MS-500 2026: Outlook für die Microsoft-365-Sicherheitsadministration

• MS-500 ist eingestellt und sollte nicht mehr als aktueller Prüfungsplan verwendet werden.
• Die früheren MS-500-Themen verteilen sich heute auf mehrere aktive Microsoft-Prüfungen, vor allem SC-300, SC-400 und SC-200.
• Wer Microsoft 365 Security praktisch beherrschen will, braucht neben Prüfungswissen ein Test-Tenant, realistische Labs und Erfahrung mit Microsoft Entra ID, Microsoft Purview und Microsoft Defender.

MS-500 bezeichnete lange die zentrale Prüfung für Microsoft 365 Security Administrator Associate, gehört 2026 jedoch nicht mehr zu den aktuellen Zertifizierungspfaden. Wer nach „MS-500 bestehen“ sucht, sucht daher meist nicht nur nach Prüfungstipps, sondern nach einem verlässlichen Weg in die Microsoft-365-Sicherheitsadministration. Genau dieser Kontext ist entscheidend, wenn du deine nächsten Lern- und Zertifizierungsschritte planst.

Die frühere Rolle ist dadurch nicht verschwunden. Sie wurde fachlich aufgeteilt, weil Microsoft 365 Security heute stärker nach Arbeitsbereichen organisiert ist: Identität und Zugriff in Microsoft Entra ID, Datenschutz und Compliance in Microsoft Purview, Sicherheitsoperationen in Microsoft Defender sowie breitere Tenant-Administration über Microsoft 365 Admin-Funktionen. Für Lernende ist das zunächst unbequemer als eine einzelne Prüfung, führt aber näher an die Aufgaben heran, die in Unternehmen tatsächlich getrennt verantwortet werden.

Warum MS-500 nicht mehr der richtige Ausgangspunkt ist

MS-500 deckte früher Identitäts- und Zugriffssteuerung, Bedrohungsschutz, Informationsschutz sowie Governance und Compliance ab. Diese Breite passte zu einer Zeit, in der Microsoft 365 Security häufig als ein zusammenhängender Administrationsbereich verstanden wurde. In vielen Organisationen ist daraus inzwischen ein Verbund aus IAM, Compliance, SOC und Endpoint-Betrieb geworden.

Deshalb sollte MS-500 im Lebenslauf oder in internen Skill-Matrizen sauber eingeordnet werden. Wer die Prüfung früher bestanden hat, kann sie weiterhin als historische Qualifikation nennen, sollte sie aber mit „retired“ kennzeichnen und die erworbenen Fähigkeiten auf heutige Produktnamen übertragen: Azure AD heißt Microsoft Entra ID, Compliance Center ist in Microsoft Purview aufgegangen, und Bedrohungserkennung wird in vielen Umgebungen über Microsoft Defender XDR, Defender for Endpoint und Sentinel-nahe SOC-Prozesse betrachtet.

Ein archivierter oder älterer MS-500 Security Administrator Kurs kann noch helfen, die historische Struktur zu verstehen. Für eine aktuelle Zertifizierungsentscheidung sollte er aber nicht als Prüfungsreferenz dienen. Maßgeblich sind die aktiven Prüfungsseiten, Skills-measured-Listen und Zertifizierungsinformationen auf Microsoft Learn.

Welche Prüfung heute zu welcher Aufgabe passt

Es gibt keine vollständige Eins-zu-eins-Nachfolgeprüfung für MS-500. Sinnvoller ist eine Entscheidung nach täglicher Verantwortung. Wer Identity Governance, Conditional Access, Privileged Identity Management und Lifecycle-Prozesse betreut, bewegt sich fachlich in Richtung SC-300. Wer Sensitivity Labels, Data Loss Prevention, eDiscovery, Aufbewahrung und Datenklassifizierung verantwortet, findet die engere fachliche Entsprechung in SC-400. Wer Alerts untersucht, Incidents priorisiert, KQL-Abfragen schreibt und Defender-Signale auswertet, sollte SC-200 betrachten.

