Historischer Stand: 28. Juli 2026. Mit der Ablösung älterer Microsoft-365-Sicherheitsprüfungen hat sich die Zertifizierungslandschaft rund um MS-500, SC-300, SC-200 und SC-400 deutlich verändert.
First introduced in der früheren Microsoft-365-Zertifizierungswelt stand MS-500 für eine breite Security-Rolle, die Identität, Bedrohungsschutz, Informationsschutz und Compliance in einer Prüfung zusammenführte. Diese Einordnung ist heute wichtig, weil viele Suchanfragen zur MS-500 noch aus Lernplänen, Stellenprofilen oder internen Kompetenzmatrizen stammen, während Microsoft die Security-Zertifizierungen inzwischen stärker nach Rollen aufteilt.
MS-500 ist nicht mehr der naheliegende Einstiegspunkt für eine aktuelle Microsoft-Security-Zertifizierung. Die Prüfung MS-500: Microsoft 365 Security Administration wurde von Microsoft eingestellt; die offizielle Microsoft Learn-Seite beziehungsweise Archivseite bleibt dennoch die maßgebliche Quelle, wenn frühere Prüfungsziele, Zertifizierungsstatus oder historische Anforderungen nachvollzogen werden sollen. Wer heute eine Zertifizierung plant, sollte die früheren MS-500-Themen als fachlichen Hintergrund verstehen und anschließend prüfen, ob SC-300, SC-200 oder SC-400 besser zur eigenen Rolle passt.
Warum MS-500 heute anders bewertet werden muss
Die ursprüngliche Stärke der MS-500 lag in ihrer Breite. Sie passte zu Administratoren, die Microsoft 365 ganzheitlich absichern mussten: Benutzerzugriff steuern, Microsoft Defender konfigurieren, DLP-Richtlinien einführen, Auditdaten auswerten und Compliance-Funktionen verwalten. In kleineren IT-Teams ist genau diese Mischung weiterhin realistisch, weil eine Person häufig mehrere Sicherheitsaufgaben übernimmt.
In vielen Organisationen wurden diese Aufgaben jedoch inzwischen auf spezialisierte Rollen verteilt. Identity-Teams kümmern sich um Microsoft Entra ID, Conditional Access und privilegierte Zugriffe. Security-Operations-Teams untersuchen Warnungen, priorisieren Incidents und arbeiten mit Microsoft Sentinel oder Microsoft Defender XDR. Governance- und Compliance-Teams verantworten Sensitivity Labels, Retention, eDiscovery und Data Loss Prevention. Diese Entwicklung erklärt, warum Stellenanzeigen zunehmend SC-300, SC-200 oder SC-400 nennen, während MS-500-Kenntnisse eher als nützliche Vorerfahrung erscheinen.
Für erfahrene Microsoft-365-Administratoren bleibt die MS-500 dennoch wertvoll als Denkmodell. Die Prüfung zwang dazu, Sicherheitsfunktionen nicht isoliert zu betrachten, sondern als zusammenhängendes Betriebsmodell: Identitätsschutz senkt das Risiko kompromittierter Konten, Informationsschutz reduziert Datenabfluss, und Audit- sowie Compliance-Funktionen schaffen Nachvollziehbarkeit. Genau diese Verknüpfung ist in Projekten oft entscheidender als die Frage, in welchem Portal eine Einstellung zu finden ist.
Welche Themen MS-500 abdeckte
Die früheren Skills measured der MS-500 lassen sich auf vier große Arbeitsbereiche verdichten. Der erste Bereich war Identität und Zugriff: Microsoft Entra ID, sichere Authentifizierung, Rollenverwaltung, Conditional Access und der Umgang mit privilegierten Konten. Hier ging es weniger um reine Benutzerverwaltung als um die Frage, wie Zugriff risikobasiert, überprüfbar und möglichst ohne dauerhafte Überberechtigung gestaltet wird.
Der zweite Bereich betraf Bedrohungsschutz in Microsoft 365. Dazu gehörten Funktionen wie Microsoft Defender for Office 365, Schutz vor Phishing und Malware, Angriffssimulationen, sichere Anhänge, sichere Links und die Untersuchung von Warnungen. In der Praxis ist dieser Bereich eng mit Betriebsprozessen verbunden: Eine Warnung ist erst dann nützlich, wenn klar ist, wer sie bewertet, wie ein Incident eskaliert wird und welche Maßnahmen dokumentiert werden.
