window.ExamData = window.ExamData || {};
window.ExamData['sc-100'] = {
  meta: {
    id: 'sc-100',
    title: {
      en: 'Microsoft Cybersecurity Architect',
      de: 'Microsoft Cybersecurity-Architekt'
    },
    description: {
      en: 'This exam measures your ability to design security solutions that align with security best practices and priorities.',
      de: 'Diese Prüfung misst Ihre Fähigkeit, Sicherheitslösungen zu entwerfen, die bewährten Sicherheitspraktiken und -prioritäten entsprechen.'
    },
    icon: '🛡️',
    level: 'expert',
    passingScore: 700,
    totalTime: 120,
    questionCount: '40-60',
    msLearnUrl: 'https://learn.microsoft.com/en-us/certifications/exams/sc-100/',
    domains: [
      {
        name: {
          en: 'Design Solutions Aligned with Security Best Practices',
          de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen'
        },
        weight: '20-25%'
      },
      {
        name: {
          en: 'Design Security Operations, Identity, and Compliance',
          de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen'
        },
        weight: '30-35%'
      },
      {
        name: {
          en: 'Design Security for Infrastructure',
          de: 'Sicherheit für Infrastruktur entwerfen'
        },
        weight: '20-25%'
      },
      {
        name: {
          en: 'Design Security for Applications and Data',
          de: 'Sicherheit für Anwendungen und Daten entwerfen'
        },
        weight: '20-25%'
      }
    ]
  },
  questions: [
    {
      id: 'sc100-001',
      type: 'single',
      domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Zero Trust principle should guide every access request to Microsoft 365 and Azure resources?', de: 'Welches Zero-Trust-Prinzip sollte jede Zugriffsanforderung auf Microsoft-365- und Azure-Ressourcen leiten?' },
      options: [
        { id: 'A', text: { en: 'Verify explicitly by using all available signals', de: 'Explizit verifizieren, indem alle verfügbaren Signale genutzt werden' } },
        { id: 'B', text: { en: 'Trust requests from the corporate network by default', de: 'Anforderungen aus dem Unternehmensnetzwerk standardmäßig vertrauen' } },
        { id: 'C', text: { en: 'Grant broad access to reduce user friction', de: 'Breite Zugriffsrechte gewähren, um Reibung für Benutzer zu verringern' } },
        { id: 'D', text: { en: 'Use one shared admin account for consistency', de: 'Aus Konsistenzgründen ein gemeinsames Administratorkonto verwenden' } }
      ],
      correct: ['A'],
      explanation: { en: 'Zero Trust requires every request to be authenticated and authorized explicitly based on identity, device, location, risk, and other context. Internal networks and known users are not trusted automatically.', de: 'Zero Trust verlangt, dass jede Anforderung explizit anhand von Identität, Gerät, Standort, Risiko und weiterem Kontext authentifiziert und autorisiert wird. Interne Netzwerke und bekannte Benutzer gelten nicht automatisch als vertrauenswürdig.' },
      hint: { en: 'Remember the three core ideas: verify explicitly, use least privilege, and assume breach.', de: 'Denken Sie an die drei Kernideen: explizit verifizieren, geringste Rechte gewähren und von einer möglichen Sicherheitsverletzung ausgehen.' },
      reference: 'https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview'
    },
    {
      id: 'sc100-002',
      type: 'single',
      domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'What is the primary value of the Microsoft Cybersecurity Reference Architecture (MCRA) during solution design?', de: 'Was ist der wichtigste Nutzen der Microsoft Cybersecurity Reference Architecture (MCRA) während des Lösungsdesigns?' },
      options: [
        { id: 'A', text: { en: 'It documents licensing costs for Microsoft security products', de: 'Sie dokumentiert die Lizenzkosten für Microsoft-Sicherheitsprodukte' } },
        { id: 'B', text: { en: 'It maps business scenarios to security capabilities and helps identify architectural gaps', de: 'Sie ordnet Geschäftsszenarien Sicherheitsfunktionen zu und hilft, Architektur­lücken zu erkennen' } },
        { id: 'C', text: { en: 'It replaces threat modeling for new applications', de: 'Sie ersetzt die Bedrohungsmodellierung für neue Anwendungen' } },
        { id: 'D', text: { en: 'It automatically configures all Azure security policies', de: 'Sie konfiguriert automatisch alle Azure-Sicherheitsrichtlinien' } }
      ],
      correct: ['B'],
      explanation: { en: 'MCRA is a reference architecture that helps architects align business and technology scenarios with end-to-end security capabilities. It is especially useful for identifying missing controls and prioritizing security design decisions.', de: 'Die MCRA ist eine Referenzarchitektur, mit der Architekten Geschäfts- und Technologieszenarien mit durchgängigen Sicherheitsfunktionen abgleichen können. Sie ist besonders nützlich, um fehlende Kontrollen zu erkennen und Sicherheitsentscheidungen im Design zu priorisieren.' },
      hint: { en: 'Think of MCRA as a design blueprint, not as a deployment or licensing tool.', de: 'Betrachten Sie die MCRA als Design-Blaupause und nicht als Bereitstellungs- oder Lizenzierungswerkzeug.' },
      reference: 'https://learn.microsoft.com/en-us/security/adoption/mcra'
    },
    {
      id: 'sc100-003',
      type: 'single',
      domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
      difficulty: 'medium',
      scenario: { en: 'Contoso is deploying multiple Azure landing zones across regions. Security teams want a common control baseline that can be measured consistently across subscriptions and services, and they want guidance that maps directly to Microsoft services.', de: 'Contoso führt mehrere Azure-Landing-Zones in verschiedenen Regionen ein. Die Sicherheitsteams möchten eine gemeinsame Kontrollbasis, die über Abonnements und Dienste hinweg konsistent messbar ist, und sie möchten Leitlinien, die direkt auf Microsoft-Dienste abgebildet werden können.' },
      question: { en: 'Which baseline should architects use as the starting point?', de: 'Welche Basis sollten Architekten als Ausgangspunkt verwenden?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Cloud Security Benchmark', de: 'Microsoft Cloud Security Benchmark' } },
        { id: 'B', text: { en: 'Default NSG rules', de: 'Standardmäßige NSG-Regeln' } },
        { id: 'C', text: { en: 'Local administrator build standards', de: 'Lokale Build-Standards für Administratoren' } },
        { id: 'D', text: { en: 'Azure pricing calculator', de: 'Azure-Preisrechner' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Cloud Security Benchmark provides a structured Microsoft-aligned security baseline that maps security controls to cloud implementations. It is designed to help standardize control expectations across Azure environments.', de: 'Der Microsoft Cloud Security Benchmark stellt eine strukturierte, an Microsoft ausgerichtete Sicherheitsbasis bereit, die Sicherheitskontrollen Cloud-Implementierungen zuordnet. Er hilft dabei, Kontrollerwartungen in Azure-Umgebungen zu standardisieren.' },
      hint: { en: 'Look for the Microsoft baseline that translates security control intent into cloud guidance.', de: 'Suchen Sie nach der Microsoft-Basis, die die Absicht von Sicherheitskontrollen in Cloud-Leitlinien übersetzt.' },
      reference: 'https://learn.microsoft.com/en-us/security/benchmark/azure/overview'
    },
    {
      id: 'sc100-004',
      type: 'multiple',
      domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which TWO actions best align an administrative access design with Zero Trust?', de: 'Welche ZWEI Maßnahmen richten ein Design für administrativen Zugriff am besten nach Zero Trust aus?' },
      options: [
        { id: 'A', text: { en: 'Require MFA and evaluate device or risk signals for each access decision', de: 'MFA verlangen und Geräte- oder Risikosignale bei jeder Zugriffsentscheidung auswerten' } },
        { id: 'B', text: { en: 'Assign permanent Global Administrator rights to senior engineers', de: 'Leitenden Ingenieuren dauerhaft globale Administratorrechte zuweisen' } },
        { id: 'C', text: { en: 'Use Privileged Identity Management for just-in-time elevation', de: 'Privileged Identity Management für Just-in-Time-Erhöhungen verwenden' } },
        { id: 'D', text: { en: 'Store shared emergency credentials in a team wiki', de: 'Gemeinsame Notfall-Anmeldedaten in einem Team-Wiki speichern' } }
      ],
      correct: ['A', 'C'],
      explanation: { en: 'Zero Trust for administrators combines explicit verification and least privilege. MFA with contextual evaluation reduces unauthorized access, while PIM removes standing privilege and provides controlled elevation only when needed.', de: 'Zero Trust für Administratoren verbindet explizite Verifizierung mit geringsten Rechten. MFA mit kontextbezogener Bewertung reduziert unbefugten Zugriff, während PIM dauerhafte Privilegien entfernt und nur bei Bedarf eine kontrollierte Erhöhung ermöglicht.' },
      hint: { en: 'Choose the answers that reduce standing privilege and increase context-aware verification.', de: 'Wählen Sie die Antworten, die dauerhafte Privilegien reduzieren und die kontextabhängige Verifizierung erhöhen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'sc100-005',
      type: 'single',
      domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'For Azure landing zones, which design most effectively enforces security guardrails at scale?', de: 'Welches Design erzwingt in Azure-Landing-Zones Sicherheitsleitplanken am effektivsten im großen Maßstab?' },
      options: [
        { id: 'A', text: { en: 'Apply Azure Policy and RBAC through management groups', de: 'Azure Policy und RBAC über Verwaltungsgruppen anwenden' } },
        { id: 'B', text: { en: 'Configure each subscription manually', de: 'Jedes Abonnement manuell konfigurieren' } },
        { id: 'C', text: { en: 'Allow application teams to create custom root management groups', de: 'Anwendungsteams erlauben, eigene Root-Verwaltungsgruppen zu erstellen' } },
        { id: 'D', text: { en: 'Rely only on tagging standards', de: 'Sich nur auf Tagging-Standards verlassen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Management groups let architects apply consistent policy, role assignments, and governance across many subscriptions. This is a core enterprise-scale landing zone pattern for reducing drift and enforcing mandatory controls.', de: 'Verwaltungsgruppen ermöglichen es Architekten, Richtlinien, Rollenzuweisungen und Governance konsistent über viele Abonnements hinweg anzuwenden. Dies ist ein zentrales Muster der Enterprise-Scale-Landing-Zone, um Drift zu reduzieren und verpflichtende Kontrollen durchzusetzen.' },
      hint: { en: 'Think about the Azure construct that sits above subscriptions and is built for governance.', de: 'Denken Sie an das Azure-Konstrukt oberhalb von Abonnements, das speziell für Governance vorgesehen ist.' },
      reference: 'https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security'
    },
    {
      id: 'sc100-006',
      type: 'single',
      domain: { en: 'Design Solutions Aligned with Security Best Practices', de: 'Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'An MCRA review finds long-lived secrets in pipelines, applications, and automation accounts across several workloads. Which design change provides the broadest risk reduction?', de: 'Eine MCRA-Prüfung findet langlebige Geheimnisse in Pipelines, Anwendungen und Automatisierungskonten über mehrere Workloads hinweg. Welche Designänderung reduziert das Risiko am umfassendsten?' },
      options: [
        { id: 'A', text: { en: 'Replace secrets with managed identities and workload identities where possible', de: 'Geheimnisse nach Möglichkeit durch verwaltete Identitäten und Workload-Identitäten ersetzen' } },
        { id: 'B', text: { en: 'Increase secret rotation to once per year', de: 'Die Rotation von Geheimnissen auf einmal pro Jahr erhöhen' } },
        { id: 'C', text: { en: 'Move secrets to encrypted spreadsheets', de: 'Geheimnisse in verschlüsselte Tabellen verschieben' } },
        { id: 'D', text: { en: 'Create more shared service principals', de: 'Mehr gemeinsam genutzte Dienstprinzipale erstellen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Replacing static credentials with managed identities or workload identities removes an entire class of secret management risk. It reduces exposure in code, pipelines, and operational processes while aligning with Zero Trust principles.', de: 'Das Ersetzen statischer Anmeldeinformationen durch verwaltete Identitäten oder Workload-Identitäten beseitigt eine ganze Klasse von Risiken im Geheimnismanagement. Dadurch sinkt die Angriffsfläche in Code, Pipelines und Betriebsprozessen, und das Design richtet sich nach Zero Trust aus.' },
      hint: { en: 'The strongest answer removes secrets instead of trying to manage them better.', de: 'Die stärkste Antwort entfernt Geheimnisse vollständig, anstatt sie nur besser zu verwalten.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'sc100-007',
      type: 'single',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Conditional Access policy is the most direct way to stop legacy authentication from bypassing MFA?', de: 'Welche Conditional-Access-Richtlinie ist der direkteste Weg, um zu verhindern, dass Legacy-Authentifizierung MFA umgeht?' },
      options: [
        { id: 'A', text: { en: 'Block legacy authentication clients', de: 'Legacy-Authentifizierungsclients blockieren' } },
        { id: 'B', text: { en: 'Require password changes every 30 days', de: 'Kennwortänderungen alle 30 Tage verlangen' } },
        { id: 'C', text: { en: 'Disable self-service password reset', de: 'Self-Service-Kennwortzurücksetzung deaktivieren' } },
        { id: 'D', text: { en: 'Use terms of use for all users', de: 'Nutzungsbedingungen für alle Benutzer einsetzen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Legacy authentication protocols often do not support modern controls such as MFA. Blocking them directly is the clearest way to eliminate that bypass path.', de: 'Legacy-Authentifizierungsprotokolle unterstützen moderne Kontrollen wie MFA häufig nicht. Sie direkt zu blockieren ist der klarste Weg, diesen Umgehungspfad zu beseitigen.' },
      hint: { en: 'The best answer targets the protocol type that cannot enforce modern authentication controls.', de: 'Die beste Antwort zielt auf den Protokolltyp ab, der moderne Authentifizierungskontrollen nicht erzwingen kann.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'sc100-008',
      type: 'single',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'medium',
      scenario: { en: 'Fabrikam uses Security Administrator and Exchange Administrator roles only during incident response. Auditors require approval, MFA, and automatic removal of elevated access when work is complete.', de: 'Fabrikam verwendet die Rollen Sicherheitsadministrator und Exchange-Administrator nur während der Reaktion auf Sicherheitsvorfälle. Prüfer verlangen Genehmigung, MFA und die automatische Entfernung erhöhter Rechte, sobald die Arbeit abgeschlossen ist.' },
      question: { en: 'Which solution should you design?', de: 'Welche Lösung sollten Sie entwerfen?' },
      options: [
        { id: 'A', text: { en: 'Permanent role assignments with quarterly review', de: 'Dauerhafte Rollenzuweisungen mit vierteljährlicher Überprüfung' } },
        { id: 'B', text: { en: 'PIM eligible assignments with approval, MFA, and activation time limits', de: 'PIM-berechtigte Zuweisungen mit Genehmigung, MFA und zeitlich begrenzter Aktivierung' } },
        { id: 'C', text: { en: 'Shared emergency admin accounts for the operations team', de: 'Gemeinsam genutzte Notfall-Administratorkonten für das Betriebsteam' } },
        { id: 'D', text: { en: 'Administrative units only', de: 'Nur administrative Einheiten' } }
      ],
      correct: ['B'],
      explanation: { en: 'Privileged Identity Management is designed for just-in-time privileged access with controls such as approval, MFA, auditability, and time-bound activation. That combination meets both operational and audit requirements.', de: 'Privileged Identity Management ist für Just-in-Time-Zugriff mit Kontrollen wie Genehmigung, MFA, Nachvollziehbarkeit und zeitlich begrenzter Aktivierung ausgelegt. Diese Kombination erfüllt sowohl betriebliche als auch Audit-Anforderungen.' },
      hint: { en: 'Look for the Entra feature that makes users eligible instead of permanently privileged.', de: 'Suchen Sie nach der Entra-Funktion, die Benutzer berechtigt statt dauerhaft privilegiert macht.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'sc100-009',
      type: 'single',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'You need guests to request access to SharePoint sites and Teams, receive only the resources they need, and lose access automatically when the project ends. Which identity governance capability should you use?', de: 'Externe Gäste sollen Zugriff auf SharePoint-Websites und Teams anfordern, nur die benötigten Ressourcen erhalten und den Zugriff nach Projektende automatisch verlieren. Welche Identity-Governance-Funktion sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'Access packages in entitlement management', de: 'Zugriffspakete in Entitlement Management' } },
        { id: 'B', text: { en: 'Sign-in risk policies', de: 'Anmelderisikorichtlinien' } },
        { id: 'C', text: { en: 'Privileged Identity Management', de: 'Privileged Identity Management' } },
        { id: 'D', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } }
      ],
      correct: ['A'],
      explanation: { en: 'Entitlement management access packages are designed to bundle resources, approvals, lifecycle rules, and expiration for internal and external users. This makes them ideal for project-based guest access.', de: 'Zugriffspakete im Entitlement Management bündeln Ressourcen, Genehmigungen, Lebenszyklusregeln und Ablauffristen für interne und externe Benutzer. Damit eignen sie sich ideal für projektbasierten Gastzugriff.' },
      hint: { en: 'Choose the feature that manages access request, approval, assignment, and expiration as one package.', de: 'Wählen Sie die Funktion, die Zugriffsanforderung, Genehmigung, Zuweisung und Ablauf in einem Paket verwaltet.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/identity-governance-overview'
    },
    {
      id: 'sc100-010',
      type: 'single',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which design best combines native XDR correlation with SIEM and SOAR orchestration for a Microsoft-centric environment?', de: 'Welches Design kombiniert native XDR-Korrelation am besten mit SIEM- und SOAR-Orchestrierung in einer Microsoft-zentrierten Umgebung?' },
      options: [
        { id: 'A', text: { en: 'Use Microsoft Defender XDR for cross-domain correlation and integrate with Microsoft Sentinel for analytics and automation', de: 'Microsoft Defender XDR für domänenübergreifende Korrelation nutzen und mit Microsoft Sentinel für Analysen und Automatisierung integrieren' } },
        { id: 'B', text: { en: 'Use only Azure Monitor metrics', de: 'Nur Azure-Monitor-Metriken verwenden' } },
        { id: 'C', text: { en: 'Send all logs to a storage account and investigate manually', de: 'Alle Protokolle in ein Speicherkonto senden und manuell untersuchen' } },
        { id: 'D', text: { en: 'Use Microsoft Purview as the incident platform', de: 'Microsoft Purview als Incident-Plattform verwenden' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Defender XDR provides high-fidelity incident correlation across endpoints, identities, email, and applications. Microsoft Sentinel complements that with broader SIEM coverage, custom analytics, and playbook-driven automation.', de: 'Microsoft Defender XDR bietet hochwertige Incident-Korrelation über Endpunkte, Identitäten, E-Mail und Anwendungen hinweg. Microsoft Sentinel ergänzt dies durch umfassendere SIEM-Abdeckung, benutzerdefinierte Analysen und Playbook-gesteuerte Automatisierung.' },
      hint: { en: 'One Microsoft product excels at XDR correlation, while another adds enterprise SIEM and SOAR capabilities.', de: 'Ein Microsoft-Produkt ist besonders stark bei XDR-Korrelation, ein anderes ergänzt dies um SIEM- und SOAR-Funktionen für das Unternehmen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    },
    {
      id: 'sc100-011',
      type: 'multiple',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'hard',
      scenario: { en: 'A phishing campaign targets Humongous Insurance executives. The SOC wants incidents that automatically correlate email, endpoint, identity, and cloud app telemetry. They also want automated containment actions such as isolating devices or disabling accounts through workflows.', de: 'Eine Phishing-Kampagne zielt auf Führungskräfte von Humongous Insurance. Das SOC möchte Incidents, die E-Mail-, Endpunkt-, Identitäts- und Cloud-App-Telemetrie automatisch korrelieren. Außerdem sollen Eindämmungsmaßnahmen wie das Isolieren von Geräten oder das Deaktivieren von Konten per Workflow automatisiert werden.' },
      question: { en: 'Which TWO design choices should you implement?', de: 'Welche ZWEI Designentscheidungen sollten Sie umsetzen?' },
      options: [
        { id: 'A', text: { en: 'Integrate Microsoft Defender XDR incidents into Microsoft Sentinel', de: 'Microsoft-Defender-XDR-Incidents in Microsoft Sentinel integrieren' } },
        { id: 'B', text: { en: 'Use Sentinel automation rules and playbooks for response actions', de: 'Sentinel-Automatisierungsregeln und Playbooks für Reaktionsmaßnahmen verwenden' } },
        { id: 'C', text: { en: 'Store alerts in spreadsheets for analyst review', de: 'Warnungen zur Analyse in Tabellen speichern' } },
        { id: 'D', text: { en: 'Separate email and endpoint investigations into tools with no correlation', de: 'E-Mail- und Endpunktuntersuchungen in Werkzeuge ohne Korrelation aufteilen' } }
      ],
      correct: ['A', 'B'],
      explanation: { en: 'Defender XDR brings together high-confidence incidents from multiple Microsoft security domains. Sentinel adds orchestration through automation rules and playbooks, enabling scalable SOAR-driven containment and response.', de: 'Defender XDR führt Incidents mit hoher Aussagekraft aus mehreren Microsoft-Sicherheitsdomänen zusammen. Sentinel ergänzt dies um Orchestrierung durch Automatisierungsregeln und Playbooks und ermöglicht damit eine skalierbare, SOAR-gesteuerte Eindämmung und Reaktion.' },
      hint: { en: 'Pick one answer for correlation and one for automation.', de: 'Wählen Sie eine Antwort für die Korrelation und eine für die Automatisierung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    },
    {
      id: 'sc100-012',
      type: 'single',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft solution should architects use to classify sensitive information and apply label-based protection and DLP across Microsoft 365?', de: 'Welche Microsoft-Lösung sollten Architekten verwenden, um vertrauliche Informationen zu klassifizieren und kennzeichnungsbasierte Schutz- und DLP-Richtlinien in Microsoft 365 anzuwenden?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Purview', de: 'Microsoft Purview' } },
        { id: 'B', text: { en: 'Microsoft Intune', de: 'Microsoft Intune' } },
        { id: 'C', text: { en: 'Azure Policy', de: 'Azure Policy' } },
        { id: 'D', text: { en: 'Azure Load Balancer', de: 'Azure Load Balancer' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Purview provides data classification, sensitivity labels, data loss prevention, and related information protection capabilities. It is the correct strategic solution for protecting sensitive Microsoft 365 content.', de: 'Microsoft Purview bietet Datenklassifizierung, Vertraulichkeitsbezeichnungen, Data Loss Prevention und weitere Funktionen zum Informationsschutz. Es ist die richtige strategische Lösung, um sensible Inhalte in Microsoft 365 zu schützen.' },
      hint: { en: 'This product focuses on governing and protecting data rather than devices or infrastructure.', de: 'Dieses Produkt konzentriert sich auf Governance und Schutz von Daten, nicht auf Geräte oder Infrastruktur.' },
      reference: 'https://learn.microsoft.com/en-us/purview/purview'
    },
    {
      id: 'sc100-013',
      type: 'single',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'What is the recommended design for break-glass accounts in an environment with strict Conditional Access for administrators?', de: 'Wie sollten Break-Glass-Konten in einer Umgebung mit strengen Conditional-Access-Richtlinien für Administratoren gestaltet werden?' },
      options: [
        { id: 'A', text: { en: 'Exclude two cloud-only emergency accounts from Conditional Access and monitor them closely', de: 'Zwei cloudbasierte Notfallkonten von Conditional Access ausnehmen und eng überwachen' } },
        { id: 'B', text: { en: 'Use one shared Global Administrator account for emergencies and daily administration', de: 'Ein gemeinsames Global-Administrator-Konto für Notfälle und tägliche Administration verwenden' } },
        { id: 'C', text: { en: 'Add every admin permanently to a break-glass group', de: 'Jeden Administrator dauerhaft einer Break-Glass-Gruppe hinzufügen' } },
        { id: 'D', text: { en: 'Apply the same Conditional Access rules to break-glass accounts as to all other admins', de: 'Auf Break-Glass-Konten dieselben Conditional-Access-Regeln wie auf alle anderen Administratoren anwenden' } }
      ],
      correct: ['A'],
      explanation: { en: 'Emergency access accounts are intended to prevent administrator lockout during outages or policy misconfigurations. Keeping a small number of cloud-only accounts excluded from Conditional Access, with strong monitoring and strict handling, is the recommended design.', de: 'Notfallzugriffskonten sollen verhindern, dass Administratoren bei Ausfällen oder Fehlkonfigurationen ausgesperrt werden. Eine kleine Anzahl cloudbasierter Konten, die von Conditional Access ausgenommen sind und streng überwacht werden, ist das empfohlene Design.' },
      hint: { en: 'The purpose of a break-glass account is to remain usable when normal controls fail.', de: 'Der Zweck eines Break-Glass-Kontos besteht darin, auch dann verwendbar zu bleiben, wenn normale Kontrollen versagen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access'
    },
    {
      id: 'sc100-014',
      type: 'single',
      domain: { en: 'Design Security Operations, Identity, and Compliance', de: 'Sicherheitsbetrieb, Identität und Compliance entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Defender for Cloud feature helps architects measure Azure resources against standards such as Microsoft Cloud Security Benchmark?', de: 'Welche Funktion in Defender for Cloud hilft Architekten, Azure-Ressourcen gegen Standards wie den Microsoft Cloud Security Benchmark zu messen?' },
      options: [
        { id: 'A', text: { en: 'Regulatory compliance dashboard', de: 'Dashboard für die Einhaltung gesetzlicher Vorschriften' } },
        { id: 'B', text: { en: 'Network Watcher packet capture', de: 'Paketaufzeichnung von Network Watcher' } },
        { id: 'C', text: { en: 'Azure Service Health', de: 'Azure Service Health' } },
        { id: 'D', text: { en: 'Cost Management exports', de: 'Cost-Management-Exporte' } }
      ],
      correct: ['A'],
      explanation: { en: 'The regulatory compliance dashboard in Defender for Cloud continuously assesses resources against supported standards and control sets. It gives architects a governance view that is useful for tracking alignment and remediation.', de: 'Das Dashboard für die Einhaltung gesetzlicher Vorschriften in Defender for Cloud bewertet Ressourcen kontinuierlich gegenüber unterstützten Standards und Kontrollsätzen. Es bietet Architekten eine Governance-Sicht zur Nachverfolgung von Ausrichtung und Behebung.' },
      hint: { en: 'You are looking for the Defender for Cloud feature focused on standards and control reporting.', de: 'Gesucht ist die Defender-for-Cloud-Funktion, die auf Standards und Kontrollberichte ausgerichtet ist.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard'
    },
    {
      id: 'sc100-015',
      type: 'single',
      domain: { en: 'Design Security for Infrastructure', de: 'Sicherheit für Infrastruktur entwerfen' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'You must protect a public web application against OWASP-style web attacks and large volumetric attacks. Which design is best?', de: 'Sie müssen eine öffentliche Webanwendung sowohl gegen OWASP-ähnliche Webangriffe als auch gegen große volumetrische Angriffe schützen. Welches Design ist am besten?' },