MS-102 spielt eine andere Rolle. Die Prüfung ist eher für Microsoft 365 Administratoren relevant, die Tenant-Grundlagen, Benutzerverwaltung, Dienste, Sicherheitseinstellungen und Governance breit verstehen müssen. MD-102 wiederum ist dann wichtig, wenn Endpoint-Management, Geräteschutz und Policy Deployment über Intune Teil der täglichen Arbeit sind. In vielen DACH-Unternehmen ist diese Trennung nicht sauber sichtbar, weil kleinere IT-Teams mehrere Verantwortungen kombinieren. Genau deshalb ist die Rollenklärung vor der Prüfungsauswahl wichtiger als die Frage, welche Zertifizierung dem alten MS-500-Namen am ähnlichsten klingt.

Ein praktischer Lernpfad beginnt häufig mit Microsoft-365-Grundlagen, bevor er in Identity, Information Protection oder Security Operations vertieft wird. Wer noch wenig Erfahrung mit Tenant-Konzepten, Lizenzen und Microsoft-365-Diensten hat, kann ein Fundament wie die Microsoft 365 Fundamentals Vorbereitung nutzen, sollte danach aber rasch in echte Administrations- und Sicherheitsaufgaben wechseln. Zertifizierungswissen bleibt abstrakt, wenn es nicht an Richtlinien, Testbenutzern, Geräten, Alerts und Datenklassifizierung geübt wird.

Der sinnvollste Lernpfad nach MS-500

Der stärkste Startpunkt ist ein separates Test-Tenant. Produktive Tenants eignen sich selten für Lernexperimente, weil Conditional Access, DLP oder Defender-Konfigurationen schnell echte Benutzer beeinträchtigen können. Ein Test-Tenant mit Standardbenutzern, Gruppen, Testgeräten und klar benannten Szenarien schafft die Umgebung, in der Prüfungsziele zu nachvollziehbaren Handlungen werden.

Bei Identity-Themen sollte die erste Laborphase nicht mit komplexen Richtlinien beginnen. Sinnvoller ist ein sauberes Grundmodell: normale Benutzer, privilegierte Rollen, mindestens ein abgesichertes Notfallkonto, MFA-Verhalten, Gruppenmitgliedschaften und ein Staging-Ansatz für Conditional Access. Ein häufiger Fehler besteht darin, Conditional-Access-Regeln direkt tenantweit scharf zu schalten. In der Praxis werden Richtlinien zuerst mit kleinen Pilotgruppen getestet, Break-Glass-Konten bewusst ausgenommen und Sign-in-Logs ausgewertet, bevor breitere Erzwingung folgt.

Bei Microsoft Purview liegt die größte Lernhürde selten im Menü, sondern in der Einführungstiefe. Sensitivity Labels und DLP-Richtlinien greifen in Arbeitsabläufe von Fachabteilungen ein. Wer zu schnell blockiert, erzeugt Ausnahmen, Frustration und Schattenprozesse. Besser ist ein gestufter Ansatz: Datenklassifizierung verstehen, Labels testen, DLP zunächst überwachen, False Positives analysieren und erst danach schrittweise auf Warnen oder Blockieren umstellen.

Für Security Operations ist Microsoft Defender der praxisnächste Einstieg, wenn Incidents nicht nur gelesen, sondern untersucht werden. Lernende sollten Alerts korrelieren, Incident-Timelines nachvollziehen und einfache KQL-Abfragen formulieren. Vor einem Go-Live ist Alert-Tuning entscheidend: Ohne Baseline, Ausschlüsse und Priorisierung entsteht schnell ein lauter Betrieb, in dem wichtige Signale unter Routine-Alerts verschwinden.

PowerShell und Microsoft Graph sollten in diesem Lernpfad nicht als Zusatzthema behandelt werden. Viele Sicherheitsaufgaben werden zwar über Portale erklärt, im Betrieb sind Export, Vergleich, Wiederholung und Dokumentation aber oft skriptgestützt. Schon einfache Übungen wie das Auslesen privilegierter Rollen, das Prüfen von Gruppenmitgliedschaften oder das Dokumentieren von Richtlinienzuständen helfen, Sicherheitsadministration reproduzierbarer zu machen.

