: "Woodgrove Bank und Partnerbanken möchten in Azure eine gemeinsame Betrugsanalyse durchführen, ohne Rohkundendaten gegenseitig oder gegenüber Cloud-Betreibern offenzulegen. Sie verlangen hardwarebasierte Absicherung für Daten während der Verarbeitung." },
      question: { en: "Which design best meets the requirement?", de: "Welches Design erfüllt die Anforderung am besten?" },
      options: [
        { id: "A", text: { en: "Use Azure confidential computing with attestation for the processing environment", de: "Azure Confidential Computing mit Attestierung für die Verarbeitungsumgebung verwenden" } },
        { id: "B", text: { en: "Use only disk encryption and assume data in memory is already protected", de: "Nur Datenträgerverschlüsselung verwenden und annehmen, dass Daten im Arbeitsspeicher bereits geschützt sind" } },
        { id: "C", text: { en: "Send each bank's data to a shared storage account and trust RBAC alone", de: "Die Daten jeder Bank an ein gemeinsames Speicherkonto senden und sich allein auf RBAC verlassen" } },
        { id: "D", text: { en: "Export data to on-premises laptops for offline comparison", de: "Daten zur Offline-Auswertung auf lokale Laptops exportieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Confidential computing protects data in use inside hardware-backed trusted execution environments and supports attestation of the runtime environment. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Confidential Computing schützt Daten während der Nutzung in hardwaregestützten vertrauenswürdigen Ausführungsumgebungen und unterstützt die Attestierung der Laufzeitumgebung. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the design that explicitly protects data in use, not just data at rest or in transit.", de: "Wählen Sie das Design, das explizit Daten während der Nutzung schützt und nicht nur ruhende oder übertragene Daten." },
      reference: "https://learn.microsoft.com/en-us/azure/confidential-computing/overview"
    },
    {
      id: "sc100-211",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO Azure API Management controls most directly reduce API abuse before traffic reaches backend services?", de: "Welche ZWEI Kontrollen von Azure API Management reduzieren API-Missbrauch am direktesten, bevor der Datenverkehr die Backend-Dienste erreicht?" },
      options: [
        { id: "A", text: { en: "Validate access tokens or JWTs at the gateway", de: "Zugriffstoken oder JWTs am Gateway validieren" } },
        { id: "B", text: { en: "Apply rate limits or quotas per caller", de: "Ratenbegrenzungen oder Kontingente pro Aufrufer anwenden" } },
        { id: "C", text: { en: "Expose backend services directly to the internet", de: "Backend-Dienste direkt im Internet bereitstellen" } },
        { id: "D", text: { en: "Disable authentication to reduce latency", de: "Authentifizierung deaktivieren, um die Latenz zu verringern" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Gateway token validation and caller-based throttling are core API security controls that stop abusive or unauthorized traffic before it reaches backend services. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Tokenvalidierung am Gateway und aufruferbasierte Drosselung sind zentrale API-Sicherheitskontrollen, die missbräuchlichen oder unbefugten Datenverkehr stoppen, bevor er Backend-Dienste erreicht. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for authentication enforcement and one for traffic governance.", de: "Wählen Sie eine Antwort für Authentifizierungsdurchsetzung und eine für Verkehrs-Governance." },
      reference: "https://learn.microsoft.com/en-us/azure/api-management/api-management-policies"
    },
    {
      id: "sc100-212",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which authentication design best removes database passwords from an Azure App Service that connects to Azure SQL Database?", de: "Welches Authentifizierungsdesign entfernt Datenbankkennwörter am besten aus einem Azure App Service, der eine Verbindung mit Azure SQL Database herstellt?" },
      options: [
        { id: "A", text: { en: "Microsoft Entra authentication for Azure SQL with the app's managed identity", de: "Microsoft-Entra-Authentifizierung für Azure SQL mit der verwalteten Identität der App" } },
        { id: "B", text: { en: "A shared SQL login copied from Key Vault into configuration at startup", de: "Eine gemeinsam genutzte SQL-Anmeldung, die beim Start aus Key Vault in die Konfiguration kopiert wird" } },
        { id: "C", text: { en: "SQL authentication with one password reused by all apps", de: "SQL-Authentifizierung mit einem Kennwort, das von allen Apps wiederverwendet wird" } },
        { id: "D", text: { en: "Anonymous database access over a private endpoint", de: "Anonymer Datenbankzugriff über einen privaten Endpunkt" } }
      ],
      correct: ["A"],
