Microsoft AZ-305: Sicherheitsarchitektur und Zero Trust — Lernleitfaden

By Laurynas Brazys · 11 August 2026 · #microsoft #az-305 #certification #exam-prep #study-guide

Teil des Microsoft Azure Solutions Architect Expert AZ-305 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Sicherheitsarchitektur auf Azure basiert auf dem Zero-Trust-Modell: Niemals vertrauen, immer verifizieren, explizit autorisieren und von einer Kompromittierung ausgehen. Architekturen müssen identitätsgesteuerten Zugriff, Mikrosegmentierung, starken Datenschutz sowie kontinuierliche Bedrohungserkennung und -reaktion durchsetzen. Dieser Abschnitt verbindet die Grundpfeiler – Identität und Geheimnisse, Datenschutz, Netzwerkkontrollen und cloud-native Bedrohungsabwehr – zu kohärenten Designs, die auf die Fähigkeiten der Azure-Plattform abgestimmt sind.

Identität, Geheimnisse und Zero-Trust-Grundlagen

Zero Trust beginnt mit starker Identitätsüberprüfung und dem Prinzip der geringsten Rechte (Least Privilege). Jede Workload- und menschliche Identität sollte zum Zeitpunkt des Zugriffs bewertet werden, mit bedingten Kontrollen und kurzlebigen Token. Setzen Sie das Prinzip der geringsten Rechte durch, indem Sie Berechtigungen auf den kleinstmöglichen Satz von Aktionen auf der engsten Ressourcengrenze beschränken und, wo anwendbar, Just-in-Time (JIT)-Rechteerweiterungen mit Privileged Identity Management (PIM) bevorzugen.

Azure Key Vault ist zentral für die Verwaltung von Geheimnissen und Schlüsseln. Es gibt zwei Autorisierungsmodelle für die Datenebene:

Zugriffsrichtlinien (Access Policies) sind das ältere ACL-Modell pro Tresor. Sie gewähren Prinzipalen granulare Berechtigungen für Geheimnisse/Schlüssel/Zertifikate, integrieren sich aber nicht mit Azure RBAC-Verweigerungszuweisungen (Deny Assignments) oder PIM und erschweren die Governance in großem Maßstab, da ihr Geltungsbereich auf den Tresor beschränkt ist.
Azure RBAC für Key Vault ist das moderne Modell. Wenn es für den Tresor aktiviert ist, werden die Berechtigungen der Datenebene durch Azure RBAC-Rollen (z. B. Key Vault Secrets User, Key Vault Crypto Officer) gesteuert, über Geltungsbereiche (Verwaltungsgruppe, Abonnement, Ressourcengruppe) vererbt, unterstützen Verweigerungszuweisungen und integrieren sich mit PIM und Access Reviews. Wählen Sie RBAC für Konsistenz und zentralisierte Governance; mischen Sie die Modelle nicht auf demselben Tresor.

Vorläufiges Löschen (Soft Delete) und Löschschutz (Purge Protection) verhindern versehentlichen oder böswilligen Verlust. Vorläufiges Löschen bewahrt gelöschte Objekte für eine Aufbewahrungsfrist (konfigurierbar von 7–90 Tagen, Standard 90) auf und ermöglicht deren Wiederherstellung. Der Löschschutz verhindert, wenn er aktiviert ist, die endgültige Löschung (Purge) von vorläufig gelöschten Elementen bis zum Ablauf der Aufbewahrungsfrist, selbst durch hochprivilegierte Benutzer. Aktivieren Sie für Produktions-Tresore beides. Managed HSM bietet dedizierte, nach FIPS 140-2 Level 3 validierte Hardware-Sicherheitsmodule unter der Kontrolle von Azure. Es unterstützt nur Schlüssel (keine Geheimnisse/Zertifikate), verwendet Azure RBAC mit Rollen wie Managed HSM Administrator, Crypto Officer und Crypto User und hat vorläufiges Löschen sowie Löschschutz immer aktiviert. Verwenden Sie Managed HSM, wenn Sie hardwaregestützte Schlüsselisolierung, Quorum-basierte Verwaltung oder regulatorische Zusicherungen für kryptografische Grenzkontrollen benötigen.

