Externe Freigaben in Google Drive: So finden und bereinigen Sie den Bestand

Edouard Jacques

Managing Director, Cyber Culture

In Google Drive ist Teilen ein Klick. Über die Jahre sammeln sich so Ordner für den Steuerberater, Projektablagen mit Kunden, Angebote an Interessenten und Dateien mit dem Status "Jeder mit dem Link". Niemand entzieht diese Zugriffe, weil niemand sie sieht. Dieser Artikel zeigt Schritt für Schritt, wie Sie den Bestand mit den Werkzeugen Ihrer Workspace-Edition finden, in welcher Reihenfolge Sie bereinigen und welche Einstellungen in der Admin-Konsole dafür sorgen, dass er nicht wieder wächst.

Warum vergessene Freigaben ein Datenschutzthema sind

Die DSGVO verlangt in Art. 5 Abs. 1 lit. f, dass personenbezogene Daten vor unbefugter Verarbeitung, also auch vor unbefugtem Zugriff, geschützt sind, und in Art. 5 Abs. 2, dass Sie das nachweisen können. Art. 32 nennt die unbefugte Offenlegung ausdrücklich als Risiko, gegen das Sie technische und organisatorische Maßnahmen treffen müssen. Gelangen Daten über einen offenen Link an Unbefugte, kann das eine meldepflichtige Datenschutzverletzung sein, die Sie nach Art. 33 unverzüglich und möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt wurde, der Aufsichtsbehörde melden (DSGVO auf EUR-Lex). Ob eine Meldung nötig ist, hängt vom Einzelfall ab. Sicher ist: Ohne Überblick über Ihre Freigaben können Sie diese Frage im Ernstfall nicht beantworten.

Zuerst den Bestand erheben

Welche Werkzeuge Sie haben, hängt von der Edition ab.

Grundsätzlich steht Ihnen das Protokoll unter Reporting > Audit and investigation > Drive log events zur Verfügung. Mit dem Filter "Visibility" und dem Wert "Shared externally" sehen Sie Aktivitäten an extern geteilten Dateien. Die Drive-Protokolle reichen aber nur sechs Monate zurück. Eine Freigabe von 2021, die seitdem niemand angefasst hat, finden Sie dort nicht. Google weist außerdem darauf hin, dass Dateien auch dann als extern geteilt markiert werden, wenn sie mit einer Gruppe geteilt sind, die externe Mitglieder hat.

In den Editionen Enterprise Standard und Enterprise Plus (sowie Frontline, Education Standard und Plus und Enterprise Essentials Plus) gibt es das Security Investigation Tool unter Security > Security center > Investigation tool. Dort suchen Sie nach extern geteilten Dateien und ändern über Actions > Audit File Permissions die Freigaben vieler Dateien auf einmal, einschließlich der Linkeinstellungen. Ordnerfreigaben und Eigentümerwechsel lassen sich dort nicht ändern. Der Bericht zur Dateifreigabe im Security Dashboard fehlt in Enterprise Standard.

Für eine vollständige Inventur ist der Drive-Inventar-Export nach BigQuery das genaueste Werkzeug (Reporting > Data integrations > Drive Inventory Exports). Er enthält für jede Datei unter anderem, mit wem sie geteilt ist, und lässt sich mit der Option "External sharing calculations" um Angaben zur externen Freigabe ergänzen. Er setzt Enterprise Standard, Enterprise Plus oder eine vergleichbare Edition voraus, und für BigQuery fallen eigene Kosten an (Google: Drive-Inventar exportieren).

In den Business-Editionen fehlen diese Werkzeuge. Dann bleiben das Protokoll für die letzten sechs Monate und eine Auswertung über die Drive-API, etwa per Skript. Planen Sie dafür einen Tag Arbeit eines Administrators ein, der mit der API vertraut ist.

Nach Risiko sortieren

Ein vollständiger Export enthält oft so viele Einträge, dass niemand sie einzeln prüfen kann. Sortieren Sie deshalb nach Risiko:

1. Dateien, die öffentlich im Web veröffentlicht oder für "Jeder mit dem Link" freigegeben sind, vor allem in Ordnern von Personal, Finanzen und Geschäftsführung.
2. Freigaben an private Konten wie gmail.com statt an Firmenadressen.
3. Freigaben an Domains von Partnern, mit denen Sie nicht mehr zusammenarbeiten.
4. Dateien, deren Eigentümer das Unternehmen verlassen hat.
5. Alles, was seit mehr als zwölf Monaten nicht geändert wurde.

Die ersten beiden Gruppen gehen Sie sofort an. Für den Rest reicht ein geordneter Prozess.

Gemeinsam mit den Eigentümern bereinigen

Technisch könnte ein Administrator alle externen Freigaben auf einmal entziehen. Schalten Sie in der Admin-Konsole das Teilen nach außen für eine Organisationseinheit ab, verlieren externe Nutzer laut Google auch den Zugriff auf alles, was ihnen früher freigegeben wurde. Das ist ein wirksamer Schnitt, unterbricht aber auch laufende Projekte, etwa mit Steuerberater oder Wirtschaftsprüfer.

