Klassisches Networking bezeichnet meist den Betrieb physischer Geräte, fester Perimeter und manuell gepflegter Routen; AZ-700 verlangt dagegen ein Verständnis dafür, wie microsoft-certified-azure-administrator-exam-besteht" data-autoinject="link_injection">Microsoft Azure Netzwerkdesign, Routing, private Konnektivität und Sicherheitskontrollen als Cloud-Dienste zusammenführt.
Die Prüfung AZ-700, offiziell Designing and Implementing Microsoft Azure Networking Solutions, richtet sich an Fachleute, die Azure-Netzwerklösungen planen, implementieren und betreiben. Sie prüft keine isolierte Produktkenntnis, sondern die Fähigkeit, Entscheidungen wie Hub-and-Spoke oder Virtual WAN, Private Link oder Service Endpoints, VPN oder ExpressRoute nachvollziehbar zu treffen und technisch umzusetzen.
Was AZ-700 tatsächlich prüft
Microsoft beschreibt AZ-700 auf Microsoft Learn als Prüfung für Azure Network Engineers, die Kernnetzwerke, Hybridkonnektivität, Anwendungsbereitstellung, privaten Zugriff auf Azure-Dienste und Netzwerksicherheit entwerfen und implementieren. Die genaue Gewichtung und die Skills measured können sich ändern; deshalb sollte die offizielle Microsoft-Learn-Prüfungsseite kurz vor der Buchung erneut geprüft werden. Stand dieser Überarbeitung: 2026; als Arbeitsregel gilt, die Microsoft-Seite am Beginn und am Ende der Vorbereitung zu kontrollieren.
Die Prüfung ist rollenorientiert. Wer bereits Azure Administrator-Aufgaben übernimmt, bringt meist gute Grundlagen zu VNets, Subnets, RBAC und Ressourcenverwaltung mit. Wer aus dem klassischen Netzwerkbetrieb kommt, hat häufig Vorteile bei TCP/IP, DNS, BGP, Routing und Firewalls, muss aber lernen, wie Azure diese Konzepte abstrahiert und an Plattformgrenzen bindet.
Typische Fragen verlangen selten nur eine Definition. In der Prüfung erscheinen Szenarien, Fallstudien, Zuordnungsfragen, Drag-and-Drop-Aufgaben und Troubleshooting-Fragen, bei denen mehrere Antworten technisch plausibel wirken. Entscheidend ist oft der Satz im Fragetext, der eine Anforderung wie privater Zugriff, minimale administrative Komplexität, Datenexfiltrationsschutz, zentrale Inspektion oder regionale Ausfallsicherheit vorgibt.
Die wichtigsten Unterschiede zum klassischen Netzwerkdenken
In Azure ist ein Netzwerkdesign weniger gerätezentriert. Ein VNet ist keine virtuelle Kopie eines physischen Switches, und eine Network Security Group ersetzt keine zentrale Firewall-Architektur. Die Prüfung erwartet, dass Kandidaten die Azure-eigenen Bausteine in sinnvolle Architekturen einordnen: VNets und Peering für Segmentierung, Route Tables für Pfadsteuerung, Azure Firewall oder Network Virtual Appliances für Inspektion, Private DNS Zones für Namensauflösung und Private Link für privaten Zugriff auf Plattformdienste.
Ein besonders häufiger Stolperstein ist DNS in Verbindung mit Private Link. Ein Private Endpoint kann korrekt erstellt sein und dennoch scheint die Anwendung nicht privat erreichbar zu sein, wenn die Private DNS Zone nicht mit dem richtigen VNet verknüpft ist oder der erwartete A-Record fehlt. In Labs zeigt sich dieser Fehler oft als Widerspruch: Der Dienst funktioniert über den öffentlichen Namen, aber nicht über den privaten Pfad. Für AZ-700 sollte DNS deshalb nicht als Nebenthema behandelt werden, sondern als Teil jeder Private-Link-Übung.
Auch Routing verhält sich in Azure anders als in vielen Rechenzentrumsnetzen. Systemrouten, User Defined Routes, BGP-gelernte Präfixe und Peering-Einstellungen wirken zusammen. Eine UDR kann eine Systemroute übersteuern, eine Appliance kann Rückwege verändern, und asymmetrisches Routing wird schnell zum Problem, wenn eine Network Virtual Appliance oder Azure Firewall in den Datenpfad gesetzt wird. Gute Vorbereitung bedeutet deshalb, Effective Routes, Next Hop und Connection Monitor aktiv zu nutzen, statt Routingtabellen nur theoretisch zu lesen.
