EnglishDeutschFrançaisEspañolPortuguês

AWS · SCS-C03 · Fortgeschritten

AWS Security - Specialty (SCS-C03) — Übungsfragen und Probeprüfung

Die AWS Certified Security – Specialty weist fortgeschrittene Kenntnisse darin nach, Workloads und Architekturen auf AWS abzusichern.

Kostenlos übenErst eine Probefrage ansehen
Erst eine Probefrage ansehenKostenlos üben
Kostenlos für SCS-C03 übenSCS-C03-Zugang für 29,99 USD kaufen
65Fragen pro Pass-IT-Probeprüfung
170minZeitlimit der Pass-IT-Probeprüfung

Offizielle SCS-C03-Prüfung: 750 von 1000 Punkten zum Bestehen.

Mit Angaben von AWS abgeglichen · September 2026 · Aktuelle Prüfungsversion

Pass-IT ausprobieren

Probiere aus, wie du mit Pass-IT lernst.

Beantworte eine SCS-C03-Probefrage und sieh dir die Erklärung mit Quellenverweis an. Direkt hier, ohne Anmeldung.

Infrastruktursicherheit1 / 5

Ein Unternehmen migriert seine On-Premises-Webanwendung zu AWS. Die Anwendung muss gegen die OWASP-Top-10-Bedrohungen geschützt werden, einschließlich SQL Injection und Cross-Site Scripting (XSS). Das Security-Team möchte eine Managed-Lösung, die nur minimale Pflege der Regeln erfordert. Welcher Ansatz bietet den BESTEN Schutz bei GERINGSTEM Betriebsaufwand?

AlexGanze Erklärung von Alex

AWS WAF mit Managed Rules liefert vorkonfigurierte Regelsätze, die mit minimalem Pflegeaufwand vor den OWASP-Top-10-Bedrohungen schützen. Das Core Rule Set (CRS) deckt allgemeine Web-Schwachstellen ab, darunter XSS und Local File Inclusion, während die SQL Database Rule Group gezielt SQL-Injection-Angriffe blockiert. Wird WAF an den ALB angehängt, wird der HTTP-Traffic geprüft, bevor er die Anwendung erreicht. Network Firewall arbeitet auf den Schichten 3-4 mit Suricata-Regeln – wirksam, aber die eigenen Regeln müssen gepflegt werden, was den Betriebsaufwand erhöht. CloudFront mit OAC steuert den Zugriff auf den Origin, prüft aber keine Request-Payloads auf Injection-Angriffe. Eine WAF eines Drittanbieters auf EC2 erfordert Bereitstellung, Patching und Regelverwaltung – der höchste Betriebsaufwand. Kernkonzept: WAF Managed Rules werden von AWS gepflegt, automatisch aktualisiert und sind speziell für den OWASP-Schutz gebaut (docs.aws.amazon.com/waf/latest/developerguide/aws-managed-rule-groups-list.html).

Quelledocs.aws.amazon.com

Datenschutz2 / 5

Die Sicherheitsrichtlinie eines Unternehmens verlangt, dass alle AWS KMS Encryption Keys für Produktionsdaten in Hardware Security Modules (HSMs) gespeichert werden, die das Unternehmen physisch kontrolliert – bei gleichzeitiger Nutzung der KMS-API für Verschlüsselungsoperationen. Welche Option für einen KMS Key Store erfüllt diese Anforderung?

AlexGanze Erklärung von Alex

Mit KMS External Key Stores (XKS) nutzt du die KMS-API und behältst die Encryption Keys trotzdem in HSMs, die du außerhalb von AWS physisch kontrollierst. XKS leitet kryptografische Operationen über einen XKS-Proxy-Endpoint an deinen externen Key Manager weiter und erfüllt so regulatorische Anforderungen an die physische Verwahrung von Schlüsseln. Importiertes Schlüsselmaterial wird nach dem Import in den HSMs von AWS KMS gespeichert – während der Operationen behältst du keine physische Kontrolle. Ein CloudHSM Key Store nutzt AWS CloudHSM Cluster, die in AWS-Rechenzentren gehostet werden – du verwaltest die HSMs, kontrollierst die Hardware aber nicht physisch. AWS Managed Keys werden vollständig von AWS kontrolliert, ohne Kundenzugriff auf das Schlüsselmaterial. Entscheidender Unterschied: Nur XKS bietet die KMS-API und hält das Schlüsselmaterial dabei vollständig außerhalb der AWS-Infrastruktur unter deiner physischen Kontrolle (docs.aws.amazon.com/kms/latest/developerguide/concepts.html).

