Was ist CASB?
CASB (Cloud Access Security Broker) ist eine Sicherheitsschicht zwischen Nutzern und Cloud-Diensten, die Nutzung, Konfiguration und Datenfluss von SaaS-Anwendungen sichtbar macht. Statt Cloud-Dienste pauschal zu erlauben oder zu blockieren, ermöglicht CASB gezielte Policies, etwa welche Nutzergruppe welche Dienste in welchem Umfang nutzen darf oder welche Daten dorthin fließen dürfen. Ergänzt wird das häufig um Konfigurationsprüfungen direkt in der Cloud-Anwendung, etwa ob Freigaben zu offen eingestellt sind. So bleibt Cloud-Nutzung produktiv, ohne die Kontrolle über sensible Daten zu verlieren.
CASB im Detail
CASB-Funktionen lassen sich grob in zwei Ansätze unterteilen: Inline-CASB prüft Datenverkehr in Echtzeit, während er zwischen Nutzer und Cloud-Dienst fließt, ähnlich der Logik von ZIA für den allgemeinen Webverkehr. API-CASB verbindet sich dagegen direkt mit der Schnittstelle des Cloud-Dienstes und prüft dort etwa Freigabeeinstellungen oder Konfigurationen, unabhängig vom aktuellen Zugriff. Beide Ansätze ergänzen sich in der Praxis.
Ein wichtiger Baustein ist die Discovery: die Auswertung von Zugriffsprotokollen, um zu erkennen, welche Cloud-Dienste im Unternehmen tatsächlich genutzt werden, auch solche, die nie offiziell eingeführt wurden. Das liefert wichtige Hinweise auf Shadow IT, ohne eine vollständige Garantie für Lückenlosigkeit zu geben.
Warum ist CASB im Zscaler-Betrieb wichtig?
Cloud-Dienste sind heute der Regelfall, nicht die Ausnahme, und viele davon verarbeiten sensible Unternehmensdaten. Ohne CASB-Sichtbarkeit weiß die IT oft nicht, welche Dienste tatsächlich genutzt werden und wie Daten dort konfiguriert und geteilt sind. Das erschwert sowohl Risikobewertung als auch Nachweisführung gegenüber Kunden oder Prüfern.
Für NIS2 und DORA zählt zunehmend auch die Absicherung der Lieferkette und der eingesetzten Dienste. CASB-Sichtbarkeit liefert hierfür eine wichtige Datengrundlage, ersetzt aber keine vollständige Lieferantenprüfung.
Typische Fehlerquellen
- CASB-Funktionen sind lizenziert, aber nicht für die tatsächlich genutzten Cloud-Dienste konfiguriert.
- Discovery-Ergebnisse werden nicht regelmäßig ausgewertet und veralten dadurch schnell.
- Fehlende Abstimmung zwischen CASB-Policies und DLP-Regeln führt zu Lücken bei sensiblen Daten.
- Zu restriktive Policies ohne vorherige Analyse blockieren produktiv genutzte Dienste.
CASB in der Praxis: so hilft CentaurNexus
CASB Guard von CentaurNexus legt eine Governance-Schicht über die bestehenden ZIA-CASB-Regeln: Es zeigt die aktiven Regeln des Tenants und lässt einzelne mit Dry-Run-Vorschau und Vier-Augen-Freigabe aktivieren oder deaktivieren, statt Sammeländerungen am lebenden Regelwerk. Ergänzend prüft Policy Health Saga im Lizenz-Healthcheck, ob CASB-Funktionen der Zscaler-Lizenz überhaupt aktiv konfiguriert sind, damit bezahlte Schutzfunktionen nicht ungenutzt liegen. Mehr zur systematischen Lizenz-Ausschöpfung im Leitfaden Mehr aus der Zscaler-Lizenz holen.
CASB im Betrieb: woran Sie es erkennen
CASB-Fälle kommen selten als „CASB blockiert" herein. Sie kommen als „warum geht das hier und dort nicht", und die Antwort liegt fast immer in einer von drei Unterscheidungen.
„In Teams durfte ich die Datei teilen, in einem anderen Dienst nicht."
Was es meistens ist: Nicht die Datei ist das Kriterium, sondern die Anwendung und ihre Einstufung. Zwei Dienste derselben Kategorie können unterschiedlich behandelt werden, wenn einer als geschäftlich genehmigt geführt wird und der andere nicht.