Bei Sicherheitskontrollen geht es nicht um die Wahl eines einzelnen Produkts. NSGs und Application Security Groups eignen sich für granulare Ost-West-Kontrolle zwischen Subnets und Workloads. Azure Firewall und Firewall Policy adressieren zentrale Inspektion, ausgehenden Verkehr, DNAT und konsistente Regeln über Umgebungen hinweg. Fehlkonfigurationen entstehen häufig, wenn ein NSG-Deny eine erwartete Firewall-Regel überdeckt oder SNAT/DNAT-Verhalten nicht bedacht wird.
Private Link, Service Endpoints und die Prüfungslogik dahinter
Viele AZ-700-Fragen wirken schwer, weil sie nicht direkt nach einem Dienst fragen, sondern nach der passenden Architekturentscheidung. Beim privaten Zugriff auf Azure-Dienste ist ein einfaches Entscheidungsraster hilfreich. Wenn Datenexfiltrationsschutz, private IP-Erreichbarkeit und eine klare Trennung vom öffentlichen Endpunkt gefordert sind, spricht vieles für Private Link. Wenn lediglich der Zugriff aus einem VNet auf einen unterstützten Azure-Dienst vereinfacht und auf das virtuelle Netzwerk beschränkt werden soll, können Service Endpoints passend sein.
Der praktische Unterschied liegt auch im Betriebsaufwand. Private Link führt Private Endpoints und DNS-Abhängigkeiten ein; dadurch steigt die Kontrolle, aber auch die Fehleranfälligkeit bei Namensauflösung und Zonenverknüpfung. Service Endpoints sind einfacher, bieten jedoch nicht dasselbe private Endpoint-Modell. In Prüfungsfragen ist deshalb der genaue Wortlaut wichtig: Anforderungen an Exfiltrationsschutz, private IPs und zentrale DNS-Steuerung verändern die Antwort.
Ein 6-Wochen-Plan für die Vorbereitung
Ein realistischer Lernplan sollte Azure-Netzwerkdienste nicht nur lesen, sondern wiederholt in kleinen, kontrollierten Umgebungen testen. Vier Wochen reichen für Kandidaten mit viel Azure-Praxis; sechs Wochen sind sinnvoller, wenn die Themen neben dem Beruf aufgebaut werden. Wichtig ist, jede Woche mit einer kurzen Wiederholung und einem bereinigten Lab-Abschluss zu beenden, damit keine unnötigen Kosten durch vergessene Ressourcen entstehen.
- Woche 1: Prüfen Sie die Microsoft-Learn-Skills für AZ-700, wiederholen Sie VNet, Subnetting, Peering, NSGs, DNS und grundlegende Azure-Ressourcenverwaltung.
- Woche 2: Bauen Sie ein Hub-and-Spoke-Lab mit Peering, UDRs und zentraler Inspektion über Azure Firewall oder eine einfache virtuelle Appliance.
- Woche 3: Üben Sie Private Link, Private Endpoints, Private DNS Zones und den Unterschied zu Service Endpoints anhand eines Storage- oder Datenbankdienstes.
- Woche 4: Arbeiten Sie Hybridkonnektivität mit Site-to-Site-VPN, BGP-Grundlagen, Gateway Transit und Routingdiagnose durch.
- Woche 5: Vergleichen Sie Hub-and-Spoke mit Virtual WAN, ergänzen Sie Load Balancer, Application Gateway, Traffic Manager oder Front Door je nach Prüfungsziel.
- Woche 6: Bearbeiten Sie Fallstudien, wiederholen Sie Fehlerszenarien, prüfen Sie Timing und schließen Sie Wissenslücken anhand der offiziellen Skills measured.
ExpressRoute sollte konzeptionell verstanden werden, auch wenn sich echte ExpressRoute-Labs wegen Provider-Vorlaufzeiten und Kosten selten für die Prüfungsvorbereitung eignen. Eine sinnvolle Alternative ist ein VPN-Lab mit BGP, bei dem Routenankündigungen, Gateway-Einstellungen und Präfixauswahl nachvollzogen werden. Im Berufsalltag kommt später die Change- und Peering-Planung hinzu; für AZ-700 reicht zunächst, die Designentscheidungen und Routingfolgen sicher zu erklären.
