Azure Security Engineer: AZ-500 praxisnah erklärt

In Microsoft Azure verantwortet ein Azure Security Engineer die Planung, Implementierung und den Betrieb von Sicherheitskontrollen für Identitäten, Plattformen, Daten, Anwendungen und Sicherheitsoperationen.

Zuletzt aktualisiert: 2026. Prüfungsdomänen, Buchungsdetails und Preise können sich ändern; verbindlich sind immer die Angaben auf der offiziellen Microsoft-Seite zur AZ-500-Prüfung.

Was die Rolle heute ausmacht

Azure Security Engineering ist enger mit Architektur, Betrieb und Governance verbunden, als es die Jobbezeichnung zunächst vermuten lässt. In vielen DACH-Unternehmen verlagert sich Security-Arbeit zunehmend auf Identitäten in Microsoft Entra ID, zentrale Richtlinien über Management Groups und Azure Policy sowie den Schutz sensibler Datenzugriffe. Eine reine Netzwerksicht reicht deshalb nicht mehr aus, auch wenn Firewalls, Private Endpoints und Segmentierung weiterhin wichtig bleiben.

Microsoft Azure steht dabei im Wettbewerb und im Zusammenspiel mit anderen großen Cloud-Plattformen wie AWS und Google Cloud. Für Sicherheitsrollen bedeutet das: Wer Azure absichert, sollte das Modell der geteilten Verantwortung verstehen und wissen, welche Kontrollen beim Cloud-Anbieter liegen und welche bewusst durch das eigene Unternehmen implementiert werden müssen.

In der Praxis arbeitet ein Azure Security Engineer mit Administratoren, Entwicklern, Netzwerkteams, Governance-Verantwortlichen und manchmal auch Prüfern zusammen. Typische Aufgaben sind die Härtung von Identitäten, die Bewertung von Risiken in Defender for Cloud, die Umsetzung von Conditional Access, die Verwaltung privilegierter Rollen, die Analyse von Sicherheitsereignissen in Microsoft Sentinel und die Durchsetzung technischer Standards mit Azure Policy.

Welche Fähigkeiten für AZ-500 relevant sind

Die AZ-500-Prüfung richtet sich nicht an absolute Einsteiger. Kandidaten sollten Azure-Ressourcen bereits verwalten können und mit Konzepten wie Rollenberechtigungen, Netzwerkisolierung, Protokollierung, Verschlüsselung und Incident Response vertraut sein. Wer noch keine belastbare Azure-Administrationspraxis hat, baut mit AZ-104 als Azure-Administrator-Fundament in der Regel eine stabilere Grundlage auf, bevor die Security-Spezialisierung sinnvoll wird.

Ein pragmatischer Entscheidungsrahmen ist hilfreich: Wer regelmäßig Azure-Abonnements, virtuelle Netzwerke, Storage, Rollen und Monitoring verwaltet, kann direkt in AZ-500 einsteigen und die Lernzeit auf Sentinel, KQL, Entra ID, PIM, Defender for Cloud und Policy konzentrieren. Wer Azure bisher nur oberflächlich kennt oder aus klassischer Infrastruktur kommt, sollte zuerst die Administrationsgrundlagen schließen, weil AZ-500 viele Sicherheitsentscheidungen auf genau diesen Betriebskenntnissen aufbaut.

Die Prüfung deckt laut Microsoft strukturierte Bereiche wie Identität und Zugriff, Plattformschutz, Sicherheitsoperationen sowie den Schutz von Daten und Anwendungen ab. Der genaue Zuschnitt wird von Microsoft gepflegt; deshalb sollte die offizielle Prüfungsseite vor der Buchung und noch einmal kurz vor dem Prüfungstermin geprüft werden.

Alt-Text für die Tabelle: Übersicht über zentrale AZ-500-Prüfungsbereiche und ihre praktische Bedeutung für Azure Security Engineers.

Wo Kandidaten häufig unterschätzen, wie praktisch die Prüfung ist

Eine häufige Vorbereitungslücke liegt nicht bei der Theorie, sondern bei der Bedienung und Interpretation der Werkzeuge. Viele Kandidaten kennen die Begriffe Conditional Access, PIM oder Sentinel, haben aber zu wenig selbst konfiguriert, untersucht und korrigiert. Besonders KQL-Abfragen und Sentinel-Szenarien fallen schwer, wenn die Vorbereitung hauptsächlich aus Lesen und Videokonsum besteht.

Wirksam ist eine Lernroutine, die jeden Themenblock mit einem kleinen Lab verbindet: eine Rolle per PIM aktivieren, eine Richtlinie testen, einen Defender-for-Cloud-Befund bewerten, eine Sentinel-Regel nachvollziehen und die Ergebnisse dokumentieren. Kurze, wiederholte Übungsblöcke sind hier besser als lange Theoriephasen, weil sich KQL-Muster, Rollenlogik und Policy-Effekte erst durch Wiederholung sicher verankern.