Azure Managed Identities eliminieren die Notwendigkeit von Anmeldeinformationen für in Azure gehostete Workloads. Systemseitig zugewiesene Identitäten (System-assigned identities) sind an den Lebenszyklus einer einzelnen Ressource gebunden; das Löschen der Ressource löscht auch die Identität. Sie sind ideal für einzelne Ressourcen (eine Function App oder VM), die unabhängige Autorisierungsgrenzen benötigen. Benutzerseitig zugewiesene Identitäten (User-assigned identities) sind eigenständig und können mehreren Ressourcen zugewiesen werden; sie bleiben bestehen, wenn Compute-Ressourcen ersetzt oder horizontal skaliert werden, was sie für Flotten, Blue/Green-Deployments oder wenn eine konsistente Identität über Instanzen hinweg erforderlich ist, geeignet macht. Workloads erhalten Token ohne Geheimnisse, indem sie den Instance Metadata Service (IMDS) unter 169.254.169.254 oder den Managed-Identity-Endpunkt der Plattform aufrufen und ein Zugriffstoken für eine Ressource anfordern (z. B. https://vault.azure.net für Key Vault). Verwenden Sie Azure RBAC, um der Identität Rollen mit den geringsten Rechten für die Zielressourcen zu gewähren; die Plattform rotiert die Anmeldeinformationen automatisch.

Azure AD Workload Identity Federation macht die Speicherung von Cloud-Anmeldeinformationen in externen CI/CD-Systemen und Kubernetes überflüssig. Erstellen Sie bei GitHub Actions eine föderierte Anmeldeinformation (federated credential) für die Azure AD-Anwendung, indem Sie den GitHub OIDC-Issuer (token.actions.githubusercontent.com) verwenden und die Gültigkeit auf Repository, Branch oder Umgebung beschränken. GitHub tauscht zur Laufzeit sein OIDC-Token gegen ein Azure AD-Token aus; weisen Sie dieser App Azure-Rollen zu und setzen Sie das Prinzip der geringsten Rechte pro Workflow durch. Aktivieren Sie für Kubernetes (AKS) OIDC auf dem Cluster und konfigurieren Sie die Azure AD Workload Identity. Ordnen Sie das OIDC-Token eines ServiceAccounts über eine föderierte Anmeldeinformation einer Azure AD-Anwendung oder einer benutzerseitig zugewiesenen verwalteten Identität zu und binden Sie dann Azure-Rollen an diese Identität. Pods tauschen ihr projiziertes OIDC-Token gegen Azure-Token aus, um Dienste wie Key Vault oder Storage aufzurufen – es sind keine Geheimnisse oder Agenten auf Knotenebene erforderlich und die Isolation ist besser als bei der veralteten aad-pod-identity.

Bedrohungsschutz, SIEM/SOAR und Cloud-App-Governance

Microsoft Defender for Cloud bietet Cloud-Sicherheitsstatusverwaltung und Workload-Schutz. Der Secure Score quantifiziert das Risiko, indem er Fehlkonfigurationen bewertet und gehärtete Einstellungen empfiehlt (z. B. die Aktivierung von MFA, die Erzwingung der Festplattenverschlüsselung oder die Einschränkung öffentlicher Endpunkte). Fördern Sie Verbesserungen des Secure Score durch Richtlinienzuweisungen auf der Ebene der Verwaltungsgruppe, um Baselines zu standardisieren. Der Workload-Schutz erstreckt sich auf Server, Container, Datenbanken, Storage, Key Vault und App Service, um Bedrohungserkennung, Schwachstellenbewertungen und Funktionen wie Just-in-Time-VM-Zugriff, adaptive Anwendungssteuerungen und Überwachung der Dateiintegrität bereitzustellen. Die Einhaltung gesetzlicher Vorschriften bildet Ihre Umgebung auf Standards (Azure Security Benchmark, CIS, PCI-DSS, ISO 27001) ab und zeigt bestandene/nicht bestandene Prüfungen anhand von Richtlinienkontrollen an; nutzen Sie dies, um Lücken mit den Governance-Stakeholdern zu verfolgen und zu beheben.

