Clientseitige Verschlüsselung mithilfe von Datenschutzregeln anwenden (Beta)

Unterstützte Versionen für diese Funktion: Enterprise Plus; Education Standard und Education Plus. Versionen vergleichen

Hierfür ist das Assured Controls- oder Assured Controls Plus-Add-on erforderlich.

Als Administrator können Sie Datenschutzregeln verwenden, um die clientseitige Verschlüsselung (CSE) von Google Workspace automatisch auf vertrauliche Dateien anzuwenden, die in Google Drive gespeichert sind. Wenn Dateien die Bedingungen einer Datenschutzregel erfüllen, werden sie von der clientseitigen Verschlüsselung von Workspace verschlüsselt. Nur Nutzer mit Schlüsseln aus Ihrem Key Access Control List Service (KACLS) können die Inhalte entschlüsseln und ansehen.

Unterstützte Dateien und Speicherorte

Sie können Datenschutzregeln, die die clientseitige Verschlüsselung von Workspace anwenden, mit den folgenden Speicherorten und Dateitypen verwenden:

  • Speicherorte: „Meine Ablage“ und geteilte Ablagen.
    Bei geteilten Ablagen werden Dateien anhand der Organisationseinheit oder Gruppe ausgewertet, die der geteilten Ablage zugewiesen ist, unabhängig davon, welcher Nutzer die Datei erstellt oder hochgeladen hat.
  • Dateiformate: Google Docs, Google Sheets und Google Präsentationen sowie Microsoft Office-Dateien wie DOCX, XLSX und PPTX. Eine vollständige Liste der unterstützten Dateitypen finden Sie unter Was wird in Drive gescannt?.

Auswirkungen auf Dateien und Funktionen

Bevor Sie eine Datenschutzregel aktivieren, die für die clientseitige Verschlüsselung in Workspace gilt, sollten Sie sich darüber informieren, wie sich die automatische Verschlüsselung auf Dateien und Nutzer in Ihrer Organisation auswirkt:

  • Nicht unterstützte Funktionen und exportierte Datenexport-Dateien: Wenn eine Datei einer Regel entspricht und konvertiert wird, gilt Folgendes:
    • Funktionen, die serverseitigen Zugriff erfordern, z. B. containergebundene Google Apps Script-Automatisierungen und verknüpfte Google Formulare, werden nicht mehr ausgeführt und dauerhaft aus der primären Datei entfernt.
    • Bei Google Docs, Google Sheets und Google Präsentationen wird die neueste Version aufbewahrt und verschlüsselt. Vorherige unverschlüsselte Versionen werden gelöscht.
    • Kommentare in Dateien von Drittanbietern, z. B. in Microsoft Office-Dateien, werden dauerhaft aus der primären Datei entfernt. Kommentare in Google Docs, Google Sheets und Google Präsentationen werden aufbewahrt.
    • Google exportiert entfernte Inhalte in verschlüsselte Datenexportdateien. Diese Dateien befinden sich in einem Ordner mit Zeitstempel am selben Speicherort wie die verschlüsselte Datei.
  • Schlüsselverpackung und Löschen unverschlüsselter Daten: Wenn eine Datei für die Verschlüsselung markiert wird, generiert Drive einen Datenverschlüsselungsschlüssel (Data Encryption Key, DEK), um den Dateiinhalt zu verschlüsseln. Drive sendet den DEK dann über den automatisierten Endpunkt „systemwrap“ zur Schlüsselverpackung an Ihren KACLS. Google protokolliert oder speichert den entpackten DEK nie. Die ursprünglichen unverschlüsselten Dateidaten werden gemäß dem Zeitplan für die Datenaufbewahrung in Workspace gelöscht.
  • Nutzererfahrung bei verschlüsselten Dateien: Wenn Nutzer mit verschlüsselten Dateien arbeiten, gilt Folgendes:
    • Während eine Datei in Workspace CSE konvertiert wird, ist sie vorübergehend für die Bearbeitung gesperrt.
    • Wenn ein Nutzer eine verschlüsselte Datei in Google Docs, Google Sheets oder Google Präsentationen öffnet, wird die folgende Meldung angezeigt: „Ihr Administrator hat diese Datei zusätzlich verschlüsselt.“ Nutzer können auf einen Link in der Nachricht klicken, um die Sicherheitseinschränkungen zu prüfen.
    • Nutzer können sich eine Vorschau von nativen Dateien, Bildern und PDFs ansehen. Für alle anderen Dateitypen wird keine Vorschau unterstützt. Um darauf zuzugreifen, müssen Nutzer Herunterladen und entschlüsseln auswählen.

