Wenn du schon länger mit AZ-500 liebäugelst, wird die Uhr jetzt ernst.
Die Prüfung läuft am 31. August 2026 um 23:59 Uhr Central Standard Time ab. Danach kannst du die Zertifizierung Azure Security Engineer Associate weder neu erwerben noch verlängern. Der Nachfolger ist schon verfügbar, hat aber einen Haken, den du kennen solltest, bevor du buchst.
So entscheidest du zwischen beiden.
Was genau abläuft
Das ist ein kompletter Abschied, kein Versionssprung.
AZ-500 ist die Prüfung. „Microsoft Certified: Azure Security Engineer Associate“ ist die Zertifizierung, die du damit bekommst. Beide laufen am 31. August 2026 ab, und die Renewal-Assessments gleich mit. Microsoft Associate-Zertifizierungen verfallen 12 Monate nach dem Bestehen und werden normalerweise über ein kostenloses Online-Assessment verlängert. Läuft dieses Assessment mit der Prüfung aus, schließt sich auch dieser Weg.
Ein Bestehen im August 2026 gibt dir also eine gültige Zertifizierung für 12 Monate ab deinem Prüfungsdatum, ohne Möglichkeit zur Verlängerung danach. Wenn du den Titel Azure Security Engineer fürs nächste Jahr auf dem Papier brauchst, funktioniert das. Wenn du eine Zertifizierung willst, die aktuell bleibt, nicht.
Was SC-500 ist (und der Beta-Haken)
Der Nachfolger ist die Prüfung SC-500, „Implementing End-to-End Security Controls for Cloud and AI Workloads“. Wer sie besteht, bekommt „Microsoft Certified: Cloud and AI Security Engineer Associate“.
Das ist kein umbenanntes AZ-500. Die Rolle ist breiter: Azure plus Microsoft 365, dazu eine ganze Domäne zum Absichern von KI-Workloads. Die Bestehensgrenze liegt bei 700, genau wie bei AZ-500, und du hast 120 Minuten statt der 100 bei AZ-500.
Der Haken: Stand Mitte Juli 2026 ist SC-500 noch eine Beta-Prüfung. Das heißt dreierlei. Du bekommst dein Ergebnis nicht direkt nach dem Abgeben, weil Microsoft die Fragen noch kalibriert. Die Prüfung gibt es vorerst nur auf Englisch. Und es existiert noch kein offizielles Practice Assessment, weil diese meist erst rund acht Wochen nach dem Ende der Beta erscheinen. Wenn du schnell ein Ergebnis brauchst, ist die Beta ein echter Faktor.
Was von AZ-500 übertragbar ist
Der Großteil deiner AZ-500-Lernzeit lässt sich mitnehmen. Die Themen sind nicht verschwunden, sondern in neue Domänen umsortiert.
AZ-500-Domänen (Stand 22. Januar 2026):
| Domäne | Gewichtung |
|---|---|
| Secure identity and access | 15–20 % |
| Secure networking | 20–25 % |
| Secure compute, storage, and databases | 20–25 % |
| Secure Azure using Microsoft Defender for Cloud and Microsoft Sentinel | 30–35 % |
SC-500-Domänen:
| Domäne | Gewichtung |
|---|---|
| Manage identity, access, and governance | 20–25 % |
| Secure storage, databases, and networking | 25–30 % |
| Secure compute | 20–25 % |
| Manage and monitor security posture | 20–25 % |
Bei den Azure-Kernthemen ist die Zuordnung fast eins zu eins:
- Identity und Access (PIM, Conditional Access, MFA, Managed Identities, App Registrations, OAuth-Consent, RBAC-Rollen, Key Vault) wandert in „Manage identity, access, and governance“.
- Networking und Daten (NSGs und ASGs, Virtual Network Manager, Virtual WAN, VPN, Private Endpoints, Private Link, Azure Firewall, Network Watcher, Absicherung von Storage-Konten, Azure-SQL-Auditing, Defender for Storage und Databases) wird zu „Secure storage, databases, and networking“, der jetzt größten SC-500-Domäne.
- Compute-Sicherheit (Disk Encryption, Azure Bastion, Just-in-Time-VM-Zugriff, AKS- und Container-Sicherheit, App Service, Web Application Firewall) sitzt in „Secure compute“.
- Posture mit Defender for Cloud und Sentinel (CSPM, Workload-Protection-Pläne, Multicloud-Connectors für AWS und GCP, EASM, Sentinel-Datenconnectors und Automatisierung) wird zu „Manage and monitor security posture“.
Die größte strukturelle Verschiebung: Bei AZ-500 ist Defender for Cloud und Sentinel ein dominanter Block mit 30–35 %. Bei SC-500 wird dieser Teil auf 20–25 % gekürzt, um Platz für das neue Material zu schaffen.
