Überblick
• In Bezug auf die Architektur wird zwischen Inline-, API-basierten und multimodalen CASB unterschieden. Ein multimodaler CASB gewährleistet den umfassendsten Schutz für Cloud-Anwendungen.
• Zu den wichtigsten CASB-Funktionen, die bei der Auswahl bewertet werden sollten, gehören: Erkennung von Schatten-KI, Data Loss Prevention, Bedrohungsschutz und Durchsetzung von Compliance-Vorgaben.
• Cloud Access Security Broker sind eine Schlüsselkomponente von SSE- (Security Service Edge) und SASE-Architekturen (Secure Access Service Edge).
Was ist CASB? (Cloud Access Security Broker – Zscaler
Gemäß der Definition von Gartner aus dem Jahr 2012 ist ein CASB eine Cloud-basierte Lösung, die die Sicherheit in vier Bereichen stärkt:
- Transparenz: Erkennt alle verwendeten Cloud-Anwendungen, einschließlich nicht genehmigter SaaS- und GenAI-Anwendungen.
- Datensicherheit: Setzt DLP-Richtlinien durch, die Datenlecks verhindern.
- Bedrohungsschutz: Erkennt Malware, kompromittierte Konten und verdächtiges Verhalten.
- Compliance: Einheitliche Richtliniendurchsetzung, um die Vorgaben von DSGVO, HIPAA und weiteren aufsichtsrechtlichen Bestimmungen zu erfüllen.
Warum sind CASB ein wichtiges Thema?
Transparenzlücken: Zunahme von Schatten-KI
Viele Mitarbeitende nutzen GenAI-Anwendungen, die nicht von der IT-Abteilung genehmigt wurden, wodurch Risiken entstehen, vor denen herkömmliche, perimeterbasierte Sicherheitsmaßnahmen nicht schützen können.
CASB bietet entscheidende Einblicke in die Risiken von Schatten-KI. Eine Studie von ThreatLabz kam zu folgenden Ergebnissen:
Ohne Sichtbarkeit keine Sicherheit: Schatten-KI und eingebettete KI-Funktionen machen Transparenz zum neuen Perimeter.– Zum Report von Zscaler ThreatLabz zur KI-Sicherheit 2026 |
Datensicherheit: Vertrauliche Daten gelangen über nicht genehmigte GenAI-Anwendungen in Umlauf
Generative KI verstärkt das Risiko von Datenlecks, da LLMs Informationen aus User-Prompts speichern und diese Informationen an andere User ausgeben können.
CASB-Richtlinienzur Verhinderung von Datenverlust (DLP) verhindern, dass User vertrauliche Daten auf nicht genehmigte LLMs hochladen.
Bedrohungsschutz: SaaS-Anwendungen verbreiten Malware
User laden manchmal infizierte Dateien auf vertrauenswürdige SaaS-Plattformen hoch oder teilen sie dort. Über diese Plattformen kann dann Malware im gesamten Unternehmen verbreitet werden. In genehmigten SaaS-Anwendungen versteckte Malware kann herkömmliche Web-Sicherheitskontrollen umgehen, da sie als vertrauenswürdiger Traffic behandelt wird.
CASB nutztKI-gestützte Bedrohungserkennung, um die Verbreitung von Malware zu verhindern.
Compliance: Konsequente Richtliniendurchsetzung ist unbedingt erforderlich
Datenpannen, die häufig auf Compliance-Probleme zurückzuführen sind, kosten Unternehmen mittlerweile im Durchschnitt fast 5 Mio. USD (IBM Cost of a Data Breach Report 2026).
CASB sorgt für eine einheitliche Richtliniendurchsetzung in allen Cloud-Anwendungen, sodass Sicherheitsbeauftragte nicht jede Anwendung einzeln manuell konfigurieren müssen. Durch konsequente Durchsetzung können Unternehmen die Einhaltung aufsichtsrechtlicher Frameworks wie DSGVO, HIPAA und PCI-DSS gewährleisten.
Funktionsweise
CASB setzt Sicherheitsrichtlinien für den Traffic von und zu Cloud-Anwendungen inline, über API-Integration oder über einen multimodalen Ansatz durch.
