Unterstützte Versionen für diese Funktion: Frontline Standard und Frontline Plus; Enterprise Standard und Enterprise Plus; Education Fundamentals, Education Standard und Education Plus; Enterprise Essentials Plus. Versionen vergleichen
Mit Funktionen zum Schutz vor Datenverlust (DLP-Regeln) für Google Drive können Sie Datenschutzregeln erstellen, um Datenverluste zu verhindern und die Freigabe sensibler Daten in Drive-Dateien zu steuern.
Wie funktioniert DLP für Drive?
- Sie erstellen Datenschutzregeln, um die sensiblen Inhalte in Ihren Drive-Dateien zu schützen. Dazu gehören auch die Maßnahmen, die bei einem Verstoß gegen eine Regel ergriffen werden sollen. DLP versucht, alle infrage kommenden Dateien zu scannen, wenn eine Regel hinzugefügt oder geändert wird.
- Datenschutzregeln gelten sowohl für „Meine Ablage“ als auch für geteilte Ablagen. Für Dateien in „Meine Ablage“ gilt die DLP-Richtlinie für den Dateieigentümer. Für Dateien in einer geteilten Ablage gilt die geteilte Ablage als Dateieigentümer und die für die geteilte Ablage geltende DLP-Richtlinie ist gültig.
- Die Zeitspanne für das Scannen der Dateien ist von verschiedenen Faktoren abhängig, z. B. von der Zahl der Dateien. Der Vorgang kann einige Stunden, einen Tag oder auch länger dauern.
- Wenn Sie eine Regel hinzufügen oder ändern oder einen in einer Regel verwendeten benutzerdefinierten Inhaltsdetektor ändern, scannt DLP die neueste Version der zuvor hochgeladenen Dateien.
- Sie können Datenschutzregeln speziell für Google Drive oder für Google Drive und andere Google-Apps wie Google Chat oder Gmail erstellen.
- Um sicherzustellen, dass vertrauliche Inhalte erkannt werden, erfolgt bei manchen Dokumenten mehr als ein Scan. Daher kann die Zahl der Dateien, die von einer Regeländerung betroffen sind, bei mehreren Scans unterschiedlich hoch sein.
Was wird geprüft?
- Google Sheets, Google Docs und Google Präsentationen
- Google Formulare, einschließlich Dateien, die als Antwort auf Fragen zum Dateiupload eingereicht wurden, und Formularinhalte (Fragen und Optionen)
- Google Vids
- Dokumentdateitypen: DOC, DOCX, HTM, HTML, ODS, ODT, PDF, PPS, PPT, PPTX, README, RTF, TAB, TSV, TXT, WPD, XLS, XLSM, XLSX, XML, XPS
Bilddateitypen: ARW, AI, CR2, EPS, GIF, JPE, JPEG, JPG, HEIC, HEIF, PNG, PS, SVG, SVGZ, TIF, TIFF, WebP
Hinweis:Wenn die optische Zeichenerkennung (OCR) aktiviert ist, werden auch Bilder in PDF-Dateien gescannt. OCR funktioniert nach dem Best-Effort-Prinzip und kann Bilder übersehen.
Komprimierte Dateitypen: 7Z, GTAR, RAR, TAR, TGZ, ZIP
Quellcodedateitypen: .c, .c++, .cc, .cpp, .cs, .cxx, .d, .h, .h++, .hh, .hpp, .hs, .hxx, .java, .js, .lhs, .mjs, .pas, .php, .pht, .pl, .pm, .py, .sh, .sql, .tcl
Weitere Dateitypen: .323, .asc, .bib, .boo, .cfg, .cls, .conf, .csh, .css, .csv, .diff, .dot, .dxf, .eml, .etx, .gcd, .har, .htc, .hwp, .ics, .icz, .jad, .json, .kml, .kmz, .log, .ltx, .m, .markdown, .md, .mdown, .mht, .mhtml, .mkd, .mkdn, .mml, .moc, .mrw, .msg, .nrw, .odp, .orf, .p, .patch, .pef, .phtml, .pot, .raf, .rtx, .rw2, .sct, .sdc, .sdd, .sdw, .shar, .shtml, .strings, .sty, .sxc, .sxi, .sxw, .taz, .tex, .text, .tk, .tm, .ts, .uls, .url, .vcf, .vcs, .wml, .wmls, .wsc, .xht, .xhtml, .xlb, .xlt, .xltm, .xsl
Dateimetadaten wie Dateinamen, Vorschläge und Labels.
Weitere Informationen zu Inhaltslimits finden Sie im Hilfeartikel Inhaltslimits für DLP in Google Drive.
Was wird nicht gescannt?
- Kommentare in Google Docs, Google Sheets, Google Präsentationen und Google Zeichnungen
- Websitecontent
- Formularantworten (außer Dateiuploads)
- Inhalte passwortgeschützter Dateien
- Video- und Audiodateitypen
Scans mit automatisierten Tools und API-Limits
Datenschutzregeln und Anfragelimits gelten, wenn Drittanbieter-Apps und automatisierte Skripts Details zu Google Drive-Dateien prüfen, bevor Sie Daten herunterladen oder übertragen.
