SC-100 ist die Microsoft-Zertifizierung für Sicherheitsarchitekturen, die bewertet, ob operative Kompetenzen aus SC-200, SC-300 und AZ-500 zu einer belastbaren Cybersecurity-Architektur zusammengeführt werden können.
Die Microsoft Certified: Cybersecurity Architect Expert-Zertifizierung richtet sich an erfahrene Sicherheits- und Cloud-Fachleute, die Identität, Bedrohungsschutz, Datenklassifizierung, Plattformschutz und Governance in ein gemeinsames Zielbild bringen müssen. Der Schwerpunkt liegt weniger auf einzelnen Produktfunktionen als auf Architekturentscheidungen: Welche Kontrollen reduzieren welches Risiko, wie werden sie betrieben, und wie passen sie zu Anforderungen wie Zero Trust, DSGVO, Hybridbetrieb und Cloud-Governance?
Zuletzt aktualisiert: 28. Juli 2026. Grundlage dieses Artikels sind die öffentlich verfügbaren Microsoft Learn-Informationen zur Zertifizierung Microsoft Certified: Cybersecurity Architect Expert, zur Prüfung SC-100, zur Skills Outline und zu den Microsoft-Prüfungsrichtlinien. Produktbezüge wie Microsoft Entra ID, Microsoft Defender, Microsoft Purview, Microsoft Sentinel und Azure Policy werden hier erklärend eingeordnet, nicht als Ersatz für die jeweils aktuelle Microsoft-Dokumentation.
Was SC-100 prüft und warum die Zertifizierung anders ist
SC-100 ist ein Architektenexamen. Kandidaten müssen zeigen, dass sie Sicherheitsstrategien entwerfen können, die mehrere Microsoft-Technologien und Unternehmensanforderungen verbinden. In der Praxis bedeutet das, ein Sicherheitszielbild zu formulieren, Prioritäten zu setzen, Risiken in technische Kontrollen zu übersetzen und die spätere Betriebsfähigkeit mitzudenken.
Ein typisches SC-100-Szenario könnte ein Unternehmen betreffen, das mehrere Microsoft 365-Tenants, eine hybride Identitätsumgebung, Azure-Workloads und lokale Legacy-Anwendungen betreibt. Eine rein produktorientierte Antwort würde einzelne Features nennen. Eine architektonisch bessere Antwort beschreibt, welche Identitätsgrenzen bestehen, wie bedingter Zugriff und privilegierter Zugriff abgesichert werden, wo Telemetrie zusammenläuft, welche Daten klassifiziert werden müssen und welche Governance-Kontrollen verhindern, dass neue Risiken unbemerkt entstehen.
Die geprüften Themen lassen sich grob in mehrere Architekturperspektiven einordnen: Sicherheitsstrategie und Zero Trust, SecOps und Bedrohungsmanagement, Identität und Zugriff, Schutz sensibler Daten sowie Plattform- und Anwendungssicherheit. Microsoft kann die Gewichtung und Detailstruktur der Prüfung ändern; verbindlich ist daher immer die aktuelle Skills Outline auf Microsoft Learn.
Prüfungsüberblick: Format, Registrierung und offizielle Angaben
Die SC-100-Prüfung wird über Microsoft in Verbindung mit Pearson VUE gebucht. Die Registrierung erfolgt über die offizielle Microsoft Learn-Seite zur Prüfung SC-100, auf der Kandidaten ihr Konto verwenden, verfügbare Prüfungsoptionen auswählen und anschließend die Buchung bei Pearson VUE abschließen. Dort werden auch regionale Verfügbarkeiten, Spracheinstellungen, Prüfungsrichtlinien und der aktuelle Preis angezeigt.
Microsoft-Prüfungen können unterschiedliche Fragetypen enthalten, darunter Multiple-Choice-Fragen, Drag-and-Drop-Aufgaben, Reihenfolgen, Szenariofragen und Fallstudien. Gerade bei SC-100 sind Fallstudien wichtig, weil sie die Fähigkeit prüfen, mehrere Anforderungen gegeneinander abzuwägen. Die Prüfungsdauer, unterstützte Sprachen und Gebühren sollten nicht aus Sekundärquellen übernommen werden, da Microsoft diese Angaben regional oder im Laufe der Zeit anpassen kann.