Inline CASB
Inline CASB umfasst zwei Modi: den Forward-Proxy-Modus und den Reverse-Proxy-Modus.
Der Forward-Proxy-Modus von CASBbefindet sich zwischen dem Gerät des Users und dem Internet. Er fängt Anfragen an Cloud-Services auf dem Weg zum Verbindungsziel ab.
In diesem Modus handelt es sich bei dem Proxy typischerweise um einen Agent, eine Proxy-Autokonfigurationsdatei (PAC) oder eine explizite Proxy-Konfiguration auf einem verwalteten Gerät.
Der Reverse-Proxy-Modus von CASBbietet eine Echtzeit-Durchsetzung wie der Forward-Proxy-Modus, befindet sich aber zwischen dem User und der Cloud-Anwendung (anstatt zwischen User und Internet).
Der Reverse-Proxy-Modus dient zur Sicherung von BYOD-Umgebungen. Da die Integration über Single Sign-On (SSO) erfolgt und keine Endgerätekonfigurationen erforderlich sind, kann er Traffic erfassen, der von Forward-Proxys übersehen wird.
Wenn sich beispielsweise ein Auftragnehmer auf einem nicht verwalteten Gerät über den IdP authentifiziert, leitet der IdP die Sitzung über CASB um. Die Lösung setzt die Richtlinien dann durch, bevor der User auf die App zugreift.
Der Reverse-Proxy-Modus hilft Unternehmen zwar bei der Absicherung von BYOD, sein Abdeckungsbereich ist jedoch begrenzt. Jede Anwendung muss für die Integration mit SSO konfiguriert werden, was jedoch einen erheblichen Zeitaufwand und IT-Ressourcen erfordert. Reverse-Proxys erfassen auch Traffic nicht, der nicht über die IdP-Umleitung geleitet wird, wie z. B. direkte API-Aufrufe oder App-zu-App-Verbindungen.
API-Modus
CASB auf API-Basis stellt eine direkte Verbindung zur API einer Cloud-Anwendung her. Ruhende Daten werden innerhalb der Anwendung untersucht.
Multimodaler CASB
Proxy- und API-Modus decken unterschiedliche Bereiche ab. Proxy-Modi erkennen Risiken in Echtzeit, können aber nicht sehen, welche Daten in Anwendungen gespeichert sind. Der API-Modus erkennt riskante Aktionen innerhalb von Anwendungen, kann aber nicht sofort reagieren.
Ein multimodaler CASB nutzt die Vorteile von Inline- und API-basierten CASBs voll aus, indem er beide Modi gleichzeitig ausführt. Bei diesem Ansatz liefert Inline-CASB sofortige Antworten, während API-basierter CASB die notwendige Abdeckung bietet, um Daten in Cloud-Anwendungen zu sichern.
CASB, SSE und SASE: In welchem Verhältnis stehen sie zueinander?
2019 führte Gartner die Kategorie Secure Access Service Edge (SASE) ein, um den Trends zu Remote-Arbeit und der Nutzung von SaaS-Anwendungen Rechnung zu tragen. Die Definition baut auf der CASB-Kategorie auf, die Gartner 2012 definiert hatte. SASE umfasst CASB, SD-WAN und weitere Sicherheitsfunktionen wie SWG, ZTNA und FWaaS.
Mit SASEkönnen Unternehmen das Richtlinienmanagement konsolidieren, ihre Sicherheitsausgaben reduzieren und Datenschutzrichtlinien inline durchsetzen.
2021 führte Gartner eine weitere Kategorie eingeführt: Security Service Edge (SSE). SSE repräsentiert den Sicherheitsaspekt von SASE und umfasst Funktionen wie CASB, SWG, ZTNA und FWaaS. Viele Unternehmen beginnen mit SSE und implementieren SASE, sobald sie ihre bestehende Netzwerkinfrastruktur modernisieren möchten.
