Microsoft schaltet die Zertifizierung Azure Security Engineer Associate (AZ-500) am 31. August 2026 endgültig ab. Nach diesem Datum können Sie die Prüfung weder neu ablegen noch verlängern. Der offizielle Nachfolger heißt SC-500 – Cloud and AI Security Engineer Associate und ist seit Sommer 2026 allgemein verfügbar.
Dieser Artikel zeigt, was sich inhaltlich wirklich verschiebt, was Microsoft sich dabei denkt und was das für Sie als AZ-500-Kandidat oder -Kandidatin konkret bedeutet.
Die Fakten zum Retirement
| Punkt | Stand |
|---|---|
| Retirement-Datum AZ-500 | 31. August 2026 (Prüfung, Zertifizierung und Renewal-Assessment) |
| Nachfolge-Prüfung | SC-500 – Implementing End-to-End Security Controls for Cloud and AI Workloads |
| Status SC-500 | Allgemein verfügbar (GA), nach Beta-Phase ab Mitte Mai 2026 |
| Neuer Zertifikatsname | Microsoft Certified: Cloud and AI Security Engineer Associate |
| Dauer / Bestehensgrenze | 120 Minuten, 700 von 1.000 Punkten (identisch zu AZ-500) |
Nach dem 31. August 2026 verschwindet AZ-500 nicht rückwirkend aus Ihrem Lebenslauf – bereits erworbene Zertifizierungen bleiben als Nachweis bestehen. Neu ablegen oder verlängern können Sie sie ab diesem Datum aber nicht mehr. Wer die Prüfung noch machen will, muss das vorher erledigen.
Warum SC-500 und nicht einfach „AZ-500 v2“?
Der Namenswechsel von „Azure Security Engineer“ zu „Cloud and AI Security Engineer“ ist kein Marketing-Feinschliff. Microsoft ordnet die Prüfung damit in die eigene SC-Reihe ein (SC-200, SC-300, SC-400, SC-500) statt in die AZ-Reihe für reine Infrastruktur-Rollen.
Die Begründung, sinngemäß aus Microsofts eigener Ankündigung: Organisationen, die Copilot, Azure-OpenAI-Deployments, KI-Agents und generative KI-Anwendungen produktiv betreiben, haben eine neue Angriffsfläche, die klassische Security-Frameworks nicht abdecken. Wer heute als Security Engineer arbeitet, kommt an KI-Workloads nicht mehr vorbei – deshalb wird KI-Sicherheit zur Grundkompetenz der Prüfung, nicht zur Kür.
Die vier Prüfungsdomänen im Vergleich
| AZ-500 (bisher) | Gewichtung | SC-500 (neu) | Gewichtung |
|---|---|---|---|
| Secure Identity and Access | 15–20 % | Manage identity, access, and governance | 20–25 % |
| Secure Networking | 20–25 % | Secure storage, databases, and networking | 25–30 % |
| Secure Compute, Storage, and Databases | 20–25 % | ||
| — | — | Secure compute (inkl. neuer KI-Sicherheit) | 20–25 % |
| Secure Azure using Defender for Cloud and Sentinel | 30–35 % | Manage and monitor security posture | 20–25 % |
Auf den ersten Blick sieht das nach einer reinen Umsortierung aus. Bei genauerem Hinsehen verschiebt sich aber deutlich mehr als nur die Überschriften.
Wie sich die Inhalte tatsächlich verlagert haben
Governance wandert zur Identität. Azure Policy, Compliance-Bewertung über Defender for Cloud, Resource Locks und die Verwaltung von Rollenzuweisungen gehörten bei AZ-500 zur großen Domäne „Defender for Cloud und Sentinel“ (30–35 %, die schwergewichtigste Domäne der alten Prüfung). Bei SC-500 stehen diese Themen jetzt direkt in der Identitäts-Domäne „Manage identity, access, and governance“. Identität und Governance werden damit als ein zusammenhängendes Thema geprüft, nicht mehr getrennt von Rollen- und Policy-Steuerung.
Netzwerk verliert den Alleinstatus. Eine eigene Netzwerk-Domäne gibt es bei SC-500 nicht mehr – NSGs, ASGs, Virtual WAN, Azure Firewall, Private Link und Microsoft Entra Private Access laufen jetzt zusammen mit Storage- und Datenbank-Sicherheit unter „Secure storage, databases, and networking“. Inhaltlich fällt dabei kaum etwas weg, es wird nur breiter gebündelt.
Container- und App-Plattform-Sicherheit zieht um. AKS, Container Apps, Azure Functions, App Service und API Management gehörten bei AZ-500 zur Compute/Storage/Datenbank-Domäne. Bei SC-500 stehen sie jetzt in der neuen Domäne „Secure compute“ – direkt neben dem eigentlich neuen Stoff.
Der wirklich neue Teil: KI-Sicherheit als eigener Prüfungsabschnitt. Innerhalb von „Secure compute“ gibt es bei SC-500 einen kompletten Unterabschnitt „Implement security for AI“, für den es bei AZ-500 keine Entsprechung gibt:
- Überexponierte Daten in SharePoint identifizieren
- Risiken rund um Copilot und KI-Apps über Microsoft Purview Data Security Posture Management (DSPM) erkennen
- Echtzeitschutz für Copilot-Studio-Agents konfigurieren
- Conditional Access für Microsoft Entra Agent ID einrichten und den „Blast Radius“ von Agent-Risiken über Defender XDR analysieren
- AI Gateway in Azure API Management für Microsoft Foundry konfigurieren
- Defender for AI Service in Defender for Cloud aktivieren und über das Data-and-AI-Security-Dashboard überwachen
Dazu kommt in der Domäne „Manage and monitor security posture“ ein eigener Abschnitt zu „Microsoft Security Copilot„ selbst – Workspaces konfigurieren, Rollen vergeben, Plugins und Agents aktivieren. Sicherheits-Engineers sollen die KI-gestützten Werkzeuge also nicht nur gegen Angriffe absichern, sondern auch aktiv damit arbeiten.
Die Voraussetzungen ändern sich mit. Der AZ-500 setzte praktische Erfahrung mit Azure-Administration und Microsoft Entra ID voraus – reine Infrastruktur-Kompetenz. Der SC-500 verlangt zusätzlich „Familiarity with Microsoft 365 administration“, weil ein Teil der neuen KI-Sicherheitsaufgaben in Purview und im M365 Admin Center stattfindet, nicht in Azure selbst. Wer bislang nur mit Azure gearbeitet hat, muss sich also ein Stück weit in Richtung Microsoft 365 öffnen.
Was das für Sie bedeutet
Wer die Prüfung noch mit dem etablierten, reinen Azure-Infrastruktur-Fokus ablegen will, hat dafür nur noch bis zum 31. August 2026 Zeit. Wer neu einsteigt oder ohnehin Richtung KI-Sicherheit plant, sollte direkt auf SC-500 zielen – der Umweg über AZ-500 lohnt sich für Neustarter nicht mehr. Für alle, die AZ-500 bereits besitzen, ändert sich am bestehenden Nachweis nichts; SC-500 kommt als zusätzliche, breitere Qualifikation dazu, nicht als Pflicht-Upgrade.
💡 Tipp: Sie wollen die Azure-Security-Prüfung noch im etablierten AZ-500-Format ablegen? Das ist die letzte Gelegenheit dafür. → Zum Kursangebot