Eine Verbindung kann fehlschlagen, wenn ein Tool oder Script eine große Anzahl gleichzeitiger Dateiprüfungen (Preflight-Prüfungen) ausführt, um Dateimetadaten zu prüfen. Wenn eine Datei gegen eine aktive Datenschutzregel verstößt, die für Ihre DLP-Richtlinie konfiguriert ist, blockiert das System außerdem automatisch den Download oder die Übertragung.
Informationen zu Triggern
Bevor Sie festlegen können, nach welchen Inhalten mit Ihrer Regel gesucht werden soll, müssen Sie den Trigger bestimmen, der den DLP-Scanvorgang auslöst. Der Trigger für Google Drive ist Drive-Dateien. Durch das Ändern der Datei wird die Datenschutzregel aktiviert.
DLP-Aktionen
Wenn sensible Inhalte gefunden werden, wird mit Ihrer Regel eine Aktion erzwungen. Sie können aus den in der folgenden Tabelle aufgeführten Aktionen auswählen.
Wenn Sie ähnliche Regeln mit unterschiedlichen auszulösenden Aktionen haben, hat die strengere Aktion Vorrang. Wenn beispielsweise eine Regel Nutzer warnt, wenn eine Sozialversicherungsnummer gefunden wird, und eine andere Regel die Verwendung von Sozialversicherungsnummern durch Nutzer blockiert, wird die Aktion blockiert und der Nutzer kann die Datei nicht freigeben.
| Aktion | Beschreibung |
|---|---|
| Externe Freigabe blockieren |
Verhindert, dass ein Dokument freigegeben wird. Das Ereignis wird protokolliert. Wenn Sie eine Regel haben, die die externe Freigabe blockiert, können Nutzer außerhalb Ihrer Organisation den Versionsverlauf von Dateien, auf die jemals eine Regel angewendet wurde, nicht aufrufen. Diese Bestimmung umfasst Regeln, die Labels anwenden, aber die externe Freigabe nicht blockieren. |
| Auf externe Freigabe hinweisen |
Wenn ein Nutzer versucht, eine Datei freizugeben, wird er darauf hingewiesen, dass sie sensible Inhalte enthält. Der Nutzer kann die Freigabe abbrechen oder auf „Trotzdem freigeben“ klicken. Die Entscheidung des Nutzers wird protokolliert. Wenn Sie für diese Aktion Benachrichtigungen aktivieren, werden sie ausgelöst, sobald sensible Inhalte erkannt werden. Dies ist unabhängig davon, ob die Datei zu diesem Zeitpunkt freigegeben wurde. Die Erkennung erfolgt in der Regel, nachdem eine Datei erstellt oder aktualisiert wurde oder sich die auf die Datei angewendeten Regeln geändert haben. Das kann auch passieren, wenn durch ein Systemupdate die Erkennung verbessert wird. Erkennungsereignisse werden in den Regelprotokollereignissen aufgezeichnet. |
| Herunterladen, Drucken und Kopieren deaktivieren |
Verhindert, dass Nutzer Dateien herunterladen, drucken und kopieren. Weitere Informationen finden Sie im Hilfeartikel Verhindern, dass Nutzer Dateien herunterladen, drucken oder kopieren. Sie können diese Aktion mit Bedingungen für den kontextsensitiven Zugriff kombinieren. |
| Klassifizierungslabels anwenden |
Wendet ein vorhandenes Klassifizierungslabel auf entsprechende Dateien an. Eine Datenschutzregel kann nicht gleichzeitig ein Klassifizierungslabel als Bedingung und als Aktion haben. Weitere Informationen finden Sie im Hilfeartikel Klassifizierungslabels automatisch mit DLP-Regeln auf Drive-Dateien anwenden. |
| Nur Prüfung |
Nutzer können ohne Unterbrechung fortfahren. Das Ereignis wird protokolliert. |
DLP-Bedingungen
Sie können eine Datenschutzregel ohne Bedingungen erstellen. In diesem Fall gilt die Regel für alle freigegebenen oder geänderten Drive-Dateien.
Alternativ können Sie in der Datenschutzregel Bedingungen angeben, die definieren, nach welchen Inhalten oder Aktivitäten gescannt werden soll. Sie können dabei vordefinierte Datentypen verwenden oder benutzerdefinierte Tools zur Inhaltserkennung erstellen. Sie können auch mehrere Bedingungen mit den Operatoren UND, ODER oder NICHT kombinieren.
