Access Transparency-Protokollereignisse

Unterstützte Versionen für diese Funktion: Frontline Plus; Enterprise Plus; Education Standard und Education Plus; Enterprise Essentials Plus. Versionen vergleichen

Als Administrator Ihrer Organisation können Sie im Sicherheitsprüftool nach Access Transparency-Protokollereignissen suchen. So finden Sie Informationen zu den Aktionen von Google-Mitarbeitern, wenn diese auf Ihre Daten zugreifen.

Daten zu Access Transparency-Protokollereignissen enthalten Informationen über:

  • Die betroffene Ressource und Aktion
  • Die Zeit der Aktion
  • Den Grund für die Aktion, z. B. die Fallnummer einer Kundensupportanfrage
  • Den Google-Mitarbeiter, der mit den Daten gearbeitet hat, z. B. dessen Bürostandort

Weitere Informationen finden Sie im Hilfeartikel Access Transparency: Protokolle zum Google-Zugriff auf Nutzerinhalte abrufen.

Protokolldaten an Google Cloud weiterleiten

Sie können zulassen, dass Protokolldaten für Google Cloud freigegeben werden. Wenn Sie die Freigabe aktivieren, werden die Daten an Cloud Logging weitergeleitet. Dort können Sie dann Ihre Protokolle abfragen und aufrufen oder festlegen, wie sie weitergeleitet und gespeichert werden sollen.

Nach Access Transparency-Protokollereignissen suchen

Ob Sie eine Suche ausführen können, hängt von der Google-Version, den Administratorberechtigungen und der Datenquelle ab. Sie können eine Suche für alle Nutzer ausführen, unabhängig von deren Google Workspace-Version.

Wenn Sie im Sicherheitsprüftool eine Suchanfrage ausführen möchten, müssen Sie zuerst eine Datenquelle auswählen. Wählen Sie dann mindestens eine Bedingung für die Suche aus. Wählen Sie für jede Bedingung ein Attribut, einen Operator und einen Wert aus.

Gehen Sie so vor:

  1. Gehen Sie in der Admin-Konsole zum Menü und dann Sicherheit und dann Sicherheitscenter und dann Prüftool.

    Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.

  2. Wählen Sie in der Drop‑down-Liste Datenquelle die Option Access Transparency-Protokollereignisse aus.
  3. Klicken Sie auf Bedingung hinzufügen. Sie können eine oder mehrere in der Suche verwenden. Sie haben auch die Möglichkeit, individuelle Suchoptionen als verschachtelte Abfragen mit zwei oder drei Bedingungsebenen zu erstellen. Weitere Informationen

  4. Wählen Sie in der Drop-down-Liste Attribut ein Attribut aus, z. B. Akteur oder Datum. Eine vollständige Liste der verfügbaren Attribute für Access Transparency-Protokollereignisse finden Sie im folgenden Abschnitt.

    Hinweis: Wenn Sie den Zeitraum für die Suche eingrenzen, erhalten Sie die Ergebnisse im Sicherheitsprüftool schneller. Wenn Sie z. B. nur nach Ereignissen der letzten Woche suchen, wird die Abfrage schneller zurückgegeben als ohne zeitliche Begrenzung.

  5. Wählen Sie einen Operator aus, z. B. Ist, Ist nicht, Enthält oder Enthält nicht.

  6. Wählen Sie einen Wert für das Attribut aus oder geben Sie ihn ein. Für einige Attribute können Sie aus einer Drop-down-Liste eine Auswahl treffen. Bei anderen Attributen geben Sie einen Wert ein.

  7. Optional: Wiederholen Sie diese Schritte, um weitere Suchbedingungen hinzuzufügen.

  8. Klicken Sie auf Suchen. Die Suchergebnisse im Tool werden unten auf der Seite in einer Tabelle angezeigt.

  9. Optional: Wenn Sie die Suche speichern möchten, klicken Sie auf „Speichern“ , geben Sie einen Titel und eine Beschreibung ein und klicken Sie dann auf Speichern.

Hinweis: Auf dem Tab Tool zur Bedingungserstellung werden Filter als Bedingungen mit UND- bzw. ODER-Operatoren dargestellt. Auf dem Tab Filter lassen sich Suchergebnisse auch mit einfachen Parameter- und Wertepaaren filtern.