Was bei SC-500 neu ist
Drei Bereiche sind wirklich neu, und keiner davon war bei AZ-500 dabei.
KI-Workloads absichern. Das ist die auffälligste Ergänzung, eingebettet in die Domäne „Secure compute“. Es geht um überexponierte Daten in SharePoint, das Erkennen von Copilot- und KI-App-Risiken mit Microsoft Purview Data Security Posture Management, den Schutz von Copilot-Studio-Agents, Conditional Access für Microsoft Entra Agent ID, die Blast-Radius-Analyse eines Agents in Defender XDR, das Bereitstellen eines AI Gateway in API Management für Microsoft Foundry, das Aktivieren von Defender for AI und das Setzen von Guardrails in Foundry. Wenn dein Job noch keine KI berührt, geht hier die meiste neue Lernzeit rein.
Microsoft Security Copilot. SC-500 erwartet, dass du Security-Copilot-Workspaces konfigurierst, dessen Rollen und Berechtigungen verwaltest und Plugins und Agents aktivierst. Bei AZ-500 gab es nichts davon.
Ein Microsoft-365-Fußabdruck. AZ-500 spielte fast komplett in Azure. SC-500 zieht Purview, SharePoint-Datenexposition und das Verwalten von Agents über das Microsoft 365 Admin Center hinein. Zu den genannten Voraussetzungen gehört jetzt Vertrautheit mit der Microsoft-365-Administration, zusätzlich zur Azure- und Entra-ID-Erfahrung, die AZ-500 schon vorausgesetzt hat. Auch Azure Arc für Hybrid- und Multicloud-Server und Microsoft Entra Private Access tauchen als neue Themen auf.
Mach AZ-500 vor dem 31. August, wenn…
Du schon tief in der Vorbereitung steckst. Wenn du seit Wochen lernst und bei Übungsfragen im Zielbereich liegst, buche jetzt. Bei einer breiteren Prüfung mit einer KI-Domäne, die du noch nie angefasst hast, neu anzufangen, ist bei so knapper Deadline kein guter Tausch.
Du speziell den Titel Azure Security Engineer brauchst. Manche Partneranforderungen und internen Frameworks nennen genau diese Zertifizierung. Sie jetzt zu erwerben, gibt dir ein Jahr Gültigkeit, auch wenn sie nicht verlängerbar ist.
Du schnell ein bewertetes Ergebnis willst. AZ-500 wird sofort bewertet. SC-500 in der Beta nicht.
Ziele direkt auf SC-500, wenn…
Du noch nicht angefangen hast. Sprinte nicht auf eine Zertifizierung zu, die sich nicht verlängern lässt. SC-500 ist die Richtung, in die Microsoft diese Rolle nimmt.
Du schon mit KI-Sicherheit, Purview oder Microsoft 365 arbeitest. Die neuen Domänen decken sich mit dem, was du wahrscheinlich ohnehin tust. Diese Praxiserfahrung ist dein Lernmaterial, und genau dieser Teil bringt reine Azure-Leute bei SC-500 ins Straucheln.
Du die Beta aussitzen kannst. Wenn du nicht diesen Monat ein Ergebnis brauchst, ist das Beta-Fenster in Ordnung. Du machst die Prüfung jetzt, und das Ergebnis kommt, sobald Microsoft mit der Kalibrierung fertig ist.
Kurzübersicht
| Detail | AZ-500 | SC-500 |
|---|---|---|
| Zertifizierung | Azure Security Engineer Associate | Cloud and AI Security Engineer Associate |
| Status | Läuft am 31. August 2026 ab | Verfügbar, aktuell Beta |
| Dauer | 100 Minuten | 120 Minuten |
| Bestehensgrenze | 700 | 700 |
| Sprachen | 10 Sprachen | Nur Englisch (Beta) |
| KI-Sicherheitsinhalte | Nein | Ja |
| Microsoft-365-Umfang | Minimal | Ja |
| Nach Ablauf verlängerbar | Nein | Ja |
Ehrlich gesagt: Wenn du bereit bist, mach AZ-500 diesen Monat und sichere dir die Zertifizierung. Wenn du bei null anfängst oder deine Arbeit schon KI- und Microsoft-365-Sicherheit umfasst, lass sie aus und bereite dich auf SC-500 vor. Plane nur die Verzögerung bei der Beta-Bewertung ein.
Pass-IT hat Übungsfragen für AZ-500 und SC-500, erzeugt aus Microsofts offizieller Dokumentation und mit Tracking pro Domäne, damit du vor der Deadline genau siehst, welche Bereiche noch Arbeit brauchen. Kostenlos zum Starten, keine Karte für deine erste Session.
