Glossar · einfach erklärt

Remote Browser Isolation (RBI)

Remote Browser Isolation (RBI) verlagert das Ausführen von Webseiten vom Endgerät in eine isolierte Cloud-Umgebung: Die Seite läuft in einem abgeschotteten Remote-Browser, das Endgerät erhält nur die gerenderte, unschädliche Ausgabe. Selbst wenn eine Seite Schadcode enthält, wird er nie auf dem Gerät ausgeführt.

Browser Isolation wendet damit das Zero-Trust-Prinzip auf das Surfen an: Keine Webseite gilt als vertrauenswürdig — die Frage ist nur, wo sie ausgeführt wird. Für die Browser-Sicherheit ist das ein Architekturwechsel statt eines weiteren Filters.

Wie funktioniert Browser Isolation?

Beim Aufruf einer Seite startet die Plattform einen isolierten Browser in der Cloud — nah am Nutzer, als Wegwerf-Instanz. Zum Endgerät fließt nur ein sicherer Strom aus gerenderten Inhalten; moderne Verfahren übertragen dabei Zeichenbefehle statt Video, sodass sich die Seite flüssig und nativ anfühlt. Endet die Sitzung, wird die Instanz mitsamt allem, was die Seite geladen hat, verworfen.

Die Web Isolation lässt sich pro Richtlinie steuern: Downloads, Uploads, Copy-and-paste und Tastatureingaben können je Site-Kategorie erlaubt, eingeschränkt oder gesperrt werden. Abzugrenzen ist RBI vom Enterprise Browser — einem verwalteten lokalen Spezial-Browser: Bei der Cloud Browser Isolation bleibt der gewohnte Browser, nur der Ausführungsort wandert.

Wann lohnt Remote Browser Isolation?

Der stärkste Hebel ist der Phishing-Schutz: Links aus E-Mails lassen sich grundsätzlich isoliert öffnen — bei Verdacht schreibgeschützt, sodass sich auf der gefälschten Anmeldeseite gar keine Zugangsdaten eingeben lassen. Auch neue und unkategorisierte Domains, die ein Secure Web Gateway sonst blocken oder durchlassen müsste, bekommen mit „isoliert öffnen" einen dritten, besseren Weg.

Der zweite große Fall sind nicht verwaltete Geräte: Externe, Dienstleister oder BYOD greifen über einen isolierten Browser auf Unternehmensanwendungen zu — ohne Agent auf dem Gerät, mit voller Kontrolle über Daten und Downloads. In einer SSE-Plattform entscheidet die SWG-Richtlinie automatisch, wann eine Sitzung in die Isolation wandert.

Typische Einsatzszenarien

  • Links aus E-Mails immer isoliert öffnen — Phishing-Seiten bleiben wirkungslos.
  • Neue und unkategorisierte Domains isoliert statt pauschal geblockt.
  • Administratoren und privilegierte Nutzer surfen grundsätzlich im Remote-Browser.
  • BYOD und Externe: clientless Zugriff auf Web-Apps mit Download-Kontrolle.
  • Riskante Dateitypen werden erst entschärft, dann zum Download freigegeben.

Häufige Fragen zu Remote Browser Isolation (RBI)

Merken Nutzer einen Unterschied beim Surfen über RBI?

Bei moderner Browser Isolation kaum: Statt Video streamen aktuelle Plattformen die Zeichenbefehle der Seite, Scrollen und Tippen fühlen sich nativ an. Sinnvoll konfiguriert läuft ohnehin nur der riskante Teil des Traffics isoliert — etwa neue Domains oder Links aus E-Mails, nicht das gesamte Web.

Ersetzt Remote Browser Isolation den Endpoint-Schutz?

Nein, sie ergänzen sich: RBI verhindert, dass Web-Schadcode das Gerät überhaupt erreicht — EDR bleibt zuständig für alles, was auf anderen Wegen ankommt, von USB bis E-Mail-Anhang. Zusammen mit SWG und DLP entsteht ein gestaffelter Schutz für den sicheren Browser-Alltag.

Was unterscheidet RBI von einem Enterprise Browser?

Der Ausführungsort. Remote Browser Isolation führt Seiten in der Cloud aus, Nutzer behalten ihren gewohnten Browser. Ein Enterprise Browser ist ein verwalteter Spezial-Browser auf dem Gerät selbst. Beide Wege führen zu einem sicheren Browser — RBI kommt ohne Software-Wechsel und meist ohne Agent aus.

Ist Browser Isolation Teil von SASE/SSE?

Ja — RBI gehört neben SWG, CASB und DLP zu den Bausteinen von SASE und SSE. Der Vorteil der Plattform: Die SWG-Richtlinie entscheidet automatisch, welche Sitzungen isoliert laufen, und Identität, Gerätestatus und Protokolle sind dieselben wie im Rest des Zero-Trust-Stacks.

Hilft RBI gegen Phishing?

Ja, sehr direkt: Verdächtige Links öffnen sich im isolierten Modus schreibgeschützt — auf der nachgebauten Login-Seite lassen sich schlicht keine Zugangsdaten eintippen. Der Diebstahl läuft ins Leere, noch bevor Awareness-Training oder Filter greifen müssen.

Offene Fragen dazu in Ihrer Umgebung? KAEMI berät Sie anforderungsorientiert und übernimmt auf Wunsch auch das laufende Management.