Hinweis

Ihre Organisation muss die folgenden Anforderungen erfüllen, bevor Sie eine Regel erstellen:

Datenschutzregel zum Verschlüsseln von Inhalten erstellen

Tipp: Wenn Sie vor dem Verschlüsseln von Inhalten prüfen möchten, wie viele Dateien von einer Regel betroffen sind, erstellen Sie zuerst eine reine Prüfregel, ohne eine Aktion auszuwählen. Prüfen Sie dann die übereinstimmenden Dateien in den Regelprotokollereignissen.

  1. Öffnen Sie in der Admin-Konsole das Menü  und dann Sicherheit und dann Zugriffs- und Datenkontrolle und dann Datenschutz.

    Hierfür benötigen Sie die Administratorberechtigungen "DLP-Regel ansehen" und "DLP-Regel verwalten".

  2. Klicken Sie auf Regeln verwalten und dann Regel hinzufügen und dann Neue Regel.
  3. Im Abschnitt Name und Apps:
    1. Geben Sie einen Namen und optional eine Beschreibung für die Regel ein.
    2. Setzen Sie unter Apps ein Häkchen bei Google Drive.
    3. Klicken Sie auf Weiter.
  4. Im Abschnitt Aktionen:
    1. Wählen Sie für Google Drive die Option Clientseitige Verschlüsselung anwenden aus.
    2. Lesen Sie die Nachricht zu den möglichen Auswirkungen.
    3. Optional: Wenn Sie Benachrichtigungen senden möchten, wenn die Regel ausgelöst wird, wählen Sie im Bereich Benachrichtigung eine Wichtigkeitsstufe aus, setzen Sie ein Häkchen bei Benachrichtigungszentrale und geben Sie E‑Mail-Empfänger ein.
    4. Klicken Sie auf Weiter.
    5. Lesen Sie im Feld Auswirkungen auf Daten bestätigen die Offenlegung und klicken Sie auf Ich verstehe.
  5. Im Abschnitt Umfang und Bedingungen:
    1. Behalten Sie unter Geltungsbereich die Option Alle in Ihrer Organisation bei oder wählen Sie Organisationseinheiten und/oder Gruppen aus, um die Regel auf bestimmte Organisationseinheiten oder Konfigurationsgruppen anzuwenden, für die Assured Controls-Lizenzen und die clientseitige Verschlüsselung von Workspace aktiviert sind.
    2. Klicken Sie unter Inhaltsbedingungen auf Bedingung hinzufügen und wählen Sie die Bedingungen aus, die die Verschlüsselung auslösen, z. B. Alle Inhalte, Titel oder Drive-Labels. Sie können Inhalte mithilfe vordefinierter Detektoren, Wortlisten oder regulärer Ausdrücke abgleichen. Weitere Informationen finden Sie im Hilfeartikel DLP-Regeln und benutzerdefinierte Inhaltsdetektoren für Google Drive erstellen.
    3. Klicken Sie auf Weiter.
  6. Im Abschnitt Überprüfen:
    1. Wählen Sie unter Regelstatus eine Option aus:
      • Wählen Sie Aktiv aus, um die Regel sofort zu erzwingen.
      • Wenn Sie die Regel speichern möchten, um sie später auszuführen, wählen Sie Inaktiv aus.
    2. Klicken Sie auf Erstellen.

Die Zeitspanne für das Scannen der Dateien ist von verschiedenen Faktoren abhängig, z. B. von der Zahl der Dateien. Der Vorgang kann einige Stunden, einen Tag oder auch länger dauern. Weitere Informationen finden Sie im Hilfeartikel Wie funktioniert DLP für Google Drive?.

