Google WorkspaceSicherheit & DatenschutzProduktivität

Quartalsweise Checkliste für die Google Drive Zugriffsprüfung

8apps-Team·

Eine 30-Minuten-Checkliste für die quartalsweise Google Drive Zugriffsprüfung: Drive-Protokoll, aktuelle Offenlegung, Ausscheidende, Entscheidungen, Nachweisprotokoll, Konsolenpfade.

Die Prüfung, die erst stattfindet, wenn etwas schiefgegangen ist

Die meisten Google Drive Zugriffsprüfungen werden ausgelöst, nicht geplant. Jemand geht, im Sicherheitsfragebogen eines Kunden steht „Wie oft prüfen Sie externe Freigaben?", oder ein Dokument taucht dort auf, wo es nicht sein sollte – und dann schauen Sie nach.

Diese Checkliste macht daraus einen Kalendereintrag. Dreißig Minuten sind das Budget für die Prüfung in einer Business Edition, allein mit der Admin-Konsole. Das Beheben kommt obendrauf.

Sie greift auf zwei Arbeitsdateien zurück, die Sie einmal anlegen und wiederverwenden: einen Bericht über externe Freigaben mit einer Zeile je offen liegender Datei und ein Nachweisprotokoll mit einer Zeile je Prüfung. Der Beitrag zur Berichtsvorlage legt die Spalten des Berichts fest; der Beitrag zur Zugriffsprüfung legt fest, was das Nachweisprotokoll tragen muss.

0. Bevor Sie beginnen – 3 Minuten

  1. Bestätigen Sie Ihre Edition: Menü → Abrechnung → Abos. Business Starter, Standard und Plus haben weder den Bericht zur Dateifreigabe noch das Sicherheitsprüfungstool, Teil 1 und 2 nutzen also das Drive-Protokoll und die Suche von Hand. Haben Sie den Bericht zur Dateifreigabe (Frontline Plus, Enterprise Plus, Education Standard und Plus, Enterprise Essentials Plus), beginnen Sie dort und nutzen Sie diese Checkliste für die Lücken.
  2. Öffnen Sie die Berichtsvorlage und das Nachweisprotokoll; tragen Sie das heutige Datum und Ihren Namen in die Kopfzeile ein.
  3. Legen Sie das Zeitfenster fest: seit der letzten Prüfung, oder 90 Tage, wenn dies die erste ist. Drive-Protokollereignisse werden 6 Monate aufbewahrt, eine erste Prüfung kann also nicht weiter zurückblicken – siehe den Beitrag zur Aufbewahrung.

1. Was sich geändert hat – das Drive-Protokoll – 10 Minuten

  1. Gehen Sie zu Menü → Berichte → Audit und Untersuchung → Drive-Protokollereignisse – Sie benötigen die Administratorberechtigung „Audit und Untersuchung". Die Standardansicht zeigt die letzten 7 Tage; stellen Sie den Zeitraum auf Ihr Fenster um.
  2. Für die externe Hälfte nutzen Sie Googles dokumentiertes Vorgehen: Filter hinzufügen → Sichtbarkeit → Extern freigegeben → Suchen. (Googles Vorbehalt: Eine Freigabe an eine Gruppe, die externe Nutzer zulässt, wird als extern freigegeben markiert, „auch wenn die Gruppe gar keine externen Nutzer hat" – rechnen Sie also mit Fehltreffern.) Für Sichtbarkeitsänderungen allgemein filtern Sie auf das Attribut Sichtbarkeitsänderung – es ist eines von Googles Suchattributen, kein Ereignisname. Jede Änderung auf „Öffentlich im Web" oder „Jeder mit dem Link" kommt als public in den Bericht; jede Änderung, die ein Element außerhalb der Domain freigibt, als external.
  3. Prüfen Sie Download- und Source-Copy-Ereignisse durch externe oder anonyme Nutzer – externe Nutzer erscheinen als anonym, sofern das Element nicht einzeln oder über eine bestimmte Gruppe mit ihnen geteilt wurde. Halten Sie Sensibles im Nachweisprotokoll als Vorfall fest, nicht als Offenlegung.
  4. Schreiben Sie auf, was das Protokoll nicht sagen kann: Eine bereits vor dem Zeitfenster öffentliche oder externe Datei erzeugt keine Ereignisse. Das Protokoll ist Aktivitätshistorie, keine aktuelle Berechtigungskarte. Für diese Lücke gibt es Teil 2.