      explanation: { en: "Microsoft Entra authentication with a managed identity removes stored database passwords from the application tier and aligns SQL access with identity-based controls. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Die Microsoft-Entra-Authentifizierung mit einer verwalteten Identität entfernt gespeicherte Datenbankkennwörter aus der Anwendungsebene und richtet den SQL-Zugriff an identitätsbasierten Kontrollen aus. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Prefer passwordless database access tied to the app identity.", de: "Bevorzugen Sie kennwortlosen Datenbankzugriff, der an die App-Identität gebunden ist." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-sql/database/authentication-microsoft-entra-connect-to-azure-sql"
    },
    {
      id: "sc100-213",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: { en: "The team at Litware, Inc. builds an Azure Functions app that writes to Storage and reads from Service Bus. Developers want the platform to create connections quickly and avoid storing secrets in application settings.", de: "Das Team von Litware, Inc. entwickelt eine Azure-Functions-App, die in Storage schreibt und aus Service Bus liest. Die Entwickler möchten, dass die Plattform Verbindungen schnell erstellt und keine Geheimnisse in Anwendungseinstellungen gespeichert werden." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Service Connector with managed identities for the target services", de: "Service Connector mit verwalteten Identitäten für die Zieldienste verwenden" } },
        { id: "B", text: { en: "Save connection strings in a shared wiki and paste them into each app", de: "Verbindungszeichenfolgen in einem gemeinsamen Wiki speichern und in jede App einfügen" } },
        { id: "C", text: { en: "Create one storage account key and reuse it across all services", de: "Einen Speicherkontoschlüssel erstellen und über alle Dienste hinweg wiederverwenden" } },
        { id: "D", text: { en: "Put the secrets in source control because the repository is private", de: "Die Geheimnisse in der Quellcodeverwaltung speichern, weil das Repository privat ist" } }
      ],
      correct: ["A"],
      explanation: { en: "Service Connector can provision app-to-service connectivity and use managed identities so the workload avoids storing connection secrets. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Service Connector kann App-zu-Dienst-Konnektivität bereitstellen und verwaltete Identitäten verwenden, sodass der Workload keine Verbindungsgeheimnisse speichern muss. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the secretless connection pattern built into Azure.", de: "Wählen Sie das in Azure integrierte, geheimnisfreie Verbindungsmuster." },
      reference: "https://learn.microsoft.com/en-us/azure/service-connector/overview"
    },
    {
      id: "sc100-214",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "An active-active application runs in two Azure regions and must retrieve secrets locally during a regional disruption without exposing Key Vault publicly. Which architecture is best?", de: "Eine Active-Active-Anwendung läuft in zwei Azure-Regionen und muss Geheimnisse während einer regionalen Störung lokal abrufen können, ohne Key Vault öffentlich bereitzustellen. Welche Architektur ist am besten geeignet?" },
      options: [
        { id: "A", text: { en: "Deploy regional Key Vault instances, synchronize secret material through automation, and access them through private endpoints and managed identities", de: "Regionale Key-Vault-Instanzen bereitstellen, Geheimnismaterial per Automatisierung synchronisieren und über private Endpunkte sowie verwaltete Identitäten darauf zugreifen" } },
        { id: "B", text: { en: "Use one public Key Vault in a single region for all applications", de: "Einen öffentlichen Key Vault in einer einzelnen Region für alle Anwendungen verwenden" } },
        { id: "C", text: { en: "Copy secrets into each application's local configuration files", de: "Geheimnisse in lokale Konfigurationsdateien jeder Anwendung kopieren" } },
        { id: "D", text: { en: "Email certificates to teams when failover occurs", de: "Zertifikate per E-Mail an Teams senden, wenn ein Failover auftritt" } }
      ],
      correct: ["A"],
      explanation: { en: "Regional vaults with automated synchronization support resiliency, and managed identities plus private endpoints keep secret retrieval private and credential-free. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Regionale Vaults mit automatisierter Synchronisierung unterstützen Resilienz, und verwaltete Identitäten sowie private Endpunkte halten den Geheimnisabruf privat und frei von Anmeldeinformationen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Prefer resilient regional secret stores with private access over a single public dependency.", de: "Bevorzugen Sie resiliente regionale Geheimnisspeicher mit privatem Zugriff statt einer einzelnen öffentlichen Abhängigkeit." },
      reference: "https://learn.microsoft.com/en-us/azure/key-vault/general/disaster-recovery-guidance"
    },
    {
      id: "sc100-215",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which storage encryption design should architects use when the organization wants centralized control and rotation of the keys protecting data at rest?", de: "Welches Storage-Verschlüsselungsdesign sollten Architekten verwenden, wenn die Organisation zentrale Kontrolle und Rotation der Schlüssel wünscht, die ruhende Daten schützen?" },
      options: [
