Die Frage um 16:55 Uhr
Ein Vertrag, eine Gehaltsliste, eine Vorstandspräsentation – etwas Sensibles war weiter freigegeben als beabsichtigt, und jetzt muss jemand wissen: Wer hat es tatsächlich geöffnet?
Google führt ein Protokoll, das das beantworten kann. Hier steht, wo es liegt, was es aufzeichnet und – genauso wichtig – welche zwei Dinge es Ihnen nicht sagt.
Wo das Protokoll liegt
Admin-Konsole → Menü → Berichte → Audit und Untersuchung → Drive-Protokollereignisse. Das steht Workspace-Administratoren generell offen; Sie brauchen keine Spitzenedition, um es zu lesen.
Filtern Sie nach dem Dokument (oder dem Nutzer) und einem Zeitfenster, und Sie erhalten den Ereignisstrom: Aufrufe, Bearbeitungen, Downloads, Druckvorgänge, Uploads, Löschungen sowie Freigabe- und Berechtigungsänderungen, jeweils mit Konto und Zeitstempel. Für die Frage um 16:55 Uhr erzählen die Aufruf- und Download-Zeilen meist die ganze Geschichte – diese Konten haben es geöffnet, dieses hier hat es heruntergeladen, und dann hat sich die Freigabe geändert.
Was das Protokoll aufzeichnet und gerne vergessen wird
Zwei Ereignisfamilien sind über einfache Aufrufe hinaus wissenswert. Auch Inhaltszugriffe über APIs und Synchronisierungs-Clients werden protokolliert („Auf Inhalte des Elements zugegriffen", „Inhalte des Elements synchronisiert"), sodass eine von einer verbundenen App heruntergeladene Datei auftaucht, nicht nur Öffnungen im Browser. Und auch Freigabeänderungen werden festgehalten – über die Attribute „Sichtbarkeitsänderung" und „Vorherige Sichtbarkeit" statt über einen eigenen Ereignisnamen. So können Sie rekonstruieren, wann ein Dokument freigegeben wurde und durch wen, was oft die eigentliche Frage hinter der Frage ist.
Was Ihre Edition sperrt
Das Protokoll zu lesen, steht breit zur Verfügung. In großem Umfang zu untersuchen nicht. Das Sicherheitsprüfungstool – von einem Ereignis zu allem zu springen, was dieses Konto berührt hat, in großen Mengen abzufragen und auf Ergebnisse zu reagieren – ist beschränkt auf Frontline Standard und Plus, Enterprise Standard und Plus, Education Standard und Plus, Enterprise Essentials Plus sowie Cloud Identity Premium. Business Starter, Standard und Plus sind ausgeschlossen. Was die eingebauten Sicherheitswerkzeuge je Tarif können und was nicht, steht in unserer Aufschlüsselung nach Tarifen.
Die zwei Dinge, die das Protokoll nicht sagen kann
Erstens: Anonyme Linkbesucher tragen keinen Namen. Ist eine Datei für jeden mit dem Link geöffnet, ist ein externer Besucher kein benanntes Konto in Ihrem Verzeichnis. Sie sehen möglicherweise, dass ein Zugriff stattfand, ohne je sagen zu können, wer das im menschlichen Sinne war. Die ehrliche Formulierung für Ihre Vorfallsnotiz lautet „geöffnet von einem Konto, das wir identifizieren können" gegenüber „in diesem Zeitfenster über Link erreichbar".
Zweitens – und das wiegt schwerer: Das Protokoll beantwortet dieses eine Dokument. Es beantwortet nicht, wie viele andere Dokumente im selben Zustand liegen. Die Frage um 16:55 Uhr sind in Wahrheit zwei Fragen, und die zweite – „Ist das das einzige?" – ist eine Frage nach dem Berechtigungszustand, keine Ereignisfrage. Das ist eine organisationsweite Prüfung: die „Meine Ablage" jedes Nutzers und alle geteilten Ablagen auf öffentliche Links, externe Zugriffe und vergessene Freigaben zu durchsuchen, auf einem Dashboard. Genau das leistet Drive Guard for Admins, wird mit einer Admin-Installation an jeden Nutzer verteilt und kostet US$ 4,80 pro Nutzer und Jahr – Einführungspreis gegenüber einem Listenpreis von US$ 8,80 – mit einer 7-tägigen Testphase. Für Bildungseinrichtungen kostenlos.
Eine saubere Struktur für die Vorfallsnotiz
Wenn Sie es aufschreiben: um welches Dokument es geht und wem es gehört; der Freigabezustand und wann er sich geändert hat (aus den Freigabeereignissen); wer im Zeitfenster zugegriffen hat (aus Aufruf- und Download-Ereignissen, mit dem obigen Vorbehalt zu Linkbesuchern); und was Sie geprüft haben, um die Reichweite über diese eine Datei hinaus zu bestimmen. Die letzte Zeile ist der Unterschied zwischen einen Vorfall schließen und die Augen schließen.
Quellen
- Drive-Protokollereignisse – Menüpfad; Ereignisnamen; die Ereignisse „Auf Inhalte des Elements zugegriffen" und „Inhalte des Elements synchronisiert"; die Attribute „Sichtbarkeitsänderung" und „Vorherige Sichtbarkeit"; externe Nutzer erscheinen als anonym; die Editionsliste des Sicherheitsprüfungstools auf derselben Seite. Erneut gelesen am 2026-09-09.