Microsoft Sentinel ist das cloud-native SIEM und SOAR. Datenkonnektoren nehmen Telemetriedaten von Azure Activity, Azure AD-Anmeldungen und -Audits, Microsoft 365, der Microsoft Defender-Suite, Azure-Ressourcen und Nicht-Azure-Quellen über Syslog/CEF oder die AMA/Log Analytics Agents auf. Analyseregeln erkennen Bedrohungen mithilfe von KQL: geplante Regeln für periodische Korrelation, Nahezu-Echtzeit-Regeln für die Erkennung mit geringer Latenz und Machine-Learning-/Anomalie-Vorlagen für verhaltensbasierte Einblicke. Passen Sie Regelschwellenwerte, Unterdrückung und Entitätszuordnungen an, um das Rauschen zu reduzieren und Incidents anzureichern. Automatisieren Sie Reaktionen mit SOAR-Playbooks, die in Logic Apps erstellt werden; lösen Sie die Isolierung kompromittierter Hosts über Defender for Endpoint aus, deaktivieren Sie verdächtige Konten in Azure AD, widerrufen Sie Sitzungen, löschen Sie bösartige E-Mails oder benachrichtigen und öffnen Sie Tickets. Verwenden Sie Automatisierungsregeln, um Incidents weiterzuleiten, nach Schweregrad zu kennzeichnen und Playbooks basierend auf Incident-Eigenschaften aufzurufen.

Microsoft Defender for Cloud Apps steuert die SaaS-Nutzung. Die Schatten-IT-Erkennung erfasst Firewall-/Proxy-Protokolle und Endpunkt-Telemetrie, um nicht genehmigte Apps zu identifizieren, sie nach Risiko einzustufen und Ihnen zu ermöglichen, sie zu genehmigen/nicht zu genehmigen. Integrieren Sie es mit Defender for Endpoint für eine kontinuierliche Erkennung. Sitzungssteuerungen wenden Conditional Access App Control in Echtzeit über einen Reverse-Proxy an, um Richtlinien wie das Blockieren von Downloads für nicht verwaltete Geräte, das Erzwingen der Dokumentenkennzeichnung vor dem Download, das Anwenden von Wasserzeichen oder das Einschränken von Ausschneiden/Kopieren/Einfügen durchzusetzen – ohne die SaaS-App zu ändern.

Datenschutz und Confidential Computing

Azure Information Protection operationalisiert die Datenklassifizierung und den Schutz durch Vertraulichkeitsbezeichnungen. Bezeichnungen definieren die Klassifizierung, visuelle Markierungen, Verschlüsselung (Azure Rights Management) und Nutzungsrechte (Anzeigen, Drucken, Weiterleiten, Offline-Zugriff). Veröffentlichen Sie Bezeichnungen über Bezeichnungsrichtlinien für ausgewählte Benutzer und fordern Sie gegebenenfalls eine obligatorische Bezeichnung an. Richtlinien zur automatischen Bezeichnung können Bezeichnungen in Office-Apps auf Endpunkten basierend auf der Inhaltsprüfung (z. B. PII-Muster, Schlüsselwörter) und im Ruhezustand/während der Übertragung in Diensten durch Data-Governance-Tools anwenden, was Benutzerfehler reduziert und den Basisschutz stärkt. Verwenden Sie Begründungsaufforderungen für Herabstufungen und auditieren Sie Bezeichnungsänderungen, um die Governance zu unterstützen.

