Sicherheit in Google Workspace : Praxisleitfaden für Administratoren (2026)
Was die jeweilige Edition ermöglicht, die zehn Konfigurationsmaßnahmen nach ihrer Auswirkung sowie die Anforderungen der DSGVO an ein spanisches Unternehmen. Inklusive des genauen Pfads in der Konsole für jede Einstellung.
Google Workspace ist ab Werk gut geschützt, aber nicht konfiguriert.
Der Unterschied zwischen einem sicheren und einem gefährdeten Tenant liegt fast immer in ein Dutzend Einstellungen der Verwaltungskonsole, die nach der Migration niemand überprüft hat.
Dieser Leitfaden geht diese Einstellungen nach ihrer Auswirkung durch, mit dem genauen Pfad für jede einzelne und – was meistens fehlt – die Mindestausgabe, die erforderlich ist, um es zu besitzen. Denn die Hälfte der Sicherheitstipps, die zu Google Workspace kursieren, beschreibt Funktionen, die in deiner Lizenz nicht enthalten sind.
Beginnen Sie hier: Was Ihre Edition ermöglicht
Bevor Sie irgendetwas planen, sollten Sie wissen, welche Karten Sie in der Hand haben. Nicht alle Sicherheitsfunktionen sind in allen Editionen enthalten; dies erst mitten in einem Härtungsprojekt festzustellen, ist der sicherste Weg, Zeit zu verlieren. Google hält die Details zu den einzelnen Editionen in seiner Hilfe-Center für Administratoren.
| Funktion | Ausgaben, die es enthalten |
|---|---|
| Bestätigung in zwei Schritten und Passkeys | Alle |
| Steuerung der externen Freigabe in Drive | Alle |
| Anti-Phishing- und Anti-Spoofing-Schutz von Gmail | Alle |
| SPF, DKIM und DMARC | Alle (werden in deinem DNS konfiguriert) |
| Zugriffskontrolle für Drittanbieter-Anwendungen ( OAuth ) | Alle |
| Grundlegende Geräteverwaltung | Alle |
| DLP-Berichte (schreibgeschützt, ohne Regeln) | Beinhaltet die Business Editionen |
| DLP-Regeln / Datenschutz | Frontline Standard und Plus; Enterprise Standard und Plus; Education Fundamentals, Standard und Plus; Enterprise Essentials Plus |
| Security Center: Dashboard, Untersuchungstool und Sicherheitsstatus | Frontline Standard und Plus; Enterprise Standard und Plus; Education Standard und Plus; Enterprise Essentials Plus |
| Sensible Inhalte im Recherche-Tool anzeigen | Frontline Plus; Enterprise Plus; Education Standard und Plus |
Zwei Schlussfolgerungen, die man von Anfang an klar vor Augen haben sollte:
Wenn Sie eine beliebige Business Edition nutzen, verfügen Sie weder über DLP-Regeln noch über das Security Center. Sie verfügen über DLP-Berichte, die zwar aufzeigen, welche sensiblen Inhalte vorhanden sind, aber keine Maßnahmen dazu ermöglichen, sowie über die Seite „Audit und Untersuchung“ anstelle des vollständigen Untersuchungstools. Damit lässt sich viel erreichen, und die folgenden zehn Verfahrensweisen zeigen auf, welche davon für Sie relevant sind.
Eine unterstützte Edition zu nutzen, bedeutet nicht, über den vollen Funktionsumfang zu verfügen. Enterprise Standard bietet beispielsweise Zugriff auf das Untersuchungstool, jedoch nur auf eine Teilmenge der Datenquellen, und ermöglicht keinen Einblick in sensible Nachrichteninhalte. Wenn Ihr Anwendungsfall die eingehende Untersuchung von Vorfällen umfasst, benötigen Sie die Edition Enterprise Plus.
