Google Workspace-Sicherheit: Der vollständige Leitfaden für IT-Administratoren (2026)

Google Workspace bestimmt den Arbeitsalltag für Millionen von Organisationen – E-Mail, Dokumente, gemeinsame Drives, Kalender und die Identitäten, die all dies miteinander verknüpfen. Genau diese Konzentration von Daten und Zugriffen ist der Grund, warum eine durchdachte Sicherheitsstrategie erforderlich ist – und nicht nur die Standardeinstellungen, die Sie am ersten Tag übernommen haben.

Dieser Leitfaden führt durch die wichtigsten Themenbereiche, in der Reihenfolge, in der ein IT-Administrator sie angehen sollte: Identität, Freigaben, Zugriffe Dritter, administrative Konfiguration und laufendes Monitoring. Keiner dieser Schritte erfordert ein komplettes Austauschprojekt. Die meisten der wirkungsvollsten Änderungen sind Einstellungen, die Sie bereits selbst kontrollieren.

Beginnen Sie mit der Identität, denn alles andere hängt davon ab

Jede Datei, jeder Kalender, jedes Postfach in Google Workspace ist über eine Identität erreichbar. Kontrolliert ein Angreifer ein Konto, gehören ihm faktisch auch alle Daten, die dieses Konto einsehen kann. Das macht die Identität zum Fundament der Workspace-Sicherheit.

Drei Kontrollmechanismen leisten dabei den Großteil der Arbeit:

• Multi-Faktor-Authentifizierung (MFA), verpflichtend – nicht optional. Ein Passwort allein ist ein einzelner Ausfallpunkt (Single Point of Failure). Die verpflichtende Einführung der 2-Faktor-Bestätigung in der gesamten Organisation ist die wirksamste einzelne Maßnahme, die Sie umsetzen können. Die Einführung im Detail beschreiben wir in unserem Leitfaden zur verpflichtenden Einführung von MFA in Google Workspace.
• Starke, phishing-resistente zweite Faktoren, wo immer möglich. Hardware-Sicherheitsschlüssel und Passkeys widerstehen den Credential-Phishing-Kits, die Einmalcodes aushebeln. Reservieren Sie sie zumindest für Administratoren und andere besonders wertvolle Konten.
• Admin-Rollen nach dem Prinzip der geringsten Rechte. Die Rolle des Super-Admins kann alles. Die meisten Ihrer Administratoren benötigen diese Rechte nicht. Google Workspace unterstützt benutzerdefinierte Administratorrollen, die auf bestimmte Aufgaben zugeschnitten sind; nutzen Sie diese und halten Sie die Zahl der Super-Admins so gering wie vertretbar.

Eine sinnvolle Übung: Listen Sie jedes Konto mit administrativen Rechten auf und fragen Sie sich für jedes einzelne: „Was ist das Schlimmste, das dieses Konto anrichten könnte, wenn es morgen kompromittiert wäre?“ Die Antworten offenbaren in der Regel einige Rollen, die weitreichender sind, als sie sein müssten.

Behalten Sie die Kontrolle über Drive-Freigaben

In Drive liegt das Wissen der Organisation, und Freigaben sind der Ausgangspunkt der meisten Datenexpositionen. Das Problem ist selten böswillig – es ist Bequemlichkeit. Jemand stellt ein Dokument auf „Jeder mit dem Link“, um ein Meeting zu ermöglichen, das Meeting endet, und der Link existiert unbegrenzt weiter, indexiert und weiterleitbar.

Muster, nach denen sich zu suchen lohnt:

• Öffentliche Links. Dateien, die für „Jeder mit dem Link“ freigegeben sind, sind für jeden erreichbar, der die URL erhält. Bei sensiblen Inhalten ist das eine offene Tür.
• Externe Freigaben. Dateien und Ordner, die mit Adressen außerhalb Ihrer Domain geteilt werden – Partner, Auftragnehmer, private Konten – erweitern Ihren Datenperimeter auf Systeme, die Sie nicht kontrollieren.
• Domänenweite Freigaben. „Jeder in der Organisation“ ist für ein Mitarbeiterhandbuch angemessen und für einen Ordner mit Gehaltsdaten gefährlich.
• Fehlerhafte Vererbung und übermäßige Eigentümerschaft. Ein einziger überfreigegebener übergeordneter Ordner kann still und leise alles darunter offenlegen.