Quelledocs.aws.amazon.com

Identitäts- und Zugriffsverwaltung3 / 5

Eine Organisation nutzt AWS IAM Identity Center (Nachfolger von AWS SSO), um Mitarbeitenden Zugriff auf mehrere AWS-Konten zu geben. Welches Authentifizierungsprotokoll verwendet IAM Identity Center für die Föderation mit externen Identity Providern?

AlexGanze Erklärung von Alex

SAML 2.0 ist richtig. IAM Identity Center verwendet SAML-2.0-Assertions für die Föderation mit externen IdPs wie Okta, Azure AD und Ping Identity. Zusätzlich unterstützt es SCIM für die automatische Bereitstellung von Benutzern und Gruppen. Warum nicht die anderen: LDAP – ein Verzeichniszugriffsprotokoll, kein Föderationsprotokoll; Identity Center kann LDAP-basierte Verzeichnisse nutzen, föderiert aber über SAML. OAuth 2.0 – ein Autorisierungs-Framework für die Delegation von API-Zugriffen, keine Föderation für Workforce-SSO. Kerberos – ein Netzwerk-Authentifizierungsprotokoll für On-Premises-Umgebungen, das nicht für Cloud-SSO-Föderation genutzt wird.

Quelledocs.aws.amazon.com

Sicherheitsgrundlagen und Governance4 / 5

Ein Netzwerkkonto besitzt ein Transit Gateway, an das sich 150 Workload-Konten derselben Organisation anbinden müssen. Derzeit teilt das Netzwerkteam das Transit Gateway über AWS RAM, indem es Konto-IDs auflistet, und jedes Workload-Konto muss eine Einladung annehmen, bevor es sich anbinden kann. Das Team möchte, dass Konten in der Organisation ohne Einladungen und ohne kontobezogene Listen Zugriff erhalten. Was sollte das Netzwerkteam tun?

AlexGanze Erklärung von Alex

Mit AWS RAM kann ein Ressourcenbesitzer unterstützte Ressourcen wie Transit Gateways mit anderen Konten teilen. Um innerhalb einer Organisation zu teilen, ohne jedes Konto aufzulisten, aktivierst du zuerst in AWS RAM die gemeinsame Nutzung mit AWS Organizations und teilst die Ressource dann mit der gesamten Organisation oder mit bestimmten OUs. AWS RAM sendet Principals in der Organisation in diesem Fall keine Einladungen, und Konten, die der OU später beitreten, erhalten automatisch Zugriff. Transit Gateways verwenden für Attachment-Berechtigungen keine ressourcenbasierten Richtlinien, daher funktioniert die gemeinsame Nutzung nicht über eine Richtlinie, die auf die Organisations-ID abstellt. Ein eigenes Transit Gateway pro Konto vervielfacht Kosten und Routing-Aufwand. Eine kontoübergreifende IAM-Rolle würde Workload-Teams erlauben, innerhalb des Netzwerkkontos zu handeln, und erweitert ihren Zugriff unnötig. Prüfungstipp: Organisationsweites Teilen ohne Einladungen bedeutet AWS RAM mit aktivierter gemeinsamer Nutzung für Organizations.

Quelledocs.aws.amazon.com

* Die Fragen in der App sind derzeit auf Englisch. Übersetzungen in dieser Vorschau gelten nur für die Vorschau. Welche Sprachen für die offizielle Prüfung verfügbar sind, erfährst du beim Prüfungsanbieter.

So bereitest du dich mit Pass-IT auf SCS-C03 vor.

Aktuell 340 Übungsfragen für SCS-C03, und wir ergänzen laufend neue. Übe gezielt, was dir noch fehlt.

Komm bei schwierigen Fragen weiter.

Verstehe, warum eine Antwort richtig ist. Alex erklärt dir die Zusammenhänge und beantwortet deine Rückfragen, damit du das Gelernte bei der nächsten Aufgabe anwenden kannst.

Alex kennenlernen →

Dialog-Vorschau · SCS-C03

Schlüssel außerhalb von AWS

  1. Du

    Können Schlüssel auf eigener Hardware bleiben und KMS nutzen?

  2. Alex · KI-Tutor

    Ein externer Schlüsselspeicher verbindet KMS über einen XKS-Proxy mit eurem externen Schlüsselmanager.

    In der Dokumentation nachlesen ↗
  3. Du

    Betreibt AWS diese externe Hardware?

  4. Alex · KI-Tutor

    Eure Organisation betreibt das externe System und verantwortet seine Verfügbarkeit und dauerhafte Schlüsselaufbewahrung.

    In der Dokumentation nachlesen ↗

Setze deine Lernzeit gezielt ein.