2. Was jetzt offen liegt – 8 Minuten, und der ehrliche Vorbehalt

  1. Geteilte Ablagen: Menü → Apps → Google Workspace → Drive und Docs → Geteilte Ablagen verwalten. Filtern Sie nach Ablagen ohne Mitglieder und ohne Manager, öffnen Sie dann die Mitgliederlisten der wichtigen Ablagen und markieren Sie externe Mitglieder. Nur Manager können Mitglieder hinzufügen, eine Ablage ohne Manager kann also niemand aufräumen. Der Beitrag zu Berechtigungen geteilter Ablagen geht tiefer.
  2. „Meine Ablage": Aus der Drive-Oberfläche heraus gibt es keine domainweite Suche für Administratoren. Ein Nutzer kann sein eigenes Drive mit sharedwith:public owner:me und sharedwith:external owner:me durchsuchen oder den Personenfilter → „Jeder mit dem Link" nutzen. Bitten Sie in 8 Minuten die Nutzer, die in Teil 1 am häufigsten auftauchten, diese Suchen auszuführen und Ihnen die Ergebnisse zu schicken; protokollieren Sie jeden Treffer mit „Gefunden durch" = search.
  3. Ein vollständiger Durchgang pro Nutzer ist der Punkt, an dem aus 30 Minuten ein Tag wird – und an dem die Admin-Konsole in Business Editionen aufhört. Ein organisationsweiter Scan erledigt diesen Schritt für die „Meine Ablage" jedes Nutzers und jede geteilte Ablage in einem Durchgang, mit denselben Spalten wie die Berichtsvorlage. Den Weg von Hand beschreibt Alle Dateien mit „Jeder mit dem Link" in Ihrer Domain finden.

3. Ausscheidende und Alt-Zugriffe – 4 Minuten

  1. Menü → Verzeichnis → Nutzer. Listen Sie alle im Zeitfenster gesperrten oder gelöschten Personen auf. Die Sperrung blockiert die Anmeldung, aber Mitarbeitende, denen Zugriff auf freigegebene Dokumente gewährt wurde, behalten ihn – die Freigaben der ausscheidenden Person funktionieren weiter.
  2. Für jeden gelöschten Nutzer: Wurden seine Dateien beim Löschen übertragen? Nicht übertragene Dateien im Eigentum eines gelöschten Nutzers werden 20 Tage aufbewahrt und sind nur durch Wiederherstellung des Nutzers zugänglich. Die Offboarding-Checkliste enthält die vollständige Reihenfolge; Gesperrt ist nicht gelöscht erklärt, warum.
  3. Durchsuchen Sie den Bericht nach Domains, mit denen Sie nicht mehr arbeiten – ehemalige Agenturen, Kunden, Dienstleister – und markieren Sie diese Zeilen als legacy.

4. Entscheiden – 3 Minuten zum Entscheiden, Beheben obendrauf

  1. Für jede public-Zeile: Muss sie öffentlich sein? Wenn nicht, einschränken und festhalten, wer entschieden hat.
  2. Für jede external-Zeile, die an eine private Adresse freigegeben ist (gmail.com, outlook.com und ähnliche): einschränken oder eine Begründung schreiben.
  3. Freigabeeinstellungen: Menü → Apps → Google Workspace → Drive und Docs → Freigabeeinstellungen → Freigabeoptionen. Bestätigen Sie die Einstellung (Aus, Nur zugelassene Domains oder An), den Warnhinweis bei externen Freigaben und ob sie je Organisationseinheit abweicht.
  4. Drittanbieter-Apps, jedes zweite Quartal: Menü → Sicherheit → Zugriffs- und Datenkontrolle → API-Steuerung. Blockieren Sie jede App mit Drive-Zugriff, die niemand nutzt.

5. Festhalten und terminieren – 2 Minuten

  1. Füllen Sie eine Zeile im Nachweisprotokoll: Datum, Zeitfenster, Verantwortlicher, Edition, geprüfte Dateien, gefundene öffentliche, externe und Alt-Zugriffe, eingeschränkt, begründet, Vorfälle.
  2. Benennen Sie den Verantwortlichen der nächsten Prüfung und tragen Sie das Datum in den Kalender ein. Standardmäßig quartalsweise; monatlich, wenn Sie reguliert sind; immer nach einem Weggang.
  3. Exportieren Sie den Bericht als den „Bericht über externe Freigaben", den die anfragende Person wollte. Der Beitrag zur Zugriffsprüfung erklärt, warum Protokollzeile plus Export das ist, was ein Prüfer akzeptiert.

Wo die 30 Minuten hingehen – und wo nicht

Die Schritte 4–7 und 11–19 passen in einer beliebigen Business Edition ins Budget. Schritt 9 nicht, sobald Sie mehr als eine Handvoll Nutzer haben: eine Suche pro Person, pro Quartal, und der Administrator kann sie nicht für sie ausführen. Deshalb hat die Berichtsvorlage eine Spalte „Gefunden durch" – damit Sie ein Jahr später sehen, welchen Anteil der Belegschaft Sie tatsächlich abgedeckt haben.

Der Leitfaden zur organisationsweiten Prüfung von Drive-Zugriffen ist die Langfassung dieser Seite.

Quellen

Tags

google drivedrive auditgoogle workspacedrive guard for admins8appschecklistequartalsprüfungzugriffsprüfungexterne freigabenworkspace administration
← Zurueck zum Blog