Die Frage, die im achten Monat kommt
Ein Dokument taucht dort auf, wo es nicht sein sollte. Die Rechtsabteilung oder ein Kunde stellt die naheliegende Frage: Wann wurde das freigegeben, und von wem? Sie öffnen die Drive-Protokollereignisse, stellen den Zeitraum so weit ein, wie es geht, filtern auf die Datei – und bekommen nichts. Nicht „keine externen Freigaben", sondern nichts. Die Freigabe geschah vor acht Monaten, und Googles Protokoll hat vor zwei Monaten aufgehört, sich daran zu erinnern.
Das ist kein Fehler und liegt nicht an Ihrer Edition. Es ist das Aufbewahrungsfenster, und es bestimmt, was eine Drive-Prüfung belegen kann und was nicht.
Das Fenster: 6 Monate, nahezu in Echtzeit
Googles Seite zur Datenaufbewahrung führt Drive-Protokollereignisse mit sechs Monaten Aufbewahrung und einer Verzögerung von wenigen Minuten – „nahezu in Echtzeit". Die aggregierten Drive-Übersichtsberichte hinken ein bis drei Tage hinterher; das Ereignisprotokoll, das Sie für die Forensik nutzen, ist fast sofort aktuell.
Sechs Monate sind ein gleitendes Fenster. Jeden Tag fällt der älteste Tag hinten heraus. Googles Seite dokumentiert keine Möglichkeit, das zu verlängern oder ein herausgefallenes Ereignis nachzuholen. Was zählt, muss das Protokoll verlassen, bevor das passiert.
Was das Protokoll ist – und was nicht
Drive-Protokollereignisse liegen unter Menü → Berichte → Audit und Untersuchung → Drive-Protokollereignisse, in jeder Workspace Edition. Jede Zeile ist eine Aktion an einem Element – Aufrufen, Umbenennen, Erstellen, Bearbeiten, Drucken, Löschen, Hochladen, Herunterladen, Source Copy – mit Zeitstempel und Akteur. Worauf Freigabeprüfungen angewiesen sind, ist ein Attribut statt eines Ereignisses: Sichtbarkeitsänderung, die Google als die Sichtbarkeit des Drive-Elements vor der Aktivität definiert. In der Liste der Ereignisnamen gibt es kein eigenes Freigabeereignis, Sie filtern also auf das Attribut.
Was das Protokoll nicht ist: eine Berechtigungskarte. Es erfasst Änderungen, keinen Zustand. Wurde eine Datei im Januar öffentlich gemacht und seitdem an ihrer Freigabe nichts angefasst, gibt es im August nirgendwo im Fenster eine Zeile zur Sichtbarkeitsänderung – und die Datei ist weiterhin öffentlich. Eine Freigabe endet nicht, wenn ihr Protokolleintrag endet. Ein leeres Ergebnis beweist nichts über den aktuellen Zustand der Datei.
Ein gleitendes Protokoll beantwortet „Was hat sich zuletzt geändert?" sehr gut – und „Was liegt jetzt offen?" nur für den Ausschnitt der Dateien, die jemand im letzten halben Jahr angefasst hat.
Die Standardansicht mit 7 Tagen
Die Seite öffnet mit den letzten sieben Tagen. Es ist leicht, eine Abfrage zu starten, nichts zu sehen und daraus zu schließen, die Datei sei nie freigegeben worden – während die ehrliche Schlussfolgerung lautet, dass sie diese Woche nicht freigegeben wurde. Erweitern Sie den Zeitraum auf die vollen sechs Monate, bevor Sie ein leeres Ergebnis deuten – und denken Sie daran, dass auch die vollen sechs Monate nur sechs Monate sind. Unser Beitrag Wer hat ein freigegebenes Google Drive Dokument geöffnet? geht die Filter durch.
Externe Nutzer erscheinen als anonym
Die zweite forensische Grenze ist, wen das Protokoll benennt. Googles Seite ist eindeutig: Nutzer außerhalb der Domain erscheinen als anonym, außer wenn sie ein Dokument aufrufen oder bearbeiten, das ausdrücklich mit ihnen geteilt wurde – einzeln oder als Mitglied einer bestimmten Gruppe. Ihre Aufrufe, Bearbeitungen und Downloads werden trotzdem protokolliert, Sie sehen also, dass jemand Anonymes eine Datei mit öffentlichem Link geöffnet hat. Wer es war, sehen Sie nicht.
Bei einer Datei, die an eine benannte externe Adresse freigegeben ist, liefert das Protokoll einen Namen. Bei einer Datei mit „Jeder mit dem Link" liefert es einen Zeitstempel und sonst nichts. Das ist der zweite Grund, warum ein öffentlicher Link schlimmer ist als eine direkte externe Freigabe: nicht nur weiter, sondern im Nachhinein auch nicht zuzuordnen.
