window.ExamData = window.ExamData || {};
window.ExamData['sc-300'] = {
  meta: {
    id: 'sc-300',
    title: {
      en: 'Microsoft Identity and Access Administrator',
      de: 'Microsoft Identitäts- und Zugriffsadministrator'
    },
    description: {
      en: 'This exam measures your ability to implement and manage identities, authentication, access management, and identity governance using Microsoft Entra.',
      de: 'Diese Prüfung misst Ihre Fähigkeit, Identitäten, Authentifizierung, Zugriffsverwaltung und Identity Governance mit Microsoft Entra zu implementieren und zu verwalten.'
    },
    icon: '🔑',
    level: 'associate',
    passingScore: 700,
    totalTime: 120,
    questionCount: '40-60',
    msLearnUrl: 'https://learn.microsoft.com/en-us/certifications/exams/sc-300/',
    domains: [
      {
        name: {
          en: 'Implement and Manage Identities',
          de: 'Identitäten implementieren und verwalten'
        },
        weight: '25-30%'
      },
      {
        name: {
          en: 'Implement Authentication and Access Management',
          de: 'Authentifizierung und Zugriffsverwaltung implementieren'
        },
        weight: '25-30%'
      },
      {
        name: {
          en: 'Implement Access Management for Applications',
          de: 'Zugriffsverwaltung für Anwendungen implementieren'
        },
        weight: '15-20%'
      },
      {
        name: {
          en: 'Plan and Implement Identity Governance',
          de: 'Identity Governance planen und implementieren'
        },
        weight: '25-30%'
      }
    ]
  },
  questions: [
    {
      id: 'sc300-001', type: 'single',
      domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'You need all users whose department attribute equals Sales to be added automatically to a group. What should you use?',
        de: 'Sie müssen alle Benutzer, deren Attribut Abteilung den Wert Vertrieb hat, automatisch zu einer Gruppe hinzufügen. Was sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'An assigned security group', de: 'Eine zugewiesene Sicherheitsgruppe' } },
        { id: 'B', text: { en: 'A dynamic membership rule', de: 'Eine Regel für dynamische Mitgliedschaft' } },
        { id: 'C', text: { en: 'An administrative unit', de: 'Eine administrative Einheit' } },
        { id: 'D', text: { en: 'An access package', de: 'Ein Zugriffspaket' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Dynamic groups evaluate user or device attributes and update membership automatically. An assigned group requires manual maintenance, an administrative unit scopes administration, and an access package is for governed access requests rather than attribute-based grouping.',
        de: 'Dynamische Gruppen werten Benutzer- oder Geräteattribute aus und aktualisieren die Mitgliedschaft automatisch. Eine zugewiesene Gruppe muss manuell gepflegt werden, eine administrative Einheit dient der Delegation von Verwaltung, und ein Zugriffspaket ist für geregelte Zugriffsanforderungen gedacht, nicht für attributbasierte Gruppierung.'
      },
      hint: {
        en: 'Look for the feature that uses directory attributes and rules instead of manual membership updates.',
        de: 'Suchen Sie nach der Funktion, die Verzeichnisattribute und Regeln statt manueller Mitgliedschaftsänderungen verwendet.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/users/groups-dynamic-membership'
    },
    {
      id: 'sc300-002', type: 'single',
      domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' }, difficulty: 'medium',
      scenario: {
        en: 'Woodgrove Bank uses on-premises Active Directory Domain Services and wants the same user identities in Microsoft Entra ID. Password hashes and groups must be synchronized to the cloud.',
        de: 'Woodgrove Bank verwendet lokale Active Directory Domain Services und möchte dieselben Benutzeridentitäten in Microsoft Entra ID nutzen. Kennworthashes und Gruppen müssen in die Cloud synchronisiert werden.'
      },
      question: {
        en: 'Which solution should you deploy?',
        de: 'Welche Lösung sollten Sie bereitstellen?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra Connect Sync', de: 'Microsoft Entra Connect Sync' } },
        { id: 'B', text: { en: 'Microsoft Entra Application Proxy', de: 'Microsoft Entra Application Proxy' } },
        { id: 'C', text: { en: 'Privileged Identity Management', de: 'Privileged Identity Management' } },
        { id: 'D', text: { en: 'Entitlement management', de: 'Entitlement Management' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Entra Connect Sync is the hybrid identity solution used to synchronize users, groups, and password hashes from on-premises Active Directory to Microsoft Entra ID. Application Proxy publishes on-premises apps, PIM governs privileged roles, and entitlement management handles access packages.',
        de: 'Microsoft Entra Connect Sync ist die Hybrididentitätslösung, mit der Benutzer, Gruppen und Kennworthashes aus lokalem Active Directory nach Microsoft Entra ID synchronisiert werden. Application Proxy veröffentlicht lokale Anwendungen, PIM verwaltet privilegierte Rollen, und Entitlement Management steuert Zugriffspakete.'
      },
      hint: {
        en: 'Choose the hybrid identity synchronization tool, not an access governance or application publishing feature.',
        de: 'Wählen Sie das Tool für die Hybrididentitätssynchronisierung und keine Funktion für Zugriffsgovernance oder Anwendungsveröffentlichung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-azure-ad-connect'
    },
    {
      id: 'sc300-003', type: 'single',
      domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'You want to invite a partner from another organization to access your internal applications while the partner keeps using their own identity. Which external identity model fits best?',
        de: 'Sie möchten einen Partner aus einer anderen Organisation einladen, damit er auf Ihre internen Anwendungen zugreifen kann, während er weiterhin seine eigene Identität verwendet. Welches Modell für externe Identitäten passt am besten?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra ID B2B collaboration', de: 'Microsoft Entra ID B2B-Zusammenarbeit' } },
        { id: 'B', text: { en: 'Microsoft Entra ID B2C', de: 'Microsoft Entra ID B2C' } },
        { id: 'C', text: { en: 'Managed identity', de: 'Verwaltete Identität' } },
        { id: 'D', text: { en: 'Password hash synchronization', de: 'Kennworthashsynchronisierung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'B2B collaboration is designed for guest users such as partners, vendors, and suppliers who need access to your tenant resources while using their home organization credentials. B2C is aimed at consumer-facing applications rather than partner collaboration.',
        de: 'Die B2B-Zusammenarbeit ist für Gastbenutzer wie Partner, Lieferanten und Dienstleister ausgelegt, die mit den Anmeldeinformationen ihrer Heimorganisation auf Ressourcen in Ihrem Mandanten zugreifen sollen. B2C ist dagegen für kundenorientierte Anwendungen gedacht, nicht für die Zusammenarbeit mit Partnern.'
      },
      hint: {
        en: 'Think of business partners accessing your tenant, not consumer identities for a public app.',
        de: 'Denken Sie an Geschäftspartner, die auf Ihren Mandanten zugreifen, nicht an Verbraucheridentitäten für eine öffentliche Anwendung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/external-id/what-is-b2b'
    },
    {
      id: 'sc300-004', type: 'single',
      domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which log should you review to see who changed group membership or modified a Conditional Access policy?',
        de: 'Welches Protokoll sollten Sie prüfen, um zu sehen, wer eine Gruppenmitgliedschaft geändert oder eine Richtlinie für bedingten Zugriff angepasst hat?'
      },
      options: [
        { id: 'A', text: { en: 'Sign-in logs', de: 'Anmeldeprotokolle' } },
        { id: 'B', text: { en: 'Provisioning logs', de: 'Bereitstellungsprotokolle' } },
        { id: 'C', text: { en: 'Audit logs', de: 'Überwachungsprotokolle' } },
        { id: 'D', text: { en: 'Risk detections', de: 'Risikoerkennungen' } }
      ],
      correct: ['C'],
      explanation: {
        en: 'Audit logs record configuration and administrative changes such as updates to users, groups, applications, and policies. Sign-in logs show authentication events, provisioning logs track provisioning operations, and risk detections come from Identity Protection analysis.',
        de: 'Überwachungsprotokolle erfassen Konfigurations- und Verwaltungsänderungen wie Aktualisierungen an Benutzern, Gruppen, Anwendungen und Richtlinien. Anmeldeprotokolle zeigen Authentifizierungsereignisse, Bereitstellungsprotokolle verfolgen Bereitstellungsvorgänge, und Risikoerkennungen stammen aus der Analyse von Identity Protection.'
      },
      hint: {
        en: 'The question asks about configuration changes, not user sign-ins.',
        de: 'Gefragt sind Konfigurationsänderungen, nicht Benutzeranmeldungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-audit-logs'
    },
    {
      id: 'sc300-005', type: 'single',
      domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' }, difficulty: 'medium',
      scenario: {
        en: 'Litware, Inc. wants to synchronize only users from specific organizational units in on-premises Active Directory to Microsoft Entra ID.',
        de: 'Litware, Inc. möchte nur Benutzer aus bestimmten Organisationseinheiten im lokalen Active Directory nach Microsoft Entra ID synchronisieren.'
      },
      question: {
        en: 'What should you configure?',
        de: 'Was sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'OU-based filtering in Microsoft Entra Connect Sync', de: 'OU-basierte Filterung in Microsoft Entra Connect Sync' } },
        { id: 'B', text: { en: 'Passwordless authentication', de: 'Kennwortlose Authentifizierung' } },
        { id: 'C', text: { en: 'Authentication strengths', de: 'Authentifizierungsstärken' } },
        { id: 'D', text: { en: 'Terms of Use', de: 'Nutzungsbedingungen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Entra Connect Sync supports filtering so that only selected organizational units are synchronized. The other options relate to authentication or governance and do not control which on-premises directory objects are synced.',
        de: 'Microsoft Entra Connect Sync unterstützt eine Filterung, sodass nur ausgewählte Organisationseinheiten synchronisiert werden. Die anderen Optionen betreffen Authentifizierung oder Governance und steuern nicht, welche lokalen Verzeichnisobjekte synchronisiert werden.'
      },
      hint: {
        en: 'This is a synchronization scope question, so focus on filtering in the hybrid identity tool.',
        de: 'Dies ist eine Frage zum Synchronisierungsumfang. Konzentrieren Sie sich daher auf die Filterung im Hybrididentitätstool.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sync-configure-filtering'
    },
    {
      id: 'sc300-006', type: 'multiple',
      domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' }, difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which object types can be members of an administrative unit? (Choose all that apply.)',
        de: 'Welche Objekttypen können Mitglieder einer administrativen Einheit sein? (Wählen Sie alle zutreffenden Antworten aus.)'
      },
      options: [
        { id: 'A', text: { en: 'Users', de: 'Benutzer' } },
        { id: 'B', text: { en: 'Groups', de: 'Gruppen' } },
        { id: 'C', text: { en: 'Devices', de: 'Geräte' } },
        { id: 'D', text: { en: 'Conditional Access policies', de: 'Richtlinien für bedingten Zugriff' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Administrative units are used to scope administration over subsets of directory objects, including users, groups, and devices. Conditional Access policies are tenant-level policy objects and are not members of administrative units.',
        de: 'Administrative Einheiten werden verwendet, um die Verwaltung auf Teilmengen von Verzeichnisobjekten zu beschränken, darunter Benutzer, Gruppen und Geräte. Richtlinien für bedingten Zugriff sind mandantenweite Richtlinienobjekte und keine Mitglieder administrativer Einheiten.'
      },
      hint: {
        en: 'Administrative units scope delegated administration for directory objects, not policy artifacts.',
        de: 'Administrative Einheiten begrenzen delegierte Verwaltung für Verzeichnisobjekte, nicht für Richtlinienartefakte.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units'
    },
    {
      id: 'sc300-007', type: 'single',
      domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which group type provides a shared mailbox, calendar, Planner, and SharePoint site for team collaboration?',
        de: 'Welcher Gruppentyp stellt für die Teamzusammenarbeit ein gemeinsames Postfach, einen Kalender, Planner und eine SharePoint-Website bereit?'
      },
      options: [
        { id: 'A', text: { en: 'Security group', de: 'Sicherheitsgruppe' } },
        { id: 'B', text: { en: 'Mail-enabled security group', de: 'E-Mail-aktivierte Sicherheitsgruppe' } },
        { id: 'C', text: { en: 'Microsoft 365 group', de: 'Microsoft 365-Gruppe' } },
        { id: 'D', text: { en: 'Administrative unit', de: 'Administrative Einheit' } }
      ],
      correct: ['C'],
      explanation: {
        en: 'Microsoft 365 groups are collaboration-centric and create shared resources such as a mailbox, calendar, Planner plan, and SharePoint site. Security groups are primarily for access control and do not automatically provision the same collaboration workloads.',
        de: 'Microsoft 365-Gruppen sind auf Zusammenarbeit ausgerichtet und erstellen gemeinsame Ressourcen wie ein Postfach, einen Kalender, einen Planner-Plan und eine SharePoint-Website. Sicherheitsgruppen dienen in erster Linie der Zugriffssteuerung und stellen diese Zusammenarbeitsdienste nicht automatisch bereit.'
      },
      hint: {
        en: 'Choose the group type tied to Microsoft 365 collaboration services.',
        de: 'Wählen Sie den Gruppentyp, der mit den Zusammenarbeitsdiensten von Microsoft 365 verknüpft ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/concept-learn-about-groups'
    },
    {
      id: 'sc300-008', type: 'single',
      domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' }, difficulty: 'medium',
      scenario: {
        en: 'You work for Contoso, Ltd. You need a sign-in policy that can target privileged roles directly.',
        de: 'Sie arbeiten für Contoso, Ltd. Sie benötigen eine Anmelderichtlinie, die privilegierte Rollen direkt adressieren kann.'
      },
      question: {
        en: 'What should you create?',
        de: 'Was sollten Sie erstellen?'
      },
      options: [
        { id: 'A', text: { en: 'A Conditional Access policy targeted to directory roles', de: 'Eine Richtlinie für bedingten Zugriff, die auf Verzeichnisrollen abzielt' } },
        { id: 'B', text: { en: 'An administrative unit', de: 'Eine administrative Einheit' } },
        { id: 'C', text: { en: 'An access review', de: 'Eine Zugriffsüberprüfung' } },
        { id: 'D', text: { en: 'A dynamic group rule', de: 'Eine Regel für dynamische Gruppen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Conditional Access can target Microsoft Entra directory roles and require MFA as a grant control. That lets you centrally protect privileged administrators. Administrative units delegate management, access reviews attest access, and dynamic groups do not enforce sign-in controls.',
        de: 'Bedingter Zugriff kann auf Microsoft Entra-Verzeichnisrollen ausgerichtet werden und MFA als Zugriffssteuerung verlangen. So können privilegierte Administratoren zentral geschützt werden. Administrative Einheiten delegieren Verwaltung, Zugriffsüberprüfungen bestätigen Berechtigungen, und dynamische Gruppen erzwingen keine Anmeldesteuerungen.'
      },
      hint: {
        en: 'You need a sign-in policy that can target privileged roles directly.',
        de: 'Sie benötigen eine Anmelderichtlinie, die privilegierte Rollen direkt adressieren kann.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-users-groups'
    },
    {
      id: 'sc300-009', type: 'single',
      domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which passwordless method uses a cryptographic key on a physical device and is considered phishing-resistant?',
        de: 'Welche kennwortlose Methode verwendet einen kryptografischen Schlüssel auf einem physischen Gerät und gilt als phishingresistent?'
      },
      options: [
        { id: 'A', text: { en: 'SMS verification', de: 'SMS-Verifizierung' } },
        { id: 'B', text: { en: 'FIDO2 security key', de: 'FIDO2-Sicherheitsschlüssel' } },
        { id: 'C', text: { en: 'Email one-time passcode', de: 'Einmalcode per E-Mail' } },
        { id: 'D', text: { en: 'Security questions', de: 'Sicherheitsfragen' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'FIDO2 security keys use public key cryptography and provide passwordless, phishing-resistant authentication. SMS, email OTP, and security questions are weaker methods and do not provide the same level of protection against phishing.',
        de: 'FIDO2-Sicherheitsschlüssel verwenden Public-Key-Kryptografie und ermöglichen kennwortlose, phishingresistente Authentifizierung. SMS, Einmalcodes per E-Mail und Sicherheitsfragen sind schwächere Methoden und bieten nicht denselben Schutz vor Phishing.'
      },
      hint: {
        en: 'Think of hardware-backed passwordless authentication.',
        de: 'Denken Sie an hardwaregestützte kennwortlose Authentifizierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-passwordless-security-key'
    },
    {
      id: 'sc300-010', type: 'single',
      domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What does pass-through authentication do in a hybrid identity design?',
        de: 'Was bewirkt Pass-Through-Authentifizierung in einem Hybrididentitätsdesign?'
      },
      options: [
        { id: 'A', text: { en: 'It validates passwords against on-premises Active Directory by using sign-in agents', de: 'Sie überprüft Kennwörter mithilfe von Anmelde-Agenten gegen lokales Active Directory' } },
        { id: 'B', text: { en: 'It stores passwords only in Microsoft Entra ID and never checks on-premises credentials', de: 'Sie speichert Kennwörter nur in Microsoft Entra ID und prüft niemals lokale Anmeldeinformationen' } },
        { id: 'C', text: { en: 'It publishes on-premises web apps to external users', de: 'Sie veröffentlicht lokale Web-Apps für externe Benutzer' } },
        { id: 'D', text: { en: 'It grants just-in-time admin access to roles', de: 'Sie gewährt Just-in-Time-Administratorzugriff auf Rollen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Pass-through authentication validates a user password against on-premises Active Directory through lightweight agents, allowing cloud sign-in without requiring AD FS. It is not an app publishing or privileged access feature.',
        de: 'Pass-Through-Authentifizierung überprüft das Kennwort eines Benutzers über schlanke Agenten gegen lokales Active Directory und ermöglicht so eine Cloudanmeldung ohne AD FS. Sie ist weder eine Funktion zur Anwendungsveröffentlichung noch für privilegierten Zugriff.'
      },
      hint: {
        en: 'The word pass-through points to a cloud sign-in that still checks the on-premises password.',
        de: 'Der Begriff Pass-Through weist auf eine Cloudanmeldung hin, bei der das lokale Kennwort weiterhin geprüft wird.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-pta'
    },
    {
      id: 'sc300-011', type: 'multiple',
      domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which signals or conditions can a Conditional Access policy evaluate? (Choose all that apply.)',
        de: 'Welche Signale oder Bedingungen kann eine Richtlinie für bedingten Zugriff auswerten? (Wählen Sie alle zutreffenden Antworten aus.)'
      },
      options: [
        { id: 'A', text: { en: 'User or group assignment', de: 'Benutzer- oder Gruppenzuweisung' } },
        { id: 'B', text: { en: 'Device platform', de: 'Geräteplattform' } },
        { id: 'C', text: { en: 'Location', de: 'Standort' } },
        { id: 'D', text: { en: 'SQL Server edition', de: 'SQL Server-Edition' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Conditional Access evaluates assignments and conditions such as users, groups, roles, cloud apps, device platforms, locations, client apps, and risk. SQL Server edition is unrelated to Microsoft Entra sign-in policy evaluation.',
        de: 'Bedingter Zugriff wertet Zuweisungen und Bedingungen wie Benutzer, Gruppen, Rollen, Cloud-Apps, Geräteplattformen, Standorte, Client-Apps und Risiken aus. Die SQL Server-Edition hat nichts mit der Auswertung von Microsoft Entra-Anmelderichtlinien zu tun.'
      },
      hint: {
        en: 'Think about identity and access context, not database product settings.',
        de: 'Denken Sie an Kontext von Identität und Zugriff, nicht an Einstellungen eines Datenbankprodukts.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-conditions'
    },
    {
      id: 'sc300-012', type: 'single',
      domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' }, difficulty: 'medium',
      scenario: {
        en: 'Users at Woodgrove Bank must be able to reset their cloud password by using self-service password reset, and the new password must also be written back to on-premises Active Directory.',
        de: 'Benutzer bei Woodgrove Bank müssen ihr Cloudkennwort per Self-Service-Kennwortzurücksetzung zurücksetzen können, und das neue Kennwort muss auch in das lokale Active Directory zurückgeschrieben werden.'
      },
      question: {
        en: 'Which feature is required in addition to SSPR?',
        de: 'Welche Funktion wird zusätzlich zu SSPR benötigt?'
      },
      options: [
        { id: 'A', text: { en: 'Password writeback', de: 'Kennwortrückschreibung' } },
        { id: 'B', text: { en: 'Password protection', de: 'Kennwortschutz' } },
        { id: 'C', text: { en: 'Temporary Access Pass', de: 'Temporary Access Pass' } },
        { id: 'D', text: { en: 'Certificate-based authentication', de: 'Zertifikatbasierte Authentifizierung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Password writeback integrates SSPR with on-premises Active Directory so that the changed password is updated in the local directory as well. Password protection bans weak passwords, Temporary Access Pass is a bootstrap method, and certificate-based authentication is unrelated.',
        de: 'Die Kennwortrückschreibung integriert SSPR mit lokalem Active Directory, sodass das geänderte Kennwort auch im lokalen Verzeichnis aktualisiert wird. Kennwortschutz sperrt schwache Kennwörter, Temporary Access Pass ist eine Startmethode, und zertifikatbasierte Authentifizierung ist hier nicht relevant.'
      },
      hint: {
        en: 'The key phrase is written back to on-premises Active Directory.',
        de: 'Die entscheidende Formulierung lautet zurück in das lokale Active Directory schreiben.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-writeback'
    },
    {
      id: 'sc300-013', type: 'single',
      domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Microsoft Entra feature identifies risky sign-ins and risky users based on detections such as leaked credentials or impossible travel?',
        de: 'Welche Microsoft Entra-Funktion identifiziert riskante Anmeldungen und riskante Benutzer anhand von Erkennungen wie kompromittierten Anmeldeinformationen oder unmöglichen Reisen?'
      },
      options: [
        { id: 'A', text: { en: 'Privileged Identity Management', de: 'Privileged Identity Management' } },
        { id: 'B', text: { en: 'Identity Protection', de: 'Identity Protection' } },
        { id: 'C', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'D', text: { en: 'Application Proxy', de: 'Application Proxy' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Identity Protection analyzes telemetry and risk detections to classify risky users and risky sign-ins. Administrators can then use those signals in Conditional Access or remediation workflows. The other options serve governance, app publishing, or privileged access scenarios.',
        de: 'Identity Protection analysiert Telemetrie und Risikoerkennungen, um riskante Benutzer und riskante Anmeldungen zu klassifizieren. Administratoren können diese Signale anschließend in bedingtem Zugriff oder Behebungsworkflows verwenden. Die anderen Optionen dienen Governance, Anwendungsveröffentlichung oder privilegiertem Zugriff.'
      },
      hint: {
        en: 'This question is about risk analysis, not role activation or app publication.',
        de: 'Diese Frage bezieht sich auf Risikoanalyse, nicht auf Rollenaktivierung oder Anwendungsveröffentlichung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection'
    },
    {
      id: 'sc300-014', type: 'multiple',
      domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' }, difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which authentication methods are considered phishing-resistant in Microsoft Entra? (Choose all that apply.)',
        de: 'Welche Authentifizierungsmethoden gelten in Microsoft Entra als phishingresistent? (Wählen Sie alle zutreffenden Antworten aus.)'
      },
      options: [
        { id: 'A', text: { en: 'FIDO2 security keys', de: 'FIDO2-Sicherheitsschlüssel' } },
        { id: 'B', text: { en: 'Windows Hello for Business', de: 'Windows Hello for Business' } },
        { id: 'C', text: { en: 'Certificate-based authentication', de: 'Zertifikatbasierte Authentifizierung' } },
        { id: 'D', text: { en: 'SMS verification', de: 'SMS-Verifizierung' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Microsoft Entra authentication strengths treat FIDO2 security keys, Windows Hello for Business, and certificate-based authentication as phishing-resistant methods. SMS is stronger than password only, but it is not phishing-resistant because users can still be tricked into disclosing or approving the factor.',
        de: 'Microsoft Entra-Authentifizierungsstärken behandeln FIDO2-Sicherheitsschlüssel, Windows Hello for Business und zertifikatbasierte Authentifizierung als phishingresistente Methoden. SMS ist stärker als nur ein Kennwort, gilt aber nicht als phishingresistent, weil Benutzer weiterhin dazu verleitet werden können, den Faktor preiszugeben oder zu bestätigen.'