Azure Confidential Computing schützt Daten während der Nutzung, indem Workloads in hardwarebasierten Trusted Execution Environments ausgeführt werden. Vertrauliche VMs (z. B. AMD SEV-SNP oder Intel TDX) verschlüsseln den VM-Speicher und bieten Integrität, wodurch Gast-Workloads vom Cloud-Host und anderen Mandanten abgeschirmt werden. Verwenden Sie sie für Lift-and-Shift-Szenarien, die Schutz auf Enklaven-Niveau ohne Anwendungsänderungen erfordern. Vertrauliche Container in AKS führen containerisierte Workloads auf vertraulichen Knotenpools aus; kombinieren Sie sie mit verschlüsselten Container-Images und Attestierung, um sicherzustellen, dass nur attestierte Workloads ausgeführt werden. Die Attestierung wird mit Azure Attestation durchgeführt, um Plattform- und Workload-Messungen (Quotes) zu verifizieren, bevor Geheimnisse freigegeben werden. Integrieren Sie Attestierungsprüfungen in Ihre Steuerungsebene oder Bereitstellungspipeline; nur nach erfolgreicher Attestierung sollte Key Vault oder ein externer KMS Entschlüsselungsschlüssel für den Workload freigeben, um den Schutz der Daten während der Nutzung zu vervollständigen.

Netzwerksegmentierung, Perimeter und tiefgreifende DDoS-Abwehr

Netzwerk-Mikrosegmentierung schränkt laterale Bewegungen ein und erzwingt in Verbindung mit Identitätsüberprüfung Zero Trust. Network Security Groups sind zustandsbehaftete Paketfilter, die auf Subnetze oder NICs angewendet werden; verwenden Sie Service-Tags und explizite Ablehnungen (Denies), um Ost-West- und Nord-Süd-Datenverkehr einzuschränken, blockieren Sie standardmäßig unnötige Ports (Default-Deny) und protokollieren Sie mit NSG Flow Logs. Application Security Groups abstrahieren dynamische Workload-Gruppen, sodass Sie NSG-Regeln nach Anwendungsrolle statt nach IPs schreiben können, was eine absichtsbasierte Segmentierung ermöglicht, die mit Autoscaling und ephemeren Adressen skaliert.

Azure Firewall bietet eine zentralisierte, vollständig zustandsbehaftete L3–L7-Kontrolle mit Anwendungs- und Netzwerkregeln, FQDN-Filterung, DNAT/SNAT, Filterung auf Basis von Threat Intelligence und Premium-Funktionen wie TLS Inspection und IDPS für eine tiefgehende Untersuchung des ausgehenden und eingehenden Datenverkehrs. Verwenden Sie Firewall Policy für eine absichtsbasierte Konfiguration und Vererbung über Regionen hinweg. Leiten Sie ausgehenden Datenverkehr (Egress) mit benutzerdefinierten Routen durch die Azure Firewall und kombinieren Sie diese mit Private Endpoints, um PaaS-Datenverkehr vom öffentlichen Internet fernzuhalten.

Anwendungen mit Web-Schnittstelle sollten durch eine Web Application Firewall (WAF) geschützt werden. Stellen Sie die WAF auf Application Gateway für regionales, VNet-integriertes Layer-7-Load-Balancing bereit oder auf Azure Front Door für einen globalen Anycast-Einstiegspunkt und CDN-Integration. Aktivieren Sie von OWASP verwaltete Regeln und fügen Sie benutzerdefinierte Regeln für Pfad-/Geo-/IP-Filterung und Bot-Abwehr hinzu, und integrieren Sie dies mit DDoS-Strategien am Edge.

DDoS Protection Standard fügt adaptive Echtzeit-Mitigation für öffentliche Endpunkte in VNets, Telemetrie und Kostenschutz für die Skalierung während eines Angriffs hinzu. Wenden Sie DDoS Protection Plans auf VNet-Ebene für alle zugehörigen öffentlichen IP-Ressourcen an, testen Sie mit simuliertem Datenverkehr und überprüfen Sie Metriken und Warnungen. Bauen Sie Ihre Verteidigung mehrschichtig auf: DDoS am Edge, WAF auf L7, Azure Firewall für L3–L7-Richtlinien, NSGs/ASGs für die Mikrosegmentierung und Conditional Access plus Gerätekonformität (Device Compliance) für die identitätsbasierte Durchsetzung.