        { id: "A", text: { en: "Customer-managed keys stored in Azure Key Vault or Managed HSM", de: "Kundenseitig verwaltete Schlüssel, die in Azure Key Vault oder Managed HSM gespeichert sind" } },
        { id: "B", text: { en: "Shared access signatures", de: "Shared Access Signatures" } },
        { id: "C", text: { en: "Azure Policy exemptions", de: "Azure-Policy-Ausnahmen" } },
        { id: "D", text: { en: "Anonymous blob access", de: "Anonymer Blob-Zugriff" } }
      ],
      correct: ["A"],
      explanation: { en: "Customer-managed keys give the organization control over key lifecycle, access, and rotation for storage encryption at rest. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Kundenseitig verwaltete Schlüssel geben der Organisation Kontrolle über Lebenszyklus, Zugriff und Rotation der Schlüssel für die Storage-Verschlüsselung ruhender Daten. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the option that changes who controls the encryption keys, not who accesses the blobs.", de: "Wählen Sie die Option, die ändert, wer die Verschlüsselungsschlüssel kontrolliert, nicht wer auf Blobs zugreift." },
      reference: "https://learn.microsoft.com/en-us/azure/storage/common/customer-managed-keys-overview"
    },
    {
      id: "sc100-216",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO Microsoft Purview capabilities together best help classify sensitive content automatically and stop that content from leaving Microsoft 365 through email or Teams?", de: "Welche ZWEI Microsoft-Purview-Funktionen helfen zusammen am besten dabei, sensible Inhalte automatisch zu klassifizieren und zu verhindern, dass diese Inhalte Microsoft 365 über E-Mail oder Teams verlassen?" },
      options: [
        { id: "A", text: { en: "Auto-labeling with sensitivity labels", de: "Auto-Labeling mit Vertraulichkeitsbezeichnungen" } },
        { id: "B", text: { en: "Data Loss Prevention policies", de: "Data-Loss-Prevention-Richtlinien" } },
        { id: "C", text: { en: "Route tables", de: "Routentabellen" } },
        { id: "D", text: { en: "Azure Bastion", de: "Azure Bastion" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Auto-labeling scales classification and persistent protection, while DLP enforces sharing controls to reduce exfiltration through collaboration channels. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Auto-Labeling skaliert Klassifizierung und dauerhaften Schutz, während DLP Freigabekontrollen durchsetzt, um Datenabfluss über Kollaborationskanäle zu reduzieren. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for automatic classification and one for exfiltration prevention.", de: "Wählen Sie eine Antwort für automatische Klassifizierung und eine für die Verhinderung von Datenabfluss." },
      reference: "https://learn.microsoft.com/en-us/purview/dlp-learn-about-dlp"
    },
    {
      id: "sc100-217",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Humongous Insurance, a document distribution platform stores contracts in Azure Blob Storage. Requirements include no public internet access, short-lived partner downloads, alerting on suspicious access, and recovery from malicious deletion.", de: "Bei Humongous Insurance speichert eine Plattform zur Dokumentverteilung Verträge in Azure Blob Storage. Zu den Anforderungen gehören kein öffentlicher Internetzugriff, kurzlebige Partnerdownloads, Warnungen bei verdächtigem Zugriff und Wiederherstellung nach böswilligem Löschen." },
      question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
      options: [
        { id: "A", text: { en: "Use private endpoints, user delegation SAS with short expiry, Defender for Storage, and blob soft delete or versioning", de: "Private Endpunkte, User-Delegation-SAS mit kurzer Ablaufzeit, Defender for Storage und Blob-Soft-Delete oder Versionierung verwenden" } },
        { id: "B", text: { en: "Publish the storage account publicly and rotate account keys every year", de: "Das Speicherkonto öffentlich bereitstellen und Kontoschlüssel jährlich rotieren" } },
        { id: "C", text: { en: "Email files as encrypted ZIP archives from administrator mailboxes", de: "Dateien als verschlüsselte ZIP-Archive aus Administratorpostfächern per E-Mail versenden" } },
        { id: "D", text: { en: "Store all contracts in one public container with IP filtering only", de: "Alle Verträge in einem öffentlichen Container speichern und sich nur auf IP-Filterung verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "This design combines private network access, least-privilege temporary sharing, threat detection, and recovery controls for blob data. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Dieses Design kombiniert privaten Netzwerkzugriff, Least-Privilege-Weitergabe auf Zeit, Bedrohungserkennung und Wiederherstellungskontrollen für Blob-Daten. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the answer that addresses private access, temporary sharing, detection, and recovery together.", de: "Wählen Sie die Antwort, die privaten Zugriff, temporäre Freigabe, Erkennung und Wiederherstellung gemeinsam adressiert." },
      reference: "https://learn.microsoft.com/en-us/azure/storage/blobs/security-recommendations"
    },
    {