CASB, SSPM, DSPM und SSE: eine Gegenüberstellung
Wer die Unterschiede zwischen Tools wie SaaS Security Posture Management (SSPM), Data Security Posture Management (DSPM), CASB und SSE kennt, versteht besser, wie diese Lösungen in eine umfassendere Sicherheitsarchitektur passen.
Wenn CASB nicht ausreicht
Cloud Access Security Broker haben einige Einschränkungen. Sie gewähren beispielsweise keinen Einblick in SaaS-zu-SaaS-Verbindungen, OAuth-Verbindungen oder Fehlkonfigurationen innerhalb bestimmter SaaS-Anwendungen. Sie können auch keine ruhenden Daten in nicht verbundenen Repositories einsehen.
SaaS Security Posture Management wurde entwickelt, um die Transparenzlücke von CASB zu schließen. Die meisten Unternehmen setzen beide Lösungen gemeinsam ein.
Die Ausführung von CASB, DSPM und DLP mit einer einzigen SSE-Richtlinien-Engine verbessert die Sicherheit zusätzlich. Die IT kann Richtlinien über einen gemeinsamen Identitätskontext und ein zentrales Dashboard durchsetzen. Die Konfiguration und Durchsetzung von Richtlinien muss nicht mehr plattformübergreifend abgestimmt werden.
Wie wirkt CASB mit DLP, DSPM und Advanced Threat Protection zusammen?
CASB wendet DLP-Richtlinien sowohl bei der Inline- als auch bei der API-basierten Prüfung an. DSPM erweitert diese Datenklassifizierung auf ruhende Daten und Daten in verschiedenen Repositories, die CASB nicht einsehen kann.
Advanced Threat Protection umfasst Malware-Scanning, Sandboxing und Verhaltensanomalieerkennung und läuft inline mit der Trafficprüfung in CASB. Durch die Kombination beider Lösungen können Unternehmen:
- Userverhalten mit Bedrohungssignalen korrelieren,
- kontextbezogene Richtlinien konsequent durchsetzen und
- kompromittierte Konten und Insider-Bedrohungen in SaaS-Anwendungen erkennen.
Häufigste Anwendungsfälle für CASB
1. Aufdeckung und Kontrolle von Schatten-IT
CASB verschafft der IT- und Sicherheitsabteilung die nötige Transparenz, um Schatten-IT in den Griff zu bekommen.
Praxisbeispiel: Nach der Einführung von CASB entdeckte ein globales Biopharma-Unternehmen über 15.000 Anwendungen in seiner IT-Umgebung. Dank dieser Transparenz konnten die IT-Teams ungenutzte Anwendungen außer Betrieb nehmen und die Risiken von Schatten-IT minimieren.
2. Data Loss Prevention für SaaS- und Cloud-Daten
DLP hilft Unternehmen dabei, den Fluss vertraulicher Daten innerhalb der Organisation zu kontrollieren. CASB gibt transparenten Einblick in Daten und Zugriffe in öffentlichen Clouds, SaaS-Anwendungen, LLMs und Datenbanken. Es kann sofort auf risikoreiche Freigaben reagieren.
Praxisbeispiel: Ein führendes Unternehmen der Lebensmittel- und Getränkebranche hat CASB im Rahmen einer SSE-Implementierung eingeführt. Monatlich verhindert das Unternehmen durchschnittlich 4 Millionen Richtlinienverstöße und wehrt 14.000 Bedrohungen ab.
3. Bedrohungsabwehr im gesamten Cloud- und SaaS-Traffic
Sobald eine infizierte Datei in eine zugelassene Cloud-Anwendung gelangt, kann sie sich schnell auf verbundene Anwendungen und die Geräte anderer User ausbreiten. CASB wehrt diese Bedrohungen in Echtzeit ab.
Neben Malware sind Cloud-Anwendungen auch anfällig für Angriffe, die kompromittierte Konten nutzen. Die UEBA-Funktionalität (User and Entity Behavior Analytics) in CASB-Lösungen trägt dazu bei, dieses Risiko zu minimieren. UEBA kennzeichnet Aktivitäten, die vom etablierten Normalverhalten eines Users abweichen, was ein frühes Anzeichen für eine Kompromittierung sein kann.