Auch im Bewerbungsprozess zählt diese Praxis. Ein kleines Portfolio mit einer eigenen Azure-Policy-Definition, einem Sentinel-Workbook, einem PIM-Rollout-Konzept oder einer dokumentierten Secure-Score-Verbesserung kann in Gesprächen mehr erklären als eine reine Liste gelernter Begriffe. Hiring-Manager sehen daran, ob jemand Sicherheitsanforderungen in Azure wirklich umsetzen und begründen kann.

Praxisbeispiel: Sentinel mit KQL verstehen

KQL gehört zu den Themen, die in der Vorbereitung früh geübt werden sollten. Das folgende Beispiel zeigt eine einfache Untersuchung fehlgeschlagener Anmeldungen, wie sie in einem Lab oder in einer Testumgebung zur Analyse von Identitätsrisiken genutzt werden kann.

Example — Fehlgeschlagene Anmeldungen nach Konto auswerten

SigninLogs
| where ResultType != 0
| summarize FailedSignIns = count() by UserPrincipalName, IPAddress
| order by FailedSignIns desc

Die Abfrage gruppiert fehlgeschlagene Anmeldungen nach Benutzerkonto und IP-Adresse. Der Lernwert liegt nicht in der Syntax allein, sondern in der Interpretation: Kandidaten sollten prüfen, ob es sich um erwartbare Fehlversuche, verdächtige Muster oder einen Anlass für Conditional-Access-Anpassungen handelt.

Praxisbeispiel: Azure Policy als Sicherheitsstandard

Erfolgreiche Azure-Security-Teams setzen Standards nicht nur manuell im Portal, sondern erzwingen sie zentral über Management Groups, Azure Policy und zunehmend Infrastructure as Code. Das ist besonders wichtig, wenn mehrere Teams Workloads bereitstellen und Sicherheitsanforderungen konsistent gelten sollen.

Example — Öffentliche Blob-Zugriffe per Policy verweigern

{
  "mode": "Indexed",
  "policyRule": {
    "if": {
      "allOf": [
        {
          "field": "type",
          "equals": "Microsoft.Storage/storageAccounts"
        },
        {
          "field": "Microsoft.Storage/storageAccounts/allowBlobPublicAccess",
          "equals": true
        }
      ]
    },
    "then": {
      "effect": "deny"
    }
  }
}

Diese Policy verhindert, dass Storage Accounts mit erlaubtem öffentlichen Blob-Zugriff erstellt oder geändert werden. In einer realen Umgebung sollte zusätzlich geprüft werden, auf welcher Management Group die Zuweisung sinnvoll ist, welche Ausnahmen legitim sind und wie bestehende Ressourcen vor der Erzwingung bewertet werden.

Ein realistischer Lernpfad über sechs Wochen

Sechs Wochen reichen für viele Berufstätige nur dann aus, wenn bereits Azure-Grundlagen vorhanden sind und die Lernzeit konsequent praktisch genutzt wird. Der Plan sollte nicht versuchen, jedes Thema gleich breit zu behandeln. Sinnvoller ist es, die schwierigen Prüfungs- und Arbeitsthemen früh zu starten: Entra ID, PIM, Conditional Access, Sentinel, KQL und Azure Policy.

1. Woche 1: Prüfungsseite prüfen, Testumgebung vorbereiten und Identitätsgrundlagen in Entra ID wiederholen.
2. Woche 2: RBAC, PIM, Conditional Access und administrative Zugriffspfade praktisch konfigurieren.
3. Woche 3: Defender for Cloud, Secure Score, Workload-Härtung und Plattformschutz in Azure üben.
4. Woche 4: Microsoft Sentinel, KQL, Analytics Rules und Incident-Bearbeitung in kleinen Szenarien trainieren.
5. Woche 5: Azure Policy, Key Vault, Storage-Sicherheit und Datenzugriffe mit Labs vertiefen.
6. Woche 6: Wiederholen, schwache Themen gezielt schließen und prüfungsnahe Szenarien unter Zeitdruck bearbeiten.

Alt-Text für den Lernzeitplan: Sechs-Wochen-Plan zur AZ-500-Vorbereitung mit Schwerpunkten auf Entra ID, Plattformschutz, Sentinel, KQL, Azure Policy und Wiederholung.

Wer die Vorbereitung strukturierter durchführen möchte, kann ein betreutes AZ-500 Training bei Readynez nutzen, sollte aber auch dann eigene Labs einplanen. Training ersetzt nicht die Erfahrung, im Portal, mit Abfragen und mit Richtlinien selbst Entscheidungen zu treffen.

Buchung, Kosten und lokale Besonderheiten

Die AZ-500-Prüfung wird über Microsoft beziehungsweise den von Microsoft angegebenen Prüfungsanbieter gebucht. Für Deutschland, Österreich und die Schweiz sollten Kandidaten die Region auf der offiziellen Prüfungsseite korrekt auswählen, weil Preisangaben, Steuern und verfügbare Optionen lokal variieren können. Feste Beträge sollten nicht aus älteren Blogbeiträgen übernommen werden.