      options: [
        { id: 'A', text: { en: 'Azure Application Gateway with WAF plus Azure DDoS Protection', de: 'Azure Application Gateway mit WAF plus Azure DDoS Protection' } },
        { id: 'B', text: { en: 'Azure Bastion and Route Server', de: 'Azure Bastion und Route Server' } },
        { id: 'C', text: { en: 'ExpressRoute FastPath only', de: 'Nur ExpressRoute FastPath' } },
        { id: 'D', text: { en: 'Azure Policy and Cost Management', de: 'Azure Policy und Cost Management' } }
      ],
      correct: ['A'],
      explanation: { en: 'WAF addresses layer 7 web attacks such as common OWASP threats, while Azure DDoS Protection helps defend against large-scale volumetric network attacks. Together they provide complementary protection for internet-facing applications.', de: 'Die WAF adressiert Webangriffe auf Ebene 7 wie typische OWASP-Bedrohungen, während Azure DDoS Protection gegen groß angelegte volumetrische Netzwerkangriffe hilft. Zusammen bieten beide einen ergänzenden Schutz für internetseitige Anwendungen.' },
      hint: { en: 'One service protects the application layer, and the other protects against large denial-of-service floods.', de: 'Ein Dienst schützt die Anwendungsschicht, der andere schützt vor großen Denial-of-Service-Angriffen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'sc100-016',
      type: 'single',
      domain: { en: 'Design Security for Infrastructure', de: 'Sicherheit für Infrastruktur entwerfen' },
      difficulty: 'medium',
      scenario: { en: 'At Humongous Insurance, an Azure SQL Database must be reachable only from an application tier in a hub-and-spoke architecture. The database must not have a public endpoint, and traffic should stay on the Microsoft backbone.', de: 'Humongous Insurance – Eine Azure SQL-Datenbank darf nur von einer Anwendungsebene in einer Hub-and-Spoke-Architektur erreichbar sein. Die Datenbank darf keinen öffentlichen Endpunkt haben, und der Datenverkehr soll auf dem Microsoft-Backbone bleiben.' },
      question: { en: 'Which connectivity design should you use?', de: 'Welches Konnektivitätsdesign sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'Private Endpoint with Private Link and private DNS integration', de: 'Privater Endpunkt mit Private Link und Integration privater DNS-Zonen' } },
        { id: 'B', text: { en: 'Service endpoint while keeping public network access enabled for all VNets', de: 'Dienstendpunkt bei weiterhin aktiviertem öffentlichen Netzwerkzugriff für alle VNets' } },
        { id: 'C', text: { en: 'Public endpoint restricted by SQL logins only', de: 'Öffentlicher Endpunkt, der nur durch SQL-Anmeldungen eingeschränkt wird' } },
        { id: 'D', text: { en: 'Site-to-site VPN to the public database endpoint', de: 'Site-to-Site-VPN zum öffentlichen Datenbankendpunkt' } }
      ],
      correct: ['A'],
      explanation: { en: 'Private Link exposes the platform service through a private endpoint in your virtual network and keeps traffic on the Microsoft network. This is the preferred design when public exposure must be removed.', de: 'Private Link stellt den Plattformdienst über einen privaten Endpunkt in Ihrem virtuellen Netzwerk bereit und hält den Datenverkehr im Microsoft-Netz. Dies ist das bevorzugte Design, wenn öffentliche Erreichbarkeit entfernt werden muss.' },
      hint: { en: 'Choose the option that removes the public endpoint entirely instead of just narrowing it.', de: 'Wählen Sie die Option, die den öffentlichen Endpunkt vollständig entfernt, anstatt ihn nur einzuschränken.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-link-overview'
    },
    {
      id: 'sc100-017',
      type: 'single',
      domain: { en: 'Design Security for Infrastructure', de: 'Sicherheit für Infrastruktur entwerfen' },
      difficulty: 'hard',
      scenario: { en: 'At Humongous Insurance, an enterprise-scale landing zone uses many subscriptions. Security architects need centralized north-south and east-west traffic inspection, delegated spoke ownership, and consistent security governance across all subscriptions.', de: 'Bei Humongous Insurance: eine Enterprise-Scale-Landing-Zone verwendet viele Abonnements. Sicherheitsarchitekten benötigen eine zentrale Inspektion des Nord-Süd- und Ost-West-Verkehrs, delegierte Verantwortung in den Spokes und konsistente Sicherheitsgovernance über alle Abonnements hinweg.' },
      question: { en: 'Which architecture best meets these requirements?', de: 'Welche Architektur erfüllt diese Anforderungen am besten?' },
      options: [
        { id: 'A', text: { en: 'Hub-and-spoke with Azure Firewall in the connectivity subscription, NSGs in spokes, and Azure Policy at management groups', de: 'Hub-and-Spoke mit Azure Firewall im Konnektivitätsabonnement, NSGs in den Spokes und Azure Policy auf Ebene der Verwaltungsgruppen' } },
        { id: 'B', text: { en: 'Flat network with all workloads in one subscription and one subnet', de: 'Flaches Netzwerk mit allen Workloads in einem Abonnement und einem Subnetz' } },
        { id: 'C', text: { en: 'Independent firewalls in every application subnet with no central policy', de: 'Unabhängige Firewalls in jedem Anwendungssubnetz ohne zentrale Richtlinie' } },
        { id: 'D', text: { en: 'Public IP addresses on each workload for direct inspection', de: 'Öffentliche IP-Adressen auf jedem Workload zur direkten Inspektion' } }
      ],
      correct: ['A'],
      explanation: { en: 'A hub-and-spoke topology with centralized connectivity and inspection is a standard secure landing zone pattern. Combining Azure Firewall, subnet-level controls, and management-group governance scales better than flat or fully decentralized designs.', de: 'Eine Hub-and-Spoke-Topologie mit zentraler Konnektivität und Inspektion ist ein Standardmuster für sichere Landing Zones. Die Kombination aus Azure Firewall, Subnetz-Kontrollen und Governance über Verwaltungsgruppen skaliert besser als flache oder vollständig dezentrale Designs.' },
      hint: { en: 'Look for the enterprise-scale pattern that separates platform controls from application ownership.', de: 'Suchen Sie nach dem Enterprise-Scale-Muster, das Plattformkontrollen von der Verantwortung der Anwendungsteams trennt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security'
    },
    {
      id: 'sc100-018',
      type: 'single',
      domain: { en: 'Design Security for Infrastructure', de: 'Sicherheit für Infrastruktur entwerfen' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'An Azure-hosted application must retrieve secrets from Key Vault without storing credentials in code or configuration. Which design should you use?', de: 'Eine in Azure gehostete Anwendung muss Geheimnisse aus Key Vault abrufen, ohne Anmeldeinformationen in Code oder Konfiguration zu speichern. Welches Design sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'System-assigned managed identity with Key Vault permissions', de: 'Systemseitig zugewiesene verwaltete Identität mit Key-Vault-Berechtigungen' } },
        { id: 'B', text: { en: 'Embedded client secret in appsettings.json', de: 'Eingebettetes Clientgeheimnis in appsettings.json' } },
        { id: 'C', text: { en: 'Shared administrator account', de: 'Gemeinsam genutztes Administratorkonto' } },
        { id: 'D', text: { en: 'Storage account access keys in source control', de: 'Speicherkonto-Zugriffsschlüssel in der Quellcodeverwaltung' } }
      ],
      correct: ['A'],
      explanation: { en: 'A managed identity lets the application authenticate to Azure services without storing a secret. Granting the identity access to Key Vault is the recommended way to retrieve secrets securely.', de: 'Eine verwaltete Identität erlaubt der Anwendung die Authentifizierung gegenüber Azure-Diensten, ohne ein Geheimnis zu speichern. Der Identität Zugriff auf Key Vault zu gewähren ist der empfohlene Weg, Geheimnisse sicher abzurufen.' },
      hint: { en: 'The safest answer avoids any static credential stored by the application.', de: 'Die sicherste Antwort vermeidet jede statische Anmeldeinformation, die von der Anwendung gespeichert werden müsste.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'sc100-019',
      type: 'single',
      domain: { en: 'Design Security for Infrastructure', de: 'Sicherheit für Infrastruktur entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Defender for Cloud capability helps architects visualize how exploitable weaknesses could be chained together across resources?', de: 'Welche Defender-for-Cloud-Funktion hilft Architekten zu visualisieren, wie ausnutzbare Schwachstellen über Ressourcen hinweg miteinander verkettet werden können?' },
      options: [
        { id: 'A', text: { en: 'Attack path analysis', de: 'Angriffspfadanalyse' } },
        { id: 'B', text: { en: 'Azure Advisor cost recommendations', de: 'Kostenempfehlungen von Azure Advisor' } },
        { id: 'C', text: { en: 'Service endpoint policies', de: 'Richtlinien für Dienstendpunkte' } },
        { id: 'D', text: { en: 'Log Analytics table retention', de: 'Tabellenaufbewahrung in Log Analytics' } }
      ],
      correct: ['A'],
      explanation: { en: 'Attack path analysis in Defender for Cloud adds context by showing how multiple exposures or weaknesses can combine into a realistic path to compromise. That helps architects prioritize remediation based on actual risk chains instead of isolated findings.', de: 'Die Angriffspfadanalyse in Defender for Cloud liefert Kontext, indem sie zeigt, wie mehrere Exponierungen oder Schwachstellen zu einem realistischen Kompromittierungspfad kombiniert werden können. Dadurch können Architekten die Behebung nach tatsächlichen Risikoketten statt nach isolierten Findings priorisieren.' },
      hint: { en: 'The right answer focuses on context and chaining, not on single alerts or cost data.', de: 'Die richtige Antwort konzentriert sich auf Kontext und Verkettung, nicht auf einzelne Warnungen oder Kostendaten.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-attack-path'
    },
    {
      id: 'sc100-020',
      type: 'single',
      domain: { en: 'Design Security for Applications and Data', de: 'Sicherheit für Anwendungen und Daten entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'When should threat modeling be performed in a DevSecOps program?', de: 'Wann sollte Bedrohungsmodellierung in einem DevSecOps-Programm durchgeführt werden?' },
      options: [
        { id: 'A', text: { en: 'Early in design and again when major changes are introduced', de: 'Früh im Design und erneut bei größeren Änderungen' } },
        { id: 'B', text: { en: 'Only after production deployment', de: 'Erst nach der Bereitstellung in Produktion' } },
        { id: 'C', text: { en: 'Only when an audit fails', de: 'Nur wenn ein Audit fehlschlägt' } },
        { id: 'D', text: { en: 'Only for internet-facing workloads', de: 'Nur für internetseitige Workloads' } }
      ],
      correct: ['A'],
      explanation: { en: 'Threat modeling is most effective when done early, before architecture and code decisions are difficult to change. It should also be repeated when meaningful design or trust-boundary changes occur.', de: 'Bedrohungsmodellierung ist am wirksamsten, wenn sie früh erfolgt, bevor Architektur- und Codeentscheidungen schwer zu ändern sind. Sie sollte außerdem wiederholt werden, wenn sich Design oder Vertrauensgrenzen wesentlich ändern.' },
      hint: { en: 'Shift security left and treat threat modeling as iterative rather than one-time.', de: 'Verschieben Sie Sicherheit nach links und betrachten Sie Bedrohungsmodellierung als iterativen statt einmaligen Prozess.' },
      reference: 'https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool'
    },
    {
      id: 'sc100-021',
      type: 'multiple',
      domain: { en: 'Design Security for Applications and Data', de: 'Sicherheit für Anwendungen und Daten entwerfen' },
      difficulty: 'hard',
      scenario: { en: 'The development team at Woodgrove Bank builds an application with App Service, Azure SQL Database, and SharePoint-based document collaboration. Architects must reduce data exfiltration paths from platform services and apply policy based on data sensitivity across user content.', de: 'Das Entwicklungsteam von Woodgrove Bank erstellt eine Anwendung mit App Service, Azure SQL-Datenbank und dokumentenbasierter Zusammenarbeit über SharePoint. Die Architekten müssen Datenabflusswege aus Plattformdiensten reduzieren und Richtlinien auf Basis der Datensensitivität für Benutzerinhalte anwenden.' },
      question: { en: 'Which TWO design choices best support these goals?', de: 'Welche ZWEI Designentscheidungen unterstützen diese Ziele am besten?' },
      options: [
        { id: 'A', text: { en: 'Use Private Endpoints and disable unnecessary public network access for platform services', de: 'Private Endpoints verwenden und unnötigen öffentlichen Netzwerkzugriff für Plattformdienste deaktivieren' } },
        { id: 'B', text: { en: 'Use Microsoft Purview labels and DLP policies for sensitive collaboration content', de: 'Microsoft-Purview-Bezeichnungen und DLP-Richtlinien für sensible Inhalte der Zusammenarbeit verwenden' } },
        { id: 'C', text: { en: 'Store SQL connection strings on developer workstations for offline access', de: 'SQL-Verbindungszeichenfolgen für Offlinezugriff auf Entwicklerarbeitsstationen speichern' } },
        { id: 'D', text: { en: 'Publish every data service through a public endpoint to simplify troubleshooting', de: 'Jeden Datendienst über einen öffentlichen Endpunkt veröffentlichen, um die Fehlersuche zu vereinfachen' } }
      ],
      correct: ['A', 'B'],
      explanation: { en: 'Private connectivity reduces exposure and narrows exfiltration paths for Azure platform services. Purview labels and DLP extend protection to the content layer, allowing policy enforcement based on sensitivity rather than location alone.', de: 'Private Konnektivität reduziert die Exponierung und begrenzt Datenabflusswege für Azure-Plattformdienste. Purview-Bezeichnungen und DLP erweitern den Schutz auf die Inhaltsebene und ermöglichen die Durchsetzung von Richtlinien auf Basis der Sensitivität statt nur des Speicherorts.' },
      hint: { en: 'You need one answer for network exposure reduction and one for sensitivity-based data controls.', de: 'Sie benötigen eine Antwort zur Reduzierung der Netzwerkaussetzung und eine Antwort für datensensitivitätsbasierte Kontrollen.' },
      reference: 'https://learn.microsoft.com/en-us/purview/purview'
    },
    {
      id: 'sc100-022',
      type: 'single',
      domain: { en: 'Design Security for Applications and Data', de: 'Sicherheit für Anwendungen und Daten entwerfen' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which DevSecOps practice most effectively shifts security left for application teams?', de: 'Welche DevSecOps-Praxis verschiebt Sicherheit für Anwendungsteams am wirksamsten nach links?' },
      options: [
        { id: 'A', text: { en: 'Enforce pull request gates for code scanning, dependency scanning, and secret scanning', de: 'Pull-Request-Gates für Code-Scans, Abhängigkeits-Scans und Secret-Scans erzwingen' } },
        { id: 'B', text: { en: 'Delay all security review until the release weekend', de: 'Alle Sicherheitsprüfungen bis zum Release-Wochenende verschieben' } },
        { id: 'C', text: { en: 'Give every pipeline owner Global Administrator rights', de: 'Jedem Pipeline-Verantwortlichen globale Administratorrechte geben' } },
        { id: 'D', text: { en: 'Store signing keys in repository variables without rotation', de: 'Signierschlüssel ohne Rotation in Repository-Variablen speichern' } }
      ],
      correct: ['A'],
      explanation: { en: 'Security shifts left when issues are detected during development and pull request review rather than after deployment. Automated scanning gates reduce rework and catch risky code, dependencies, and secrets before they reach production.', de: 'Sicherheit wird nach links verschoben, wenn Probleme bereits während der Entwicklung und Pull-Request-Prüfung erkannt werden, statt erst nach der Bereitstellung. Automatisierte Scan-Gates reduzieren Nacharbeit und entdecken riskanten Code, Abhängigkeiten und Geheimnisse, bevor sie in Produktion gelangen.' },
      hint: { en: 'The best answer embeds automated security checks directly into the normal developer workflow.', de: 'Die beste Antwort bettet automatisierte Sicherheitsprüfungen direkt in den normalen Entwicklerworkflow ein.' },
      reference: 'https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github'
    },
    {
      id: 'sc100-023',
      type: 'single',
      domain: { en: 'Design Security for Applications and Data', de: 'Sicherheit für Anwendungen und Daten entwerfen' },
      difficulty: 'medium',
      scenario: { en: 'A team at Contoso, Ltd. deploys containerized APIs and Azure Functions through CI and CD. They need certificates and secrets stored centrally, rotated independently of the application, and consumed without hard-coded credentials.', de: 'Ein Team bei Contoso, Ltd. stellt containerisierte APIs und Azure Functions über CI/CD bereit. Zertifikate und Geheimnisse sollen zentral gespeichert, unabhängig von der Anwendung rotiert und ohne hart codierte Anmeldeinformationen verwendet werden.' },
      question: { en: 'Which design should you recommend?', de: 'Welches Design sollten Sie empfehlen?' },
      options: [
        { id: 'A', text: { en: 'Azure Key Vault integrated with managed identities', de: 'Azure Key Vault in Verbindung mit verwalteten Identitäten' } },
        { id: 'B', text: { en: 'Local configuration files on each build agent', de: 'Lokale Konfigurationsdateien auf jedem Build-Agent' } },
        { id: 'C', text: { en: 'Shared service account passwords in pipeline variables', de: 'Gemeinsame Dienstkontokennwörter in Pipeline-Variablen' } },
        { id: 'D', text: { en: 'Manual secret updates in source code', de: 'Manuelle Aktualisierung von Geheimnissen im Quellcode' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Key Vault centralizes secret and certificate storage, while managed identities remove the need for applications to hold authentication secrets. This combination supports rotation, separation of duties, and secure consumption patterns.', de: 'Azure Key Vault zentralisiert die Speicherung von Geheimnissen und Zertifikaten, während verwaltete Identitäten den Bedarf an Authentifizierungsgeheimnissen in Anwendungen beseitigen. Diese Kombination unterstützt Rotation, Aufgabentrennung und sichere Nutzungsmuster.' },
      hint: { en: 'You need one service for secret storage and one mechanism that lets workloads authenticate without static credentials.', de: 'Sie benötigen einen Dienst für die Geheimnisspeicherung und einen Mechanismus, mit dem sich Workloads ohne statische Anmeldeinformationen authentifizieren können.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'sc100-024',
      type: 'single',
      domain: { en: 'Design Security for Applications and Data', de: 'Sicherheit für Anwendungen und Daten entwerfen' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'You must encrypt Azure SQL Database and Storage accounts with keys controlled by your organization and managed centrally. Which design should you choose?', de: 'Sie müssen Azure SQL-Datenbank und Speicherkonten mit Schlüsseln verschlüsseln, die von Ihrer Organisation kontrolliert und zentral verwaltet werden. Welches Design sollten Sie wählen?' },
      options: [
        { id: 'A', text: { en: 'Customer-managed keys stored in Azure Key Vault or Managed HSM', de: 'Kundenseitig verwaltete Schlüssel in Azure Key Vault oder Managed HSM' } },
        { id: 'B', text: { en: 'Platform-managed keys only with no key visibility', de: 'Ausschließlich plattformverwaltete Schlüssel ohne Sichtbarkeit auf die Schlüssel' } },
        { id: 'C', text: { en: 'Local certificate files copied to each database server', de: 'Lokale Zertifikatsdateien, die auf jeden Datenbankserver kopiert werden' } },
        { id: 'D', text: { en: 'Shared access signatures stored forever', de: 'Gemeinsame Zugriffssignaturen, die dauerhaft gespeichert werden' } }
      ],
      correct: ['A'],
      explanation: { en: 'Customer-managed keys provide organizational control over the key lifecycle and support central governance. Azure Key Vault or Managed HSM is the recommended place to store and manage those keys securely.', de: 'Kundenseitig verwaltete Schlüssel geben der Organisation Kontrolle über den Schlüssellebenszyklus und unterstützen zentrale Governance. Azure Key Vault oder Managed HSM ist der empfohlene Ort, um diese Schlüssel sicher zu speichern und zu verwalten.' },
      hint: { en: 'The requirement is organizational key control, not simply encryption at rest.', de: 'Gefordert ist die organisatorische Kontrolle über die Schlüssel, nicht nur eine Verschlüsselung ruhender Daten.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'sc100-025',
      type: 'single',
      domain: { en: 'Design Security for Applications and Data', de: 'Sicherheit für Anwendungen und Daten entwerfen' },
      difficulty: 'hard',
      scenario: { en: 'Litware, Inc. exposes internal APIs through Azure API Management and uses analytics workloads that consume data from several business units. Architects must enforce least-privilege service-to-service authentication, avoid secret sprawl, and maintain enterprise data classification and governance for downstream use.', de: 'Litware, Inc. stellt interne APIs über Azure API Management bereit und nutzt Analyse-Workloads, die Daten aus mehreren Geschäftsbereichen verarbeiten. Die Architekten müssen eine dienstübergreifende Authentifizierung nach dem Prinzip der geringsten Rechte erzwingen, die Verbreitung von Geheimnissen vermeiden und eine unternehmensweite Datenklassifizierung und Governance für die nachgelagerte Nutzung sicherstellen.' },
      question: { en: 'Which design is best?', de: 'Welches Design ist am besten?' },
      options: [
        { id: 'A', text: { en: 'Use workload identities or managed identities for service authentication and Microsoft Purview for data governance', de: 'Workload-Identitäten oder verwaltete Identitäten für die Dienstauthentifizierung und Microsoft Purview für die Data Governance verwenden' } },
        { id: 'B', text: { en: 'Use shared client secrets for all APIs and a spreadsheet for data ownership', de: 'Gemeinsame Clientgeheimnisse für alle APIs und eine Tabelle für Datenverantwortung verwenden' } },
        { id: 'C', text: { en: 'Allow anonymous backend access inside the virtual network and rely on subnet rules only', de: 'Anonymen Backendzugriff innerhalb des virtuellen Netzwerks zulassen und sich nur auf Subnetzregeln verlassen' } },
        { id: 'D', text: { en: 'Use one SQL login for every data consumer', de: 'Eine einzige SQL-Anmeldung für alle Datenkonsumenten verwenden' } }
      ],
      correct: ['A'],
      explanation: { en: 'Workload identities and managed identities support least-privilege, secretless service authentication for modern architectures. Microsoft Purview adds classification, governance, and discoverability so downstream analytics uses data under defined business and compliance controls.', de: 'Workload-Identitäten und verwaltete Identitäten unterstützen eine geheimnisfreie Dienstauthentifizierung nach dem Prinzip der geringsten Rechte für moderne Architekturen. Microsoft Purview ergänzt dies um Klassifizierung, Governance und Auffindbarkeit, damit nachgelagerte Analysen Daten unter definierten Geschäfts- und Compliance-Kontrollen nutzen.' },
      hint: { en: 'You need one answer for secretless service authentication and one platform for enterprise data governance.', de: 'Sie benötigen eine Antwort für geheimnisfreie Dienstauthentifizierung und eine Plattform für unternehmensweite Data Governance.' },
      reference: 'https://learn.microsoft.com/en-us/purview/purview'
    },
    {
      id: "sc100-026",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Zero Trust assumption helps architects design controls that limit lateral movement after an attacker gains an initial foothold?", de: "Welche Zero-Trust-Annahme hilft Architekten, Kontrollen zu entwerfen, die laterale Bewegung begrenzen, nachdem ein Angreifer einen ersten Zugriff erlangt hat?" },
      options: [
        { id: "A", text: { en: "Assume breach and segment access paths", de: "Von einer möglichen Sicherheitsverletzung ausgehen und Zugriffspfade segmentieren" } },
        { id: "B", text: { en: "Trust any connection from the corporate network", de: "Jede Verbindung aus dem Unternehmensnetzwerk vertrauen" } },
        { id: "C", text: { en: "Use a single perimeter firewall as the primary control", de: "Eine einzelne Perimeter-Firewall als primäre Kontrolle verwenden" } },
        { id: "D", text: { en: "Share administrator accounts to simplify response", de: "Administratorkonten gemeinsam nutzen, um die Reaktion zu vereinfachen" } }
      ],
      correct: ["A"],
      explanation: { en: "Assume breach drives segmentation, least privilege, and monitoring so compromise in one area does not automatically become compromise everywhere. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die Annahme einer möglichen Sicherheitsverletzung treibt Segmentierung, geringste Rechte und Überwachung voran, damit eine Kompromittierung in einem Bereich nicht automatisch zu einer vollständigen Kompromittierung führt. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option that plans for compromise instead of assuming internal trust.", de: "Wählen Sie die Option, die eine Kompromittierung einplant, anstatt internes Vertrauen anzunehmen." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview"
    },
    {
      id: "sc100-027",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "Contoso recently suffered a ransomware incident. Executives now require recovery of the ERP platform within four hours even if tenant administrators are compromised during the attack.", de: "Contoso hatte kürzlich einen Ransomware-Vorfall. Die Geschäftsleitung verlangt nun, dass die ERP-Plattform innerhalb von vier Stunden wiederhergestellt werden kann, selbst wenn Mandantenadministratoren während des Angriffs kompromittiert werden." },
      question: { en: "Which recovery design should you recommend?", de: "Welches Wiederherstellungsdesign sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Immutable backups with isolated recovery identities and a separate recovery environment", de: "Unveränderliche Sicherungen mit isolierten Wiederherstellungsidentitäten und einer separaten Wiederherstellungsumgebung" } },
        { id: "B", text: { en: "Backups managed by the same privileged accounts used in production", de: "Sicherungen, die mit denselben privilegierten Konten wie die Produktion verwaltet werden" } },
        { id: "C", text: { en: "Daily exports copied to a standard file share in the production domain", de: "Tägliche Exporte auf eine Standarddateifreigabe in der Produktionsdomäne" } },
        { id: "D", text: { en: "VM snapshots kept only in the same subscription as production workloads", de: "VM-Snapshots, die nur im selben Abonnement wie die Produktionsworkloads aufbewahrt werden" } }
      ],
      correct: ["A"],
      explanation: { en: "Immutable backups and isolated recovery identities protect restore points and the recovery process even when production administrators are compromised. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Unveränderliche Sicherungen und isolierte Wiederherstellungsidentitäten schützen Wiederherstellungspunkte und den Wiederherstellungsprozess, selbst wenn Produktionsadministratoren kompromittiert werden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Prefer designs that isolate backup administration and make recovery points tamper resistant.", de: "Bevorzugen Sie Designs, die die Sicherungsadministration isolieren und Wiederherstellungspunkte manipulationssicher machen." },
      reference: "https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept"
    },
    {
      id: "sc100-028",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design choices most improve ransomware resilience for hybrid workloads?", de: "Welche ZWEI Designentscheidungen verbessern die Ransomware-Resilienz für Hybrid-Workloads am stärksten?" },
      options: [
        { id: "A", text: { en: "Test backup restores regularly by using documented recovery runbooks", de: "Sicherungswiederherstellungen regelmäßig mit dokumentierten Recovery-Runbooks testen" } },