Diese Lösungen erkennen auch verdächtiges Verhalten wie das Herunterladen großer Dateien, den Zugriff auf Daten, die außerhalb des normalen Arbeitsbereichs des Users liegen, oder die massenhafte Weitergabe von Dateien an externe Adressen. Sobald ein Angriff erkannt wird, lösen diese Lösungen Warnmeldungen aus und blockieren Aktivitäten wie Downloads, um Angriffe proaktiv zu stoppen.
Praxisbeispiel: Eine Regierungsbehörde modernisierte ihre Technologie, um den Fernzugriff ihrer Mitarbeitenden zu sichern. Dabei stellte sie fest, dass ihre alten Proxys schädliche Websites nicht zuverlässig erkannten. Mit der neuen Lösung verhindert die Behörde durchschnittlich rund 7 Millionen Richtlinienverstöße pro Monat.
4. Überwachung und Steuerung der Nutzung von Schatten-KI und GenAI-Apps
CASB verschafft IT-Teams Einblick in Schatten-KI und hilft bei der Durchsetzung von DLP-Richtlinien, um das Risiko von Datenlecks zu reduzieren.
Praxisbeispiel: Eine gemeinnützige Organisation führte CASB im Rahmen einer KI-Sicherheitsinitiative ein. Die Organisation erstellte Berichte, um die Nutzung der GenAI-App durch die Mitarbeiter und die damit verbundenen Datensicherheitsrisiken zu analysieren. Dank dieser Funktionen konnte die Organisation allein durch Verbesserungen im KI-Betrieb Ersparnisse in Höhe von 500.000 USD erzielen.
So implementieren Sie einen CASB
- Umgebung analysieren. Verschaffen Sie sich einen Überblick über die von Ihnen genutzten Cloud-Services und -Anwendungen. Ermitteln Sie anschließend, wo sich vertrauliche Daten aktuell in Ihrem Unternehmen befinden und wie sie fließen.
- Richtlinienanforderungen definieren.Bestimmen Sie, welche Zugriffskontrollen, DLP-Regeln und Compliance-Frameworks das CASB durchsetzen muss. Evaluieren Sie die SSE-Kapazitäten, um festzustellen, ob ein umfassenderer SSE-Rollout sinnvoller wäre als die Nutzung des CASB als Einzellösung.
- Passenden CASB-Anbieter für Ihre Anforderungen auswählen.Achten Sie auf eine multimodale CASB-Lösung, die Ihre Anforderungen im Hinblick auf Integrationen und Richtlinien erfüllt.
- Mit bestehender Identitäts- und Sicherheitsinfrastruktur integrieren.Verbinden Sie CASB mit Ihrem IdP/SSO-System und Ihrer DLP-Engine.
- Schrittweise einführen.Verschaffen Sie sich zunächst einen Überblick über Ihre Basisrisiken, bevor Sie mit der Durchsetzung der Richtlinien fortfahren. Dadurch werden etwaige Beeinträchtigungen für die User während der Einführung minimiert.
- Richtlinien kontinuierlich optimieren. Überprüfen Sie Ihre Berichte zur Schatten-IT-Erkennung. Aktualisieren Sie die Listen genehmigter und nicht genehmigter Anwendungen sowie die DLP-Regeln, sobald sich Nutzung und Risiken ändern.
CASB und KI-Sicherheit
Generative KI hat sich zur am schnellsten wachsenden Form der Schatten-IT entwickelt. Die Aktivitäten im Bereich KI und ML in Unternehmen stiegen im Jahresvergleich um 83 %, und das Ökosystem der KI-Anwendungen vervierfachte sich fast auf über 3.400 Anwendungen (ThreatLabz-Report 2026 zur KI-Sicherheit).
Ein Großteil der Nutzung von GenAI-Apps findet außerhalb formaler Genehmigungsprozesse statt. Dadurch fällt sie in den Zuständigkeitsbereich des CASB.
