Wie Sie Drittanbieter-OAuth-Apps in Google Workspace auditieren

Fragen Sie die meisten IT-Administratoren, wie viele Drittanbieter-Anwendungen Zugriff auf ihre Google-Workspace-Daten haben, erhalten Sie eine Schätzung, keine Zahl. Genau diese Ungewissheit ist das Problem. Jedes Mal, wenn ein Nutzer auf „Mit Google anmelden“ klickt oder ein Marketplace-Add-on installiert, gewährt er einer OAuth-Anwendung einen dauerhaften Ausschnitt an Zugriff auf Unternehmensdaten – und diese Freigabe überdauert das Interesse des Nutzers, die Relevanz des Anbieters und oft auch das Bewusstsein des Administrators.

Dieser Artikel bietet eine praktische Methode, um genau diese Freigaben zu auditieren: wo Sie sie finden, wie Sie beurteilen, welche riskant sind, und wie Sie sicher aufräumen.

Was eine OAuth-Freigabe eigentlich ist

Wenn ein Nutzer eine App „mit Google“ autorisiert, übergibt er nicht sein Passwort. Er gewährt der Anwendung ein Token, das auf bestimmte Berechtigungen beschränkt ist – *Scopes* – die es ihr erlauben, im Namen des Nutzers (oder der Organisation) Google-APIs aufzurufen. Ein Scope kann so eng gefasst sein wie „Ihre E-Mail-Adresse sehen“ oder so weit wie „alle Ihre Google-Drive-Dateien sehen, bearbeiten, erstellen und löschen“.

Zwei Eigenschaften machen es lohnenswert, diese Freigaben zu auditieren:

• Sie bestehen fort. Ein Token funktioniert weiter, bis es ausdrücklich widerrufen wird, die App entfernt wird oder das Konto deaktiviert wird. „Ich nutze das Tool seit einem Jahr nicht mehr“ widerruft gar nichts.
• Sie werden vom Nutzer initiiert. Der Zugriff wird von der Person gewährt, die auf „Zulassen“ geklickt hat – nicht von der IT bereitgestellt. Das ist die Lehrbuchdefinition von Schatten-IT, und sie bedeutet, dass Ihr Zugriffsinventar standardmäßig unvollständig ist.

Wo Sie das Inventar finden

Es gibt zwei Blickwinkel.

Die Sicht des Nutzers befindet sich im Google-Konto jeder Person unter *Sicherheit → Apps und Dienste von Drittanbietern* (früher „Apps mit Zugriff auf Ihr Konto“). Sie zeigt, was eine einzelne Person autorisiert hat. Nützlich für Stichproben, aber im großen Maßstab unpraktikabel.

Die Sicht des Administrators befindet sich in der Google Admin-Konsole unter *Sicherheit → API-Steuerung → App-Zugriffssteuerung* (samt der zugehörigen Berichte zu verbundenen Apps). Das ist das unternehmensweite Bild: welche Apps verbunden sind, welche Scopes sie halten und wie viele Nutzer jede einzelne autorisiert haben. Für ein Audit ist dies der Ort, an dem Sie arbeiten.

Wenn Sie über die entsprechenden Administratorrechte verfügen, kann das Token-Reporting des Admin SDK dieselben Daten programmatisch erfassen – das macht eine kontinuierliche, automatisierte Überprüfung möglich statt einer einmal jährlichen manuellen Plackerei.

Wie Sie das Risiko beurteilen

Nicht jede verbundene App ist ein Problem. Ein Kalender-Tool, das nur Frei/Belegt-Zeiten lesen kann, ist risikoarm; eine Notiz-App mit vollem Drive-Zugriff, die von einer einzigen Person genutzt wird, ist eine andere Geschichte. Bewerten Sie jede App anhand einiger Dimensionen:

• Umfang des Scopes. Voller Drive-Zugriff, Gmail-Lese-/Sendezugriff und Zugriff auf das Admin-Verzeichnis sind die brisanten Scopes. Eine App, die jede Datei lesen und exfiltrieren kann, hat oberste Priorität – unabhängig davon, wie vertrauenswürdig sie erscheint.
• Sensibilität dessen, worauf sie zugreifen kann. Drive-Inhalte und Postfachzugriff wiegen schwerer als Profil- oder Kalender-Metadaten.
• Anzahl und Verbreitung der Nutzer. Eine App, die nur eine Person nutzt, die aber weitreichenden Zugriff hält, ist ein leises, konzentriertes Risiko. Eine App, die das gesamte Unternehmen nutzt, verdient Aufmerksamkeit, weil ihr Wirkungsradius groß ist.
• Vertrauenswürdigkeit des Herausgebers. Verifizierte Herausgeber und bekannte Anbieter sind sicherere Wetten als nicht verifizierte oder anonyme Apps. Der App-Verifizierungsstatus von Google ist ein nützliches Signal, aber keine Garantie.
• Aktivität. Eine App, die seit Monaten niemand genutzt hat, ist reiner Nachteil: das gesamte Risiko, kein Nutzen.

Eine einfache Möglichkeit, das zu kombinieren: Alles mit einem brisanten Scope *und* geringem Vertrauen *oder* ohne jüngste Nutzung wandert an die Spitze der Aufräumliste.

Ein wiederholbares Audit, Schritt für Schritt

1. Erfassen. Ziehen Sie die vollständige Liste der verbundenen Apps und ihrer Scopes aus der Admin-Konsole (oder per API).
2. Scopes klassifizieren. Markieren Sie die gefährlichen: voller Drive-Zugriff, Gmail-Senden/-Lesen, Verzeichnis und jegliche Admin-Scopes.
3. Nutzung abgleichen. Identifizieren Sie Apps ohne jüngste Aktivität und Apps, die von sehr wenigen Nutzern gehalten werden.
4. Herausgeber prüfen. Notieren Sie nicht verifizierte oder unbekannte Herausgeber.
5. Entscheiden. Für jede App: behalten, einschränken oder widerrufen. Dokumentieren Sie die Begründung – das Entscheidungsprotokoll ist es, was das nächste Audit schneller macht.
6. Sicher widerrufen. Entfernen Sie den Zugriff für die Apps, die Sie zum Auslaufen bestimmt haben, und informieren Sie die wenigen Nutzer, die auf ein von Ihnen entferntes Tool angewiesen waren.
7. Leitplanken einrichten. Wechseln Sie von der Bereinigung zur Prävention: Beschränken Sie Marketplace-Installationen auf von Administratoren genehmigte Apps und blockieren oder erlauben Sie den Zugriff auf risikoreiche Scopes gezielt per Liste, damit die Wildwuchs nicht einfach nachwächst.

Widerrufen, ohne etwas zu zerstören

Die Angst, die die meisten Aufräumaktionen stoppt, ist: „Was, wenn ich etwas widerrufe, das Leute brauchen?“ Mildern Sie sie:

• Beginnen Sie mit den eindeutigen Gewinnen: nicht verifizierte Apps mit weitreichenden Scopes und ohne jüngste Nutzung.
• Bei Apps mit einer kleinen Nutzerbasis senden Sie vorab einen Hinweis; wenn niemand widerspricht, fahren Sie fort.
• Führen Sie ein Protokoll darüber, was Sie wann widerrufen haben, damit Sie es im Falle eines Problems schnell und gezielt wiederherstellen können.

Der Widerruf in Googles Tools ist sofort wirksam und reversibel – ein Nutzer kann eine App, die er tatsächlich braucht, jederzeit erneut autorisieren, diesmal mit Ihren Leitplanken im Hintergrund.

Machen Sie es kontinuierlich

Ein einmaliges Audit fühlt sich großartig an und verliert sofort an Wert. Neue Apps werden bereits am Tag nach Ihrem Abschluss verbunden. Die dauerhafte Antwort ist kontinuierliche Erkennung: automatisch verbundene Apps und ihre Scopes erfassen, jede bewerten und alarmieren, wenn eine neue risikoreiche Freigabe auftaucht oder eine ruhende App weitreichenden Zugriff hält.

Dieser Wandel – von der periodischen Tabelle zum stets aktuellen Inventar – macht den Unterschied zwischen dem Wissen um Ihre OAuth-Exposition heute und dem bloßen Raten. Er ist auch eine der Säulen einer umfassenderen Google-Workspace-Sicherheit neben Identität, Freigabe und Konfiguration.