Für die Vorbereitung ist diese Unsicherheit kein Nachteil. Wer die offizielle Prüfungsseite regelmäßig prüft, arbeitet mit der aktuellen Struktur und vermeidet veraltete Lernpläne. Sinnvoll ist außerdem, die Microsoft Exam Policies vor der Buchung zu lesen, weil dort Regeln zu Umbuchung, Identitätsprüfung, Online-Proctoring und Prüfungsverhalten beschrieben sind.
Wie die SC-100-Domänen in reale Architekturentscheidungen übersetzt werden
Der Nutzen von SC-100 zeigt sich vor allem dort, wo Sicherheit nicht als Sammlung einzelner Tools verstanden wird. Ein Zero-Trust-Zielbild beginnt beispielsweise nicht mit der Frage, welche Lizenzfunktion aktiviert werden kann, sondern mit einer Risikoentscheidung: Welche Identitäten sind kritisch, welche Daten benötigen besonderen Schutz, welche Workloads müssen segmentiert werden, und welche Signale reichen aus, um Zugriff dynamisch zu erlauben oder zu blockieren?
In Microsoft-Umgebungen entsteht daraus häufig ein schrittweiser Entwurf. Microsoft Entra ID bildet die Grundlage für Identität, Authentifizierung, bedingten Zugriff und privilegierten Zugriff. Microsoft Defender liefert Schutz- und Erkennungssignale für Endpunkte, Identitäten, Cloud-Apps und Workloads. Microsoft Sentinel bündelt sicherheitsrelevante Telemetrie für Analyse, Korrelation und Reaktion. Microsoft Purview unterstützt Informationsschutz, Klassifizierung, Aufbewahrung und Compliance-Prozesse. Azure Policy und verwandte Governance-Funktionen helfen, Plattformvorgaben kontrollierbar umzusetzen.
Die Schwierigkeit liegt selten in einem einzelnen Produkt. Typische Stolpersteine entstehen an den Übergängen: mehrere Tenants mit unterschiedlichen Sicherheitsstandards, Hybrididentitäten mit alten Authentifizierungsprotokollen, Fachanwendungen ohne moderne Zugriffskontrollen, uneinheitliche Datenklassifizierung oder SecOps-Teams, die zu viele Warnungen ohne klare Priorisierung erhalten. SC-100 verlangt deshalb ein Denken in Referenzarchitekturen, Betriebsmodellen und Kontrollketten.
Ein praktisches Beispiel ist der Schutz sensibler Kundendaten. Eine isolierte Maßnahme wäre, Labels in Microsoft Purview zu konfigurieren. Eine architektonische Lösung verbindet Datenklassifizierung, Zugriffsrichtlinien, Endpoint-Schutz, Protokollierung, Incident Response und Nachweisführung. Erst dadurch lässt sich eine regulatorische Anforderung wie DSGVO-konformer Zugriffsschutz in prüfbare technische und organisatorische Kontrollen überführen.
SC-100 im Vergleich zu SC-200, SC-300 und AZ-500
Viele Kandidaten kommen aus einer Associate-Rolle und fragen sich, ob SC-100 der nächste sinnvolle Schritt ist. Die Entscheidung hängt davon ab, ob die aktuelle Arbeit stärker operativ, identitätsbezogen, plattformnah oder architektonisch geprägt ist. SC-100 ersetzt die Associate-Examen nicht; es baut auf Erfahrungen auf, die in diesen Rollen häufig entstehen.