        { id: "B", text: { en: "Join backup infrastructure to the same privileged admin tier as production", de: "Die Sicherungsinfrastruktur derselben privilegierten Administratorebene wie die Produktion zuordnen" } },
        { id: "C", text: { en: "Store backups in immutable storage with role separation and restricted delete operations", de: "Sicherungen in unveränderlichem Speicher mit Rollentrennung und eingeschränkten Löschoperationen aufbewahren" } },
        { id: "D", text: { en: "Allow domain admins to delete backup vaults during emergencies", de: "Domänenadministratoren erlauben, Backup-Tresore im Notfall zu löschen" } }
      ],
      correct: ["A", "C"],
      explanation: { en: "Regular restore testing proves that recovery objectives are achievable, and immutable storage with role separation helps attackers from tampering with the backup estate. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Regelmäßige Wiederherstellungstests belegen, dass Wiederherstellungsziele erreichbar sind, und unveränderlicher Speicher mit Rollentrennung erschwert Angreifern die Manipulation der Sicherungslandschaft. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the answers that both validate recovery and protect backups from administrative abuse.", de: "Wählen Sie die Antworten, die sowohl die Wiederherstellbarkeit nachweisen als auch Sicherungen vor administrativem Missbrauch schützen." },
      reference: "https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept"
    },
    {
      id: "sc100-029",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "When prioritizing security investments, what should architects identify first?", de: "Was sollten Architekten zuerst identifizieren, wenn sie Sicherheitsinvestitionen priorisieren?" },
      options: [
        { id: "A", text: { en: "Business-critical assets and the dependencies that support them", de: "Geschäftskritische Werte und die Abhängigkeiten, die sie unterstützen" } },
        { id: "B", text: { en: "Every low-severity finding in the environment", de: "Jeden Fund mit niedriger Priorität in der Umgebung" } },
        { id: "C", text: { en: "The least expensive control available", de: "Die kostengünstigste verfügbare Kontrolle" } },
        { id: "D", text: { en: "The preferred tools of each operations team", de: "Die bevorzugten Werkzeuge jedes Betriebsteams" } }
      ],
      correct: ["A"],
      explanation: { en: "Security strategy should start with the assets and business processes whose disruption would hurt the organization most, because that drives threat prioritization and control design. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Eine Sicherheitsstrategie sollte mit den Werten und Geschäftsprozessen beginnen, deren Ausfall der Organisation am meisten schaden würde, weil dies die Priorisierung von Bedrohungen und die Gestaltung von Kontrollen bestimmt. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Focus on business impact before tool selection.", de: "Konzentrieren Sie sich vor der Werkzeugauswahl auf den Geschäftseinfluss." },
      reference: "https://learn.microsoft.com/en-us/security/compass/governance"
    },
    {
      id: "sc100-030",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: { en: "Litware, Inc. runs business-critical workloads in Azure, AWS, and on-premises datacenters. The board requires a secure disaster recovery strategy that still works if the primary identity plane is compromised.", de: "Litware, Inc. betreibt geschäftskritische Workloads in Azure, AWS und lokalen Rechenzentren. Der Vorstand verlangt eine sichere Disaster-Recovery-Strategie, die auch dann funktioniert, wenn die primäre Identitätsebene kompromittiert wird." },
      question: { en: "Which design best meets this requirement?", de: "Welches Design erfüllt diese Anforderung am besten?" },
      options: [
        { id: "A", text: { en: "Use infrastructure as code, immutable backups, and an isolated recovery environment with separate credentials", de: "Infrastructure as Code, unveränderliche Sicherungen und eine isolierte Recovery-Umgebung mit separaten Anmeldeinformationen verwenden" } },
        { id: "B", text: { en: "Reuse the same administrators and automation accounts in every production and recovery environment", de: "Dieselben Administratoren und Automatisierungskonten in allen Produktions- und Recovery-Umgebungen wiederverwenden" } },
        { id: "C", text: { en: "Rely only on regional failover for all workloads", de: "Sich für alle Workloads ausschließlich auf regionales Failover verlassen" } },
        { id: "D", text: { en: "Copy production VMs into a development subscription for emergency restores", de: "Produktions-VMs für Notfallwiederherstellungen in ein Entwicklungsabonnement kopieren" } }
      ],
      correct: ["A"],
      explanation: { en: "An isolated recovery environment with separate credentials and immutable recovery data reduces the chance that an attacker can corrupt both production and disaster recovery capabilities. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Eine isolierte Recovery-Umgebung mit separaten Anmeldeinformationen und unveränderlichen Wiederherstellungsdaten verringert die Wahrscheinlichkeit, dass ein Angreifer sowohl die Produktion als auch die Disaster-Recovery-Fähigkeiten kompromittiert. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for isolation of identities, automation, and recovery data.", de: "Achten Sie auf die Isolierung von Identitäten, Automatisierung und Wiederherstellungsdaten." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/rapid-modernization-plan"
    },
    {
      id: "sc100-031",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Azure service should architects use to orchestrate patch and update governance for Windows and Linux servers across Azure, Arc, and on-premises environments?", de: "Welchen Azure-Dienst sollten Architekten verwenden, um Patch- und Update-Governance für Windows- und Linux-Server in Azure-, Arc- und lokalen Umgebungen zu orchestrieren?" },
      options: [
        { id: "A", text: { en: "Azure Update Manager", de: "Azure Update Manager" } },
        { id: "B", text: { en: "Microsoft Sentinel", de: "Microsoft Sentinel" } },
        { id: "C", text: { en: "Microsoft Purview", de: "Microsoft Purview" } },
        { id: "D", text: { en: "Azure App Configuration", de: "Azure App Configuration" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Update Manager is designed to assess, schedule, and govern updates across Azure VMs and Arc-enabled servers from a central service. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Azure Update Manager ist dafür ausgelegt, Updates für Azure-VMs und Arc-fähige Server zentral zu bewerten, zu planen und zu steuern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the service focused on update assessment and deployment, not monitoring or data governance.", de: "Wählen Sie den Dienst, der auf Updatebewertung und -bereitstellung ausgerichtet ist, nicht auf Monitoring oder Data Governance." },
      reference: "https://learn.microsoft.com/en-us/azure/update-manager/overview"
    },
    {
      id: "sc100-032",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO controls best address software supply chain risk in a DevSecOps process?", de: "Welche ZWEI Kontrollen adressieren das Risiko der Software-Lieferkette in einem DevSecOps-Prozess am besten?" },
      options: [
        { id: "A", text: { en: "Generate an SBOM and scan dependencies for known vulnerabilities", de: "Ein SBOM erzeugen und Abhängigkeiten auf bekannte Schwachstellen prüfen" } },
        { id: "B", text: { en: "Sign build artifacts and protect pipeline identities", de: "Build-Artefakte signieren und Pipeline-Identitäten schützen" } },
        { id: "C", text: { en: "Perform manual code review only after production release", de: "Manuelle Code-Reviews erst nach dem Produktionsrelease durchführen" } },
        { id: "D", text: { en: "Share long-lived personal access tokens among pipeline owners", de: "Langlebige persönliche Zugriffstoken unter Pipeline-Verantwortlichen teilen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "SBOM and dependency scanning improve visibility into third-party components, while artifact signing and protected pipeline identities help establish trust in what is built and deployed. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "SBOM und Abhängigkeitsprüfungen verbessern die Transparenz über Drittkomponenten, während Artefaktsignierung und geschützte Pipeline-Identitäten Vertrauen in Build und Bereitstellung schaffen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for component visibility and one for build integrity.", de: "Wählen Sie eine Antwort für Komponententransparenz und eine für Build-Integrität." },
      reference: "https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github"
    },
    {
      id: "sc100-033",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "The board at Humongous Insurance asks for a phased Zero Trust modernization plan that begins with quick wins and then expands across identities, devices, applications, data, and infrastructure.", de: "Der Vorstand von Humongous Insurance verlangt einen phasenweisen Zero-Trust-Modernisierungsplan, der mit schnellen Erfolgen beginnt und sich dann auf Identitäten, Geräte, Anwendungen, Daten und Infrastruktur ausweitet." },
      question: { en: "Which Microsoft planning approach should guide the roadmap?", de: "Welcher Microsoft-Planungsansatz sollte die Roadmap leiten?" },
      options: [
        { id: "A", text: { en: "The Rapid Modernization Plan for Zero Trust (RaMP)", de: "Der Rapid Modernization Plan für Zero Trust (RaMP)" } },
        { id: "B", text: { en: "The Azure pricing calculator", de: "Der Azure-Preisrechner" } },
        { id: "C", text: { en: "CAF migration waves only", de: "Nur CAF-Migrationswellen" } },
        { id: "D", text: { en: "An ITIL change advisory board checklist", de: "Eine ITIL-Checkliste für den Change Advisory Board" } }
      ],
      correct: ["A"],
      explanation: { en: "RaMP is specifically designed to prioritize and sequence Zero Trust modernization initiatives across multiple security pillars. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "RaMP wurde speziell entwickelt, um Zero-Trust-Modernisierungsinitiativen über mehrere Sicherheitssäulen hinweg zu priorisieren und zu sequenzieren. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the guidance built for phased Zero Trust modernization, not cost planning or generic IT process.", de: "Wählen Sie die Leitlinie, die für die phasenweise Zero-Trust-Modernisierung entwickelt wurde, nicht für Kostenplanung oder generische IT-Prozesse." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/rapid-modernization-plan"
    },
    {
      id: "sc100-034",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What is the primary purpose of the Azure Well-Architected Framework security pillar during a workload review?", de: "Was ist der Hauptzweck der Sicherheitssäule des Azure Well-Architected Frameworks bei einer Workload-Überprüfung?" },
      options: [
        { id: "A", text: { en: "Evaluate workload design decisions against security principles and tradeoffs", de: "Workload-Designentscheidungen anhand von Sicherheitsprinzipien und Zielkonflikten bewerten" } },
        { id: "B", text: { en: "Classify Microsoft 365 documents", de: "Microsoft-365-Dokumente klassifizieren" } },
        { id: "C", text: { en: "Manage help desk incidents", de: "Helpdesk-Vorfälle verwalten" } },
        { id: "D", text: { en: "Calculate Azure licensing costs", de: "Azure-Lizenzkosten berechnen" } }
      ],
      correct: ["A"],
      explanation: { en: "The security pillar of the Well-Architected Framework helps architects review whether workload design choices align with recommended security principles and operational tradeoffs. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die Sicherheitssäule des Well-Architected Frameworks hilft Architekten zu überprüfen, ob Workload-Designentscheidungen mit empfohlenen Sicherheitsprinzipien und betrieblichen Zielkonflikten übereinstimmen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think about design review guidance for workloads, not governance of content or cost.", de: "Denken Sie an Designleitlinien für Workloads, nicht an Content-Governance oder Kosten." },
      reference: "https://learn.microsoft.com/en-us/azure/well-architected/security/principles"
    },
    {
      id: "sc100-035",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: { en: "Application teams at Woodgrove Bank currently create Azure subscriptions manually. The result is inconsistent network controls, logging settings, and role assignments. Security architects need a model that keeps developer agility while enforcing enterprise guardrails.", de: "Anwendungsteams bei Woodgrove Bank erstellen Azure-Abonnements derzeit manuell. Das Ergebnis sind inkonsistente Netzwerkkontrollen, Protokollierungseinstellungen und Rollenzuweisungen. Sicherheitsarchitekten benötigen ein Modell, das die Agilität der Entwickler erhält und gleichzeitig unternehmensweite Leitplanken erzwingt." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Azure landing zones with management groups, policy as code, and standardized platform modules", de: "Azure Landing Zones mit Verwaltungsgruppen, Policy as Code und standardisierten Plattformmodulen" } },
        { id: "B", text: { en: "Subscription-by-subscription scripts maintained by each team", de: "Abonnementweise Skripte, die von jedem Team gepflegt werden" } },
        { id: "C", text: { en: "A separate tenant for every application", de: "Einen separaten Mandanten für jede Anwendung" } },
        { id: "D", text: { en: "Local owner rights with post-deployment review meetings", de: "Lokale Besitzerrechte mit Überprüfungsmeetings nach der Bereitstellung" } }
      ],
      correct: ["A"],
      explanation: { en: "Landing zones provide a scalable platform architecture where governance, policy, networking, and identity guardrails are applied consistently without removing application team autonomy. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Landing Zones stellen eine skalierbare Plattformarchitektur bereit, in der Governance-, Richtlinien-, Netzwerk- und Identitätsleitplanken konsistent angewendet werden, ohne den Anwendungsteams ihre Eigenständigkeit zu nehmen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the enterprise-scale platform pattern rather than manual remediation after the fact.", de: "Wählen Sie das Plattformmuster für Enterprise-Scale statt manueller Nachbesserung im Nachhinein." },
      reference: "https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/ready/landing-zone/design-area/security"
    },
    {
      id: "sc100-036",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which activity best helps architects map security controls to actual business impact during ransomware planning?", de: "Welche Aktivität hilft Architekten am besten, Sicherheitskontrollen während der Ransomware-Planung dem tatsächlichen Geschäftseinfluss zuzuordnen?" },
      options: [
        { id: "A", text: { en: "Perform a business impact analysis for critical processes", de: "Eine Business-Impact-Analyse für kritische Prozesse durchführen" } },
        { id: "B", text: { en: "Rotate service passwords on a fixed calendar", de: "Dienstkennwörter nach festem Kalender rotieren" } },
        { id: "C", text: { en: "Review Azure reservation discounts", de: "Azure-Reservierungsrabatte überprüfen" } },
        { id: "D", text: { en: "Rename network segments for consistency", de: "Netzwerksegmente zur Vereinheitlichung umbenennen" } }
      ],
      correct: ["A"],
      explanation: { en: "A business impact analysis identifies which processes, dependencies, and recovery objectives matter most so architects can align controls to the highest organizational risk. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Eine Business-Impact-Analyse identifiziert, welche Prozesse, Abhängigkeiten und Wiederherstellungsziele am wichtigsten sind, damit Architekten Kontrollen am höchsten organisatorischen Risiko ausrichten können. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Start with business criticality, then design controls around it.", de: "Beginnen Sie mit der Geschäftskritikalität und entwerfen Sie dann Kontrollen darum herum." },
      reference: "https://learn.microsoft.com/en-us/security/compass/governance"
    },
    {
      id: "sc100-037",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "After several acquisitions, Contoso, Ltd. now runs workloads across multiple clouds and business units. Security leadership wants a common architectural view that maps business scenarios to capabilities and highlights missing controls.", de: "Nach mehreren Übernahmen betreibt Contoso, Ltd. betreibt ein Unternehmen nun Workloads über mehrere Clouds und Geschäftsbereiche hinweg. Die Sicherheitsleitung möchte eine gemeinsame architektonische Sicht, die Geschäftsszenarien Sicherheitsfunktionen zuordnet und fehlende Kontrollen aufzeigt." },
      question: { en: "Which Microsoft artifact should anchor this exercise?", de: "Welches Microsoft-Artefakt sollte diese Übung verankern?" },
      options: [
        { id: "A", text: { en: "Microsoft Cybersecurity Reference Architecture (MCRA)", de: "Microsoft Cybersecurity Reference Architecture (MCRA)" } },
        { id: "B", text: { en: "Azure Service Health", de: "Azure Service Health" } },
        { id: "C", text: { en: "Azure pricing exports", de: "Azure-Preisexporte" } },
        { id: "D", text: { en: "A ticket queue dashboard", de: "Ein Dashboard für Ticketwarteschlangen" } }
      ],
      correct: ["A"],
      explanation: { en: "MCRA is intended to map capabilities and control families to business and technology scenarios so architects can identify architectural gaps and target-state priorities. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die MCRA dient dazu, Fähigkeiten und Kontrollfamilien Geschäfts- und Technologieszenarien zuzuordnen, damit Architekten Architekturlücken und Zielprioritäten erkennen können. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "You need a capability map, not an operations dashboard.", de: "Sie benötigen eine Fähigkeitslandkarte, kein Betriebsdashboard." },
      reference: "https://learn.microsoft.com/en-us/security/adoption/mcra"
    },
    {
      id: "sc100-038",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design decisions best secure privileged access as part of a ransomware resiliency strategy?", de: "Welche ZWEI Designentscheidungen sichern privilegierten Zugriff am besten als Teil einer Ransomware-Resilienzstrategie ab?" },
      options: [
        { id: "A", text: { en: "Use separate admin accounts and hardened workstations for administrative tasks", de: "Separate Administratorkonten und gehärtete Arbeitsstationen für administrative Aufgaben verwenden" } },
        { id: "B", text: { en: "Require just-in-time elevation through Privileged Identity Management", de: "Just-in-Time-Erhöhungen über Privileged Identity Management verlangen" } },
        { id: "C", text: { en: "Assign permanent Global Administrator rights to speed up recovery", de: "Dauerhafte globale Administratorrechte zuweisen, um die Wiederherstellung zu beschleunigen" } },
        { id: "D", text: { en: "Store break-glass passwords in a shared team chat", de: "Break-Glass-Kennwörter in einem gemeinsamen Team-Chat speichern" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Using hardened admin paths and just-in-time elevation reduces standing privilege and lowers the chance that an attacker can reuse administrative credentials during an attack. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Gehärtete Administrationspfade und Just-in-Time-Erhöhungen reduzieren dauerhafte Privilegien und verringern die Wahrscheinlichkeit, dass ein Angreifer administrative Anmeldeinformationen während eines Angriffs wiederverwenden kann. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the answers that reduce standing privilege and isolate admin activity.", de: "Wählen Sie die Antworten, die dauerhafte Privilegien reduzieren und Administratoraktivitäten isolieren." },
      reference: "https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-strategy"
    },
    {
      id: "sc100-039",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Microsoft resource should you use when you need Azure-specific control recommendations and a measurable baseline across cloud services?", de: "Welche Microsoft-Ressource sollten Sie verwenden, wenn Sie Azure-spezifische Kontrollempehlungen und eine messbare Basis über Cloud-Dienste hinweg benötigen?" },
      options: [
        { id: "A", text: { en: "Microsoft Cloud Security Benchmark", de: "Microsoft Cloud Security Benchmark" } },
        { id: "B", text: { en: "Microsoft Priva", de: "Microsoft Priva" } },
        { id: "C", text: { en: "Microsoft Purview Audit", de: "Microsoft Purview Audit" } },
        { id: "D", text: { en: "Azure Cost Management", de: "Azure Cost Management" } }
      ],
      correct: ["A"],
      explanation: { en: "The Microsoft Cloud Security Benchmark translates control intent into Azure-aligned recommendations and is designed to support consistent measurement across services. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Der Microsoft Cloud Security Benchmark übersetzt die Absicht von Kontrollen in Azure-orientierte Empfehlungen und ist darauf ausgelegt, eine konsistente Messung über Dienste hinweg zu unterstützen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the Azure baseline for control implementation guidance.", de: "Wählen Sie die Azure-Basis für die Leitlinie zur Kontrollimplementierung." },
      reference: "https://learn.microsoft.com/en-us/security/benchmark/azure/overview"
    },
    {
      id: "sc100-040",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Litware, Inc., a legacy line-of-business application is being redesigned for Azure. Architects need structured guidance for identity, network segmentation, data protection, operations, and tradeoff decisions during the workload review.", de: "Bei Litware, Inc. wird eine ältere Fachanwendung wird für Azure neu konzipiert. Architekten benötigen eine strukturierte Leitlinie für Identität, Netzwerksegmentierung, Datenschutz, Betrieb und Zielkonflikte während der Workload-Überprüfung." },
      question: { en: "Which framework should guide the review?", de: "Welches Framework sollte die Überprüfung leiten?" },
      options: [
        { id: "A", text: { en: "Azure Well-Architected Framework security pillar", de: "Die Sicherheitssäule des Azure Well-Architected Framework" } },
        { id: "B", text: { en: "Microsoft 365 admin center", de: "Das Microsoft-365-Admin Center" } },
        { id: "C", text: { en: "Azure Marketplace offers", de: "Azure-Marketplace-Angebote" } },
        { id: "D", text: { en: "Windows Event Viewer", de: "Windows Event Viewer" } }
      ],
      correct: ["A"],
      explanation: { en: "The Well-Architected Framework is the recommended design review lens for evaluating a workload across security principles and design tradeoffs. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Das Well-Architected Framework ist die empfohlene Design-Review-Perspektive, um einen Workload anhand von Sicherheitsprinzipien und Design-Zielkonflikten zu bewerten. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for workload design review guidance, not service administration.", de: "Suchen Sie nach Leitlinien für die Workload-Designüberprüfung, nicht nach Dienstadministration." },
      reference: "https://learn.microsoft.com/en-us/azure/well-architected/security/principles"
    },
    {
      id: "sc100-041",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which design most reduces secret sprawl in CI/CD pipelines that deploy to Azure from GitHub Actions?", de: "Welches Design reduziert die Verbreitung von Geheimnissen in CI/CD-Pipelines am stärksten, die aus GitHub Actions nach Azure bereitstellen?" },
      options: [
        { id: "A", text: { en: "Use workload identity federation so workflows obtain Azure tokens without stored secrets", de: "Workload-Identity-Federation verwenden, damit Workflows Azure-Token ohne gespeicherte Geheimnisse erhalten" } },
        { id: "B", text: { en: "Store a long-lived service principal secret in repository secrets", de: "Ein langlebiges Dienstprinzipal-Geheimnis in Repository-Secrets speichern" } },
        { id: "C", text: { en: "Share one Global Administrator account across all pipelines", de: "Ein Global-Administrator-Konto für alle Pipelines gemeinsam verwenden" } },
        { id: "D", text: { en: "Copy deployment keys to self-hosted runners manually", de: "Bereitstellungsschlüssel manuell auf selbstgehostete Runner kopieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Workload identity federation removes the need for long-lived secrets in CI/CD while still allowing strong, scoped authentication to Azure resources. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Workload-Identity-Federation beseitigt den Bedarf an langlebigen Geheimnissen in CI/CD und ermöglicht dennoch eine starke, eng begrenzte Authentifizierung gegenüber Azure-Ressourcen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Prefer a design that removes secrets instead of rotating more of them.", de: "Bevorzugen Sie ein Design, das Geheimnisse entfernt, anstatt nur mehr davon zu rotieren." },
      reference: "https://learn.microsoft.com/en-us/entra/workload-id/workload-identities-federation"
    },
    {
      id: "sc100-042",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO practices align a DevSecOps program with Cloud Adoption Framework security guidance?", de: "Welche ZWEI Praktiken richten ein DevSecOps-Programm an den Sicherheitsleitlinien des Cloud Adoption Framework aus?" },
      options: [
        { id: "A", text: { en: "Embed policy and compliance checks directly in CI/CD pipelines", de: "Richtlinien- und Compliance-Prüfungen direkt in CI/CD-Pipelines einbetten" } },
        { id: "B", text: { en: "Version infrastructure and security baselines as code", de: "Infrastruktur und Sicherheitsbaselines versioniert als Code verwalten" } },
        { id: "C", text: { en: "Allow emergency production changes outside the release pipeline as the default process", de: "Notfalländerungen an der Produktion standardmäßig außerhalb der Release-Pipeline zulassen" } },
        { id: "D", text: { en: "Perform security validation only during the go-live weekend", de: "Sicherheitsvalidierung nur am Go-Live-Wochenende durchführen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Embedding controls in pipelines and codifying baseline configurations make security repeatable, reviewable, and scalable across landing zones and workloads. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Das Einbetten von Kontrollen in Pipelines und die Abbildung von Basiskonfigurationen als Code machen Sicherheit über Landing Zones und Workloads hinweg wiederholbar, überprüfbar und skalierbar. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the answers that make security part of the engineering workflow.", de: "Wählen Sie die Antworten, die Sicherheit zum Teil des Engineering-Workflows machen." },
      reference: "https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github"
    },
    {
      id: "sc100-043",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: { en: "Humongous Insurance is starting its Zero Trust journey and wants to know which control plane should be strengthened first to support later improvements across users, devices, and applications.", de: "Humongous Insurance beginnt ihre Zero-Trust-Reise und möchte wissen, welche Steuerungsebene zuerst gestärkt werden sollte, um spätere Verbesserungen bei Benutzern, Geräten und Anwendungen zu unterstützen." },
      question: { en: "What should architects treat as the foundation?", de: "Was sollten Architekten als Grundlage betrachten?" },
      options: [
        { id: "A", text: { en: "Identity", de: "Identität" } },
        { id: "B", text: { en: "Physical office perimeter", de: "Den physischen Büroperimeter" } },
        { id: "C", text: { en: "Subnet naming conventions", de: "Subnetzbenennungskonventionen" } },
        { id: "D", text: { en: "Storage account tags", de: "Speicherkonto-Tags" } }
      ],
      correct: ["A"],
