Microsoft Cloud and AI Security Engineer Associate (SC-500) — Übungsfragen und Probeprüfung

Die Zertifizierung Microsoft Certified: Cloud and AI Security Engineer Associate (Prüfung SC-500, Implementing End-to-End Security Controls for Cloud and AI Workloads) weist nach, dass du Sicherheitskontrollen in Azure-, Hybrid- und KI-gestützten Umgebungen entwerfen, implementieren und verwalten kannst und dabei Identitäten, Daten, Anwendungen und Infrastruktur schützt. Die Prüfung deckt Identität, Zugriff und Governance ab, dazu Sicherheit für Storage, Datenbanken und Netzwerke, Compute-Sicherheit sowie Security Posture Management, gestützt auf Telemetriedaten aus Defender for Cloud und Microsoft Sentinel. SC-500 löst AZ-500 ab, das am 31. August 2026 ausläuft, und setzt zusätzlich einen eigenen Schwerpunkt auf die Absicherung von KI-Workloads (Copilot, Copilot Studio, Microsoft Entra Agent ID, Azure AI Foundry und Defender for AI) sowie auf Microsoft Security Copilot.

Diese Zertifizierung auf Associate-Niveau richtet sich an Security Engineers, deren Aufgabenbereich Identität, Netzwerk, Anwendungen, Daten und Compute umfasst, einschließlich der Plattformen und der Infrastruktur, auf denen KI-Workloads laufen. Du solltest praktische Erfahrung in der Administration von Azure- und Hybrid-Umgebungen über Compute, Netzwerk und Storage hinweg mitbringen und dich mit Microsoft Entra ID sowie der Microsoft-365-Administration auskennen.

Die vier Domänen liegen mit 20 bis 30 Prozent dicht beieinander, den größten Anteil tragen Storage-, Datenbank- und Netzwerksicherheit. Dieser Bereich deckt Firewalls für Storage Accounts und Defender for Storage ab, dazu Azure-SQL-Auditing und Plattformsicherheit sowie die Netzwerk-Controls (NSGs, ASGs, Private Endpoints, JIT-Zugriff, Bastion), die dafür sorgen, dass Ressourcen nur von dort erreichbar sind, wo sie es sein sollen.

Beim Absichern von Compute läuft zweierlei parallel: klassischer Workload-Schutz für VMs, Container und Key Vault steht neben einem neueren Satz von Controls für AI-Workloads (Microsoft Entra Agent ID, Copilot Studio, Purview DSPM for AI, Defender for AI), den es in AZ-500 noch nicht gab. Identity, Access und Governance sowie Posture Management runden den Blueprint mit jeweils rund einem Fünftel ab und decken PIM, Conditional Access und in Defender for Cloud den Secure Score samt Multicloud-Connectors ab.

SC-500 zieht 40 bis 60 Fragen aus einem Pool, der vier Kompetenzbereiche umfasst: Identity, Access und Governance; Storage-, Datenbank- und Netzwerksicherheit; Compute-Sicherheit inklusive AI-Workloads; und Security Posture Management. Die 120-minütige Prüfung mischt Multiple Choice, Build List, Drag-and-Drop, Hot Area, Active Screen und Fallstudien, genau so, wie Microsoft es in seiner offiziellen Prüfungs-Sandbox zeigt. Die meisten Aufgaben prüfen allgemein verfügbare Features, häufig genutzte Preview-Funktionen können aber ebenfalls vorkommen.

Jede Domain der SC-500-Prüfung ist im Pool tief genug abgedeckt, um sie gezielt zu üben. Eine Probeprüfung stellt dir 50 Fragen am Stück, mit derselben 120-Minuten-Uhr wie am Prüfungstag.

Wie lange du brauchst, hängt davon ab, wie viel Praxiserfahrung du mitbringst. Den Rest legt der Anbieter fest: wie die Prüfung abläuft, wie schnell du wiederholen darfst und wie lange das Zertifikat gültig bleibt.

SC-500 läuft über Pearson VUE, online mit Remote-Proctor oder in einem autorisierten Testcenter, und wird ausschließlich auf Englisch angeboten. Die Zertifizierung gilt ein Jahr, und Microsoft schaltet auf Learn ab sechs Monate vor Ablauf ein kostenloses, unbeaufsichtigtes Renewal Assessment frei. Die komplette Prüfung musst du also nicht noch einmal ablegen.

SC-500 verlangt, dass du ein Security-Control dem Microsoft-Dienst zuordnest, der dafür zuständig ist, und die Antwortoptionen liegen nah beieinander: Defender CSPM kümmert sich um Posture und Secure Score, während die Workload-Protection-Pläne für Servers, Storage, Databases, Containers und AI die Bedrohungserkennung übernehmen. Das sind zwei getrennte Lizenzen, nicht zwei Namen für dasselbe Feature. Dieselbe Genauigkeit brauchst du bei Netzwerk und Zugriff: Eine NSG filtert Traffic, eine ASG gruppiert nur die NICs, auf die sich eine NSG-Regel bezieht. Und Just-in-Time-VM-Zugriff öffnet Ports auf Anfrage, während Azure Bastion die öffentliche IP der VM komplett entfernt. Die Absicherung von AI-Workloads (Microsoft Entra Agent ID, Echtzeitschutz für Copilot Studio, Defender for AI) ist im Vergleich zu AZ-500 neu und hat beim Lernen dasselbe Gewicht wie die etablierte Azure-Sicherheitslandschaft, nicht das eines nachträglichen Anhängsels.