| Ausgangsrolle |
Sinnvolle Ergänzung zu SC-100 |
Warum diese Kombination hilft |
| Security Operations Analyst oder SOC Lead |
SC-200 |
Stärkt das Verständnis für Erkennung, Untersuchung, Reaktion und die operative Realität von Defender- und Sentinel-Umgebungen. |
| Identity Engineer oder IAM-Verantwortlicher |
SC-300 |
Vertieft Entra ID, Zugriffskontrollen, Identitätsgovernance und privilegierte Zugriffsmodelle als Grundlage vieler Zero-Trust-Entscheidungen. |
| Azure Security Engineer oder Plattformverantwortlicher |
AZ-500 |
Ergänzt SC-100 um konkrete Plattformkontrollen für Netzwerke, Workloads, Key Management, Governance und Cloud Security Posture. |
Die aktuelle Zertifizierungslogik sollte vor der Planung immer auf der Microsoft-Zertifizierungsseite geprüft werden, weil Voraussetzungen und Kombinationsregeln angepasst werden können. Aus Lernsicht bleibt die Matrix dennoch nützlich: Wer aus dem SOC kommt, muss meist stärker in Identität, Daten und Cloud-Governance investieren. Wer aus dem IAM-Bereich kommt, sollte Bedrohungsmodellierung, SecOps-Prozesse und Plattformschutz ergänzen. Wer aus Azure-Infrastruktur kommt, profitiert davon, Microsoft 365-Sicherheit und Informationsschutz nicht als Randthema zu behandeln.
Ein häufiger Fehler besteht darin, SC-100 wie ein Produkt-Examen vorzubereiten. Kandidaten lernen dann Funktionen auswendig, können aber in einer Fallstudie nicht begründen, warum eine Maßnahme vor einer anderen umgesetzt werden sollte. Besser ist ein Ende-zu-Ende-Ansatz: Risiko identifizieren, Zielarchitektur beschreiben, Kontrollauswahl begründen, Betriebsfolgen bewerten und Nachweisführung berücksichtigen.
Vorbereitung: vom Wissen zur Architekturentscheidung
Eine solide SC-100-Vorbereitung beginnt mit der offiziellen Skills Outline. Danach sollte jedes Themengebiet in ein praktisches Szenario übersetzt werden. Bei Identität geht es nicht nur um bedingten Zugriff, sondern um die Frage, wie eine Organisation Benutzer, Workloads, Gäste, Administratoren und alte Anwendungen differenziert behandelt. Bei SecOps geht es nicht nur um Microsoft Sentinel-Regeln, sondern um Erkennungslogik, Eskalation, Automatisierung und Zuständigkeiten.
Für erfahrene Kandidaten ist eine eigene Übungsumgebung besonders hilfreich, auch wenn sie nicht jedes Enterprise-Feature vollständig abbilden kann. Eine Testumgebung mit Entra ID, Azure-Abonnements, Microsoft Defender-Konfigurationen, Sentinel-Workspaces und einfachen Datenklassifizierungsbeispielen macht sichtbar, wo Architekturentscheidungen technische Abhängigkeiten erzeugen. Gleichzeitig sollte die Vorbereitung Datenschutz und Governance nicht ausklammern, da gerade diese Themen in realen Architekturen häufig über Akzeptanz und Auditierbarkeit entscheiden.
Fallstudien verdienen eine eigene Prüfungstaktik. Kandidaten sollten zuerst die Geschäftsanforderungen, Einschränkungen und Risiken lesen, dann die Antwortoptionen gegen diese Vorgaben prüfen und erst danach Produktdetails bewerten. Bei architektonischen Trade-offs zählen Kosten, Betriebsaufwand, Risiko, Umsetzbarkeit und Compliance. Wenn mehrere Antworten technisch möglich wirken, ist meist die Lösung überzeugender, die das vorgegebene Risiko mit den wenigsten Nebenwirkungen kontrolliert.
In der Prüfung selbst hilft Time-Boxing. Fallstudien sollten nicht so viel Zeit verbrauchen, dass spätere Fragen unter Druck geraten. Mark-for-Review ist sinnvoll, wenn eine Entscheidung von einem Detail abhängt, das später im Szenario klarer wird. Wer jede Frage wie eine isolierte Produktabfrage behandelt, verliert leicht den roten Faden; wer Anforderungen konsequent priorisiert, erkennt die passendere Architekturentscheidung schneller.