Legen Sie im Admin-Konsole sinnvolle organisationsweite Standardeinstellungen fest (beschränken Sie die Freigabe außerhalb der Domain auf eine vertrauenswürdige Liste, sofern es Ihr Workflow zulässt) – doch diese Standardwerte gelten nur für *neue* Freigaben. Die vor der Verschärfung der Richtlinie erstellten Freigaben bestehen weiterhin. Sie zu finden ist ein Erkennungsproblem, und genau hier zahlt sich kontinuierliches Scannen aus. Unsere Checkliste für Google Drive-Freigabeberechtigungen macht daraus eine konkrete, wiederholbare Überprüfung.

Prüfen Sie die mit Ihrem Tenant verbundenen Drittanbieter-Apps

Jedes „Mit Google anmelden“ und jedes Add-on, das ein Nutzer installiert, gewährt einer OAuth-Anwendung einen Teil des Zugriffs auf Ihre Workspace-Daten – häufig auf Drive, manchmal auf Gmail, gelegentlich sogar die Möglichkeit, im Namen eines Nutzers zu handeln. Über Monate und Jahre wächst diese Liste zu einem Wildwuchs vergessener Integrationen, Testtools und aufgegebener Anbieter heran, von denen jeder einzelne ein bestehendes Zugriffsrecht darstellt, das niemand überprüft.

Das ist Schatten-IT in ihrer wörtlichsten Form: Zugriff, den Sie nicht selbst bereitgestellt haben und von dessen Existenz Sie womöglich gar nichts wissen. Eine riskante OAuth-Berechtigung muss niemanden phishen – der Nutzer hat bereits auf „Zulassen“ geklickt.

Worauf Sie achten sollten:

• Apps mit weitreichenden Berechtigungsumfängen (voller Drive-Zugriff, Gmail-Versand, Admin-Verzeichnis).
• Apps, die nur von ein oder zwei Personen genutzt werden, aber weitreichenden Zugriff besitzen.
• Apps von nicht verifizierten Herausgebern.
• Apps, die seit Monaten von niemandem genutzt wurden.

Wir gehen im Detail auf die Mechanik ein – einschließlich wie man die relevanten Berechtigungsumfänge liest – in wie man Drittanbieter-OAuth-Apps in Google Workspace prüft.

Härten Sie die Admin-Konfiguration

Jenseits von Identität und Freigaben bestimmt eine Reihe organisationsweiter Einstellungen still und leise Ihre Sicherheitslage. Diese lassen sich einmal einrichten und leicht vergessen – genau deshalb driften sie im Laufe der Zeit ab:

• Freigabeeinstellungen: Regeln für externe Freigaben, Standardeinstellungen für Link-Freigaben und ob Nutzer Dateien im Web veröffentlichen können.
• Richtlinie zur 2-Faktor-Bestätigung: verpflichtend, mit einer Frist zur Registrierung und idealerweise nur starken Faktoren für sensible Gruppen.
• Zugriff für weniger sichere Apps und veraltete Protokolle: deaktiviert.
• Installation von Marketplace-Apps: beschränkt auf zugelassene oder von Administratoren genehmigte Apps, damit Nutzer nicht beliebigen Dritten Zugriff gewähren können.
• Mobile Geräteverwaltung: grundlegende Richtlinien, damit ein verlorenes Telefon nicht zu einer Datenschutzverletzung wird.
• E-Mail-Authentifizierung: SPF, DKIM und DMARC konfiguriert, um Ihre Domain vor Spoofing zu schützen.

Betrachten Sie dies als Konfigurations-Baseline. Dokumentieren Sie den Soll-Zustand und überprüfen Sie die Realität regelmäßig dagegen – Konfigurationen neigen dazu, abzudriften, wenn Ausnahmen gemacht und nie wieder rückgängig gemacht werden.

