CASB: Cloud Access Security Broker
Cloud Access Security Broker (CASB) ist eine Sicherheitslösung, die als Vermittler zwischen Benutzern und Cloud-Anwendungen fungiert und Transparenz, Kontrolle und Datenschutz in SaaS-, IaaS- und PaaS-Umgebungen bietet. Mit der explosionsartigen Zunahme der Nutzung von Cloud-Anwendungen wie Microsoft 365, Google Workspace, Salesforce, AWS und Hunderten weiterer Tools haben Organisationen die Transparenz und Kontrolle über Unternehmensdaten verloren, die sich nun außerhalb des traditionellen Perimeters befinden. CASB löst dieses Problem, indem es vier grundlegende Säulen bietet: Visibility (Erkennung von Schatten-IT und Inventarisierung von Cloud-Anwendungen), Compliance (Durchsetzung regulatorischer Richtlinien und Branchenstandards), Data Security (Verhinderung des Abflusses sensibler Daten durch cloud-natives DLP) und Threat Protection (Erkennung von Bedrohungen, Verhaltensanomalien und Malware in Cloud-Diensten). Die Lösung kann in verschiedenen Bereitstellungsmodi betrieben werden: inline (Reverse-Proxy), API-basiert (direkte Integration mit Cloud-Anbietern) oder log-basiert (Analyse von Zugriffsprotokollen). Moderne CASBs implementieren außerdem granulare kontextbasierte Zugriffskontrollen (Benutzer, Gerät, Standort, Anwendung), Verschlüsselung für Daten im Ruhezustand und während der Übertragung, Tokenisierung zum Schutz sensibler Informationen sowie die Integration mit SIEM-, EDR- und IAM-Systemen, um ein einheitliches und orchestriertes Sicherheitsökosystem zu schaffen.
Erkennung von Schatten-IT und Cloud-Transparenz
Eine der größten Herausforderungen der Unternehmenssicherheit ist die unautorisierte Nutzung von Cloud-Anwendungen (Schatten-IT). Mitarbeiter setzen SaaS-Tools ohne Genehmigung der IT oder Sicherheit ein und schaffen so gefährliche blinde Flecken. CASB bietet cloud discovery über mehrere Methoden: Analyse von Proxy- und Firewall-Protokollen, Überwachung von DNS-Abfragen, Integration mit Network Traffic Analysis und API-Connectors mit Identity Providern. Das Ergebnis ist ein vollständiger cloud app catalog, der alle genutzten Anwendungen, das Volumen der übertragenen Daten, die Anzahl der aktiven Benutzer und den Risk Score jeder App anzeigt. Die automatische Risikobewertung bewertet Anwendungen anhand von Kriterien wie Sicherheitszertifizierungen (SOC 2, ISO 27001), Datenschutzrichtlinie, Verlauf von Sicherheitsverletzungen, Standort der Rechenzentren und Einhaltung der GDPR. Das Management-Dashboard bietet sofortige Transparenz darüber, wie viele Cloud-Anwendungen im Einsatz sind (häufig Hunderte oder Tausende), welche sensible Daten speichern und welche Sicherheitsrisiken darstellen. App Sanctioning ermöglicht es Sicherheitsteams, Anwendungen als genehmigt, nicht genehmigt oder überwacht zu klassifizieren und für jede Kategorie unterschiedliche Richtlinien anzuwenden.