Die tatsächlichen Risiken und was sie abmildert
| Risiko | Risikominderung in Google Workspace |
|---|---|
| Phishing und Absenderfälschung | Erweiterte Schutzfunktionen von Gmail sowie korrekt konfigurierte SPF, DKIM und DMARC |
| Diebstahl von Zugangsdaten | Zwei-Schritt-Verifizierung mit Passkeys oder physischen Schlüsseln sowie kontextbezogener Zugriff |
| Kompromittierung eines Administratorkontos | Weniger Super-Administratoren, Sicherheitsschlüssel und Programm für erweiterten Schutz |
| Datenabfluss durch Weitergabe | Steuerelemente für die externe Freigabe in Drive und DLP-Regeln, sofern die Edition dies zulässt |
| Malware und Ransomware | Automatische Analyse von Anhängen in Gmail und Dateien in Drive |
| Drittanbieter-Apps mit übermäßigem Zugriff | Zugriffskontrolle für Anwendungen und regelmäßige Überprüfung von OAuth Berechtigungen |
| Verlorene oder nicht verwaltete Geräte | Geräterichtlinien mit Verschlüsselung sowie Sperrung und Fernlöschung |
Die 10 Praktiken, nach ihrer Wirkung geordnet
1Verpflichtende zweistufige Verifizierung – ohne jemanden auszuschließen
Die Zwei-Faktor-Authentifizierung ist nach wie vor die Maßnahme mit dem besten Verhältnis zwischen Aufwand und Schutz. Zwei Feinheiten, die den Unterschied ausmachen:
Bevorzuge Passkeys und physische Sicherheitsschlüssel. Sie sind resistent gegen Phishing – genau jenen Angriffsvektor, der am häufigsten gegen Workspace eingesetzt wird. Apps zur Code-Generierung eignen sich als Backup-Lösung. Von der Nutzung von SMS als Methode ist abzuraten: Sie ist die schwächste Variante, und ihre Verwendung beeinträchtigt das Sicherheitsniveau des Gesamtsystems.
Und aktiviere sie nicht sofort als obligatorisch. Legen Sie einen Anmeldezeitraum fest, richten Sie eine Gruppe für vorübergehende Ausnahmen für Fälle mit höherem Zeitbedarf ein und bestimmen Sie im Vorfeld das Verfahren zur Wiederherstellung des Zugangs. Wird die Pflicht ohne diese Vorkehrungen eingeführt, sind Nutzer bereits am ersten Montag vom System ausgeschlossen.
2Weniger Super-Administratoren und ein Notfallkonto
Super-Administrator-Konten sind das vorrangige Ziel jedes Angreifers, und in den meisten Organisationen gibt es mehr davon als nötig. Reduzieren Sie die Anzahl auf ein Minimum, weisen Sie für alltägliche Aufgaben delegierte Rollen mit spezifischen Berechtigungen zu und melden Sie die verbleibenden Super-Administratoren beim Programm für erweiterten Schutz von Google an oder verlangen Sie von ihnen die Verwendung physischer Sicherheitsschlüssel.
Der Punkt, den kaum jemand bedenkt: Behalten Sie ein Super-Administrator-Notfallkonto bei., wobei die Wiederherstellungscodes außerhalb des Systems an einem physisch sicheren Ort aufbewahrt werden. Eine Verschärfung der Sicherheitsmaßnahmen ohne dieses Sicherheitsnetz birgt das Risiko, den Zugriff auf den eigenen Tenant zu verlieren – ein Vorfall, der ebenso schwerwiegend ist wie ein unbefugter Zugriff, aber deutlich häufiger vorkommt.
3Strenge Freigaberichtlinien in Drive
Beschränken Sie die externe Freigabe auf das Maß, das für Ihre Arbeitsabläufe gerade noch zulässig ist. Wenn Sie mit bestimmten Kunden oder Lieferanten zusammenarbeiten müssen, nutzen Sie eine Liste vertrauenswürdiger Domains, anstatt die Freigabe für das gesamte Internet zu öffnen. Überprüfen Sie zudem die Gültigkeitsdauer von Zugriffsrechten sowie die Berechtigung der Benutzer, öffentliche Links zu erstellen.