      },
      hint: {
        en: 'Phishing-resistant methods rely on cryptographic proof rather than easily relayed codes.',
        de: 'Phishingresistente Methoden beruhen auf kryptografischem Nachweis statt auf leicht weiterleitbaren Codes.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
    },
    {
      id: 'sc300-015', type: 'single',
      domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which object represents an application instance in a tenant and is used for assignments and sign-in?',
        de: 'Welches Objekt repräsentiert eine Anwendungsinstanz in einem Mandanten und wird für Zuweisungen sowie Anmeldungen verwendet?'
      },
      options: [
        { id: 'A', text: { en: 'App role', de: 'App-Rolle' } },
        { id: 'B', text: { en: 'Service principal', de: 'Dienstprinzipal' } },
        { id: 'C', text: { en: 'Administrative unit', de: 'Administrative Einheit' } },
        { id: 'D', text: { en: 'Managed identity', de: 'Verwaltete Identität' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'A service principal is the security object created in a tenant to represent an application and to control permissions, assignments, and sign-in. The app registration is the global definition in the home tenant, while the service principal is the local enterprise app instance.',
        de: 'Ein Dienstprinzipal ist das Sicherheitsobjekt, das in einem Mandanten erstellt wird, um eine Anwendung zu repräsentieren und Berechtigungen, Zuweisungen sowie Anmeldungen zu steuern. Die App-Registrierung ist die globale Definition im Heimmandanten, während der Dienstprinzipal die lokale Instanz der Unternehmensanwendung ist.'
      },
      hint: {
        en: 'Think of the per-tenant representation of an app, not the global blueprint.',
        de: 'Denken Sie an die Darstellung einer App pro Mandant, nicht an die globale Vorlage.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals'
    },
    {
      id: 'sc300-016', type: 'single',
      domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' }, difficulty: 'medium',
      scenario: {
        en: 'At Litware, Inc., an Azure virtual machine must read secrets from Azure Key Vault. The application running on the VM must not store credentials in code or configuration files.',
        de: 'Litware, Inc. – Eine virtuelle Azure-Maschine muss Geheimnisse aus Azure Key Vault lesen. Die auf der VM laufende Anwendung darf keine Anmeldeinformationen im Code oder in Konfigurationsdateien speichern.'
      },
      question: {
        en: 'What should you use?',
        de: 'Was sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'An app registration with a client secret', de: 'Eine App-Registrierung mit einem Clientschlüssel' } },
        { id: 'B', text: { en: 'A system-assigned managed identity', de: 'Eine systemseitig zugewiesene verwaltete Identität' } },
        { id: 'C', text: { en: 'A guest user account', de: 'Ein Gastbenutzerkonto' } },
        { id: 'D', text: { en: 'Password hash synchronization', de: 'Kennworthashsynchronisierung' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'A system-assigned managed identity gives the VM its own identity in Microsoft Entra so it can request tokens for Azure resources without storing secrets. A client secret would reintroduce credential management overhead and risk.',
        de: 'Eine systemseitig zugewiesene verwaltete Identität gibt der VM eine eigene Identität in Microsoft Entra, sodass sie Token für Azure-Ressourcen anfordern kann, ohne Geheimnisse zu speichern. Ein Clientschlüssel würde den Verwaltungsaufwand und das Risiko durch Anmeldeinformationen wieder einführen.'
      },
      hint: {
        en: 'Use the feature built for Azure resources that need tokens without embedded secrets.',
        de: 'Verwenden Sie die Funktion für Azure-Ressourcen, die Token ohne eingebettete Geheimnisse benötigen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'sc300-017', type: 'multiple',
      domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which single sign-on methods can you configure for an enterprise application in Microsoft Entra ID? (Choose all that apply.)',
        de: 'Welche Single-Sign-On-Methoden können Sie für eine Unternehmensanwendung in Microsoft Entra ID konfigurieren? (Wählen Sie alle zutreffenden Antworten aus.)'
      },
      options: [
        { id: 'A', text: { en: 'SAML', de: 'SAML' } },
        { id: 'B', text: { en: 'OpenID Connect and OAuth', de: 'OpenID Connect und OAuth' } },
        { id: 'C', text: { en: 'Password-based SSO', de: 'Kennwortbasiertes SSO' } },
        { id: 'D', text: { en: 'SQL connection string SSO', de: 'SSO über SQL-Verbindungszeichenfolge' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Enterprise applications in Microsoft Entra ID can use federation methods such as SAML and OpenID Connect or even password-based SSO for certain legacy apps. A SQL connection string is not a supported SSO method in Microsoft Entra enterprise application configuration.',
        de: 'Unternehmensanwendungen in Microsoft Entra ID können Verbundmethoden wie SAML und OpenID Connect oder bei bestimmten Legacy-Apps auch kennwortbasiertes SSO verwenden. Eine SQL-Verbindungszeichenfolge ist keine unterstützte SSO-Methode in der Konfiguration von Microsoft Entra-Unternehmensanwendungen.'
      },
      hint: {
        en: 'Pick the identity federation and vaulting methods, not an application connection detail.',
        de: 'Wählen Sie die Methoden für Identitätsverbund und Kennwortspeicherung, nicht ein Verbindungsdetail der Anwendung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/plan-sso-deployment'
    },
    {
      id: 'sc300-018', type: 'single',
      domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'You are building a custom web API and need to define delegated scopes and application roles for client apps. Where should you configure them?',
        de: 'Sie entwickeln eine benutzerdefinierte Web-API und müssen delegierte Bereiche sowie Anwendungsrollen für Client-Apps definieren. Wo sollten Sie diese konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'In the app registration for the API', de: 'In der App-Registrierung der API' } },
        { id: 'B', text: { en: 'Only in the enterprise application object', de: 'Nur im Objekt der Unternehmensanwendung' } },
        { id: 'C', text: { en: 'In Conditional Access', de: 'Im bedingten Zugriff' } },
        { id: 'D', text: { en: 'In an access package', de: 'In einem Zugriffspaket' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'App registrations define the application identity, exposed API scopes, redirect URIs, secrets, certificates, and app roles. The enterprise application object is the tenant-specific service principal and is not the place where you author the API definition.',
        de: 'App-Registrierungen definieren die Anwendungsidentität, offengelegte API-Bereiche, Umleitungs-URIs, Geheimnisse, Zertifikate und Anwendungsrollen. Das Objekt der Unternehmensanwendung ist der mandantenspezifische Dienstprinzipal und nicht der Ort, an dem Sie die API-Definition erstellen.'
      },
      hint: {
        en: 'Think about the developer-facing object where you expose an API.',
        de: 'Denken Sie an das entwicklerseitige Objekt, in dem Sie eine API verfügbar machen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-configure-app-expose-web-apis'
    },
    {
      id: 'sc300-019', type: 'single',
      domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' }, difficulty: 'hard',
      scenario: null,
      question: {
        en: 'A daemon application must call Microsoft Graph without any signed-in user. Which permission type should the app receive?',
        de: 'Eine Daemon-Anwendung muss Microsoft Graph ohne angemeldeten Benutzer aufrufen. Welchen Berechtigungstyp sollte die App erhalten?'
      },
      options: [
        { id: 'A', text: { en: 'Delegated permissions', de: 'Delegierte Berechtigungen' } },
        { id: 'B', text: { en: 'Application permissions', de: 'Anwendungsberechtigungen' } },
        { id: 'C', text: { en: 'Group claims', de: 'Gruppenansprüche' } },
        { id: 'D', text: { en: 'Custom security attributes', de: 'Benutzerdefinierte Sicherheitsattribute' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Application permissions are designed for background services or daemons that run without a signed-in user. Delegated permissions require a user context, while group claims and custom security attributes are not permission grant models for API access.',
        de: 'Anwendungsberechtigungen sind für Hintergrunddienste oder Daemons ausgelegt, die ohne angemeldeten Benutzer ausgeführt werden. Delegierte Berechtigungen erfordern einen Benutzerkontext, während Gruppenansprüche und benutzerdefinierte Sicherheitsattribute keine Modelle zur Berechtigungsvergabe für API-Zugriff sind.'
      },
      hint: {
        en: 'No user context means the app must act as itself.',
        de: 'Ohne Benutzerkontext muss die App als sie selbst handeln.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview'
    },
    {
      id: 'sc300-020', type: 'single',
      domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' }, difficulty: 'medium',
      scenario: {
        en: 'At Woodgrove Bank, employees need a self-service way to request a bundle of resources such as groups, Teams, and enterprise applications. Access should require approval and expire automatically.',
        de: 'Bei Woodgrove Bank: mitarbeiter benötigen eine Self-Service-Möglichkeit, ein Bündel aus Ressourcen wie Gruppen, Teams und Unternehmensanwendungen anzufordern. Der Zugriff soll genehmigungspflichtig sein und automatisch ablaufen.'
      },
      question: {
        en: 'Which feature best meets this requirement?',
        de: 'Welche Funktion erfüllt diese Anforderung am besten?'
      },
      options: [
        { id: 'A', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'B', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'C', text: { en: 'Entitlement management with access packages', de: 'Entitlement Management mit Zugriffspaketen' } },
        { id: 'D', text: { en: 'Application Proxy', de: 'Application Proxy' } }
      ],
      correct: ['C'],
      explanation: {
        en: 'Entitlement management uses catalogs and access packages to bundle resources, support self-service requests, enforce approval workflows, and apply expiration policies. Access reviews help validate existing access, but they do not provide the full request-and-delivery workflow on their own.',
        de: 'Entitlement Management verwendet Kataloge und Zugriffspakete, um Ressourcen zu bündeln, Self-Service-Anforderungen zu unterstützen, Genehmigungsworkflows durchzusetzen und Ablaufrichtlinien anzuwenden. Zugriffsüberprüfungen helfen dabei, bestehenden Zugriff zu validieren, bieten aber nicht allein den vollständigen Anforderungs- und Bereitstellungsworkflow.'
      },
      hint: {
        en: 'Look for the governance feature built around catalogs, requests, approvals, and expiration.',
        de: 'Suchen Sie nach der Governance-Funktion, die auf Katalogen, Anforderungen, Genehmigungen und Ablauf basiert.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview'
    },
    {
      id: 'sc300-021', type: 'multiple',
      domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' }, difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which resource types can you include in an access package catalog? (Choose all that apply.)',
        de: 'Welche Ressourcentypen können Sie in einen Katalog für Zugriffspakete aufnehmen? (Wählen Sie alle zutreffenden Antworten aus.)'
      },
      options: [
        { id: 'A', text: { en: 'Groups', de: 'Gruppen' } },
        { id: 'B', text: { en: 'Applications', de: 'Anwendungen' } },
        { id: 'C', text: { en: 'SharePoint Online sites', de: 'SharePoint Online-Websites' } },
        { id: 'D', text: { en: 'Conditional Access named locations', de: 'Benannte Standorte für bedingten Zugriff' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Access package catalogs can contain groups, applications, and SharePoint Online sites so that governance workflows can grant bundled access. Conditional Access named locations are policy components and cannot be delivered as resources through an access package.',
        de: 'Kataloge für Zugriffspakete können Gruppen, Anwendungen und SharePoint Online-Websites enthalten, damit Governance-Workflows gebündelten Zugriff bereitstellen können. Benannte Standorte für bedingten Zugriff sind Richtlinienkomponenten und können nicht als Ressourcen über ein Zugriffspaket bereitgestellt werden.'
      },
      hint: {
        en: 'Choose resources that a requester can actually receive access to.',
        de: 'Wählen Sie Ressourcen aus, für die ein Anforderer tatsächlich Zugriff erhalten kann.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-catalog-create'
    },
    {
      id: 'sc300-022', type: 'single',
      domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which feature regularly asks reviewers whether users still need their access and can remove access when it is no longer justified?',
        de: 'Welche Funktion fragt Prüfer regelmäßig, ob Benutzer ihren Zugriff noch benötigen, und kann Zugriff entfernen, wenn er nicht mehr gerechtfertigt ist?'
      },
      options: [
        { id: 'A', text: { en: 'Terms of Use', de: 'Nutzungsbedingungen' } },
        { id: 'B', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'C', text: { en: 'Privileged Identity Management activation', de: 'Privileged Identity Management-Aktivierung' } },
        { id: 'D', text: { en: 'Connect Health', de: 'Connect Health' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Access reviews are designed to periodically attest whether users still need access to groups, applications, or privileged roles. They can automate removal if access is denied or not reviewed. Terms of Use capture acceptance of legal text, not ongoing access attestation.',
        de: 'Zugriffsüberprüfungen sind dafür vorgesehen, regelmäßig zu bestätigen, ob Benutzer weiterhin Zugriff auf Gruppen, Anwendungen oder privilegierte Rollen benötigen. Sie können die Entfernung automatisieren, wenn der Zugriff abgelehnt oder nicht überprüft wird. Nutzungsbedingungen erfassen die Zustimmung zu rechtlichen Texten, aber keine fortlaufende Bestätigung des Zugriffs.'
      },
      hint: {
        en: 'This is the governance feature for recurring attestation.',
        de: 'Dies ist die Governance-Funktion für wiederkehrende Bestätigungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'sc300-023', type: 'single',
      domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'In Privileged Identity Management, which assignment type lets a user activate a role only when needed and only for a limited time?',
        de: 'Welcher Zuweisungstyp in Privileged Identity Management ermöglicht es einem Benutzer, eine Rolle nur bei Bedarf und nur für einen begrenzten Zeitraum zu aktivieren?'
      },
      options: [
        { id: 'A', text: { en: 'Permanent active assignment', de: 'Dauerhaft aktive Zuweisung' } },
        { id: 'B', text: { en: 'Eligible assignment', de: 'Berechtigte Zuweisung' } },
        { id: 'C', text: { en: 'Dynamic assignment', de: 'Dynamische Zuweisung' } },
        { id: 'D', text: { en: 'Administrative unit assignment', de: 'Zuweisung zu einer administrativen Einheit' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'An eligible assignment in PIM allows just-in-time activation of a privileged role, often with MFA, approval, and time limits. A permanent active assignment grants the role continuously and does not provide the same least-privilege control.',
        de: 'Eine berechtigte Zuweisung in PIM ermöglicht die Just-in-Time-Aktivierung einer privilegierten Rolle, oft mit MFA, Genehmigung und Zeitlimits. Eine dauerhaft aktive Zuweisung gewährt die Rolle fortlaufend und bietet nicht dieselbe Kontrolle nach dem Least-Privilege-Prinzip.'
      },
      hint: {
        en: 'Look for the assignment model that supports just-in-time elevation.',
        de: 'Suchen Sie nach dem Zuweisungsmodell, das eine Just-in-Time-Erhöhung unterstützt.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'sc300-024', type: 'single',
      domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' }, difficulty: 'hard',
      scenario: {
        en: 'At Litware, Inc., guest users must accept legal terms before they can access Salesforce and ServiceNow through Microsoft Entra ID.',
        de: 'Bei Litware, Inc.: gastbenutzer müssen rechtliche Bedingungen akzeptieren, bevor sie über Microsoft Entra ID auf Salesforce und ServiceNow zugreifen können.'
      },
      question: {
        en: 'What should you configure?',
        de: 'Was sollten Sie konfigurieren?'
      },
      options: [
        { id: 'A', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'B', text: { en: 'Terms of Use with Conditional Access', de: 'Nutzungsbedingungen mit bedingtem Zugriff' } },
        { id: 'C', text: { en: 'Password protection', de: 'Kennwortschutz' } },
        { id: 'D', text: { en: 'An app registration manifest', de: 'Ein Manifest der App-Registrierung' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'Terms of Use can present legal agreements to users and can be enforced by Conditional Access before access is granted to selected applications. Access reviews verify whether access should continue, but they do not capture agreement acceptance at sign-in time.',
        de: 'Nutzungsbedingungen können Benutzern rechtliche Vereinbarungen anzeigen und per bedingtem Zugriff erzwungen werden, bevor der Zugriff auf ausgewählte Anwendungen gewährt wird. Zugriffsüberprüfungen prüfen, ob Zugriff fortbestehen soll, erfassen aber nicht die Zustimmung während der Anmeldung.'
      },
      hint: {
        en: 'The requirement is legal acceptance at access time, not periodic recertification.',
        de: 'Die Anforderung lautet rechtliche Zustimmung zum Zeitpunkt des Zugriffs, nicht regelmäßige Rezertifizierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/terms-of-use'
    },
    {
      id: 'sc300-025', type: 'single',
      domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' }, difficulty: 'hard',
      scenario: {
        en: 'You work for Contoso, Ltd. You need time-bound, approved activation for a group, not a permanently assigned membership.',
        de: 'Contoso, Ltd. – Ihre Bereitschaftsadministratoren benötigen nur während ihrer Schicht über eine privilegierte Zugriffsgruppe Zugriff auf eine Anwendung. Die Aktivierung muss eine Genehmigung erfordern und automatisch ablaufen.'
      },
      question: {
        en: 'Which feature best fits this requirement?',
        de: 'Welche Funktion passt am besten zu dieser Anforderung?'
      },
      options: [
        { id: 'A', text: { en: 'A static security group with manual membership changes', de: 'Eine statische Sicherheitsgruppe mit manuellen Mitgliedschaftsänderungen' } },
        { id: 'B', text: { en: 'Privileged Identity Management for Groups', de: 'Privileged Identity Management für Gruppen' } },
        { id: 'C', text: { en: 'A dynamic Microsoft 365 group', de: 'Eine dynamische Microsoft 365-Gruppe' } },
        { id: 'D', text: { en: 'A lifecycle workflow', de: 'Ein Lifecycle-Workflow' } }
      ],
      correct: ['B'],
      explanation: {
        en: 'PIM for Groups enables just-in-time activation of group membership or ownership with approval, time limits, and auditing. That is ideal when a group grants privileged access to an app or resource. Static groups and dynamic groups do not provide governed activation, and lifecycle workflows focus on user lifecycle automation.',
        de: 'PIM für Gruppen ermöglicht die Just-in-Time-Aktivierung von Gruppenmitgliedschaft oder -besitz mit Genehmigung, Zeitlimits und Überwachung. Das ist ideal, wenn eine Gruppe privilegierten Zugriff auf eine Anwendung oder Ressource gewährt. Statische und dynamische Gruppen bieten keine gesteuerte Aktivierung, und Lifecycle-Workflows konzentrieren sich auf die Automatisierung des Benutzerlebenszyklus.'
      },
      hint: {
        en: 'You need time-bound, approved activation for a group, not a permanently assigned membership.',
        de: 'Sie benötigen eine zeitgebundene, genehmigte Aktivierung für eine Gruppe und keine dauerhaft zugewiesene Mitgliedschaft.'
      },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/concept-pim-for-groups'
    },
{
  id: 'sc300-026',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Woodgrove Bank. Your team needs the role designed specifically for inviting external guests.',
    de: 'Sie arbeiten für Woodgrove Bank. Ihr Team benötigt die Rolle, die speziell für das Einladen externer Gäste vorgesehen ist.'
  },
  question: {
    en: 'Which least-privileged role should you assign?',
    de: 'Welche Rolle mit den geringsten Rechten sollten Sie zuweisen?'
  },
  options: [
    { id: 'A', text: { en: 'User Administrator', de: 'User Administrator' } },
    { id: 'B', text: { en: 'Groups Administrator', de: 'Groups Administrator' } },
    { id: 'C', text: { en: 'Guest Inviter', de: 'Guest Inviter' } },
    { id: 'D', text: { en: 'Global Reader', de: 'Global Reader' } }
  ],
  correct: ['C'],
  explanation: {
    en: 'Guest Inviter is the least-privileged role for inviting external guest users. User Administrator is broader than necessary, Groups Administrator manages groups rather than guest invitations, and Global Reader is read-only.',
    de: 'Guest Inviter ist die Rolle mit den geringsten Rechten zum Einladen externer Gastbenutzer. User Administrator ist weiter gefasst als nötig, Groups Administrator verwaltet Gruppen statt Gasteinladungen, und Global Reader ist schreibgeschützt.'
  },
  hint: {
    en: 'Choose the role designed specifically for inviting external guests.',
    de: 'Wählen Sie die Rolle, die speziell für das Einladen externer Gäste vorgesehen ist.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/how-to-manage-user-profile-info'
},
{
  id: 'sc300-027',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Litware, Inc. Your team is evaluating the property Microsoft uses to determine whether a service can be legally assigned in a region.',
    de: 'Sie arbeiten für Litware, Inc. Ihr Team evaluiert die Eigenschaft, mit der Microsoft bestimmt, ob ein Dienst in einer Region rechtlich zugewiesen werden darf.'
  },
  question: {
    en: 'Which user property should you verify first?',
    de: 'Welche Benutzereigenschaft sollten Sie zuerst überprüfen?'
  },
  options: [
    { id: 'A', text: { en: 'Immutable ID', de: 'Immutable ID' } },
    { id: 'B', text: { en: 'Usage location', de: 'Nutzungsstandort' } },
    { id: 'C', text: { en: 'Office location', de: 'Bürostandort' } },
    { id: 'D', text: { en: 'Employee ID', de: 'Mitarbeiter-ID' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Group-based licensing requires a usage location before a license can be assigned. Immutable ID is for hybrid identity matching, office location is informational, and employee ID does not control licensing.',
    de: 'Die gruppenbasierte Lizenzierung erfordert einen Nutzungsstandort, bevor eine Lizenz zugewiesen werden kann. Die Immutable ID dient dem Abgleich in Hybrididentitäten, der Bürostandort ist informativ, und die Mitarbeiter-ID steuert keine Lizenzzuweisung.'
  },
  hint: {
    en: 'Think about the property Microsoft uses to determine whether a service can be legally assigned in a region.',
    de: 'Denken Sie an die Eigenschaft, mit der Microsoft bestimmt, ob ein Dienst in einer Region rechtlich zugewiesen werden darf.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/users/licensing-group-advanced'
},
{
  id: 'sc300-028',
  type: 'multiple',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which object types can be direct members of a Microsoft Entra security group? (Choose all that apply.)',
    de: 'Welche Objekttypen können direkte Mitglieder einer Microsoft Entra-Sicherheitsgruppe sein? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Users', de: 'Benutzer' } },
    { id: 'B', text: { en: 'Devices', de: 'Geräte' } },
    { id: 'C', text: { en: 'Service principals', de: 'Dienstprinzipale' } },
    { id: 'D', text: { en: 'Administrative units', de: 'Administrative Einheiten' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'Security groups can contain users, devices, and service principals. Administrative units are containers for scoped administration, not objects that can be added as security group members.',
    de: 'Sicherheitsgruppen können Benutzer, Geräte und Dienstprinzipale enthalten. Administrative Einheiten sind Container für abgegrenzte Verwaltung und keine Objekte, die als Mitglieder einer Sicherheitsgruppe hinzugefügt werden können.'
  },
  hint: {
    en: 'Security groups can hold identities and devices, not delegation containers.',
    de: 'Sicherheitsgruppen können Identitäten und Geräte enthalten, aber keine Container für delegierte Verwaltung.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/concept-learn-about-groups'
},
{
  id: 'sc300-029',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'hard',
  scenario: {
    en: 'At Contoso, Ltd., a security group named Licenses-ProjectX contains 20 direct user members and one nested child security group with 50 additional users. You assign a product license to Licenses-ProjectX.',
    de: 'Bei Contoso, Ltd.: eine Sicherheitsgruppe mit dem Namen Licenses-ProjectX enthält 20 direkte Benutzermitglieder und eine verschachtelte untergeordnete Sicherheitsgruppe mit 50 weiteren Benutzern. Sie weisen Licenses-ProjectX eine Produktlizenz zu.'
