Clientseitige Verschlüsselung – Übersicht

Unterstützte Versionen für diese Funktion: Frontline Plus; Enterprise Plus; Education Standard und Education Plus. Versionen vergleichen

Nachdem Sie die clientseitige Verschlüsselung (Client-Side Encryption, CSE) von Google Workspace für Ihre Organisation eingerichtet haben, können Nutzer, für die Sie die CSE aktivieren, Inhalte in den folgenden Diensten verschlüsseln. Wenn Nutzer die clientseitige Verschlüsselung in einem Google-Dienst wie Drive oder Gmail aktivieren, können sie diesen Dienst wie gewohnt verwenden. Einige Funktionen sind jedoch nicht verfügbar.

Google Drive

Nutzer können in den Google Docs-Editoren clientseitig verschlüsselte Dateien erstellen (z. B. Dokumente oder Tabellen) sowie Dateien verschlüsseln, die sie in Google Drive hochladen, z. B. PDFs. Nur Nutzer, für die eine verschlüsselte Datei freigegeben wurde, können sie aufrufen.

Wie Nutzer verschlüsselte Dateien erstellen und hochladen können

In Drive oder einem Docs-Editor können Nutzer die Option zum Erstellen eines neuen verschlüsselten Dokuments, einer neuen verschlüsselten Tabelle oder einer neuen verschlüsselten Präsentation auswählen. In Drive können sie auch die Option zum Verschlüsseln und Hochladen einer Datei auswählen.

Drive for Desktop

In Drive for Desktop werden synchronisierte verschlüsselte Dateien unter Windows als Verknüpfungen und auf dem Mac als symbolische Links angezeigt. Wenn ein Nutzer auf eine Verknüpfung oder einen Link zu einer verschlüsselten Datei aus Google Docs, Google Sheets oder Google Präsentationen klickt, wird ein neues Browserfenster geöffnet.

Außerdem haben Nutzer folgende Möglichkeiten:

  • Lokale Dateien oder Ordner verschlüsseln und hochladen
  • Bestimmte Typen von verschlüsselten Dateien lesen und bearbeiten, z. B. PDF- und Microsoft Office-Dateien

Wichtig:Wenn ein Nutzer eine CSE-Datei in einen lokalen Ordner, der mit Google Drive synchronisiert wird, herunterlädt und entschlüsselt, wird die Datei in Drive als Klartext gespeichert.

Drive unter Android und iOS

Nutzer haben die Möglichkeit, mit ihrem Mobilgerät clientseitig verschlüsselte Dateien in Google Drive in der Vorschau aufzurufen oder herunterzuladen, darunter Microsoft Office- (nur iOS) und PDF-Dateien. Google Docs, Google Sheets und Google Präsentationen werden noch nicht unterstützt.

Hinweis:Damit Nutzer clientseitig verschlüsselte Dateien, auch in der Vorschau ansehen können, benötigen sie einen kompatiblen Leser auf ihrem Gerät.

Schutz vor Bildschirmaufzeichnung und Screenshots (nur iOS)

Damit sensible Daten nicht von Drittanbietertools oder KI-Modellen (wie Gemini) erfasst werden, bietet der Drive-Viewer unter iOS die folgenden Schutzmaßnahmen für entschlüsselte CSE-Inhalte:

  • Visuelle Maskierung: Inhalte werden automatisch ausgeblendet, wenn der Bildschirm aufgezeichnet wird oder die App in den Hintergrund verschoben wird.
  • Automatisches Pausieren von Medien: Die Wiedergabe verschlüsselter Video- oder Audioinhalte wird während der Bildschirmaufnahme oder im Hintergrund pausiert und erst fortgesetzt, wenn die Aktivität beendet wird.
  • Eingeschränkte Wiedergabe: Die Bild-im-Bild-Videowiedergabe ist für alle CSE-Inhalte deaktiviert.

Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Google Drive

Einige Drive-Funktionen sind für clientseitig verschlüsselte Dateien nicht verfügbar. Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Google Drive finden Sie unter folgenden Links:

Gmail

Nutzer können clientseitig verschlüsselte E‑Mail-Nachrichten innerhalb und außerhalb Ihrer Organisation senden und empfangen. Die Nutzung hängt davon ab, ob sie die S/MIME-Verschlüsselung oder die Ende-zu-Ende-Verschlüsselung (E2EE) in Gmail verwenden. Sie können die E2E-Verschlüsselung für Gmail in der Admin-Konsole mit der Option Verschlüsselung mit Gastkonten aktivieren.

Wie Nutzer verschlüsselte E‑Mails senden können

So senden Sie eine clientseitig verschlüsselte E‑Mail innerhalb Ihrer Organisation:

Der Nutzer muss im Nachrichtenfenster die Option Zusätzliche Verschlüsselung aktivieren.

So senden Sie eine clientseitig verschlüsselte E‑Mail an Empfänger außerhalb Ihrer Organisation:

  • Wenn der Nutzer die E2EE-Funktion von Gmail verwendet hat, kann er die Nachricht ohne weitere Schritte an den Empfänger senden.
  • Wenn der Nutzer S/MIME verwendet hat, muss er eine Nachricht mit seiner digitalen Signatur an den Empfänger senden, ohne dass die clientseitige Verschlüsselung aktiviert ist. Der Empfänger muss dann mit seiner digitalen Signatur auf die Nachricht antworten. Der Nutzer kann die clientseitige Verschlüsselung für Nachrichten an den externen Empfänger aktivieren.

Wie Nutzer verschlüsselte E‑Mails lesen können

Wenn ein Nutzer eine clientseitig verschlüsselte Nachricht erhält, steht unter dem Namen des Absenders die Meldung „Verschlüsselte Nachricht“.

So lesen Sie eine Nachricht von einem Absender in Ihrer Organisation:

Der Empfänger kann die Nachricht ohne weitere Schritte lesen.

Hinweis:Wenn der Absender die E2EE-Funktion von Gmail verwendet hat und der Empfänger kein Google Workspace-Konto hat, das CSE unterstützt, kann der Empfänger keine verschlüsselte Antwort senden.

So lesen Sie eine Nachricht von einem Absender außerhalb Ihrer Organisation:

  • Wenn der Absender die E2EE-Funktion von Gmail verwendet hat, erhält der Empfänger eine Einladung zum Lesen einer verschlüsselten Gmail-Nachricht. Er muss ein Google-Gastkonto erstellen und sich möglicherweise bei seinem Identitätsanbieter (IdP) anmelden, um die Nachricht lesen zu können.
  • Wenn der Absender S/MIME verwendet, kann der Empfänger die Nachricht ohne zusätzliche Schritte lesen.

Funktionsweise des temporären Schlüssel-Cachings für E2E-verschlüsselte Gmail-Nachrichten

Damit E2E-verschlüsselte Gmail-Nachrichten schneller geladen und gespeichert werden können, werden die Verschlüsselungs- und Entschlüsselungsschlüssel in Gmail bis zu eine Stunde lang im Arbeitsspeicher gespeichert.

  • Kein nichtflüchtiger Speicher: Gmail schreibt oder speichert diese Schlüssel nicht im Gerätespeicher, in Dateien oder in lokalen Datenbanken. Schlüssel werden nach einer Stunde oder nach Beendigung der aktiven Sitzung automatisch gelöscht.

  • Auswirkungen auf die Protokolle des Key Access Control List Service (KACLS): Wenn ein Nutzer einen E2EE-Entwurf in Gmail während des Verfassens automatisch speichert oder dieselbe Nachricht innerhalb dieses einstündigen Zeitfensters noch einmal öffnet, verwendet Gmail den temporär gespeicherten Schlüssel und sendet keine neue Anfrage an den KACLS Ihrer Organisation. Nachfolgende Speichervorgänge und Aufrufe innerhalb des einstündigen Zeitfensters generieren keine zusätzlichen KACLS-Zugriffslogeinträge.

Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Gmail

Hinweis:

  • Einige Gmail-Funktionen sind für clientseitig verschlüsselte E‑Mails nicht verfügbar.
  • Die E-Mail-Delegierung (freigegebene Posteingänge) ist nicht mit der clientseitigen Verschlüsselung in Gmail verfügbar.
  • Die clientseitige Verschlüsselung in Gmail ist nicht für E‑Mail-Aliasse verfügbar.
  • Bei der clientseitigen Verschlüsselung werden einige Dateitypen blockiert, wenn sie an verschlüsselte E‑Mails angehängt werden.

Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Gmail finden Sie im Hilfeartikel Clientseitige Verschlüsselung in Gmail.

Google Kalender

Nutzer können Termine mit clientseitig verschlüsselten Beschreibungen erstellen. Wenn Sie für die Nutzer die clientseitige Verschlüsselung für Google Drive und Google Meet aktiviert haben, können diese clientseitig verschlüsselte Dokumente an den Termin anhängen und clientseitig verschlüsselte Onlinebesprechungen hinzufügen.

Hinweis:

  • Nutzer können nur reguläre Termine verschlüsseln. Andere Arten von Terminen wie Fokuszeit oder Zeitblöcke unterstützen die clientseitige Verschlüsselung nicht.
  • Wenn sich Nutzer clientseitig verschlüsselte Terminbeschreibungen ansehen möchten, müssen sie Google Kalender verwenden.

So können Nutzer verschlüsselte Termine erstellen und ansehen

Wenn Nutzer einen clientseitig verschlüsselten Termin erstellen möchten, müssen sie im Terminfenster die Option zum Aktivieren der Verschlüsselung auswählen. Sie werden möglicherweise aufgefordert, sich bei Ihrem Identitätsanbieter (Identity Provider, IdP) anzumelden.

Wenn sich Nutzer einen clientseitig verschlüsselten Termin ansehen möchten, müssen sie ihn nur in Google Kalender öffnen. Sie werden möglicherweise aufgefordert, sich bei Ihrem Identitätsanbieter (Identity Provider, IdP) anzumelden.

Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Google Kalender

Einige Kalenderfunktionen, die für Termine mit clientseitiger Verschlüsselung nicht verfügbar sind. Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Google Kalender finden Sie im Hilfeartikel Weitere Informationen zur clientseitigen Verschlüsselung in Google Kalender.

Google Meet

Nutzer können clientseitig verschlüsselte Videokonferenzen hosten, wenn sie die Videokonferenz in Google Kalender planen oder eine spontane (nicht geplante) Videokonferenz starten.

Wie Nutzer verschlüsselte Videokonferenzen planen und daran teilnehmen können

Wenn Nutzer eine clientseitig verschlüsselte Videokonferenz in Google Kalender planen möchten, müssen sie im Terminfenster die Option zum Aktivieren der Verschlüsselung auswählen. Sie werden möglicherweise aufgefordert, sich bei Ihrem Identitätsanbieter (Identity Provider, IdP) anzumelden.

Wenn Nutzer eine spontane clientseitig verschlüsselte Videokonferenz starten, müssen sie in den Sicherheitsoptionen die Option zum Hinzufügen der Verschlüsselung auswählen.

Wie Nutzer an verschlüsselten Videokonferenzen teilnehmen können

Aufgrund von Authentifizierungsanforderungen müssen alle Teilnehmer zu clientseitig verschlüsselten Videokonferenzen eingeladen werden. Wenn ein interner oder externer Nutzer an einer verschlüsselten Videokonferenz teilnehmen möchte, muss er den Termin in Google Kalender öffnen. Wenn sie aufgefordert werden, ihre Identität zu bestätigen, müssen sie sich bei ihrem Identitätsanbieter anmelden und ihre Anmeldedaten eingeben.

Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Meet

Einige Meet-Funktionen sind bei clientseitig verschlüsselten Videokonferenzen nicht verfügbar. Weitere Informationen zu den Funktionen und Einschränkungen der clientseitigen Verschlüsselung in Meet finden Sie im Hilfeartikel Weitere Informationen zur clientseitigen Verschlüsselung in Meet.