Glossar · einfach erklärt

CASB (Cloud Access Security Broker)

Ein CASB macht SaaS-Nutzung sichtbar und steuerbar: Schatten-IT erkennen, Richtlinien durchsetzen, Datenabfluss verhindern.

Ein Cloud Access Security Broker (CASB) ist die Kontrollinstanz zwischen Nutzern und Cloud-Diensten: Er macht sichtbar, welche SaaS-Anwendungen tatsächlich genutzt werden, setzt Richtlinien für den Umgang mit Daten durch und erkennt riskante Konfigurationen in den Diensten selbst.

Der Auslöser ist fast immer Schatten-IT: Fachbereiche nutzen Cloud-Tools, von denen die IT nichts weiß — mit Unternehmensdaten außerhalb jeder Kontrolle. Ein CASB bringt diese Nutzung ans Licht und in geordnete Bahnen.

Wie arbeitet ein CASB?

Zwei Betriebsarten ergänzen sich: Inline sitzt der CASB im Datenpfad — meist integriert mit SWG und ZTNA in einer SSE-Plattform — und kann Aktionen in Echtzeit steuern: Uploads blockieren, Downloads auf verwalteten Geräten erlauben, riskante Freigaben verhindern. Per API verbindet er sich zusätzlich direkt mit den SaaS-Diensten und prüft dort ruhende Daten, Freigaben und Konfigurationen — etwa öffentlich geteilte Dokumente oder inaktive Admin-Konten.

Kombiniert mit Data Loss Prevention entsteht so eine durchgehende Kontrolle: Wer nutzt welchen Dienst, mit welchen Daten, unter welchen Bedingungen.

Typische CASB-Anwendungsfälle

Schatten-IT-Inventar: welche Cloud-Dienste im Unternehmen wirklich genutzt werden.
Richtlinien je Dienst und Gerät: Firmen-Tenant erlaubt, private Instanz nur lesend.
Erkennung riskanter Freigaben und Fehlkonfigurationen in SaaS-Diensten.
DSGVO-relevante Kontrolle, wo personenbezogene Daten in welche Dienste fließen.

Häufige Fragen zu CASB (Cloud Access Security Broker)

Wofür braucht man einen CASB?

Sobald Unternehmensdaten in SaaS-Diensten liegen, braucht es Sichtbarkeit und Kontrolle: Welche Dienste werden genutzt, welche Daten fließen dorthin, welche Freigaben existieren? Ein CASB beantwortet diese Fragen und setzt Richtlinien durch — von der Blockade bis zur feinen Aktionssteuerung.

Was ist der Unterschied zwischen Inline- und API-Modus?

Inline steht der CASB im Datenpfad und steuert Aktionen in Echtzeit, etwa Upload-Verbote. Der API-Modus verbindet sich direkt mit dem SaaS-Dienst und prüft dort ruhende Daten, Freigaben und Einstellungen. Wirksamer Schutz kombiniert beide Sichten.

Wie erkennt ein CASB Schatten-IT?

Aus dem Web-Verkehr der Nutzer: Der CASB klassifiziert aufgerufene Dienste, bewertet deren Risiko und erstellt ein Nutzungsinventar. So wird sichtbar, welche Tools Fachbereiche jenseits der freigegebenen Landschaft verwenden — die Grundlage für Freigabe, Alternative oder Blockade.

Gehört ein CASB zu SASE?

Ja — CASB ist neben SWG, ZTNA und FWaaS einer der Kernbausteine von SASE bzw. SSE. In einer Plattform teilen sich die Dienste Identitäten, Richtlinien und Logs, statt als Einzelprodukte nebeneinander zu laufen.

Ersetzt ein CASB die DLP?

Nein, beide greifen ineinander: DLP definiert, welche Daten schützenswert sind und erkennt sie in Bewegung und Ruhe; der CASB ist einer der Orte, an denen diese Regeln durchgesetzt werden — beim Upload, bei Freigaben, in den SaaS-Diensten selbst.