Data Loss Prevention (DLP) in der Cloud
CASB implementiert natives DLP für die Cloud und schützt sensible Daten in SaaS-Anwendungen. Die Inhaltsprüfung untersucht Uploads, Downloads und Freigaben in Echtzeit und nutzt Pattern Matching, reguläre Ausdrücke und Machine Learning, um Folgendes zu identifizieren: Kreditkartennummern, nationale Identifikationsnummern, medizinische Informationen (PHI), geistiges Eigentum, Quellcode, Verträge und andere vertrauliche Daten. Das policy enforcement kann Uploads sensibler Dateien blockieren, verdächtige Dokumente in Quarantäne stellen, automatische Verschlüsselung anwenden, öffentliche Freigabeberechtigungen entfernen oder zusätzliche MFA verlangen. Contextual controls ermöglichen granulare Richtlinien: Auf ein Finanzdokument kann vom Büro aus zugegriffen werden, es kann jedoch von nicht verwalteten privaten Geräten oder nicht autorisierten geografischen Standorten aus blockiert werden. Die data classification integriert sich in Unternehmenssysteme und respektiert Vertraulichkeitslabels (Public, Internal, Confidential, Restricted). Remediation actions umfassen Verschlüsselung (mittels Enterprise Key Management), Tokenisierung (Ersetzen echter Daten durch Tokens), Redaction (Verbergen sensibler Teile von Dokumenten) sowie Warnungen für Sicherheitsteams und Data Owner. Die Integration mit On-Premises-DLP gewährleistet konsistente Richtlinien innerhalb und außerhalb des Unternehmensperimeters.
Threat Protection und Anomalieerkennung
Moderne CASBs implementieren eine advanced threat protection speziell für Cloud-Umgebungen. Behavioral analytics nutzt Machine Learning, um eine Baseline des normalen Benutzerverhaltens zu erstellen und Anomalien zu erkennen, wie: Anmeldung von einem unmöglichen Standort (impossible travel), massiver Datendownload (data exfiltration), übermäßige Dokumentenfreigabe, Erstellung mehrerer Service-Konten oder Änderungen an kritischen Konfigurationen. Die malware detection scannt Dateien im Cloud Storage mittels Multi-Engine-Antivirus, Sandboxing und Threat Intelligence Feeds. Die account compromise detection identifiziert kompromittierte Anmeldedaten durch abnormale Anmeldemuster, die Nutzung bekannter bösartiger IPs oder Verhalten, das nicht mit dem Profil des Benutzers übereinstimmt. Die insider threat detection überwacht die Aktionen von Privileged Users und warnt bei Zugriffen außerhalb der Geschäftszeiten, Datenexfiltration vor dem Ausscheiden oder Verstößen gegen Chinese Wall Policies. Die Integration mit Threat Intelligence korreliert Cloud-Aktivitäten mit globalen Indicators of Compromise (IoCs), indem sie die Kommunikation mit C2 Servern oder die Nutzung von Anwendungen identifiziert, die mit Threat Actors in Verbindung stehen. Die automatisierte Reaktion kann Benutzer blockieren, Sessions widerrufen, ein Zurücksetzen des Passworts erzwingen oder an das Security Operations Center (SOC) eskalieren.
Compliance und Governance in Multi-Cloud
CASB ist unerlässlich, um die regulatorische Compliance in Cloud-Umgebungen aufrechtzuerhalten. Das compliance monitoring überprüft kontinuierlich, ob Cloud-Anwendungen die Anforderungen von GDPR, LGPD, HIPAA, PCI-DSS, SOX und anderen Frameworks erfüllen. Zum Beispiel für die GDPR: Validieren, dass Daten europäischer Bürger nicht ohne rechtliche Vorkehrungen in Rechenzentren außerhalb der EU gespeichert werden, das Right to be Forgotten durch Datenaufbewahrungsrichtlinien gewährleisten, Data Processing Activities auditieren und Privacy by Design implementieren. Für PCI-DSS: sicherstellen, dass Kartendaten nicht in nicht-konformen Anwendungen gespeichert werden, Verschlüsselung während der Übertragung und im Ruhezustand implementieren und Audit Trails aller Zugriffe auf CHD (cardholder data) führen. Das audit reporting generiert automatische Berichte für Audits, einschließlich Access Logs, Data Movement, Policy Violations und Remediation Actions. Das data residency enforcement stellt sicher, dass Daten gemäß regulatorischen oder vertraglichen Anforderungen in bestimmten geografischen Regionen verbleiben. Das configuration auditing überwacht die Einstellungen von Cloud-Anwendungen (wie öffentliche S3-Buckets, übermäßige Berechtigungen, schwache Verschlüsselung) und warnt bei Abweichungen von Security Baselines.