Wie Sie es auseinanderhalten: Die Frage lautet: Wie ist der Zieldienst eingestuft, und welche Regel greift für diese Kategorie? Nicht: Was war in der Datei?
„Gestern war der Dienst erlaubt, heute nicht."
Was es meistens ist: Häufig die Unterscheidung zwischen Firmen-Instanz und privater Instanz desselben Dienstes. Derselbe Anbieter, andere Mandanteninstanz, andere Bewertung.
Wie Sie es auseinanderhalten: Prüfen, ob die Regel auf die Anwendung oder auf eine bestimmte Instanz zielt. Das erklärt die scheinbare Willkür ohne Änderung im Regelwerk.
„Der Nutzer sieht keine Blockseite, es passiert einfach nichts."
Was es meistens ist: Ein Hinweis auf den Wirkungsweg. Wird der Verkehr im Datenstrom geprüft, sieht der Nutzer eine Blockseite. Wird nachgelagert über die Schnittstelle des Anbieters geprüft, bemerkt er die Maßnahme erst später oder gar nicht.
Wie Sie es auseinanderhalten: Die Erwartung des Nutzers an eine sofortige Rückmeldung hängt am Wirkungsweg. Das gehört in die Antwort, sonst wirkt das Ergebnis zufällig.
„Wir wussten nicht, dass der Dienst überhaupt genutzt wird."
Was es meistens ist: Das ist kein CASB-Fehler, sondern der eigentliche Nutzen. Nicht genehmigte Dienste tauchen auf, weil jemand seine Arbeit erledigen wollte.
Wie Sie es auseinanderhalten: Shadow IT Findings erkennt ungenehmigten Cloud-App-Einsatz und bewertet das Risiko. Aus dem Fund wird ein geordneter Freigabeweg statt einer Sperre ohne Gespräch.
Wer diese drei Unterscheidungen kennt, beantwortet die meisten CASB-Tickets ohne Eskalation: Anwendung oder Kategorie, Firmen- oder Privatinstanz, im Datenstrom oder nachgelagert.
Verwandte Begriffe
Häufige Fragen zu CASB
CASB steht für Cloud Access Security Broker, eine Sicherheitsschicht zwischen Nutzern und Cloud-Diensten. Sie macht sichtbar, welche SaaS-Anwendungen genutzt werden, wie sie konfiguriert sind und welche Daten dorthin fließen, und ermöglicht darauf aufbauend gezielte Policies statt eines pauschalen Erlaubens oder Blockierens.
Inline-CASB prüft Datenverkehr in Echtzeit, während er zwischen Nutzer und Cloud-Dienst fließt, ähnlich wie ZIA das für den allgemeinen Webverkehr tut. API-CASB verbindet sich direkt mit der Programmierschnittstelle des Cloud-Dienstes und prüft dort etwa Freigaben oder Konfigurationen, unabhängig vom aktuellen Datenverkehr. Viele Lösungen kombinieren beide Ansätze.
CASB-Discovery wertet Zugriffsprotokolle aus und kann so einen großen Teil der genutzten Cloud-Dienste sichtbar machen, insbesondere solche mit Web-Zugriff über die überwachte Infrastruktur. Eine hundertprozentige Vollständigkeit ist dabei realistischerweise nicht garantiert.
DLP-Regeln, also Data-Loss-Prevention-Policies, lassen sich über CASB gezielt auf Cloud-Dienste anwenden, etwa um zu verhindern, dass sensible Dateien in nicht freigegebene Cloud-Speicher hochgeladen werden. CASB liefert dafür die Sichtbarkeit und den Kontrollpunkt, DLP die inhaltliche Prüfregel.
Zscaler bietet CASB-Funktionalität als festen Teil seiner Plattform an und bezeichnet die Kombination als multimode CASB: inline über Cloud App Control als Teil von ZIA für laufenden Datenverkehr, und out-of-band über die SaaS Security API für ruhende Daten in bereits angebundenen SaaS-Anwendungen. Der genaue Lizenzzuschnitt ist im eigenen Zscaler-Vertrag zu prüfen.
- Zscaler Help Portal: SaaS Security Deployment and Operations Guide - help.zscaler.com/zscaler-deployments-operations/saas-security-api-deployment-and-operations-guide
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.