Hier ist es ratsam, realistisch zu sein: Eine zu restriktive Richtlinie ohne praktikable Alternative führt dazu, dass die Leute ihr persönliches Konto nutzen.. Entwirf die Richtlinie gemeinsam mit dem Arbeitsablauf, den sie ersetzen soll.
4Erweiterter Phishing-Schutz in Gmail
Aktiviere den Schutz vor Absender-Spoofing für deine eigene Domain, die Erkennung täuschend ähnlicher Domains, die Analyse verdächtiger Links und Anhänge sowie sichtbare Warnhinweise für externe Empfänger. Dies sind Einstellungen, die nicht alle standardmäßig aktiviert sind und deren Einrichtung nur wenige Minuten in Anspruch nimmt.
5SPF, DKIM und DMARC
| Protokoll | Funktion |
|---|---|
| LSF | Gib an, welche Server berechtigt sind, E-Mails im Namen deiner Domain zu versenden. |
| DKIM | Signieren Sie Ihre Nachrichten digital, damit der Empfänger überprüfen kann, dass sie nicht verändert wurden. |
| DMARC | Es weist den Empfänger an, wie mit E-Mails zu verfahren ist, die die SPF- oder DKIM-Prüfung nicht bestehen, und sendet Ihnen Berichte. |
Dies ist keine optionale bewährte Vorgehensweise mehr. Seit 2024 verlangen große E-Mail-Anbieter von Absendern hoher E-Mail-Volumina eine Authentifizierung.Ohne DMARC-Konfiguration landen Ihre legitimen E-Mails daher möglicherweise im Spam-Ordner. Beginnen Sie mit einer Überwachungsrichtlinie, prüfen Sie die Berichte einige Wochen lang, um keine eigenen E-Mails zu blockieren, und verschärfen Sie die Richtlinie schrittweise.
6Überprüfung von Drittanbieter-Anwendungen mit OAuth Zugriff
Jede Anwendung, die ein Benutzer autorisiert hat, öffnet ein Tor zu den Daten des Unternehmens. Überprüfen Sie die bestehenden Verbindungen, entziehen Sie die Berechtigungen für nicht genutzte Anwendungen und stellen Sie auf ein Modell mit einer Liste zulässiger Anwendungen (Allowlist) um, anstatt jedem Benutzer zu gestatten, beliebige Anwendungen zu autorisieren.
Achten Sie besonders auf Anwendungen mit umfassenden Berechtigungen für Gmail oder Drive, Dienstkonten mit Domänendelegierung: Diese können im Namen jedes beliebigen Benutzers der Domain agieren. Wenn Ihre Organisation eigene Integrationen entwickelt, wird das Identitätsmodell festgelegt, bevor Code geschrieben wird – wir behandeln dies im Leitfaden zu Google Workspace in Ihre Systeme integrieren.
7Kontextbezogener Zugriff
Dies ist die am meisten unterschätzte Funktion im Portfolio. Anstatt den Zugriff allein von Anmeldedaten abhängig zu machen, knüpfst du ihn an den Kontext: aus welchem Netzwerk sich der Benutzer verbindet, ob das Gerät verwaltet und verschlüsselt ist und aus welchem Land der Zugriff erfolgt. So kannst du beispielsweise für den Zugriff auf Drive ein Firmengerät vorschreiben, während E-Mails von überall aus abrufbar bleiben.
Das ist es, was eine statische Sicherheitskonfiguration in eine verwandelt, die reagiert auf das tatsächliche Risiko jedes Zugriffs.
8Geräteverwaltung
Es setzt Verschlüsselung, Bildschirmsperre und die Möglichkeit zur Fernlöschung des Unternehmensprofils voraus. Auf privaten Geräten kommt die Verwaltung ausschließlich des Arbeitsprofils zum Einsatz: Dies schützt Unternehmensdaten, ohne die persönlichen Daten des Mitarbeiters zu beeinträchtigen, was zudem verringert den Widerstand gegen dessen Einführung.