Attributbeschreibungen

Für diese Datenquelle können Sie die folgenden Attribute verwenden, wenn Sie nach Protokollereignisdaten suchen.

Attribut Beschreibung
ID der Gruppe

Die ID der Gruppe. Weitere Informationen finden Sie unter Ergebnisse nach Google-Gruppe filtern.

So fügen Sie eine Gruppe der Zulassungsliste für Filtergruppen hinzu:

  1. Wählen Sie ID der Gruppe aus.
  2. Klicken Sie auf Gruppenfilter.
    Die Seite „Gruppenfilter“ wird angezeigt.
  3. Klicken Sie auf Gruppen hinzufügen.
  4. Suchen Sie nach einer Gruppe, indem Sie die ersten Zeichen des Namens oder der E-Mail-Adresse eingeben. Wenn die gewünschte Gruppe angezeigt wird, wählen Sie sie aus.
  5. Optional: Um eine weitere Gruppe hinzuzufügen, suchen Sie danach und wählen Sie sie aus.
  6. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Hinzufügen.
  7. Optional: Klicken Sie zum Entfernen der Gruppe auf „Gruppe entfernen“ .
  8. Klicken Sie auf Speichern.
Hauptsitz des Mitarbeiters

Hauptsitz des Mitarbeiters, der auf die Daten zugegriffen hat. Zeigt ISO 3166‑1 Alpha‑2-Ländercode für das Land, in dem die zugreifende Person einen permanenten Sitz hat.

Zu den Werten gehören:

  • Dreistellige Kontinent-ID, falls sich der Google-Mitarbeiter in einem Land mit wenig Einwohnern befindet, z. B. ASI, EUR, OCE oder AFR, NAM, SAM oder ANT
  • „??“ bedeutet, dass der Standort nicht verfügbar ist.
Organisationseinheit des Akteurs Organisationseinheit, zu der der Mitarbeiter gehört
Datum Datum und Uhrzeit des Ereignisses (in der Standardzeitzone des Browsers)
Ereignis Die protokollierte Ereignisaktion, z. B. Zugriff auf Ressource
Google Workspace-Produkt Name des Produkts, auf das zugegriffen wurde

ASN der IP

Sie müssen diese Spalte den Suchergebnissen hinzufügen. Eine Anleitung finden Sie unter Daten der Suchergebnisspalten verwalten.

Die ASN (Autonomous System Number) der IP, die Untergruppe und die Region, die dem Protokolleintrag zugeordnet sind.

Wenn Sie die ASN der IP sowie den Untergruppen- und Regionscode für die Aktivität aufrufen möchten, klicken Sie in den Suchergebnissen auf den Namen.
Begründungen Zugriffsbegründungen wie Vom Kunden eingeleitete Supportanfrage – Fallnummer: 12345678
Log-ID Eindeutige Log-ID
Im Auftrag von E‑Mail-Adressen der Nutzer, deren Berechtigungen für Access Management-Steuerelemente verwendet wurden
E‑Mail-Adresse des Eigentümers E‑Mail-ID oder Team-ID des Kunden, dem die Ressource gehört
Ressourcenname Name der Ressource, auf die zugegriffen wurde.
Tickets Gegebenenfalls Tickets, die mit der Begründung verknüpft sind

Anhand von Suchergebnissen Aktionen durchführen

Aktivitätsregeln erstellen und Benachrichtigungen einrichten

  • Mit Regeln zur Berichterstellung können Sie Benachrichtigungen anhand von Protokollereignisdaten einrichten. Eine Anleitung finden Sie unter Regeln für die Berichterstellung erstellen und verwalten.
  • Unterstützte Versionen für diese Funktion: Frontline Standard und Frontline Plus; Enterprise Standard und Enterprise Plus; Education Standard und Education Plus; Enterprise Essentials Plus; Cloud Identity Premiumversion. Versionen vergleichen

    Um Sicherheitsprobleme effizient zu verhindern, zu erkennen und zu beheben, können Sie Aktionen im Sicherheitsprüftool automatisieren und Benachrichtigungen einrichten. Dazu erstellen Sie Aktivitätsregeln. Sie richten Bedingungen für eine Regel ein und geben dann an, welche Aktionen ausgeführt werden sollen, wenn die Bedingungen erfüllt sind. Weitere Informationen finden Sie unter Aktivitätsregeln erstellen und verwalten.

Anhand von Suchergebnissen Aktionen durchführen

Unterstützte Versionen für diese Funktion: Frontline Standard und Frontline Plus; Enterprise Standard und Enterprise Plus; Education Standard und Education Plus; Enterprise Essentials Plus; Cloud Identity Premiumversion. Versionen vergleichen

Nachdem Sie im Sicherheitsprüftool eine Suche ausgeführt haben, können Sie anhand der Suchergebnisse entsprechende Maßnahmen ergreifen. Beispiel: Wenn Sie in den Gmail-Protokollereignissen suchen, können Sie anschließend mit dem Prüftool bestimmte Nachrichten löschen, unter Quarantäne stellen oder an die Posteingänge von Nutzern senden. Weitere Informationen finden Sie unter Auf Grundlage von Suchergebnissen Aktionen durchführen.

Informationen zu den Access Transparency-Protokolldaten

Beschreibungen der Protokollfelder

Name des Protokollfelds Name des Systemfelds Beschreibung
Datum items:id:time Zeit, zu der das Protokoll geschrieben wurde
Google Workspace-Produkt items:events:parameters:GSUITE_PRODUCT_NAME Produkt des Kunden, auf das zugegriffen wurde. Großschreibung erforderlich. Optionen:
  • GMAIL
  • KALENDER
  • DRIVE
  • SHEETS
  • PRÄSENTATIONEN
E‑Mail-Adresse des Eigentümers items:events:parameters:OWNER_EMAIL E‑Mail-ID oder Team-ID des Kunden, dem die Ressource gehört
Hauptsitz des Mitarbeiters items:events:parameters:ACTOR_HOME_OFFICE

ISO 3166‑1 Alpha‑2-Ländercode für das Land, in dem die zugreifende Person einen permanenten Sitz hat:

  • „??“, wenn der Standort nicht verfügbar ist
  • Dreistellige Kontinent-ID (ASI, EUR, OCE, AFR, NAM, SAM, ANT), falls der Google-Mitarbeiter sich in einem Land mit wenig Einwohnern befindet
Begründungen

items:events:parameters:JUSTIFICATIONS

Zugriffsbegründungen wie Vom Kunden eingeleitete Supportanfrage – Fallnummer: 12345678
Tickets tickets Gegebenenfalls Tickets, die mit der Begründung verknüpft sind
Log-ID items:events:parameters:LOG_ID Eindeutige Log-ID
Ressourcenname items:events:parameters:RESOURCE_NAME Name der Ressource, auf die zugegriffen wurde. Mithilfe der Ressourcennamen können Sie im Sicherheitsprüftool Sicherheits- und Datenschutzprobleme in Ihrer Domain identifizieren, eingehender untersuchen und die geeigneten Maßnahmen ergreifen.
Im Auftrag von items:events:parameters:ON_BEHALF_OF Der Nutzer, in dessen Auftrag der Zugriff erfolgte. Es könnte beispielsweise sein, dass nicht der Eigentümer des Dokuments Support angefordert hat, sondern der Nutzer, für den das Dokument freigegeben wurde. Im Auftrag von bietet zusätzliche Informationen zum Kontext eines Zugriffs.
Access Management-Richtlinie items:events:parameters:
ACCESS_MANAGEMENT_POLICY		 Die Access Management-Richtlinie, die vor dem Zugriff validiert wurde. Gilt nur für Kunden, für die Access Management konfiguriert ist.

Beschreibungen der Begründungen

Begründung Beschreibung
Vom Kunden eingeleitete Supportanfrage Vom Kunden eingeleitete Supportanfrage, z. B. eine Fallnummer
Extern eingeleitete Prüfungen auf Missbrauch Extern eingeleitete Prüfungen auf Missbrauch werden durch Inhalte ausgelöst, die Google zur Überprüfung gemeldet werden.
  • Nutzer können Inhalte als Missbrauch der Google-Nutzungsbedingungen melden.
  • Als Super Admin können Sie mit dem Sicherheitsprüftool Details zu Dokumenten einsehen. Dazu gehören der Titel des Dokuments, der Eigentümer, der Dokumenttyp und die Protokollereignisse der letzten 180 Tage:
  1. Führen Sie im Prüftool eine Suche mithilfe der Datenquelle Drive-Protokollereignisse aus.
  2. Klicken Sie unter Bedingungen auf Dokument-ID.
  3. Kopieren Sie die ID der Ressource aus dem Access Transparency-Protokoll und fügen Sie sie im Prüftool in das Feld Dokument-ID ein.
  4. Klicken Sie auf Suchen.