  },
  question: {
    en: 'Who receives the license assignment?',
    de: 'Wer erhält die Lizenzzuweisung?'
  },
  options: [
    { id: 'A', text: { en: 'Only the 20 direct user members', de: 'Nur die 20 direkten Benutzermitglieder' } },
    { id: 'B', text: { en: 'All 70 users in both the parent and child groups', de: 'Alle 70 Benutzer in der übergeordneten und der untergeordneten Gruppe' } },
    { id: 'C', text: { en: 'Only the 50 users in the nested child group', de: 'Nur die 50 Benutzer in der verschachtelten untergeordneten Gruppe' } },
    { id: 'D', text: { en: 'No users until the child group is converted to a Microsoft 365 group', de: 'Keine Benutzer, bis die untergeordnete Gruppe in eine Microsoft 365-Gruppe umgewandelt wird' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Group-based licensing applies to direct user members of the licensed group. Nested group membership is not used for license inheritance. The other options incorrectly assume nested users inherit licenses or require a different group type.',
    de: 'Die gruppenbasierte Lizenzierung gilt für direkte Benutzermitglieder der lizenzierten Gruppe. Verschachtelte Gruppenmitgliedschaften werden nicht für die Lizenzvererbung verwendet. Die anderen Optionen setzen fälschlich voraus, dass verschachtelte Benutzer Lizenzen erben oder ein anderer Gruppentyp erforderlich ist.'
  },
  hint: {
    en: 'For group-based licensing, nested groups do not expand for assignment.',
    de: 'Bei der gruppenbasierten Lizenzierung werden verschachtelte Gruppen für die Zuweisung nicht aufgelöst.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/users/licensing-group-advanced'
},
{
  id: 'sc300-030',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'At Woodgrove Bank, an employee wants to access company resources from a personal Windows laptop while keeping a local account on the device.',
    de: 'Bei Woodgrove Bank: ein Mitarbeiter möchte von einem privaten Windows-Laptop auf Unternehmensressourcen zugreifen und dabei ein lokales Konto auf dem Gerät beibehalten.'
  },
  question: {
    en: 'Which device identity state best fits this scenario?',
    de: 'Welcher Geräteidentitätsstatus passt am besten zu diesem Szenario?'
  },
  options: [
    { id: 'A', text: { en: 'Microsoft Entra registered', de: 'Microsoft Entra-registriert' } },
    { id: 'B', text: { en: 'Microsoft Entra joined', de: 'Microsoft Entra-verbunden' } },
    { id: 'C', text: { en: 'Microsoft Entra hybrid joined', de: 'Microsoft Entra Hybrid Join' } },
    { id: 'D', text: { en: 'On-premises AD joined only', de: 'Nur lokal mit AD verbunden' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Microsoft Entra registered is intended for BYOD and personal-device scenarios where the user keeps local sign-in on the device. Microsoft Entra joined is for organization-owned cloud-first devices, hybrid joined is for domain-joined enterprise devices, and on-premises AD joined only does not provide the same Entra device identity benefits.',
    de: 'Microsoft Entra-registriert ist für BYOD- und private Geräteszenarien gedacht, in denen der Benutzer die lokale Anmeldung auf dem Gerät beibehält. Microsoft Entra-verbunden ist für unternehmenseigene Cloud-First-Geräte, Hybrid Join für domänengebundene Unternehmensgeräte, und eine reine lokale AD-Anbindung bietet nicht dieselben Vorteile einer Entra-Geräteidentität.'
  },
  hint: {
    en: 'Look for the option designed for personal devices rather than fully corporate-owned devices.',
    de: 'Suchen Sie nach der Option für private Geräte und nicht für vollständig unternehmenseigene Geräte.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/devices/concept-device-registration'
},
{
  id: 'sc300-031',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'Contoso, Ltd. already has domain-joined Windows devices on-premises and wants those devices to have a device identity in Microsoft Entra ID while users continue to access both on-premises and cloud resources.',
    de: 'Contoso, Ltd. verfügt bereits über lokal domänengebundene Windows-Geräte und möchte, dass diese Geräte eine Geräteidentität in Microsoft Entra ID erhalten, während Benutzer weiterhin auf lokale und Cloudressourcen zugreifen.'
  },
  question: {
    en: 'Which device state should you implement?',
    de: 'Welchen Gerätestatus sollten Sie implementieren?'
  },
  options: [
    { id: 'A', text: { en: 'Microsoft Entra registered', de: 'Microsoft Entra-registriert' } },
    { id: 'B', text: { en: 'Microsoft Entra joined', de: 'Microsoft Entra-verbunden' } },
    { id: 'C', text: { en: 'Microsoft Entra hybrid joined', de: 'Microsoft Entra Hybrid Join' } },
    { id: 'D', text: { en: 'Pass-through authentication', de: 'Pass-Through-Authentifizierung' } }
  ],
  correct: ['C'],
  explanation: {
    en: 'Microsoft Entra hybrid join is designed for existing domain-joined devices that also need a device identity in Microsoft Entra ID. Registered is mainly for BYOD, joined is for cloud-only corporate devices, and pass-through authentication is a sign-in method, not a device state.',
    de: 'Microsoft Entra Hybrid Join ist für bereits domänengebundene Geräte vorgesehen, die zusätzlich eine Geräteidentität in Microsoft Entra ID benötigen. Registriert ist hauptsächlich für BYOD, verbunden für Cloud-Only-Unternehmensgeräte, und Pass-Through-Authentifizierung ist eine Anmeldemethode, kein Gerätestatus.'
  },
  hint: {
    en: 'The device already belongs to on-premises AD and now also needs Entra device identity.',
    de: 'Das Gerät gehört bereits zum lokalen AD und benötigt nun zusätzlich eine Entra-Geräteidentität.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/devices/overview'
},
{
  id: 'sc300-032',
  type: 'multiple',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'hard',
  scenario: null,
  question: {
    en: 'Which statements about Microsoft Entra registered devices are true? (Choose all that apply.)',
    de: 'Welche Aussagen zu Microsoft Entra-registrierten Geräten sind richtig? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'They are commonly used for BYOD or mobile-device scenarios.', de: 'Sie werden häufig für BYOD- oder mobile Geräteszenarien verwendet.' } },
    { id: 'B', text: { en: 'Users can continue signing in to the device with local credentials.', de: 'Benutzer können sich weiterhin mit lokalen Anmeldeinformationen am Gerät anmelden.' } },
    { id: 'C', text: { en: 'They can optionally be enrolled into an MDM solution such as Intune.', de: 'Sie können optional in eine MDM-Lösung wie Intune eingebunden werden.' } },
    { id: 'D', text: { en: 'They require the device to be joined to on-premises Active Directory first.', de: 'Sie setzen voraus, dass das Gerät zuvor dem lokalen Active Directory beitritt.' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'Registered devices are intended for BYOD and mobile scenarios, allow local device sign-in, and can be further managed through MDM such as Intune. They do not require prior on-premises AD join; that idea aligns more with hybrid join scenarios.',
    de: 'Registrierte Geräte sind für BYOD- und mobile Szenarien vorgesehen, erlauben die lokale Geräteanmeldung und können zusätzlich über MDM wie Intune verwaltet werden. Sie erfordern keinen vorherigen Beitritt zum lokalen AD; das trifft eher auf Hybrid-Join-Szenarien zu.'
  },
  hint: {
    en: 'Separate registration from both full cloud join and hybrid join.',
    de: 'Trennen Sie die Registrierung von einem vollständigen Cloud Join und von Hybrid Join.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/devices/concept-device-registration'
},
{
  id: 'sc300-033',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which built-in role is specifically intended to assign custom security attribute values to supported objects?',
    de: 'Welche integrierte Rolle ist speziell dafür vorgesehen, Werte für benutzerdefinierte Sicherheitsattribute unterstützten Objekten zuzuweisen?'
  },
  options: [
    { id: 'A', text: { en: 'Global Administrator', de: 'Global Administrator' } },
    { id: 'B', text: { en: 'Attribute Assignment Administrator', de: 'Attribute Assignment Administrator' } },
    { id: 'C', text: { en: 'User Administrator', de: 'User Administrator' } },
    { id: 'D', text: { en: 'Application Administrator', de: 'Application Administrator' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Attribute Assignment Administrator is the role for assigning and removing custom security attribute values. Global Administrator does not receive this permission by default, User Administrator manages users broadly, and Application Administrator does not govern custom security attribute assignment.',
    de: 'Attribute Assignment Administrator ist die Rolle zum Zuweisen und Entfernen von Werten für benutzerdefinierte Sicherheitsattribute. Global Administrator erhält diese Berechtigung standardmäßig nicht, User Administrator verwaltet Benutzer allgemein, und Application Administrator steuert nicht die Zuweisung benutzerdefinierter Sicherheitsattribute.'
  },
  hint: {
    en: 'The correct role name includes the exact action being performed.',
    de: 'Der richtige Rollenname enthält die auszuführende Aktion direkt.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/custom-security-attributes-manage'
},
{
  id: 'sc300-034',
  type: 'multiple',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which Microsoft Entra objects support custom security attributes? (Choose all that apply.)',
    de: 'Welche Microsoft Entra-Objekte unterstützen benutzerdefinierte Sicherheitsattribute? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Users', de: 'Benutzer' } },
    { id: 'B', text: { en: 'Enterprise applications (service principals)', de: 'Unternehmensanwendungen (Dienstprinzipale)' } },
    { id: 'C', text: { en: 'Groups', de: 'Gruppen' } },
    { id: 'D', text: { en: 'Devices', de: 'Geräte' } }
  ],
  correct: ['A', 'B'],
  explanation: {
    en: 'Custom security attributes can be assigned to users and enterprise applications or service principals. Groups and devices are not supported targets for custom security attribute assignment.',
    de: 'Benutzerdefinierte Sicherheitsattribute können Benutzern und Unternehmensanwendungen beziehungsweise Dienstprinzipalen zugewiesen werden. Gruppen und Geräte werden als Ziele für diese Zuweisung nicht unterstützt.'
  },
  hint: {
    en: 'Think of people and app identities, not every Entra object type.',
    de: 'Denken Sie an Personen- und App-Identitäten, nicht an jeden Entra-Objekttyp.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/custom-security-attributes-overview'
},
{
  id: 'sc300-035',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Woodgrove Bank. Your team needs the option that shifts synchronization management into the cloud.',
    de: 'Sie arbeiten für Woodgrove Bank. Ihr Team sucht nach der Option, die die Verwaltung der Synchronisierung in die Cloud verlagert.'
  },
  question: {
    en: 'Which solution should you choose?',
    de: 'Welche Lösung sollten Sie wählen?'
  },
  options: [
    { id: 'A', text: { en: 'Microsoft Entra Connect Sync', de: 'Microsoft Entra Connect Sync' } },
    { id: 'B', text: { en: 'Microsoft Entra Cloud Sync', de: 'Microsoft Entra Cloud Sync' } },
    { id: 'C', text: { en: 'Active Directory Federation Services (AD FS)', de: 'Active Directory Federation Services (AD FS)' } },
    { id: 'D', text: { en: 'Microsoft Entra Application Proxy', de: 'Microsoft Entra Application Proxy' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Microsoft Entra Cloud Sync is the cloud-managed, agent-based synchronization service. Entra Connect Sync is the traditional server-based sync engine, AD FS is for federation, and Application Proxy publishes on-premises applications.',
    de: 'Microsoft Entra Cloud Sync ist der cloudverwaltete, agentbasierte Synchronisierungsdienst. Entra Connect Sync ist die herkömmliche serverbasierte Synchronisierungs-Engine, AD FS dient der Verbundauthentifizierung, und Application Proxy veröffentlicht lokale Anwendungen.'
  },
  hint: {
    en: 'Look for the option that shifts synchronization management into the cloud.',
    de: 'Suchen Sie nach der Option, die die Verwaltung der Synchronisierung in die Cloud verlagert.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync'
},
{
  id: 'sc300-036',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'hard',
  scenario: {
    en: 'You work for Litware, Inc. Cloud Sync uses an agent model, not a staging-server model.',
    de: 'Sie arbeiten für Litware, Inc. Cloud Sync verwendet ein Agentenmodell und kein Staging-Server-Modell.'
  },
  question: {
    en: 'What should you deploy?',
    de: 'Was sollten Sie bereitstellen?'
  },
  options: [
    { id: 'A', text: { en: 'Multiple active provisioning agents', de: 'Mehrere aktive Bereitstellungs-Agenten' } },
    { id: 'B', text: { en: 'A staging mode server for Cloud Sync', de: 'Einen Server im Stagingmodus für Cloud Sync' } },
    { id: 'C', text: { en: 'A second SQL LocalDB instance', de: 'Eine zweite SQL-LocalDB-Instanz' } },
    { id: 'D', text: { en: 'An AD FS farm', de: 'Eine AD FS-Farm' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Cloud Sync supports multiple active provisioning agents for automatic failover and resilience. Staging mode is associated with Entra Connect Sync, SQL LocalDB is not the Cloud Sync HA model, and AD FS addresses federation rather than synchronization availability.',
    de: 'Cloud Sync unterstützt mehrere aktive Bereitstellungs-Agenten für automatisches Failover und höhere Ausfallsicherheit. Der Stagingmodus gehört zu Entra Connect Sync, SQL LocalDB ist kein HA-Modell für Cloud Sync, und AD FS betrifft Verbundauthentifizierung statt Synchronisierungsverfügbarkeit.'
  },
  hint: {
    en: 'Cloud Sync uses an agent model, not a staging-server model.',
    de: 'Cloud Sync verwendet ein Agentenmodell und kein Staging-Server-Modell.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync'
},
{
  id: 'sc300-037',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'Contoso, Ltd. owns multiple Microsoft Entra tenants and wants users from one tenant to be automatically created, updated, and removed as B2B users in another tenant.',
    de: 'Contoso, Ltd. besitzt mehrere Microsoft Entra-Mandanten und möchte, dass Benutzer aus einem Mandanten automatisch als B2B-Benutzer in einem anderen Mandanten erstellt, aktualisiert und entfernt werden.'
  },
  question: {
    en: 'Which feature should you use?',
    de: 'Welche Funktion sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'Manual B2B invitations', de: 'Manuelle B2B-Einladungen' } },
    { id: 'B', text: { en: 'Email one-time passcode', de: 'Einmalcode per E-Mail' } },
    { id: 'C', text: { en: 'Cross-tenant synchronization', de: 'Mandantenübergreifende Synchronisierung' } },
    { id: 'D', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } }
  ],
  correct: ['C'],
  explanation: {
    en: 'Cross-tenant synchronization automates the lifecycle of B2B users and groups across tenants. Manual invitations do not automate updates or removal, email one-time passcode is an authentication method for guests, and access reviews are for periodic attestation.',
    de: 'Die mandantenübergreifende Synchronisierung automatisiert den Lebenszyklus von B2B-Benutzern und -Gruppen über Mandanten hinweg. Manuelle Einladungen automatisieren weder Aktualisierungen noch Entfernungen, der Einmalcode per E-Mail ist eine Authentifizierungsmethode für Gäste, und Zugriffsüberprüfungen dienen der regelmäßigen Bestätigung von Berechtigungen.'
  },
  hint: {
    en: 'The key requirement is automated lifecycle management across tenants.',
    de: 'Die zentrale Anforderung ist das automatisierte Lebenszyklusmanagement über Mandanten hinweg.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/multi-tenant-organizations/cross-tenant-synchronization-overview'
},
{
  id: 'sc300-038',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'At Litware, Inc., hR wants onboarding and offboarding actions to run automatically based on attributes such as employeeHireDate and department changes.',
    de: 'Bei Litware, Inc.: die Personalabteilung möchte, dass Onboarding- und Offboarding-Aktionen automatisch auf Basis von Attributen wie employeeHireDate und Abteilungsänderungen ausgeführt werden.'
  },
  question: {
    en: 'Which Microsoft Entra capability should you use?',
    de: 'Welche Microsoft Entra-Funktion sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'Entitlement management', de: 'Entitlement Management' } },
    { id: 'B', text: { en: 'Lifecycle workflows', de: 'Lifecycle Workflows' } },
    { id: 'C', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
    { id: 'D', text: { en: 'Authentication strengths', de: 'Authentifizierungsstärken' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Lifecycle workflows automate joiner, mover, and leaver processes by using user attributes and triggers. Entitlement management governs access packages, administrative units scope administration, and authentication strengths define acceptable authentication methods.',
    de: 'Lifecycle Workflows automatisieren Joiner-, Mover- und Leaver-Prozesse mithilfe von Benutzerattributen und Auslösern. Entitlement Management steuert Zugriffspakete, administrative Einheiten begrenzen Verwaltung, und Authentifizierungsstärken definieren zulässige Authentifizierungsmethoden.'
  },
  hint: {
    en: 'Think of automation across the joiner, mover, and leaver lifecycle.',
    de: 'Denken Sie an die Automatisierung über den Joiner-, Mover- und Leaver-Lebenszyklus hinweg.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/what-are-lifecycle-workflows'
},
{
  id: 'sc300-039',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'hard',
  scenario: {
    en: 'At Contoso, Ltd., self-service password reset is enabled. Regular users are required to verify one authentication method to reset a password. A Global Administrator forgets their password.',
    de: 'Bei Contoso, Ltd.: die Self-Service-Kennwortzurücksetzung ist aktiviert. Normale Benutzer müssen eine Authentifizierungsmethode überprüfen, um ein Kennwort zurückzusetzen. Ein Global Administrator hat sein Kennwort vergessen.'
  },
  question: {
    en: 'How many authentication methods must the administrator use for SSPR?',
    de: 'Wie viele Authentifizierungsmethoden muss der Administrator für SSPR verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'One', de: 'Eine' } },
    { id: 'B', text: { en: 'Two', de: 'Zwei' } },
    { id: 'C', text: { en: 'Three', de: 'Drei' } },
    { id: 'D', text: { en: 'None, administrators cannot use SSPR', de: 'Keine, Administratoren können SSPR nicht verwenden' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Administrators are subject to a stronger two-gate reset policy, so they must verify two methods for SSPR. One method applies only to standard users if the policy allows it, three methods are not required, and administrators can use SSPR when configured properly.',
    de: 'Für Administratoren gilt eine stärkere Zwei-Stufen-Richtlinie zur Kennwortrücksetzung, daher müssen sie für SSPR zwei Methoden verifizieren. Eine Methode gilt nur für Standardbenutzer, wenn die Richtlinie dies erlaubt, drei Methoden sind nicht erforderlich, und Administratoren können SSPR bei korrekter Konfiguration verwenden.'
  },
  hint: {
    en: 'Privileged roles have stricter reset requirements than standard users.',
    de: 'Privilegierte Rollen haben strengere Anforderungen für die Kennwortrücksetzung als Standardbenutzer.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-howitworks'
},
{
  id: 'sc300-040',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'At Woodgrove Bank, a user is included in the self-service password reset policy, but when they try to reset their password, they are told to contact an administrator.',
    de: 'Bei Woodgrove Bank: ein Benutzer ist in die Richtlinie für Self-Service-Kennwortzurücksetzung einbezogen, aber beim Versuch der Kennwortrücksetzung wird ihm mitgeteilt, dass er einen Administrator kontaktieren soll.'
  },
  question: {
    en: 'Which prerequisite is most likely missing?',
    de: 'Welche Voraussetzung fehlt am wahrscheinlichsten?'
  },
  options: [
    { id: 'A', text: { en: 'Registered authentication methods that satisfy the SSPR policy', de: 'Registrierte Authentifizierungsmethoden, die die SSPR-Richtlinie erfüllen' } },
    { id: 'B', text: { en: 'A compliant Microsoft Entra joined device', de: 'Ein konformes Microsoft Entra-verbundenes Gerät' } },
    { id: 'C', text: { en: 'A redeemed B2B invitation', de: 'Eine eingelöste B2B-Einladung' } },
    { id: 'D', text: { en: 'Approval from a group owner', de: 'Eine Genehmigung durch einen Gruppenbesitzer' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'SSPR checks whether the user is enabled and has enough registered authentication methods to meet policy requirements. Device join state, B2B invitation redemption, and group owner approval do not determine whether a user can complete SSPR.',
    de: 'SSPR prüft, ob der Benutzer aktiviert ist und genügend registrierte Authentifizierungsmethoden besitzt, um die Richtlinienanforderungen zu erfüllen. Der Gerätebeitrittsstatus, das Einlösen einer B2B-Einladung und die Genehmigung durch einen Gruppenbesitzer entscheiden nicht darüber, ob ein Benutzer SSPR abschließen kann.'
  },
  hint: {
    en: 'Being in scope for SSPR is not enough by itself.',
    de: 'Allein der Geltungsbereich für SSPR reicht nicht aus.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-sspr-howitworks'
},
{
  id: 'sc300-041',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'When you create a dynamic administrative unit, which object type is not supported as the membership target?',
    de: 'Welcher Objekttyp wird beim Erstellen einer dynamischen administrativen Einheit nicht als Ziel für die Mitgliedschaft unterstützt?'
  },
  options: [
    { id: 'A', text: { en: 'Users', de: 'Benutzer' } },
    { id: 'B', text: { en: 'Devices', de: 'Geräte' } },
    { id: 'C', text: { en: 'Groups', de: 'Gruppen' } },
    { id: 'D', text: { en: 'Synced users', de: 'Synchronisierte Benutzer' } }
  ],
  correct: ['C'],
  explanation: {
    en: 'Dynamic administrative units support rules for users or devices, but not for groups. Synced users are still user objects and can be included if they match the rule and licensing requirements are met.',
    de: 'Dynamische administrative Einheiten unterstützen Regeln für Benutzer oder Geräte, aber nicht für Gruppen. Synchronisierte Benutzer sind weiterhin Benutzerobjekte und können einbezogen werden, wenn sie der Regel entsprechen und die Lizenzanforderungen erfüllt sind.'
  },
  hint: {
    en: 'Dynamic AUs can target one object family, but not group objects.',
    de: 'Dynamische AUs können auf eine Objektfamilie zielen, aber nicht auf Gruppenobjekte.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/admin-units-members-dynamic'
},
{
  id: 'sc300-042',
  type: 'multiple',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'hard',
  scenario: null,
  question: {
    en: 'Which statements about dynamic administrative units are true? (Choose all that apply.)',
    de: 'Welche Aussagen zu dynamischen administrativen Einheiten sind richtig? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'A dynamic administrative unit can target users.', de: 'Eine dynamische administrative Einheit kann Benutzer als Ziel haben.' } },
    { id: 'B', text: { en: 'A dynamic administrative unit can target devices.', de: 'Eine dynamische administrative Einheit kann Geräte als Ziel haben.' } },
    { id: 'C', text: { en: 'One dynamic administrative unit can mix user and device rules at the same time.', de: 'Eine dynamische administrative Einheit kann gleichzeitig Benutzer- und GeräteregeIn mischen.' } },
    { id: 'D', text: { en: 'Dynamic administrative units do not support groups as rule-based members.', de: 'Dynamische administrative Einheiten unterstützen keine Gruppen als regelbasierte Mitglieder.' } }
  ],
  correct: ['A', 'B', 'D'],
  explanation: {
    en: 'Dynamic administrative units can be created for users or for devices, and groups are not supported for dynamic rule-based membership. A single dynamic administrative unit cannot mix object types in one membership model, so the option about combining users and devices is incorrect.',
    de: 'Dynamische administrative Einheiten können für Benutzer oder für Geräte erstellt werden, und Gruppen werden für regelbasierte dynamische Mitgliedschaft nicht unterstützt. Eine einzelne dynamische administrative Einheit kann keine Objekttypen in einem Mitgliedschaftsmodell mischen, daher ist die Option zur Kombination von Benutzern und Geräten falsch.'