9Datenschutzregeln (DLP)
DLP-Regeln erkennen sensible Inhalte – wie Kreditkartennummern, Steueridentifikationsnummern oder selbst definierte Muster – und ergreifen entsprechende Maßnahmen: Sie benachrichtigen den Benutzer, blockieren die Freigabe oder lösen einen Alarm aus.
Beginnen Sie immer im reinen Audit-Modus. Lassen Sie die Regeln einige Wochen lang im Überwachungsmodus laufen, prüfen Sie die Fehlalarme und gehen Sie erst dann zur Blockierung über. Eine schlecht kalibrierte DLP-Regel, die legitime Arbeitsvorgänge blockiert, wird innerhalb einer Woche deaktiviert und nicht wieder aktiviert.
Wenn du eine Business Edition nutzt, hast du die DLP-BerichteSie zeigen auf, welche sensiblen Inhalte sich in Drive und im ausgehenden E-Mail-Verkehr befinden, ohne jedoch automatisch eingreifen zu können. Sie sind ein guter Ausgangspunkt, um den Wechsel auf eine höhere Edition intern zu rechtfertigen, da sie das Risiko beziffern.
10Sichtbarkeit: Security Center oder Audit und Untersuchung
Das Security Center vereint drei Elemente: ein Dashboard, das den aktuellen Sicherheitsstatus auf einen Blick darstellt; die Seite zum Sicherheitsstatus, die Ihre Konfiguration mit den Empfehlungen von Google vergleicht; sowie das Untersuchungstool zur Analyse von Vorfällen und für massenhafte Maßnahmen – etwa das gleichzeitige Löschen einer schädlichen E-Mail aus allen Postfächern.
Denk an die Nuance der Matrix: Zugriff auf das Tool zu haben, bedeutet nicht, über den vollen Funktionsumfang zu verfügen.. Das Einsehen sensibler Nachrichteninhalte während einer Untersuchung erfordert Enterprise Plus, Frontline Plus oder Education Standard oder Plus.
Wenn deine Edition das Security Center nicht enthält, bietet dir die Seite „Audit und Untersuchung“ die Protokolle für eine nachträgliche Analyse. Das ist zwar weniger komfortabel, aber die Informationen sind vorhanden.
Compliance: Anforderungen für die Geschäftstätigkeit in Spanien
Die Konfiguration zu härten ist ein Teil der Arbeit. Der andere ist es beweisen können, und für ein spanisches Unternehmen bedeutet das DSGVO.
Datenregionen
Die höherwertigen Editionen ermöglichen es festzulegen, dass die ruhenden Daten Ihrer Organisation in Europa gespeichert werden. Dies ersetzt zwar keine rechtliche Analyse, ist jedoch ein gängiger Bestandteil von Folgenabschätzungen und Lieferantenfragebögen.
Aufbewahrung und eDiscovery
Vault ermöglicht es, Aufbewahrungsrichtlinien festzulegen und Informationen im Falle einer rechtlichen Anforderung zu sichern. Dies macht den Unterschied aus, ob man auf einen Rechtsanspruch reagieren kann oder nicht. Die Funktion ist ab der Edition Business Plus“ verfügbar; es empfiehlt sich jedoch, die Details für Ihre spezifische Edition zu prüfen.
Clientseitige Verschlüsselung
Für stark regulierte Branchen ermöglicht dies, dass die Verschlüsselungsschlüssel unter Ihrer Kontrolle bleiben und nicht unter der von Google. Es handelt sich um eine Architekturentscheidung, nicht bloß um einen Schalter: Sie beeinflusst Funktionen wie die Suche innerhalb verschlüsselter Dokumente.
Audit-Protokolle
Workspace-Protokolle sind der Nachweis dafür, dass Ihre Kontrollen funktionieren. Legen Sie eine ausreichende Aufbewahrungsdauer fest und exportieren Sie die Protokolle, wenn Sie diese länger aufbewahren müssen, als es die Konsole vorsieht.
