Ein Cloud Access Security Broker (CASB) ist eine Sicherheitsinstanz zwischen Nutzern und Cloud-Diensten. Er sitzt sozusagen als „Makler“ vor Software-as-a-Service-Anwendungen und anderen Cloud-Angeboten und setzt dort die Sicherheitsrichtlinien des Unternehmens durch.
Die vier Säulen eines CASB
Gartner beschreibt CASB-Funktionen in vier Kategorien:
- Visibility (Sichtbarkeit): erkennen, welche Cloud-Dienste Mitarbeiter nutzen – auch unangemeldete Schatten-IT
- Compliance (Regeltreue): sicherstellen, dass Daten in der Cloud gesetzliche und interne Vorgaben erfüllen
- Data Security (Datenschutz): vertrauliche Inhalte erkennen, verschlüsseln oder blockieren
- Threat Protection (Bedrohungsschutz): Schadsoftware und verdächtige Aktivitäten in Cloud-Anwendungen erkennen
Wie ein CASB arbeitet
Je nach Einsatz gibt es verschiedene Anbindungsarten: Als Forward Proxy liegt er im Datenpfad der Nutzer und kann Datenverkehr direkt prüfen; im API-Modus nutzt er die Schnittstellen des Cloud-Anbieters und überwacht Daten, ohne den Datenfluss umzuleiten. Über Log-Auswertung lassen sich auch Dienste kontrollieren, die nicht durch einen Proxy laufen.
CASB im SASE-Kontext
In modernen Architekturen ist der CASB Teil der Security Service Edge und damit ein Baustein von SASE: Während ZTNA den Zugriff auf interne Anwendungen schützt, übernimmt der CASB die Kontrolle über externe Cloud-Dienste. Er ergänzt klassische Schutzmechanismen wie die Firewall und unterstützt die Prinzipien des Zero-Trust-Sicherheitsmodells sowie des Cloud Computing. Verwandte Grundlagen: SD-WAN.