Ein Vertriebsteam speichert Kundendaten in einem Cloud-Dienst, von dem die IT nichts weiß. Ein Mitarbeiter probiert ein neues KI-Tool aus und füttert es dabei mit einem internen Dokument. Beides dauert wenige Minuten, und ohne geeignete Kontrolle fällt es niemandem auf. Mit dem Umzug der Arbeit in SaaS-Anwendungen hat die IT einen Teil ihrer Sicht eingebüßt: Die Daten liegen außerhalb des eigenen Netzes und sind von jedem Gerät und jedem Ort aus erreichbar.
Ein Cloud Access Security Broker (CASB) stellt diese Sicht wieder her. Das gängige Bild dafür ist der Türsteher: Er kontrolliert, wer hinein möchte, achtet darauf, was nach draußen getragen wird, und führt die Gästeliste.
Was genau ist ein CASB?
Ein CASB ist eine Sicherheitslösung, die zwischen Nutzern und Cloud-Diensten sitzt, dort Aktivitäten beobachtet und Sicherheitsrichtlinien durchsetzt. Das schützt SaaS-Anwendungen ebenso wie IaaS- und PaaS-Umgebungen, gegen Angriffe wie gegen Datenabfluss. Meist läuft ein CASB selbst als Cloud-Dienst; es gibt ihn aber auch als lokale Software oder Appliance.
Ein einzelnes Werkzeug ist das nicht. Ein CASB fasst mehrere Sicherheitstechnologien zu einem Paket zusammen, darunter Schatten-IT-Erkennung, Zugriffskontrolle und Data Loss Prevention (DLP). Streng genommen greift das Türsteher-Bild deshalb zu kurz. Ein CASB arbeitet eher wie ein komplettes Sicherheitsteam: Einlasskontrolle, Kameraüberwachung, Rundgänge durchs Gebäude.
Die vier Säulen nach Gartner
Das Analystenhaus Gartner gliedert die Aufgaben eines CASB in vier Säulen:
- Sichtbarkeit: Ein CASB deckt Schatten-IT auf, also Cloud-Dienste, die im Unternehmen im Einsatz sind, ohne dokumentiert oder freigegeben zu sein. Solche Dienste tragen Risiken, die nie jemand bewertet hat.
- Datensicherheit: Ein CASB unterbindet, dass vertrauliche Daten die kontrollierten Systeme verlassen. Seit KI-Tools zum Arbeitsalltag gehören, ist das Problem drängender geworden: Beschäftigte können geschützte Inhalte in solche Werkzeuge laden. Die tragenden Techniken sind Zugriffskontrolle und DLP.
- Bedrohungsschutz: Angriffe von außen blockt ein CASB ab und stoppt Datenlecks, unter anderem mit Malware-Erkennung, Sandboxing, Paketprüfung, URL-Filterung und Browser-Isolation.
- Compliance: Cloud-Infrastruktur ist verteilt und liegt nie vollständig in der Hand eines einzelnen Unternehmens. Nachweise für Vorgaben wie SOC 2, HIPAA oder die DSGVO werden dadurch schwieriger. Ein CASB setzt Kontrollen durch, die diese Nachweise stützen.
Welche Funktionen stecken konkret dahinter?
Die meisten CASB-Lösungen liefern einen Baukasten aus mehreren Techniken. Typisch sind:
- Identitätsprüfung: bestätigt, dass Nutzer tatsächlich die sind, die sie vorgeben zu sein, etwa per Passwort plus zweitem Faktor.
- Zugriffskontrolle: legt fest, was ein Nutzer innerhalb einer Anwendung sehen und ausführen darf.
- Schatten-IT-Erkennung: spürt Systeme und Dienste auf, die ohne Freigabe dienstlich genutzt werden.
- Data Loss Prevention (DLP): schließt Abflusswege und verhindert, dass Daten die Plattformen des Unternehmens verlassen.
- URL-Filterung: sperrt Websites, über die Phishing betrieben oder Malware verteilt wird.
- Paketprüfung: durchsucht ein- und ausgehenden Verkehr nach bösartiger Aktivität.
- Sandboxing: lässt verdächtige Programme in einer abgeschotteten Umgebung laufen und beobachtet ihr Verhalten.
- Browser-Isolation: verlagert das Surfen auf einen entfernten Server, sodass Schadcode das Endgerät nicht erreicht.
- Malware-Erkennung: findet und meldet Schadsoftware.