Der dritte Schwerpunkt lag auf Informationsschutz. Sensitivity Labels, Verschlüsselung, DLP-Richtlinien und Schutzmechanismen für SharePoint, Exchange, OneDrive und Teams waren typische Themen. Ein häufiger Fehler besteht darin, DLP rein technisch einzuführen. Ohne Beteiligung von Fachbereichen entstehen Regeln, die entweder zu viele Fehlalarme erzeugen oder die tatsächlich kritischen Datenflüsse nicht erfassen.
Der vierte Bereich war Governance und Compliance. Dazu zählten Audit-Protokolle, Aufbewahrungsrichtlinien, eDiscovery und Compliance-Workflows. Wer diese Funktionen nur als Prüfungsstoff betrachtet, unterschätzt ihren Wert im Alltag: Sie helfen bei internen Untersuchungen, regulatorischen Anfragen und der Nachvollziehbarkeit von Datenlebenszyklen. Besonders hilfreich ist es, Funktionen wie DLP, Retention und eDiscovery auf Anforderungen aus DSGVO, ISO/IEC 27001 oder internen Kontrollkatalogen abzubilden, statt nur UI-Pfade auswendig zu lernen.
Prüfungsformat und offizieller Status
Da MS-500 eingestellt wurde, sollte niemand heute eine aktive Prüfungsvorbereitung beginnen, ohne den Status auf Microsoft Learn zu prüfen. Microsoft dokumentiert dort, ob ein Exam aktiv, ersetzt oder archiviert ist, welche Zertifizierung damit verbunden war und welche Skills measured zuletzt galten. Auch Registrierungswege, Verfügbarkeit nach Region und Sprache sowie Prüfungsrichtlinien werden über Microsofts offizielle Exam- und Policy-Seiten gepflegt.
Als aktive Prüfung folgte MS-500 dem typischen Format rollenbasierter Microsoft-Exams. Kandidaten mussten mit szenariobasierten Aufgaben, Multiple-Choice-Fragen, Zuordnungsfragen und fallbezogenen Entscheidungen rechnen. Der genaue Ablauf, die verfügbare Zeit, die Sprache und die Kosten wurden über die jeweilige Microsoft-Registrierungsseite und den Prüfungsanbieter angezeigt. Für historische Recherchen ist diese Unterscheidung wichtig: Frühere Erfahrungsberichte können beim Verständnis helfen, ersetzen aber keine aktuelle Statusprüfung.
Wer bereits für MS-500 gelernt hat, sollte die investierte Zeit nicht abschreiben. Die Kernkonzepte sind weiterhin relevant, nur die Zertifizierungslogik hat sich verändert. In einer aktuellen Lernplanung geht es daher darum, die breiten MS-500-Inhalte gezielt auf eine heutige Rolle zu übertragen.
MS-500 vs SC-300, SC-200 und SC-400
Die Entscheidung zwischen den heutigen Security-Prüfungen hängt weniger von Produktinteresse als von Arbeitsaufgaben ab. SC-300 passt am ehesten zu Personen, die Identity Governance, Conditional Access, Authentifizierung, Rollen und Microsoft Entra ID verantworten. SC-200 passt zu Security-Operations-Aufgaben, also Alert-Triage, Incident Response, Defender XDR, Microsoft Sentinel und der Arbeit im SOC-Kontext. SC-400 ist sinnvoll, wenn Informationsschutz, DLP, Sensitivity Labels, Records Management, Retention und Compliance-nahe Microsoft-Purview-Funktionen den Schwerpunkt bilden.
Diese Aufteilung ist auch im Recruiting sichtbar. Eine Ausschreibung für einen Identity and Access Administrator nennt eher SC-300 als MS-500. Eine Rolle im Blue-Team- oder SOC-Umfeld verweist eher auf SC-200. Positionen in Datenschutz, Compliance Engineering oder Information Protection orientieren sich häufiger an SC-400. MS-500 taucht weiterhin gelegentlich als Erfahrungsnachweis auf, wird aber seltener als aktueller Zertifizierungspfad gefordert.
Eine einfache Entscheidungslogik hilft: Wer hauptsächlich Zugriffe sicher gestaltet, wählt die Identity-Schiene. Wer Angriffe erkennt und untersucht, wählt Security Operations. Wer Daten klassifiziert, schützt und aufbewahrt, wählt Information Protection. Wer noch nicht sicher ist, sollte die frühere MS-500-Struktur als Überblick nutzen und danach einen Schwerpunkt wählen, statt alle Themen gleichzeitig gleich tief zu verfolgen.