Bereitstellungsmodi und Architektur
CASBs können je nach Anforderungen in verschiedenen Architekturen implementiert werden: Der Inline/Proxy mode fungiert als Reverse Proxy und fängt den gesamten Datenverkehr zwischen Benutzern und Cloud-Apps in Echtzeit ab, was Blocking und Verschlüsselung inline ermöglicht. Vorteil: Kontrolle in Echtzeit. Nachteil: zusätzliche Latenz und Single Point of Failure. Der API mode verbindet sich direkt mit den APIs der Cloud Provider (Office 365, Google Workspace, Salesforce) und ermöglicht: Dateninventarisierung, retroaktives DLP für bereits gespeicherte Dateien, Remediation unsicherer Konfigurationen und Activity Auditing. Vorteil: keine Auswirkung auf die Leistung. Nachteil: funktioniert nur mit Apps, die APIs anbieten. Der Log-based mode analysiert die von Cloud-Apps generierten Zugriffsprotokolle und bietet Transparenz und Analytics, ohne den realen Datenverkehr zu berühren. Das Hybrid deployment kombiniert inline für kritische Anwendungen (real-time blocking) und API für eine umfassende Abdeckung des gesamten Cloud-Ökosystems. Der Multi-tenancy support ermöglicht die Verwaltung unterschiedlicher Richtlinien für Tochtergesellschaften, Abteilungen oder Kunden in MSP-Szenarien. High availability und scalability sind entscheidend, um nicht zum Bottleneck zu werden.
Integration mit dem Security Ecosystem
CASB arbeitet nicht isoliert, sondern integriert sich mit: Identity and Access Management (IAM) zur Durchsetzung von Richtlinien auf Basis von Benutzer, Gruppe und Rolle; Single Sign-On (SSO) für eine einheitliche Authentifizierung; Multi-Factor Authentication (MFA) für Step-up Authentication bei sensiblen Zugriffen; SIEM zur Korrelation von Cloud-Ereignissen mit On-Premises Security Incidents; Endpoint Detection and Response (EDR) für Zugriffsentscheidungen auf Basis von Device Health und Posture; Secure Web Gateway (SWG) für konsistente Richtlinien zu Web Filtering und Threat Protection; Zero Trust Network Access (ZTNA) zur Umsetzung von never trust, always verify im Cloud-Zugriff; Cloud Security Posture Management (CSPM) für die Governance von IaaS; Data Classification tools für die automatische Kennzeichnung von Dokumenten. Diese Integration ermöglicht risk-based access control, bei dem Entscheidungen über Zulassen/Blockieren/Step-up Authentication auf einem vollständigen Kontext basieren: Identität + Gerät + Standort + Anwendung + Data Sensitivity + Threat Intelligence.
Anwendungsfälle und Implementierung
Praktische CASB-Anwendungsfälle: (1) Schatten-IT kontrollieren: alle Cloud-Anwendungen erkennen, Risiken bewerten und nicht genehmigte Apps blockieren, während sichere Alternativen genehmigt werden; (2) Daten in Office 365/Google Workspace schützen: DLP implementieren, um die externe Freigabe vertraulicher Dokumente zu verhindern; (3) Compliance mit GDPR/LGPD: sicherstellen, dass PII die zulässigen geografischen Regionen nicht verlassen, und einen Audit Trail des Data Processing führen; (4) Account Takeover erkennen: verdächtige Anmeldungen identifizieren und MFA erzwingen oder die Session blockieren; (5) Secure BYOD: Zugriff auf Cloud-Apps von privaten Geräten mit Einschränkungen ermöglichen (kein Download, nur Ansicht); (6) Contractor access: Dritten eingeschränkten Zugriff mit verstärkter Überwachung gewähren. Für eine erfolgreiche Implementierung: (1) mit dem Discovery Mode beginnen, um die Cloud App Landscape ohne Blocking zu kartieren; (2) Richtlinien auf Basis von Risk und Compliance Requirements definieren; (3) mit einer kleinen Gruppe pilotieren, bevor der allgemeine Rollout erfolgt; (4) Benutzer über genehmigte Apps und Ausnahmeprozesse schulen; (5) mit IAM/SSO integrieren für eine transparente User Experience; (6) Dashboards überwachen und Richtlinien anhand von False Positives/Negatives anpassen; (7) Security Awareness zu den Risiken der Schatten-IT durchführen.