Besser bewährt hat sich ein gestuftes Vorgehen. Schicken Sie jedem Eigentümer seine Liste mit einer klaren Frist, zum Beispiel zwei Wochen, und der Bitte, zu entscheiden: behalten, befristen oder entziehen. Was nach Ablauf der Frist nicht bestätigt ist, entzieht die IT. Dokumentieren Sie die bewusst behaltenen Freigaben mit Begründung. Diese Liste ist zugleich Ihr Nachweis im Sinne der Rechenschaftspflicht.

Für behaltene Freigaben lohnt ein Ablaufdatum. Nutzer können es beim Teilen im Dialog über "Add expiration" setzen, seit Ende 2025 auch für Dateien und Ordner in geteilten Ablagen, allerdings nur im Web und unter Android. Eine Vorgabe durch Administratoren gibt es dafür laut Google nicht (Workspace Updates). Das Befristen muss also Teil Ihrer Anweisung an die Eigentümer sein.

Einstellungen, die Nachschub verhindern

Die zentralen Einstellungen finden Sie unter Apps > Google Workspace > Drive and Docs > Sharing settings. Änderungen können bis zu 24 Stunden brauchen, bis sie greifen.

• Teilen nach außen: Für Bereiche mit sensiblen Daten "Off" oder "Allowlisted Domains" mit einer Liste Ihrer festen Partner. Für alle anderen "On", aber mit Warnhinweis ("Warn when files owned by users or shared drives in your organization are shared outside of your organization").
• Öffentliche Links: Das Häkchen bei "users in your organization can make files and published web content visible to anyone with the link" entfernen. Google empfiehlt selbst, das Veröffentlichen im Web für alle Organisationseinheiten abzuschalten. Bereits veröffentlichte Dateien bleiben davon unberührt, die müssen Sie bei der Bereinigung erwischen.
• Access Checker auf "Recipients only" stellen. Dann schlägt Drive beim Teilen nicht vor, die Datei gleich für die ganze Organisation oder öffentlich freizugeben.
• Den allgemeinen Zugriff für neue Dateien (General access default) auf "Restricted" belassen. Das ist laut Google der Standard, prüfen Sie aber, ob ihn jemand geändert hat.
• Geteilte Ablagen: "Allow users outside your organization to access files in shared drives" und "Allow people who aren't shared drive members to be added to files" für sensible Bereiche abschalten. Änderungen gelten nur für neue geteilte Ablagen; bestehende müssen Sie einzeln anpassen.

In den Enterprise-Editionen ersetzen Vertrauensregeln (Trust rules) diese Einstellungen für das Teilen nach außen. Sie aktivieren sie unter Rules mit der Karte "Collaborate securely" und legen dann fest, welche Gruppen oder Organisationseinheiten mit welchen Domains teilen dürfen, mit Warnung oder gar nicht. Das ist feiner steuerbar, verlangt aber Sorgfalt: Wer die Vertrauensregeln wieder abschaltet, löscht sie laut Google endgültig. Ergänzend erkennt Data Loss Prevention für Drive in den Enterprise-Editionen sensible Inhalte und kann deren externe Freigabe blockieren.

Der CIS Google Workspace Foundations Benchmark, aktuell in Version 1.4.0, enthält zu den meisten dieser Punkte eigene Empfehlungen, etwa zum Warnhinweis, zum Verbot öffentlicher Veröffentlichung und zum Access Checker.

Regelmäßig nachsehen

Eine Bereinigung hält nur, wenn jemand nachsieht. Legen Sie einen festen Termin fest, mindestens vierteljährlich, an dem die IT die Liste neuer externer Freigaben prüft und Auffälligkeiten an die Eigentümer gibt. Weil die Drive-Protokolle nach sechs Monaten verschwinden, sollten Sie die Ergebnisse jeder Prüfung ablegen.

Aufwand

Für einen Mittelständler mit einigen hundert Nutzern sind realistisch: ein bis zwei Tage für die Inventur, drei bis sechs Wochen für die Bereinigung mit den Eigentümern, ein Tag für die Einstellungen samt Information an die Belegschaft. Der größte Teil der Zeit entfällt auf Rückfragen aus den Fachbereichen.

Der erste Schritt in Ihrem Unternehmen

Öffnen Sie die Drive-Freigabeeinstellungen und prüfen Sie zwei Dinge: Dürfen Nutzer Dateien für jeden mit dem Link freigeben, und wie ist der Access Checker eingestellt? Was wir in einer externen Prüfung zu Ihren Freigaben liefern, beschreibt Google Workspace: externe Freigaben unter Kontrolle. Die übrigen kritischen Einstellungen in Google Workspace behandelt Google Workspace nach CIS-Benchmark absichern, und den vollständigen Abgleich mit dem Benchmark liefert unser Cloud Security Check.