Wenn Sie diese Aufgabe im Rahmen eines umfassenderen Infrastrukturprojekts planen, bildet die Bestandsaufnahme den Ausgangspunkt: Wo liegen die Daten, und welches Compliance-Niveau ist erforderlich? Wir behandeln dies im Leitfaden zu Google Cloud in Spanien 2026.
Workspace-Sicherheit ist kein Silo.
Google Workspace sollte nicht unabhängig vom Rest Ihrer Google Cloud Umgebung abgesichert werden.
Zentralisierte Identität
Cloud Identity vereinheitlicht Single Sign-On und Zugriffsrichtlinien für Workspace und Ihre übrigen Google Cloud Dienste, sodass Richtlinienänderungen überall wirksam werden und beim Ausscheiden eines Mitarbeiters sämtliche Zugriffe gleichzeitig entzogen werden.
Kohärente Datenrichtlinien
Klassifizierung und Aufbewahrung sollten sowohl in Workspace als auch bei Ihren Workloads in Google Cloud nach denselben Kriterien angewendet werden. Zwei unterschiedliche Modelle führen zu Lücken an den Schnittstellen.
Vereinheitlichte Überwachung
Durch den Export der Workspace-Audit-Logs nach Google SecOps können Sie Ereignisse in E-Mail und Drive mit Vorgängen in Ihrer Infrastruktur korrelieren. Ein Eindringversuch beschränkt sich selten auf eine einzige Ebene.
Dasselbe Prinzip der einheitlichen Plattform gilt, wenn Sie KI auf Ihre Workspace-Daten anwenden: Die Governance muss identisch sein. Wir erläutern dies näher in dem Artikel über Gemini Enterprise für spanische Unternehmen.
Sicherheit ist ein Prozess, kein Projekt.
Die zehn vorangegangenen Übungen bilden eine Ausgangskonfiguration. Was das Niveau hält, ist die Routine.
Regelmäßige Audits. Planen Sie eine vierteljährliche Überprüfung der aktiven Nutzer, Administratorrollen, verbundenen Anwendungen, Freigaberichtlinien und des Gerätestatus ein. Die Seite zum Sicherheitsstatus in der Konsole bietet Ihnen einen Ausgangspunkt für den Abgleich mit den Empfehlungen von Google.
Der menschliche Faktor. Selbst die strengste Konfiguration bietet keinen Schutz, wenn ein Benutzer seine Zugangsdaten auf einer gefälschten Website eingibt. Ein Programm zur kontinuierlichen Schulung – mit Phishing-Simulationen, klaren Kriterien zur Erkennung schädlicher E-Mails und einer einfachen Möglichkeit zur Meldung von Verdachtsfällen – ist effektiver als jede zusätzliche Einstellung in der Konsole.
Die Akzeptanz ist Teil der Sicherheit: Eine Richtlinie, die nicht verstanden wird, wird letztlich umgangen. Wenn Sie gerade eine Migration hinter sich haben, empfiehlt es sich, diese gemeinsam mit dem Plan für die Einführung und das Change-Management.
Wie wir es bei The Cloud Collective angehen
Wie Google Cloud Premier Partner in Barcelona, wir beginnen jede Sicherheitsüberprüfung am selben Punkt: Welche Edition nutzen Sie und was ermöglicht diese tatsächlich? Darauf aufbauend prüfen wir die aktuelle Konfiguration und priorisieren die Sicherheitslücken nach tatsächlicher Auswirkung und nicht nach der Länge der Checkliste, und wir konzipieren die Richtlinien zur Datenweitergabe und zum Datenschutz entsprechend der Branche und den spezifischen Verpflichtungen des jeweiligen Kunden.
Wenn die aktuelle Edition nicht das für das Unternehmen erforderliche Maß an Kontrolle bietet, legen wir die Funktionsmatrix und die Kosten offen dar, anstatt Funktionen zu empfehlen, die in der Lizenz nicht enthalten sind. Zudem dokumentieren wir die Konfiguration so, dass Ihr Team sie ohne unsere Hilfe überprüfen kann.