Praktisches Problemszenario

Starbucks modernisiert eine über mehrere Regionen verteilte Bestellplattform auf Azure mit AKS, Azure SQL Database und Event Hubs. Die Architektur muss Zero Trust umsetzen: eingebettete Geheimnisse eliminieren, Netzwerke segmentieren, Daten während der Nutzung (in use) schützen und eine einheitliche Bedrohungserkennung sowie automatisierte Reaktion über Cloud und SaaS hinweg implementieren.

Identitätsbasierten Zugriff für Workloads erzwingen

Implementieren Sie benutzerseitig zugewiesene verwaltete Identitäten (Managed Identities) für AKS-Workloads, die Zugriff auf Key Vault und Storage benötigen. Weisen Sie RBAC-Rollen mit den geringsten Rechten (Least-Privilege) zu (Key Vault Secrets User, Storage Blob Data Reader) auf dem Geltungsbereich der Ressourcengruppe. Ausgewählt, weil verwaltete Identitäten Geheimnisse eliminieren, Scale-Out-Pods unterstützen, die eine stabile Identität teilen, und sich über Azure RBAC in PIM/Access Reviews integrieren lassen.

CI/CD ohne gespeicherte Anmeldeinformationen föderieren

Konfigurieren Sie die Azure AD Workload Identity Federation für GitHub Actions unter Verwendung des GitHub OIDC-Issuers und Einschränkungen auf Repository-/Umgebungsebene. Workflows erhalten zur Laufzeit Azure-Token, um Bicep und Helm bereitzustellen. Ausgewählt, um PATs/Geheimnisse zu eliminieren, den „Blast Radius“ (potenziellen Schaden) auf bestimmte Repos/Branches zu reduzieren und bedingte Ansprüche (Conditional Claims) zu ermöglichen.

Schlüssel und Geheimnisse mit Wiederherstellungsgarantien schützen

Verwenden Sie Azure Key Vault mit dem RBAC-Berechtigungsmodell, aktiviertem Soft Delete (vorläufigem Löschen) und Purge Protection (Schutz vor endgültigem Löschen). Speichern Sie Verbindungszeichenfolgen und Anwendungsgeheimnisse; speichern Sie TDE-Schutzschlüssel für Azure SQL in einem Managed HSM für FIPS-Level-3-Sicherheit. Ausgewählt wegen der zentralisierten Überwachung, Wiederherstellbarkeit und hardwaregestützten Schlüsselisolierung für kritisches kryptografisches Material.

Netzwerke segmentieren und ausgehenden Datenverkehr zentralisieren

Wenden Sie NSGs mit Default-Deny und ASGs für die verschiedenen Ebenen (Web, API, Daten) an. Leiten Sie den gesamten ausgehenden Datenverkehr (Egress) zwingend durch eine Azure Firewall Premium mit IDPS und TLS Inspection; verwenden Sie Private Endpoints für Azure SQL und Key Vault. Ausgewählt, um Mikrosegmentierung auf Subnetz-/NIC-Ebene, Deep Packet Inspection zur Kontrolle von Datenexfiltration und privaten Zugriff auf PaaS zu implementieren.

Den öffentlichen Edge schützen

Schalten Sie der Web-Ebene Azure Front Door mit WAF-Richtlinien vor, die OWASP CRS und benutzerdefinierte Regeln für Geo-/IP-Drosselung und Bot-Signaturen verwenden. Aktivieren Sie DDoS Protection Standard auf dem Hub-VNet, das das Application Gateway für regionales Failover hostet. Ausgewählt, um volumetrische Angriffe global abzufangen und L7-Exploits zu blockieren, bevor sie AKS erreichen.