  },
  hint: {
    en: 'Remember both the supported target types and the limitation on mixing them.',
    de: 'Denken Sie sowohl an die unterstützten Zieltypen als auch an die Einschränkung beim Mischen dieser Typen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/admin-units-members-dynamic'
},
{
  id: 'sc300-043',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'easy',
  scenario: null,
  question: {
    en: 'For how long can a deleted Microsoft Entra user typically be restored before permanent deletion begins?',
    de: 'Wie lange kann ein gelöschter Microsoft Entra-Benutzer in der Regel wiederhergestellt werden, bevor die endgültige Löschung beginnt?'
  },
  options: [
    { id: 'A', text: { en: '7 days', de: '7 Tage' } },
    { id: 'B', text: { en: '14 days', de: '14 Tage' } },
    { id: 'C', text: { en: '30 days', de: '30 Tage' } },
    { id: 'D', text: { en: '90 days', de: '90 Tage' } }
  ],
  correct: ['C'],
  explanation: {
    en: 'Deleted users remain in a suspended, restorable state for 30 days. After that window, permanent deletion begins. The other time periods do not match the Microsoft Entra deleted-user retention behavior.',
    de: 'Gelöschte Benutzer verbleiben 30 Tage lang in einem ausgesetzten, wiederherstellbaren Zustand. Danach beginnt die endgültige Löschung. Die anderen Zeiträume entsprechen nicht dem Aufbewahrungsverhalten gelöschter Benutzer in Microsoft Entra.'
  },
  hint: {
    en: 'This is the standard soft-delete retention window for users.',
    de: 'Dies ist das Standard-Aufbewahrungsfenster für das Soft Delete von Benutzern.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/users-restore'
},
{
  id: 'sc300-044',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'At Litware, Inc., a synchronized user is deleted in Microsoft Entra ID, but the user object still exists in on-premises Active Directory.',
    de: 'Bei Litware, Inc.: ein synchronisierter Benutzer wird in Microsoft Entra ID gelöscht, aber das Benutzerobjekt existiert weiterhin im lokalen Active Directory.'
  },
  question: {
    en: 'What is the most likely outcome?',
    de: 'Was ist das wahrscheinlichste Ergebnis?'
  },
  options: [
    { id: 'A', text: { en: 'The user is permanently removed from both directories immediately.', de: 'Der Benutzer wird sofort dauerhaft aus beiden Verzeichnissen entfernt.' } },
    { id: 'B', text: { en: 'The synchronization engine may restore the user during the next sync cycle.', de: 'Die Synchronisierungs-Engine kann den Benutzer im nächsten Synchronisierungszyklus wiederherstellen.' } },
    { id: 'C', text: { en: 'The user is automatically converted to a cloud-only account.', de: 'Der Benutzer wird automatisch in ein reines Cloudkonto umgewandelt.' } },
    { id: 'D', text: { en: 'The user becomes a guest account.', de: 'Der Benutzer wird zu einem Gastkonto.' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'For synchronized identities, on-premises Active Directory remains the source of authority. If the object still exists on-premises, synchronization can restore it in Microsoft Entra ID. The other options incorrectly assume automatic conversion, guest creation, or immediate deletion from both directories.',
    de: 'Bei synchronisierten Identitäten bleibt das lokale Active Directory die maßgebliche Quelle. Wenn das Objekt lokal weiterhin vorhanden ist, kann die Synchronisierung es in Microsoft Entra ID wiederherstellen. Die anderen Optionen gehen fälschlich von einer automatischen Umwandlung, der Erstellung eines Gastkontos oder einer sofortigen Löschung in beiden Verzeichnissen aus.'
  },
  hint: {
    en: 'Think about which directory is authoritative for synced users.',
    de: 'Denken Sie daran, welches Verzeichnis für synchronisierte Benutzer maßgeblich ist.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/users-restore'
},
{
  id: 'sc300-045',
  type: 'single',
  domain: { en: 'Implement and Manage Identities', de: 'Identitäten implementieren und verwalten' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Woodgrove Bank. This is the fallback guest sign-in method that uses the invitee email inbox.',
    de: 'Sie arbeiten für Woodgrove Bank. Dies ist die Gast-Anmeldemethode, die als Rückfalloption den Posteingang des Eingeladenen verwendet.'
  },
  question: {
    en: 'Which feature provides this sign-in experience and is enabled by default unless you disable it?',
    de: 'Welche Funktion bietet diese Anmeldung und ist standardmäßig aktiviert, sofern Sie sie nicht deaktivieren?'
  },
  options: [
    { id: 'A', text: { en: 'Pass-through authentication', de: 'Pass-Through-Authentifizierung' } },
    { id: 'B', text: { en: 'Email one-time passcode', de: 'Einmalcode per E-Mail' } },
    { id: 'C', text: { en: 'Password hash synchronization', de: 'Kennworthashsynchronisierung' } },
    { id: 'D', text: { en: 'Temporary Access Pass', de: 'Temporary Access Pass' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Email one-time passcode lets B2B guests sign in by using a code sent to their email address and is enabled by default unless explicitly turned off. Pass-through authentication and password hash synchronization are hybrid sign-in technologies for workforce identities, and Temporary Access Pass is a bootstrap method for internal users.',
    de: 'Der Einmalcode per E-Mail ermöglicht B2B-Gästen die Anmeldung mit einem an ihre E-Mail-Adresse gesendeten Code und ist standardmäßig aktiviert, sofern er nicht ausdrücklich deaktiviert wird. Pass-Through-Authentifizierung und Kennworthashsynchronisierung sind Hybrid-Anmeldetechnologien für Belegschaftsidentitäten, und Temporary Access Pass ist eine Startmethode für interne Benutzer.'
  },
  hint: {
    en: 'This is the fallback guest sign-in method that uses the invitee email inbox.',
    de: 'Dies ist die Gast-Anmeldemethode, die als Rückfalloption den Posteingang des Eingeladenen verwendet.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/external-id/one-time-passcode'
},
{
  id: 'sc300-046',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'At Contoso, Ltd., a remote contractor has no registered authentication methods yet and must enroll a passkey on the first day.',
    de: 'Bei Contoso, Ltd.: ein externer Remote-Mitarbeiter hat noch keine registrierten Authentifizierungsmethoden und muss am ersten Tag einen Passkey registrieren.'
  },
  question: {
    en: 'Which authentication method should an administrator issue so the contractor can sign in once and bootstrap passwordless sign-in?',
    de: 'Welche Authentifizierungsmethode sollte ein Administrator ausstellen, damit sich der Mitarbeiter einmalig anmelden und die kennwortlose Anmeldung einrichten kann?'
  },
  options: [
    { id: 'A', text: { en: 'OATH hardware token', de: 'OATH-Hardwaretoken' } },
    { id: 'B', text: { en: 'Temporary Access Pass', de: 'Temporary Access Pass' } },
    { id: 'C', text: { en: 'App password', de: 'App-Kennwort' } },
    { id: 'D', text: { en: 'Self-service password reset link', de: 'Link zur Self-Service-Kennwortzurücksetzung' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Temporary Access Pass is designed to bootstrap passwordless methods and account recovery. It is time-limited and can be configured for single or multiple uses. An OATH token is a separate MFA method and is not intended for passwordless onboarding. App passwords are legacy and do not bootstrap modern passwordless methods. An SSPR link is for password reset, not first-time passwordless enrollment.',
    de: 'Temporary Access Pass wurde entwickelt, um kennwortlose Methoden und die Kontowiederherstellung zu starten. Er ist zeitlich begrenzt und kann für eine einmalige oder mehrfache Verwendung konfiguriert werden. Ein OATH-Token ist eine separate MFA-Methode und nicht für das Onboarding kennwortloser Verfahren gedacht. App-Kennwörter sind veraltet und richten keine modernen kennwortlosen Methoden ein. Ein SSPR-Link dient der Kennwortzurücksetzung, nicht der erstmaligen Registrierung einer kennwortlosen Methode.'
  },
  hint: {
    en: 'Think about the Microsoft Entra method specifically meant for onboarding passkeys and other passwordless methods.',
    de: 'Denken Sie an die Microsoft-Entra-Methode, die speziell für das Onboarding von Passkeys und anderen kennwortlosen Methoden vorgesehen ist.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-temporary-access-pass'
},
{
  id: 'sc300-047',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Litware, Inc. The goal is not just to allow a method, but to nudge specific users to register it during sign-in.',
    de: 'Sie arbeiten für Litware, Inc. Das Ziel ist nicht nur, eine Methode zuzulassen, sondern bestimmte Benutzer bei der Anmeldung zu ihrer Registrierung zu bewegen.'
  },
  question: {
    en: 'Which feature should you configure?',
    de: 'Welche Funktion sollten Sie konfigurieren?'
  },
  options: [
    { id: 'A', text: { en: 'Combined registration', de: 'Kombinierte Registrierung' } },
    { id: 'B', text: { en: 'Registration campaign in the authentication methods policy', de: 'Registrierungskampagne in der Richtlinie für Authentifizierungsmethoden' } },
    { id: 'C', text: { en: 'Named locations', de: 'Benannte Standorte' } },
    { id: 'D', text: { en: 'Authentication strengths', de: 'Authentifizierungsstärken' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'A registration campaign can nudge targeted users during sign-in to register Microsoft Authenticator. Combined registration unifies MFA and SSPR registration, but it does not by itself create the targeted sign-in prompt campaign. Named locations are network conditions. Authentication strengths restrict which methods can satisfy access requirements; they do not drive registration prompts.',
    de: 'Mit einer Registrierungskampagne können gezielte Benutzer bei der Anmeldung zur Registrierung von Microsoft Authenticator aufgefordert werden. Die kombinierte Registrierung vereinheitlicht die Registrierung für MFA und SSPR, erstellt aber nicht selbst diese gezielte Anmeldeaufforderung. Benannte Standorte sind Netzwerkbedingungen. Authentifizierungsstärken beschränken, welche Methoden Zugriffsanforderungen erfüllen, steuern jedoch keine Registrierungsaufforderungen.'
  },
  hint: {
    en: 'The goal is not just to allow a method, but to nudge specific users to register it during sign-in.',
    de: 'Das Ziel ist nicht nur, eine Methode zuzulassen, sondern bestimmte Benutzer bei der Anmeldung zu ihrer Registrierung zu bewegen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage'
},
{
  id: 'sc300-048',
  type: 'multiple',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which methods satisfy the built-in phishing-resistant authentication strength? (Choose all that apply.)',
    de: 'Welche Methoden erfüllen die integrierte Authentifizierungsstärke Phishing-resistent? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Windows Hello for Business', de: 'Windows Hello for Business' } },
    { id: 'B', text: { en: 'FIDO2 security key or passkey', de: 'FIDO2-Sicherheitsschlüssel oder Passkey' } },
    { id: 'C', text: { en: 'Certificate-based authentication', de: 'Zertifikatbasierte Authentifizierung' } },
    { id: 'D', text: { en: 'SMS sign-in', de: 'SMS-Anmeldung' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'Windows Hello for Business, FIDO2 security keys or passkeys, and certificate-based authentication are considered phishing-resistant and satisfy that built-in authentication strength. SMS sign-in does not because SMS is vulnerable to phishing and other attacks. The purpose of authentication strengths is to allow only methods that meet the required assurance level.',
    de: 'Windows Hello for Business, FIDO2-Sicherheitsschlüssel bzw. Passkeys und die zertifikatbasierte Authentifizierung gelten als phishing-resistent und erfüllen diese integrierte Authentifizierungsstärke. Die SMS-Anmeldung erfüllt sie nicht, da SMS anfällig für Phishing und andere Angriffe ist. Der Zweck von Authentifizierungsstärken besteht darin, nur Methoden zuzulassen, die das geforderte Sicherheitsniveau erreichen.'
  },
  hint: {
    en: 'Focus on methods that are resistant to credential theft and replay through phishing sites.',
    de: 'Konzentrieren Sie sich auf Methoden, die gegen den Diebstahl und die Wiederverwendung von Anmeldeinformationen über Phishing-Seiten resistent sind.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
},
{
  id: 'sc300-049',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'The security team at Contoso, Ltd. wants users to perform MFA only when a sign-in is evaluated as medium or high risk.',
    de: 'Das Sicherheitsteam von Contoso, Ltd. möchte, dass Benutzer MFA nur dann durchführen, wenn eine Anmeldung als mittleres oder hohes Risiko bewertet wird.'
  },
  question: {
    en: 'What is the best way to implement this requirement?',
    de: 'Wie lässt sich diese Anforderung am besten umsetzen?'
  },
  options: [
    { id: 'A', text: { en: 'Create a Conditional Access policy with the sign-in risk condition and require MFA', de: 'Erstellen Sie eine Conditional-Access-Richtlinie mit der Bedingung Anmelderisiko und erzwingen Sie MFA' } },
    { id: 'B', text: { en: 'Create a user risk policy that requires password change', de: 'Erstellen Sie eine Benutzerrisiko-Richtlinie, die eine Kennwortänderung verlangt' } },
    { id: 'C', text: { en: 'Enable registration campaign for Microsoft Authenticator', de: 'Aktivieren Sie eine Registrierungskampagne für Microsoft Authenticator' } },
    { id: 'D', text: { en: 'Configure sign-in frequency to every sign-in', de: 'Konfigurieren Sie die Anmeldehäufigkeit auf jede Anmeldung' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'A Conditional Access policy using the sign-in risk condition can require MFA only when the specific sign-in is risky. A user risk policy addresses the likelihood that the account is compromised over time and is commonly used for password change or block. Registration campaign is unrelated to risk-based access decisions. Sign-in frequency controls session reauthentication cadence, not risk-based prompting.',
    de: 'Eine Conditional-Access-Richtlinie mit der Bedingung Anmelderisiko kann MFA nur dann verlangen, wenn die konkrete Anmeldung riskant ist. Eine Benutzerrisiko-Richtlinie behandelt die Wahrscheinlichkeit, dass das Konto über einen längeren Zeitraum kompromittiert ist, und wird häufig für Kennwortänderung oder Blockierung verwendet. Eine Registrierungskampagne steht nicht im Zusammenhang mit risikobasierten Zugriffsentscheidungen. Die Anmeldehäufigkeit steuert die erneute Authentifizierung von Sitzungen, nicht risikobasierte Aufforderungen.'
  },
  hint: {
    en: 'This requirement is about the risk of a specific authentication event, not the overall account state.',
    de: 'Diese Anforderung betrifft das Risiko eines bestimmten Authentifizierungsereignisses, nicht den Gesamtzustand des Kontos.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-configure-risk-policies'
},
{
  id: 'sc300-050',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'hard',
  scenario: {
    en: 'You work for Woodgrove Bank. Your team is evaluating what the user needs in order to change a password without help desk involvement.',
    de: 'Sie arbeiten für Woodgrove Bank. Ihr Team überlegt, was der Benutzer benötigt, um ein Kennwort ohne Hilfe des Helpdesks zu ändern.'
  },
  question: {
    en: 'Which prerequisite is required for those users?',
    de: 'Welche Voraussetzung ist für diese Benutzer erforderlich?'
  },
  options: [
    { id: 'A', text: { en: 'They must be registered for self-service password reset', de: 'Sie müssen für die Self-Service-Kennwortzurücksetzung registriert sein' } },
    { id: 'B', text: { en: 'They must use Windows Hello for Business', de: 'Sie müssen Windows Hello for Business verwenden' } },
    { id: 'C', text: { en: 'They must sign in only from trusted locations', de: 'Sie dürfen sich nur von vertrauenswürdigen Standorten anmelden' } },
    { id: 'D', text: { en: 'They must have a Temporary Access Pass assigned at all times', de: 'Ihnen muss jederzeit ein Temporary Access Pass zugewiesen sein' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'To self-remediate by changing password from a user risk policy, users must be registered for SSPR. Windows Hello for Business is not a prerequisite for risk remediation. Trusted locations affect Conditional Access evaluation, not password change remediation. Temporary Access Pass can help with onboarding or recovery, but it is not the standing prerequisite for user risk password change.',
    de: 'Damit Benutzer sich durch eine Kennwortänderung aus einer Benutzerrisiko-Richtlinie selbst beheben können, müssen sie für SSPR registriert sein. Windows Hello for Business ist keine Voraussetzung für diese Risikobehebung. Vertrauenswürdige Standorte beeinflussen die Auswertung von Conditional Access, nicht die Behebung per Kennwortänderung. Ein Temporary Access Pass kann beim Onboarding oder der Wiederherstellung helfen, ist aber nicht die dauerhafte Voraussetzung für die Kennwortänderung bei Benutzerrisiko.'
  },
  hint: {
    en: 'Think about what the user needs in order to change a password without help desk involvement.',
    de: 'Überlegen Sie, was der Benutzer benötigt, um ein Kennwort ohne Hilfe des Helpdesks zu ändern.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-configure-risk-policies'
},
{
  id: 'sc300-051',
  type: 'multiple',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which statements about named locations in Conditional Access are correct? (Choose all that apply.)',
    de: 'Welche Aussagen zu benannten Standorten in Conditional Access sind korrekt? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'An IP-based named location can be marked as trusted', de: 'Ein IP-basierter benannter Standort kann als vertrauenswürdig markiert werden' } },
    { id: 'B', text: { en: 'A country-based named location can be marked as trusted', de: 'Ein länderbasierter benannter Standort kann als vertrauenswürdig markiert werden' } },
    { id: 'C', text: { en: 'Named locations can contain IPv4 and IPv6 ranges', de: 'Benannte Standorte können IPv4- und IPv6-Bereiche enthalten' } },
    { id: 'D', text: { en: 'A country-based named location can optionally include unknown areas', de: 'Ein länderbasierter benannter Standort kann optional unbekannte Bereiche einschließen' } }
  ],
  correct: ['A', 'C', 'D'],
  explanation: {
    en: 'IP-based named locations can be marked as trusted, and they support IPv4 and IPv6 ranges. Country-based named locations can optionally include unknown areas, which is useful when location resolution is incomplete. Country-based named locations themselves cannot be marked as trusted, so option B is incorrect.',
    de: 'IP-basierte benannte Standorte können als vertrauenswürdig markiert werden und unterstützen IPv4- und IPv6-Bereiche. Länderbasierte benannte Standorte können optional unbekannte Bereiche einschließen, was nützlich ist, wenn die Standortauflösung unvollständig ist. Länderbasierte benannte Standorte selbst können nicht als vertrauenswürdig markiert werden, daher ist Antwort B falsch.'
  },
  hint: {
    en: 'Separate what can be marked trusted from what can only be used as a location condition.',
    de: 'Unterscheiden Sie zwischen Standorten, die als vertrauenswürdig markiert werden können, und solchen, die nur als Standortbedingung dienen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-network'
},
{
  id: 'sc300-052',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Litware, Inc. The requirement depends on device properties, not user, app, or network location.',
    de: 'Sie arbeiten für Litware, Inc. Die Anforderung hängt von Geräteeigenschaften ab, nicht von Benutzer, App oder Netzwerkstandort.'
  },
  question: {
    en: 'Which Conditional Access feature should you use?',
    de: 'Welche Conditional-Access-Funktion sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'Named locations', de: 'Benannte Standorte' } },
    { id: 'B', text: { en: 'Filter for devices', de: 'Filter für Geräte' } },
    { id: 'C', text: { en: 'Authentication context', de: 'Authentifizierungskontext' } },
    { id: 'D', text: { en: 'Terms of use', de: 'Nutzungsbedingungen' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Filter for devices lets you include or exclude devices based on device properties such as display name, operating system, or trust type. Named locations evaluate network information, not device attributes. Authentication context is used to apply policies to specific app actions. Terms of use are a separate grant control and do not target device objects.',
    de: 'Mit Filtern für Geräte können Sie Geräte anhand von Eigenschaften wie Anzeigename, Betriebssystem oder Vertrauensstellung ein- oder ausschließen. Benannte Standorte bewerten Netzwerkinformationen, nicht Geräteattribute. Authentifizierungskontexte werden verwendet, um Richtlinien auf bestimmte App-Aktionen anzuwenden. Nutzungsbedingungen sind eine separate Grant-Steuerung und zielen nicht auf Geräteobjekte ab.'
  },
  hint: {
    en: 'The requirement depends on device properties, not user, app, or network location.',
    de: 'Die Anforderung hängt von Geräteeigenschaften ab, nicht von Benutzer, App oder Netzwerkstandort.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-condition-filters-for-devices'
},
{
  id: 'sc300-053',
  type: 'multiple',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which controls are Conditional Access session controls? (Choose all that apply.)',
    de: 'Welche Steuerelemente sind Sitzungssteuerungen in Conditional Access? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Sign-in frequency', de: 'Anmeldehäufigkeit' } },
    { id: 'B', text: { en: 'Persistent browser session', de: 'Dauerhafte Browsersitzung' } },
    { id: 'C', text: { en: 'Terms of use', de: 'Nutzungsbedingungen' } },
    { id: 'D', text: { en: 'Application enforced restrictions', de: 'Von Anwendungen erzwungene Einschränkungen' } }
  ],
  correct: ['A', 'B', 'D'],
  explanation: {
    en: 'Sign-in frequency, persistent browser session, and application enforced restrictions are all session controls in Conditional Access. Terms of use is a grant control, not a session control. Session controls shape the ongoing session experience after access is granted.',
    de: 'Anmeldehäufigkeit, dauerhafte Browsersitzung und von Anwendungen erzwungene Einschränkungen sind alles Sitzungssteuerungen in Conditional Access. Nutzungsbedingungen sind eine Grant-Steuerung, keine Sitzungssteuerung. Sitzungssteuerungen gestalten die laufende Sitzung, nachdem Zugriff gewährt wurde.'
  },
  hint: {
    en: 'Ask yourself whether the control affects the session behavior after access is granted.',
    de: 'Fragen Sie sich, ob das Steuerelement das Sitzungsverhalten beeinflusst, nachdem der Zugriff gewährt wurde.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-session'
},
{
  id: 'sc300-054',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'Users at Contoso, Ltd. access a finance application from a browser. The business requires reauthentication at least every 8 hours.',
    de: 'Benutzer bei Contoso, Ltd. greifen über einen Browser auf eine Finanzanwendung zu. Das Unternehmen verlangt spätestens alle 8 Stunden eine erneute Authentifizierung.'
  },
  question: {
    en: 'Which Conditional Access session control addresses this requirement?',
    de: 'Welche Sitzungssteuerung in Conditional Access erfüllt diese Anforderung?'
  },
  options: [
    { id: 'A', text: { en: 'Persistent browser session', de: 'Dauerhafte Browsersitzung' } },
    { id: 'B', text: { en: 'Sign-in frequency', de: 'Anmeldehäufigkeit' } },
    { id: 'C', text: { en: 'Token protection', de: 'Tokenschutz' } },
    { id: 'D', text: { en: 'Named locations', de: 'Benannte Standorte' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Sign-in frequency controls how often users must reauthenticate. Persistent browser session controls whether the browser session persists, not the exact reauthentication interval. Token protection binds tokens to devices to reduce replay risk. Named locations are location conditions and do not define session reauthentication timing.',
    de: 'Die Anmeldehäufigkeit steuert, wie oft Benutzer sich erneut authentifizieren müssen. Die dauerhafte Browsersitzung steuert, ob die Browsersitzung bestehen bleibt, nicht das genaue Intervall für die erneute Authentifizierung. Tokenschutz bindet Token an Geräte, um das Risiko von Replay-Angriffen zu verringern. Benannte Standorte sind Standortbedingungen und legen keine Intervalle für erneute Authentifizierung fest.'
  },
  hint: {
    en: 'This is about how often the user must prove identity again.',
    de: 'Es geht darum, wie oft der Benutzer seine Identität erneut nachweisen muss.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-session'
},
{
  id: 'sc300-055',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'What is the primary security benefit of token protection in Conditional Access?',
    de: 'Was ist der wichtigste Sicherheitsvorteil von Tokenschutz in Conditional Access?'