      id: "sc100-218",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Azure Storage setting requires clients to use encrypted connections instead of plain HTTP?", de: "Welche Azure-Storage-Einstellung verlangt von Clients, verschlüsselte Verbindungen anstelle von einfachem HTTP zu verwenden?" },
      options: [
        { id: "A", text: { en: "Secure transfer required", de: "Sicherer Transfer erforderlich" } },
        { id: "B", text: { en: "Blob inventory", de: "Blob-Inventur" } },
        { id: "C", text: { en: "Cross-region replication", de: "Regionsübergreifende Replikation" } },
        { id: "D", text: { en: "Lifecycle management", de: "Lebenszyklusverwaltung" } }
      ],
      correct: ["A"],
      explanation: { en: "Secure transfer required rejects insecure requests and enforces encrypted transport to Azure Storage. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Die Einstellung Sicherer Transfer erforderlich weist unsichere Anforderungen zurück und erzwingt verschlüsselten Transport zu Azure Storage. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the property that blocks HTTP access to the storage account.", de: "Wählen Sie die Eigenschaft, die HTTP-Zugriff auf das Speicherkonto blockiert." },
      reference: "https://learn.microsoft.com/en-us/azure/storage/common/storage-require-secure-transfer"
    },
    {
      id: "sc100-219",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What is the main security benefit of using Azure Service Connector together with managed identities?", de: "Was ist der wichtigste Sicherheitsvorteil bei der gemeinsamen Nutzung von Azure Service Connector und verwalteten Identitäten?" },
      options: [
        { id: "A", text: { en: "Applications can reach target services without embedding long-lived secrets in code or settings", de: "Anwendungen können Zieldienste erreichen, ohne langlebige Geheimnisse in Code oder Einstellungen einzubetten" } },
        { id: "B", text: { en: "All network traffic becomes anonymous", de: "Der gesamte Netzwerkverkehr wird anonym" } },
        { id: "C", text: { en: "Database administrators automatically gain owner access", de: "Datenbankadministratoren erhalten automatisch Besitzerzugriff" } },
        { id: "D", text: { en: "It replaces the need for RBAC", de: "Es ersetzt die Notwendigkeit von RBAC" } }
      ],
      correct: ["A"],
      explanation: { en: "Service Connector plus managed identities helps remove hard-coded credentials and manual secret distribution from application connectivity patterns. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Service Connector zusammen mit verwalteten Identitäten hilft dabei, hart codierte Anmeldeinformationen und die manuelle Verteilung von Geheimnissen aus Verbindungsmustern von Anwendungen zu entfernen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Focus on what happens to connection secrets, not on network anonymity.", de: "Konzentrieren Sie sich darauf, was mit Verbindungsgeheimnissen geschieht, nicht auf Netzwerkanonymität." },
      reference: "https://learn.microsoft.com/en-us/azure/service-connector/overview"
    },
    {
      id: "sc100-220",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "For AKS workloads that need Azure tokens without node-level secrets and must support OpenID Connect-based federation, which identity pattern should architects prefer?", de: "Welches Identitätsmuster sollten Architekten für AKS-Workloads bevorzugen, die Azure-Token ohne Geheimnisse auf Knotenebene benötigen und eine auf OpenID Connect basierende Föderation unterstützen müssen?" },
      options: [
        { id: "A", text: { en: "Microsoft Entra Workload ID", de: "Microsoft Entra Workload ID" } },
        { id: "B", text: { en: "One shared kubeconfig file with stored client secrets", de: "Eine gemeinsam genutzte kubeconfig-Datei mit gespeicherten Client-Geheimnissen" } },
        { id: "C", text: { en: "Storage account access keys mounted as Kubernetes secrets", de: "Als Kubernetes-Secrets eingebundene Speicherkonto-Zugriffsschlüssel" } },
        { id: "D", text: { en: "Static service principal passwords copied into every namespace", de: "Statische Kennwörter von Dienstprinzipalen, die in jeden Namespace kopiert werden" } }
      ],
      correct: ["A"],
      explanation: { en: "Microsoft Entra Workload ID provides secretless pod-to-Azure authentication by federating Kubernetes service accounts with Microsoft Entra ID. The other options either miss a stated requirement, leave unnecessary exposure, or do not provide the needed security capability at the required scope.", de: "Microsoft Entra Workload ID ermöglicht geheimnisfreie Pod-zu-Azure-Authentifizierung, indem Kubernetes-Servicekonten mit Microsoft Entra ID föderiert werden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the AKS pattern that uses OIDC federation instead of stored Kubernetes secrets.", de: "Wählen Sie das AKS-Muster, das OIDC-Föderation anstelle gespeicherter Kubernetes-Secrets verwendet." },
      reference: "https://learn.microsoft.com/en-us/azure/aks/workload-identity-overview"
    }
  ];
  if (window.ExamData && window.ExamData['sc-100']) {
    window.ExamData['sc-100'].questions = window.ExamData['sc-100'].questions.concat(extra);
  }
})();