Typische Fehler bei der Vorbereitung

Der erste Fehler ist, alte MS-500-Checklisten unverändert abzuarbeiten. Viele Konzepte bleiben wertvoll, doch Produktnamen, Portale, Rollen und Prüfungsgewichtungen haben sich verändert. Wer nur ältere Fragen oder Kursnotizen nutzt, lernt häufig die falsche Oberfläche und übersieht aktuelle Dienste wie Microsoft Entra ID, Microsoft Purview und neuere Defender-Erfahrungen.

Der zweite Fehler ist eine zu starke Prüfungsorientierung. Microsoft-Prüfungen verlangen zwar Faktenwissen, aber gerade im Security-Bereich entscheidet das Verständnis von Abhängigkeiten. Conditional Access hängt an Identitäten, Geräten, Apps, Risiko- und Ausnahmekonzepten. DLP hängt an Klassifizierung, Benutzerkommunikation und Geschäftsprozessen. Defender-Incidents hängen an Telemetriequalität, Priorisierung und Reaktionsabläufen.

Der dritte Fehler betrifft Lizenzen und Feature-Verfügbarkeit. In Labs wird oft erst spät bemerkt, dass bestimmte Purview-, Defender- oder Entra-Funktionen andere Lizenzvoraussetzungen haben als der produktive Tenant oder die Testumgebung. Vor der Lernphase sollte deshalb geprüft werden, welche Features im jeweiligen Test-Tenant verfügbar sind. Andernfalls entsteht der Eindruck, ein Thema sei nicht prüfungsrelevant oder nicht vorhanden, obwohl nur die Umgebung nicht passt.

DACH-Perspektive: Prüfung, Sprache, Kosten und Arbeitsmarkt

Prüfungsmodalitäten, verfügbare Sprachen und lokale Preise sollten immer auf der jeweiligen Microsoft-Learn-Prüfungsseite und im Anmeldeprozess geprüft werden. Preise können regional variieren und werden für Kandidaten in Deutschland, Österreich oder der Schweiz im Buchungsprozess angezeigt. Auch Online-Proctoring, Testcenter-Verfügbarkeit und Ausweisdokumente richten sich nach den aktuellen Vorgaben des Prüfungsanbieters und können sich ändern.

Wichtig ist auch die Erneuerung. Viele rollenbasierte Microsoft-Zertifizierungen haben eine zeitlich begrenzte Gültigkeit und können über Microsoft Learn erneuert werden, sofern die Zertifizierung noch aktiv und erneuerbar ist. Die Details gehören vor der Prüfungsbuchung geprüft, weil sich Zertifizierungsnamen, Voraussetzungen und Renewal-Regeln ändern können.

Für den Arbeitsmarkt in der DACH-Region zählt die Zertifizierung als Signal, ersetzt aber keine nachvollziehbare Praxis. Sichtbar wertvoll sind Projekte oder Labs, in denen Conditional Access sauber eingeführt, PIM-Prozesse dokumentiert, Purview-Labels getestet, DLP-Richtlinien abgestuft ausgerollt oder Defender-Incidents untersucht wurden. Gehaltsdaten können über Quellen wie Payscale oder regionale Jobportale recherchiert werden; einzelne Zahlen sollten jedoch immer nach Land, Rolle, Seniorität und Branche bewertet werden.

Wer bereits stärker in Azure-Security-Aufgaben hineinwächst, kann neben Microsoft 365 auch Azure-spezifische Sicherheitskompetenzen prüfen. Ein verwandter Überblick ist der Azure Security Engineer Zertifizierungsleitfaden, vor allem wenn Entra, Defender for Cloud, Netzwerksegmentierung und Cloud-Governance zusammen betrachtet werden.