Welche Kompetenzen Arbeitgeber bei Cybersecurity-Architekten suchen
Die Zertifizierung kann eine belastbare Gesprächsgrundlage schaffen, aber sie ersetzt keine Architekturpraxis. In Bewerbungs- und Projektkontexten zählt vor allem, ob ein Kandidat abstrakte Vorgaben in umsetzbare Referenzarchitekturen überführen kann. Dazu gehören Zielbilder, Kontrollkataloge, Migrationspfade, Betriebsmodelle und klare Entscheidungen darüber, welche Risiken akzeptiert, reduziert oder überwacht werden.
Besonders wertvoll ist die Fähigkeit, regulatorische Anforderungen in technische Kontrollen zu übersetzen. Eine DSGVO-Anforderung an Zugriff, Zweckbindung oder Nachvollziehbarkeit wird in der Architektur erst greifbar, wenn Identitätskontrollen, Datenklassifizierung, Protokollierung, Aufbewahrung, Incident Response und Verantwortlichkeiten zusammenpassen. Genau diese Übersetzungsarbeit unterscheidet einen Architekten von einem reinen Tool-Spezialisten.
Ressourcen und strukturierte Lernwege
Die wichtigste Quelle bleibt Microsoft Learn, insbesondere die Zertifizierungsseite, die Prüfungsseite SC-100, die Skills Outline und die Dokumentation zu Entra ID, Defender, Purview, Sentinel und Azure Governance. Ergänzend kann ein strukturierter Kurs sinnvoll sein, wenn Kandidaten ihre Erfahrung in eine prüfungsnahe Architekturperspektive bringen möchten. Ein SC-100-Vorbereitungskurs von Readynez kann dabei helfen, Szenarien systematisch durchzuarbeiten, ohne die offizielle Microsoft-Dokumentation zu ersetzen.
Wer mehrere Microsoft-Sicherheits- und Cloud-Themen parallel vertiefen muss, sollte den Lernplan nicht nur auf SC-100 begrenzen. Identität, SecOps, Plattformschutz und Governance greifen in Projekten ineinander. Für breitere Lernpfade kann Unlimited Microsoft Training eine Option sein, wenn neben SC-100 auch angrenzende Microsoft-Themen strukturiert aufgebaut werden sollen.
FAQ zur SC-100-Zertifizierung
Ist SC-100 für Einsteiger geeignet?
SC-100 ist eher für erfahrene Fachleute gedacht. Wer noch wenig Praxis mit Microsoft-Sicherheit, Azure, Identität oder SecOps hat, sollte zuerst operative Grundlagen aufbauen und dann zur Architektenperspektive wechseln.
Muss vor SC-100 ein Associate-Examen bestanden werden?
Die Zertifizierungsanforderungen können sich ändern. Deshalb sollte die aktuelle Voraussetzung immer auf der offiziellen Microsoft-Zertifizierungsseite geprüft werden. Aus fachlicher Sicht sind SC-200, SC-300 oder AZ-500 häufig sinnvolle Ergänzungen, weil sie operative Tiefe in SecOps, Identität oder Azure-Sicherheit liefern.
Wie unterscheidet sich die Vorbereitung von anderen Microsoft-Sicherheitsexamen?
Bei SC-100 reicht es nicht, einzelne Konfigurationsschritte zu kennen. Die Vorbereitung sollte stärker auf Szenarien, Zielarchitekturen, Trade-offs, Governance und Risikobegründungen ausgerichtet sein. Produktwissen bleibt wichtig, dient aber der Architekturentscheidung.
Der nächste sinnvolle Schritt
SC-100 ist besonders wertvoll für Fachleute, die Microsoft-Sicherheitsdienste nicht isoliert betreiben, sondern zu einer kontrollierbaren Sicherheitsarchitektur verbinden müssen. Der praktische Nutzen entsteht, wenn Zero Trust, Identität, Daten, SecOps und Plattformschutz gemeinsam geplant werden und die resultierenden Kontrollen im Betrieb nachweisbar funktionieren.
Ein pragmatischer nächster Schritt ist, die aktuelle Microsoft Skills Outline mit den eigenen Projekterfahrungen abzugleichen und die größten Lücken zu markieren. Wer anschließend eine geführte Vorbereitung bevorzugt, kann den verlinkten SC-100-Kurs bei Readynez als strukturierten Lernweg prüfen und parallel mit offiziellen Microsoft-Learn-Ressourcen arbeiten.