  },
  options: [
    { id: 'A', text: { en: 'It binds supported tokens to the device to reduce token replay attacks', de: 'Er bindet unterstützte Token an das Gerät, um Token-Replay-Angriffe zu reduzieren' } },
    { id: 'B', text: { en: 'It automatically rotates user passwords every 24 hours', de: 'Er rotiert Benutzerkennwörter automatisch alle 24 Stunden' } },
    { id: 'C', text: { en: 'It replaces multifactor authentication for all cloud apps', de: 'Er ersetzt die Multifaktorauthentifizierung für alle Cloud-Apps' } },
    { id: 'D', text: { en: 'It limits access to selected countries only', de: 'Er beschränkt den Zugriff nur auf ausgewählte Länder' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Token protection helps reduce replay attacks by ensuring supported sign-in session tokens are device bound. It does not rotate passwords, replace MFA, or implement geography-based access limits. Country restrictions are handled through Conditional Access conditions such as named locations.',
    de: 'Tokenschutz hilft, Replay-Angriffe zu reduzieren, indem sichergestellt wird, dass unterstützte Anmeldesitzungs-Token an ein Gerät gebunden sind. Er rotiert keine Kennwörter, ersetzt keine MFA und setzt keine geografischen Zugriffsbeschränkungen um. Länderbeschränkungen werden über Conditional-Access-Bedingungen wie benannte Standorte gesteuert.'
  },
  hint: {
    en: 'Think about what happens if an attacker steals a token from one device and tries to use it on another.',
    de: 'Denken Sie daran, was passiert, wenn ein Angreifer ein Token von einem Gerät stiehlt und versucht, es auf einem anderen zu verwenden.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-token-protection'
},
{
  id: 'sc300-056',
  type: 'multiple',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which statements about Windows Hello for Business are correct? (Choose all that apply.)',
    de: 'Welche Aussagen zu Windows Hello for Business sind korrekt? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'It can satisfy MFA because it combines a device-bound credential with a gesture such as PIN or biometrics', de: 'Es kann MFA erfüllen, da es ein gerätegebundenes Anmeldegeheimnis mit einer Geste wie PIN oder Biometrie kombiniert' } },
    { id: 'B', text: { en: 'It is a passwordless method that does not send a password during sign-in', de: 'Es ist eine kennwortlose Methode, bei der bei der Anmeldung kein Kennwort übertragen wird' } },
    { id: 'C', text: { en: 'It requires SMS as a backup factor for every sign-in', de: 'Es erfordert SMS als Sicherungsfaktor für jede Anmeldung' } },
    { id: 'D', text: { en: 'It can satisfy the phishing-resistant authentication strength', de: 'Es kann die Authentifizierungsstärke Phishing-resistent erfüllen' } }
  ],
  correct: ['A', 'B', 'D'],
  explanation: {
    en: 'Windows Hello for Business is passwordless, uses a device-bound key, and combines possession of the device with PIN or biometric verification, which is why it can satisfy MFA and phishing-resistant requirements. It does not require SMS for every sign-in. SMS would weaken, not define, the Windows Hello for Business experience.',
    de: 'Windows Hello for Business ist kennwortlos, verwendet einen an das Gerät gebundenen Schlüssel und kombiniert den Besitz des Geräts mit PIN- oder biometrischer Überprüfung. Deshalb kann es MFA- und phishing-resistente Anforderungen erfüllen. Es erfordert keine SMS bei jeder Anmeldung. SMS würde die Windows-Hello-for-Business-Erfahrung eher abschwächen als definieren.'
  },
  hint: {
    en: 'Consider how Windows Hello for Business proves possession and user presence without using a password.',
    de: 'Berücksichtigen Sie, wie Windows Hello for Business Besitz und Benutzerpräsenz ohne Kennwort nachweist.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passwordless'
},
{
  id: 'sc300-057',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Woodgrove Bank, a user has installed Microsoft Authenticator and wants to stop typing a password for Microsoft Entra sign-in on the phone.',
    de: 'Bei Woodgrove Bank: ein Benutzer hat Microsoft Authenticator installiert und möchte bei der Microsoft-Entra-Anmeldung auf dem Telefon kein Kennwort mehr eingeben.'
  },
  question: {
    en: 'What must the user enable?',
    de: 'Was muss der Benutzer aktivieren?'
  },
  options: [
    { id: 'A', text: { en: 'Only time-based one-time password in the app', de: 'Nur zeitbasierte Einmalkennwörter in der App' } },
    { id: 'B', text: { en: 'Phone sign-in for the work or school account in Microsoft Authenticator', de: 'Telefonanmeldung für das Geschäfts-, Schul- oder Unikonto in Microsoft Authenticator' } },
    { id: 'C', text: { en: 'An app password for legacy authentication', de: 'Ein App-Kennwort für Legacy-Authentifizierung' } },
    { id: 'D', text: { en: 'Email one-time passcode', de: 'Einmalcode per E-Mail' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Passwordless use of Microsoft Authenticator requires enabling phone sign-in for the work or school account in the app. A TOTP code is still a code-based method, not passwordless phone sign-in. App passwords are for legacy clients and are not passwordless. Email one-time passcode is a different method and does not enable Authenticator phone sign-in.',
    de: 'Für die kennwortlose Nutzung von Microsoft Authenticator muss die Telefonanmeldung für das Geschäfts-, Schul- oder Unikonto in der App aktiviert werden. Ein TOTP-Code bleibt eine codebasierte Methode und ist keine kennwortlose Telefonanmeldung. App-Kennwörter sind für Legacy-Clients gedacht und nicht kennwortlos. Ein Einmalcode per E-Mail ist eine andere Methode und aktiviert keine Telefonanmeldung mit Authenticator.'
  },
  hint: {
    en: 'The requirement is true passwordless sign-in, not just receiving a code or approval.',
    de: 'Gefordert ist eine echte kennwortlose Anmeldung, nicht nur der Empfang eines Codes oder einer Bestätigung.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passwordless'
},
{
  id: 'sc300-058',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'At Litware, Inc., administrators want users to register once for both MFA and self-service password reset.',
    de: 'Bei Litware, Inc.: administratoren möchten, dass Benutzer sich einmalig sowohl für MFA als auch für die Self-Service-Kennwortzurücksetzung registrieren.'
  },
  question: {
    en: 'Which Microsoft Entra experience should be enabled?',
    de: 'Welche Microsoft-Entra-Funktion sollte aktiviert werden?'
  },
  options: [
    { id: 'A', text: { en: 'Combined registration', de: 'Kombinierte Registrierung' } },
    { id: 'B', text: { en: 'Authentication strengths', de: 'Authentifizierungsstärken' } },
    { id: 'C', text: { en: 'Named locations', de: 'Benannte Standorte' } },
    { id: 'D', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Combined registration lets users register authentication methods once for both MFA and SSPR. Authentication strengths control which methods are acceptable for access. Named locations are network signals in Conditional Access. Access reviews are part of governance, not authentication method registration.',
    de: 'Die kombinierte Registrierung ermöglicht es Benutzern, Authentifizierungsmethoden einmalig sowohl für MFA als auch für SSPR zu registrieren. Authentifizierungsstärken steuern, welche Methoden für den Zugriff akzeptabel sind. Benannte Standorte sind Netzwerksignale in Conditional Access. Zugriffsüberprüfungen gehören zur Governance und nicht zur Registrierung von Authentifizierungsmethoden.'
  },
  hint: {
    en: 'The requirement is about reducing duplicate registration steps for two related features.',
    de: 'Die Anforderung zielt darauf ab, doppelte Registrierungsschritte für zwei verwandte Funktionen zu vermeiden.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/howto-registration-mfa-sspr-combined'
},
{
  id: 'sc300-059',
  type: 'multiple',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which authentication methods can be enabled and targeted to groups through the Microsoft Entra authentication methods policy? (Choose all that apply.)',
    de: 'Welche Authentifizierungsmethoden können über die Microsoft-Entra-Richtlinie für Authentifizierungsmethoden aktiviert und auf Gruppen ausgerichtet werden? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'FIDO2 security keys', de: 'FIDO2-Sicherheitsschlüssel' } },
    { id: 'B', text: { en: 'Temporary Access Pass', de: 'Temporary Access Pass' } },
    { id: 'C', text: { en: 'Microsoft Authenticator', de: 'Microsoft Authenticator' } },
    { id: 'D', text: { en: 'App passwords', de: 'App-Kennwörter' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'FIDO2 security keys, Temporary Access Pass, and Microsoft Authenticator are managed in the authentication methods policy and can be enabled for targeted users or groups. App passwords are legacy and are not managed there as a modern authentication method. The policy is intended to centralize management of supported methods for sign-in and password reset scenarios.',
    de: 'FIDO2-Sicherheitsschlüssel, Temporary Access Pass und Microsoft Authenticator werden über die Richtlinie für Authentifizierungsmethoden verwaltet und können für gezielte Benutzer oder Gruppen aktiviert werden. App-Kennwörter sind veraltet und werden dort nicht als moderne Authentifizierungsmethode verwaltet. Die Richtlinie soll die Verwaltung unterstützter Methoden für Anmelde- und Kennwortzurücksetzungsszenarien zentralisieren.'
  },
  hint: {
    en: 'Focus on modern methods under unified method management, not legacy exceptions.',
    de: 'Konzentrieren Sie sich auf moderne Methoden unter einheitlicher Methodenverwaltung, nicht auf veraltete Ausnahmen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage'
},
{
  id: 'sc300-060',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Contoso, Ltd., administrators must use stronger sign-in methods than SMS, but standard users can continue using any MFA method.',
    de: 'Bei Contoso, Ltd.: administratoren müssen stärkere Anmeldemethoden als SMS verwenden, Standardbenutzer dürfen jedoch weiterhin jede MFA-Methode nutzen.'
  },
  question: {
    en: 'Which Conditional Access grant control best meets this requirement?',
    de: 'Welche Grant-Steuerung in Conditional Access erfüllt diese Anforderung am besten?'
  },
  options: [
    { id: 'A', text: { en: 'Require multifactor authentication', de: 'Multifaktorauthentifizierung verlangen' } },
    { id: 'B', text: { en: 'Require authentication strength', de: 'Authentifizierungsstärke verlangen' } },
    { id: 'C', text: { en: 'Require device to be marked as compliant', de: 'Konformes Gerät verlangen' } },
    { id: 'D', text: { en: 'Use application enforced restrictions', de: 'Von Anwendungen erzwungene Einschränkungen verwenden' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Require authentication strength lets you specify exactly which methods are acceptable, such as phishing-resistant or another custom strength, so admins can be forced to use stronger methods than SMS. Require MFA alone is too broad because SMS can still satisfy it. Device compliance and application enforced restrictions address device posture or session behavior, not method assurance level.',
    de: 'Mit Authentifizierungsstärke verlangen können Sie genau festlegen, welche Methoden zulässig sind, zum Beispiel phishing-resistente oder andere benutzerdefinierte Stärken. So können Administratoren zu stärkeren Methoden als SMS verpflichtet werden. Nur MFA zu verlangen ist zu allgemein, da SMS dies weiterhin erfüllen kann. Gerätekonformität und von Anwendungen erzwungene Einschränkungen betreffen den Gerätezustand oder das Sitzungsverhalten, nicht das Sicherheitsniveau der Methode.'
  },
  hint: {
    en: 'You must distinguish between requiring MFA and requiring a specific quality of MFA.',
    de: 'Sie müssen zwischen der Anforderung von MFA und der Anforderung einer bestimmten Qualität von MFA unterscheiden.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
},
{
  id: 'sc300-061',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'easy',
  scenario: null,
  question: {
    en: 'Microsoft Entra detects leaked credentials for a user account. Which risk type does this primarily affect?',
    de: 'Microsoft Entra erkennt offengelegte Anmeldeinformationen für ein Benutzerkonto. Welcher Risikotyp ist davon in erster Linie betroffen?'
  },
  options: [
    { id: 'A', text: { en: 'User risk', de: 'Benutzerrisiko' } },
    { id: 'B', text: { en: 'Sign-in risk', de: 'Anmelderisiko' } },
    { id: 'C', text: { en: 'Device risk', de: 'Geräterisiko' } },
    { id: 'D', text: { en: 'Location risk', de: 'Standortrisiko' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Leaked credentials are a signal that the identity itself might be compromised, which maps to user risk. Sign-in risk evaluates the likelihood that a particular authentication attempt is not legitimate. Device risk and location risk are not the Microsoft Entra ID Protection risk types used for this detection.',
    de: 'Offengelegte Anmeldeinformationen sind ein Signal dafür, dass die Identität selbst kompromittiert sein könnte, was dem Benutzerrisiko entspricht. Anmelderisiko bewertet die Wahrscheinlichkeit, dass ein bestimmter Authentifizierungsversuch nicht legitim ist. Geräterisiko und Standortrisiko sind nicht die Microsoft-Entra-ID-Protection-Risikotypen, die für diese Erkennung verwendet werden.'
  },
  hint: {
    en: 'Ask whether the signal describes the account overall or one specific sign-in event.',
    de: 'Fragen Sie sich, ob das Signal das Konto insgesamt oder ein einzelnes Anmeldeereignis beschreibt.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-protection/concept-identity-protection-risks'
},
{
  id: 'sc300-062',
  type: 'multiple',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which statements about Temporary Access Pass are correct? (Choose all that apply.)',
    de: 'Welche Aussagen zu Temporary Access Pass sind korrekt? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'It is time-limited', de: 'Er ist zeitlich begrenzt' } },
    { id: 'B', text: { en: 'It can be configured for single use or multiple uses', de: 'Er kann für einmalige oder mehrfache Verwendung konfiguriert werden' } },
    { id: 'C', text: { en: 'It can be used to register passwordless methods', de: 'Er kann zur Registrierung kennwortloser Methoden verwendet werden' } },
    { id: 'D', text: { en: 'It requires issuance of a hardware device to every user', de: 'Er erfordert die Ausgabe eines Hardwaregeräts an jeden Benutzer' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'Temporary Access Pass is time-limited, supports single-use or multi-use scenarios, and is specifically intended to help users register passwordless methods or recover access. It does not require issuing hardware to each user. That idea describes physical token distribution, not TAP.',
    de: 'Temporary Access Pass ist zeitlich begrenzt, unterstützt Szenarien mit einmaliger oder mehrfacher Nutzung und ist speziell dafür gedacht, Benutzern die Registrierung kennwortloser Methoden oder die Wiederherstellung des Zugriffs zu ermöglichen. Er erfordert nicht die Ausgabe von Hardware an jeden Benutzer. Das würde die Verteilung physischer Token beschreiben, nicht TAP.'
  },
  hint: {
    en: 'TAP is a temporary bootstrap credential, not a physical authenticator.',
    de: 'TAP ist eine temporäre Bootstrap-Anmeldeinformation, kein physischer Authentifikator.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-temporary-access-pass'
},
{
  id: 'sc300-063',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'hard',
  scenario: {
    en: 'Woodgrove Bank wants to block sign-ins from countries where it has no business presence, while still excluding trusted corporate office networks from that block logic.',
    de: 'Woodgrove Bank möchte Anmeldungen aus Ländern blockieren, in denen es keine Geschäftspräsenz hat, und gleichzeitig vertrauenswürdige Netzwerke der Unternehmensstandorte von dieser Blocklogik ausnehmen.'
  },
  question: {
    en: 'Which design should you use?',
    de: 'Welches Design sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'Create one country-based named location and mark it as trusted', de: 'Erstellen Sie einen länderbasierten benannten Standort und markieren Sie ihn als vertrauenswürdig' } },
    { id: 'B', text: { en: 'Use a country-based named location for countries and separate trusted IP-based named locations for office networks', de: 'Verwenden Sie einen länderbasierten benannten Standort für Länder und separate vertrauenswürdige IP-basierte benannte Standorte für Büronetzwerke' } },
    { id: 'C', text: { en: 'Use device filters instead of named locations', de: 'Verwenden Sie Gerätefilter anstelle von benannten Standorten' } },
    { id: 'D', text: { en: 'Use a user risk policy instead of Conditional Access', de: 'Verwenden Sie eine Benutzerrisiko-Richtlinie anstelle von Conditional Access' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Country-based named locations are used for country logic, while trusted IP-based named locations are the correct way to identify trusted office networks. Country-based locations themselves cannot be marked as trusted, so option A is wrong. Device filters evaluate device properties, not source geography. A user risk policy does not implement network-based blocking logic.',
    de: 'Länderbasierte benannte Standorte werden für Länderlogik verwendet, während vertrauenswürdige IP-basierte benannte Standorte der richtige Weg sind, um vertrauenswürdige Büronetzwerke zu identifizieren. Länderbasierte Standorte selbst können nicht als vertrauenswürdig markiert werden, daher ist Antwort A falsch. Gerätefilter bewerten Geräteeigenschaften, nicht die Herkunft nach Geografie. Eine Benutzerrisiko-Richtlinie implementiert keine netzwerkbasierte Blockierungslogik.'
  },
  hint: {
    en: 'One location type handles countries, another handles trusted IP ranges.',
    de: 'Ein Standorttyp behandelt Länder, ein anderer vertrauenswürdige IP-Bereiche.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-assignment-network'
},
{
  id: 'sc300-064',
  type: 'multiple',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which properties can be evaluated by a Conditional Access filter for devices? (Choose all that apply.)',
    de: 'Welche Eigenschaften können von einem Conditional-Access-Filter für Geräte ausgewertet werden? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'device.displayName', de: 'device.displayName' } },
    { id: 'B', text: { en: 'device.trustType', de: 'device.trustType' } },
    { id: 'C', text: { en: 'device.operatingSystem', de: 'device.operatingSystem' } },
    { id: 'D', text: { en: 'device.ipAddress', de: 'device.ipAddress' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'Device filters evaluate device object properties such as display name, trust type, and operating system. IP address is a network signal, not a device property used by device filters. If you need IP evaluation, use location-based conditions such as named locations instead.',
    de: 'Gerätefilter werten Eigenschaften des Geräteobjekts aus, zum Beispiel Anzeigename, Vertrauensstellung und Betriebssystem. Eine IP-Adresse ist ein Netzwerksignal und keine Geräteeigenschaft, die von Gerätefiltern verwendet wird. Wenn Sie IP-Adressen auswerten möchten, verwenden Sie stattdessen standortbasierte Bedingungen wie benannte Standorte.'
  },
  hint: {
    en: 'Separate device object attributes from network conditions.',
    de: 'Trennen Sie Geräteobjektattribute von Netzwerkbedingungen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-condition-filters-for-devices'
},
{
  id: 'sc300-065',
  type: 'single',
  domain: { en: 'Implement Authentication and Access Management', de: 'Authentifizierung und Zugriffsverwaltung implementieren' },
  difficulty: 'hard',
  scenario: {
    en: 'At Woodgrove Bank, security policy allows only approved FIDO2 security key models from a vendor allow list.',
    de: 'Bei Woodgrove Bank: die Sicherheitsrichtlinie erlaubt nur genehmigte FIDO2-Sicherheitsschlüsselmodelle aus einer Zulassungsliste eines Herstellers.'
  },
  question: {
    en: 'Which configuration should you use?',
    de: 'Welche Konfiguration sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'A custom authentication strength that lists only FIDO2', de: 'Eine benutzerdefinierte Authentifizierungsstärke, die nur FIDO2 auflistet' } },
    { id: 'B', text: { en: 'A named location that contains the vendor IP ranges', de: 'Einen benannten Standort, der die IP-Bereiche des Herstellers enthält' } },
    { id: 'C', text: { en: 'FIDO2 key restrictions in the authentication methods policy', de: 'FIDO2-Schlüsselbeschränkungen in der Richtlinie für Authentifizierungsmethoden' } },
    { id: 'D', text: { en: 'A sign-in frequency session control', de: 'Eine Sitzungssteuerung für die Anmeldehäufigkeit' } }
  ],
  correct: ['C'],
  explanation: {
    en: 'FIDO2 key restrictions in the authentication methods policy let you allow or block specific security key models, typically by using attestation-related identifiers. A custom authentication strength can require FIDO2 but does not distinguish approved versus unapproved key models. Named locations and sign-in frequency have nothing to do with hardware key model allow lists.',
    de: 'Mit FIDO2-Schlüsselbeschränkungen in der Richtlinie für Authentifizierungsmethoden können Sie bestimmte Sicherheitsschlüsselmodelle zulassen oder blockieren, typischerweise über attestationsbezogene Kennungen. Eine benutzerdefinierte Authentifizierungsstärke kann FIDO2 verlangen, unterscheidet aber nicht zwischen genehmigten und nicht genehmigten Schlüsselmodellen. Benannte Standorte und die Anmeldehäufigkeit haben nichts mit Zulassungslisten für Hardware-Schlüsselmodelle zu tun.'
  },
  hint: {
    en: 'The requirement is not just to require FIDO2, but to restrict which FIDO2 keys are acceptable.',
    de: 'Die Anforderung besteht nicht nur darin, FIDO2 zu verlangen, sondern auch darin, einzuschränken, welche FIDO2-Schlüssel zulässig sind.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-passwordless-security-key'
},
{
  id: 'sc300-066',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'You work for Litware, Inc. Your team is evaluating the callback address used by the sign-in flow.',
    de: 'Sie arbeiten für Litware, Inc. Ihr Team evaluiert die Rückrufadresse, die im Anmeldefluss verwendet wird.'
  },
  question: {
    en: 'Which app registration setting tells Microsoft Entra ID where to send the authentication response after sign-in?',
    de: 'Welche Einstellung der App-Registrierung teilt Microsoft Entra ID mit, wohin die Authentifizierungsantwort nach der Anmeldung gesendet werden soll?'
  },
  options: [
    { id: 'A', text: { en: 'Redirect URI', de: 'Umleitungs-URI' } },
    { id: 'B', text: { en: 'Application ID URI', de: 'Anwendungs-ID-URI' } },
    { id: 'C', text: { en: 'Publisher domain', de: 'Herausgeberdomäne' } },
    { id: 'D', text: { en: 'Client secret expiration', de: 'Ablauf des Clientschlüssels' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'The redirect URI is the callback endpoint to which Microsoft Entra ID returns the authorization response or tokens after the user signs in. The Application ID URI identifies an API resource, the publisher domain is for branding and verification scenarios, and client secret expiration does not control where responses are sent.',
    de: 'Die Umleitungs-URI ist der Rückrufendpunkt, an den Microsoft Entra ID nach der Benutzeranmeldung die Autorisierungsantwort oder Token zurücksendet. Die Anwendungs-ID-URI identifiziert eine API-Ressource, die Herausgeberdomäne dient Branding- und Verifizierungsszenarien, und der Ablauf des Clientschlüssels steuert nicht, wohin Antworten gesendet werden.'
  },
  hint: {
    en: 'Think about the callback address used by the sign-in flow.',
    de: 'Denken Sie an die Rückrufadresse, die im Anmeldefluss verwendet wird.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app'
},
{
  id: 'sc300-067',
  type: 'multiple',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which settings are typically managed on the enterprise application object in a tenant? (Choose all that apply.)',
    de: 'Welche Einstellungen werden typischerweise am Objekt der Unternehmensanwendung in einem Mandanten verwaltet? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'User and group assignments', de: 'Benutzer- und Gruppenzuweisungen' } },
    { id: 'B', text: { en: 'Single sign-on settings', de: 'Einstellungen für Single Sign-On' } },
    { id: 'C', text: { en: 'Provisioning settings', de: 'Bereitstellungseinstellungen' } },
    { id: 'D', text: { en: 'Redirect URIs for the application code', de: 'Umleitungs-URIs für den Anwendungscode' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'The enterprise application, which is the tenant-local service principal, is where administrators usually manage assignments, SSO, and provisioning. Redirect URIs belong to the app registration because they define how the application itself integrates with the identity platform. Therefore A, B, and C are correct, while D belongs to the app registration.',
    de: 'Die Unternehmensanwendung, also der mandantenlokale Dienstprinzipal, ist der Ort, an dem Administratoren üblicherweise Zuweisungen, SSO und Bereitstellung verwalten. Umleitungs-URIs gehören zur App-Registrierung, weil sie festlegen, wie die Anwendung selbst in die Identitätsplattform integriert wird. Daher sind A, B und C korrekt, während D zur App-Registrierung gehört.'
