AWS Security - Specialty (SCS-C03) — Übungsfragen und Probeprüfung

Die AWS Certified Security – Specialty weist fortgeschrittene Kenntnisse darin nach, Workloads und Architekturen auf AWS abzusichern. Sie deckt Threat Detection und Incident Response ab, dazu Infrastruktursicherheit, Identity and Access Management, Datenschutz und Security Governance. Du musst zeigen, dass du sicher mit GuardDuty, Security Hub, AWS KMS und IAM Access Analyzer umgehst, um Bedrohungen zu erkennen, Daten zu verschlüsseln und das Least-Privilege-Prinzip durchzusetzen.

Gedacht ist die Zertifizierung für Security Engineers, Architects und Analysts mit etwa drei bis fünf Jahren Erfahrung in der Absicherung von Cloud-Lösungen. Sie belegt, dass du Sicherheitslösungen entwerfen und umsetzen, auf Sicherheitsvorfälle reagieren und in komplexen AWS-Umgebungen die Compliance sicherstellen kannst.

Identity and Access Management steht mit 20 % an der Spitze und deckt das Authentifizierungsdesign für Menschen, Anwendungen und Systeme ab, dazu die attribut- und rollenbasierten Autorisierungsstrategien, die darauf aufbauen. Infrastructure Security und Data Protection teilen sich mit je 18 % den zweiten Platz: Der eine Bereich härtet den Netzwerkrand und die Compute-Ebene, der andere behandelt Verschlüsselung bei der Übertragung und im Ruhezustand samt der Secrets und kryptografischen Keys, die sie absichern.

Detection kommt auf 16 % und prüft Monitoring, Alerting und Logging-Design über ein Konto oder eine ganze Organisation hinweg. Security Foundations and Governance sowie Incident Response teilen sich die restlichen Prozente mit je 14 %: Der eine Bereich behandelt Multi-Account-Strukturen und kontinuierliche Compliance-Prüfung, der andere die Runbooks und die forensische Reaktion, die eine Organisation braucht, sobald eine Erkennung anschlägt. Keine einzelne Domain dominiert diese Prüfung so, wie das auf Associate-Level vorkommen kann. Sechs Domains in einem engen Band von 14 bis 20 % heißt: Jeder Bereich der AWS-Security muss sitzen.

Die Prüfung zieht 65 Fragen (50 gewertet, 15 ungewertet) aus einer Mischung von Multiple-Choice, Multiple-Response, Sortier- und Zuordnungsformaten und gibt dir dafür 170 Minuten. Die Fragen zeichnen komplexe Sicherheitsszenarien: Du musst die Bedrohung erkennen, das passende Control auswählen und dich durch eine Defense-in-Depth-Architektur denken, statt die Feature-Liste eines einzelnen Service abzurufen. Bei rund 2,6 Minuten pro Frage zeigt die großzügig bemessene Zeit vor allem, wie viel Lesearbeit in jedem Szenario steckt.

Der SCS-C03-Pool deckt jede Domain ab und wird laufend um neue Fragen erweitert. Eine Probeprüfung stellt dir 65 Fragen am Stück, mit derselben 170-Minuten-Uhr wie am Prüfungstag.

Wie lange du brauchst, hängt davon ab, wie viel Praxiserfahrung du mitbringst. Den Rest legt der Anbieter fest: wie die Prüfung abläuft, wie schnell du wiederholen darfst und wie lange das Zertifikat gültig bleibt.

Die Prüfung läuft über Pearson VUE, entweder in einem Testzentrum oder online mit Remote-Proctor, und wird auf Englisch, Japanisch, Koreanisch, Portugiesisch (Brasilien), Spanisch (Lateinamerika) und vereinfachtem Chinesisch angeboten. Die Zertifizierung gilt 3 Jahre. Zum Verlängern bestehst du vor Ablauf eine Rezertifizierungsprüfung, oder du machst eine höherwertige AWS-Zertifizierung, die sie automatisch erneuert.

Die KMS-Mechanik (Key Policies, Grants, CMK-Rotation, kontenübergreifendes Key-Sharing, Envelope Encryption) wird so tief abgefragt, dass oberflächliche Vertrautheit nicht reicht, und die Logik der IAM-Policy-Auswertung, inklusive expliziter Denies, Permission Boundaries, SCPs und dem Zusammenspiel von ressourcen- und identitätsbasierten Policies, ist eine wiederkehrende Quelle falscher Antworten. GuardDuty, Inspector, Macie, Security Hub und Detective decken unterschiedliche Bedrohungstypen ab; wer verwechselt, welcher Service wofür zuständig ist, greift schnell zu einer plausibel klingenden falschen Antwort. Dasselbe gilt für Security Groups, NACLs, WAF-Regeln, Shield und Network Firewall, die auf verschiedenen Ebenen des Netzwerkschutzes arbeiten.