Welche Apps können das Google Drive deiner Firma lesen? Finde die vergessenen.

Wie prüfe ich, welche Drittanbieter-Apps auf Google Workspace zugreifen?

Sieh dir die verbundenen Apps in deinem eigenen Google-Konto an. Für die ganze Organisation nutzt du die App-Zugriffssteuerung in der Google Admin-Konsole. Prüfe bei jeder App, worauf sie zugreifen kann, wer sie zugelassen hat und warum du sie noch brauchst.

Prüfe geteilte Dateien als eigene Aufgabe. Die Berechtigung einer App und ein Freigabelink sind zwei verschiedene Wege zu deinen Daten.

Eine kostenlose Testphase kann eine Verbindung hinterlassen.

Eine Designerin testet ein PDF-Tool. Ein Gründer verbindet einen Meeting-Assistenten. Eine Growth-Beraterin gibt einer Automatisierung Zugriff auf eine Tabelle. Jede Entscheidung war damals sinnvoll. Monate später haben sich Abos und Projekte geändert, und niemand kann sicher sagen, welche Apps noch an Firmeninformationen herankommen.

Fang mit den Konten an, die für Kundenarbeit genutzt werden, und mit den Diensten, die mit ihnen verbunden sind. Frag jede Person, auf welche Tools sie sich noch verlässt. Tu das, bevor du Apps sperrst, die du nicht kennst. Denn hinter einem unbekannten Namen kann tatsächlich ein Teil deiner Arbeit für Kunden stecken. Du willst, dass der vergessene Zugriff verschwindet und die nötige Arbeit weiterläuft.

Lies die Berechtigung, nicht nur den Namen der App.

Google beschreibt mit Berechtigungsbereichen (Scopes), was eine verbundene App tun kann. In einfachen Worten: Kann sie Dateien lesen, sie ändern, E-Mails senden oder an andere Informationen kommen? Auf den genauen Bereich kommt es an. Zugriff auf ein paar Dateien, die du ausgewählt hast, ist etwas ganz anderes als Zugriff auf alles in Drive. Und ein bekannter Anbietername verrät dir nicht, welches von beiden eine App hat.

Schreib für jede Verbindung einen Satz: «Diese App braucht diesen Zugriff, weil sie diese Aufgabe erledigt.» Wenn niemand den Satz zu Ende bringen kann, schau genauer hin. Notiere die verantwortliche Person, das verbundene Konto und das Datum deiner Prüfung. Behandle nicht jede Verbindung als verdächtig. Das eigentliche Problem ist Zugriff, den niemand versteht oder für den heute niemand mehr einen Grund hat.

Anleitung des Anbieters: Google: App-Zugriff auf Workspace-Daten steuern

Prüfe Dateifreigaben als eigene Aufgabe.

Wenn du den Zugriff einer App entfernst, ändert das nichts an den anderen Wegen, auf denen eine Datei geteilt ist. Ein Ordner kann noch für einen ehemaligen externen Mitarbeiter freigegeben sein. Ein Dokument kann einen Freigabelink haben, den jeder öffnen kann. Eine Kundendatei kann einer einzelnen Person gehören und nicht der Organisation. Prüfe das neben der App-Liste und halte beides auseinander.

Angenommen, ein ehemaliger Freelancer hat eine Reporting-App genutzt und wurde zusätzlich direkt zu einem Kampagnenordner hinzugefügt. Prüfe die Berechtigung der App und die Mitgliedschaft im Ordner getrennt. Hat ein Tool schon Informationen kopiert, holst du diese Kopien nicht zurück, indem du seinen künftigen Zugriff entfernst. Ist das für das Projekt wichtig, prüfe das Löschverfahren des Anbieters.

Nimm die Änderung vor und prüfe dann das Ergebnis.

Frag die verantwortliche Person, ob die Verbindung noch gebraucht wird. Wenn ja, schränke ihren Zugriff ein, wo der Anbieter das erlaubt, und teste den echten Arbeitsablauf. Wenn nicht, entferne sie über die Konto- oder Admin-Einstellungen. Folge der aktuellen Anleitung von Google für deine Edition.

Halte in einer datierten Notiz fest, was sich geändert hat und warum. Prüfe nach dem Entfernen, ob die Verbindung wirklich weg ist und die wichtige Arbeit noch läuft. Schau wieder hin, wenn ein Kundenprojekt übergeben wird oder jemand aus dem Team geht. Eine kleine Prüfung, die du wiederholst, lässt sich leichter durchhalten als ein grosses Audit, das einmal stattfindet.

Anleitung des Anbieters: Google: Kontozugriff mit Drittanbieter-Apps teilen

Gib dem Team einen Weg hinein, mit einem zweiten Schloss.

Jede App mit eigenem Passwort ist eine weitere Tür, die man aus den Augen verliert. Single Sign-on heisst, dass Leute mit einem Satz Zugangsdaten viele Apps erreichen. Google Workspace kann das auf zwei Wegen: mit Apps, die einen Button «Mit Google anmelden» anbieten, oder mit einem externen Identitätsanbieter, der über den Standard angebunden wird, den Google dafür unterstützt, SAML oder OIDC. Für ein Team von fünf reicht meist der erste. Er gibt dir ein Konto, das du abschaltest, wenn jemand geht.

Das zweite Schloss ist ein zweiter Schritt bei der Anmeldung. Allgemein heisst er Multi-Faktor-Authentifizierung, bei Google Bestätigung in zwei Schritten (2 Step Verification). Ein gestohlenes Passwort reicht dann nicht mehr. In der Admin-Konsole öffnet ein Super-Administrator Sicherheit, dann Authentifizierung, dann Bestätigung in zwei Schritten. Du kannst sie sofort oder ab einem Datum deiner Wahl erzwingen und neuen Personen ein Anmeldefenster von einem Tag bis zu sechs Monaten geben, in dem ein Passwort allein noch genügt. Du wählst auch, welche Methoden zählen. Sicherheitsschlüssel und Passkeys halten gefälschten Anmeldeseiten am besten stand, und du kannst nur diese verlangen. Wenn du Codes per SMS oder Anruf ausschliesst, stelle Leute, die sich darauf verlassen, zuerst auf eine andere Methode um, sonst sind sie ausgesperrt.

Gib jeder Person nur den Zugriff, den ihre Arbeit braucht.

Derselbe Gedanke, der für Apps gilt, gilt auch für Personen. Google bietet vorgefertigte Administratorrollen, etwa Nutzerverwaltung zum Anlegen von Konten und Helpdesk zum Zurücksetzen von Passwörtern. So braucht die Person, die Konten betreut, nicht die Schlüssel zu allem. Die Rolle Super Admin erreicht jede Funktion der Konsole. Passt keine vorgefertigte Rolle, kann ein Super-Administrator eine eigene bauen.

Googles eigener Rat für die Super-Administrator-Konten ist kurz. Lege mehr als eines an, geführt von verschiedenen Personen, damit ein verlorenes Konto dich nicht aussperrt. Gib jeder dieser Personen ein eigenes Konto für die tägliche Arbeit, damit das mächtige nicht zum Lesen von E-Mails dient. Verlange dafür die Bestätigung in zwei Schritten, wo möglich mit Sicherheitsschlüsseln. Melde dich nur für die Aufgabe, die es braucht, als Super-Administrator an und danach wieder ab.

Lege Kundenarbeit bei normalen Dateien in einer geteilten Ablage ab, in der das Team Mitglied ist, statt in «Meine Ablage» einer einzelnen Person. Google weist darauf hin, dass Dateien, die in eine geteilte Ablage verschoben werden, nicht gelöscht werden, wenn das Konto des Besitzers entfällt.

Nutze eine kurze Liste, wenn jemand dazukommt, wechselt oder geht.

Das meiste vergessene Zugriffsrecht beginnt mit einem Personalwechsel. Sagen wir, Mira wechselt vom Reporting in die Kundenarbeit. Ihre neuen Ordner kommen am ersten Tag, niemand entfernt die alten, und ein Jahr später kann sie alles öffnen. Eine Person, die geht, ist der schärfere Fall, denn die Apps, die sie verbunden hat, bleiben zurück, ebenso die Dateien und Links, die sie geteilt hat. Geh jedes Mal dieselben paar Schritte durch.

Wo Cybee passt.

Google Workspace: Bald verfügbar.

Was du dir merken solltest.

• Prüfe App-Berechtigungen und Dateifreigaben getrennt.
• Gib jeder Verbindung einen Zweck, eine verantwortliche Person und ein Prüfdatum.
• Wenn du künftigen Zugriff verhinderst, kommt nicht zurück, was schon kopiert wurde.
• Eine Anmeldung mit zweitem Schritt und nur die Admin-Rolle, die jede Aufgabe braucht, verkleinern, was ein verlorenes Passwort erreichen kann.

Quellen und weiterführende Lektüre.

Von Cybee für kleine Teams geschrieben. Der Funktionsumfang des Produkts und die Anleitungen der Anbieter können sich ändern. Prüfe deshalb die verlinkte Quelle für dein eigenes Setup.

• Google: App-Zugriff auf Workspace-Daten steuern
• Google: Kontozugriff mit Drittanbieter-Apps teilen
• Google Workspace Hilfe: Single Sign-on im Überblick
• Google Workspace Hilfe: Bestätigung in zwei Schritten einführen
• Google Workspace Hilfe: vorgefertigte Administratorrollen
• Google Workspace Hilfe: bewährte Sicherheitspraktiken für Administratorkonten
• Google Workspace Hilfe: einen Nutzer löschen oder entfernen