Die Scopes, bei denen Sie innehalten sollten

Da der Umfang des Scopes der größte einzelne Risikofaktor ist, hilft es zu wissen, welche OAuth-Scopes wirklich Gewicht haben. Ein paar Muster, die es sich lohnt zu erkennen, wenn Sie die Berechtigungsliste einer App lesen:

• `drive` (voller Drive-Zugriff) — lesen, erstellen, ändern und löschen *aller* Drive-Dateien eines Nutzers. Dies ist der weitreichendste Daten-Scope, den eine App halten kann, und er kommt häufiger vor, als er sollte; viele Apps fordern ihn an, obwohl ein engerer, dateibezogener Scope ausreichen würde.
• `gmail.send` / `gmail.modify` / `mail.google.com` — die Fähigkeit, als der Nutzer E-Mails zu senden oder das Postfach zu lesen und zu ändern. Eine App mit Postfachzugriff kann sowohl Korrespondenz exfiltrieren als auch den Nutzer gegenüber anderen imitieren.
• **admin.directory.*** — Ihr Verzeichnis von Nutzern und Gruppen lesen oder verwalten. Eine App mit dieser Berechtigung reicht über die gesamte Organisation, nicht nur über einen Nutzer.
• `spreadsheets` / `documents` — Inhaltszugriff auf Sheets und Docs, die häufig genau die sensiblen Daten enthalten (Finanzen, Pläne, „vorübergehend“ eingefügte Zugangsdaten), die Sie am ehesten schützen möchten.

Enge, schreibgeschützte Scopes — userinfo.email, calendar.readonly, drive.file (Zugriff nur auf Dateien, die die App selbst erstellt hat) — sind diejenigen, die Sie fördern sollten. Wenn Sie ein neues Tool bewerten, bevorzugen Sie die Version, die am wenigsten verlangt.

Das Audit in eine Richtlinie verwandeln

Ein sauberes Audit ist weitaus mehr wert, wenn es in einer dauerhaften Richtlinie mündet statt in einer einmaligen Bereinigung. Drei Richtlinien verhindern das meiste erneute Wachstum:

• Von Administratoren genehmigte Marketplace-Installationen. Verlangen Sie eine Genehmigung durch den Administrator, bevor Nutzer Marketplace-Apps installieren können, damit neue Verbindungen eine bewusste Entscheidung sind und nicht ein Standardfall.
• Scope-basierte Zugriffssteuerung. Blockieren Sie die risikoreichen Scopes (voller Drive-Zugriff, Gmail, Verzeichnis) oder führen Sie sie explizit auf einer Positivliste. Eine App, die vollen Drive-Zugriff möchte, sollte eine Hürde nehmen müssen; eine App, die nur eine E-Mail-Adresse möchte, sollte das nicht müssen.
• Ein/e verantwortliche/r Eigentümer/in für wiederkehrende Überprüfungen. Weisen Sie jemandem die dauerhafte Aufgabe zu, neue und risikoreiche Freigaben nach einem festen Zeitplan zu überprüfen. Überprüfungen ohne Verantwortlichen finden nicht statt.

Diese Leitplanken ändern die Voreinstellung von „jeder Nutzer kann jeder App jeden Zugriff gewähren“ zu „weitreichender Zugriff ist eine bewusste, überprüfte Entscheidung“ – ohne die legitimen Tools zu blockieren, die Menschen tatsächlich brauchen.

8200.dev entdeckt die mit Ihrem Workspace verbundenen Drittanbieter-Apps, bewertet sie nach Scope, Vertrauenswürdigkeit des Herausgebers und Nutzung und stellt die riskanten zuerst heraus – schreibgeschützt und kontinuierlich. Sehen Sie sich was wir prüfen für das vollständige Bild an.

Möchten Sie sehen, welche Apps gerade jetzt Zugriff auf Ihre Daten haben? Starten Sie Ihr kostenloses Sicherheitsaudit und erhalten Sie ein nach Risiko geordnetes Inventar der verbundenen OAuth-Anwendungen in Ihrem gesamten Google Workspace.