      explanation: { en: "Identity is the core control plane in Zero Trust because authentication, authorization, and policy decisions depend on strong identity signals. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Identität ist die zentrale Steuerungsebene in Zero Trust, weil Authentifizierung, Autorisierung und Richtlinienentscheidungen von starken Identitätssignalen abhängen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think about the control plane behind authentication and access decisions.", de: "Denken Sie an die Steuerungsebene hinter Authentifizierungs- und Zugriffsentscheidungen." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/zero-trust-overview"
    },
    {
      id: "sc100-044",
      type: "single",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which backup characteristic becomes most important when attackers might gain tenant administrator rights?", de: "Welche Sicherungseigenschaft wird am wichtigsten, wenn Angreifer Mandantenadministratorrechte erlangen könnten?" },
      options: [
        { id: "A", text: { en: "Immutability with restricted delete operations", de: "Unveränderlichkeit mit eingeschränkten Löschoperationen" } },
        { id: "B", text: { en: "Higher compression ratios", de: "Höhere Komprimierungsraten" } },
        { id: "C", text: { en: "Using the same credentials as production", de: "Dieselben Anmeldeinformationen wie die Produktion zu verwenden" } },
        { id: "D", text: { en: "Storing fewer restore points", de: "Weniger Wiederherstellungspunkte aufzubewahren" } }
      ],
      correct: ["A"],
      explanation: { en: "If an attacker gains privileged access, immutable backups and delete protection help preserve recovery data even when production administrators are under attacker control. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Wenn ein Angreifer privilegierten Zugriff erlangt, helfen unveränderliche Sicherungen und Löschschutz dabei, Wiederherstellungsdaten zu erhalten, selbst wenn Produktionsadministratoren unter Kontrolle des Angreifers stehen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the answer that protects the restore data itself from privileged misuse.", de: "Wählen Sie die Antwort, die die Wiederherstellungsdaten selbst vor privilegiertem Missbrauch schützt." },
      reference: "https://learn.microsoft.com/en-us/azure/backup/backup-azure-immutable-vault-concept"
    },
    {
      id: "sc100-045",
      type: "scenario",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "medium",
      scenario: { en: "Humongous Insurance has strong backups but wants to reduce the risk of reinfecting production during recovery. Security leadership asks for an environment where recovered workloads can be validated before reconnecting them.", de: "Humongous Insurance verfügt über gute Sicherungen, möchte aber das Risiko verringern, die Produktion während der Wiederherstellung erneut zu infizieren. Die Sicherheitsleitung fordert eine Umgebung, in der wiederhergestellte Workloads vor der Wiederanbindung validiert werden können." },
      question: { en: "Which additional design element should be included?", de: "Welches zusätzliche Designelement sollte aufgenommen werden?" },
      options: [
        { id: "A", text: { en: "A clean-room recovery environment with isolated management and validated restore runbooks", de: "Eine Clean-Room-Recovery-Umgebung mit isoliertem Management und validierten Restore-Runbooks" } },
        { id: "B", text: { en: "Direct restoration into the production network without validation", de: "Direkte Wiederherstellung in das Produktionsnetzwerk ohne Validierung" } },
        { id: "C", text: { en: "Shared administrator workstations for production and recovery", de: "Gemeinsam genutzte Administratorarbeitsstationen für Produktion und Recovery" } },
        { id: "D", text: { en: "Permanent internet access to backup vaults from all subnets", de: "Dauerhaften Internetzugang zu Backup-Tresoren aus allen Subnetzen" } }
      ],
      correct: ["A"],
      explanation: { en: "A clean-room environment lets teams validate integrity, credentials, and malware status before restored systems are allowed back into production trust boundaries. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Eine Clean-Room-Umgebung ermöglicht es Teams, Integrität, Anmeldeinformationen und Malware-Status zu validieren, bevor wiederhergestellte Systeme wieder in die Vertrauensgrenzen der Produktion aufgenommen werden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option that adds isolation and validation before reconnecting workloads.", de: "Wählen Sie die Option, die Isolierung und Validierung vor der Wiederanbindung von Workloads hinzufügt." },
      reference: "https://learn.microsoft.com/en-us/security/zero-trust/rapid-modernization-plan"
    },
    {
      id: "sc100-046",
      type: "multiple",
      domain: { en: "Design Solutions Aligned with Security Best Practices", de: "Lösungen im Einklang mit bewährten Sicherheitspraktiken entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which TWO actions align security governance with Azure landing zones at enterprise scale?", de: "Welche ZWEI Maßnahmen richten die Sicherheitsgovernance in Azure Landing Zones im Enterprise-Scale aus?" },
      options: [
        { id: "A", text: { en: "Assign Azure Policy at management group scope", de: "Azure Policy im Bereich von Verwaltungsgruppen zuweisen" } },
        { id: "B", text: { en: "Standardize RBAC inheritance through the management group hierarchy", de: "RBAC-Vererbung über die Hierarchie der Verwaltungsgruppen standardisieren" } },
        { id: "C", text: { en: "Let each subscription define its own root governance model", de: "Jedes Abonnement sein eigenes Root-Governance-Modell definieren lassen" } },
        { id: "D", text: { en: "Rely only on wiki guidance with no technical enforcement", de: "Sich nur auf Wiki-Leitlinien ohne technische Durchsetzung verlassen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Management groups are built for inherited governance, making policy and RBAC consistent across current and future subscriptions at scale. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Verwaltungsgruppen sind für vererbte Governance ausgelegt und machen Richtlinien und RBAC über aktuelle und zukünftige Abonnements hinweg konsistent und skalierbar. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the answers that create inherited guardrails above subscriptions.", de: "Wählen Sie die Antworten, die vererbte Leitplanken oberhalb von Abonnements schaffen." },
      reference: "https://learn.microsoft.com/en-us/azure/governance/management-groups/overview"
    },
    {
      id: "sc100-047",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Microsoft service should act as the enterprise SIEM for correlating logs from Microsoft and non-Microsoft sources?", de: "Welcher Microsoft-Dienst sollte als Enterprise-SIEM dienen, um Protokolle aus Microsoft- und Nicht-Microsoft-Quellen zu korrelieren?" },
      options: [
        { id: "A", text: { en: "Microsoft Sentinel", de: "Microsoft Sentinel" } },
        { id: "B", text: { en: "Azure Load Balancer", de: "Azure Load Balancer" } },
        { id: "C", text: { en: "Microsoft Purview Information Protection", de: "Microsoft Purview Information Protection" } },
        { id: "D", text: { en: "Azure App Service", de: "Azure App Service" } }
      ],
      correct: ["A"],
      explanation: { en: "Microsoft Sentinel is the Microsoft SIEM and SOAR platform designed to ingest, correlate, and investigate telemetry from many cloud and on-premises sources. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Microsoft Sentinel ist die Microsoft-SIEM- und SOAR-Plattform, die Telemetrie aus vielen Cloud- und lokalen Quellen aufnimmt, korreliert und untersuchen lässt. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the Microsoft platform built for cross-source security analytics.", de: "Wählen Sie die Microsoft-Plattform, die für quellübergreifende Sicherheitsanalysen entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/azure/sentinel/overview"
    },
    {
      id: "sc100-048",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: { en: "Security operations at Contoso, Ltd. currently investigates Azure incidents in one tool and Microsoft 365 audit events in another. Auditors want longer retention, centralized search, and one investigation workflow.", de: "Der Sicherheitsbetrieb bei Contoso, Ltd. untersucht Azure-Vorfälle derzeit in einem Tool und Microsoft-365-Auditereignisse in einem anderen. Prüfer wünschen längere Aufbewahrung, zentrale Suche und einen einheitlichen Untersuchungsworkflow." },
      question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
      options: [
        { id: "A", text: { en: "Integrate Microsoft Sentinel with Log Analytics and Microsoft Purview Audit", de: "Microsoft Sentinel mit Log Analytics und Microsoft Purview Audit integrieren" } },
        { id: "B", text: { en: "Use only Azure Activity Log exports", de: "Nur Azure-Activity-Log-Exporte verwenden" } },
        { id: "C", text: { en: "Store screenshots of incidents in SharePoint", de: "Screenshots von Vorfällen in SharePoint speichern" } },
        { id: "D", text: { en: "Rely only on endpoint antivirus logs", de: "Sich nur auf Endpoint-Antivirus-Protokolle verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Sentinel centralizes security analytics and investigation, while Purview Audit provides unified Microsoft 365 audit visibility and retention needed for compliance-driven investigations. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Sentinel zentralisiert Sicherheitsanalysen und Untersuchungen, während Purview Audit die für compliancegetriebene Untersuchungen erforderliche einheitliche Microsoft-365-Audit-Sicht und Aufbewahrung bereitstellt. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "You need one solution for broad analytics and another for Microsoft 365 audit depth.", de: "Sie benötigen eine Lösung für umfassende Analysen und eine weitere für tiefe Microsoft-365-Auditdaten." },
      reference: "https://learn.microsoft.com/en-us/purview/audit-solutions-overview"
    },
    {
      id: "sc100-049",
      type: "multiple",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO capabilities help validate and improve threat detection coverage against MITRE ATT&CK?", de: "Welche ZWEI Fähigkeiten helfen, die Bedrohungserkennung im Hinblick auf MITRE ATT&CK zu validieren und zu verbessern?" },
      options: [
        { id: "A", text: { en: "Map analytics rules and hunting content to MITRE ATT&CK techniques", de: "Analytische Regeln und Hunting-Inhalte MITRE-ATT&CK-Techniken zuordnen" } },
        { id: "B", text: { en: "Use threat hunting across Microsoft Defender XDR and Microsoft Sentinel", de: "Threat Hunting über Microsoft Defender XDR und Microsoft Sentinel hinweg nutzen" } },
        { id: "C", text: { en: "Measure coverage only by alert severity labels", de: "Abdeckung nur über Warnstufen messen" } },
        { id: "D", text: { en: "Ignore industrial control system techniques in a manufacturing business", de: "Techniken für industrielle Steuerungssysteme in einem Fertigungsunternehmen ignorieren" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "MITRE mappings show which tactics and techniques are covered, while hunting across XDR and SIEM helps validate detections and identify engineering gaps. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "MITRE-Zuordnungen zeigen, welche Taktiken und Techniken abgedeckt sind, während Hunting über XDR und SIEM hinweg hilft, Erkennungen zu validieren und Engineering-Lücken zu identifizieren. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick one answer for visibility of mapped coverage and one for practical validation.", de: "Wählen Sie eine Antwort für die Sichtbarkeit der zugeordneten Abdeckung und eine für die praktische Validierung." },
      reference: "https://learn.microsoft.com/en-us/azure/sentinel/mitre-coverage"
    },
    {
      id: "sc100-050",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What does Microsoft Purview Audit provide that point-product logs do not provide as effectively?", de: "Was bietet Microsoft Purview Audit, was Einzelproduktprotokolle nicht in gleicher Weise bieten?" },
      options: [
        { id: "A", text: { en: "A unified audit trail across Microsoft 365 workloads with centralized search and retention", de: "Eine einheitliche Auditspur über Microsoft-365-Workloads hinweg mit zentraler Suche und Aufbewahrung" } },
        { id: "B", text: { en: "Layer 7 firewall filtering for web applications", de: "Layer-7-Firewall-Filterung für Webanwendungen" } },
        { id: "C", text: { en: "Endpoint malware isolation", de: "Malware-Isolierung auf Endpunkten" } },
        { id: "D", text: { en: "Network routing between virtual networks", de: "Netzwerkrouting zwischen virtuellen Netzwerken" } }
      ],
      correct: ["A"],
      explanation: { en: "Purview Audit is designed to provide a centralized and searchable audit record across Microsoft 365 services, making investigations and compliance reviews more consistent. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Purview Audit wurde entwickelt, um einen zentralen und durchsuchbaren Audit-Nachweis über Microsoft-365-Dienste hinweg bereitzustellen und so Untersuchungen und Compliance-Prüfungen konsistenter zu machen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think about audit unification, search, and retention.", de: "Denken Sie an Audit-Vereinheitlichung, Suche und Aufbewahrung." },
      reference: "https://learn.microsoft.com/en-us/purview/audit-solutions-overview"
    },
    {
      id: "sc100-051",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: { en: "Partner users at Litware, Inc. from another Microsoft Entra tenant need access to Teams, SharePoint, and several SaaS apps. Your security team wants to trust MFA claims from the partner tenant to reduce friction while still enforcing your own access policies.", de: "Partnerbenutzer bei Litware, Inc. aus einem anderen Microsoft-Entra-Mandanten benötigen Zugriff auf Teams, SharePoint und mehrere SaaS-Apps. Ihr Sicherheitsteam möchte MFA-Ansprüche aus dem Partnermandanten vertrauen, um Reibung zu verringern, und dennoch eigene Zugriffsrichtlinien durchsetzen." },
      question: { en: "Which design should you choose?", de: "Welches Design sollten Sie wählen?" },
      options: [
        { id: "A", text: { en: "Configure cross-tenant access settings with B2B collaboration trust settings", de: "Cross-Tenant-Access-Einstellungen mit Vertrauenseinstellungen für B2B-Zusammenarbeit konfigurieren" } },
        { id: "B", text: { en: "Create local member accounts for all partner users", de: "Lokale Mitgliedskonten für alle Partnerbenutzer erstellen" } },
        { id: "C", text: { en: "Use a separate B2C tenant for workforce collaboration", de: "Einen separaten B2C-Mandanten für die Workforce-Zusammenarbeit verwenden" } },
        { id: "D", text: { en: "Share a generic guest account for each partner company", de: "Für jedes Partnerunternehmen ein generisches Gastkonto gemeinsam nutzen" } }
      ],
      correct: ["A"],
      explanation: { en: "Cross-tenant access settings are designed to govern inbound and outbound trust, including MFA and device trust claims, for B2B collaboration between Entra tenants. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Cross-Tenant-Access-Einstellungen wurden entwickelt, um eingehendes und ausgehendes Vertrauen, einschließlich MFA- und Gerätevertrauensansprüchen, für die B2B-Zusammenarbeit zwischen Entra-Mandanten zu steuern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for the Entra feature made for tenant-to-tenant collaboration trust.", de: "Suchen Sie nach der Entra-Funktion, die speziell für Kollaborationsvertrauen zwischen Mandanten entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview"
    },
    {
      id: "sc100-052",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Microsoft Entra signal should trigger controls such as password change or account blocking when Microsoft believes a user's credentials have been compromised?", de: "Welches Microsoft-Entra-Signal sollte Kontrollen wie Kennwortänderung oder Kontosperrung auslösen, wenn Microsoft davon ausgeht, dass die Anmeldeinformationen eines Benutzers kompromittiert wurden?" },
      options: [
        { id: "A", text: { en: "User risk", de: "Benutzerrisiko" } },
        { id: "B", text: { en: "Office location", de: "Bürostandort" } },
        { id: "C", text: { en: "License assignment", de: "Lizenzzuweisung" } },
        { id: "D", text: { en: "Mailbox quota", de: "Postfachkontingent" } }
      ],
      correct: ["A"],
      explanation: { en: "User risk represents the probability that the identity itself is compromised, making it the correct trigger for remediation actions such as password reset or blocking. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Benutzerrisiko stellt die Wahrscheinlichkeit dar, dass die Identität selbst kompromittiert ist, und ist daher der richtige Auslöser für Maßnahmen wie Kennwortzurücksetzung oder Sperrung. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Distinguish risk to the account from risk in a single sign-in event.", de: "Unterscheiden Sie zwischen dem Risiko für das Konto und dem Risiko in einem einzelnen Anmeldeereignis." },
      reference: "https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-configure-risk-policies"
    },
    {
      id: "sc100-053",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "hard",
      scenario: { en: "Security architects at Humongous Insurance want any administrator who attempts to modify Conditional Access policies or register sensitive authentication methods to reauthenticate with strong MFA because those actions have tenant-wide impact.", de: "Sicherheitsarchitekten bei Humongous Insurance möchten, dass sich jeder Administrator, der Conditional-Access-Richtlinien ändert oder sensible Authentifizierungsmethoden registriert, erneut mit starker MFA authentifiziert, da diese Aktionen mandantenweite Auswirkungen haben." },
      question: { en: "Which design best addresses this requirement?", de: "Welches Design adressiert diese Anforderung am besten?" },
      options: [
        { id: "A", text: { en: "Use protected actions with Conditional Access", de: "Geschützte Aktionen mit Conditional Access verwenden" } },
        { id: "B", text: { en: "Configure a password expiration policy", de: "Eine Richtlinie zum Kennwortablauf konfigurieren" } },
        { id: "C", text: { en: "Create a custom Azure Policy initiative", de: "Eine benutzerdefinierte Azure-Policy-Initiative erstellen" } },
        { id: "D", text: { en: "Rely only on sign-in logs after the change is made", de: "Sich erst nach der Änderung ausschließlich auf Anmeldeprotokolle verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Protected actions let architects require Conditional Access controls for especially sensitive administrative operations rather than only at initial sign-in. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Geschützte Aktionen ermöglichen es Architekten, Conditional-Access-Kontrollen für besonders sensible administrative Vorgänge zu verlangen und nicht nur bei der ersten Anmeldung. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the feature that secures high-impact actions, not just general sessions.", de: "Wählen Sie die Funktion, die Aktionen mit hoher Auswirkung absichert und nicht nur allgemeine Sitzungen." },
      reference: "https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview"
    },
    {
      id: "sc100-054",
      type: "multiple",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO design choices support a modern authentication strategy across SaaS, PaaS, and IaaS resources?", de: "Welche ZWEI Designentscheidungen unterstützen eine moderne Authentifizierungsstrategie über SaaS-, PaaS- und IaaS-Ressourcen hinweg?" },
      options: [
        { id: "A", text: { en: "Centralize authentication through Microsoft Entra ID and Conditional Access", de: "Authentifizierung über Microsoft Entra ID und Conditional Access zentralisieren" } },
        { id: "B", text: { en: "Use federation and lifecycle provisioning standards such as SSO and SCIM where possible", de: "Wo möglich Föderation und Lebenszyklusstandards wie SSO und SCIM verwenden" } },
        { id: "C", text: { en: "Keep application-local accounts unmanaged to reduce complexity", de: "Anwendungslokale Konten unverwaltet lassen, um Komplexität zu reduzieren" } },
        { id: "D", text: { en: "Permit basic authentication for older applications by default", de: "Für ältere Anwendungen standardmäßig Basic Authentication zulassen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Modern authentication is strongest when identity is centralized and application onboarding includes federation and provisioning patterns that avoid unmanaged local identities. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Moderne Authentifizierung ist am stärksten, wenn Identität zentralisiert ist und das Onboarding von Anwendungen Föderations- und Bereitstellungsmuster umfasst, die unverwaltete lokale Identitäten vermeiden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the answers that reduce identity silos and support lifecycle governance.", de: "Wählen Sie die Antworten, die Identitätssilos reduzieren und die Lebenszyklus-Governance unterstützen." },
      reference: "https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview"
    },
    {
      id: "sc100-055",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What is the primary value of Continuous Access Evaluation in a Zero Trust identity design?", de: "Was ist der wichtigste Nutzen von Continuous Access Evaluation in einem Zero-Trust-Identitätsdesign?" },
      options: [
        { id: "A", text: { en: "It can enforce certain critical access changes in near real time without waiting for full token expiration", de: "Bestimmte kritische Zugriffsänderungen können nahezu in Echtzeit erzwungen werden, ohne auf das vollständige Token-Ablaufen zu warten" } },
        { id: "B", text: { en: "It replaces multi-factor authentication permanently", de: "Es ersetzt Multi-Faktor-Authentifizierung dauerhaft" } },
        { id: "C", text: { en: "It manages encryption keys for databases", de: "Es verwaltet Verschlüsselungsschlüssel für Datenbanken" } },
        { id: "D", text: { en: "It patches operating systems automatically", de: "Es patcht Betriebssysteme automatisch" } }
      ],
      correct: ["A"],
      explanation: { en: "Continuous Access Evaluation allows enforcement decisions to respond quickly to events such as account disablement or location changes instead of waiting for long-lived access tokens to expire. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Continuous Access Evaluation ermöglicht es, Durchsetzungsentscheidungen schnell auf Ereignisse wie Kontodeaktivierung oder Standortänderungen reagieren zu lassen, anstatt auf das Ablaufen langlebiger Zugriffstoken zu warten. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for the feature that shortens the window between a risk event and access enforcement.", de: "Suchen Sie nach der Funktion, die das Zeitfenster zwischen einem Risikoereignis und der Zugriffsdurchsetzung verkürzt." },
      reference: "https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-continuous-access-evaluation"
    },
    {
      id: "sc100-056",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: { en: "Woodgrove Bank suffered a pass-the-hash attack in Active Directory Domain Services. Architects now need a design that reduces credential theft and limits where privileged credentials can be exposed.", de: "Woodgrove Bank erlitt einen Pass-the-Hash-Angriff in Active Directory Domain Services. Architekten benötigen nun ein Design, das Kennwortdiebstahl reduziert und einschränkt, wo privilegierte Anmeldeinformationen exponiert werden können." },
      question: { en: "Which design should be prioritized?", de: "Welches Design sollte priorisiert werden?" },
      options: [
        { id: "A", text: { en: "Use a tiered admin model with separate admin accounts, privileged workstations, and password management controls such as Windows LAPS", de: "Ein gestuftes Administrationsmodell mit separaten Administratorkonten, privilegierten Arbeitsstationen und Kennwortverwaltungs-Kontrollen wie Windows LAPS verwenden" } },
        { id: "B", text: { en: "Let all administrators sign in interactively to servers from their daily productivity devices", de: "Allen Administratoren erlauben, sich interaktiv von ihren täglichen Produktivgeräten an Servern anzumelden" } },
        { id: "C", text: { en: "Standardize on one shared domain admin account", de: "Ein gemeinsames Domänenadministratorkonto standardisieren" } },
        { id: "D", text: { en: "Disable audit logging to reduce noise", de: "Audit-Protokollierung deaktivieren, um Rauschen zu reduzieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Tiered administration, hardened admin paths, and local admin password management reduce the spread and reuse of privileged credentials across the estate. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Gestufte Administration, gehärtete Administrationspfade und die Verwaltung lokaler Administratorkennwörter verringern die Verbreitung und Wiederverwendung privilegierter Anmeldeinformationen in der gesamten Umgebung. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the design that separates admin paths from everyday user activity.", de: "Wählen Sie das Design, das Administrationspfade von der täglichen Benutzeraktivität trennt." },
      reference: "https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-strategy"
    },
    {
      id: "sc100-057",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which Microsoft service is best when an organization must store cryptographic keys in dedicated hardware-backed security modules under centralized control?", de: "Welcher Microsoft-Dienst ist am besten geeignet, wenn eine Organisation kryptografische Schlüssel in dedizierten hardwaregestützten Sicherheitsmodulen unter zentraler Kontrolle speichern muss?" },
      options: [
        { id: "A", text: { en: "Azure Key Vault Managed HSM", de: "Azure Key Vault Managed HSM" } },
        { id: "B", text: { en: "A local certificate store on each server", de: "Ein lokaler Zertifikatsspeicher auf jedem Server" } },
        { id: "C", text: { en: "Storage account access keys", de: "Speicherkonto-Zugriffsschlüssel" } },
        { id: "D", text: { en: "An encrypted spreadsheet in SharePoint", de: "Eine verschlüsselte Tabelle in SharePoint" } }
      ],
      correct: ["A"],
      explanation: { en: "Managed HSM is built for centralized management of highly protected keys in dedicated hardware-backed modules with strong operational separation. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Managed HSM ist für die zentrale Verwaltung hochgeschützter Schlüssel in dedizierten hardwaregestützten Modulen mit klarer betrieblicher Trennung ausgelegt. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the option designed specifically for HSM-backed key custody.", de: "Wählen Sie die Option, die speziell für die Verwahrung von Schlüsseln in HSMs entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/azure/key-vault/managed-hsm/overview"
    },
    {
      id: "sc100-058",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: { en: "External consultants at Contoso, Ltd. receive access packages to collaboration sites and internal applications. Auditors require periodic attestations, and unapproved users must lose access automatically.", de: "Externe Berater bei Contoso, Ltd. erhalten Zugriffspakete für Kollaborationswebsites und interne Anwendungen. Prüfer verlangen regelmäßige Bestätigungen, und nicht genehmigte Benutzer müssen den Zugriff automatisch verlieren." },
      question: { en: "Which identity governance capability should you add?", de: "Welche Identity-Governance-Funktion sollten Sie ergänzen?" },
      options: [
        { id: "A", text: { en: "Access reviews", de: "Zugriffsüberprüfungen" } },
        { id: "B", text: { en: "Password protection only", de: "Nur Kennwortschutz" } },
        { id: "C", text: { en: "Permanent group assignments", de: "Dauerhafte Gruppenzuweisungen" } },
        { id: "D", text: { en: "Self-service password reset", de: "Self-Service-Kennwortzurücksetzung" } }
      ],
      correct: ["A"],
      explanation: { en: "Access reviews are designed to collect recurring attestations and automatically remove access when reviewers do not reapprove it. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Zugriffsüberprüfungen sind darauf ausgelegt, wiederkehrende Bestätigungen einzuholen und den Zugriff automatisch zu entfernen, wenn Prüfer ihn nicht erneut genehmigen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the governance feature focused on recurring attestation.", de: "Wählen Sie die Governance-Funktion, die auf wiederkehrende Bestätigung ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview"