  },
  hint: {
    en: 'Think about the tenant-specific app instance used by administrators.',
    de: 'Denken Sie an die mandantenspezifische App-Instanz, die von Administratoren verwaltet wird.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/applications/app-management-introduction'
},
{
  id: 'sc300-068',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'Users at Contoso, Ltd. cannot consent to a newly added application because it requests permissions that require administrator approval. Administrators want users to be able to submit approval requests instead of opening support tickets.',
    de: 'Benutzer bei Contoso, Ltd. können einer neu hinzugefügten Anwendung nicht zustimmen, weil sie Berechtigungen anfordert, die eine Administratorgenehmigung erfordern. Administratoren möchten, dass Benutzer Genehmigungsanfragen senden können, anstatt Supporttickets zu öffnen.'
  },
  question: {
    en: 'What should you enable?',
    de: 'Was sollten Sie aktivieren?'
  },
  options: [
    { id: 'A', text: { en: 'Admin consent workflow', de: 'Workflow für Administratorzustimmung' } },
    { id: 'B', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
    { id: 'C', text: { en: 'User assignment required', de: 'Benutzerzuweisung erforderlich' } },
    { id: 'D', text: { en: 'Claims mapping policy', de: 'Richtlinie zur Anspruchszuordnung' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'The admin consent workflow allows users to request approval for applications that require admin consent, and designated reviewers can approve or deny those requests. Access reviews recertify existing access, user assignment required limits who can sign in, and a claims mapping policy changes token contents rather than handling consent requests.',
    de: 'Der Workflow für Administratorzustimmung ermöglicht Benutzern, Genehmigungen für Anwendungen anzufordern, die eine Administratorzustimmung erfordern, und festgelegte Prüfer können diese Anforderungen genehmigen oder ablehnen. Zugriffsüberprüfungen bestätigen bestehenden Zugriff erneut, Benutzerzuweisung erforderlich begrenzt, wer sich anmelden darf, und eine Richtlinie zur Anspruchszuordnung ändert Tokeninhalte, verarbeitet jedoch keine Zustimmungsanforderungen.'
  },
  hint: {
    en: 'Choose the feature designed for review and approval of consent requests.',
    de: 'Wählen Sie die Funktion, die für die Prüfung und Genehmigung von Zustimmungsanforderungen vorgesehen ist.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-admin-consent-workflow'
},
{
  id: 'sc300-069',
  type: 'multiple',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'hard',
  scenario: {
    en: 'At Litware, Inc., administrators want users to be able to consent only to apps from verified publishers and only when the requested permissions are classified as low impact.',
    de: 'Bei Litware, Inc.: administratoren möchten, dass Benutzer nur Apps von verifizierten Herausgebern zustimmen können und nur dann, wenn die angeforderten Berechtigungen als geringfügig eingestuft sind.'
  },
  question: {
    en: 'Which two features should you configure? (Choose all that apply.)',
    de: 'Welche zwei Funktionen sollten Sie konfigurieren? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'User consent settings', de: 'Einstellungen für die Benutzerzustimmung' } },
    { id: 'B', text: { en: 'Permission classifications', de: 'Berechtigungsklassifizierungen' } },
    { id: 'C', text: { en: 'Entitlement management access packages', de: 'Zugriffspakete im Entitlement Management' } },
    { id: 'D', text: { en: 'Application Proxy connector groups', de: 'Connectorgruppen für Application Proxy' } }
  ],
  correct: ['A', 'B'],
  explanation: {
    en: 'User consent settings control whether users can consent and under which conditions, including policies that allow consent only for verified publishers. Permission classifications label delegated permissions by impact so low-risk permissions can be treated differently. Access packages govern resource requests, and Application Proxy connector groups are unrelated to consent policy.',
    de: 'Die Einstellungen für die Benutzerzustimmung steuern, ob Benutzer zustimmen dürfen und unter welchen Bedingungen, einschließlich Richtlinien, die eine Zustimmung nur für verifizierte Herausgeber zulassen. Berechtigungsklassifizierungen kennzeichnen delegierte Berechtigungen nach ihrer Auswirkung, sodass Berechtigungen mit geringem Risiko anders behandelt werden können. Zugriffspakete regeln Ressourcenanforderungen, und Connectorgruppen für Application Proxy stehen in keinem Zusammenhang mit Zustimmungsrichtlinien.'
  },
  hint: {
    en: 'One feature controls who may consent, and the other labels permission risk.',
    de: 'Eine Funktion steuert, wer zustimmen darf, und die andere kennzeichnet das Berechtigungsrisiko.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-user-consent'
},
{
  id: 'sc300-070',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Contoso, Ltd., a custom web API needs tokens to contain business authorization values such as Approver and Auditor so the API can enforce authorization logic directly.',
    de: 'Bei Contoso, Ltd.: eine benutzerdefinierte Web-API benötigt Token, die geschäftliche Autorisierungswerte wie Approver und Auditor enthalten, damit die API die Autorisierungslogik direkt erzwingen kann.'
  },
  question: {
    en: 'What should you implement?',
    de: 'Was sollten Sie implementieren?'
  },
  options: [
    { id: 'A', text: { en: 'App roles and role assignments', de: 'App-Rollen und Rollenzuweisungen' } },
    { id: 'B', text: { en: 'Dynamic groups only', de: 'Nur dynamische Gruppen' } },
    { id: 'C', text: { en: 'Optional claims only', de: 'Nur optionale Ansprüche' } },
    { id: 'D', text: { en: 'Conditional Access custom controls', de: 'Benutzerdefinierte Steuerelemente für bedingten Zugriff' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'App roles are designed for application authorization and are emitted in the roles claim when users, groups, or service principals are assigned to them. Dynamic groups help with membership management but do not by themselves produce business role claims. Optional claims add token attributes, not application authorization roles, and Conditional Access controls sign-in conditions rather than in-app authorization.',
    de: 'App-Rollen sind für die Anwendungsautorisierung vorgesehen und werden im Rollenanspruch ausgegeben, wenn Benutzer, Gruppen oder Dienstprinzipale diesen Rollen zugewiesen sind. Dynamische Gruppen helfen bei der Mitgliedschaftsverwaltung, erzeugen jedoch nicht von sich aus geschäftliche Rollenansprüche. Optionale Ansprüche fügen Tokenattribute hinzu, aber keine Anwendungsautorisierungsrollen, und bedingter Zugriff steuert Anmeldebedingungen statt der Autorisierung innerhalb der App.'
  },
  hint: {
    en: 'Use the feature that emits a roles claim for the application.',
    de: 'Verwenden Sie die Funktion, die einen Rollenanspruch für die Anwendung ausgibt.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/howto-add-app-roles-in-apps'
},
{
  id: 'sc300-071',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'An app uses delegated permissions to call Microsoft Graph on behalf of a signed-in user. What determines the app\'s effective access?',
    de: 'Eine App verwendet delegierte Berechtigungen, um Microsoft Graph im Namen eines angemeldeten Benutzers aufzurufen. Wodurch wird der effektive Zugriff der App bestimmt?'
  },
  options: [
    { id: 'A', text: { en: 'Only the delegated permission requested by the app', de: 'Nur durch die von der App angeforderte delegierte Berechtigung' } },
    { id: 'B', text: { en: 'The delegated permission together with the privileges of the signed-in user', de: 'Durch die delegierte Berechtigung zusammen mit den Rechten des angemeldeten Benutzers' } },
    { id: 'C', text: { en: 'Only the roles assigned to the app owners', de: 'Nur durch die Rollen, die den Besitzern der App zugewiesen sind' } },
    { id: 'D', text: { en: 'Only the Conditional Access policy applied at sign-in', de: 'Nur durch die beim Anmelden angewendete Richtlinie für bedingten Zugriff' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Delegated access is limited by both the permission granted to the application and the privileges of the signed-in user. The app cannot do more than the user can do, even if the scope exists, and it cannot do more than the scope allows. App owner roles are irrelevant to runtime API access, and Conditional Access can allow or block sign-in but does not define Graph data privileges.',
    de: 'Delegierter Zugriff wird sowohl durch die der Anwendung gewährte Berechtigung als auch durch die Rechte des angemeldeten Benutzers begrenzt. Die App kann nicht mehr tun, als der Benutzer tun darf, selbst wenn der Bereich vorhanden ist, und sie kann nicht mehr tun, als der Bereich erlaubt. Rollen der App-Besitzer sind für den Laufzeitzugriff auf APIs irrelevant, und bedingter Zugriff kann die Anmeldung zulassen oder blockieren, definiert jedoch keine Graph-Datenberechtigungen.'
  },
  hint: {
    en: 'Delegated access combines app permission and user context.',
    de: 'Delegierter Zugriff kombiniert App-Berechtigung und Benutzerkontext.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview'
},
{
  id: 'sc300-072',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'At Woodgrove Bank, several Azure resources must use the same identity to access a storage account. The identity must remain available even if one of the resources is deleted.',
    de: 'Bei Woodgrove Bank: mehrere Azure-Ressourcen sollen dieselbe Identität verwenden, um auf ein Speicherkonto zuzugreifen. Die Identität muss verfügbar bleiben, auch wenn eine der Ressourcen gelöscht wird.'
  },
  question: {
    en: 'What should you use?',
    de: 'Was sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'A system-assigned managed identity on each resource', de: 'Eine systemseitig zugewiesene verwaltete Identität für jede Ressource' } },
    { id: 'B', text: { en: 'A user-assigned managed identity', de: 'Eine benutzerseitig zugewiesene verwaltete Identität' } },
    { id: 'C', text: { en: 'A client secret shared between resources', de: 'Einen Clientschlüssel, der zwischen Ressourcen geteilt wird' } },
    { id: 'D', text: { en: 'A guest user account', de: 'Ein Gastbenutzerkonto' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'A user-assigned managed identity is a standalone identity resource that can be attached to multiple Azure resources and persists independently of any single host resource. A system-assigned managed identity is tied to exactly one resource and is deleted with it. A shared client secret and a guest user account both reintroduce credential management and security risk.',
    de: 'Eine benutzerseitig zugewiesene verwaltete Identität ist eine eigenständige Identitätsressource, die mehreren Azure-Ressourcen zugeordnet werden kann und unabhängig von einer einzelnen Hostressource bestehen bleibt. Eine systemseitig zugewiesene verwaltete Identität ist genau an eine Ressource gebunden und wird mit ihr gelöscht. Ein gemeinsam genutzter Clientschlüssel und ein Gastbenutzerkonto führen beide wieder zu Anmeldeinformationsverwaltung und Sicherheitsrisiken.'
  },
  hint: {
    en: 'Choose the managed identity type that can be reused across resources.',
    de: 'Wählen Sie den Typ der verwalteten Identität, der über mehrere Ressourcen hinweg wiederverwendet werden kann.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
},
{
  id: 'sc300-073',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Woodgrove Bank. Application Proxy is designed around outbound connector communication.',
    de: 'Sie arbeiten für Woodgrove Bank. Application Proxy ist auf ausgehende Connector-Kommunikation ausgelegt.'
  },
  question: {
    en: 'What network requirement should you implement?',
    de: 'Welche Netzwerkanforderung sollten Sie umsetzen?'
  },
  options: [
    { id: 'A', text: { en: 'Open inbound TCP 443 from the internet to each connector server', de: 'Eingehendes TCP 443 aus dem Internet zu jedem Connectorserver öffnen' } },
    { id: 'B', text: { en: 'Allow the connector to establish outbound HTTPS connections to the Application Proxy service', de: 'Dem Connector erlauben, ausgehende HTTPS-Verbindungen zum Application-Proxy-Dienst aufzubauen' } },
    { id: 'C', text: { en: 'Require a site-to-site VPN for every external user', de: 'Ein Site-to-Site-VPN für jeden externen Benutzer verlangen' } },
    { id: 'D', text: { en: 'Assign a public IP address directly to the application server', de: 'Dem Anwendungsserver direkt eine öffentliche IP-Adresse zuweisen' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Application Proxy connectors initiate outbound HTTPS connections to the cloud service, which avoids opening inbound internet ports into the internal network. Opening inbound 443 to connector servers is not the design, VPNs are not required for standard Application Proxy access, and assigning a public IP directly to the application server would weaken the intended security model.',
    de: 'Application-Proxy-Connectoren initiieren ausgehende HTTPS-Verbindungen zum Clouddienst, wodurch keine eingehenden Internetports in das interne Netzwerk geöffnet werden müssen. Eingehendes 443 zu Connectorservern zu öffnen, entspricht nicht dem Design, VPNs sind für den Standardzugriff über Application Proxy nicht erforderlich, und eine direkte öffentliche IP-Adresse für den Anwendungsserver würde das vorgesehene Sicherheitsmodell schwächen.'
  },
  hint: {
    en: 'Application Proxy is designed around outbound connector communication.',
    de: 'Application Proxy ist auf ausgehende Connector-Kommunikation ausgelegt.'
  },
  reference: 'https://learn.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy'
},
{
  id: 'sc300-074',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'hard',
  scenario: {
    en: 'At Litware, Inc., an on-premises application uses Integrated Windows Authentication and will be published through Microsoft Entra Application Proxy with single sign-on.',
    de: 'Bei Litware, Inc.: eine lokale Anwendung verwendet die integrierte Windows-Authentifizierung und soll mit Single Sign-On über Microsoft Entra Application Proxy veröffentlicht werden.'
  },
  question: {
    en: 'Which additional configuration is required for the backend authentication flow?',
    de: 'Welche zusätzliche Konfiguration ist für den Backend-Authentifizierungsfluss erforderlich?'
  },
  options: [
    { id: 'A', text: { en: 'Kerberos Constrained Delegation (KCD)', de: 'Eingeschränkte Kerberos-Delegierung (KCD)' } },
    { id: 'B', text: { en: 'OAuth 2.0 device code flow', de: 'OAuth 2.0 Device-Code-Flow' } },
    { id: 'C', text: { en: 'Password hash synchronization', de: 'Kennworthashsynchronisierung' } },
    { id: 'D', text: { en: 'A SAML token signing certificate', de: 'Ein SAML-Tokensignaturzertifikat' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'For Integrated Windows Authentication through Application Proxy, the connector must use Kerberos Constrained Delegation to obtain a Kerberos ticket to the backend app on behalf of the user. Device code flow is unrelated to backend Kerberos, password hash synchronization does not provide SSO to the on-premises app, and a SAML signing certificate is for SAML federation rather than Kerberos delegation.',
    de: 'Für die integrierte Windows-Authentifizierung über Application Proxy muss der Connector eingeschränkte Kerberos-Delegierung verwenden, um im Namen des Benutzers ein Kerberos-Ticket für die Backendanwendung abzurufen. Der Device-Code-Flow steht in keinem Zusammenhang mit Backend-Kerberos, die Kennworthashsynchronisierung stellt kein SSO für die lokale Anwendung bereit, und ein SAML-Tokensignaturzertifikat ist für SAML-Verbund statt für Kerberos-Delegierung gedacht.'
  },
  hint: {
    en: 'The connector must be able to obtain a Kerberos ticket for the user.',
    de: 'Der Connector muss für den Benutzer ein Kerberos-Ticket abrufen können.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/app-proxy/how-to-configure-sso-with-kcd'
},
{
  id: 'sc300-075',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Contoso, Ltd., a non-gallery application is configured for password-based single sign-on. Users can see the app in My Apps, but credentials are not being filled into the sign-in page from the browser.',
    de: 'Bei Contoso, Ltd.: eine Nicht-Kataloganwendung ist für kennwortbasiertes Single Sign-On konfiguriert. Benutzer sehen die App in My Apps, aber die Anmeldeinformationen werden im Browser nicht in die Anmeldeseite eingetragen.'
  },
  question: {
    en: 'Which prerequisite is most likely missing?',
    de: 'Welche Voraussetzung fehlt höchstwahrscheinlich?'
  },
  options: [
    { id: 'A', text: { en: 'My Apps Secure Sign-in browser extension', de: 'Browsererweiterung My Apps Secure Sign-in' } },
    { id: 'B', text: { en: 'SCIM provisioning', de: 'SCIM-Bereitstellung' } },
    { id: 'C', text: { en: 'A client certificate on each user object', de: 'Ein Clientzertifikat für jedes Benutzerobjekt' } },
    { id: 'D', text: { en: 'Admin consent workflow', de: 'Workflow für Administratorzustimmung' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Password-based SSO relies on the My Apps Secure Sign-in browser extension to detect the HTML sign-in page and fill the stored credentials. SCIM provisioning automates account lifecycle, not browser autofill. Client certificates are unrelated to this SSO method, and admin consent workflow handles approval requests rather than credential injection.',
    de: 'Kennwortbasiertes SSO ist auf die Browsererweiterung My Apps Secure Sign-in angewiesen, um die HTML-Anmeldeseite zu erkennen und die gespeicherten Anmeldeinformationen einzutragen. Die SCIM-Bereitstellung automatisiert den Kontolebenszyklus, aber nicht das automatische Ausfüllen im Browser. Clientzertifikate stehen in keinem Zusammenhang mit dieser SSO-Methode, und der Workflow für Administratorzustimmung behandelt Genehmigungsanfragen statt der Übergabe von Anmeldeinformationen.'
  },
  hint: {
    en: 'Password vaulting in the browser needs a helper component.',
    de: 'Die Kennwortspeicherung im Browser benötigt eine Hilfskomponente.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-password-single-sign-on-non-gallery-applications'
},
{
  id: 'sc300-076',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'You work for Litware, Inc. The requirement specifically mentions issuing an ID token to a user-facing app.',
    de: 'Sie arbeiten für Litware, Inc. In der Frage geht es ausdrücklich um die Ausstellung eines ID-Tokens für eine benutzerorientierte App.'
  },
  question: {
    en: 'Which protocol should you use for the authentication layer?',
    de: 'Welches Protokoll sollten Sie für die Authentifizierungsschicht verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'OpenID Connect', de: 'OpenID Connect' } },
    { id: 'B', text: { en: 'OAuth 2.0 client credentials', de: 'OAuth 2.0 Client-Credentials' } },
    { id: 'C', text: { en: 'LDAP bind', de: 'LDAP-Bind' } },
    { id: 'D', text: { en: 'Kerberos delegation', de: 'Kerberos-Delegierung' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'OpenID Connect is the authentication protocol built on top of OAuth 2.0 and is used to sign users in and issue ID tokens. Client credentials is an app-only authorization flow without user sign-in, LDAP bind is not the modern Microsoft identity platform sign-in protocol, and Kerberos delegation is for specific backend SSO scenarios rather than web app federation with ID tokens.',
    de: 'OpenID Connect ist das Authentifizierungsprotokoll, das auf OAuth 2.0 aufbaut und zum Anmelden von Benutzern sowie zum Ausstellen von ID-Token verwendet wird. Client-Credentials ist ein reiner App-Autorisierungsfluss ohne Benutzeranmeldung, LDAP-Bind ist nicht das moderne Anmeldeprotokoll der Microsoft-Identitätsplattform, und Kerberos-Delegierung ist für spezielle Backend-SSO-Szenarien gedacht, nicht für den Web-App-Verbund mit ID-Token.'
  },
  hint: {
    en: 'The question specifically mentions issuing an ID token to a user-facing app.',
    de: 'In der Frage geht es ausdrücklich um die Ausstellung eines ID-Tokens für eine benutzerorientierte App.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/v2-protocols-oidc'
},
{
  id: 'sc300-077',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Contoso, Ltd., a web application needs additional user attributes such as email and UPN to be included in the token issued by Microsoft Entra ID.',
    de: 'Bei Contoso, Ltd. benötigt zusätzliche Benutzerattribute wie E-Mail und UPN im von Microsoft Entra ID ausgestellten Token.'
  },
  question: {
    en: 'Which feature should you configure?',
    de: 'Welche Funktion sollten Sie konfigurieren?'
  },
  options: [
    { id: 'A', text: { en: 'Optional claims in token configuration', de: 'Optionale Ansprüche in der Tokenkonfiguration' } },
    { id: 'B', text: { en: 'Permission classifications', de: 'Berechtigungsklassifizierungen' } },
    { id: 'C', text: { en: 'App role assignments', de: 'App-Rollenzuweisungen' } },
    { id: 'D', text: { en: 'API permissions', de: 'API-Berechtigungen' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Optional claims let you add supported claims such as email, UPN, and other token attributes to ID, access, or SAML tokens for an application. Permission classifications affect consent policy, app role assignments govern authorization, and API permissions determine what protected resources an app can call rather than what claims are emitted in a token.',
    de: 'Optionale Ansprüche ermöglichen es, unterstützte Ansprüche wie E-Mail, UPN und andere Tokenattribute zu ID-, Zugriffs- oder SAML-Token einer Anwendung hinzuzufügen. Berechtigungsklassifizierungen beeinflussen Zustimmungsrichtlinien, App-Rollenzuweisungen steuern die Autorisierung, und API-Berechtigungen bestimmen, welche geschützten Ressourcen eine App aufrufen darf, nicht jedoch, welche Ansprüche in einem Token ausgegeben werden.'
  },
  hint: {
    en: 'You need to change token contents, not permissions.',
    de: 'Sie müssen den Tokeninhalt ändern, nicht die Berechtigungen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/optional-claims'
},
{
  id: 'sc300-078',
  type: 'multiple',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'hard',
  scenario: null,
  question: {
    en: 'Which permission requests require administrator consent? (Choose all that apply.)',
    de: 'Welche Berechtigungsanforderungen erfordern eine Administratorzustimmung? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Application permissions such as Files.Read.All', de: 'Anwendungsberechtigungen wie Files.Read.All' } },
    { id: 'B', text: { en: 'High-privilege delegated permissions such as Directory.Read.All', de: 'Delegierte Berechtigungen mit hohen Rechten wie Directory.Read.All' } },
    { id: 'C', text: { en: 'User.Read delegated permission', de: 'Delegierte Berechtigung User.Read' } },
    { id: 'D', text: { en: 'openid permission', de: 'Berechtigung openid' } }
  ],
  correct: ['A', 'B'],
  explanation: {
    en: 'Application permissions always require administrator consent because the app acts as itself without a user context. Certain high-privilege delegated permissions, such as Directory.Read.All, also require admin consent because of their broad organizational impact. User.Read and openid are low-impact permissions that users can typically consent to, subject to tenant consent policy.',
    de: 'Anwendungsberechtigungen erfordern immer eine Administratorzustimmung, weil die App ohne Benutzerkontext als sie selbst handelt. Bestimmte delegierte Berechtigungen mit hohen Rechten, wie Directory.Read.All, erfordern ebenfalls eine Administratorzustimmung, da sie weitreichende Auswirkungen auf die Organisation haben. User.Read und openid sind Berechtigungen mit geringer Auswirkung, denen Benutzer in der Regel zustimmen können, vorbehaltlich der Zustimmungsrichtlinie des Mandanten.'
  },
  hint: {
    en: 'Look for app-only access and broad directory-wide delegated access.',
    de: 'Achten Sie auf reinen App-Zugriff und weitreichenden delegierten Zugriff auf das gesamte Verzeichnis.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview'
},
{
  id: 'sc300-079',
  type: 'multiple',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which principals can be assigned an app role exposed by an application? (Choose all that apply.)',
    de: 'Welchen Prinzipalen kann eine von einer Anwendung offengelegte App-Rolle zugewiesen werden? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Users', de: 'Benutzer' } },
    { id: 'B', text: { en: 'Groups', de: 'Gruppen' } },
    { id: 'C', text: { en: 'Service principals', de: 'Dienstprinzipale' } },
    { id: 'D', text: { en: 'Conditional Access policies', de: 'Richtlinien für bedingten Zugriff' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'App roles can be assigned to users and groups for user-facing authorization, and they can also be assigned to service principals for application-to-application scenarios. Conditional Access policies are policy objects, not security principals, so they cannot receive app role assignments.',
    de: 'App-Rollen können Benutzern und Gruppen für benutzerorientierte Autorisierung zugewiesen werden und auch Dienstprinzipalen für Anwendung-zu-Anwendung-Szenarien. Richtlinien für bedingten Zugriff sind Richtlinienobjekte und keine Sicherheitsprinzipale, daher können ihnen keine App-Rollen zugewiesen werden.'