SaaS-Zugriff und nicht verwaltete Geräte steuern

Integrieren Sie Microsoft Defender for Cloud Apps mit Conditional Access App Control, um Sitzungssteuerungen für M365 und genehmigte SaaS von Drittanbietern durchzusetzen: Blockieren Sie Downloads auf nicht verwalteten Geräten, fordern Sie Vertraulichkeitsbezeichnungen (Sensitivity Labels) beim Download an und fügen Sie Wasserzeichen hinzu. Ausgewählt für Echtzeit-Kontrollen ohne Anwendungsänderungen und eine konsistente Durchsetzung über SaaS-Anwendungen hinweg.

Sensible Daten klassifizieren und schützen

Definieren Sie Azure Information Protection Vertraulichkeitsbezeichnungen (Sensitivity Labels) (Public, Confidential, Highly Confidential – Customer Data) mit Verschlüsselung und Nutzungsrechten. Aktivieren Sie Richtlinien zur automatischen Bezeichnung für PII-Muster (persönlich identifizierbare Informationen) in Office und für ruhende Daten (at rest) in SharePoint/OneDrive. Ausgewählt, um die Datenhandhabung zu standardisieren, Benutzerfehler zu reduzieren und einen dauerhaften Schutz aufrechtzuerhalten.

Daten während der Nutzung (in use) für die Zahlungsabwicklung schützen

Führen Sie Zahlungs-Microservices auf vertraulichen AKS-Knotenpools (Confidential Node Pools) und Batch-Risikomodelle auf vertraulichen VMs (Confidential VMs) (AMD SEV-SNP) aus. Sichern Sie Entschlüsselungsschlüssel durch Azure Attestation ab; nur attestierte Knoten/Pods erhalten Geheimnisse aus dem Key Vault. Ausgewählt, um den Arbeitsspeicher vor dem Zugriff durch den Host/Mandanten zu schützen und einen Measured Boot sowie die Integrität des Workloads sicherzustellen.

Posture Management und Compliance etablieren

Aktivieren Sie Microsoft Defender for Cloud auf der Verwaltungsgruppe mit den Standards Azure Security Benchmark und PCI-DSS. Aktivieren Sie die relevanten Defender-Pläne (Container, Server, SQL, Key Vault) und den JIT-VM-Zugriff. Ausgewählt für einen zentralisierten Secure Score, regulatorische Mappings und workload-native Schutzmechanismen.

Erkennung zentralisieren und Reaktion orchestrieren

Übertragen Sie Telemetriedaten über Datenkonnektoren (Azure AD, Azure Activity, M365, Defender, AKS-Protokolle, Firewall) an Microsoft Sentinel. Stellen Sie Analyseregeln für den Diebstahl von Anmeldeinformationen, verdächtigen ausgehenden Datenverkehr, Container Escapes und anomale Administratoraktivitäten bereit. Automatisieren Sie mit Logic Apps Playbooks das Deaktivieren kompromittierter Konten, das Isolieren von AKS-Knoten, das Blockieren von ausgehendem Datenverkehr in der Azure Firewall und das Öffnen von Tickets. Ausgewählt für cloud-natives SIEM/SOAR, schnelle Bereitstellung von Regeln und enge Integration mit Microsoft-Sicherheitssignalen.

Dieses Design wendet Zero Trust durchgängig an: Identitäten werden kontinuierlich überprüft, Berechtigungen sind minimal (Least Privilege) und Just-in-Time, Netzwerke sind mit zentralisierter Überprüfung mikrosegmentiert, Daten werden klassifiziert und sowohl im Ruhezustand (at rest) als auch während der Nutzung (in use) geschützt, und eine kontinuierliche Bedrohungserkennung mit automatisierter Reaktion reduziert die durchschnittliche Eindämmungszeit (Mean Time to Contain).

← Hochverfügbarkeit · Alle Domänen · Integrations- und Messaging-Architektur →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →