Google Workspace Sicherheit: Checkliste für die Admin-Konsole

Sicherheit in Google Workspace beginnt bei den wirksamen Regeln

Ein ausgeschiedener Mitarbeiter, eine vergessene Weiterleitung oder eine zu weit freigegebene Datei kann Ihre Schutzmaßnahmen unterlaufen. Für ein Büro mit beispielsweise 10 bis 50 Arbeitsplätzen braucht es deshalb dokumentierte Einstellungen und jemanden, der sie nach Änderungen erneut prüft.

Google veröffentlicht Checklisten für Organisationen mit 1 bis 100 Nutzern sowie für Organisationen ab 100 Nutzern und mit erhöhten Schutzanforderungen. Die zweite Liste kann auch für eine Praxis relevant sein. Notieren Sie je Prüfpunkt Einstellung, zuständige Person und Ausnahme. Prüfen Sie Organisationseinheiten und Gruppen mit: Dort können abweichende Regeln gelten.

Anmeldung und Wiederherstellung absichern

Die Pfade beginnen in der Admin-Konsole. Ein dokumentierter Google-Standard ist kein Nachweis für den aktuellen Zustand Ihrer Umgebung.

Administratorrechte auf Aufgaben begrenzen

Unter Konto › Administratorrollen kontrollieren Sie die vergebenen Rollen. Zusätzliche Administratoren entstehen durch Zuweisung, nicht durch eine automatische Vertretungsregel. Richten Sie entsprechend Googles Empfehlungen mindestens zwei Super-Admins mit getrennten Verantwortlichen ein. Jede Person erhält ein eigenes Admin-Konto; E-Mail und tägliche Arbeit laufen über ein separates Nutzerkonto.

Für gewöhnliche Verwaltungsaufgaben reichen begrenzte Rollen. Dokumentieren Sie auch, wer bei einer Kontosperre hilft. Die laufende Workspace-Administration umfasst solche Zuständigkeiten ebenso wie technische Einstellungen.

Absender prüfen und Weiterleitungen begrenzen

• SPF und DMARC stehen im DNS beim Domainanbieter. DKIM prüfen Sie unter Apps › Google Workspace › Gmail › E-Mails authentifizieren. Der Ausgangszustand hängt von Domainanbieter und Einrichtung ab; Google beschreibt auch automatisch vorbereitete DKIM-Einträge. Alle legitimen Versanddienste erfassen und echte Nachrichten prüfen. Die Anleitung zu SPF, DKIM und DMARC erklärt die Umsetzung.
• Unter Apps › Google Workspace › Gmail › Endnutzerzugriff › Automatische Weiterleitung ist die Weiterleitung laut Google standardmäßig erlaubt. Wir empfehlen, nutzergesteuerte Weiterleitungen zu deaktivieren und betriebliche Ausnahmen administrativ zu regeln. Zusätzlich vorhandene Routing-Regeln prüfen.
• Unter Apps › Google Workspace › Gmail › Sicherheit finden Sie Schutz für Anhänge, Links und gefälschte Absender. Gmail prüft Nachrichten bereits auf Schadsoftware; bei zusätzlichen Regeln ist häufig eine Warnung die Standardaktion. Aktivieren Sie passende erweiterte Schutzoptionen und testen Sie die Auswirkungen. Eine Quarantäne braucht jemanden, der sie bearbeitet.

Drive-Freigaben nach Arbeitszweck erlauben

• Externe Empfänger steuern Sie unter Apps › Google Workspace › Drive und Docs › Freigabeeinstellungen › Freigabeoptionen. Den Freigabestatus im Bestand prüfen; Googles aktuelle Anleitung nennt keinen durchgängigen Standard für alle Umgebungen. Für vertrauliche Bereiche empfehlen wir externe Freigaben nur nach festgelegtem Bedarf. Die standardmäßig aktive Kennzeichnung externer Dateien beibehalten. Externe Freigaben verwalten
• Unter Freigabeeinstellungen › Standardeinstellung für den allgemeinen Zugriff ist der Standard Eingeschränkt. Beibehalten und bestehende Freigaben zusätzlich prüfen. Allgemeiner Zugriff
• Teamdateien gehören in geteilte Ablagen; sie bleiben laut Google beim Unternehmen, wenn der Ersteller ausscheidet. Nutzer dürfen solche Ablagen in Business-Editionen standardmäßig erstellen. Prüfen Sie unter Apps › Google Workspace › Drive und Docs › Geteilte Ablagen verwalten Mitglieder und Rechte.

Business Starter enthält geteilte Ablagen, aber nicht deren zusätzlichen Freigabebeschränkungen; diese stehen auf „zulassen“. Business Standard und Plus bieten die entsprechenden Verwaltungsoptionen. Übergeordnete, strengere Drive-Regeln bleiben maßgeblich. Google erläutert die Editionsgrenze.

Zugriffe von Apps einzeln beurteilen

• Unter Sicherheit › Zugriffs- und Datenkontrolle › API-Steuerung stehen verbundene Apps und Zugriffsregeln. Die Konfigurationshilfe nennt erlaubten Zugriff als Standard für unkonfigurierte Apps; die Hilfe zu Zugriffsanfragen beschreibt blockierten Zugriff. Prüfen Sie Ihren Wert. Wir empfehlen, benötigte Apps gezielt zuzulassen und unkonfigurierte Datenzugriffe zu beschränken.
• „Weniger sichere Apps“ lassen sich nicht mehr wie früher freischalten: Google hat die Anmeldung mit Nutzername und Kontopasswort für solche Anwendungen zum 1. Mai 2025 beendet. Prüfen Sie Altprogramme auf OAuth-Unterstützung.
• App-Passwörter sind gesonderte Zugangsdaten. Unter Verzeichnis › Nutzer › Nutzer auswählen › Sicherheit › Anwendungsspezifische Passwörter sehen und widerrufen Sie vorhandene Einträge. Ohne angelegte App-Passwörter bleibt der Bereich inaktiv. Ungenutzte Zugänge entfernen. Nutzersicherheit verwalten

Für KI-Funktionen ergänzen Sie die Regeln aus Gemini steuern und Datenschutz beachten.

Geräteschutz und Kontolöschung vorbereiten

Geräte › Mobilgeräte und Endpunkte › Einstellungen › Universell › Allgemein › Mobilgeräteverwaltung: Die einfache Verwaltung ist standardmäßig aktiv, auch in Starter und Standard. Unter Allgemein › Passwortanforderungen die Displaysperre prüfen und verlangen. Erweiterte Vorgaben benötigen bei den Business-Editionen Business Plus. Gerätepasswörter

Unter Geräte › Mobilgeräte und Endpunkte › Geräte können Sie unterstützte Geräte blockieren oder das Arbeitskonto löschen. Geräte sind bei einfacher Verwaltung zunächst zugelassen. Blockieren verhindert dort die Synchronisierung; eine Fernlöschung hängt von Plattform und Verwaltungsart ab. Vorher prüfen, ob nur Arbeitsdaten oder das ganze Gerät betroffen sind.

Warnmeldungen brauchen einen Empfänger

Benachrichtigungscenter und grundlegende Nutzerprotokolle stehen laut Editionsvergleich auch in Business Starter und Standard bereit.

• Sicherheit › Benachrichtigungscenter: Google liefert Systemregeln; Benachrichtigungen und Empfänger sind je Regel zu prüfen. Verantwortliche und Vertretung eintragen, insbesondere für verdächtige Anmeldungen. Systemregeln bearbeiten
• Berichterstellung › Audit und Untersuchung › Nutzerprotokollereignisse: Anmeldungen und Änderungen an Kontosicherheit kontrollieren. Standardmäßig zeigt die Ansicht die letzten sieben Tage. Das Protokoll erfasst nicht jede Anmeldung eines E-Mail-Programms.
• Sicherheit › Sicherheitscenter › Sicherheitsstatus: Die Sicherheitsstatus-Seite ist unter anderem in Enterprise Standard und Plus verfügbar, in keiner Business-Edition. Dort müssen Sie die betreffenden Einstellungen einzeln prüfen.

Wiederherstellung und Aufbewahrung getrennt planen

Drive ist kein eigenständiges Backup. Google bietet begrenzte Wiederherstellungsmöglichkeiten, etwa für endgültig gelöschte Dateien über Verzeichnis › Nutzer › Nutzer auswählen › Weitere Optionen › Daten wiederherstellen. Dafür gilt eine Frist von 25 Tagen nach dem Leeren des Papierkorbs. Wir empfehlen eine separate Sicherung mit dokumentiertem Umfang und einer getesteten Wiederherstellung.

Vault ist in Business Plus sowie Enterprise Standard und Plus enthalten, nicht regulär in Business Starter oder Standard. Aufbewahrungsregeln richten Sie separat unter vault.google.com › Aufbewahrung ein; die Lizenz allein definiert keine betrieblichen Fristen. Vault-Grundlagen. Unterschiede erklärt der Beitrag zur E-Mail-Archivierung und Google Vault.

Diese Prüfungen zuerst einplanen

Die Zeitspannen sind Planungsannahmen für eine überschaubare bestehende Umgebung, keine zugesagten Bearbeitungszeiten. Registrierung, Rückfragen und DNS-Wartezeiten kommen hinzu.

1. 1

   Administratorzugänge sichern

   Rollen, Vertretung und Wiederherstellung kontrollieren. Annahme: 30 bis 60 Minuten.

2. 2

   Anmeldeschutz verbindlich machen

   Registrierungsstand prüfen, Methoden festlegen, Einführung terminieren. Annahme: 30 bis 60 Minuten Vorbereitung.

3. 3

   Mail-Regeln kontrollieren

   Weiterleitungen und Absenderauthentifizierung prüfen. Annahme: 45 bis 90 Minuten für die Bestandsaufnahme.

4. 4

   Dateien und Apps durchgehen

   Externe Freigaben und verbundene Dienste auf ihren Zweck prüfen. Annahme: 60 bis 120 Minuten.

5. 5

   Wiederherstellung und Warnwege testen

   Testdatei wiederherstellen und Meldungsempfänger kontrollieren. Annahme: 30 bis 60 Minuten bei eingerichtetem Backup.

Wo trotz gesetzter Häkchen Lücken bleiben

Ergänzen Sie die Technik durch Phishing-Einweisung, eine Regel für private Geräte und einen benannten Meldeweg. Als Übung eignet sich beispielsweise eine angebliche Zahlungsanweisung der Geschäftsführung: Das Team bestätigt sie über einen bekannten Kontaktweg. Solche Abläufe müssen intern beschlossen und eingeübt werden.

Was VEZOZA prüft und was die Betreuung kostet

Intern genügt die Checkliste, wenn jemand Einstellungen versteht, Änderungen dokumentiert und Warnungen bearbeitet. Fehlt diese Zuständigkeit, übernehmen wir die Sicherheitsgrundlage für Google Workspace und die laufende Verwaltung.

Bei Umzug oder Übernahme umfasst die Grundlage Zwei-Faktor-Pflicht, Administratorrollen sowie Freigabe- und Weiterleitungsregeln. Bei einer bestehenden Umgebung prüfen und bereinigen wir Rechte, Sicherheit und DNS. Zur laufenden Betreuung gehören Prüfungen von Anmeldungen, Administratoren, Freigaben und Drittanbieter-Apps mit monatlichem Kurzergebnis sowie das Betriebshandbuch. Den Umfang regeln die AGB, Teil B.

• Separater Sicherheits-Check: 490 € Festpreis, anrechenbar auf Umzug oder Übernahme.
• Bestehende Umgebung übernehmen: 590 € einmalig.
• Betreuung: 365 € monatlich einschließlich der ersten 8 Arbeitsplätze, danach 27 € je weiterem Arbeitsplatz, ab dem 26. Arbeitsplatz 24 €. Tägliches Backup von Mail, Drive und Kalender inklusive.
• Separates E-Mail-Archiv: 5 € je Postfach und Monat plus 149 € Einrichtung.

Alle Preise netto, ggf. zzgl. USt.; es gilt die veröffentlichte Preisstaffel. Die Betreuung ist auf durchschnittlich 12 Minuten je Arbeitsplatz und Monat, gemessen je Quartal, ausgelegt. Mehrbedarf wird vorher abgestimmt. Endgeräte, Netzwerk und Fachsoftware sind nicht enthalten.

VEZOZA ist kein zertifizierter Google-Partner und kein Reseller. Lizenzen laufen direkt zwischen Ihnen und Google; Konto und ein Super-Admin-Zugang bleiben bei Ihnen. Bei einem Betreuungswechsel werden Zugänge und Zuständigkeiten geordnet übergeben.

Wir betreuen aus Wuppertal bundesweit per Fernwartung, vor Ort in NRW nach Absprache. Die Supportbedingungen gelten innerhalb der Servicezeit Montag bis Freitag von 9 bis 17 Uhr, ausgenommen NRW-Feiertage. Bei Ausfällen erfolgt die Reaktion in der Regel innerhalb von vier Arbeitsstunden, sonst spätestens am nächsten Werktag; eine Behebungszeit ist nicht zugesagt. Bei Urlaub und Krankheit vertritt die Innovate Systems GmbH, Wuppertal.

Häufige Fragen