Praxisbeispiele aus Microsoft-365-Security-Projekten
Ein typisches Identity-Szenario beginnt mit Conditional Access. Eine Organisation möchte MFA verpflichtend einführen und den Zugriff auf Microsoft 365 zusätzlich an verwaltete, konforme Geräte binden. Die Kombination aus „Require MFA“ und „Compliant device“ kann das Risiko deutlich reduzieren, führt aber zu Problemen, wenn sie ohne Pilotgruppe, Ausnahmekonzept und Break-Glass-Konten aktiviert wird. In der Praxis sollte eine solche Richtlinie zuerst im Report-only-Modus oder mit begrenzter Zielgruppe getestet werden, bevor sie breit ausgerollt wird.
Ein zweites Szenario betrifft DLP in SharePoint und Teams. Viele Unternehmen beginnen mit einer technischen Regel, die bestimmte Datenmuster blockiert, etwa Ausweisdaten oder Finanzinformationen. Der schwierigere Teil liegt jedoch in der Abstimmung mit den Fachbereichen: Welche Daten dürfen intern geteilt werden, welche extern, welche Ausnahmen sind legitim, und wer entscheidet bei Fehlalarmen? Ohne diese Klärung wird DLP schnell als Produktivitätsbremse wahrgenommen.
Ein drittes Beispiel liegt bei Microsoft Defender for Office 365. Schutzfunktionen gegen Phishing, sichere Links und sichere Anhänge sind technisch schnell aktiviert, doch der operative Nutzen entsteht erst durch abgestimmte Prozesse. Security-Teams benötigen klare Regeln dafür, wann ein verdächtiger Link untersucht, wann eine Kampagne rückwirkend bereinigt und wann Benutzerkommunikation ausgelöst wird. Genau hier überschneiden sich frühere MS-500-Themen mit heutigen SC-200-Kompetenzen.
Vorbereitung: von MS-500-Grundlagen zu heutigen SC-Rollen
Eine gute Vorbereitung beginnt nicht mit dem Auswendiglernen von Portalpfaden. Microsoft 365-Portale ändern sich regelmäßig, Produktnamen wurden angepasst, und Azure AD heißt heute Microsoft Entra ID. Wer nur Klickfolgen lernt, verliert schnell den Überblick. Stabiler ist ein szenariobasierter Ansatz: ein Zugriffskonzept entwerfen, eine DLP-Richtlinie fachlich begründen, einen Defender-Alert untersuchen und die Ergebnisse dokumentieren.
Ein eigener Microsoft-365-Testtenant oder Microsoft 365 Dev Program Tenant ist dafür besonders hilfreich. Er ermöglicht es, Conditional-Access-Richtlinien, Sensitivity Labels, Teams-Freigaben, DLP-Regeln und Defender-Konfigurationen ohne Risiko für eine Produktionsumgebung zu testen. Praktisch ist ein gestuftes Vorgehen mit Pilotgruppen, klaren Ausschlusskonten und dokumentierten Rollback-Optionen. Bei Conditional Access sollte ein Break-Glass-Konzept nicht als Zusatz betrachtet werden, sondern als Voraussetzung für jeden ernsthaften Rollout.
Auch Blue/Green-Denken lässt sich auf Policies übertragen. Eine bestehende Richtlinie bleibt stabil, während eine neue Variante mit kleiner Zielgruppe oder im Überwachungsmodus getestet wird. Erst wenn Anmeldeprotokolle, Fehlalarme und Benutzerwirkung geprüft wurden, wird die neue Policy ausgeweitet. Dieser Ansatz reduziert Unterbrechungen und macht Vorbereitung näher an realen Betriebsentscheidungen.
Wer strukturierte Unterstützung sucht, kann einen rollenbezogenen Kurs als Ergänzung zum eigenen Lab nutzen; für den Security-Operations-Schwerpunkt ist beispielsweise der SC-200 Security Operations Analyst Kurs ein passender Bezugspunkt, weil er die frühere Bedrohungsschutz-Perspektive der MS-500 in eine heutige SOC-orientierte Rolle überführt. Entscheidend bleibt aber, dass Lernen nicht beim Lesen oder Anschauen endet. Ohne Hands-on-Übungen, Policy-Kontext und Tests im Tenant bleiben viele Sicherheitsfunktionen abstrakt.
