Microsoft Certified: Security, Compliance, and Identity Fundamentals and ISTQB Advanced Security Tester

Diese Weiterbildung verbindet zwei komplementäre Sicherheitsdisziplinen: Die SC-900-Zertifizierung gibt einen strukturierten Überblick über das Microsoft-Sicherheits- und Compliance-Portfolio — von Entra ID über Microsoft Purview bis zu Defender und Sentinel. Das ISTQB Advanced Level Security Tester-Zertifikat (CTAL-SEC) rückt die Softwaretest-Perspektive in den Vordergrund: Es behandelt, wie sicherheitsrelevante Tests in Entwicklungs- und Qualitätssicherungsprozessen verankert werden. Während SC-900 die Cloud- und Compliance-Infrastruktur eines Unternehmens beleuchtet, fragt CTAL-SEC, wie Software selbst gegen Angriffe getestet wird. Die Kombination bietet ein breites Sicherheitsverständnis, das sowohl Plattform- als auch Produktebene abdeckt.

Modul 1 — SC-900: Identitäts- und Zugriffsverwaltung mit Microsoft Entra Identität ist der primäre Angriffspunkt in modernen Cloud-Umgebungen. Dieses Modul legt den Grundstein für ein sicheres Identitätsmanagement auf Basis von Microsoft Entra ID, das Benutzerverwaltung, Authentifizierungsrichtlinien und Zugriffskontrolle in einer zentralen Plattform vereint.

• Mandantenarchitektur in Microsoft Entra ID: Benutzer, Gruppen, Dienstprinzipale
• Authentifizierungsverfahren: MFA, kennwortloser Zugriff (FIDO2, Windows Hello)
• Conditional Access: Richtlinienbasierte Zugriffskontrolle auf Basis von Signalen und Kontext
• Microsoft Entra ID Protection: Risikobasierte Anmeldungen erkennen und blockieren
• Privileged Identity Management (PIM): Zeitbegrenzte Rollen und Just-in-Time-Zugriff
• Hybride Identität: Entra Connect und Azure AD DS

Modul 2 — SC-900: Bedrohungsschutz, Compliance und Purview Nachdem die Identitätsgrundlagen gesetzt sind, richtet dieses Modul den Blick auf die Erkennungs- und Reaktionsmechanismen sowie die Compliance-Infrastruktur im Microsoft-Ökosystem. Defender und Sentinel ergänzen Purview als ganzheitliches Sicherheits-Framework.

• Microsoft Defender for Cloud: kontinuierliche Sicherheitsbewertung und Schutzempfehlungen
• Microsoft 365 Defender: einheitliches XDR für E-Mail, Endpunkte, Identitäten, Anwendungen
• Microsoft Sentinel: SIEM-Architektur, Konnektoren, KQL-basierte Analyseregeln, Incident-Management
• Microsoft Purview: Sensitivitätsbeschriftungen, DLP, Records Management
• Compliance-Manager: Compliance-Scores, Kontrollmechanismen, Nachweisführung
• DSGVO und Datenschutzkonzepte im Microsoft Trust Center

Modul 3 — ISTQB Advanced Level Security Tester (CTAL-SEC): Grundlagen und Bedrohungsmodellierung Das ISTQB Advanced Level Security Tester-Zertifikat setzt ISTQB Foundation Level (CTFL) voraus und baut systematisch auf diesem Fundament auf. Dieses Modul führt in die Konzepte des sicherheitsorientierten Testens ein und vermittelt, wie Bedrohungsmodelle die Testplanung steuern.

• Grundbegriffe der Informationssicherheit im Testkontext: CIA-Triad, Schwachstellen, Bedrohungen, Risiken
• Bedrohungsmodellierung mit STRIDE und DREAD als Grundlage für Testfallableitung
• Sicherheitstest-Typen: Black-Box, Grey-Box, White-Box-Sicherheitstest
• Abgrenzung von Vulnerability Assessment, Penetrationstest und Sicherheitsaudit
• Security Testing im SDLC: Shift-Left-Ansatz und Security by Design
• OWASP Testing Guide als Methodenrahmen

Modul 4 — ISTQB Advanced Level Security Tester: Testtechniken und DevSecOps-Integration Dieser Abschnitt behandelt konkrete Testtechniken, mit denen Sicherheitsprobleme in Software gefunden werden. Besonderer Wert wird auf die Integration von Sicherheitstests in agile Prozesse und CI/CD-Pipelines gelegt — ein wachsender Anforderungsbereich in der Softwareentwicklung.