    },
    {
      id: "sc100-059",
      type: "multiple",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO outcomes are primary goals of Microsoft Entra Permissions Management in a multicloud environment?", de: "Welche ZWEI Ergebnisse sind Hauptziele von Microsoft Entra Permissions Management in einer Multicloud-Umgebung?" },
      options: [
        { id: "A", text: { en: "Discover excessive permissions across Azure, AWS, and Google Cloud", de: "Übermäßige Berechtigungen über Azure, AWS und Google Cloud hinweg erkennen" } },
        { id: "B", text: { en: "Right-size entitlements based on actual activity and risk", de: "Berechtigungen auf Grundlage tatsächlicher Aktivität und Risiken bedarfsgerecht dimensionieren" } },
        { id: "C", text: { en: "Replace multi-factor authentication for administrators", de: "Multi-Faktor-Authentifizierung für Administratoren ersetzen" } },
        { id: "D", text: { en: "Store database encryption keys", de: "Datenbankverschlüsselungsschlüssel speichern" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Permissions Management is a CIEM capability focused on visibility into cloud entitlements and on reducing excessive access across multicloud platforms. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Permissions Management ist eine CIEM-Fähigkeit, die auf Sichtbarkeit in Cloud-Berechtigungen und auf die Reduzierung übermäßiger Zugriffe über Multicloud-Plattformen hinweg ausgerichtet ist. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think entitlement visibility and right-sizing, not authentication replacement.", de: "Denken Sie an Sichtbarkeit und bedarfsgerechte Dimensionierung von Berechtigungen, nicht an den Ersatz von Authentifizierung." },
      reference: "https://learn.microsoft.com/en-us/entra/permissions-management/overview"
    },
    {
      id: "sc100-060",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which device strategy best supports secure cloud tenant administration?", de: "Welche Gerätestrategie unterstützt die sichere Administration von Cloud-Mandanten am besten?" },
      options: [
        { id: "A", text: { en: "Dedicated privileged access workstations managed with hardened policies", de: "Dedizierte privilegierte Arbeitsstationen, die mit gehärteten Richtlinien verwaltet werden" } },
        { id: "B", text: { en: "Personal tablets used for both browsing and admin tasks", de: "Persönliche Tablets, die sowohl fürs Surfen als auch für Admin-Aufgaben verwendet werden" } },
        { id: "C", text: { en: "Shared kiosk PCs in common areas", de: "Gemeinsam genutzte Kiosk-PCs in Gemeinschaftsbereichen" } },
        { id: "D", text: { en: "Any production server accessed by RDP for administration", de: "Jeder Produktionsserver, der per RDP administriert wird" } }
      ],
      correct: ["A"],
      explanation: { en: "Privileged access workstations reduce administrative attack surface by separating high-value administrative activity from everyday endpoints and browsing exposure. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Privilegierte Arbeitsstationen reduzieren die Angriffsfläche für Administration, indem sie hochwertige administrative Aktivitäten von alltäglichen Endpunkten und Browser-Exposition trennen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option that isolates administrative work from normal productivity use.", de: "Wählen Sie die Option, die administrative Arbeit von normaler Produktivnutzung trennt." },
      reference: "https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment"
    },
    {
      id: "sc100-061",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: { en: "Litware, Inc. acquires a subsidiary. Users in both tenants need to reach selected apps in the other tenant, and each tenant must explicitly control inbound and outbound trust for MFA and device claims.", de: "Litware, Inc. übernimmt eine Tochtergesellschaft. Benutzer in beiden Mandanten müssen ausgewählte Apps im jeweils anderen Mandanten erreichen, und jeder Mandant muss eingehendes und ausgehendes Vertrauen für MFA- und Geräteansprüche explizit steuern." },
      question: { en: "Which Microsoft Entra feature should architects use?", de: "Welche Microsoft-Entra-Funktion sollten Architekten verwenden?" },
      options: [
        { id: "A", text: { en: "Cross-tenant access settings", de: "Cross-Tenant-Access-Einstellungen" } },
        { id: "B", text: { en: "Azure Policy", de: "Azure Policy" } },
        { id: "C", text: { en: "Defender for Cloud Apps governance actions", de: "Governanceaktionen von Defender for Cloud Apps" } },
        { id: "D", text: { en: "A shared break-glass account", de: "Ein gemeinsam genutztes Break-Glass-Konto" } }
      ],
      correct: ["A"],
      explanation: { en: "Cross-tenant access settings were created to manage trust relationships and collaboration controls between Entra tenants at a granular level. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Cross-Tenant-Access-Einstellungen wurden geschaffen, um Vertrauensbeziehungen und Kollaborationskontrollen zwischen Entra-Mandanten granular zu steuern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the feature built for tenant-to-tenant trust governance.", de: "Wählen Sie die Funktion, die für die Governance von Vertrauen zwischen Mandanten entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview"
    },
    {
      id: "sc100-062",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which capability lets you block or challenge sign-ins based on assessed sign-in risk in real time?", de: "Welche Funktion ermöglicht es, Anmeldungen auf Grundlage eines in Echtzeit bewerteten Anmelderisikos zu blockieren oder zusätzlich abzusichern?" },
      options: [
        { id: "A", text: { en: "Conditional Access with Identity Protection risk conditions", de: "Conditional Access mit Identity-Protection-Risikobedingungen" } },
        { id: "B", text: { en: "Azure Cost Management budgets", de: "Azure-Cost-Management-Budgets" } },
        { id: "C", text: { en: "Windows Defender Firewall rules", de: "Windows-Defender-Firewall-Regeln" } },
        { id: "D", text: { en: "Azure Resource Locks", de: "Azure-Ressourcensperren" } }
      ],
      correct: ["A"],
      explanation: { en: "Risk-based Conditional Access is designed to make access decisions based on real-time identity risk signals rather than static location or password rules alone. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Risikobasierter Conditional Access ist darauf ausgelegt, Zugriffsentscheidungen auf Grundlage von Identitätsrisikosignalen in Echtzeit zu treffen und nicht nur anhand statischer Standort- oder Kennwortregeln. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for identity risk-aware access enforcement.", de: "Suchen Sie nach einer zugriffssteuernden Durchsetzung, die Identitätsrisiken berücksichtigt." },
      reference: "https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-configure-risk-policies"
    },
    {
      id: "sc100-063",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "hard",
      scenario: { en: "Humongous Insurance wants to reduce its AD DS attack surface before migrating more applications to cloud identity. Security architects must prioritize design choices that reduce credential theft and privileged sprawl.", de: "Bei Humongous Insurance eine Hybridorganisation möchte ihre AD-DS-Angriffsfläche verringern, bevor weitere Anwendungen in die Cloud-Identität migriert werden. Sicherheitsarchitekten müssen Designentscheidungen priorisieren, die Kennwortdiebstahl und die Ausbreitung privilegierter Rechte reduzieren." },
      question: { en: "Which design should be prioritized first?", de: "Welches Design sollte zuerst priorisiert werden?" },
      options: [
        { id: "A", text: { en: "Separate administrative tiers, deploy Windows LAPS, and restrict legacy privileged paths", de: "Administrative Ebenen trennen, Windows LAPS einführen und Legacy-Pfade mit Privilegien einschränken" } },
        { id: "B", text: { en: "Increase the number of permanent Domain Admins", de: "Die Anzahl dauerhafter Domänenadministratoren erhöhen" } },
        { id: "C", text: { en: "Allow NTLM and unrestricted interactive admin logons everywhere", de: "NTLM und uneingeschränkte interaktive Admin-Anmeldungen überall zulassen" } },
        { id: "D", text: { en: "Use shared admin passwords for faster support", de: "Gemeinsame Administratorkennwörter für schnelleren Support verwenden" } }
      ],
      correct: ["A"],
      explanation: { en: "Reducing credential exposure requires separation of privileged tiers, elimination of broad standing access, and local admin password controls instead of more shared or permanent privilege. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die Reduzierung der Exponierung von Anmeldeinformationen erfordert die Trennung privilegierter Ebenen, die Beseitigung breit gestreuter dauerhafter Rechte und die Kontrolle lokaler Administratorkennwörter statt noch mehr gemeinsamer oder permanenter Privilegien. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the design that removes broad credential reuse paths.", de: "Wählen Sie das Design, das breite Wiederverwendungspfade für Anmeldeinformationen beseitigt." },
      reference: "https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-strategy"
    },
    {
      id: "sc100-064",
      type: "multiple",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO controls are core to a modern authentication strategy aligned with Zero Trust?", de: "Welche ZWEI Kontrollen sind zentral für eine moderne Authentifizierungsstrategie im Sinne von Zero Trust?" },
      options: [
        { id: "A", text: { en: "Conditional Access policies that evaluate user, device, location, and risk signals", de: "Conditional-Access-Richtlinien, die Benutzer-, Geräte-, Standort- und Risikosignale auswerten" } },
        { id: "B", text: { en: "Continuous Access Evaluation for rapid response to critical events", de: "Continuous Access Evaluation für eine schnelle Reaktion auf kritische Ereignisse" } },
        { id: "C", text: { en: "Shared service accounts for administrators", de: "Gemeinsam genutzte Dienstkonten für Administratoren" } },
        { id: "D", text: { en: "Basic authentication for clients that cannot use MFA", de: "Basic Authentication für Clients, die keine MFA verwenden können" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Zero Trust identity depends on context-aware policy decisions and rapid enforcement when conditions change during the life of a session or token. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Zero-Trust-Identität basiert auf kontextabhängigen Richtlinienentscheidungen und schneller Durchsetzung, wenn sich Bedingungen während der Lebensdauer einer Sitzung oder eines Tokens ändern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the answers that both evaluate context and react quickly to risk changes.", de: "Wählen Sie die Antworten, die sowohl Kontext auswerten als auch schnell auf Risikoänderungen reagieren." },
      reference: "https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview"
    },
    {
      id: "sc100-065",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Microsoft Entra external identity capability is best for inviting partner users to collaborate in Teams and SharePoint by using their home credentials?", de: "Welche External-Identity-Funktion von Microsoft Entra eignet sich am besten, um Partnerbenutzer zur Zusammenarbeit in Teams und SharePoint mit ihren Heimatanmeldeinformationen einzuladen?" },
      options: [
        { id: "A", text: { en: "Microsoft Entra B2B collaboration", de: "Microsoft Entra B2B collaboration" } },
        { id: "B", text: { en: "Microsoft Entra B2C", de: "Microsoft Entra B2C" } },
        { id: "C", text: { en: "Azure Policy guest configuration", de: "Azure Policy Guest Configuration" } },
        { id: "D", text: { en: "Azure Bastion", de: "Azure Bastion" } }
      ],
      correct: ["A"],
      explanation: { en: "B2B collaboration is intended for workforce-style collaboration with guests who keep using identities from their home organization or identity provider. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "B2B collaboration ist für workforce-ähnliche Zusammenarbeit mit Gästen gedacht, die weiterhin Identitäten ihrer Heimatorganisation oder ihres Identitätsanbieters verwenden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the external identity model for business partner collaboration.", de: "Wählen Sie das External-Identity-Modell für die Zusammenarbeit mit Geschäftspartnern." },
      reference: "https://learn.microsoft.com/en-us/entra/external-id/external-identities-overview"
    },
    {
      id: "sc100-066",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "easy",
      scenario: { en: "Human resources managers at Woodgrove Bank must approve access to payroll resources, and contractors should automatically lose access after their project ends without manual help desk work.", de: "Personalverantwortliche bei Woodgrove Bank müssen den Zugriff auf Payroll-Ressourcen genehmigen, und Auftragnehmer sollen ihren Zugriff nach Projektende automatisch verlieren, ohne dass der Helpdesk manuell eingreifen muss." },
      question: { en: "What should you design?", de: "Was sollten Sie entwerfen?" },
      options: [
        { id: "A", text: { en: "An entitlement management access package with approval and expiration", de: "Ein Zugriffspaket im Entitlement Management mit Genehmigung und Ablauf" } },
        { id: "B", text: { en: "A static security group with no lifecycle settings", de: "Eine statische Sicherheitsgruppe ohne Lebenszykluseinstellungen" } },
        { id: "C", text: { en: "A shared payroll account", de: "Ein gemeinsames Payroll-Konto" } },
        { id: "D", text: { en: "PIM activation for every contractor", de: "PIM-Aktivierung für jeden Auftragnehmer" } }
      ],
      correct: ["A"],
      explanation: { en: "Entitlement management packages resource access, approvals, and lifecycle expiration so business owners can govern access without manual ticket processes. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Entitlement Management bündelt Ressourcenzugriff, Genehmigungen und Lebenszyklusablauf, sodass Fachverantwortliche den Zugriff ohne manuelle Ticketprozesse steuern können. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the feature that combines request, approval, assignment, and expiration.", de: "Wählen Sie die Funktion, die Anforderung, Genehmigung, Zuweisung und Ablauf kombiniert." },
      reference: "https://learn.microsoft.com/en-us/entra/id-governance/identity-governance-overview"
    },
    {
      id: "sc100-067",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Microsoft product helps address privacy requirements such as subject rights requests and privacy risk management?", de: "Welches Microsoft-Produkt hilft bei der Umsetzung von Datenschutzanforderungen wie Betroffenenanfragen und Privacy Risk Management?" },
      options: [
        { id: "A", text: { en: "Microsoft Priva", de: "Microsoft Priva" } },
        { id: "B", text: { en: "Microsoft Defender for Endpoint", de: "Microsoft Defender for Endpoint" } },
        { id: "C", text: { en: "Azure Monitor", de: "Azure Monitor" } },
        { id: "D", text: { en: "Azure Container Registry", de: "Azure Container Registry" } }
      ],
      correct: ["A"],
      explanation: { en: "Microsoft Priva is the Microsoft privacy solution designed for privacy management workflows, privacy risks, and subject rights related processes. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Microsoft Priva ist die Microsoft-Datenschutzlösung für Datenschutz-Workflows, Datenschutzrisiken und Prozesse rund um Betroffenenrechte. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the product focused on privacy governance rather than detection or infrastructure.", de: "Wählen Sie das Produkt, das auf Datenschutz-Governance und nicht auf Erkennung oder Infrastruktur ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/priva/"
    },
    {
      id: "sc100-068",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "hard",
      scenario: { en: "The SOC at Contoso, Ltd. wants to understand whether detections cover credential access, lateral movement, and industrial control system techniques. The team also wants to prioritize engineering work where coverage is weak.", de: "Das SOC von Contoso, Ltd. möchte verstehen, ob Erkennungen Credential Access, Laterale Bewegung und Techniken für industrielle Steuerungssysteme abdecken. Das Team möchte außerdem Engineering-Arbeit dort priorisieren, wo die Abdeckung schwach ist." },
      question: { en: "Which approach should architects recommend?", de: "Welchen Ansatz sollten Architekten empfehlen?" },
      options: [
        { id: "A", text: { en: "Use MITRE ATT&CK mappings in Sentinel and Defender, then perform gap analysis across Enterprise and ICS matrices", de: "MITRE-ATT&CK-Zuordnungen in Sentinel und Defender verwenden und anschließend eine Gap-Analyse über Enterprise- und ICS-Matrizen durchführen" } },
        { id: "B", text: { en: "Measure only the total number of incidents per analyst", de: "Nur die Gesamtzahl der Vorfälle pro Analyst messen" } },
        { id: "C", text: { en: "Disable low-severity alerts to simplify reporting", de: "Warnungen mit niedriger Priorität deaktivieren, um das Reporting zu vereinfachen" } },
        { id: "D", text: { en: "Rely on firewall logs without mapping detections to attacker behavior", de: "Sich auf Firewall-Protokolle verlassen, ohne Erkennungen dem Angreiferverhalten zuzuordnen" } }
      ],
      correct: ["A"],
      explanation: { en: "MITRE-based coverage analysis aligns detection engineering with attacker behaviors and highlights where new analytics, hunts, or controls are needed. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "MITRE-basierte Abdeckungsanalysen richten Detection Engineering am Verhalten von Angreifern aus und zeigen auf, wo neue Analysen, Hunts oder Kontrollen erforderlich sind. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the approach that measures detections against attacker techniques, not only volume metrics.", de: "Wählen Sie den Ansatz, der Erkennungen gegen Angreifertechniken misst und nicht nur gegen Volumenmetriken." },
      reference: "https://learn.microsoft.com/en-us/azure/sentinel/mitre-coverage"
    },
    {
      id: "sc100-069",
      type: "multiple",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which TWO Microsoft capabilities help translate regulatory requirements into enforceable cloud controls?", de: "Welche ZWEI Microsoft-Funktionen helfen, regulatorische Anforderungen in durchsetzbare Cloud-Kontrollen zu übersetzen?" },
      options: [
        { id: "A", text: { en: "Azure Policy initiatives", de: "Azure-Policy-Initiativen" } },
        { id: "B", text: { en: "Defender for Cloud regulatory compliance dashboard", de: "Dashboard für regulatorische Compliance in Defender for Cloud" } },
        { id: "C", text: { en: "Azure Cost Management budgets", de: "Azure-Cost-Management-Budgets" } },
        { id: "D", text: { en: "Azure Migrate discovery", de: "Azure-Migrate-Ermittlung" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Azure Policy turns requirements into technical enforcement, and the regulatory compliance dashboard helps measure alignment and remediation status against standards. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Azure Policy übersetzt Anforderungen in technische Durchsetzung, und das Dashboard für regulatorische Compliance hilft dabei, Ausrichtung und Behebungsstatus gegenüber Standards zu messen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick one answer for enforcement and one for compliance measurement.", de: "Wählen Sie eine Antwort für die Durchsetzung und eine für die Compliance-Messung." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard"
    },
    {
      id: "sc100-070",
      type: "single",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which design is best for managing application certificates used by Azure App Service and AKS workloads?", de: "Welches Design eignet sich am besten für die Verwaltung von Anwendungszertifikaten, die von Azure App Service- und AKS-Workloads verwendet werden?" },
      options: [
        { id: "A", text: { en: "Store and rotate certificates in Azure Key Vault with controlled access", de: "Zertifikate in Azure Key Vault speichern und rotieren, mit kontrolliertem Zugriff" } },
        { id: "B", text: { en: "Copy PFX files manually to each host", de: "PFX-Dateien manuell auf jeden Host kopieren" } },
        { id: "C", text: { en: "Email private keys to operations staff", de: "Private Schlüssel per E-Mail an das Betriebsteam senden" } },
        { id: "D", text: { en: "Commit certificates to source control", de: "Zertifikate in die Quellcodeverwaltung einchecken" } }
      ],
      correct: ["A"],
      explanation: { en: "Key Vault provides central lifecycle management, controlled access, and integration patterns that are more secure than distributing private material to hosts or repositories. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Key Vault bietet zentrales Lebenszyklusmanagement, kontrollierten Zugriff und Integrationsmuster, die sicherer sind, als privates Material auf Hosts oder in Repositories zu verteilen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Prefer centralized lifecycle management over local file distribution.", de: "Bevorzugen Sie zentrales Lebenszyklusmanagement statt lokaler Dateiverteilung." },
      reference: "https://learn.microsoft.com/en-us/azure/key-vault/general/overview"
    },
    {
      id: "sc100-071",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "medium",
      scenario: { en: "An investigation team at Litware, Inc. needs to search privileged operations in Microsoft 365 for a longer period and correlate those events with security incidents in the SOC platform.", de: "Ein Untersuchungsteam bei Litware, Inc. muss privilegierte Vorgänge in Microsoft 365 über einen längeren Zeitraum durchsuchen und diese Ereignisse mit Sicherheitsvorfällen in der SOC-Plattform korrelieren." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Enable Microsoft Purview Audit with appropriate retention and integrate investigations with Microsoft Sentinel", de: "Microsoft Purview Audit mit passender Aufbewahrung aktivieren und Untersuchungen mit Microsoft Sentinel integrieren" } },
        { id: "B", text: { en: "Keep only mailbox audit data and ignore the rest of Microsoft 365", de: "Nur Postfach-Auditdaten aufbewahren und den Rest von Microsoft 365 ignorieren" } },
        { id: "C", text: { en: "Export monthly CSV files to a file share for manual review", de: "Monatliche CSV-Dateien zur manuellen Prüfung auf eine Dateifreigabe exportieren" } },
        { id: "D", text: { en: "Disable auditing to lower storage cost", de: "Audit-Protokollierung deaktivieren, um Speicherkosten zu senken" } }
      ],
      correct: ["A"],
      explanation: { en: "Purview Audit provides the Microsoft 365 audit record and retention model, while Sentinel adds investigation and correlation across broader security telemetry. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Purview Audit stellt den Microsoft-365-Auditnachweis und das Aufbewahrungsmodell bereit, während Sentinel Untersuchungen und Korrelation über breitere Sicherheitstelemetrie hinweg ergänzt. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the combination of unified audit retention and SOC analytics.", de: "Wählen Sie die Kombination aus einheitlicher Audit-Aufbewahrung und SOC-Analytik." },
      reference: "https://learn.microsoft.com/en-us/purview/audit-solutions-overview"
    },
    {
      id: "sc100-072",
      type: "multiple",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design decisions best support secure cross-tenant collaboration without creating unmanaged standing access?", de: "Welche ZWEI Designentscheidungen unterstützen sichere Zusammenarbeit zwischen Mandanten am besten, ohne unverwalteten dauerhaften Zugriff zu schaffen?" },
      options: [
        { id: "A", text: { en: "Use B2B collaboration with cross-tenant trust settings", de: "B2B collaboration mit Cross-Tenant-Vertrauenseinstellungen verwenden" } },
        { id: "B", text: { en: "Govern guest access with entitlement management and access reviews", de: "Gastzugriffe mit Entitlement Management und Zugriffsüberprüfungen steuern" } },
        { id: "C", text: { en: "Create local member accounts for partners in every application", de: "Lokale Mitgliedskonten für Partner in jeder Anwendung erstellen" } },
        { id: "D", text: { en: "Share emergency admin credentials with partner administrators", de: "Notfall-Administratoranmeldeinformationen mit Partneradministratoren teilen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "B2B with trust settings reduces identity duplication, and governance controls such as access packages and reviews prevent guest access from becoming unmanaged standing privilege. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "B2B mit Vertrauenseinstellungen reduziert Identitätsduplikate, und Governance-Kontrollen wie Zugriffspakete und Reviews verhindern, dass Gastzugriff zu unverwalteten dauerhaften Privilegien wird. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick one answer for trusted collaboration and one for lifecycle governance.", de: "Wählen Sie eine Antwort für vertrauenswürdige Zusammenarbeit und eine für Lebenszyklus-Governance." },
      reference: "https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview"
    },
    {
      id: "sc100-073",
      type: "scenario",
      domain: { en: "Design Security Operations, Identity, and Compliance", de: "Sicherheitsbetrieb, Identität und Compliance entwerfen" },
      difficulty: "easy",
      scenario: { en: "At Humongous Insurance, the Global Administrator role should only be activated when approved and only from a hardened administrative device. The organization also wants time-bound assignments.", de: "Bei Humongous Insurance die Rolle Globaler Administrator soll nur nach Genehmigung und nur von einem gehärteten Administrationsgerät aus aktiviert werden. Die Organisation möchte außerdem zeitlich begrenzte Zuweisungen." },
      question: { en: "Which design meets these requirements?", de: "Welches Design erfüllt diese Anforderungen?" },
      options: [
        { id: "A", text: { en: "Use Privileged Identity Management with approval, time limits, and Conditional Access for privileged accounts", de: "Privileged Identity Management mit Genehmigung, Zeitlimits und Conditional Access für privilegierte Konten verwenden" } },
        { id: "B", text: { en: "Assign the role permanently and review it once per year", de: "Die Rolle dauerhaft zuweisen und einmal pro Jahr überprüfen" } },
        { id: "C", text: { en: "Share one administrative account among all platform engineers", de: "Ein Administratorkonto unter allen Plattformingenieuren gemeinsam nutzen" } },
        { id: "D", text: { en: "Store a Global Administrator password in a team vault for normal daily work", de: "Ein Kennwort für den Globalen Administrator im Team-Tresor für die tägliche Arbeit speichern" } }
      ],
      correct: ["A"],
      explanation: { en: "PIM is built for eligible assignment, approval workflows, MFA, and time-bound activation, while Conditional Access can restrict how privileged sessions are established. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "PIM wurde für berechtigte Zuweisung, Genehmigungsworkflows, MFA und zeitlich begrenzte Aktivierung entwickelt, während Conditional Access einschränken kann, wie privilegierte Sitzungen aufgebaut werden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the design that removes standing privilege and controls the activation path.", de: "Wählen Sie das Design, das dauerhafte Privilegien beseitigt und den Aktivierungspfad kontrolliert." },
      reference: "https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure"
    },
    {
      id: "sc100-074",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Microsoft score helps architects track the effect of security posture recommendations over time for cloud resources?", de: "Welcher Microsoft-Score hilft Architekten, die Wirkung von Empfehlungen zur Sicherheitslage im Zeitverlauf für Cloud-Ressourcen zu verfolgen?" },
      options: [
        { id: "A", text: { en: "Secure Score in Defender for Cloud", de: "Secure Score in Defender for Cloud" } },
        { id: "B", text: { en: "Azure Advisor performance score", de: "Leistungsscore von Azure Advisor" } },
        { id: "C", text: { en: "App Service plan scale score", de: "Skalierungsscore des App-Service-Plans" } },
        { id: "D", text: { en: "Microsoft 365 usage score", de: "Microsoft-365-Nutzungsscore" } }
      ],
      correct: ["A"],
      explanation: { en: "Secure Score in Defender for Cloud shows posture improvement opportunities and tracks progress as recommended controls are implemented. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Secure Score in Defender for Cloud zeigt Möglichkeiten zur Verbesserung der Sicherheitslage und verfolgt den Fortschritt, wenn empfohlene Kontrollen umgesetzt werden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for the posture metric tied to security recommendations.", de: "Suchen Sie nach der Lagekennzahl, die mit Sicherheitsempfehlungen verknüpft ist." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls"
    },
    {
      id: "sc100-075",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "Woodgrove Bank has Windows and Linux servers running in Azure, two datacenters, and AWS. Security architects want one Azure-based approach for inventory, policy, extensions, and Defender onboarding.", de: "Woodgrove Bank betreibt Windows- und Linux-Server in Azure, in zwei Rechenzentren und in AWS. Sicherheitsarchitekten möchten einen Azure-basierten Ansatz für Inventarisierung, Richtlinien, Erweiterungen und Defender-Onboarding." },
      question: { en: "Which design should be implemented?", de: "Welches Design sollte implementiert werden?" },
      options: [
        { id: "A", text: { en: "Connect the servers by using Azure Arc and onboard them to Defender for Cloud", de: "Die Server über Azure Arc verbinden und in Defender for Cloud einbinden" } },
        { id: "B", text: { en: "Manage only Azure-native VMs and ignore the rest", de: "Nur native Azure-VMs verwalten und den Rest ignorieren" } },
        { id: "C", text: { en: "Use manual spreadsheets to track server posture", de: "Manuelle Tabellen verwenden, um die Serverlage zu verfolgen" } },
        { id: "D", text: { en: "Deploy separate monitoring platforms in each location with no integration", de: "Separate Monitoring-Plattformen an jedem Standort ohne Integration bereitstellen" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Arc extends Azure management constructs to non-Azure resources, and Defender for Cloud can then apply posture and workload protection capabilities across them. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Azure Arc erweitert Azure-Verwaltungskonstrukte auf Nicht-Azure-Ressourcen, und Defender for Cloud kann dann Lage- und Workload-Schutzfunktionen über diese Ressourcen hinweg anwenden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option that makes hybrid and multicloud resources first-class Azure-managed assets.", de: "Wählen Sie die Option, die Hybrid- und Multicloud-Ressourcen zu erstklassig in Azure verwalteten Assets macht." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-arc/overview"
    },
    {
      id: "sc100-076",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design decisions best extend cloud security posture management to AWS, Google Cloud, and on-premises resources?", de: "Welche ZWEI Designentscheidungen erweitern Cloud Security Posture Management am besten auf AWS-, Google-Cloud- und lokale Ressourcen?" },
      options: [
        { id: "A", text: { en: "Connect multicloud accounts and subscriptions to Microsoft Defender for Cloud", de: "Multicloud-Konten und -Abonnements mit Microsoft Defender for Cloud verbinden" } },
        { id: "B", text: { en: "Use Azure Arc to represent supported non-Azure resources in Azure governance workflows", de: "Azure Arc verwenden, um unterstützte Nicht-Azure-Ressourcen in Azure-Governance-Workflows abzubilden" } },
        { id: "C", text: { en: "Rely on manual screenshots for posture reviews", de: "Sich bei Lageüberprüfungen auf manuelle Screenshots verlassen" } },
        { id: "D", text: { en: "Limit posture management to Azure resources only", de: "Lageverwaltung nur auf Azure-Ressourcen beschränken" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Defender for Cloud provides multicloud posture visibility, and Azure Arc extends Azure governance and security management patterns to supported non-Azure resources. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Defender for Cloud bietet Sichtbarkeit für die Sicherheitslage in mehreren Clouds, und Azure Arc erweitert Azure-Governance- und Sicherheitsmuster auf unterstützte Nicht-Azure-Ressourcen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the answers that bring non-Azure assets under centralized posture management.", de: "Wählen Sie die Antworten, die Nicht-Azure-Assets unter zentrales Posture Management bringen." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/multicloud-security-posture-management-overview"
    },
    {
      id: "sc100-077",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Microsoft solution helps discover and continuously monitor internet-exposed assets that belong to your organization, including shadow IT domains and IP ranges?", de: "Welche Microsoft-Lösung hilft dabei, internetexponierte Assets Ihrer Organisation, einschließlich Shadow-IT-Domänen und IP-Bereichen, zu erkennen und kontinuierlich zu überwachen?" },
      options: [
        { id: "A", text: { en: "Microsoft Defender External Attack Surface Management", de: "Microsoft Defender External Attack Surface Management" } },
        { id: "B", text: { en: "Azure Policy guest configuration", de: "Azure Policy Guest Configuration" } },
        { id: "C", text: { en: "Windows LAPS", de: "Windows LAPS" } },
        { id: "D", text: { en: "Azure Route Server", de: "Azure Route Server" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender EASM is designed to identify externally visible assets and understand internet-facing attack surface outside traditional asset inventories. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Defender EASM ist darauf ausgelegt, extern sichtbare Assets zu identifizieren und die internetseitige Angriffsfläche außerhalb traditioneller Asset-Inventare zu verstehen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the service focused on external exposure discovery.", de: "Wählen Sie den Dienst, der auf die Erkennung externer Exponierung ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-easm-overview"
    },
    {
      id: "sc100-078",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Contoso, Ltd., a remote workforce uses Windows and macOS laptops. Security architects need device compliance, security baselines, and endpoint risk signals that can feed Conditional Access decisions.", de: "Bei Contoso, Ltd. nutzt eine Remote-Belegschaft nutzt Windows- und macOS-Laptops. Sicherheitsarchitekten benötigen Gerätecompliance, Sicherheitsbaselines und Endpunktrisikodaten, die in Conditional-Access-Entscheidungen einfließen können." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Intune compliance and security baselines integrated with Microsoft Defender for Endpoint", de: "Intune-Compliance und Sicherheitsbaselines verwenden, integriert mit Microsoft Defender for Endpoint" } },
        { id: "B", text: { en: "Rely only on local administrator rights and user training", de: "Sich nur auf lokale Administratorrechte und Benutzerschulungen verlassen" } },
        { id: "C", text: { en: "Manage devices with spreadsheets and VPN rules", de: "Geräte mit Tabellen und VPN-Regeln verwalten" } },
        { id: "D", text: { en: "Disable endpoint telemetry to reduce noise", de: "Endpunkttelemetrie deaktivieren, um Rauschen zu reduzieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Intune provides device compliance and security policy enforcement, while Defender for Endpoint adds endpoint risk signals that Conditional Access can use. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Intune bietet Gerätecompliance und Richtliniendurchsetzung, während Defender for Endpoint Endpunktrisikodaten ergänzt, die Conditional Access nutzen kann. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the platform pair that connects device management to endpoint risk.", de: "Wählen Sie das Plattformpaar, das Geräteverwaltung mit Endpunktrisiko verbindet." },
      reference: "https://learn.microsoft.com/en-us/mem/intune/protect/security-baselines"
    },
    {
      id: "sc100-079",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "What is the main security benefit of Windows LAPS?", de: "Was ist der wichtigste Sicherheitsvorteil von Windows LAPS?" },
      options: [
        { id: "A", text: { en: "It gives each device a unique local administrator password and rotates it automatically", de: "Es gibt jedem Gerät ein eindeutiges lokales Administratorkennwort und rotiert es automatisch" } },
        { id: "B", text: { en: "It replaces Microsoft Entra ID for user authentication", de: "Es ersetzt Microsoft Entra ID für die Benutzerauthentifizierung" } },
        { id: "C", text: { en: "It encrypts traffic between virtual networks", de: "Es verschlüsselt Datenverkehr zwischen virtuellen Netzwerken" } },
        { id: "D", text: { en: "It blocks phishing emails in Exchange Online", de: "Es blockiert Phishing-E-Mails in Exchange Online" } }
      ],
      correct: ["A"],
      explanation: { en: "Windows LAPS reduces the risk of lateral movement that comes from shared local administrator passwords across many systems. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Windows LAPS reduziert das Risiko lateraler Bewegung, das durch gemeinsam genutzte lokale Administratorkennwörter auf vielen Systemen entsteht. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think about the problem of one reused local admin password on many devices.", de: "Denken Sie an das Problem eines wiederverwendeten lokalen Administratorkennworts auf vielen Geräten." },
      reference: "https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-overview"
    },
    {
      id: "sc100-080",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: { en: "Contoso, Ltd. operates PLCs and other OT devices that cannot run standard endpoint agents. The security team needs asset discovery and threat detection without disrupting plant operations.", de: "Contoso, Ltd. betreibt SPS und andere OT-Geräte, auf denen keine Standard-Endpunktagenten ausgeführt werden können. Das Sicherheitsteam benötigt Asset-Erkennung und Bedrohungserkennung, ohne den Anlagenbetrieb zu stören." },
      question: { en: "Which design is most appropriate?", de: "Welches Design ist am geeignetsten?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Defender for IoT with passive network monitoring and OT segmentation", de: "Microsoft Defender for IoT mit passiver Netzwerküberwachung und OT-Segmentierung verwenden" } },
        { id: "B", text: { en: "Deploy EDR agents to every PLC regardless of vendor support", de: "EDR-Agenten unabhängig von der Herstellerunterstützung auf jede SPS bereitstellen" } },
        { id: "C", text: { en: "Expose the OT network directly to the internet for easier monitoring", de: "Das OT-Netzwerk zur einfacheren Überwachung direkt dem Internet aussetzen" } },
        { id: "D", text: { en: "Manage OT assets only through manual inventories", de: "OT-Assets ausschließlich über manuelle Inventare verwalten" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for IoT is built for environments where passive monitoring and protocol awareness are required because standard endpoint agents are not practical on OT systems. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Defender for IoT wurde für Umgebungen entwickelt, in denen passive Überwachung und Protokollverständnis erforderlich sind, weil Standard-Endpunktagenten auf OT-Systemen nicht praktikabel sind. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the design that fits fragile OT systems instead of forcing traditional endpoint tooling.", de: "Wählen Sie das Design, das zu empfindlichen OT-Systemen passt, statt traditionelle Endpunktwerkzeuge zu erzwingen." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-iot/overview"
    },
    {
      id: "sc100-081",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO controls are key for securing AKS clusters as part of an infrastructure design?", de: "Welche ZWEI Kontrollen sind entscheidend, um AKS-Cluster als Teil eines Infrastrukturdesigns abzusichern?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Defender for Containers for vulnerability and runtime protection", de: "Microsoft Defender for Containers für Schwachstellen- und Laufzeitschutz verwenden" } },
        { id: "B", text: { en: "Enforce cluster guardrails with Azure Policy for Kubernetes", de: "Cluster-Leitplanken mit Azure Policy für Kubernetes durchsetzen" } },
        { id: "C", text: { en: "Allow anonymous cluster-admin access for troubleshooting", de: "Anonymen Cluster-Admin-Zugriff zur Fehlersuche zulassen" } },
        { id: "D", text: { en: "Pull images from any public registry without scanning", de: "Images ohne Prüfung aus beliebigen öffentlichen Registries beziehen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Container security requires both workload visibility and runtime insight plus preventive policy controls on cluster configuration and admission. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Containersicherheit erfordert sowohl Workload-Sichtbarkeit und Laufzeiteinblick als auch präventive Richtlinienkontrollen für Clusterkonfiguration und Admission. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick one answer for protection and one for guardrail enforcement.", de: "Wählen Sie eine Antwort für Schutz und eine für die Durchsetzung von Leitplanken." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-introduction"
    },
    {
      id: "sc100-082",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Azure service is designed to protect web applications from common Layer 7 attacks such as SQL injection and cross-site scripting?", de: "Welcher Azure-Dienst schützt Webanwendungen vor typischen Layer-7-Angriffen wie SQL-Injection und Cross-Site Scripting?" },
      options: [
        { id: "A", text: { en: "Azure Web Application Firewall", de: "Azure Web Application Firewall" } },
        { id: "B", text: { en: "Azure ExpressRoute", de: "Azure ExpressRoute" } },
        { id: "C", text: { en: "Azure Route Server", de: "Azure Route Server" } },
        { id: "D", text: { en: "Azure Cost Management", de: "Azure Cost Management" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure WAF is purpose-built to inspect HTTP and HTTPS traffic for common web application attacks and malicious request patterns. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Azure WAF ist speziell dafür entwickelt, HTTP- und HTTPS-Datenverkehr auf typische Angriffe auf Webanwendungen und bösartige Anfragemuster zu prüfen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the service focused on web-layer attack inspection.", de: "Wählen Sie den Dienst, der auf die Prüfung von Angriffen auf der Webebene ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/azure/web-application-firewall/overview"
    },
    {
      id: "sc100-083",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "Humongous Insurance runs production in Azure and AWS. Security architects want one place to assess server misconfigurations, vulnerabilities, and alignment to cloud security standards across both platforms.", de: "Humongous Insurance betreibt Produktion in Azure und AWS. Sicherheitsarchitekten möchten einen Ort, an dem Serverfehlkonfigurationen, Schwachstellen und die Ausrichtung an Cloud-Sicherheitsstandards über beide Plattformen hinweg bewertet werden können." },
      question: { en: "Which design best meets this goal?", de: "Welches Design erfüllt dieses Ziel am besten?" },
      options: [
        { id: "A", text: { en: "Connect AWS to Defender for Cloud and enable the relevant multicloud plans", de: "AWS mit Defender for Cloud verbinden und die relevanten Multicloud-Pläne aktivieren" } },
        { id: "B", text: { en: "Use separate security spreadsheets in each cloud", de: "Separate Sicherheits-Tabellen in jeder Cloud verwenden" } },
        { id: "C", text: { en: "Move all AWS workloads to Azure first", de: "Alle AWS-Workloads zuerst nach Azure verschieben" } },
        { id: "D", text: { en: "Rely only on operating system logs inside each VM", de: "Sich nur auf Betriebssystemprotokolle in jeder VM verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Cloud can extend posture management and some protection workflows to connected AWS environments without requiring immediate migration. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Defender for Cloud kann Posture Management und einige Schutz-Workflows auf verbundene AWS-Umgebungen ausdehnen, ohne eine sofortige Migration zu erfordern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the option that centralizes posture management across clouds.", de: "Wählen Sie die Option, die Posture Management über Clouds hinweg zentralisiert." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/multicloud-security-posture-management-overview"
    },
    {
      id: "sc100-084",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which Security Service Edge capability provides secure web gateway controls for internet access to SaaS and web destinations, including Microsoft 365 optimization scenarios?", de: "Welche Security-Service-Edge-Funktion stellt Secure-Web-Gateway-Kontrollen für den Internetzugang zu SaaS- und Webzielen bereit, einschließlich Optimierungsszenarien für Microsoft 365?" },
      options: [
        { id: "A", text: { en: "Microsoft Entra Internet Access", de: "Microsoft Entra Internet Access" } },
        { id: "B", text: { en: "Microsoft Entra Private Access", de: "Microsoft Entra Private Access" } },
        { id: "C", text: { en: "Windows LAPS", de: "Windows LAPS" } },
        { id: "D", text: { en: "Azure Route Filter", de: "Azure Route Filter" } }
      ],
      correct: ["A"],
      explanation: { en: "Entra Internet Access is the SSE offering for identity-aware internet access and secure web gateway scenarios, including optimized access to Microsoft services. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Entra Internet Access ist das SSE-Angebot für identitätsbewussten Internetzugang und Secure-Web-Gateway-Szenarien, einschließlich optimiertem Zugriff auf Microsoft-Dienste. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Distinguish secure internet access from private application access.", de: "Unterscheiden Sie sicheren Internetzugang von privatem Anwendungszugang." },
      reference: "https://learn.microsoft.com/en-us/entra/global-secure-access/concept-internet-access"
    },
    {
      id: "sc100-085",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which TWO endpoint controls best reduce commodity malware and ransomware impact on Windows clients?", de: "Welche ZWEI Endpunktkontrollen reduzieren die Auswirkungen von Standard-Malware und Ransomware auf Windows-Clients am besten?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Defender for Endpoint with antivirus, EDR, and attack surface reduction rules", de: "Microsoft Defender for Endpoint mit Antivirus, EDR und Angriffspfad-Reduktionsregeln verwenden" } },
        { id: "B", text: { en: "Apply Intune security baselines and compliance policies", de: "Intune-Sicherheitsbaselines und Compliance-Richtlinien anwenden" } },
        { id: "C", text: { en: "Grant all users local administrator rights", de: "Allen Benutzern lokale Administratorrechte gewähren" } },
        { id: "D", text: { en: "Disable tamper protection for easier troubleshooting", de: "Manipulationsschutz zur einfacheren Fehlersuche deaktivieren" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Endpoint protection is strongest when prevention, detection, and hardening controls work together instead of relying on user discretion or elevated local rights. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Endpunktschutz ist am stärksten, wenn Präventions-, Erkennungs- und Härtungskontrollen zusammenwirken, statt sich auf Benutzerdisziplin oder erhöhte lokale Rechte zu verlassen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for endpoint protection and one for device hardening.", de: "Wählen Sie eine Antwort für Endpunktschutz und eine für Gerätehärtung." },
      reference: "https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-endpoint"
    },
    {
      id: "sc100-086",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "Employees at Woodgrove Bank need to reach internal web applications from anywhere without a full VPN. Architects want identity-aware, per-application access that integrates with Conditional Access.", de: "Mitarbeiter bei Woodgrove Bank müssen interne Webanwendungen von überall aus erreichen können, ohne ein vollständiges VPN zu verwenden. Architekten möchten identitätsbewussten Zugriff pro Anwendung, der sich mit Conditional Access integrieren lässt." },
      question: { en: "Which solution should you recommend?", de: "Welche Lösung sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Microsoft Entra Private Access", de: "Microsoft Entra Private Access" } },
        { id: "B", text: { en: "Azure Front Door public endpoints for internal apps", de: "Öffentliche Azure-Front-Door-Endpunkte für interne Apps" } },
        { id: "C", text: { en: "A shared jump server for all users", de: "Einen gemeinsamen Jump-Server für alle Benutzer" } },
        { id: "D", text: { en: "Allow any source IP through the corporate firewall", de: "Jede Quell-IP durch die Unternehmensfirewall zulassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Entra Private Access is designed to provide identity-centric access to private applications without exposing the apps directly to the internet or relying on broad network access. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Entra Private Access wurde entwickelt, um identitätszentrierten Zugriff auf private Anwendungen bereitzustellen, ohne diese direkt dem Internet auszusetzen oder auf breite Netzwerkzugriffe zu vertrauen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the per-app private access service rather than a broad network tunnel.", de: "Wählen Sie den Private-Access-Dienst pro Anwendung statt eines breiten Netzwerktunnels." },
      reference: "https://learn.microsoft.com/en-us/entra/global-secure-access/concept-private-access"
    },
    {
      id: "sc100-087",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What is the main architectural difference between a Network Security Group and Azure Firewall?", de: "Was ist der wichtigste architektonische Unterschied zwischen einer Network Security Group und Azure Firewall?" },
      options: [
        { id: "A", text: { en: "NSGs filter traffic at subnet or NIC scope, while Azure Firewall provides centralized stateful filtering and advanced policy control", de: "NSGs filtern Datenverkehr im Bereich von Subnetz oder NIC, während Azure Firewall zentrale zustandsbehaftete Filterung und erweiterte Richtliniensteuerung bereitstellt" } },
        { id: "B", text: { en: "NSGs can inspect application-layer web attacks, while Azure Firewall cannot", de: "NSGs können Angriffe auf Anwendungsebene prüfen, Azure Firewall hingegen nicht" } },
        { id: "C", text: { en: "Azure Firewall manages Microsoft Entra identities, while NSGs do not", de: "Azure Firewall verwaltet Microsoft-Entra-Identitäten, NSGs hingegen nicht" } },
        { id: "D", text: { en: "There is no practical difference between them", de: "Es gibt keinen praktischen Unterschied zwischen ihnen" } }
      ],
      correct: ["A"],
      explanation: { en: "NSGs provide distributed network filtering at resource boundaries, whereas Azure Firewall is a centralized managed firewall service with richer policy capabilities. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "NSGs bieten verteilte Netzwerkfilterung an Ressourcengrenzen, während Azure Firewall ein zentraler verwalteter Firewall-Dienst mit umfangreicheren Richtlinienfunktionen ist. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think distributed subnet or NIC filtering versus centralized firewall policy.", de: "Denken Sie an verteilte Filterung auf Subnetz- oder NIC-Ebene versus zentrale Firewall-Richtlinien." },
      reference: "https://learn.microsoft.com/en-us/azure/firewall/overview"
    },
    {
      id: "sc100-088",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Contoso, Ltd., Defender for Cloud shows an attack path where a public VM, excessive permissions, and an unpatched server could eventually lead to Key Vault compromise. The remediation backlog is large.", de: "Bei Contoso, Ltd. zeigt Defender for Cloud zeigt einen Angriffspfad, bei dem eine öffentliche VM, übermäßige Berechtigungen und ein ungepatchter Server letztlich zu einer Kompromittierung von Key Vault führen könnten. Der Behebungsstapel ist groß." },
      question: { en: "What should architects do first?", de: "Was sollten Architekten zuerst tun?" },
      options: [
        { id: "A", text: { en: "Prioritize fixes that break the highest-risk attack path rather than treating findings as isolated issues", de: "Behebungen priorisieren, die den Angriffspfad mit dem höchsten Risiko unterbrechen, statt Findings isoliert zu behandeln" } },
        { id: "B", text: { en: "Sort all findings alphabetically by resource name", de: "Alle Findings alphabetisch nach Ressourcenname sortieren" } },
        { id: "C", text: { en: "Ignore permissions because the server patch is older", de: "Berechtigungen ignorieren, weil der Server-Patch älter ist" } },
        { id: "D", text: { en: "Review costs before reviewing exposure", de: "Vor der Prüfung der Exponierung zuerst die Kosten prüfen" } }
      ],
      correct: ["A"],
      explanation: { en: "Attack path analysis is valuable because it shows how combined weaknesses produce realistic compromise routes, so remediation should focus on breaking those chains first. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die Angriffspfadanalyse ist wertvoll, weil sie zeigt, wie kombinierte Schwächen realistische Kompromittierungswege erzeugen, weshalb die Behebung zunächst auf das Unterbrechen dieser Ketten abzielen sollte. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Use the context of chained risk, not just isolated recommendation counts.", de: "Nutzen Sie den Kontext verketteter Risiken und nicht nur isolierte Empfehlungssummen." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-attack-path"
    },
    {
      id: "sc100-089",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO design choices improve the security of Azure AI services workloads?", de: "Welche ZWEI Designentscheidungen verbessern die Sicherheit von Azure-AI-Services-Workloads?" },
      options: [
        { id: "A", text: { en: "Use private endpoints and restrict or disable public network access where appropriate", de: "Private Endpunkte verwenden und öffentlichen Netzwerkzugriff soweit angemessen einschränken oder deaktivieren" } },
        { id: "B", text: { en: "Use managed identities and Azure Key Vault for dependent secrets", de: "Verwaltete Identitäten und Azure Key Vault für abhängige Geheimnisse verwenden" } },
        { id: "C", text: { en: "Embed API keys in client-side code", de: "API-Schlüssel in clientseitigem Code einbetten" } },
        { id: "D", text: { en: "Allow broad unauthenticated access to endpoints for testing", de: "Breiten unauthentifizierten Zugriff auf Endpunkte zu Testzwecken zulassen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Private connectivity reduces exposure, and managed identities with Key Vault reduce secret handling risk for applications that call AI services. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Private Konnektivität reduziert die Exponierung, und verwaltete Identitäten mit Key Vault verringern das Risiko bei der Handhabung von Geheimnissen für Anwendungen, die AI Services aufrufen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for network isolation and one for secretless authentication.", de: "Wählen Sie eine Antwort für Netzwerkisolierung und eine für geheimnisfreie Authentifizierung." },
      reference: "https://learn.microsoft.com/en-us/security/benchmark/azure/baselines/ai-services-security-baseline"
    },
    {