Wie das alte MS-500-Wissen im Lebenslauf übersetzt wird

Ein alter MS-500-Eintrag sollte nicht gelöscht werden, wenn er tatsächlich erworben wurde. Besser ist eine präzise Formulierung, die den Status und die übertragenen Kompetenzfelder transparent macht. Im Profil kann etwa stehen, dass MS-500 als retired Zertifizierung geführt wird und die heutigen Schwerpunkte in Microsoft Entra ID, Microsoft Purview und Microsoft Defender weitergeführt wurden.

Diese Übersetzung ist besonders hilfreich für Recruiter und technische Hiring Manager, die nicht jede Microsoft-Zertifizierungsänderung im Detail verfolgen. Statt nur „MS-500“ zu nennen, wirkt ein Skill-Profil stärker, wenn es konkrete Tätigkeiten aufführt: Conditional-Access-Design, PIM-Betriebsmodell, DLP-Pilotierung, Sensitivity-Label-Konzept, Defender-Alert-Triage oder KQL-basierte Untersuchung. In vielen Fällen ist ein kurzes Projektportfolio überzeugender als eine reine Liste bestandener Prüfungen.

FAQ: MS-500, Nachfolge und aktueller Zertifizierungspfad

Kann man MS-500 noch bestehen?

MS-500 ist eingestellt und sollte nicht mehr als aktuelles Prüfungsziel geplant werden. Wer heute eine Microsoft-365-Sicherheitsrolle nachweisen möchte, sollte die aktiven Microsoft-Prüfungen prüfen und den Pfad nach Aufgabenbereich auswählen.

Welche Prüfung ersetzt MS-500?

Es gibt keine vollständige Eins-zu-eins-Ersetzung. Die früheren MS-500-Themen verteilen sich vor allem auf SC-300 für Identität und Zugriff, SC-400 für Informationsschutz und Compliance sowie SC-200 für Security Operations. MS-102 und MD-102 können je nach Rolle ergänzend relevant sein.

Welche Prüfung sollte zuerst kommen?

Das hängt vom Arbeitsalltag ab. Tenant- und Admin-Grundlagen sprechen für MS-102 als Fundament, Identity-Aufgaben für SC-300, Daten- und Compliance-Aufgaben für SC-400 und SOC-nahe Tätigkeiten für SC-200. Wer mehrere Bereiche kombiniert, sollte mit dem Bereich beginnen, der im eigenen Unternehmen das höchste operative Risiko trägt.

Sind alte MS-500-Lernmaterialien noch nützlich?

Teilweise ja, aber nur mit Vorsicht. Grundkonzepte wie Identitätsschutz, Bedrohungsmanagement und Compliance bleiben relevant. Veraltete Produktnamen, Portale, Prüfungsziele und Gewichtungen sollten jedoch durch aktuelle Microsoft-Learn-Informationen ersetzt werden.

Welche Kosten gelten in Deutschland?

Die verbindlichen Kosten werden im Microsoft-Prüfungsprozess regional angezeigt. Kandidaten in Deutschland, Österreich und der Schweiz sollten deshalb nicht mit alten USD-Angaben planen, sondern die aktuelle EUR- oder Landeswährungsanzeige im offiziellen Buchungsprozess prüfen.

Den nächsten Schritt sinnvoll wählen

Der wichtigste Wechsel nach MS-500 ist gedanklich: Nicht die alte Prüfung entscheidet über den Lernweg, sondern die heutige Sicherheitsaufgabe. Identität, Daten, Incidents, Tenant-Betrieb und Endpoints überschneiden sich, verlangen aber unterschiedliche Tiefe. Wer die eigene Rolle ehrlich einordnet, vermeidet Umwege und baut Fähigkeiten auf, die im Betrieb tatsächlich gebraucht werden.

Eine strukturierte Vorbereitung kann helfen, wenn sie aktuelle Prüfungsziele mit praktischen Labs verbindet. Readynez kann dabei als Trainingspartner unterstützen; entscheidend bleibt jedoch, dass Lernende die Übungen im eigenen Testkontext nachvollziehen und die Ergebnisse dokumentieren. Wer klären möchte, welcher Pfad zur eigenen Rolle passt, kann Kontakt aufnehmen und die nächsten Schritte besprechen.