Weitere Informationen finden Sie unter Anleitung zur Verwendung vordefinierter Erkennung von Inhalten, Benutzerdefinierte Detektoren erstellen und Datenschutzregeln mit verschachtelten Bedingungsoperatoren.
| Zu scannender Inhaltstyp | Wonach soll gesucht werden? | Details und Nutzung |
|---|---|---|
| Alle Inhalte |
Stimmt mit vordefiniertem Datentyp überein Enthält Textstring Übereinstimmung mit regulärem Ausdruck Stimmt mit Wörtern aus der Wortliste überein |
Der gesamte Inhalt wird gescannt, einschließlich Titel, Text und Änderungsvorschläge. Wenn vertrauliche Informationen gefunden werden, die mit einem der folgenden Parameter übereinstimmen, werden Maßnahmen getroffen:
|
| Text |
Stimmt mit vordefiniertem Datentyp überein Enthält Textstring Übereinstimmung mit regulärem Ausdruck Stimmt mit Wörtern aus der Wortliste überein |
Der Textkörper der Datei wird auf sensible Informationen gescannt. |
| Klassifizierungslabel |
Ist |
Gibt an, ob ein Klassifizierungslabel auf die Datei angewendet wurde. Eine Datenschutzregel kann nicht gleichzeitig ein Klassifizierungslabel als Bedingung und als Aktion haben. Weitere Informationen finden Sie im Hilfeartikel Klassifizierungslabels automatisch mit DLP-Regeln auf Drive-Dateien anwenden. |
| Status der Dateiverschlüsselung |
Nicht clientseitig verschlüsselt Clientseitig verschlüsselt ist |
Gibt an, ob die Datei verschlüsselt ist. Weitere Informationen finden Sie im Hilfeartikel Daten Ihrer Organisation mit clientseitiger Verschlüsselung schützen. |
| Änderungsvorschläge |
Stimmt mit vordefiniertem Datentyp überein Enthält Textstring Enthält Wort Übereinstimmung mit regulärem Ausdruck Stimmt mit Wörtern aus der Wortliste überein |
Inhalte, die der Datei im Modus Vorschlagen hinzugefügt wurden, werden gescannt. |
| Titel |
Stimmt mit vordefiniertem Datentyp überein Enthält Textstring Enthält Wort Endet mit Beginnt mit Übereinstimmung mit regulärem Ausdruck Stimmt mit Wörtern aus der Wortliste überein |
Sucht in Dateititeln nach sensiblen Informationen. |
Regel erstellen
Nachdem Sie festgelegt haben, was die Regel bewirken soll, können Sie diese erstellen. Weitere Informationen finden Sie unter Datenschutzregeln erstellen.
Gängige Anwendungsfälle
In der folgenden Tabelle finden Sie Beispiele dafür, wie Sie einen Trigger (was der Nutzer tut), Bedingungen (was geprüft wird) und eine bestimmte Aktion (die Erzwingung) kombinieren, um eine DLP‑Richtlinie zu definieren. So verwenden Sie diese Tabelle:
- Wählen Sie einen Trigger aus.
- Ordnen Sie die Bedingungswerte den entsprechenden Optionen zu.
- Wählen Sie eine Aktion aus.
| Anwendungsfall | Auslöser | Bedingung | Aktion |
|---|---|---|---|
| Freigabe von Dateien blockieren, wenn Inhalte Sozialversicherungsnummern enthalten | Google Drive |
Inhaltstyp:Alle Inhalte Übereinstimmung: Stimmt mit vordefiniertem Datentyp überein Datentyp: USA – Sozialversicherungsnummer Schwellenwert für die Wahrscheinlichkeit: Hoch Mindestanzahl eindeutiger Übereinstimmungen: 1 Mindestanzahl der Übereinstimmungen: 1 |
Externe Freigabe blockieren |
| Externe Freigabe in Google Drive und Anhänge in Chat-Nachrichten blockieren, die eine Reisepassnummer enthalten | Google Drive AND Google Chat |
Inhaltstyp:Alle Inhalte Übereinstimmung: Stimmt mit vordefiniertem Datentyp überein Datentyp: Global – Passnummer Schwellenwert für die Wahrscheinlichkeit: Hoch Mindestanzahl eindeutiger Übereinstimmungen: 1 Mindestanzahl der Übereinstimmungen: 1 |
Google Drive: Externe Freigabe blockieren Google Chat: Nachricht blockieren |
| Nutzer warnen, wenn sie eine Datei freigeben, deren Titel den Projektnamen oder das entsprechende Akronym enthält | Google Drive Drive-Dateien |
Bedingung 1: Abgleich: Enthält Textstring Wert: SpiderWeb
Bedingung 2: Abgleich: Enthält Textstring Wert: SpdW |
Auf externe Freigabe hinweisen |
Benachrichtigungen prüfen, im Blick behalten und untersuchen
- Vorfälle imSicherheitsdashboard ansehen
- Details zu Vorfällen finden Sie unter Ereignisse im Regelprotokoll.
- Prüfen Sie Benachrichtigungen zu Vorfällen bei der Datenweitergabe mit dem Sicherheitsprüftool. Weitere Informationen finden Sie im Hilfeartikel Das Sicherheitsprüftool.
- Prüfen Sie bei Verstößen gegen Datenschutzregeln, ob es sich um tatsächliche Vorfälle oder falsch-positive Ergebnisse handelt. Weitere Informationen finden Sie unter Inhalte ansehen, die Datenschutzregeln auslösen.