Was ist CASB?
CASB (Cloud Access Security Broker) ist eine Sicherheitsschicht zwischen Nutzern und Cloud-Diensten, die Nutzung, Konfiguration und Datenfluss von SaaS-Anwendungen sichtbar macht. Statt Cloud-Dienste pauschal zu erlauben oder zu blockieren, ermöglicht CASB gezielte Richtlinien, etwa welche Nutzergruppe welche Dienste in welchem Umfang nutzen darf oder welche Daten dorthin fließen dürfen. Ergänzt wird das häufig um Konfigurationsprüfungen direkt in der Cloud-Anwendung, etwa ob Freigaben zu offen eingestellt sind. So bleibt Cloud-Nutzung produktiv, ohne die Kontrolle über sensible Daten zu verlieren.
CASB im Detail
CASB-Funktionen lassen sich grob in zwei Ansätze unterteilen: Inline-CASB prüft Datenverkehr in Echtzeit, während er zwischen Nutzer und Cloud-Dienst fließt, ähnlich der Logik von ZIA für den allgemeinen Webverkehr. API-CASB verbindet sich dagegen direkt mit der Schnittstelle des Cloud-Dienstes und prüft dort etwa Freigabeeinstellungen oder Konfigurationen, unabhängig vom aktuellen Zugriff. Beide Ansätze ergänzen sich in der Praxis.
Ein wichtiger Baustein ist die Discovery: die Auswertung von Zugriffsprotokollen, um zu erkennen, welche Cloud-Dienste im Unternehmen tatsächlich genutzt werden, auch solche, die nie offiziell eingeführt wurden. Das liefert wichtige Hinweise auf Shadow IT, ohne eine vollständige Garantie für Lückenlosigkeit zu geben.
Warum ist CASB im Zscaler-Betrieb wichtig?
Cloud-Dienste sind heute der Regelfall, nicht die Ausnahme, und viele davon verarbeiten sensible Unternehmensdaten. Ohne CASB-Sichtbarkeit weiß die IT oft nicht, welche Dienste tatsächlich genutzt werden und wie Daten dort konfiguriert und geteilt sind. Das erschwert sowohl Risikobewertung als auch Nachweisführung gegenüber Kunden oder Prüfern.
Für NIS2 und DORA zählt zunehmend auch die Absicherung der Lieferkette und der eingesetzten Dienste. CASB-Sichtbarkeit liefert hierfür eine wichtige Datengrundlage, ersetzt aber keine vollständige Lieferantenprüfung.
Typische Fehlerquellen
- CASB-Funktionen sind lizenziert, aber nicht für die tatsächlich genutzten Cloud-Dienste konfiguriert.
- Discovery-Ergebnisse werden nicht regelmäßig ausgewertet und veralten dadurch schnell.
- Fehlende Abstimmung zwischen CASB-Richtlinien und DLP-Regeln führt zu Lücken bei sensiblen Daten.
- Zu restriktive Richtlinien ohne vorherige Analyse blockieren produktiv genutzte Dienste.
CASB in der Praxis: so hilft CentaurNexus
CASB Guard von CentaurNexus legt eine Governance-Schicht über die bestehenden ZIA-CASB-Regeln: Es zeigt die aktiven Regeln des Tenants und lässt einzelne mit Dry-Run-Vorschau und Vier-Augen-Freigabe aktivieren oder deaktivieren, statt Sammeländerungen am lebenden Regelwerk. Ergänzend prüft Policy Health Saga im Lizenz-Healthcheck, ob CASB-Funktionen der Zscaler-Lizenz überhaupt aktiv konfiguriert sind, damit bezahlte Schutzfunktionen nicht ungenutzt liegen. Mehr zur systematischen Lizenz-Ausschöpfung im Leitfaden Mehr aus der Zscaler-Lizenz holen.
Verwandte Begriffe
Häufige Fragen zu CASB
CASB steht für Cloud Access Security Broker, eine Sicherheitsschicht zwischen Nutzern und Cloud-Diensten. Sie macht sichtbar, welche SaaS-Anwendungen genutzt werden, wie sie konfiguriert sind und welche Daten dorthin fließen, und ermöglicht darauf aufbauend gezielte Richtlinien statt eines pauschalen Erlaubens oder Blockierens.
Inline-CASB prüft Datenverkehr in Echtzeit, während er zwischen Nutzer und Cloud-Dienst fließt, ähnlich wie ZIA das für den allgemeinen Webverkehr tut. API-CASB verbindet sich direkt mit der Programmierschnittstelle des Cloud-Dienstes und prüft dort etwa Freigaben oder Konfigurationen, unabhängig vom aktuellen Datenverkehr. Viele Lösungen kombinieren beide Ansätze.
CASB-Discovery wertet Zugriffsprotokolle aus und kann so einen großen Teil der genutzten Cloud-Dienste sichtbar machen, insbesondere solche mit Web-Zugriff über die überwachte Infrastruktur. Eine hundertprozentige Vollständigkeit ist dabei realistischerweise nicht garantiert.
DLP-Regeln, also Data-Loss-Prevention-Richtlinien, lassen sich über CASB gezielt auf Cloud-Dienste anwenden, etwa um zu verhindern, dass sensible Dateien in nicht freigegebene Cloud-Speicher hochgeladen werden. CASB liefert dafür die Sichtbarkeit und den Kontrollpunkt, DLP die inhaltliche Prüfregel.
Zscaler bietet CASB-Funktionalität als festen Teil seiner Plattform an und bezeichnet die Kombination als multimode CASB: inline über Cloud App Control als Teil von ZIA für laufenden Datenverkehr, und out-of-band über die SaaS Security API für ruhende Daten in bereits angebundenen SaaS-Anwendungen. Der genaue Lizenzzuschnitt ist im eigenen Zscaler-Vertrag zu prüfen.
- Zscaler Help Portal: SaaS Security Deployment and Operations Guide - help.zscaler.com/zscaler-deployments-operations/saas-security-api-deployment-and-operations-guide
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.