      id: "sc100-090",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Azure feature lets a PaaS service appear with a private IP address inside your virtual network?", de: "Welche Azure-Funktion ermöglicht es, dass ein PaaS-Dienst mit einer privaten IP-Adresse in Ihrem virtuellen Netzwerk erscheint?" },
      options: [
        { id: "A", text: { en: "Private Endpoint", de: "Privater Endpunkt" } },
        { id: "B", text: { en: "Public IP prefix", de: "Öffentliches IP-Präfix" } },
        { id: "C", text: { en: "Azure DDoS Protection", de: "Azure DDoS Protection" } },
        { id: "D", text: { en: "ExpressRoute FastPath", de: "ExpressRoute FastPath" } }
      ],
      correct: ["A"],
      explanation: { en: "Private Endpoint maps the service to a private IP in your virtual network and keeps data access on private connectivity patterns. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Ein privater Endpunkt ordnet den Dienst einer privaten IP in Ihrem virtuellen Netzwerk zu und hält den Datenzugriff auf private Konnektivitätsmuster beschränkt. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the feature that places the service on a private address in your VNet.", de: "Wählen Sie die Funktion, die den Dienst auf eine private Adresse in Ihrem VNet legt." },
      reference: "https://learn.microsoft.com/en-us/azure/private-link/private-link-overview"
    },
    {
      id: "sc100-091",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "Development teams at Litware, Inc. run AKS workloads from images stored in Azure Container Registry. Security requires image vulnerability scanning, runtime alerts, and configuration guardrails before workloads are admitted.", de: "Entwicklungsteams bei Litware, Inc. betreiben AKS-Workloads mit Images aus Azure Container Registry. Sicherheit verlangt Schwachstellenprüfungen für Images, Laufzeitwarnungen und Konfigurationsleitplanken, bevor Workloads zugelassen werden." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Defender for Containers with Azure Policy for Kubernetes and registry scanning", de: "Defender for Containers mit Azure Policy für Kubernetes und Registry-Scans verwenden" } },
        { id: "B", text: { en: "Trust all images pushed to the registry if the build succeeds", de: "Allen in die Registry übertragenen Images vertrauen, wenn der Build erfolgreich ist" } },
        { id: "C", text: { en: "Allow cluster-admin access to developers instead of policy enforcement", de: "Entwicklern Cluster-Admin-Zugriff statt Richtliniendurchsetzung gewähren" } },
        { id: "D", text: { en: "Disable runtime telemetry after deployment", de: "Laufzeittelemetrie nach der Bereitstellung deaktivieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Registry scanning, runtime monitoring, and admission guardrails together address different phases of container risk rather than treating deployment as the end of security review. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Registry-Scans, Laufzeitüberwachung und Admission-Leitplanken adressieren gemeinsam verschiedene Phasen des Containerrisikos, statt die Bereitstellung als Ende der Sicherheitsprüfung zu behandeln. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option that covers build, deploy, and runtime.", de: "Wählen Sie die Option, die Build, Bereitstellung und Laufzeit abdeckt." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-introduction"
    },
    {
      id: "sc100-092",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Defender for Cloud plan adds protections such as server threat detection, just-in-time VM access, and vulnerability assessment for servers?", de: "Welcher Defender-for-Cloud-Plan ergänzt Schutzmaßnahmen wie Bedrohungserkennung für Server, Just-in-Time-VM-Zugriff und Schwachstellenbewertung für Server?" },
      options: [
        { id: "A", text: { en: "Defender for Servers", de: "Defender for Servers" } },
        { id: "B", text: { en: "Defender for Office 365", de: "Defender for Office 365" } },
        { id: "C", text: { en: "Defender for Cloud Apps", de: "Defender for Cloud Apps" } },
        { id: "D", text: { en: "Microsoft Priva", de: "Microsoft Priva" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Servers is the workload protection plan focused on server-specific monitoring, hardening, and threat protection capabilities. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Defender for Servers ist der Workload-Schutzplan, der auf serverspezifische Überwachung, Härtung und Bedrohungsschutzfunktionen ausgerichtet ist. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the Defender plan for server workloads, not collaboration or SaaS governance.", de: "Wählen Sie den Defender-Plan für Server-Workloads und nicht für Zusammenarbeit oder SaaS-Governance." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/plan-defender-for-servers-select-plan"
    },
    {
      id: "sc100-093",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: { en: "Contoso, Ltd. uses thousands of kiosks and mobile scanners. Architects need centralized configuration, compliance evaluation, app control, and remote wipe for supported devices.", de: "Contoso, Ltd. verwendet Tausende Kioske und mobile Scanner. Architekten benötigen zentrale Konfiguration, Compliancebewertung, App-Kontrolle und Remote-Wipe für unterstützte Geräte." },
      question: { en: "Which design best fits these requirements?", de: "Welches Design passt am besten zu diesen Anforderungen?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Intune and integrate with Defender for Endpoint where supported", de: "Microsoft Intune verwenden und dort, wo unterstützt, mit Defender for Endpoint integrieren" } },
        { id: "B", text: { en: "Manage devices only through local scripts", de: "Geräte nur über lokale Skripte verwalten" } },
        { id: "C", text: { en: "Require each store to use its own third-party tool without standards", de: "Jede Filiale verpflichten, ihr eigenes Drittanbieter-Tool ohne Standards zu verwenden" } },
        { id: "D", text: { en: "Rely on paper asset inventories and manual resets", de: "Sich auf papierbasierte Asset-Inventare und manuelle Zurücksetzungen verlassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Intune provides the centralized endpoint management plane needed for large fleets, and Defender for Endpoint can add endpoint security signal and response depth. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Intune bietet die zentrale Endpunktverwaltungsplattform, die für große Flotten erforderlich ist, und Defender for Endpoint kann zusätzliche Sicherheitssignale und Reaktionstiefe liefern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the cloud management platform for large device fleets.", de: "Wählen Sie die Cloud-Verwaltungsplattform für große Geräteflotten." },
      reference: "https://learn.microsoft.com/en-us/mem/intune/fundamentals/what-is-intune"
    },
    {
      id: "sc100-094",
      type: "multiple",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design choices best secure a hub-and-spoke network with internet-facing workloads and private spokes?", de: "Welche ZWEI Designentscheidungen sichern ein Hub-and-Spoke-Netzwerk mit internetseitigen Workloads und privaten Spokes am besten ab?" },
      options: [
        { id: "A", text: { en: "Use a centralized Azure Firewall in the hub for shared ingress and egress policy", de: "Eine zentrale Azure Firewall im Hub für gemeinsame Eingangs- und Ausgangsrichtlinien verwenden" } },
        { id: "B", text: { en: "Apply NSGs and subnet-level microsegmentation in spoke networks", de: "NSGs und Mikrosegmentierung auf Subnetzebene in den Spoke-Netzwerken anwenden" } },
        { id: "C", text: { en: "Assign public IP addresses to every private database", de: "Jeder privaten Datenbank eine öffentliche IP-Adresse zuweisen" } },
        { id: "D", text: { en: "Use a flat network with any-to-any rules to reduce management overhead", de: "Ein flaches Netzwerk mit Any-to-Any-Regeln verwenden, um Verwaltungsaufwand zu reduzieren" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Centralized firewalling and local segmentation are complementary: one manages shared north-south policy and the other limits east-west movement within workload networks. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Zentrale Firewalling und lokale Segmentierung ergänzen sich: Das eine verwaltet gemeinsame Nord-Süd-Richtlinien, das andere begrenzt Ost-West-Bewegungen innerhalb der Workload-Netzwerke. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for centralized inspection and one for workload segmentation.", de: "Wählen Sie eine Antwort für zentrale Inspektion und eine für Workload-Segmentierung." },
      reference: "https://learn.microsoft.com/en-us/azure/firewall/overview"
    },
    {
      id: "sc100-095",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Azure capability should architects use to project governance and security policy consistently onto Arc-enabled servers and Kubernetes clusters?", de: "Welche Azure-Funktion sollten Architekten verwenden, um Governance- und Sicherheitsrichtlinien konsistent auf Arc-fähige Server und Kubernetes-Cluster auszudehnen?" },
      options: [
        { id: "A", text: { en: "Azure Policy with Azure Arc", de: "Azure Policy mit Azure Arc" } },
        { id: "B", text: { en: "Azure Cost Management exports", de: "Azure-Cost-Management-Exporte" } },
        { id: "C", text: { en: "Azure DNS private zones", de: "Private Azure-DNS-Zonen" } },
        { id: "D", text: { en: "ExpressRoute Local", de: "ExpressRoute Local" } }
      ],
      correct: ["A"],
      explanation: { en: "Azure Policy extends guardrails and assessment logic to connected Arc resources so the same governance model can be applied beyond native Azure services. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Azure Policy erweitert Leitplanken und Bewertungslogik auf verbundene Arc-Ressourcen, sodass dasselbe Governance-Modell über native Azure-Dienste hinaus angewendet werden kann. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think about policy projection, not networking or cost features.", de: "Denken Sie an die Ausdehnung von Richtlinien und nicht an Netzwerk- oder Kostenfunktionen." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-arc/servers/manage-with-azure-policy"
    },
    {
      id: "sc100-096",
      type: "scenario",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "easy",
      scenario: { en: "Employees at Woodgrove Bank use personal mobile devices for Exchange Online and Teams. The organization wants access only when devices are compliant or protected at the app layer.", de: "Mitarbeiter bei Woodgrove Bank verwenden persönliche mobile Geräte für Exchange Online und Teams. Die Organisation möchte Zugriff nur dann, wenn Geräte compliant sind oder auf App-Ebene geschützt werden." },
      question: { en: "Which design best meets this requirement?", de: "Welches Design erfüllt diese Anforderung am besten?" },
      options: [
        { id: "A", text: { en: "Use Intune compliance or app protection policies with Conditional Access", de: "Intune-Compliance- oder App-Schutzrichtlinien mit Conditional Access verwenden" } },
        { id: "B", text: { en: "Allow all mobile devices if they know the password", de: "Alle mobilen Geräte zulassen, wenn das Kennwort bekannt ist" } },
        { id: "C", text: { en: "Require a VPN for every email action", de: "Für jede E-Mail-Aktion ein VPN verlangen" } },
        { id: "D", text: { en: "Create shared service accounts for mobile users", de: "Gemeinsame Dienstkonten für mobile Benutzer erstellen" } }
      ],
      correct: ["A"],
      explanation: { en: "Conditional Access can require either compliant devices or approved protected apps, making it possible to secure both enrolled and BYOD scenarios. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Conditional Access kann entweder konforme Geräte oder genehmigte geschützte Apps verlangen und so sowohl verwaltete als auch BYOD-Szenarien absichern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the design that integrates device state and app-level protection into access decisions.", de: "Wählen Sie das Design, das Gerätezustand und App-Schutz in Zugriffsentscheidungen integriert." },
      reference: "https://learn.microsoft.com/en-us/mem/intune/apps/app-protection-policy"
    },
    {
      id: "sc100-097",
      type: "single",
      domain: { en: "Design Security for Infrastructure", de: "Sicherheit für Infrastruktur entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which statement best describes how Microsoft Secure Score should be used in architecture reviews?", de: "Welche Aussage beschreibt am besten, wie Microsoft Secure Score in Architekturüberprüfungen verwendet werden sollte?" },
      options: [
        { id: "A", text: { en: "Use it to prioritize improvement actions and track posture trends, but not as a standalone proof of compliance", de: "Es verwenden, um Verbesserungsmaßnahmen zu priorisieren und Lagentrends zu verfolgen, aber nicht als alleinigen Nachweis von Compliance" } },
        { id: "B", text: { en: "Treat it as a legal certification that replaces audits", de: "Es als rechtliche Zertifizierung behandeln, die Audits ersetzt" } },
        { id: "C", text: { en: "Use it only for patching Windows endpoints", de: "Es nur zum Patchen von Windows-Endpunkten verwenden" } },
        { id: "D", text: { en: "Ignore it if Azure Policy is already deployed", de: "Es ignorieren, wenn Azure Policy bereits bereitgestellt ist" } }
      ],
      correct: ["A"],
      explanation: { en: "Secure Score is a prioritization and measurement aid, not a regulatory attestation, so it should inform decisions alongside other governance and compliance evidence. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Secure Score ist ein Hilfsmittel zur Priorisierung und Messung, keine regulatorische Bescheinigung, und sollte daher Entscheidungen zusammen mit anderen Governance- und Compliance-Nachweisen unterstützen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think posture prioritization, not formal certification.", de: "Denken Sie an Lage-Priorisierung und nicht an formale Zertifizierung." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls"
    },
    {
      id: "sc100-098",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Microsoft 365 protection rewrites URLs and evaluates them when a user clicks to help stop phishing links?", de: "Welcher Microsoft-365-Schutz schreibt URLs um und bewertet sie beim Anklicken durch den Benutzer, um Phishing-Links zu stoppen?" },
      options: [
        { id: "A", text: { en: "Safe Links in Microsoft Defender for Office 365", de: "Safe Links in Microsoft Defender for Office 365" } },
        { id: "B", text: { en: "Azure Policy", de: "Azure Policy" } },
        { id: "C", text: { en: "Windows LAPS", de: "Windows LAPS" } },
        { id: "D", text: { en: "Azure Route Server", de: "Azure Route Server" } }
      ],
      correct: ["A"],
      explanation: { en: "Safe Links provides time-of-click link inspection to reduce the chance that users can reach malicious phishing destinations from email or collaboration content. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Safe Links bietet eine Linkprüfung zum Zeitpunkt des Klicks, um die Wahrscheinlichkeit zu verringern, dass Benutzer aus E-Mails oder Kollaborationsinhalten heraus bösartige Phishing-Ziele erreichen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the Defender for Office 365 feature focused on malicious URLs.", de: "Wählen Sie die Funktion von Defender for Office 365, die auf bösartige URLs ausgerichtet ist." },
      reference: "https://learn.microsoft.com/en-us/defender-office-365/safe-links-about"
    },
    {
      id: "sc100-099",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Contoso, Ltd., sensitive files in SharePoint Online and Teams are being accessed from unmanaged devices. Business users must still be able to review content in a browser, but downloads should be blocked.", de: "Bei Contoso, Ltd. vertrauliche Dateien in SharePoint Online und Teams werden von nicht verwalteten Geräten aus aufgerufen. Fachanwender müssen Inhalte weiterhin im Browser prüfen können, Downloads sollen jedoch blockiert werden." },
      question: { en: "Which design should you implement?", de: "Welches Design sollten Sie implementieren?" },
      options: [
        { id: "A", text: { en: "Use Conditional Access App Control session policies through Defender for Cloud Apps", de: "Conditional-Access-App-Control-Sitzungsrichtlinien über Defender for Cloud Apps verwenden" } },
        { id: "B", text: { en: "Block all guest and browser access completely", de: "Alle Gast- und Browserzugriffe vollständig blockieren" } },
        { id: "C", text: { en: "Allow downloads and rely only on user training", de: "Downloads zulassen und sich nur auf Benutzerschulungen verlassen" } },
        { id: "D", text: { en: "Copy the files to local laptops for offline review", de: "Die Dateien zur Offline-Prüfung auf lokale Laptops kopieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Cloud Apps session controls let organizations allow productive browser use while restricting risky actions such as download or copy from unmanaged devices. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Sitzungskontrollen in Defender for Cloud Apps ermöglichen produktive Browsernutzung und schränken gleichzeitig riskante Aktionen wie Download oder Kopieren von nicht verwalteten Geräten ein. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the control that governs user sessions in real time rather than simply blocking access.", de: "Wählen Sie die Kontrolle, die Benutzersitzungen in Echtzeit steuert, statt den Zugriff einfach zu blockieren." },
      reference: "https://learn.microsoft.com/en-us/defender-cloud-apps/use-case-proxy-block-session-aad"
    },
    {
      id: "sc100-100",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design choices best reduce oversharing risk for Microsoft 365 Copilot?", de: "Welche ZWEI Designentscheidungen reduzieren das Risiko von Oversharing für Microsoft 365 Copilot am besten?" },
      options: [
        { id: "A", text: { en: "Apply least-privilege permissions and remediate broad site, group, and file access", de: "Least-Privilege-Berechtigungen anwenden und zu breite Zugriffe auf Websites, Gruppen und Dateien bereinigen" } },
        { id: "B", text: { en: "Use Microsoft Purview sensitivity labels and DLP to govern the underlying content", de: "Microsoft-Purview-Vertraulichkeitsbezeichnungen und DLP verwenden, um die zugrunde liegenden Inhalte zu steuern" } },
        { id: "C", text: { en: "Grant every employee broad access to all collaboration content to improve answers", de: "Allen Mitarbeitern breiten Zugriff auf alle Kollaborationsinhalte gewähren, um Antworten zu verbessern" } },
        { id: "D", text: { en: "Disable auditing to prevent administrators from seeing prompt activity", de: "Audit-Protokollierung deaktivieren, um zu verhindern, dass Administratoren Prompt-Aktivitäten sehen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Copilot respects existing permissions, so reducing oversharing depends on fixing excessive access and applying strong data governance to the content Copilot can reference. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Copilot beachtet bestehende Berechtigungen, daher hängt die Reduzierung von Oversharing davon ab, übermäßigen Zugriff zu korrigieren und starke Daten-Governance auf die Inhalte anzuwenden, auf die Copilot zugreifen kann. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for permission hygiene and one for data governance.", de: "Wählen Sie eine Antwort für Berechtigungshygiene und eine für Data Governance." },
      reference: "https://learn.microsoft.com/en-us/purview/microsoft-365-copilot"
    },
    {
      id: "sc100-101",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "What is the main purpose of threat modeling in application security design?", de: "Was ist der Hauptzweck der Bedrohungsmodellierung im Design der Anwendungssicherheit?" },
      options: [
        { id: "A", text: { en: "Identify trust boundaries, attack paths, and needed controls before implementation", de: "Vertrauensgrenzen, Angriffspfade und benötigte Kontrollen vor der Implementierung identifizieren" } },
        { id: "B", text: { en: "Replace code review and testing completely", de: "Code-Review und Tests vollständig ersetzen" } },
        { id: "C", text: { en: "Calculate cloud subscription costs", de: "Cloud-Abonnementkosten berechnen" } },
        { id: "D", text: { en: "Manage user license assignments", de: "Benutzerlizenzzuweisungen verwalten" } }
      ],
      correct: ["A"],
      explanation: { en: "Threat modeling is used early to expose abuse cases and security assumptions so the architecture can include controls before weaknesses become expensive to fix. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Bedrohungsmodellierung wird früh eingesetzt, um Missbrauchsszenarien und Sicherheitsannahmen offenzulegen, sodass die Architektur Kontrollen enthalten kann, bevor Schwächen teuer zu beheben sind. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Think about design-time identification of risks, not post-release response.", de: "Denken Sie an die Identifikation von Risiken zur Designzeit und nicht an Reaktionen nach dem Release." },
      reference: "https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool"
    },
    {
      id: "sc100-102",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: { en: "At Litware, Inc., an internal API platform must authenticate applications without stored secrets and apply centralized controls such as JWT validation, throttling, and IP filtering before requests reach the backend.", de: "Bei Litware, Inc. muss eine interne API-Plattform muss Anwendungen ohne gespeicherte Geheimnisse authentifizieren und zentrale Kontrollen wie JWT-Validierung, Drosselung und IP-Filterung anwenden, bevor Anfragen das Backend erreichen." },
      question: { en: "Which design should you recommend?", de: "Welches Design sollten Sie empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Azure API Management with policy enforcement and managed or workload identities for backend access", de: "Azure API Management mit Richtliniendurchsetzung und verwalteten oder Workload-Identitäten für den Backend-Zugriff verwenden" } },
        { id: "B", text: { en: "Expose backend APIs directly and store client secrets in configuration files", de: "Backend-APIs direkt offenlegen und Client-Geheimnisse in Konfigurationsdateien speichern" } },
        { id: "C", text: { en: "Place APIs behind a public storage account", de: "APIs hinter einem öffentlichen Speicherkonto platzieren" } },
        { id: "D", text: { en: "Use a shared admin account for all service calls", de: "Ein gemeinsames Administratorkonto für alle Dienstaufrufe verwenden" } }
      ],
      correct: ["A"],
      explanation: { en: "API Management provides centralized policy enforcement, and managed or federated workload identities remove the need for long-lived secrets in service-to-service authentication. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "API Management bietet zentrale Richtliniendurchsetzung, und verwaltete oder föderierte Workload-Identitäten beseitigen den Bedarf an langlebigen Geheimnissen bei der Dienst-zu-Dienst-Authentifizierung. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option that combines API gateway controls with secretless authentication.", de: "Wählen Sie die Option, die API-Gateway-Kontrollen mit geheimnisfreier Authentifizierung kombiniert." },
      reference: "https://learn.microsoft.com/en-us/azure/api-management/api-management-policies"
    },
    {
      id: "sc100-103",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which identity pattern lets GitHub Actions or another CI platform obtain Azure tokens without storing a client secret?", de: "Welches Identitätsmuster ermöglicht es GitHub Actions oder einer anderen CI-Plattform, Azure-Token zu erhalten, ohne ein Client-Geheimnis zu speichern?" },
      options: [
        { id: "A", text: { en: "Workload identity federation", de: "Workload-Identity-Federation" } },
        { id: "B", text: { en: "A long-lived shared secret", de: "Ein langlebiges gemeinsames Geheimnis" } },
        { id: "C", text: { en: "A local administrator password", de: "Ein lokales Administratorkennwort" } },
        { id: "D", text: { en: "An embedded storage key", de: "Ein eingebetteter Speicherschlüssel" } }
      ],
      correct: ["A"],
      explanation: { en: "Workload identity federation exchanges trusted external tokens for Azure tokens so pipelines no longer need long-lived secrets to authenticate. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Workload-Identity-Federation tauscht vertrauenswürdige externe Tokens gegen Azure-Tokens aus, sodass Pipelines keine langlebigen Geheimnisse mehr für die Authentifizierung benötigen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the pattern that removes stored pipeline secrets.", de: "Wählen Sie das Muster, das gespeicherte Geheimnisse in Pipelines beseitigt." },
      reference: "https://learn.microsoft.com/en-us/entra/workload-id/workload-identities-federation"
    },
    {
      id: "sc100-104",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Woodgrove Bank, a finance application stores highly sensitive reports in Azure Storage. Requirements include private connectivity only, malware detection for uploads, and encryption with organization-controlled keys.", de: "Bei Woodgrove Bank speichert eine Finanzanwendung speichert hochsensible Berichte in Azure Storage. Zu den Anforderungen gehören ausschließlich private Konnektivität, Malware-Erkennung für Uploads und Verschlüsselung mit organisationskontrollierten Schlüsseln." },
      question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
      options: [
        { id: "A", text: { en: "Use Private Endpoints, Microsoft Defender for Storage, and customer-managed keys in Key Vault or Managed HSM", de: "Private Endpunkte, Microsoft Defender for Storage und kundenseitig verwaltete Schlüssel in Key Vault oder Managed HSM verwenden" } },
        { id: "B", text: { en: "Leave the storage account public and rely on complex filenames", de: "Das Speicherkonto öffentlich lassen und sich auf komplexe Dateinamen verlassen" } },
        { id: "C", text: { en: "Use local file shares for sensitive uploads instead of Azure Storage", de: "Für sensible Uploads lokale Dateifreigaben statt Azure Storage verwenden" } },
        { id: "D", text: { en: "Store the encryption key in the same application configuration file", de: "Den Verschlüsselungsschlüssel in derselben Anwendungskonfigurationsdatei speichern" } }
      ],
      correct: ["A"],
      explanation: { en: "The combination of private connectivity, workload-aware threat detection, and customer-managed encryption keys addresses network exposure, upload risk, and key control requirements together. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die Kombination aus privater Konnektivität, workloadbewusster Bedrohungserkennung und kundenseitig verwalteten Verschlüsselungsschlüsseln adressiert Netzwerkexponierung, Upload-Risiken und Anforderungen an die Schlüsselkontrolle gemeinsam. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the answer that addresses all three requirements: private access, threat detection, and key ownership.", de: "Wählen Sie die Antwort, die alle drei Anforderungen adressiert: privaten Zugriff, Bedrohungserkennung und Schlüsselhoheit." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-storage-introduction"
    },
    {
      id: "sc100-105",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO practices are core to a secure software development lifecycle?", de: "Welche ZWEI Praktiken sind zentral für einen sicheren Softwareentwicklungslebenszyklus?" },
      options: [
        { id: "A", text: { en: "Run code, dependency, and secret scanning in pull requests", de: "Code-, Abhängigkeits- und Secret-Scans in Pull Requests ausführen" } },
        { id: "B", text: { en: "Require peer review and protected branches for production code changes", de: "Peer Review und geschützte Branches für Produktionscodeänderungen verlangen" } },
        { id: "C", text: { en: "Delay security testing until after production deployment", de: "Sicherheitstests erst nach der Produktionsbereitstellung durchführen" } },