Bei Firmenfinanzierung lohnt sich eine frühe Abstimmung mit HR, Einkauf oder dem Weiterbildungsbudget. Manche Unternehmen benötigen eine Kostenstelle, einen genehmigten Entwicklungsplan oder eine interne Begründung, bevor eine Prüfung oder Schulung bestellt werden kann. Wer in regulierten Branchen arbeitet, kann den Nutzen zusätzlich über Compliance-Anforderungen erklären, etwa im Kontext von DSGVO, FedRAMP oder PCI, sofern diese Rahmenwerke für das eigene Unternehmen relevant sind.

Wie sich AZ-500 von anderen Security-Zertifizierungen unterscheidet

AZ-500 ist stark produkt- und umsetzungsbezogen. Der Fokus liegt auf Microsoft Azure und den dazugehörigen Sicherheitsdiensten. Eine herstellerneutrale Cloud-Security-Zertifizierung wie CCSP betrachtet Cloud-Sicherheit breiter und konzeptioneller, während AZ-500 näher an der täglichen Azure-Konfiguration liegt.

Für Personen mit DevOps-Hintergrund ist außerdem wichtig, Security nicht als nachgelagerte Kontrolle zu verstehen. Pipeline-Berechtigungen, Secrets, Policy-as-Code und sichere Bereitstellungsmuster gehören zunehmend zum Arbeitsalltag. Wer aus dieser Richtung kommt, kann ergänzend nachvollziehen, wie Sicherheitsanforderungen in Delivery-Prozesse eingebaut werden; ein angrenzender Lernpfad ist etwa die Rolle des Azure DevOps Engineer.

Nach AZ-500 führen zwei natürliche Spezialisierungen weiter. Wer gern Warnungen untersucht, Abfragen schreibt und Incidents bearbeitet, bewegt sich eher in Richtung SOC und Incident Response, zum Beispiel mit SC-200. Wer stärker an Zielarchitekturen, Risikoentscheidungen und Governance arbeitet, findet eher Anschluss an Security Architecture und SC-100.

FAQ zur AZ-500 und zur Rolle Azure Security Engineer

Ist AZ-500 verpflichtend, um Azure Security Engineer zu werden?

Nein, die Zertifizierung ist keine gesetzliche Voraussetzung für die Rolle. Sie kann aber helfen, den eigenen Lernpfad zu strukturieren und gegenüber Arbeitgebern zu zeigen, dass Azure-Sicherheitsfunktionen systematisch erarbeitet wurden.

Sollte AZ-104 vor AZ-500 absolviert werden?

Das hängt vom Vorwissen ab. Wer Azure bereits administriert, kann direkt mit AZ-500 beginnen. Wer noch unsicher bei Ressourcen, Netzwerken, Rollen, Monitoring und Storage ist, profitiert meist davon, zuerst die Administratorgrundlagen zu festigen.

Wie lange ist die AZ-500-Zertifizierung gültig?

Microsoft-Zertifizierungen haben eigene Verlängerungsregeln, die sich ändern können. Verbindlich sind die Angaben im Microsoft-Zertifizierungsprofil und auf Microsoft Learn.

Welche praktische Erfahrung ist vor der Prüfung sinnvoll?

Hilfreich sind reale oder labbasierte Erfahrungen mit Entra ID, RBAC, PIM, Conditional Access, Defender for Cloud, Microsoft Sentinel, KQL, Key Vault, Storage-Sicherheit und Azure Policy. Besonders wichtig ist, nicht nur Begriffe zu kennen, sondern Konfigurationen und Untersuchungsschritte selbst durchgeführt zu haben.

Kann für die Vorbereitung eine Sandbox genutzt werden?

Ja, isolierte Testumgebungen sind für Labs sinnvoll. Microsoft beschreibt beispielsweise die Windows Sandbox; für Azure-spezifische Labs sollte zusätzlich eine geeignete Azure-Testumgebung mit begrenzten Berechtigungen und Kostenkontrollen verwendet werden.

Der nächste sinnvolle Schritt

AZ-500 lohnt sich besonders für Personen, die Azure bereits praktisch nutzen und ihre Arbeit stärker auf Identität, Governance, Sicherheitsoperationen und Datenschutz ausrichten möchten. Die Zertifizierung ersetzt keine Betriebserfahrung, gibt der Entwicklung aber eine klare Struktur und macht sichtbar, welche Sicherheitsbereiche in Azure sicher beherrscht werden sollten.

Der wichtigste nächste Schritt ist eine ehrliche Standortbestimmung: Sind die Azure-Grundlagen stabil, sollte die Vorbereitung direkt mit Labs zu Entra ID, Sentinel, KQL und Policy beginnen; fehlen diese Grundlagen, ist zuerst der Administratorpfad sinnvoller. Bei Fragen zur passenden Vorbereitung oder zum AZ-500-Kurs kann Readynez kontaktiert werden.