Vollständig ist diese Liste nicht, und manche der Techniken finden sich auch in anderen Produkten: Viele Firewalls beherrschen Paketprüfung, viele Endpoint-Lösungen erkennen Malware. Das Besondere am CASB ist die Bündelung dieser Bausteine speziell für die Cloud-Nutzung.
Warum Unternehmen einen CASB einsetzen
Cloud-Daten lassen sich von jedem internetfähigen Gerät und aus jedem Netz erreichen. Die Anmeldung an einer Firmen-SaaS-Anwendung vom Privatrechner im offenen WLAN funktioniert problemlos; bei einer klassischen On-Premises-Anwendung wäre sie ausgeschlossen. Diese Offenheit macht Teams produktiv und Unternehmen verwundbar, denn weder der Speicherort der Daten noch jeder Zugriffsweg liegt vollständig unter eigener Kontrolle.
Cloud-Sicherheit braucht deshalb Sicherheitsdienste, die selbst aus der Cloud kommen. Wer sie einzeln einkauft, etwa eine Plattform für DLP, eine zweite für Identität und eine dritte für den Malware-Schutz, handelt sich mehrere Verträge, mehrfach gepflegte Richtlinien und dauerhaften Verwaltungsaufwand ein. Ein CASB bündelt das. Die Techniken greifen ineinander, und verhandelt wird mit einem einzigen Anbieter. Die Verwaltung läuft häufig in einem gemeinsamen Dashboard zusammen.
Bereitstellung: Proxy, API oder beides
Für den Einsatz gibt es zwei Grundmodelle. Im Proxy-Modus klinkt sich der CASB in den Datenstrom zwischen Nutzern und Cloud-Diensten ein und prüft ihn im Durchfluss. Im API-Modus verbindet er sich direkt mit den Cloud-Diensten und steuert sie von innen, ohne selbst im Verkehrspfad zu liegen. Multimode-CASBs beherrschen beide Wege. Üblich ist zudem die Kopplung an einen Identitätsanbieter, damit Zugriffs- und Authentifizierungsrichtlinien fein abgestuft je Nutzer greifen.
Worauf es bei der Auswahl ankommt
- Skalierbarkeit: Ein CASB verarbeitet große Datenmengen über mehrere Cloud-Plattformen hinweg und muss mit dem Unternehmen mitwachsen können.
- Abwehr statt bloßem Alarm: Manche Produkte erkennen Bedrohungen, können sie aber nicht unterbinden. Fehlt die Blockierfunktion, bleibt der Nutzen begrenzt.
- Integrationsbreite: Der CASB muss alle relevanten Systeme anbinden. Jede Integrationslücke ist ein blinder Fleck bei Schatten-IT und Bedrohungen.
- Datenschutz: Wie behandelt der Anbieter selbst die Kundendaten, und wo verarbeitet er sie? Für Unternehmen unter strengen Datenschutzvorgaben ist das eine Kernfrage.
Für wen lohnt sich ein CASB?
Von einem CASB profitiert nahezu jedes Unternehmen, das in nennenswertem Umfang mit Cloud-Diensten arbeitet. Erst recht gilt das für Organisationen, denen die Schatten-IT entglitten ist, und das sind inzwischen viele. Schon eine Handvoll nicht freigegebener SaaS-Dienste kann Datenabflüsse öffnen, die lange unbemerkt bleiben.
CASB als Baustein von SASE/SSE
Ein CASB bündelt Sicherheitsdienste für die Cloud. SASE/SSE geht darüber hinaus und nimmt das Netzwerk dazu: Secure Access Service Edge vereint SD-WAN mit CASB, Secure Web Gateway, Zero Trust Network Access und Firewall-as-a-Service auf einer Plattform, ausgeliefert über ein globales Netz. Anbieter wie Cloudflare bündeln CASB, DLP, SWG und Browser-Isolation in einem Dienst und stellen ihn nah am Nutzer bereit.
Wer diese Bündelung nicht selbst aufbauen und betreiben möchte, findet Managed-SASE/SSE-Services, die CASB-Funktionen von der Aufnahme der tatsächlichen Cloud-Nutzung über die Richtliniendefinition bis zum laufenden Betrieb abdecken.
Fachliche Grundlage einzelner Abschnitte ist ein einführender Lernartikel zum Thema CASB.
Passende Managed Services
- Managed SASE/SSE – CASB, Zero-Trust-Zugriff (ZTNA), Secure Web Gateway, DLP und Remote Browser Isolation als Managed Service.