Üben auf deinem Niveau.
Für neue Übungsrunden passt Pass-IT die Schwierigkeit an deine bisherigen Antworten an.

Aus Fehlern lernen.
Falsche Antworten werden automatisch zu Lernkarten. Du bewertest beim Wiederholen, wie sicher du dich erinnerst; Pass-IT plant den nächsten Termin.

So lernst du gezielt weiter →

Animierte Funktionsvorschau

Damit aus deinen Fehlern sicheres Wissen wird.

So funktioniert Pass-IT

Deine Wiederholung

Eine Frage falsch beantwortet?

Pass-IT merkt sie sich für deine Wiederholung.

SCS-C03 · Frageauszug

Schlüssel außerhalb von AWS

Vollständige Frage ansehen

Die Sicherheitsrichtlinie eines Unternehmens verlangt, dass alle AWS KMS Encryption Keys für Produktionsdaten in Hardware Security Modules (HSMs) gespeichert werden, die das Unternehmen physisch kontrolliert – bei gleichzeitiger Nutzung der KMS-API für Verschlüsselungsoperationen. Welche Option für einen KMS Key Store erfüllt diese Anforderung?

Verstehe die richtige Antwort.

AWS KMS mit einem External Key Store (XKS)

Ein externer Schlüsselspeicher hält das externe Schlüsselmaterial außerhalb von AWS.

In der Dokumentation nachlesen ↗

Wie sicher erinnerst du dich?

Beim Wiederholen schätzt du ein, wie gut du die Antwort noch weißt.

Richtig nach Zögern

Pass-IT plant deine nächste Wiederholung.

Der Termin richtet sich nach deiner Einschätzung und bisherigen Wiederholungen.

Ablauf vereinfacht dargestellt. Es wird kein Lernstand gespeichert.

Trainiere für den Moment, in dem es zählt.

Bearbeite eine vollständige Probeprüfung mit Zeitlimit und finde heraus, ob du mit deiner Zeit auskommst.

Deine SCS-C03-Probeprüfung

Fragen
65
Minuten
170

Schematischer Prüfungsdurchlauf

  1. Start
  2. Aufgaben bearbeiten
  3. Abschluss

Umfang und Zeitlimit der Pass-IT-Probeprüfung.

Geh mit mehr Sicherheit in die Prüfung.

Dein Readiness Score hilft dir einzuschätzen, ob du bereit für die Prüfung bist. Die Ergebnisse je Prüfungsbereich zeigen dir, wo du noch üben solltest.

Geld zurück, wenn du trotz 80 % Readiness nicht bestehst.
Wenn dein Readiness Score zum Prüfungstermin mindestens 80 % beträgt und du die Prüfung trotzdem nicht bestehst, erstatten wir dir den Pass-IT-Kaufpreis dieser Zertifizierung.

Für aktive, bezahlte Zugänge. Nachweis des Nichtbestehens innerhalb von 14 Tagen einreichen.

Weitere Garantiebedingungen

Zum Prüfungstermin brauchst du mindestens 80 % Readiness und einen aktiven, bezahlten Zugang zur Zertifizierung. Lege die Prüfung innerhalb deines Zugangszeitraums ab und reiche den offiziellen Nachweis des Nichtbestehens innerhalb von 14 Tagen nach der Prüfung ein.

Bei Käufen über Apple oder Google erfolgt die Erstattung über den jeweiligen Store. Die vollständigen Bedingungen regeln weitere Einzelheiten.

Garantiebedingungen ansehen →

Der Readiness Score beschreibt deinen Übungsstand, keine Bestehenswahrscheinlichkeit.

Garantievoraussetzung

80%

Mindestens 80 % Readiness
zum Prüfungstermin

Geld zurück bei Nichtbestehen

Fragenzahlen und Probeprüfungseinstellungen aus dem aktuellen Pass-IT-Katalog.

Die Prüfungsbereiche

Das übst du für SCS-C03.

Prüfungsinhalte, passende Übungen und nachvollziehbare Quellen.

Bedrohungen erkennen und fehlende Signale untersuchenGewichtung siehe Leitfaden54 FragenPass-IT-Fragen

Baue Überwachung und Protokollierung auf, mit denen du verdächtige Aktivitäten in AWS erkennst.

  • Zustandsprüfungen, Sicherheitsbefunde und Alarme auswählen, die ungewöhnliches Verhalten sichtbar machen, und regelmäßige Prüfungen automatisieren.
  • Geeignete Protokolle erfassen und speichern, anschließend vereinheitlichen und korrelieren, um Aktivitäten über mehrere Dienste hinweg zu untersuchen.
  • Konfigurations- oder Berechtigungsprobleme finden, durch die Überwachung, Protokollierung oder Alarme nicht korrekt berichten.
Offizielle Lernziele
Auf Sicherheitsvorfälle vorbereiten und reagierenGewichtung siehe Leitfaden38 FragenPass-IT-Fragen

Plane, wie du Sicherheitsvorfälle untersuchst, eindämmst und betroffene Dienste wiederherstellst.

  • Reaktionsabläufe dokumentieren und testen, Zugänge und Sicherheitswerkzeuge vorbereiten und geeignete Schritte automatisieren.
  • Forensische Beweise sichern und Befunde verknüpfen, um Umfang, Auswirkungen und Ursache eines Vorfalls zu bestimmen.
  • Betroffene Ressourcen isolieren, Bedrohungen beseitigen und Dienste nach dem Reaktionsplan wiederherstellen.
Offizielle Lernziele
Netzwerke und Workloads schützenGewichtung siehe Leitfaden58 FragenPass-IT-Fragen

Setze Sicherheitskontrollen am Netzwerkrand, in Workloads und zwischen Umgebungen ein.

  • Schutz am Netzwerkrand wie AWS-WAF-Regeln und AWS-Shield-Abwehr gegen erwartete Angriffe konfigurieren und Fehler beheben.
  • Compute-Workloads härten und patchen, Schwachstellen prüfen und administrative Zugriffe absichern, einschließlich Schutzmaßnahmen für generative KI-Anwendungen.
  • Netzwerkverkehr steuern und segmentieren, hybride Verbindungen absichern und unnötige oder blockierte Zugriffe untersuchen.
Offizielle Lernziele
Identitäten und Zugriffe steuernGewichtung siehe Leitfaden67 FragenPass-IT-Fragen

Plane, wie Menschen und Workloads ihre Identität nachweisen und passende Berechtigungen erhalten.

  • Authentifizierung, die Anbindung von Identitätsanbietern und temporäre Anmeldedaten für Menschen, Anwendungen und Systeme konfigurieren und Fehler beheben.
  • Autorisierung nach dem Prinzip der geringsten Rechte mit Rollen, Attributen und IAM-Richtlinien entwerfen, auch für kontoübergreifende Zugriffe.
  • Fehlgeschlagene Autorisierungen und unbeabsichtigte Rechte untersuchen und die verantwortlichen Richtlinien korrigieren.
Offizielle Lernziele
Daten und ihre Schlüssel schützenGewichtung siehe Leitfaden72 FragenPass-IT-Fragen

Wähle Kontrollen für übertragene und gespeicherte Daten sowie die Geheimnisse, die Zugriffe schützen.

  • Verschlüsselung bei der Übertragung erzwingen und private Zugänge sowie verschlüsselte Kommunikation zwischen Ressourcen konfigurieren.
  • Gespeicherte Daten mit geeigneter Verschlüsselung, Integritätskontrollen, Aufbewahrungsregeln und sicheren Backups oder Replikation schützen.
  • Geheimnisse, Schlüssel und Zertifikate verwalten und rotieren, importiertes von AWS-generiertem Schlüsselmaterial unterscheiden und sensible Daten maskieren.
Offizielle Lernziele
Sicherheit über Konten hinweg steuernGewichtung siehe Leitfaden51 FragenPass-IT-Fragen

Verwalte Konten und gemeinsame Sicherheitskontrollen einheitlich und prüfe ihre Regelkonformität.

  • Konten mit AWS Organizations und AWS Control Tower organisieren, Sicherheitsverwaltung zentralisieren und Root-Zugriffe schützen.
  • Sichere Ressourcen mit Infrastructure as Code, zentral durchgesetzten Richtlinien und kontrollierter Ressourcenfreigabe einheitlich bereitstellen.
  • Nicht regelkonforme Ressourcen erkennen und korrigieren, Auditnachweise sammeln und Architekturen anhand bewährter Sicherheitspraktiken bewerten.
Offizielle Lernziele
Diese Aufgabenformate übst du
Multiple Choice
Eine Antwort auswählen.
Mehrfachauswahl
Mehrere passende Antworten auswählen.
Reihenfolge
Schritte in die richtige Reihenfolge bringen.
Zuordnung
Ordne die zusammengehörigen Elemente nach den Vorgaben der Frage einander zu.

Das sind Übungsformate in Pass-IT. Die offiziellen Prüfungsanforderungen findest du unter Offizielle Lernziele.

Häufig gestellte Fragen

Deine Vorbereitung

Wie viel Lernzeit sollte ich für SCS-C03 einplanen?