Achten Sie auf riskantes Verhalten und KI-Agenten

Der statische Zustand – wer *auf was zugreifen kann* – ist nur die halbe Wahrheit. Die andere Hälfte ist das Verhalten über die Zeit: Wer tut *tatsächlich* was, und wirkt es normal? Ein Dienstkonto, das sechs Monate lang inaktiv war und plötzlich Hunderte von Dateien anfasst, verdient einen genaueren Blick – selbst wenn jede einzelne Berechtigung formal gültig ist.

Eine neuere Herausforderung sind nicht-menschliche Identitäten. KI-Assistenten, Automatisierungsplattformen und Dienstkonten verfügen zunehmend über dauerhaften Zugriff auf Workspace-Daten und handeln damit autonom. Sie tauchen in einer klassischen Nutzerüberprüfung selten auf, können aber Daten mit maschineller Geschwindigkeit lesen, verschieben und freigeben. Sie zu steuern – zu wissen, welche Agenten existieren, worauf sie zugreifen können und was sie tun – wird zu einem zentralen Bestandteil der Workspace-Sicherheit. Wir erläutern das Vorgehen in wie man riskante KI-Agenten in Google Workspace erkennt.

Etablieren Sie einen festen Rhythmus

Sicherheit ist kein Projekt mit einem Enddatum, sondern ein Zustand, den man aufrechterhält. Ein praktikabler Rhythmus für die meisten Teams:

• Fortlaufend: Scannen nach neuen öffentlichen Links, externen Freigaben und OAuth-Berechtigungen, mit Alarmierung bei riskanten Fällen.
• Monatlich: Überprüfung der Konfigurations-Baseline und der Liste der Administratoren.
• Vierteljährlich: Überprüfung externer Freigabebeziehungen und des Bestands an Drittanbieter-Apps; Deaktivierung veralteter Zugänge.
• Bei jedem Eintritt/Wechsel/Austritt: Zugriffe umgehend anpassen. Veraltete Zugriffsrechte ehemaliger Mitarbeiter und aus Rollenwechseln gehören zu den häufigsten Befunden in jedem Audit.

Wenn Sie für das Gesamtbild verantwortlich sind, fasst unser CISO-Leitfaden zur Google Workspace-Risikobewertung dies als wiederholbare Bewertung zusammen, über die Sie berichten können.

Wo Automatisierung hilft

All dies lässt sich manuell erledigen. Administratoren tun das seit Jahren. Aber Workspace ist umfangreich, Freigaben entstehen ständig, und die relevanten Befunde sind Nadeln in einem sehr großen Heuhaufen. Das realistische Versagensmuster besteht nicht darin, dass Teams *nicht wissen*, was zu prüfen ist – es liegt daran, dass sie mit dem Volumen manuell nicht Schritt halten können, sodass Überprüfungen ins Rutschen geraten und sich Exposition zwischen den Prüfungen ansammelt.

Genau diese Lücke schließt kontinuierliches, automatisiertes Posture Management: Es erfasst, wer und was auf jede Ressource zugreifen kann, markiert die relevanten Expositionen, erklärt in verständlicher Sprache, *warum* jede davon riskant ist, und prüft bei jeder Änderung erneut – sodass Sie mit der aktuellen Realität arbeiten und nicht mit der Tabelle vom letzten Quartal. 8200.dev tut genau das für Google Workspace – lesen Sie mehr darüber, wie es funktioniert oder was wir prüfen.

Der beste Zeitpunkt, eine Baseline einzurichten, war der Tag, an dem Sie Workspace eingeführt haben. Der zweitbeste Zeitpunkt ist heute.

Bereit, Ihre eigene Exposition zu sehen? Starten Sie Ihr kostenloses Sicherheitsaudit und erhalten Sie ein priorisiertes Bild öffentlicher Links, externer Freigaben, OAuth-Apps und Admin-Fehlkonfigurationen in Ihrem Google Workspace – in wenigen Minuten, rein lesend, ohne Agenten-Installation.