Was Sie exportieren, und wann
Wenn Sie je eine Frage beantworten müssen könnten, die mehr als sechs Monate zurückliegt, ziehen Sie vorher eine Kopie. Google erlaubt den Export von Suchergebnissen aus den Drive-Protokollereignissen nach Tabellen oder als CSV-Datei. Eine praktikable Gewohnheit für ein kleines Admin-Team:
- Öffnen Sie einmal im Quartal die Drive-Protokollereignisse, stellen Sie den Zeitraum auf das Vorquartal und fügen Sie eine Bedingung auf das Attribut „Sichtbarkeitsänderung" hinzu. Exportieren Sie nach Tabellen. Das ist Ihr Nachweis der Freigabeänderungen für den Zeitraum – und er existiert auch im dritten Jahr noch.
- Filtern Sie in derselben Sitzung auf Download und Source Copy für alles, was Sie als sensibel betrachten, und exportieren Sie auch das. Das sind die Ereignisse, bei denen Daten das Haus verlassen.
- Benennen Sie jeden Export nach Quartal und legen Sie ihn dort ab, wo die nächste Administratorin ihn findet – eine geteilte Ablage mit Manager-Zugriff nur für die Admin-Gruppe ist der naheliegende Ort.
- Notieren Sie in der Datei, was Sie exportiert haben und wann. Sechs Monate später kann das Protokoll das nicht mehr für Sie bestätigen.
Quartalsweise überlappt das Aufbewahrungsfenster bequem. Jährlich nicht – Sie würden ein halbes Jahr verlieren. Die quartalsweise Checkliste für die Zugriffsprüfung baut das in einen vollständigen Rhythmus ein.
Wo das Protokoll aufhört
Ein exportiertes Protokoll sagt Ihnen, was sich geändert hat und – bei benannten Nutzern – wer es geändert hat. Es kann Ihnen nicht sagen, was gerade jetzt organisationsweit freigegeben ist, denn die Ereignisse, die den größten Teil dieser Freigaben erzeugt haben, sind älter als das Protokoll. In einer Business Edition gibt es keinen nativen Bericht über den aktuellen Freigabezustand über jede „Meine Ablage" und jede geteilte Ablage – der Drive-Inventarexport, der dem am nächsten kommt, ist eine Funktion ab Enterprise und Education Standard und landet in BigQuery.
Die Ergänzung: ein Scan des aktuellen Zustands
Das Protokoll ist die Historie. Stellen Sie ihm eine Momentaufnahme der Gegenwart zur Seite: jede Datei, jede Berechtigung, Stand jetzt, unabhängig davon, wann die Freigabe entstand. Nebeneinander hat die Frage aus dem achten Monat eine Antwort – der Scan zeigt, dass die Datei öffentlich ist, und das exportierte Protokoll aus jenem Quartal zeigt, wann sie es wurde und durch wen.
Drive Guard for Admins ist die Hälfte mit der Momentaufnahme. Eine Admin-Installation aus dem Marketplace, verteilt an jeden Nutzer; niemand installiert selbst etwas. Es durchsucht die „Meine Ablage" jedes Nutzers und jede geteilte Ablage und zeigt öffentliche Links, externe Freigaben und Alt-Zugriffe auf einem Dashboard mit Export – einschließlich des öffentlichen Links vom Januar, an den sich kein Protokoll erinnert. Es meldet; Sie beheben, im Freigabedialog oder unter „Geteilte Ablagen verwalten" – das Entziehen aus dem Tool heraus steht auf der Roadmap. Die vollständige Methode von Hand, Protokoll inklusive, steht in Google Drive Zugriffe organisationsweit prüfen.
Quellen
- Datenaufbewahrung und Verzögerungszeiten – Drive-Protokollereignisse 6 Monate aufbewahrt; Verzögerung nahezu in Echtzeit (wenige Minuten); Drive-Übersichtsberichte 1–3 Tage
- Drive-Protokollereignisse – Pfad, Standardansicht 7 Tage, Ereignisliste, Beschreibung der Sichtbarkeitsänderung („Sichtbarkeit des Drive-Elements vor der Aktivität"), anonyme externe Nutzer, Export der Suchergebnisse nach Tabellen oder CSV
- Drive-Inventar Ihrer Organisation exportieren – Editionsliste und BigQuery als Ziel, zitiert für den Abschnitt „Wo das Protokoll aufhört"
- Geteilte Ablagen als Administrator verwalten – als Ort der Korrektur referenziert