  },
  hint: {
    en: 'Choose security principals, not policy artifacts.',
    de: 'Wählen Sie Sicherheitsprinzipale, nicht Richtlinienartefakte.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/howto-add-app-roles-in-apps'
},
{
  id: 'sc300-080',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'An administrator at Woodgrove Bank clicks Grant admin consent for the organization on an enterprise application after reviewing the requested Microsoft Graph permissions.',
    de: 'Ein Administrator bei Woodgrove Bank klickt bei einer Unternehmensanwendung auf Administratorzustimmung für die Organisation erteilen, nachdem er die angeforderten Microsoft-Graph-Berechtigungen überprüft hat.'
  },
  question: {
    en: 'What is the effect of this action?',
    de: 'Welche Auswirkung hat diese Aktion?'
  },
  options: [
    { id: 'A', text: { en: 'Users no longer need to grant individual consent for those permissions, although assignment can still restrict access', de: 'Benutzer müssen für diese Berechtigungen keine individuelle Zustimmung mehr erteilen, auch wenn Zuweisungen den Zugriff weiterhin einschränken können' } },
    { id: 'B', text: { en: 'The application receives the Global Administrator role', de: 'Die Anwendung erhält die Rolle Globaler Administrator' } },
    { id: 'C', text: { en: 'All users automatically become owners of the enterprise application', de: 'Alle Benutzer werden automatisch Besitzer der Unternehmensanwendung' } },
    { id: 'D', text: { en: 'All redirect URIs become trusted across every tenant', de: 'Alle Umleitungs-URIs werden in jedem Mandanten vertrauenswürdig' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Granting admin consent creates an organization-wide permission grant for the requested permissions on that application, so users do not need to consent individually for those permissions anymore. It does not grant Microsoft Entra administrative roles to the app, does not make users owners, and does not change redirect URI trust. If user assignment is required, users still must be assigned to use the app.',
    de: 'Das Erteilen der Administratorzustimmung erstellt eine organisationsweite Berechtigungsvergabe für die angeforderten Berechtigungen dieser Anwendung, sodass Benutzer diesen Berechtigungen nicht mehr individuell zustimmen müssen. Dadurch erhält die App keine Microsoft-Entra-Administratorrollen, Benutzer werden nicht zu Besitzern, und das Vertrauen in Umleitungs-URIs ändert sich nicht. Wenn eine Benutzerzuweisung erforderlich ist, müssen Benutzer weiterhin der App zugewiesen sein.'
  },
  hint: {
    en: 'Think tenant-wide consent, not tenant-wide ownership or admin rights.',
    de: 'Denken Sie an mandantenweite Zustimmung, nicht an mandantenweiten Besitz oder Administratorrechte.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/grant-admin-consent'
},
{
  id: 'sc300-081',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'hard',
  scenario: {
    en: 'You work for Litware, Inc. This value identifies the protected API itself, not the sign-in callback.',
    de: 'Sie arbeiten für Litware, Inc. Dieser Wert identifiziert die geschützte API selbst, nicht den Rückruf für die Anmeldung.'
  },
  question: {
    en: 'What is the purpose of the Application ID URI in this scenario?',
    de: 'Welchen Zweck erfüllt die Anwendungs-ID-URI in diesem Szenario?'
  },
  options: [
    { id: 'A', text: { en: 'It uniquely identifies the API resource and prefixes the exposed scopes', de: 'Sie identifiziert die API-Ressource eindeutig und dient als Präfix für die offengelegten Bereiche' } },
    { id: 'B', text: { en: 'It defines where authentication responses are returned', de: 'Sie definiert, wohin Authentifizierungsantworten zurückgesendet werden' } },
    { id: 'C', text: { en: 'It stores the application secret used by confidential clients', de: 'Sie speichert den von vertraulichen Clients verwendeten Anwendungsschlüssel' } },
    { id: 'D', text: { en: 'It sets the page that appears after sign-out', de: 'Sie legt die Seite fest, die nach der Abmeldung angezeigt wird' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'The Application ID URI uniquely identifies the API as a resource and is used as the prefix for exposed scopes and app roles. Authentication response locations are configured with redirect URIs, secrets are stored separately, and post-sign-out pages are configured in authentication settings rather than by the Application ID URI.',
    de: 'Die Anwendungs-ID-URI identifiziert die API eindeutig als Ressource und wird als Präfix für offengelegte Bereiche und App-Rollen verwendet. Orte für Authentifizierungsantworten werden mit Umleitungs-URIs konfiguriert, Geheimnisse werden separat gespeichert, und Seiten nach der Abmeldung werden in den Authentifizierungseinstellungen konfiguriert, nicht über die Anwendungs-ID-URI.'
  },
  hint: {
    en: 'This value identifies the protected API itself, not the sign-in callback.',
    de: 'Dieser Wert identifiziert die geschützte API selbst, nicht den Rückruf für die Anmeldung.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/scenario-protected-web-api-expose-scopes'
},
{
  id: 'sc300-082',
  type: 'multiple',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which permission types can an administrator grant on behalf of the organization to an enterprise application? (Choose all that apply.)',
    de: 'Welche Berechtigungstypen kann ein Administrator im Namen der Organisation für eine Unternehmensanwendung erteilen? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Delegated permissions', de: 'Delegierte Berechtigungen' } },
    { id: 'B', text: { en: 'Application permissions', de: 'Anwendungsberechtigungen' } },
    { id: 'C', text: { en: 'Optional claims', de: 'Optionale Ansprüche' } },
    { id: 'D', text: { en: 'User and group assignments', de: 'Benutzer- und Gruppenzuweisungen' } }
  ],
  correct: ['A', 'B'],
  explanation: {
    en: 'Administrators can grant tenant-wide consent for delegated permissions and also grant required application permissions for app-only access. Optional claims affect token content and are not permission grants. User and group assignments control who can use the app but are not API permission types.',
    de: 'Administratoren können mandantenweite Zustimmung für delegierte Berechtigungen erteilen und auch erforderliche Anwendungsberechtigungen für reinen App-Zugriff gewähren. Optionale Ansprüche beeinflussen den Tokeninhalt und sind keine Berechtigungsvergabe. Benutzer- und Gruppenzuweisungen steuern, wer die App verwenden kann, sind jedoch keine API-Berechtigungstypen.'
  },
  hint: {
    en: 'Think about API access permissions, not token shaping or assignment controls.',
    de: 'Denken Sie an Berechtigungen für den API-Zugriff, nicht an Tokenanpassung oder Zuweisungssteuerung.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/grant-admin-consent'
},
{
  id: 'sc300-083',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'You work for Contoso, Ltd. This setting restricts access, not visibility only.',
    de: 'Sie arbeiten für Contoso, Ltd. Diese Einstellung beschränkt den Zugriff, nicht nur die Sichtbarkeit.'
  },
  question: {
    en: 'What is the result?',
    de: 'Was ist das Ergebnis?'
  },
  options: [
    { id: 'A', text: { en: 'Only assigned users or groups can sign in to the application', de: 'Nur zugewiesene Benutzer oder Gruppen können sich bei der Anwendung anmelden' } },
    { id: 'B', text: { en: 'All users can sign in, but the app is hidden from My Apps', de: 'Alle Benutzer können sich anmelden, aber die App ist in My Apps ausgeblendet' } },
    { id: 'C', text: { en: 'Users can always grant consent for any requested permission', de: 'Benutzer können immer jeder angeforderten Berechtigung zustimmen' } },
    { id: 'D', text: { en: 'The enterprise application is converted into an app registration', de: 'Die Unternehmensanwendung wird in eine App-Registrierung umgewandelt' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'When User assignment required is set to Yes, only users and groups explicitly assigned to the enterprise application can sign in. This setting does not simply hide the app, does not override consent policy, and does not change the object type. It is an access control measure for the enterprise application.',
    de: 'Wenn Benutzerzuweisung erforderlich auf Ja gesetzt ist, können sich nur Benutzer und Gruppen anmelden, die der Unternehmensanwendung ausdrücklich zugewiesen wurden. Diese Einstellung blendet die App nicht nur aus, überschreibt keine Zustimmungsrichtlinien und ändert auch nicht den Objekttyp. Sie ist eine Zugriffssteuerungsmaßnahme für die Unternehmensanwendung.'
  },
  hint: {
    en: 'This setting restricts access, not visibility only.',
    de: 'Diese Einstellung beschränkt den Zugriff, nicht nur die Sichtbarkeit.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/assign-user-or-group-access-portal'
},
{
  id: 'sc300-084',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Woodgrove Bank, a client application must call a custom web API on behalf of the currently signed-in user.',
    de: 'Bei Woodgrove Bank: eine Clientanwendung muss eine benutzerdefinierte Web-API im Namen des aktuell angemeldeten Benutzers aufrufen.'
  },
  question: {
    en: 'Which permission type should the client request for the API?',
    de: 'Welchen Berechtigungstyp sollte der Client für die API anfordern?'
  },
  options: [
    { id: 'A', text: { en: 'Application permission', de: 'Anwendungsberechtigung' } },
    { id: 'B', text: { en: 'Delegated permission', de: 'Delegierte Berechtigung' } },
    { id: 'C', text: { en: 'User assignment', de: 'Benutzerzuweisung' } },
    { id: 'D', text: { en: 'Provisioning entitlement', de: 'Bereitstellungsberechtigung' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Delegated permissions are used when an application acts on behalf of a signed-in user. Application permissions are for app-only access without a user context. User assignment controls sign-in eligibility to an app, and provisioning entitlements are not API permission types.',
    de: 'Delegierte Berechtigungen werden verwendet, wenn eine Anwendung im Namen eines angemeldeten Benutzers handelt. Anwendungsberechtigungen sind für reinen App-Zugriff ohne Benutzerkontext gedacht. Benutzerzuweisungen steuern die Berechtigung zur Anmeldung an einer App, und Bereitstellungsberechtigungen sind keine API-Berechtigungstypen.'
  },
  hint: {
    en: 'The phrase on behalf of the user is the key clue.',
    de: 'Der Ausdruck im Namen des Benutzers ist der entscheidende Hinweis.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview'
},
{
  id: 'sc300-085',
  type: 'single',
  domain: { en: 'Implement Access Management for Applications', de: 'Zugriffsverwaltung für Anwendungen implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'A SaaS application at Woodgrove Bank uses SAML single sign-on. The app requires the user department attribute to be sent in the SAML assertion.',
    de: 'Eine SaaS-Anwendung bei Woodgrove Bank verwendet SAML-SSO. Die App erfordert, dass das Benutzerattribut Department in der SAML-Assertion gesendet wird.'
  },
  question: {
    en: 'Where should you configure this requirement?',
    de: 'Wo sollten Sie diese Anforderung konfigurieren?'
  },
  options: [
    { id: 'A', text: { en: 'User Attributes & Claims in the enterprise application SSO configuration', de: 'Benutzerattribute und Ansprüche in der SSO-Konfiguration der Unternehmensanwendung' } },
    { id: 'B', text: { en: 'Authentication methods policy', de: 'Richtlinie für Authentifizierungsmethoden' } },
    { id: 'C', text: { en: 'Admin consent workflow settings', de: 'Einstellungen für den Workflow der Administratorzustimmung' } },
    { id: 'D', text: { en: 'Application Proxy connector settings', de: 'Connectoreinstellungen für Application Proxy' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'For SAML applications, claim issuance such as NameID and custom attributes like department is configured in User Attributes & Claims within the enterprise application SSO settings. Authentication methods policy controls how users authenticate, admin consent workflow handles consent requests, and Application Proxy connector settings govern app publishing rather than SAML assertion content.',
    de: 'Für SAML-Anwendungen wird die Ausgabe von Ansprüchen wie NameID und benutzerdefinierten Attributen wie Department unter Benutzerattribute und Ansprüche in den SSO-Einstellungen der Unternehmensanwendung konfiguriert. Die Richtlinie für Authentifizierungsmethoden steuert, wie Benutzer sich authentifizieren, der Workflow für Administratorzustimmung verarbeitet Zustimmungsanforderungen, und Connectoreinstellungen für Application Proxy betreffen die App-Veröffentlichung, nicht den Inhalt der SAML-Assertion.'
  },
  hint: {
    en: 'This is a token claim customization task for a SAML app.',
    de: 'Dies ist eine Aufgabe zur Anpassung von Tokenansprüchen für eine SAML-App.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/saml-claims-customization'
},
{
  id: 'sc300-086',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'Litware, Inc. collaborates with a supplier that has its own Microsoft Entra tenant. Only users from that supplier should be eligible to request a partner access package.',
    de: 'Litware, Inc. arbeitet mit einem Lieferanten zusammen, der über einen eigenen Microsoft Entra-Mandanten verfügt. Nur Benutzer dieses Lieferanten sollen ein Partner-Zugriffspaket anfordern dürfen.'
  },
  question: {
    en: 'Which entitlement management object should you create to represent the supplier tenant?',
    de: 'Welches Objekt in Entitlement Management sollten Sie erstellen, um den Mandanten des Lieferanten darzustellen?'
  },
  options: [
    { id: 'A', text: { en: 'A connected organization', de: 'Eine verbundene Organisation' } },
    { id: 'B', text: { en: 'An access review', de: 'Eine Zugriffsüberprüfung' } },
    { id: 'C', text: { en: 'An administrative unit', de: 'Eine administrative Einheit' } },
    { id: 'D', text: { en: 'A lifecycle workflow', de: 'Einen Lifecycle-Workflow' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'A connected organization represents an external organization in entitlement management and can be targeted by access package policies. Access reviews only recertify existing access, administrative units scope administration, and lifecycle workflows automate user lifecycle tasks rather than model partner organizations.',
    de: 'Eine verbundene Organisation repräsentiert in Entitlement Management eine externe Organisation und kann in Richtlinien für Zugriffspakete verwendet werden. Zugriffsüberprüfungen zertifizieren nur bestehenden Zugriff neu, administrative Einheiten grenzen die Verwaltung ein, und Lifecycle-Workflows automatisieren Aufgaben im Benutzerlebenszyklus, modellieren aber keine Partnerorganisationen.'
  },
  hint: {
    en: 'Think about the construct used to model an external partner tenant.',
    de: 'Denken Sie an das Konstrukt, mit dem ein externer Partnermandant modelliert wird.'
  },
  reference: 'https://learn.microsoft.com/en-us/azure/active-directory/governance/entitlement-management-connected-organization-overview'
},
{
  id: 'sc300-087',
  type: 'multiple',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'hard',
  scenario: null,
  question: {
    en: 'Which scenarios typically require multiple policies on the same access package? (Choose all that apply.)',
    de: 'Welche Szenarien erfordern typischerweise mehrere Richtlinien für dasselbe Zugriffspaket? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Internal employees and external partners need different requester scopes', de: 'Interne Mitarbeiter und externe Partner benötigen unterschiedliche Anfordererbereiche' } },
    { id: 'B', text: { en: 'Different populations need different approval or expiration settings', de: 'Unterschiedliche Benutzergruppen benötigen unterschiedliche Genehmigungs- oder Ablaufeinstellungen' } },
    { id: 'C', text: { en: 'The access package contains more than one resource type', de: 'Das Zugriffspaket enthält mehr als einen Ressourcentyp' } },
    { id: 'D', text: { en: 'The catalog contains resources from multiple owners', de: 'Der Katalog enthält Ressourcen von mehreren Besitzern' } }
  ],
  correct: ['A', 'B'],
  explanation: {
    en: 'Multiple policies are used when different requester populations or different approval and lifecycle rules must apply to the same access package. Simply having several resource types or multiple owners in a catalog does not by itself require multiple policies.',
    de: 'Mehrere Richtlinien werden verwendet, wenn für unterschiedliche Anforderergruppen oder unterschiedliche Genehmigungs- und Lebenszyklusregeln dasselbe Zugriffspaket gelten soll. Allein mehrere Ressourcentypen oder mehrere Besitzer in einem Katalog erfordern keine mehreren Richtlinien.'
  },
  hint: {
    en: 'Policies separate who can request and under which governance rules.',
    de: 'Richtlinien trennen, wer anfordern darf und unter welchen Governance-Regeln.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy'
},
{
  id: 'sc300-088',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Contoso, Ltd. The key is scoping external requesters to approved partner organizations.',
    de: 'Contoso, Ltd. – Ein Zugriffspaket soll nur für Gastbenutzer aus genehmigten Partnermandanten sichtbar sein, nicht für interne Mitarbeiter und nicht für beliebige externe E-Mail-Adressen.'
  },
  question: {
    en: 'Which request setting should you select in the access package policy?',
    de: 'Welche Anforderungseinstellung sollten Sie in der Richtlinie des Zugriffspakets auswählen?'
  },
  options: [
    { id: 'A', text: { en: 'For users, service principals, and agent identities in your directory', de: 'Für Benutzer, Dienstprinzipale und Agent-Identitäten in Ihrem Verzeichnis' } },
    { id: 'B', text: { en: 'For users not in your directory, then Specific connected organizations', de: 'Für Benutzer, die nicht in Ihrem Verzeichnis sind, dann Bestimmte verbundene Organisationen' } },
    { id: 'C', text: { en: 'All members (excluding guests)', de: 'Alle Mitglieder (ohne Gäste)' } },
    { id: 'D', text: { en: 'None (administrator direct assignments only)', de: 'Keine (nur direkte Zuweisungen durch Administratoren)' } }
  ],
  correct: ['B'],
  explanation: {
    en: 'Selecting users not in your directory and then limiting them to specific connected organizations allows only approved external tenants to request the package. Options A and C target internal identities, and D disables self-service requests entirely.',
    de: 'Wenn Sie Benutzer auswählen, die nicht in Ihrem Verzeichnis sind, und diese dann auf bestimmte verbundene Organisationen beschränken, können nur genehmigte externe Mandanten das Paket anfordern. Die Optionen A und C richten sich an interne Identitäten, und D deaktiviert Self-Service-Anforderungen vollständig.'
  },
  hint: {
    en: 'The key is scoping external requesters to approved partner organizations.',
    de: 'Entscheidend ist, externe Anforderer auf genehmigte Partnerorganisationen zu beschränken.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy'
},
{
  id: 'sc300-089',
  type: 'multiple',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which settings are configured in an access package assignment policy? (Choose all that apply.)',
    de: 'Welche Einstellungen werden in einer Zuweisungsrichtlinie für Zugriffspakete konfiguriert? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Who can request access', de: 'Wer Zugriff anfordern darf' } },
    { id: 'B', text: { en: 'Approval requirements for requests', de: 'Genehmigungsanforderungen für Anforderungen' } },
    { id: 'C', text: { en: 'Assignment expiration and extension settings', de: 'Ablauf- und Verlängerungseinstellungen für Zuweisungen' } },
    { id: 'D', text: { en: 'Password writeback settings', de: 'Kennwortrückschreibe-Einstellungen' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'An access package assignment policy defines requester scope, approval behavior, and lifecycle settings such as expiration and extension. Password writeback is an Entra Connect feature and is unrelated to entitlement management policies.',
    de: 'Eine Zuweisungsrichtlinie für Zugriffspakete definiert den Anfordererbereich, das Genehmigungsverhalten und Lebenszykluseinstellungen wie Ablauf und Verlängerung. Die Kennwortrückschreibung ist eine Funktion von Entra Connect und hat nichts mit Richtlinien im Entitlement Management zu tun.'
  },
  hint: {
    en: 'Think about request, approval, and lifecycle controls.',
    de: 'Denken Sie an Anforderungs-, Genehmigungs- und Lebenszyklussteuerung.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-access-package-request-policy'
},
{
  id: 'sc300-090',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Litware, Inc., group owners often ignore access review tasks. If no one reviews by the deadline, access must be removed automatically.',
    de: 'Bei Litware, Inc.: gruppenbesitzer ignorieren häufig Aufgaben zur Zugriffsüberprüfung. Wenn bis zur Frist niemand prüft, muss der Zugriff automatisch entfernt werden.'
  },
  question: {
    en: 'Which configuration best meets this requirement?',
    de: 'Welche Konfiguration erfüllt diese Anforderung am besten?'
  },
  options: [
    { id: 'A', text: { en: 'Enable auto-apply results and set If reviewers do not respond to Remove access', de: 'Automatisches Anwenden der Ergebnisse aktivieren und Wenn Prüfer nicht reagieren auf Zugriff entfernen setzen' } },
    { id: 'B', text: { en: 'Use recommendations only and leave results for manual application', de: 'Nur Empfehlungen verwenden und Ergebnisse manuell anwenden' } },
    { id: 'C', text: { en: 'Require justification from requestors', de: 'Begründung von Anforderern verlangen' } },
    { id: 'D', text: { en: 'Convert the group to dynamic membership', de: 'Die Gruppe in eine dynamische Mitgliedschaft umwandeln' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Auto-applying results enforces the review outcome, and setting no response to remove access ensures unattended reviews do not leave access in place. Recommendations alone do not enforce anything, justification affects requests rather than reviews, and dynamic groups do not solve review enforcement.',
    de: 'Durch das automatische Anwenden der Ergebnisse wird das Resultat der Überprüfung durchgesetzt, und die Einstellung, bei fehlender Reaktion den Zugriff zu entfernen, verhindert unbeaufsichtigten Zugriff. Empfehlungen allein setzen nichts durch, Begründungen betreffen Anforderungen statt Überprüfungen, und dynamische Gruppen lösen das Problem der Durchsetzung nicht.'
  },
  hint: {
    en: 'You need both enforcement and a secure no-response outcome.',
    de: 'Sie benötigen sowohl Durchsetzung als auch ein sicheres Verhalten bei fehlender Reaktion.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
},
{
  id: 'sc300-091',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'hard',
  scenario: null,
  question: {
    en: 'In access reviews for application access, which signal can Microsoft Entra use to generate recommendations?',
    de: 'Welches Signal kann Microsoft Entra bei Zugriffsüberprüfungen für Anwendungszugriff verwenden, um Empfehlungen zu erzeugen?'
  },
  options: [
    { id: 'A', text: { en: 'Recent sign-in activity', de: 'Aktuelle Anmeldeaktivität' } },
    { id: 'B', text: { en: 'Device serial number', de: 'Geräte-Seriennummer' } },
    { id: 'C', text: { en: 'Azure subscription spending', de: 'Ausgaben für Azure-Abonnements' } },
    { id: 'D', text: { en: 'Sensitivity label inheritance', de: 'Vererbung von Vertraulichkeitsbezeichnungen' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Microsoft Entra recommendations for some access reviews can use activity signals such as recent sign-ins to help reviewers decide. Device serial numbers, cloud spending, and label inheritance are not recommendation inputs for access reviews.',
    de: 'Microsoft Entra kann für einige Zugriffsüberprüfungen Aktivitätssignale wie aktuelle Anmeldungen verwenden, um Prüfer bei Entscheidungen zu unterstützen. Geräte-Seriennummern, Cloud-Ausgaben und die Vererbung von Bezeichnungen sind keine Eingaben für Empfehlungen in Zugriffsüberprüfungen.'
  },
  hint: {
    en: 'Recommendations look at whether access appears to be used.',
    de: 'Empfehlungen berücksichtigen, ob der Zugriff offenbar genutzt wird.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
},
{
  id: 'sc300-092',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Contoso, Ltd., guest users in a project group do not have usable manager relationships in your tenant, but each guest must periodically attest whether access is still needed.',
    de: 'Bei Contoso, Ltd.: gastbenutzer in einer Projektgruppe haben in Ihrem Mandanten keine nutzbaren Managerbeziehungen, aber jeder Gast muss regelmäßig bestätigen, ob der Zugriff noch benötigt wird.'
  },
  question: {
    en: 'Who should you configure as the reviewer?',
    de: 'Wen sollten Sie als Prüfer konfigurieren?'