Beim Lernen hilft es, jede Umgebung mit Ressourcengruppen, Tags und klaren Namenskonventionen zu strukturieren. Auto-Shutdown für virtuelle Maschinen und eine feste Aufräumroutine vermeiden unnötige Kosten. Diese Governance-Gewohnheiten sind keine Randnotiz: Sie machen Labs reproduzierbar und spiegeln wider, wie Cloud-Netzwerke in Unternehmen betrieben werden.
Ein kleines Bicep-Lab für reproduzierbares Üben
Viele Kandidaten bereiten sich überwiegend über Portal-Klickpfade vor. Das ist für die Prüfung verständlich, reicht aber in der Praxis oft nicht aus. Netzwerkrollen setzen zunehmend voraus, dass VNets, Subnets, NSGs und Routen deklarativ beschrieben werden können, etwa mit Bicep oder Terraform. Das folgende Beispiel legt bewusst nur eine einfache VNet-Struktur an, damit der Fokus auf Wiederholbarkeit und sauberer Segmentierung liegt.
Example — VNet-Grundlage für ein Hub-and-Spoke-Lab
param location string = resourceGroup().location
resource hubVnet 'Microsoft.Network/virtualNetworks@2023-11-01' = {
name: 'vnet-hub-az700-lab'
location: location
properties: {
addressSpace: {
addressPrefixes: [
'10.10.0.0/16'
]
}
subnets: [
{
name: 'AzureFirewallSubnet'
properties: {
addressPrefix: '10.10.1.0/26'
}
}
{
name: 'GatewaySubnet'
properties: {
addressPrefix: '10.10.2.0/27'
}
}
{
name: 'SharedServicesSubnet'
properties: {
addressPrefix: '10.10.10.0/24'
}
}
]
}
}
resource spokeVnet 'Microsoft.Network/virtualNetworks@2023-11-01' = {
name: 'vnet-spoke-app-az700-lab'
location: location
properties: {
addressSpace: {
addressPrefixes: [
'10.20.0.0/16'
]
}
subnets: [
{
name: 'AppSubnet'
properties: {
addressPrefix: '10.20.1.0/24'
}
}
]
}
}
Dieses Lab erstellt noch kein vollständiges Routing- oder Firewall-Design. Es schafft eine saubere Basis, auf der Peering, Route Tables, Azure Firewall, Private DNS Zones und Private Endpoints ergänzt werden können. Der Lerneffekt liegt darin, Änderungen gezielt nachzuvollziehen und nach jeder Erweiterung Effective Routes und Konnektivität zu prüfen.
Typische Fehler, die AZ-700-Kandidaten Zeit kosten
Die schwierigsten Fehler sind selten Syntaxfehler. Häufiger ist die Architektur scheinbar korrekt, aber ein Detail verhindert die gewünschte Verbindung. Ein Private Endpoint ohne passende DNS-Auflösung, eine UDR mit falschem Next Hop oder ein unerwarteter NSG-Deny können stundenlang wie ein Dienstproblem aussehen, obwohl die Ursache im Netzwerkdesign liegt.
Eine kuratierte Fehlerprüfung verkürzt die Diagnose. Bei Private Link sollten zuerst Private DNS Zone, VNet-Link und A-Record kontrolliert werden. Bei Routingproblemen helfen Effective Routes, Next Hop und Connection Monitor. Bei Sicherheitsproblemen ist die Reihenfolge wichtig: NSG-Regeln, Application Security Groups, Azure Firewall-Regeln, DNAT/SNAT und Logs müssen gemeinsam betrachtet werden, weil ein Deny an einer Stelle spätere Regeln wirkungslos erscheinen lässt.
Ein weiterer Fehler ist, Übungsfragen zu früh als Hauptlernmittel zu verwenden. Fragen zeigen Lücken, ersetzen aber keine Labs. Wer nur Antwortmuster trainiert, kann bei Fallstudien scheitern, weil Microsoft häufig Anforderungen kombiniert: private Konnektivität, zentrale Inspektion, minimale Verwaltung und regionale Resilienz können in einer einzigen Aufgabe zusammenkommen.
Prüfungsstrategie: den Fragetext technisch lesen
In AZ-700 sollte jede Frage zuerst auf Einschränkungen gelesen werden. Wörter wie must, minimize, ensure, private, centralized, highly available oder existing configuration ändern die Lösung. Besonders bei Fallstudien lohnt es sich, Anforderungen, bestehende Umgebung und Ausschlüsse getrennt zu erfassen, bevor Antworten bewertet werden.