Weitere Informationen und Anleitungen finden Sie im Hilfeartikel Eine Suche im Sicherheitsprüftool ausführen.

Weitere Informationen zum Melden von Missbrauch
Google-Antwort auf Produktionswarnung Von Google initiierter Zugriff zur Aufrechterhaltung der Systemzuverlässigkeit bei einem möglichen Ausfall, z. B.:
  • Prüfung zur Bestätigung, dass ein Kunde nicht von einem möglichen Dienstausfall betroffen ist
  • Sicherung und Wiederherstellung nach Ausfällen und Systemfehlern
Von Google initiierte Prüfung Von Google eingeleitete Zugriffe im Zusammenhang mit Sicherheitsaspekten, Betrugs- und Missbrauchsfällen oder zu Compliance-Zwecken, z. B. zur:
  • Gewährleistung der Sicherheit von Kundenkonten und -daten
  • Überprüfung, ob Daten von einem Ereignis betroffen sind, das sich auf die Kontosicherheit auswirken könnte, z. B. Malwarebefall
  • Bestätigung, dass der Kunde Google-Dienste gemäß den Google-Nutzungsbedingungen verwendet
  • Prüfung von Beschwerden anderer Nutzer und Kunden oder anderer Hinweise auf missbräuchliche Aktivitäten
  • Überprüfung, ob Google-Dienste in Übereinstimmung mit relevanten Compliance-Regelungen, z. B. Anti-Geldwäsche-Bestimmungen, verwendet werden

Von Google initiierter Zugriff

Von Google initiierter Zugriff zur laufenden Wartung und Bereitstellung von Google Cloud-Diensten, z. B.:

  • Technische Fehlerbehebung für eine komplexe Supportanfrage oder Prüfung
  • Behebung technischer Probleme wie isolierter Speicherfehler oder Datenschäden
Datenanfrage durch Drittanbieter Google greift auf Kundendaten zu, um auf rechtliche oder gerichtliche Ersuchen zu reagieren. Dies schließt Reaktionen auf vom Kunden ausgehende gerichtliche Verfahren ein, bei denen unser Zugriff auf dessen Daten erforderlich ist.

In solchen Fällen sind Access Transparency-Protokolle möglicherweise nicht verfügbar, wenn Google Sie aus rechtlichen Gründen nicht über ein derartiges Ersuchen oder Verfahren informieren darf.

Warnung für Access Transparency einrichten

Sie können eine E-Mail-Warnung für einen oder mehrere Protokollfilter einrichten, z. B. „E-Mail-Adresse des Eigentümers“ und „Hauptsitz des Mitarbeiters“. Außerdem haben Sie die Möglichkeit, eine Warnung für alle Protokolle in allen Produkten zu aktivieren, die Access Transparency unterstützen.

  1. Gehen Sie in der Admin-Konsole zum Menü  und dann Sicherheit und dann Sicherheitscenter und dann Prüftool.

    Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.

  2. Wählen Sie in der Drop‑down-Liste Datenquelle die Option Access Transparency-Protokollereignisse aus.
  3. Klicken Sie auf + Filter hinzufügen.
  4. Wählen Sie einen oder mehrere Filter aus und klicken Sie auf Anwenden.
  5. Optional: Wenn Sie eine Warnung für alle Protokolle in allen unterstützten Produkten aktivieren möchten, klicken Sie auf Ereignisname und dann Zugriff. Dadurch wird der Filter Ereignisname: Zugriff erstellt.
  6. Klicken Sie auf Regel für die Berichterstellung erstellen , geben Sie einen Namen für die Regel und dann die E‑Mail-Adressen weiterer Empfänger ein.
  7. Klicken Sie auf Erstellen.

Daten des Access Transparency-Protokolls in Tools von Drittanbietern einbinden

Mit der Reports API können Sie Access Transparency-Protokolle in Ihre Tools für das Security Information and Event Management (SIEM) einbinden. Weitere Informationen finden Sie unter Access Transparency Activity Events.

Wann und wie lange sind Daten verfügbar?

Informationen zu Datenaufbewahrung und Zeitverzögerungen