        { id: "D", text: { en: "Allow developers to bypass all checks when deadlines are tight", de: "Entwicklern erlauben, alle Prüfungen zu umgehen, wenn Fristen knapp sind" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "A secure development lifecycle depends on finding issues early and making security checks part of the normal review and merge process. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Ein sicherer Entwicklungslebenszyklus hängt davon ab, Probleme früh zu finden und Sicherheitsprüfungen zum Teil des normalen Review- und Merge-Prozesses zu machen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick the answers that embed security before code reaches production.", de: "Wählen Sie die Antworten, die Sicherheit einbetten, bevor Code die Produktion erreicht." },
      reference: "https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github"
    },
    {
      id: "sc100-106",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Microsoft solution is designed to discover and classify data across Microsoft 365 and Azure data sources?", de: "Welche Microsoft-Lösung ist dafür ausgelegt, Daten über Microsoft-365- und Azure-Datenquellen hinweg zu erkennen und zu klassifizieren?" },
      options: [
        { id: "A", text: { en: "Microsoft Purview", de: "Microsoft Purview" } },
        { id: "B", text: { en: "Azure Route Server", de: "Azure Route Server" } },
        { id: "C", text: { en: "Microsoft Entra Private Access", de: "Microsoft Entra Private Access" } },
        { id: "D", text: { en: "Azure DDoS Protection", de: "Azure DDoS Protection" } }
      ],
      correct: ["A"],
      explanation: { en: "Microsoft Purview provides the discovery, classification, catalog, and governance capabilities needed for enterprise data security and compliance programs. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Microsoft Purview bietet die Erkennungs-, Klassifizierungs-, Katalog- und Governance-Funktionen, die für Programme zur Datensicherheit und Compliance im Unternehmen erforderlich sind. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the platform for data discovery and governance.", de: "Wählen Sie die Plattform für Datenerkennung und -governance." },
      reference: "https://learn.microsoft.com/en-us/purview/purview"
    },
    {
      id: "sc100-107",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: { en: "Data stewards at Woodgrove Bank want a business glossary, automated scans, and lineage for Azure SQL, Storage, and Power BI assets so analysts can discover and trust governed data sets.", de: "Bei Woodgrove Bank datenverantwortliche möchten ein Business-Glossar, automatisierte Scans und Lineage für Azure-SQL-, Storage- und Power-BI-Assets, damit Analysten vertrauenswürdige, governte Datensätze finden können." },
      question: { en: "Which design should be recommended?", de: "Welches Design sollte empfohlen werden?" },
      options: [
        { id: "A", text: { en: "Implement Microsoft Purview data map, scans, and lineage capabilities", de: "Microsoft Purview Data Map, Scans und Lineage-Funktionen implementieren" } },
        { id: "B", text: { en: "Store data ownership in a spreadsheet without scanning", de: "Datenverantwortung in einer Tabelle ohne Scans dokumentieren" } },
        { id: "C", text: { en: "Use Azure Advisor cost recommendations as the catalog", de: "Azure-Advisor-Kostenempfehlungen als Katalog verwenden" } },
        { id: "D", text: { en: "Rely on file shares to track metadata manually", de: "Sich auf Dateifreigaben verlassen, um Metadaten manuell zu verfolgen" } }
      ],
      correct: ["A"],
      explanation: { en: "Purview data map and lineage features are designed specifically to help users discover, understand, and trust governed data assets across platforms. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die Data-Map- und Lineage-Funktionen von Purview wurden speziell dafür entwickelt, Benutzern zu helfen, governte Daten-Assets plattformübergreifend zu finden, zu verstehen und ihnen zu vertrauen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the data governance platform with catalog, scans, and lineage.", de: "Wählen Sie die Data-Governance-Plattform mit Katalog, Scans und Lineage." },
      reference: "https://learn.microsoft.com/en-us/purview/data-map"
    },
    {
      id: "sc100-108",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "An organization already uses service-side encryption for Azure Storage and now requires a second independent encryption layer at rest for highly regulated data. Which feature should you add?", de: "Eine Organisation nutzt bereits serverseitige Verschlüsselung für Azure Storage und benötigt nun für hochregulierte Daten eine zweite unabhängige Verschlüsselungsebene ruhender Daten. Welche Funktion sollten Sie ergänzen?" },
      options: [
        { id: "A", text: { en: "Infrastructure encryption", de: "Infrastrukturverschlüsselung" } },
        { id: "B", text: { en: "Azure Front Door caching", de: "Azure Front Door Caching" } },
        { id: "C", text: { en: "Shared Access Signatures", de: "Shared Access Signatures" } },
        { id: "D", text: { en: "Storage lifecycle management", de: "Storage-Lebenszyklusverwaltung" } }
      ],
      correct: ["A"],
      explanation: { en: "Infrastructure encryption adds another encryption layer at rest on top of standard service-side encryption for storage scenarios that require additional protection depth. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Infrastrukturverschlüsselung fügt ruhenden Daten eine weitere Verschlüsselungsebene zusätzlich zur standardmäßigen serverseitigen Verschlüsselung hinzu, wenn Speicherszenarien zusätzliche Schutztiefe erfordern. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for the answer that adds a second encryption layer, not just access control.", de: "Suchen Sie nach der Antwort, die eine zweite Verschlüsselungsebene hinzufügt und nicht nur Zugriff steuert." },
      reference: "https://learn.microsoft.com/en-us/azure/storage/common/storage-service-encryption"
    },
    {
      id: "sc100-109",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which TWO controls should you place in front of internet-facing APIs?", de: "Welche ZWEI Kontrollen sollten Sie vor internetseitige APIs stellen?" },
      options: [
        { id: "A", text: { en: "Azure API Management policies for authentication, throttling, and validation", de: "Azure-API-Management-Richtlinien für Authentifizierung, Drosselung und Validierung" } },
        { id: "B", text: { en: "A Web Application Firewall to inspect HTTP traffic", de: "Eine Web Application Firewall zur Prüfung des HTTP-Datenverkehrs" } },
        { id: "C", text: { en: "Anonymous direct backend exposure", de: "Anonyme direkte Backend-Exponierung" } },
        { id: "D", text: { en: "A shared administrator token stored in client code", de: "Ein gemeinsam genutztes Administratortoken im Client-Code" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "API Management and WAF provide complementary protections: gateway policy control for API behavior and traffic inspection for web-based threats. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "API Management und WAF bieten komplementäre Schutzmaßnahmen: Gateway-Richtlinienkontrolle für API-Verhalten und Verkehrsprüfung für webbasierte Bedrohungen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer for API gateway control and one for traffic inspection.", de: "Wählen Sie eine Antwort für API-Gateway-Kontrolle und eine für Verkehrsprüfung." },
      reference: "https://learn.microsoft.com/en-us/azure/api-management/api-management-key-concepts"
    },
    {
      id: "sc100-110",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Contoso, Ltd., a Synapse-based analytics platform consumes data from several business units. Architects need governed discovery, lineage, and classification before data is shared to downstream analysts.", de: "Bei Contoso, Ltd. nutzt eine Synapse-basierte Analyseplattform verarbeitet Daten aus mehreren Geschäftsbereichen. Architekten benötigen governte Auffindbarkeit, Lineage und Klassifizierung, bevor Daten an nachgelagerte Analysten weitergegeben werden." },
      question: { en: "Which design is best?", de: "Welches Design ist am besten?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Purview for data map, lineage, and classification integrated with the analytics estate", de: "Microsoft Purview für Data Map, Lineage und Klassifizierung integriert mit der Analyseumgebung verwenden" } },
        { id: "B", text: { en: "Share datasets by email and let analysts document lineage manually", de: "Datensätze per E-Mail teilen und Analysten die Lineage manuell dokumentieren lassen" } },
        { id: "C", text: { en: "Create one SQL login for every analyst across all business units", de: "Eine SQL-Anmeldung für jeden Analysten über alle Geschäftsbereiche hinweg erstellen" } },
        { id: "D", text: { en: "Disable metadata scanning to reduce catalog noise", de: "Metadatenscans deaktivieren, um Katalograuschen zu reduzieren" } }
      ],
      correct: ["A"],
      explanation: { en: "Purview is designed to provide governed data discovery and lineage, which are essential when data sharing spans many teams and analytical workloads. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Purview wurde entwickelt, um governte Datenerkennung und Lineage bereitzustellen, was essenziell ist, wenn die Datenfreigabe viele Teams und analytische Workloads umfasst. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the platform built for governed data sharing across analytical estates.", de: "Wählen Sie die Plattform, die für governte Datenfreigabe über Analyseumgebungen hinweg entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/purview/data-map"
    },
    {
      id: "sc100-111",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Microsoft product helps discover unsanctioned SaaS usage and apply session controls to cloud applications?", de: "Welches Microsoft-Produkt hilft dabei, nicht genehmigte SaaS-Nutzung zu erkennen und Sitzungskontrollen für Cloudanwendungen anzuwenden?" },
      options: [
        { id: "A", text: { en: "Microsoft Defender for Cloud Apps", de: "Microsoft Defender for Cloud Apps" } },
        { id: "B", text: { en: "Microsoft Purview eDiscovery", de: "Microsoft Purview eDiscovery" } },
        { id: "C", text: { en: "Azure Update Manager", de: "Azure Update Manager" } },
        { id: "D", text: { en: "Azure Load Balancer", de: "Azure Load Balancer" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Cloud Apps is the Microsoft CASB platform for cloud discovery, session control, and SaaS governance use cases. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Defender for Cloud Apps ist die Microsoft-CASB-Plattform für Cloud Discovery, Sitzungskontrolle und SaaS-Governance-Szenarien. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the CASB-style service.", de: "Wählen Sie den CASB-ähnlichen Dienst." },
      reference: "https://learn.microsoft.com/en-us/defender-cloud-apps/what-is-defender-for-cloud-apps"
    },
    {
      id: "sc100-112",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: { en: "Litware, Inc. is seeing business email compromise attempts that use impersonation, malicious links, and weaponized attachments against executives.", de: "Litware, Inc. beobachtet Versuche eines Business Email Compromise, die gegen Führungskräfte mittels Identitätsvortäuschung, bösartiger Links und präparierter Anhänge durchgeführt werden." },
      question: { en: "Which Microsoft 365 design should be prioritized?", de: "Welches Microsoft-365-Design sollte priorisiert werden?" },
      options: [
        { id: "A", text: { en: "Deploy Microsoft Defender for Office 365 protection, including impersonation, Safe Links, and Safe Attachments policies", de: "Microsoft Defender for Office 365 bereitstellen, einschließlich Richtlinien für Identitätsvortäuschung, Safe Links und Safe Attachments" } },
        { id: "B", text: { en: "Allow all external senders and rely on manual mailbox rules", de: "Alle externen Absender zulassen und sich auf manuelle Postfachregeln verlassen" } },
        { id: "C", text: { en: "Disable attachment scanning to improve mail flow", de: "Anhangsprüfung deaktivieren, um den Mailfluss zu verbessern" } },
        { id: "D", text: { en: "Use only Azure DNS filtering", de: "Nur Azure-DNS-Filterung verwenden" } }
      ],
      correct: ["A"],
      explanation: { en: "Defender for Office 365 is the Microsoft security stack specifically built for email and collaboration threats such as phishing, malicious URLs, and unsafe attachments. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Defender for Office 365 ist der Microsoft-Sicherheitsstack, der speziell für E-Mail- und Kollaborationsbedrohungen wie Phishing, bösartige URLs und unsichere Anhänge entwickelt wurde. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the email-focused protection suite, not generic network controls.", de: "Wählen Sie die E-Mail-spezifische Schutzsuite und nicht generische Netzwerkkontrollen." },
      reference: "https://learn.microsoft.com/en-us/defender-office-365/plan-defender-for-office-365"
    },
    {
      id: "sc100-113",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which storage access design best aligns with least privilege for Azure blobs used by applications?", de: "Welches Speichzugriffsdesign entspricht am besten dem Least-Privilege-Prinzip für Azure-Blobs, die von Anwendungen verwendet werden?" },
      options: [
        { id: "A", text: { en: "Use Microsoft Entra authorization with RBAC and short-lived SAS only when needed", de: "Microsoft-Entra-Autorisierung mit RBAC und kurzlebigen SAS nur bei Bedarf verwenden" } },
        { id: "B", text: { en: "Distribute storage account keys to every developer", de: "Speicherkonto-Schlüssel an alle Entwickler verteilen" } },
        { id: "C", text: { en: "Store one shared access key in source control", de: "Einen gemeinsamen Zugriffsschlüssel in der Quellcodeverwaltung speichern" } },
        { id: "D", text: { en: "Allow anonymous blob access for internal applications", de: "Anonymen Blob-Zugriff für interne Anwendungen zulassen" } }
      ],
      correct: ["A"],
      explanation: { en: "Entra-based authorization with RBAC minimizes standing secrets and aligns blob access with identity-driven least-privilege controls. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Entra-basierte Autorisierung mit RBAC minimiert dauerhafte Geheimnisse und richtet Blob-Zugriff an identitätsgesteuerten Least-Privilege-Kontrollen aus. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Prefer identity-based storage access over shared keys.", de: "Bevorzugen Sie identitätsbasierten Speicherzugriff gegenüber gemeinsam genutzten Schlüsseln." },
      reference: "https://learn.microsoft.com/en-us/azure/storage/common/storage-auth-aad"
    },
    {
      id: "sc100-114",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which TWO technologies best protect highly sensitive columns in Azure SQL Database from theft at rest and from unauthorized viewing by database administrators?", de: "Welche ZWEI Technologien schützen hochsensible Spalten in Azure SQL Database am besten vor Diebstahl ruhender Daten und vor unbefugter Einsicht durch Datenbankadministratoren?" },
      options: [
        { id: "A", text: { en: "Transparent Data Encryption", de: "Transparent Data Encryption" } },
        { id: "B", text: { en: "Always Encrypted", de: "Always Encrypted" } },
        { id: "C", text: { en: "Public endpoint restrictions", de: "Beschränkungen des öffentlichen Endpunkts" } },
        { id: "D", text: { en: "Shared SQL logins", de: "Gemeinsam genutzte SQL-Anmeldungen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Transparent Data Encryption protects data at rest, while Always Encrypted helps keep sensitive data hidden from the database engine and privileged database operators. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Transparent Data Encryption schützt ruhende Daten, während Always Encrypted dazu beiträgt, sensible Daten vor der Datenbank-Engine und privilegierten Datenbankbetreibern zu verbergen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Pick one answer for at-rest protection and one for protecting the most sensitive columns from server-side exposure.", de: "Wählen Sie eine Antwort für den Schutz ruhender Daten und eine für den Schutz der sensibelsten Spalten vor serverseitiger Exponierung." },
      reference: "https://learn.microsoft.com/en-us/azure/azure-sql/database/security-overview"
    },
    {
      id: "sc100-115",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: { en: "At Humongous Insurance, a globally distributed application uses Azure Cosmos DB and several internal APIs. Requirements include private connectivity, service-to-service authentication without keys, and centralized management of secrets and certificates for dependent services.", de: "Bei Humongous Insurance verwendet eine global verteilte Anwendung verwendet Azure Cosmos DB und mehrere interne APIs. Zu den Anforderungen gehören private Konnektivität, Dienst-zu-Dienst-Authentifizierung ohne Schlüssel und zentrale Verwaltung von Geheimnissen und Zertifikaten für abhängige Dienste." },
      question: { en: "Which design best meets these requirements?", de: "Welches Design erfüllt diese Anforderungen am besten?" },
      options: [
        { id: "A", text: { en: "Use private endpoints, managed or workload identities, and Azure Key Vault", de: "Private Endpunkte, verwaltete oder Workload-Identitäten und Azure Key Vault verwenden" } },
        { id: "B", text: { en: "Expose Cosmos DB publicly and store account keys in application settings", de: "Cosmos DB öffentlich bereitstellen und Kontoschlüssel in Anwendungseinstellungen speichern" } },
        { id: "C", text: { en: "Use one shared database password for all microservices", de: "Ein gemeinsames Datenbankkennwort für alle Microservices verwenden" } },
        { id: "D", text: { en: "Rotate certificates by emailing PFX files to each team", de: "Zertifikate rotieren, indem PFX-Dateien per E-Mail an jedes Team gesendet werden" } }
      ],
      correct: ["A"],
      explanation: { en: "Private endpoints reduce exposure, managed identities remove service secrets, and Key Vault centralizes certificate and secret lifecycle management for distributed applications. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Private Endpunkte reduzieren die Exponierung, verwaltete Identitäten beseitigen Dienstgeheimnisse, und Key Vault zentralisiert das Lebenszyklusmanagement von Zertifikaten und Geheimnissen für verteilte Anwendungen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option that combines private access, secretless auth, and central secret lifecycle.", de: "Wählen Sie die Option, die privaten Zugriff, geheimnisfreie Authentifizierung und zentralen Geheimnislebenszyklus kombiniert." },
      reference: "https://learn.microsoft.com/en-us/azure/cosmos-db/database-security"
    },
    {
      id: "sc100-116",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which Azure API Management policy capability is most useful when you must validate bearer tokens before requests reach the backend API?", de: "Welche Richtlinienfunktion von Azure API Management ist am nützlichsten, wenn Bearer-Token validiert werden müssen, bevor Anforderungen das Backend-API erreichen?" },
      options: [
        { id: "A", text: { en: "The validate-jwt inbound policy", de: "Die eingehende Richtlinie validate-jwt" } },
        { id: "B", text: { en: "A diagnostic trace export", de: "Ein Export von Diagnoseablaufverfolgungen" } },
        { id: "C", text: { en: "A product subscription email notification", de: "Eine E-Mail-Benachrichtigung für Produktabonnements" } },
        { id: "D", text: { en: "A cost analysis report", de: "Ein Kostenanalysebericht" } }
      ],
      correct: ["A"],
      explanation: { en: "The validate-jwt policy is specifically intended to enforce token checks at the gateway before the backend processes the request. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Die Richtlinie validate-jwt ist speziell dafür vorgesehen, Tokenprüfungen am Gateway durchzusetzen, bevor das Backend die Anforderung verarbeitet. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the policy that enforces identity checks inline at the gateway.", de: "Wählen Sie die Richtlinie, die Identitätsprüfungen inline am Gateway durchsetzt." },
      reference: "https://learn.microsoft.com/en-us/azure/api-management/validate-jwt-policy"
    },
    {
      id: "sc100-117",
      type: "scenario",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: { en: "Employees at Woodgrove Bank use personal iOS and Android devices to read corporate email and Teams messages. The organization wants corporate data to stay inside approved apps without requiring full device enrollment.", de: "Mitarbeiter bei Woodgrove Bank verwenden persönliche iOS- und Android-Geräte, um Unternehmens-E-Mails und Teams-Nachrichten zu lesen. Die Organisation möchte, dass Unternehmensdaten in genehmigten Apps bleiben, ohne eine vollständige Geräteverwaltung zu verlangen." },
      question: { en: "Which design should architects recommend?", de: "Welches Design sollten Architekten empfehlen?" },
      options: [
        { id: "A", text: { en: "Use Intune App Protection Policies with Conditional Access for approved apps", de: "Intune-App-Schutzrichtlinien mit Conditional Access für genehmigte Apps verwenden" } },
        { id: "B", text: { en: "Require users to forward all mail to personal accounts", de: "Benutzer verpflichten, alle E-Mails an private Konten weiterzuleiten" } },
        { id: "C", text: { en: "Allow copy and paste to any app on the device", de: "Kopieren und Einfügen in jede App auf dem Gerät zulassen" } },
        { id: "D", text: { en: "Store corporate attachments in the default personal gallery", de: "Unternehmensanhänge in der standardmäßigen persönlichen Galerie speichern" } }
      ],
      correct: ["A"],
      explanation: { en: "App Protection Policies are designed for BYOD scenarios where corporate data must be controlled within managed application boundaries instead of at full device scope. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "App-Schutzrichtlinien wurden für BYOD-Szenarien entwickelt, in denen Unternehmensdaten innerhalb verwalteter Anwendungsgrenzen und nicht im vollen Gerätescope kontrolliert werden müssen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the option built for MAM without enrollment.", de: "Wählen Sie die Option, die für MAM ohne Enrollment entwickelt wurde." },
      reference: "https://learn.microsoft.com/en-us/mem/intune/apps/app-protection-policy"
    },
    {
      id: "sc100-118",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "easy",
      scenario: null,
      question: { en: "Which Microsoft Purview capability is best when records must be retained for a defined period and then dispositioned under governance controls?", de: "Welche Microsoft-Purview-Funktion eignet sich am besten, wenn Datensätze für einen definierten Zeitraum aufbewahrt und anschließend unter Governance-Kontrollen ausgesteuert werden müssen?" },
      options: [
        { id: "A", text: { en: "Retention labels and retention policies", de: "Aufbewahrungsbezeichnungen und Aufbewahrungsrichtlinien" } },
        { id: "B", text: { en: "Network security groups", de: "Netzwerksicherheitsgruppen" } },
        { id: "C", text: { en: "Azure Route Tables", de: "Azure-Routentabellen" } },
        { id: "D", text: { en: "DDoS Protection plans", de: "DDoS-Protection-Pläne" } }
      ],
      correct: ["A"],
      explanation: { en: "Retention labels and policies are the Purview mechanisms used to keep or delete content according to records management and governance requirements. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Aufbewahrungsbezeichnungen und -richtlinien sind die Purview-Mechanismen, mit denen Inhalte entsprechend Records-Management- und Governance-Anforderungen aufbewahrt oder gelöscht werden. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose the Purview feature for lifecycle retention and disposition.", de: "Wählen Sie die Purview-Funktion für Lebenszyklusaufbewahrung und Aussteuerung." },
      reference: "https://learn.microsoft.com/en-us/purview/retention"
    },
    {
      id: "sc100-119",
      type: "multiple",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "hard",
      scenario: null,
      question: { en: "Which TWO design choices best reduce data exfiltration risk from Azure SQL Database and Azure Storage accounts?", de: "Welche ZWEI Designentscheidungen reduzieren das Risiko des Datenabflusses aus Azure SQL Database und Azure Storage-Konten am besten?" },
      options: [
        { id: "A", text: { en: "Use private endpoints and disable unnecessary public network access", de: "Private Endpunkte verwenden und unnötigen öffentlichen Netzwerkzugriff deaktivieren" } },
        { id: "B", text: { en: "Enable Defender for Storage and Defender for Databases to detect suspicious access behavior", de: "Defender for Storage und Defender for Databases aktivieren, um verdächtiges Zugriffsverhalten zu erkennen" } },
        { id: "C", text: { en: "Distribute shared keys broadly to application teams", de: "Gemeinsam genutzte Schlüssel breit an Anwendungsteams verteilen" } },
        { id: "D", text: { en: "Allow permanent access from any corporate IP range regardless of need", de: "Dauerhaften Zugriff aus allen Unternehmens-IP-Bereichen unabhängig vom Bedarf zulassen" } }
      ],
      correct: ["A", "B"],
      explanation: { en: "Private connectivity limits exposure, while Defender services add detection and alerting for suspicious data access patterns that indicate exfiltration attempts. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Private Konnektivität begrenzt die Exponierung, während Defender-Dienste Erkennung und Warnungen für verdächtige Datenzugriffsmuster hinzufügen, die auf Exfiltrationsversuche hindeuten. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Choose one answer that narrows exposure and one that improves detection.", de: "Wählen Sie eine Antwort, die die Exponierung reduziert, und eine, die die Erkennung verbessert." },
      reference: "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-sql-introduction"
    },
    {
      id: "sc100-120",
      type: "single",
      domain: { en: "Design Security for Applications and Data", de: "Sicherheit für Anwendungen und Daten entwerfen" },
      difficulty: "medium",
      scenario: null,
      question: { en: "Which combination best supports secure modernization of a business-critical application portfolio?", de: "Welche Kombination unterstützt die sichere Modernisierung eines geschäftskritischen Anwendungsportfolios am besten?" },
      options: [
        { id: "A", text: { en: "Threat model critical applications, enforce code and dependency scanning in CI/CD, and use managed identities plus Key Vault at runtime", de: "Kritische Anwendungen bedrohungsmodellieren, Code- und Abhängigkeitsprüfungen in CI/CD erzwingen und zur Laufzeit verwaltete Identitäten plus Key Vault verwenden" } },
        { id: "B", text: { en: "Migrate code first and plan security after production cutover", de: "Code zuerst migrieren und Sicherheit erst nach dem Produktivschwenk planen" } },
        { id: "C", text: { en: "Standardize on shared service passwords to simplify integration", de: "Zur Vereinfachung der Integration gemeinsam genutzte Dienstkennwörter standardisieren" } },
        { id: "D", text: { en: "Allow each team to choose its own approach without central guardrails", de: "Jedem Team erlauben, ohne zentrale Leitplanken seinen eigenen Ansatz zu wählen" } }
      ],
      correct: ["A"],
      explanation: { en: "Secure modernization combines design-time risk analysis, developer workflow controls, and secretless runtime patterns so applications improve rather than inherit old weaknesses. The other options either miss a stated requirement, leave unnecessary exposure, or don't provide the needed security capability at the required scope.", de: "Sichere Modernisierung kombiniert Design-Risikoanalyse, Kontrollen im Entwicklerworkflow und geheimnisfreie Laufzeitmuster, sodass Anwendungen sich verbessern statt alte Schwächen zu übernehmen. Die anderen Optionen verfehlen entweder eine genannte Anforderung, lassen unnötige Angriffsfläche bestehen oder liefern die benötigte Sicherheitsfunktion nicht im erforderlichen Umfang." },
      hint: { en: "Look for the option that covers design, build, and runtime together.", de: "Suchen Sie nach der Option, die Design, Build und Laufzeit gemeinsam abdeckt." },
      reference: "https://learn.microsoft.com/en-us/azure/architecture/solution-ideas/articles/devsecops-in-github"
    }
  ]
};