• Whitebox-Techniken: Code Review auf Sicherheitsschwachstellen, statische Analyse
• Dynamische Testtechniken: Fuzzing, Boundary-Value-Tests mit Sicherheitsfokus
• OWASP Top 10 im Testprozess: SQL Injection, XSS, Authentifizierungsschwächen testen
• Sicherheitstests in agilen Sprints und DevSecOps-Pipelines (SAST, DAST, IAST)
• Testmetriken für Sicherheit: Schwachstellendichte, Mean Time to Detect/Remediate
• Berichterstellung für Sicherheitstests: Befundbeschreibung, Risikoklassifizierung, Empfehlungen

Theorie wird durch angeleitete Laborübungen gefestigt, die beide Zertifizierungsbereiche abdecken.

• Microsoft-Lernlabs: Konfiguration von Conditional-Access-Richtlinien, Analyse von Defender-Dashboards
• Einlesen in Microsoft Sentinel Workbooks und Simulieren von Alert-Szenarien
• Bedrohungsmodellierung mit STRIDE für eine fiktive Webanwendung
• Ableitung von Testfällen aus einem STRIDE-Modell und Mapping auf OWASP Top 10
• Analyse statischer Code-Beispiele mit bewusst eingebetteten Sicherheitslücken
• Übungen zur Testergebnisdokumentation im Format von ISTQB-konformen Prüfberichten
• Diskussion von Case Studies zu realen Sicherheitsvorfällen und ihrer Verhütbarkeit durch Testing
• Integration eines einfachen DAST-Tools in eine Beispiel-CI-Pipeline

Diese Kombination richtet sich an technische Profile, die Sicherheit aus beiden Richtungen betrachten: aus der Perspektive der Cloud-Infrastruktur und aus der Perspektive der Softwarequalität.

• Software-Tester und QA-Engineers mit Sicherheitsspezialisierungswunsch
• Entwickler, die ihre Sicherheitstestkenntnisse formalisieren möchten
• Security-Analysten in Unternehmen mit starker Microsoft-365-Prägung
• IT-Fachkräfte in Branchen mit hohen Compliance-Anforderungen (Finanz, Gesundheit, öffentliche Hand)
• Berufswechsler aus IT-Support oder Administration mit Ambitionen in der Qualitätssicherung

Der Unterricht wird als Live-Virtualisierung mit interaktiven Theorieblöcken und begleitenden Übungsphasen durchgeführt. Für CTAL-SEC-Inhalte werden strukturierte Fallstudien und werkzeuggestützte Übungen eingesetzt; SC-900-Themen werden mit Microsoft-Labs ergänzt. Teilnehmer erhalten Zugang zu konfigurierten Übungsumgebungen für beide Lernbereiche. Vor-Ort-Arbeitsplätze und HomeOffice-Teilnahme sind möglich.

Die Weiterbildung erstreckt sich über mehr als einen Monat bis zu drei Monate im Vollzeitformat. Die genaue Dauer richtet sich nach dem individuellen Lernplan und der gewählten Modulkombination. Teilzeitvarianten können nach Absprache realisiert werden.

Der Kurs bereitet auf die externe SC-900-Zertifizierungsprüfung von Microsoft und auf das ISTQB Advanced Level Security Tester Exam (CTAL-SEC) des International Software Testing Qualifications Board vor. Beide Prüfungen werden separat bei den jeweiligen Prüfungsorganisationen abgelegt. Der Bildungsträger stellt eine qualifizierte Teilnahmebescheinigung aus. Das CTAL-SEC-Zertifikat ist unbefristet gültig, solange die CTFL-Grundlage aktiv ist.

Das ISTQB Advanced Level Security Tester-Zertifikat (CTAL-SEC) ist in der Softwaretest-Community ein anerkannter Nachweis für spezialisierte Sicherheitstestkompetenz. In Unternehmen, die Software entwickeln oder integrieren und gleichzeitig regulatorischen Anforderungen unterliegen, wird genau diese Qualifikation zunehmend gesucht: Jemand, der nicht nur testet, sondern Sicherheit systematisch in den Entwicklungszyklus einbettet. Die Verbindung mit dem Microsoft-Sicherheitsfundament aus SC-900 ist besonders für Tester und QA-Fachleute in Organisationen relevant, die auf Microsoft-Cloud-Dienste setzen. Wer versteht, wie Microsoft Defender Schwachstellen erkennt und wie Microsoft Purview mit Datenschutzanforderungen umgeht, kann Sicherheitstests besser kontextualisieren und Ergebnisse für Compliance-relevante Entscheidungen aufbereiten. Die Kombination beider Zertifizierungen schließt eine Qualifikationslücke, die viele QA-Fachleute haben: das Verständnis für plattformseitige Sicherheitsmechanismen. Umgekehrt profitieren Security-Analysten davon, strukturiertes Testwissen in ihren täglichen Umgang mit Schwachstellen einfließen zu lassen.