Für deine Planung rechnet Pass-IT grob mit 40–105 Stunden. Mit einschlägiger Erfahrung eher weniger, beim Einstieg eher mehr. Dein Bedarf kann außerhalb dieser Spanne liegen. Das ist keine Zeitvorgabe von AWS und kein Versprechen, in dieser Zeit prüfungsbereit zu sein.

Pass-IT nutzen

In welcher Sprache sind die Fragen in Pass-IT?

Die Fragen in der App sind derzeit auf Englisch. Übersetzungen der Probefragen auf dieser Seite gelten nur für diese Vorschau. Welche Sprachen für die offizielle Prüfung verfügbar sind, erfährst du bei AWS.

Wie lange gilt mein Zugang für SCS-C03?

Der Zugang gilt für diese Zertifizierung für 12 Monate. Du zahlst einmal; es gibt keine automatische Verlängerung.

Wann greift die Geld-zurück-Garantie?

Die Garantie erstattet den Pass-IT-Kaufpreis dieser Zertifizierung. Voraussetzung sind ein berechtigter kostenpflichtiger Zugang und ein Readiness-Wert von mindestens 80 % aus deinen Übungsergebnissen zum Prüfungszeitpunkt. Dieser Wert kann erst ab 50 beantworteten Fragen 80 % erreichen und ist keine validierte Bestehenswahrscheinlichkeit. Lege die Prüfung während deines Zugangs ab und reiche den offiziellen Nachweis des Nichtbestehens innerhalb von 14 Tagen ein. Garantiebedingungen

Zur SCS-C03-Prüfung

Wo kann ich die SCS-C03-Prüfung ablegen?

Pearson VUE Prüfungszentrum oder online beaufsichtigte Prüfung.

Wie lange dauert die Prüfung AWS Certified Security - Specialty?

Die Prüfung SCS-C03 umfasst 65 Fragen und hat ein Zeitlimit von 170 Minuten.

Welche Erfahrung setzt AWS Security Specialty voraus?

AWS legt keine formale Voraussetzung fest, schreibt SCS-C03 aber für Leute mit drei bis fünf Jahren Erfahrung in der Absicherung von Cloud-Workloads und mit fundierter Kenntnis der AWS-Security-Services. Es ist eine Advanced-Prüfung, und die Fragen setzen voraus, dass du echte IAM-Policies debuggt und nicht nur darüber gelesen hast.

Wie lange ist AWS Security Specialty gültig?

Die Zertifizierung ist drei Jahre gültig. Wenn du die neueste Version der Prüfung bestehst, verlängert sie sich um weitere drei Jahre. Solange deine Zertifizierung aktiv ist, kannst du sie auch über AWS Skill Builder um ein Jahr verlängern.

Was passiert, wenn du AWS Security Specialty nicht bestehst?

AWS verlangt zwischen zwei Versuchen eine Wartezeit von 14 Tagen und begrenzt nicht, wie oft du zur Prüfung antreten kannst. Beim 170-Minuten-Format liegt ein Fehlversuch meist genauso am Zeitmanagement wie am Wissen.

Deine Vorbereitung auf SCS-C03

$29.99einmalig

12 Monate Zugang für SCS-C03 · Keine automatische Verlängerung

SCS-C03-Zugang kaufen

Die Fragen in der App sind derzeit auf Englisch.

20 Fragen kostenlos ausprobierenKostenloses Konto erforderlich. Keine Kreditkarte.

Schon ein Konto? Anmelden

Lieber ein Abo? Abos ansehen →

Geld zurück bei Nichtbestehen ab 80 % Readiness – für berechtigte Käufe gemäß Garantiebedingungen.

Garantiebedingungen

Die Garantie erstattet den Pass-IT-Kaufpreis dieser Zertifizierung. Voraussetzung sind ein berechtigter kostenpflichtiger Zugang und ein Readiness-Wert von mindestens 80 % aus deinen Übungsergebnissen zum Prüfungszeitpunkt. Dieser Wert kann erst ab 50 beantworteten Fragen 80 % erreichen und ist keine validierte Bestehenswahrscheinlichkeit. Lege die Prüfung während deines Zugangs ab und reiche den offiziellen Nachweis des Nichtbestehens innerhalb von 14 Tagen ein.

Vollständige Garantiebedingungen →

Verwandte Zertifizierungen

AWS Certified Advanced Networking - SpecialtyAWS Certified AI Business StrategistAWS Certified AI PractitionerAWS Certified CloudOps Engineer - AssociateAlle AWS-Zertifizierungen →