Zukunftsfähige CASBs müssen skalierbar sein, um das Datenvolumen zu bewältigen, das an GenAI übertragen wird. Allein im Jahr 2025 stieg das Volumen der Datenübertragungen zu GenAI-Anwendungen um 93 % auf über 18.000 Terabyte (ThreatLabz-Report 2026 zur KI-Sicherheit).
Bei Einsatz im Rahmen einer KI-gestützten SSE-Plattform bieten zukunftsfähige CASB-Lösungen folgende Funktionen und Vorteile:
- Erkennung von Schatten-KI: Die gleiche Anwendungserkennungs-Engine, die nicht genehmigte SaaS-Anwendungen identifiziert, kann auch nicht genehmigte GenAI-Anwendungen erkennen.
- DLP für KI-Prompts und Uploads: Richtlinien regeln, welche Inhalte User in einem GenAI-Promptfenster teilen dürfen.
- Erkennung von Verhaltensbedrohungen: Die Anomalieerkennung weist auf kompromittierte Konten und ungewöhnliche Trafficmuster hin.
Zscaler CASB
Zscaler bietet multimodalen CASB im Rahmen derZero Trust Exchange an, die sowohl SSE- als auch SASE-Funktionen bereitstellt. Zscaler wurde von 2021 bis 2026jährlich als führendes Unternehmen im Gartner Magic Quadrant für SSE ausgezeichnet.
Mit Zscaler CASB profitieren Unternehmen von folgenden Funktionen:
- KI-gestützte Datenklassifizierung deckt vertrauliche Daten in SaaS-, IaaS- und GenAI-Anwendungen auf. Sicherheitsbeauftragte können DLP-Richtlinien durchsetzen, ohne jede Anwendung manuell prüfen zu müssen.
- Zscaler AI Guard überprüft Prompts und Uploads, um zu verhindern, dass vertrauliche Daten an nicht genehmigte LLMs gelangen.
- ThreatLabzleitet neuartige Angreifer-TTPs in Erkennungsmodelle weiter und aktualisiert die Richtliniendurchsetzung dynamisch.
Fordern Sie eine Demo an, um zu sehen, wie Zscaler CASB Ihr Unternehmen absichern kann.
Zscaler wird als Leader im Gartner Magic Quadrant für Security Service Edge (SSE) und Secure Access Service Edge (SASE) gewürdigt.
Empfohlene Ressourcen
FAQ
CASB-Lösungen sind für Unternehmen jeder Größe unerlässlich, die auf die Cloud angewiesen sind, um vertrauliche Daten zu speichern, über SaaS-Anwendungen zusammenzuarbeiten oder Cloud-Ressourcen zu verwalten. Branchen wie das Gesundheitswesen, der Finanzsektor und der öffentliche Sektor profitieren aufgrund strenger Datenschutzbestimmungen am meisten von CASBs. Sie sind jedoch auch für Unternehmen von entscheidender Bedeutung, die auf Remote-Arbeit umstellen, BYOD-Richtlinien einführen oder Bedrohungen durch die Einführung von Schatten-IT ausgesetzt sind.
Ein Cloud Access Security Broker (CASB) ist ein Sicherheitstool, das Richtlinien zwischen Usern und Cloud-Services durchsetzt. Er unterstützt Unternehmen dabei, den Schutz von Cloud-Daten zu gewährleisten, Datenlecks zu verhindern und Sicherheitsbedrohungen abzuwehren. CASBs stellen entscheidende Funktionen wie Data Loss Prevention (DLP), Shadow-IT-Erkennung, Compliance-Durchsetzung bereit und lassen sich nahtlos mit SaaS- und IaaS-Plattformen integrieren.
Um die richtige CASB-Lösung auszuwählen, sollten Sie die Cloud-Sicherheitsanforderungen Ihres Unternehmens, die aktuellen Risiken und die Compliance-Anforderungen bewerten. Achten Sie auf Funktionen wie multimodale Bereitstellung (Proxy- und API-Integrationen), Echtzeit-Datenüberwachung, fortschrittliches DLP, Bedrohungsabwehr und Schatten-IT-Kontrolle. Arbeiten Sie mit einem vertrauenswürdigen Anbieter zusammen, der Skalierbarkeit, einfache Implementierung und Integration in umfassendere SSE-Plattformen (Security Service Edge) bietet.