Beim Timing hilft ein pragmatischer Ablauf. Kurze Wissensfragen sollten zügig beantwortet werden, unklare Szenarien werden markiert und später erneut geprüft. Drag-and-Drop-Fragen lassen sich oft lösen, indem offensichtlich falsche Elemente zuerst ausgeschlossen werden. Bei Troubleshooting-Fragen ist die Reihenfolge entscheidend: Konnektivität, Namensauflösung, Route, Sicherheitskontrolle und Dienstkonfiguration sollten nacheinander geprüft werden.
Legale Ressourcen sind ausreichend. Microsoft Learn, die offiziellen Skills measured, Azure Architecture Center und eigene Labs decken den fachlichen Kern ab. Brain Dumps oder kopierte Prüfungsfragen sind riskant, oft veraltet und schwächen genau die Fähigkeit, die in rollenbasierten Prüfungen zählt: ein Szenario zu verstehen und die passende technische Entscheidung zu treffen.
Ressourcen sinnvoll kombinieren
Die beste Vorbereitung verbindet drei Arten von Material: offizielle Prüfungsinformationen, Architekturleitfäden und eigene Übungen. Microsoft Learn liefert die Struktur der Skills measured und sollte als Referenz dienen. Das Azure Architecture Center hilft, Designentscheidungen wie Hub-and-Spoke, Virtual WAN, Private Link, Azure Firewall und hybride Konnektivität im größeren Zusammenhang zu verstehen.
Wer eine geführte Vorbereitung bevorzugt, kann den AZ-700 Trainingskurs als Ergänzung zu eigenen Labs nutzen. Sinnvoll ist ein solcher Kurs vor allem dann, wenn wenig Zeit bleibt oder wenn praktische Szenarien strukturiert durchgearbeitet werden sollen. Der Lernplan bleibt jedoch derselbe: lesen, bauen, prüfen, Fehler analysieren und wiederholen.
Häufige Fragen zur AZ-700-Vorbereitung
Wie viel Azure-Erfahrung ist vor AZ-700 sinnvoll?
Solide Azure-Grundlagen sind wichtig. Wer VNets, Subnets, NSGs, Azure-Ressourcengruppen, Identität und grundlegendes Monitoring bereits kennt, kann sich stärker auf Routing, private Konnektivität, Hybridnetzwerke und Sicherheitsarchitekturen konzentrieren. Ohne diese Basis wird die Vorbereitung deutlich langsamer.
Ist AZ-104 eine Pflichtvoraussetzung?
AZ-104 ist keine zwingende Voraussetzung für AZ-700, kann aber eine gute Grundlage sein. Die Azure Administrator-Zertifizierung vermittelt viele Plattformkonzepte, die in AZ-700 vorausgesetzt werden. Kandidaten mit starker Netzwerkpraxis können den Stoff auch direkt angehen, sollten dann aber Azure-Grundlagen bewusst nacharbeiten.
Reichen Microsoft Learn und Übungsfragen aus?
Für manche Kandidaten ja, für viele jedoch nicht. AZ-700 wird leichter, wenn Themen wie Private Link, DNS, UDRs, Azure Firewall und VPN/BGP mindestens einmal praktisch umgesetzt wurden. Übungsfragen helfen bei Timing und Prüfungslogik, ersetzen aber keine Fehlersuche in echten Labs.
Welche Themen werden am häufigsten unterschätzt?
Private DNS Zones mit Private Link, Routingpräferenzen zwischen Systemrouten, UDRs und BGP sowie das Zusammenspiel von NSGs und Azure Firewall werden oft unterschätzt. Diese Themen erzeugen in Projekten reale Betriebsprobleme und tauchen deshalb auch in prüfungsnahen Szenarien häufig als Entscheidungspunkt auf.
Der nächste sinnvolle Schritt
AZ-700 lässt sich am besten bestehen, wenn die Vorbereitung nicht bei Produktdefinitionen stehen bleibt. Wer jede Woche ein kleines Lab baut, die offiziellen Microsoft-Skills gegenprüft und typische Fehler systematisch diagnostiziert, entwickelt das Verständnis, das die Prüfung abfragt und das im Betrieb von Azure-Netzwerken gebraucht wird.
Eine praktische nächste Maßnahme ist, die Microsoft-Learn-Seite zu AZ-700 zu öffnen, die aktuellen Skills measured zu notieren und daraus einen eigenen 6-Wochen-Plan mit Labs abzuleiten. Wenn eine strukturierte Begleitung benötigt wird, kann Readynez ergänzend helfen; entscheidend bleibt jedoch, Azure-Netzwerkentscheidungen selbst nachvollziehbar planen, implementieren und prüfen zu können.