Häufige Fehler bei der Microsoft-365-Security-Vorbereitung
Ein verbreiteter Fehler ist die zu breite Nutzung von Global-Admin-Konten. In Lernumgebungen wirkt das bequem, im Betrieb ist es riskant und verdeckt wichtige Konzepte wie Least Privilege, Privileged Identity Management und rollenbasierte Administration. Wer sich auf SC-300 oder frühere MS-500-Themen vorbereitet, sollte deshalb bewusst mit eingeschränkten Rollen arbeiten und nachvollziehen, welche Berechtigungen für welche Aufgabe wirklich erforderlich sind.
Ein weiterer Fehler ist die Einführung von Policies ohne Staging. Conditional Access, DLP und Retention können tief in Arbeitsabläufe eingreifen. Werden sie ohne Pilot, Monitoring und Kommunikationsplan aktiviert, entstehen Supportfälle, Ausnahmen und Misstrauen gegenüber Security-Maßnahmen. In Projekten zeigt sich häufig, dass ein sauberer Rollout mehr Akzeptanz schafft als eine technisch perfekte Regel, die den Geschäftsprozess nicht berücksichtigt.
Schließlich unterschätzen viele Lernende Produktumbenennungen und Portalwechsel. Microsoft Entra ID, Microsoft Purview und Defender XDR bilden heute Begriffe und Verwaltungsoberflächen ab, die in älteren MS-500-Materialien anders benannt sein können. Wer ältere Unterlagen nutzt, sollte die Konzepte übertragen und die aktuelle Terminologie auf Microsoft Learn gegenprüfen.
Wie ein sinnvoller Lernpfad aussehen kann
Ein tragfähiger Lernpfad beginnt mit einem Überblick über die früheren MS-500-Domänen und führt dann in eine klare Spezialisierung. Für Identity-lastige Rollen steht Microsoft Entra ID im Mittelpunkt: Authentifizierung, Conditional Access, Rollen, Governance und privilegierter Zugriff. Für Operations-Rollen liegt der Schwerpunkt auf Erkennung, Untersuchung und Reaktion. Für Compliance- und Data-Security-Rollen zählen Klassifizierung, Schutz, Aufbewahrung und eDiscovery.
Nach dieser Einordnung sollte die Vorbereitung in Szenarien organisiert werden. Ein Beispiel wäre ein Conditional-Access-Rollout mit Pilotgruppe, Report-only-Phase, Break-Glass-Konten und Auswertung der Sign-in-Logs. Ein zweites Beispiel wäre eine DLP-Einführung für Teams und SharePoint, bei der Fachbereiche Datenklassen, Ausnahmen und Eskalationswege festlegen. Ein drittes Beispiel wäre die Untersuchung einer Phishing-Kampagne in Defender mit anschließender Dokumentation der Maßnahmen.
Für Personen, die mehrere Security-Themen parallel vertiefen müssen, kann ein breiteres Trainingsmodell sinnvoll sein. Das Unlimited Security Training von Readynez kann hier als Weiterbildungsoption dienen, wenn Identity, Security Operations und Information Protection nicht nacheinander, sondern über einen längeren Zeitraum aufgebaut werden sollen. Der fachliche Schwerpunkt sollte trotzdem aus der Rolle abgeleitet werden, nicht aus der Anzahl verfügbarer Kurse.
Der richtige nächste Schritt
MS-500 ist heute vor allem als historischer und fachlicher Referenzpunkt nützlich. Die Prüfung erklärt, wie Microsoft 365 Security früher als breite Administratorrolle gedacht war; die aktuellen SC-Zertifizierungen zeigen, wie Microsoft diese Arbeit inzwischen nach Identity, Security Operations und Information Protection differenziert. Wer eine Zertifizierung für den Arbeitsmarkt oder die nächste interne Rolle plant, sollte deshalb nicht bei MS-500 stehen bleiben.
Der sinnvollste nächste Schritt ist eine ehrliche Zuordnung der eigenen Aufgaben. Wenn Zugriffe, Rollen und Authentifizierung den Alltag prägen, führt der Weg zu SC-300. Wenn Warnungen, Incidents und Detection Engineering im Mittelpunkt stehen, ist SC-200 näher. Wenn Datenklassifizierung, DLP, Retention und Compliance-Prozesse entscheidend sind, passt SC-400 besser. Wer die früheren MS-500-Grundlagen mit praktischen Labs verbindet und anschließend eine dieser Rollen vertieft, baut Fähigkeiten auf, die auch ohne aktive MS-500-Prüfung relevant bleiben.