  },
  options: [
    { id: 'A', text: { en: 'The guest users themselves', de: 'Die Gastbenutzer selbst' } },
    { id: 'B', text: { en: 'The directory synchronization account', de: 'Das Verzeichnissynchronisationskonto' } },
    { id: 'C', text: { en: 'Conditional Access administrators', de: 'Administratoren für bedingten Zugriff' } },
    { id: 'D', text: { en: 'The Microsoft 365 service principal', de: 'Der Microsoft 365-Dienstprinzipal' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Access reviews can be configured so users review their own access, which fits guest scenarios where manager data is missing or unreliable. The other options are unrelated administrative or service identities and are not appropriate reviewers for this requirement.',
    de: 'Zugriffsüberprüfungen können so konfiguriert werden, dass Benutzer ihren eigenen Zugriff überprüfen, was für Gastszenarien mit fehlenden oder unzuverlässigen Managerdaten geeignet ist. Die anderen Optionen sind nicht passende administrative oder technische Identitäten.'
  },
  hint: {
    en: 'If no manager exists, let the subject attest their own need.',
    de: 'Wenn kein Manager vorhanden ist, sollte die betroffene Person ihren Bedarf selbst bestätigen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
},
{
  id: 'sc300-093',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'The security team at Woodgrove Bank wants built-in detection when privileged roles are assigned outside PIM or when too many users are assigned to a highly privileged role.',
    de: 'Das Sicherheitsteam von Woodgrove Bank möchte eine integrierte Erkennung, wenn privilegierte Rollen außerhalb von PIM zugewiesen werden oder wenn zu viele Benutzer einer hoch privilegierten Rolle zugewiesen sind.'
  },
  question: {
    en: 'Which Privileged Identity Management capability should you use?',
    de: 'Welche Funktion von Privileged Identity Management sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'Alerts', de: 'Warnungen' } },
    { id: 'B', text: { en: 'Access packages', de: 'Zugriffspakete' } },
    { id: 'C', text: { en: 'Catalogs', de: 'Kataloge' } },
    { id: 'D', text: { en: 'Named locations', de: 'Benannte Standorte' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'PIM alerts are designed to flag risky or nonstandard privileged access situations such as assignments outside PIM or excessive permanent administrators. Access packages and catalogs belong to entitlement management, and named locations belong to Conditional Access.',
    de: 'PIM-Warnungen sind dafür vorgesehen, riskante oder ungewöhnliche Situationen beim privilegierten Zugriff zu erkennen, etwa Zuweisungen außerhalb von PIM oder zu viele permanente Administratoren. Zugriffspakete und Kataloge gehören zum Entitlement Management, und benannte Standorte gehören zum bedingten Zugriff.'
  },
  hint: {
    en: 'You need monitoring and detection, not assignment packaging.',
    de: 'Sie benötigen Überwachung und Erkennung, nicht das Paketieren von Zuweisungen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
},
{
  id: 'sc300-094',
  type: 'multiple',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'hard',
  scenario: null,
  question: {
    en: 'Which controls can you require when a user activates an eligible Microsoft Entra role in PIM? (Choose all that apply.)',
    de: 'Welche Steuerungen können Sie verlangen, wenn ein Benutzer eine berechtigte Microsoft Entra-Rolle in PIM aktiviert? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Multifactor authentication', de: 'Multi-Faktor-Authentifizierung' } },
    { id: 'B', text: { en: 'Justification', de: 'Begründung' } },
    { id: 'C', text: { en: 'Ticket information', de: 'Ticketinformationen' } },
    { id: 'D', text: { en: 'Approval from designated approvers', de: 'Genehmigung durch festgelegte Genehmiger' } }
  ],
  correct: ['A', 'B', 'C', 'D'],
  explanation: {
    en: 'PIM role settings can require MFA, justification, ticket information, and approval during activation to strengthen just-in-time access. None of these are distractors here because all four are supported activation controls for eligible role activation.',
    de: 'PIM-Rolleneinstellungen können bei der Aktivierung MFA, Begründung, Ticketinformationen und Genehmigung verlangen, um Just-in-Time-Zugriff abzusichern. Hier ist keine dieser Optionen ein Ablenker, denn alle vier werden als Aktivierungssteuerungen für berechtigte Rollen unterstützt.'
  },
  hint: {
    en: 'Think of the full set of activation hardening options in PIM.',
    de: 'Denken Sie an die vollständige Menge an Härtungsoptionen für Aktivierungen in PIM.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-resource-roles-configure-role-settings'
},
{
  id: 'sc300-095',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Woodgrove Bank, administrators must enter the ServiceNow change ticket number each time they activate the Privileged Role Administrator role.',
    de: 'Bei Woodgrove Bank: administratoren müssen jedes Mal die ServiceNow-Änderungsticketnummer eingeben, wenn sie die Rolle Privileged Role Administrator aktivieren.'
  },
  question: {
    en: 'Which PIM setting should you enable?',
    de: 'Welche PIM-Einstellung sollten Sie aktivieren?'
  },
  options: [
    { id: 'A', text: { en: 'Require ticket information on activation', de: 'Ticketinformationen bei der Aktivierung verlangen' } },
    { id: 'B', text: { en: 'Require access reviews on assignment', de: 'Zugriffsüberprüfungen bei der Zuweisung verlangen' } },
    { id: 'C', text: { en: 'Require password change at next sign-in', de: 'Kennwortänderung bei der nächsten Anmeldung verlangen' } },
    { id: 'D', text: { en: 'Require Terms of Use acceptance', de: 'Akzeptanz von Nutzungsbedingungen verlangen' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'The ticket information requirement is the PIM activation control meant to capture change or incident numbers during elevation. Access reviews are periodic governance, while password change and Terms of Use are unrelated to privileged role activation evidence.',
    de: 'Die Anforderung von Ticketinformationen ist die PIM-Aktivierungssteuerung, mit der Änderungs- oder Incident-Nummern bei der Erhöhung erfasst werden. Zugriffsüberprüfungen sind periodische Governance, während Kennwortänderung und Nutzungsbedingungen nichts mit dem Nachweis bei der Aktivierung privilegierter Rollen zu tun haben.'
  },
  hint: {
    en: 'Use the control designed to capture ITSM references at activation time.',
    de: 'Verwenden Sie die Steuerung, die ITSM-Referenzen zum Aktivierungszeitpunkt erfasst.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-resource-roles-configure-role-settings'
},
{
  id: 'sc300-096',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'You work for Litware, Inc. Not every group can hold an Entra role.',
    de: 'Sie arbeiten für Litware, Inc. Nicht jede Gruppe kann eine Entra-Rolle erhalten.'
  },
  question: {
    en: 'What type of group must you create?',
    de: 'Welchen Gruppentyp müssen Sie erstellen?'
  },
  options: [
    { id: 'A', text: { en: 'A role-assignable security group', de: 'Eine rollenzuweisbare Sicherheitsgruppe' } },
    { id: 'B', text: { en: 'A dynamic Microsoft 365 group', de: 'Eine dynamische Microsoft 365-Gruppe' } },
    { id: 'C', text: { en: 'A mail-enabled security group', de: 'Eine E-Mail-aktivierte Sicherheitsgruppe' } },
    { id: 'D', text: { en: 'A distribution list', de: 'Eine Verteilerliste' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Only role-assignable security groups can be assigned Microsoft Entra roles. Dynamic Microsoft 365 groups, mail-enabled security groups, and distribution lists are not valid for Microsoft Entra role assignment.',
    de: 'Nur rollenzuweisbare Sicherheitsgruppen können Microsoft Entra-Rollen zugewiesen werden. Dynamische Microsoft 365-Gruppen, E-Mail-aktivierte Sicherheitsgruppen und Verteilerlisten sind für die Zuweisung von Microsoft Entra-Rollen nicht geeignet.'
  },
  hint: {
    en: 'Not every group can hold an Entra role.',
    de: 'Nicht jede Gruppe kann eine Entra-Rolle erhalten.'
  },
  reference: 'https://learn.microsoft.com/en-us/azure/active-directory/roles/groups-concept'
},
{
  id: 'sc300-097',
  type: 'multiple',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'hard',
  scenario: null,
  question: {
    en: 'Which statements about privileged access groups are true? (Choose all that apply.)',
    de: 'Welche Aussagen zu privilegierten Zugriffsgruppen sind richtig? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'PIM can make group membership or ownership eligible and time-bound', de: 'PIM kann Gruppenmitgliedschaft oder -besitz berechtigt und zeitgebunden machen' } },
    { id: 'B', text: { en: 'A role-assignable group can be used to grant Microsoft Entra roles', de: 'Eine rollenzuweisbare Gruppe kann verwendet werden, um Microsoft Entra-Rollen zu gewähren' } },
    { id: 'C', text: { en: 'Any distribution list can be onboarded as a privileged access group', de: 'Jede Verteilerliste kann als privilegierte Zugriffsgruppe eingebunden werden' } },
    { id: 'D', text: { en: 'A role-assignable group supports dynamic membership rules', de: 'Eine rollenzuweisbare Gruppe unterstützt dynamische Mitgliedschaftsregeln' } }
  ],
  correct: ['A', 'B'],
  explanation: {
    en: 'PIM for Groups supports eligible, time-bound control of membership and ownership, and role-assignable groups can carry Microsoft Entra role assignments. Distribution lists are not supported for this purpose, and role-assignable groups cannot use dynamic membership rules.',
    de: 'PIM für Gruppen unterstützt die berechtigte und zeitgebundene Steuerung von Mitgliedschaft und Besitz, und rollenzuweisbare Gruppen können Microsoft Entra-Rollenzuweisungen tragen. Verteilerlisten werden dafür nicht unterstützt, und rollenzuweisbare Gruppen können keine dynamischen Mitgliedschaftsregeln verwenden.'
  },
  hint: {
    en: 'Separate what PIM for Groups can govern from unsupported group types and settings.',
    de: 'Trennen Sie, was PIM für Gruppen steuern kann, von nicht unterstützten Gruppentypen und Einstellungen.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/concept-pim-for-groups'
},
{
  id: 'sc300-098',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'At Litware, Inc., new hires need a temporary credential so they can sign in and register MFA methods on their first day without help desk intervention.',
    de: 'Bei Litware, Inc.: neue Mitarbeiter benötigen einen temporären Anmeldenachweis, damit sie sich am ersten Tag anmelden und MFA-Methoden registrieren können, ohne den Helpdesk einzuschalten.'
  },
  question: {
    en: 'Which lifecycle workflow task is most appropriate?',
    de: 'Welche Aufgabe in einem Lifecycle-Workflow ist am geeignetsten?'
  },
  options: [
    { id: 'A', text: { en: 'Generate a Temporary Access Pass', de: 'Einen Temporären Zugriffspass generieren' } },
    { id: 'B', text: { en: 'Start an access review', de: 'Eine Zugriffsüberprüfung starten' } },
    { id: 'C', text: { en: 'Create a connected organization', de: 'Eine verbundene Organisation erstellen' } },
    { id: 'D', text: { en: 'Export audit logs', de: 'Überwachungsprotokolle exportieren' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'A Temporary Access Pass is designed to bootstrap secure sign-in and authentication method registration for new users. Access reviews, connected organizations, and log exports do not provide a temporary authentication credential.',
    de: 'Ein Temporärer Zugriffspass ist dafür vorgesehen, eine sichere Erstanmeldung und die Registrierung von Authentifizierungsmethoden für neue Benutzer zu ermöglichen. Zugriffsüberprüfungen, verbundene Organisationen und Protokollexporte stellen keinen temporären Anmeldenachweis bereit.'
  },
  hint: {
    en: 'Think of passwordless onboarding for day-one access.',
    de: 'Denken Sie an passwortloses Onboarding für den Zugriff am ersten Tag.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/identity/lifecycle-workflows/tutorial-configure-temporary-access-pass'
},
{
  id: 'sc300-099',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'easy',
  scenario: null,
  question: {
    en: 'Which user attribute is commonly used to trigger a joiner workflow relative to an employee start date?',
    de: 'Welches Benutzerattribut wird üblicherweise verwendet, um einen Joiner-Workflow relativ zum Eintrittsdatum eines Mitarbeiters auszulösen?'
  },
  options: [
    { id: 'A', text: { en: 'employeeHireDateTime', de: 'employeeHireDateTime' } },
    { id: 'B', text: { en: 'employeeType', de: 'employeeType' } },
    { id: 'C', text: { en: 'usageLocation', de: 'usageLocation' } },
    { id: 'D', text: { en: 'onPremisesSamAccountName', de: 'onPremisesSamAccountName' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Joiner workflows are commonly scheduled relative to employeeHireDateTime to prepare or grant access around a user’s start date. The other attributes may be useful for filtering or identity data, but they are not the standard start-date trigger.',
    de: 'Joiner-Workflows werden üblicherweise relativ zu employeeHireDateTime geplant, um Zugriff rund um das Eintrittsdatum eines Benutzers vorzubereiten oder zu gewähren. Die anderen Attribute können für Filterung oder Identitätsdaten nützlich sein, sind aber nicht der übliche Trigger für das Startdatum.'
  },
  hint: {
    en: 'Look for the attribute that explicitly stores the hire date and time.',
    de: 'Suchen Sie nach dem Attribut, das explizit das Einstellungsdatum und die Uhrzeit speichert.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflows-overview'
},
{
  id: 'sc300-100',
  type: 'multiple',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which trigger categories are supported by Microsoft Entra lifecycle workflows? (Choose all that apply.)',
    de: 'Welche Triggerkategorien werden von Microsoft Entra Lifecycle-Workflows unterstützt? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Time-based triggers tied to employeeHireDateTime', de: 'Zeitbasierte Trigger in Verbindung mit employeeHireDateTime' } },
    { id: 'B', text: { en: 'Time-based triggers tied to employeeLeaveDateTime', de: 'Zeitbasierte Trigger in Verbindung mit employeeLeaveDateTime' } },
    { id: 'C', text: { en: 'Triggers based on user attribute changes', de: 'Trigger auf Basis von Änderungen an Benutzerattributen' } },
    { id: 'D', text: { en: 'Triggers based on Microsoft Defender for Cloud alerts', de: 'Trigger auf Basis von Warnungen aus Microsoft Defender for Cloud' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'Lifecycle workflows support timing around hire and leave dates as well as certain attribute-change-based automation. Defender for Cloud alerts are not lifecycle workflow trigger categories; they belong to a different security service.',
    de: 'Lifecycle-Workflows unterstützen Zeitsteuerungen rund um Eintritts- und Austrittsdaten sowie bestimmte Automatisierungen auf Basis von Attributänderungen. Warnungen aus Defender for Cloud sind keine Triggerkategorie für Lifecycle-Workflows, sondern gehören zu einem anderen Sicherheitsdienst.'
  },
  hint: {
    en: 'Lifecycle workflows are driven by identity lifecycle timing and identity data changes.',
    de: 'Lifecycle-Workflows werden durch Zeitpunkte im Benutzerlebenszyklus und Änderungen an Identitätsdaten gesteuert.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflows-overview'
},
{
  id: 'sc300-101',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Contoso, Ltd., hR updates the Department attribute whenever employees transfer internally. Access must be adjusted when that attribute changes.',
    de: 'Bei Contoso, Ltd.: die Personalabteilung aktualisiert das Attribut Department, wenn Mitarbeiter intern wechseln. Der Zugriff muss angepasst werden, wenn sich dieses Attribut ändert.'
  },
  question: {
    en: 'Which lifecycle workflow approach should you use?',
    de: 'Welchen Ansatz für Lifecycle-Workflows sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'A workflow triggered by attribute changes', de: 'Einen durch Attributänderungen ausgelösten Workflow' } },
    { id: 'B', text: { en: 'A monthly manual access review only', de: 'Nur eine monatliche manuelle Zugriffsüberprüfung' } },
    { id: 'C', text: { en: 'A Conditional Access policy', de: 'Eine Richtlinie für bedingten Zugriff' } },
    { id: 'D', text: { en: 'A connected organization', de: 'Eine verbundene Organisation' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Mover scenarios align with attribute-change triggers because the workflow should react when identity data such as Department changes. Manual reviews are slower and not event-driven, while Conditional Access and connected organizations solve different problems.',
    de: 'Mover-Szenarien passen zu Triggern auf Basis von Attributänderungen, weil der Workflow reagieren soll, wenn sich Identitätsdaten wie Department ändern. Manuelle Überprüfungen sind langsamer und nicht ereignisgesteuert, während bedingter Zugriff und verbundene Organisationen andere Probleme lösen.'
  },
  hint: {
    en: 'Use the trigger model that reacts to HR-driven identity updates.',
    de: 'Verwenden Sie das Triggermodell, das auf HR-gesteuerte Aktualisierungen von Identitätsdaten reagiert.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflows-overview'
},
{
  id: 'sc300-102',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Woodgrove Bank, accounts must be automatically processed for offboarding based on the planned departure date stored in Microsoft Entra ID.',
    de: 'Bei Woodgrove Bank: konten müssen für das Offboarding automatisch verarbeitet werden, basierend auf dem geplanten Austrittsdatum, das in Microsoft Entra ID gespeichert ist.'
  },
  question: {
    en: 'Which attribute should a leaver workflow use?',
    de: 'Welches Attribut sollte ein Leaver-Workflow verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'employeeLeaveDateTime', de: 'employeeLeaveDateTime' } },
    { id: 'B', text: { en: 'signInActivity', de: 'signInActivity' } },
    { id: 'C', text: { en: 'usageLocation', de: 'usageLocation' } },
    { id: 'D', text: { en: 'proxyAddresses', de: 'proxyAddresses' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Leaver workflows are designed around the employeeLeaveDateTime attribute so tasks can occur before, on, or after a departure date. The other attributes provide activity, location, or address data and are not the planned leave-date anchor.',
    de: 'Leaver-Workflows sind auf das Attribut employeeLeaveDateTime ausgerichtet, sodass Aufgaben vor, am oder nach dem Austrittsdatum ausgeführt werden können. Die anderen Attribute liefern Aktivitäts-, Standort- oder Adressdaten und sind nicht der Anker für das geplante Austrittsdatum.'
  },
  hint: {
    en: 'Use the attribute that explicitly stores the employee departure time.',
    de: 'Verwenden Sie das Attribut, das explizit den Austrittszeitpunkt des Mitarbeiters speichert.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/lifecycle-workflows-overview'
},
{
  id: 'sc300-103',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'easy',
  scenario: {
    en: 'At Litware, Inc., an auditor asks for evidence showing who approved or denied access during a completed access review last quarter.',
    de: 'Bei Litware, Inc.: ein Auditor verlangt Nachweise darüber, wer während einer abgeschlossenen Zugriffsüberprüfung im letzten Quartal Zugriff genehmigt oder abgelehnt hat.'
  },
  question: {
    en: 'Which report should you export?',
    de: 'Welchen Bericht sollten Sie exportieren?'
  },
  options: [
    { id: 'A', text: { en: 'Access review history', de: 'Verlauf der Zugriffsüberprüfung' } },
    { id: 'B', text: { en: 'Sign-in logs', de: 'Anmeldeprotokolle' } },
    { id: 'C', text: { en: 'Provisioning logs', de: 'Bereitstellungsprotokolle' } },
    { id: 'D', text: { en: 'Risk detections', de: 'Risikoerkennungen' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'Access review history contains reviewer decisions and review outcomes for completed reviews, which is what an auditor needs here. Sign-in logs show authentication events, provisioning logs show account provisioning actions, and risk detections show identity risk signals rather than governance decisions.',
    de: 'Der Verlauf der Zugriffsüberprüfung enthält Prüferentscheidungen und Ergebnisse abgeschlossener Überprüfungen, also genau das, was der Auditor hier benötigt. Anmeldeprotokolle zeigen Authentifizierungsereignisse, Bereitstellungsprotokolle Konto-Bereitstellungsaktionen und Risikoerkennungen Identitätsrisikosignale statt Governance-Entscheidungen.'
  },
  hint: {
    en: 'The auditor needs review outcomes, not authentication activity.',
    de: 'Der Auditor benötigt Überprüfungsergebnisse, nicht Authentifizierungsaktivitäten.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
},
{
  id: 'sc300-104',
  type: 'single',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: {
    en: 'At Contoso, Ltd., an auditor asks who activated Privileged Role Administrator, who approved the activation, and when the activation ended.',
    de: 'Bei Contoso, Ltd.: ein Auditor fragt, wer die Rolle Privileged Role Administrator aktiviert hat, wer die Aktivierung genehmigt hat und wann die Aktivierung beendet wurde.'
  },
  question: {
    en: 'Which report or log should you use?',
    de: 'Welchen Bericht oder welches Protokoll sollten Sie verwenden?'
  },
  options: [
    { id: 'A', text: { en: 'PIM audit history', de: 'PIM-Auditverlauf' } },
    { id: 'B', text: { en: 'User sign-in logs', de: 'Benutzer-Anmeldeprotokolle' } },
    { id: 'C', text: { en: 'Entitlement management catalog report', de: 'Katalogbericht aus Entitlement Management' } },
    { id: 'D', text: { en: 'Self-service password reset report', de: 'Bericht zur Self-Service-Kennwortzurücksetzung' } }
  ],
  correct: ['A'],
  explanation: {
    en: 'PIM audit history tracks privileged role assignments, activations, approvals, and related timing details. Sign-in logs do not show the approval workflow, catalog reporting is unrelated, and password reset reporting does not cover privileged role activations.',
    de: 'Der PIM-Auditverlauf erfasst privilegierte Rollenzuweisungen, Aktivierungen, Genehmigungen und zugehörige Zeitdetails. Anmeldeprotokolle zeigen den Genehmigungsworkflow nicht, Katalogberichte sind nicht relevant, und Berichte zur Kennwortzurücksetzung decken keine Aktivierungen privilegierter Rollen ab.'
  },
  hint: {
    en: 'Use the governance log built specifically for privileged access events.',
    de: 'Verwenden Sie das Governance-Protokoll, das speziell für privilegierte Zugriffsereignisse vorgesehen ist.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/pim-audit-history'
},
{
  id: 'sc300-105',
  type: 'multiple',
  domain: { en: 'Plan and Implement Identity Governance', de: 'Identity Governance planen und implementieren' },
  difficulty: 'medium',
  scenario: null,
  question: {
    en: 'Which data elements are commonly included when you export access review history? (Choose all that apply.)',
    de: 'Welche Datenelemente sind üblicherweise enthalten, wenn Sie den Verlauf einer Zugriffsüberprüfung exportieren? (Wählen Sie alle zutreffenden Antworten aus.)'
  },
  options: [
    { id: 'A', text: { en: 'Reviewed user or principal', de: 'Überprüfter Benutzer oder Sicherheitsprinzipal' } },
    { id: 'B', text: { en: 'Reviewer decision', de: 'Entscheidung des Prüfers' } },
    { id: 'C', text: { en: 'Justification or comments when captured', de: 'Begründung oder Kommentare, sofern erfasst' } },
    { id: 'D', text: { en: 'BitLocker recovery key', de: 'BitLocker-Wiederherstellungsschlüssel' } }
  ],
  correct: ['A', 'B', 'C'],
  explanation: {
    en: 'Access review history exports are meant for governance evidence, so they commonly include the reviewed identity, the reviewer’s decision, and justification or comments when those were captured. BitLocker recovery keys are unrelated device security data and are not part of access review history.',
    de: 'Exporte des Verlaufs von Zugriffsüberprüfungen dienen als Governance-Nachweis und enthalten daher typischerweise die überprüfte Identität, die Entscheidung des Prüfers sowie Begründungen oder Kommentare, sofern diese erfasst wurden. BitLocker-Wiederherstellungsschlüssel sind gerätesicherheitsbezogene Daten und kein Bestandteil des Verlaufs von Zugriffsüberprüfungen.'
  },
  hint: {
    en: 'Choose evidence fields relevant to a governance decision trail.',
    de: 'Wählen Sie Nachweisfelder aus, die für einen Governance-Entscheidungspfad relevant sind.'
  },
  reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
}
  ]
};