Häufig gestellte Fragen
Es basiert auf einer sehr soliden Infrastruktur und bietet von Anfang an aktive Schutzmechanismen. Allerdings sind einige der wirksamsten Maßnahmen nicht standardmäßig aktiviert: die obligatorische Zwei-Faktor-Authentifizierung, Einschränkungen bei der externen Freigabe sowie die Kontrolle von Drittanbieter-Anwendungen. Die tatsächliche Sicherheit hängt von der Konfiguration ab – und diese liegt in der Verantwortung der Organisation.
Keine Business Edition enthält DLP-Regeln oder das Security Center. Sie benötigen Enterprise Standard oder höher, Frontline Standard oder höher, Enterprise Essentials Plus oder die entsprechenden Education-Editionen. Die Matrix zu Beginn des Artikels enthält die Einzelheiten, einschließlich der Funktionsunterschiede innerhalb der jeweiligen Stufen.
Eine ganze Menge: obligatorische zweistufige Verifizierung mit Passkeys, Governance für Super-Administratoren, Einschränkung der externen Freigabe in Drive, sämtliche Anti-Phishing-Schutzfunktionen von Gmail , SPF, DKIM und DMARC, Kontrolle von OAuth Anwendungen sowie Geräteverwaltung. Damit sind die häufigsten Angriffsvektoren abgedeckt. Was dir jedoch fehlt, ist die Möglichkeit, den Abfluss sensibler Daten automatisch zu blockieren, sowie eine zentralisierte Untersuchung von Sicherheitsvorfällen.
Die Einhaltung der Vorschriften hängt von Ihren Prozessen ab, nicht nur von der Lizenz; allerdings sind bestimmte unterstützende Funktionen an die jeweilige Edition gebunden, etwa Datenregionen, erweiterte Aufbewahrungsrichtlinien und clientseitige Verschlüsselung. Auch mit Business Editionen lässt sich die DSGVO einhalten – es ist lediglich mit mehr manuellem Aufwand verbunden und bietet weniger Möglichkeiten für einen automatisierten Nachweis.
Für eine stabile Organisation ist ein vierteljährlicher Überprüfungsrhythmus angemessen. Zudem empfiehlt sich eine anlassbezogene Überprüfung nach jeder wesentlichen Änderung – etwa bei einer Massenaufnahme von Benutzern, der Anbindung einer neuen Anwendung, einem Editionswechsel oder einem Vorfall.
Über die Reports API des Admin SDK oder per Export nach BigQuery – sofern die jeweilige Edition dies unterstützt. Von dort aus lassen sie sich an Google SecOps oder das von Ihnen genutzte Überwachungssystem senden.
Fazit
Die Sicherheit von Google Workspace lässt sich nicht durch eine Liste von zwanzig Einstellungen gewährleisten, sondern durch das Wissen, ... welche davon in deiner Ausgabe verfügbar sind, welche davon die Risiken angehen, die dich tatsächlich betreffen, und in welcher Reihenfolge sie angewendet werden sollten, ohne die Arbeit anderer zu blockieren.
Wenn du dich für drei Dinge entscheiden müsstest:
Phishing-resistente Bestätigung in zwei Schritten für alle.
Echte Kontrolle darüber, mit wem Informationen außerhalb der Organisation geteilt werden.
Ausreichende Sichtbarkeit, um zu wissen, was passiert ist, wenn etwas geschieht.
Möchtest du wissen, wie deine aktuelle Konfiguration aussieht?
Bei The Cloud Collective können wir eine Überprüfung durchführen, sie mit den Möglichkeiten Ihrer Edition abgleichen und Ihnen einen nach Auswirkungen priorisierten Plan erstellen – ohne Funktionen zu empfehlen, die nicht in Ihrer Lizenz enthalten sind.
Sicherheitsaudit beantragen