Regelausführung im Sicherheitsprüftool untersuchen

So überwachen Sie automatisierte Verschlüsselungsaktionen:

  1. Öffnen Sie in der Admin-Konsole im Menü  und dann  Sicherheit und dann Sicherheitscenter und dann Prüftool.

    Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.

  2. Wählen Sie unter Datenquelle die Option Ereignisse im Regelprotokoll aus.
  3. Klicken Sie auf Bedingung hinzufügen, wählen Sie Regelname aus und wählen Sie die von Ihnen erstellte Regel aus.
  4. Klicken Sie auf Suchen und sehen Sie sich die Ergebnisse an:
    • Inhalt stimmt überein: Eine Datei erfüllt die Bedingung.
    • Verschlüsselungsänderung angewendet: Zeigt Erfolgreich an, wenn die Datei verschlüsselt ist.
  5. Optional: Wenn Sie den Audit-Verlauf einer Datei aufrufen möchten, ändern Sie die Datenquelle in Drive-Protokollereignisse, suchen Sie nach der Datei und suchen Sie nach dem Ereignis Verschlüsseln mit dem Akteur DLP-Regel.

KACLS-Fehler in der Benachrichtigungszentrale beheben

Wenn Google Workspace keine Verbindung zu Ihrem KACLS herstellen kann, bleibt die Datei unverschlüsselt und Sie erhalten eine Benachrichtigung in der Benachrichtigungszentrale:

  1. Öffnen Sie in der Admin-Konsole im Menü  und dann  Sicherheit und dann Benachrichtigungszentrale.

    Hierfür ist die Administratorberechtigung für die Benachrichtigungszentrale erforderlich.

  2. Klicken Sie auf Filter hinzufügen und dann Benachrichtigungstyp.
  3. Setzen Sie ein Häkchen neben Clientseitiger Verschlüsselungsdienst ist nicht verfügbar und dann klicken Sie auf Übernehmen.
  4. Klicken Sie auf eine Benachrichtigung, um die Details aufzurufen:
    • Endpunkt: Zeigt die aufgerufene KACLS-URL an, z. B. https://kacls.example.com/systemwrap.
    • HTTP-Statuscode: Zeigt den von Ihrem KACLS zurückgegebenen HTTP-Antwortcode an, z. B. 401, 403 oder 500.

Dateien nach der Fehlerbehebung noch einmal scannen

Wenn eine Regel Inhalte aufgrund von Netzwerkproblemen, KACLS-Ausfällen oder Authentifizierungsfehlern nicht verschlüsseln kann, beheben Sie das Problem und scannen Sie die Dateien noch einmal. Ein erneuter Scan kann je nach verschiedenen Faktoren, einschließlich der Anzahl der Dateien, einige Stunden, einen Tag oder länger dauern.

  1. Öffnen Sie in der Admin-Konsole das Menü  und dann Sicherheit und dann Zugriffs- und Datenkontrolle und dann Datenschutz.

    Hierfür benötigen Sie die Administratorberechtigungen "DLP-Regel ansehen" und "DLP-Regel verwalten".

  2. Klicken Sie auf Regeln verwalten und dann auf die Regel.
  3. Klicken Sie auf Clientseitige Verschlüsselung noch einmal scannen.
  4. Klicken Sie im Bestätigungsfeld auf Erneuten Scan starten.
  5. Prüfen Sie nach Abschluss des Scans mit einer der folgenden Methoden, ob die Dateien verschlüsselt wurden:
    • Klicken Sie auf der Detailseite der Regel auf Untersuchen.
    • Wählen Sie im Sicherheitsprüftool Ereignisse im Regelprotokoll als Datenquelle aus und suchen Sie nach Ihrer Regel.
  6. Prüfen Sie, ob für das Ereignis Encryption change applied (Verschlüsselungsänderung angewendet) der Ereignisstatus Succeeded (Erfolgreich) angezeigt wird.