Ein Secure Web Gateway (SWG) prüft und filtert den Web-Verkehr von Nutzern: Aufrufe werden gegen Richtlinien, Reputationsdaten und Malware-Erkennung geprüft, bevor die Verbindung zustande kommt. Gefährliche Ziele werden blockiert, riskante Kategorien nach Unternehmensrichtlinie behandelt.
Als Cloud-Dienst ist das SWG ein Kernbaustein von SASE/SSE: Der Schutz folgt dem Nutzer — im Büro, im Homeoffice, unterwegs — statt am Perimeter der Zentrale zu enden.
Wie funktioniert ein SWG?
Der Verkehr der Endgeräte wird über den Cloud-Dienst geleitet — typischerweise per Agent auf dem Gerät oder über den Standort-Tunnel. Dort greifen mehrere Prüfstufen: DNS- und URL-Filter nach Kategorien und Reputation, TLS-Inspektion für die Inhaltsprüfung, Malware-Scanning von Downloads sowie Richtlinien bis auf Anwendungs- und Aktionsebene, etwa Upload-Verbote für bestimmte Dienste.
Moderne SWGs koppeln sich mit Data Loss Prevention und CASB: So entsteht eine durchgehende Kontrolle vom Aufruf über den Inhalt bis zur Datenbewegung.
Technisch arbeitet ein Cloud-SWG als Forward-Proxy in einem globalen Netz: Nutzer verbinden sich mit dem nächstgelegenen Standort, dort fällt die Entscheidung — anhand von Identität und Gruppe, Gerätezustand, Ziel-Kategorie und Risikobewertung. Jede Entscheidung wird protokolliert; damit liefert das SWG nebenbei die Web-Nutzungs-Transparenz, die Audits und Vorfallsanalysen brauchen — inklusive Sichtbarkeit über Schatten-IT und unerlaubte KI-Dienste.
SWG einführen: Worauf es in der Praxis ankommt
Der Rollout entscheidet über die Akzeptanz: Endgeräte kommen per Agent in den Schutz, Standorte über einen Tunnel — beides zusammen deckt Büro, Homeoffice und unterwegs ab. Bei der TLS-Inspektion gehören Ausnahmen von Anfang an ins Design, etwa für Banking- und Gesundheitskategorien; und Richtlinien reifen am besten gestuft: erst beobachten, dann warnen, dann blockieren. So lernt die Organisation ihre tatsächliche Web-Nutzung kennen, bevor Regeln greifen.
Im Betrieb ist das SWG kein Set-and-forget: Kategorien, Ausnahmen und neue Dienste — von Filesharing bis KI-Tools — wollen laufend gepflegt werden, und die Logs entfalten ihren Wert erst mit regelmäßiger Auswertung. In einer SSE-Architektur teilt sich das SWG die Richtlinien-Ebene mit ZTNA, CASB und DLP; als Managed Service übernimmt KAEMI Rollout, Richtlinienpflege und Betrieb auf Cloudflare One.
Was ein SWG im Alltag verhindert
- Zugriffe auf Phishing- und Malware-Seiten — auch über frisch registrierte Domains.
- Drive-by-Downloads und infizierte Dateien aus dem Web.
- Unerwünschte Dienste nach Richtlinie, etwa anonyme Filesharing-Portale.
- Datenabfluss über Web-Uploads, in Kombination mit DLP-Regeln.
Unkontrollierte Uploads in KI-Dienste — Shadow AI wird sichtbar und steuerbar.