CASBs stellen unverzichtbare Cloud-Sicherheitsfunktionen bereit. Im Idealfall werden sie im Rahmen einer umfassenden Sicherheitsstrategie eingesetzt. Sie arbeiten nahtlos mit Lösungen wie Secure Web Gateways (SWG), Zero-Trust Network Access (ZTNA) und DSPM zusammen, um einen einheitlichen Schutz zu gewährleisten. Die Implementierung eines CASB innerhalb ganzheitlicher Frameworks wie SASE oder SSE gewährleistet eine breitere Abdeckung der Cloud- und Netzwerksicherheit.
CASB ermöglicht die Überwachung der nicht genehmigten Nutzung von GenAI-Tools durch Abfangen dieses Traffics direkt im System. Es kann KI-Anwendungen erkennen und detaillierte Kontrollen basierend auf der Identität des Benutzers, dem Risikoprofil der App oder der Vertraulichkeit der weitergegebenen Daten anwenden. CASB kann den Zugriff auf nicht genehmigte KI-Tools blockieren, Aktionen wie die Eingabe von Prompts einschränken und DLP-Richtlinien anwenden, um Datenübertragungen zu verhindern.
Multimodale CASB-Lösungen bieten sowohl Inline-Schutz (über Proxying) als auch Out-of-Band-Scanning (über API-Integrationen). Dieser duale Ansatz ermöglicht die Durchsetzung von Richtlinien in Echtzeit, um Datenverluste und Malware zu verhindern, und bietet gleichzeitig Einblick in ruhende Daten, um Fehlkonfigurationen zu erkennen und die Einhaltung von Vorschriften zu gewährleisten. Multimodale CASBs ermöglichen Unternehmen, sowohl SaaS- als auch öffentliche Cloud-Umgebungen nahtlos abzusichern.
CASBs gewährleisten die Einhaltung von Vorschriften, indem sie vertrauliche Daten erkennen, die der DSGVO oder anderen regulatorischen Rahmenbedingungen unterliegen, und strenge Richtlinien für deren Speicherung, Übermittlung und Nutzung durchsetzen. Erweiterte Funktionen wie Cloud-DLP-Scans für regulierte Datenmuster verhindern unberechtigte Zugriffe und beheben riskante Dateiaktivitäten, um die Einhaltung von Compliance-Vorgaben zu gewährleisten.
CASBs verstärken die DLP-Maßnahmen, indem sie proaktiv vertrauliche Daten scannen, die innerhalb genehmigter und inoffizieller Cloud-Anwendungen übertragen werden. Echtzeit-Proxy-Funktionen setzen Richtlinien für das Hochladen, Herunterladen und Teilen von Daten durch, während API-Integrationen die Sicherheit ruhender Daten gewährleisten. Zusammen verhindern diese Funktionen den Verlust von und unbefugten Zugriff auf vertrauliche Daten und steigern so die Effektivität von Cloud-DLP.
CASB überwacht die Useraktivitäten, setzt DLP-Richtlinien durch und blockiert Bedrohungen beim Datenaustausch mit SaaS-Anwendungen wie Salesforce und Microsoft 365. SSPM prüft SaaS-Anwendungen kontinuierlich auf Fehlkonfigurationen, Compliance-Probleme und übermäßige Berechtigungen. Gemeinsam steuern CASB und SSPM das Userverhalten und die Anwendungskonfigurationen, um Sicherheitsbeauftragten vollständige Transparenz und Kontrolle über ihre SaaS-Angriffsfläche zu ermöglichen.
Ja. CASB hat sich von einem eigenständigen Produkt zu einer Schlüsselkomponente einer SSE- oder SASE-Implementierung entwickelt. Durch die Konsolidierung von CASB in eine größere Plattform mit gemeinsamer Identitätsverwaltung, Richtlinien und Bedrohungskontext wird ein effektiverer Schutz vertraulicher Daten in Cloud-Anwendungen ermöglicht.