Speichern in der Cloud für Chrome-Downloads erzwingen

Unterstützte Versionen für diese Funktion: Chrome Enterprise Premium. Versionen vergleichen

Sie können Datenschutzregeln mit Chrome Enterprise Premium verwenden, um zu verhindern, dass Nutzer im Chrome-Browser heruntergeladene Dateien auf ihren lokalen Geräten speichern. Wenn eine Regel mit der Aktion „Cloud-Speicher erzwingen“ durch ein Ereignis „Datei heruntergeladen“ ausgelöst wird, verhindert der Chrome-Browser, dass die Datei im lokalen Speicher gespeichert wird. Stattdessen lädt die Secure Enterprise Browser-Erweiterung die Datei in den geschäftlichen Cloud-Speicher des Nutzers in Google Drive oder OneDrive hoch.

Mit dieser Aktion werden sensible Daten von nicht verwalteten lokalen Geräten ferngehalten, während Nutzer ihre Arbeit fortsetzen können. Wenn die Nutzervalidierung oder der Cloud-Upload fehlschlägt, bleibt der lokale Download blockiert.

Hinweis

Ihre Umgebung muss die folgenden Anforderungen erfüllen:

  • Chrome-Browserversion:
    • Google Drive-Ziel: Chrome-Browser ab Version 144
    • Microsoft OneDrive-Ziel: Chrome-Browser ab Version 146
  • Administratorberechtigungen: Ihr Konto muss die Berechtigungen Chrome-DLP-Regel ansehen und Chrome-DLP-Regel verwalten haben. Außerdem benötigen Sie Berechtigungen zum Verwalten von Organisationseinheiten, Gruppen sowie Chrome-Apps und -Erweiterungen.
  • Chrome Enterprise Connector-Richtlinien: Richten Sie Ihre Connector-Richtlinien ein, einschließlich der Inhaltsanalyse für Downloads. Eine Anleitung finden Sie im Hilfeartikel Chrome Enterprise Connector-Richtlinien für Chrome Enterprise Premium festlegen.
  • Zusätzliche Anforderungen für Microsoft OneDrive:
    • Richten Sie die Einmalanmeldung (SSO) und die Identitätssynchronisierung von Microsoft Entra ID mit Google Workspace oder Cloud Identity ein. Nutzer müssen sich mit ihrem Microsoft-Konto in ihrem Chrome-Profil anmelden. Eine Einrichtungsanleitung finden Sie in der Microsoft Entra-Dokumentation.
    • Aktivieren Sie in der Admin-Konsole die Einmalanmeldung (SSO) über einen externen Identitätsanbieter (IdP) für Ihre gesamte Organisation oder weisen Sie das SSO-Profil den Organisationseinheiten zu, die die Regel verwenden.
    • Weisen Sie jedem Nutzer, der Dateien in OneDrive speichert, eine Microsoft OneDrive-Lizenz zu.

Schritt 1: OneDrive-App in Microsoft Entra ID einrichten

Wenn Sie Google Drive für Ihre Organisation als Ziel verwenden, fahren Sie mit Schritt 2: Installation der Erweiterung erzwingen fort.

Wenn Sie OneDrive für Ihre Organisation verwenden, fügen Sie die App Chrome Enterprise Premium Force Save to OneDrive zu Ihrem Microsoft Entra ID-Mandanten hinzu. Erteilen Sie dann die Einwilligung des Administrators für die Anwendung:

  1. Öffnen Sie die Seite für die Administratoreinwilligung.

  2. Melden Sie sich mit einem Konto als Globaler Administrator oder Administrator mit privilegierten Rollen an.

  3. Prüfen Sie die angeforderten Berechtigungen:

    • User.Read: Ermöglicht der App, die Identität des Nutzers anhand seines Chrome-Profils zu überprüfen.
    • Files.ReadWrite: Ermöglicht der Erweiterung, Ordner zu erstellen und Dateien in das OneDrive des Nutzers hochzuladen.

  4. Klicken Sie auf Akzeptieren. Ihr Browser leitet Sie zur Google Admin-Konsole weiter.

  5. Rufen Sie im Microsoft Entra Admin Center Enterprise applications (Unternehmensanwendungen) auf und prüfen Sie, ob Chrome Enterprise Premium Force Save to OneDrive in der Liste enthalten ist.

Schritt 2: Installation der Erweiterung erzwingen

Damit Cloud-Uploads funktionieren, muss die Erweiterung Secure Enterprise Browser im verwalteten Chrome-Browser oder -Profil der Nutzer installiert sein. Wenn Sie die Funktion zuerst mit einer kleinen Gruppe testen möchten, können Sie eine Organisationseinheit für Ihre Pilotnutzer hinzufügen.

  1. Öffnen Sie in der Admin-Konsole das Dreistrich-Menü  und dann Geräte und dann Chrome und dann Apps und Erweiterungen und dann Nutzer und Browser.

    Wenn Sie sich für die Chrome-Verwaltung über die Cloud registriert haben, klicken Sie auf das Dreistrich-Menü  und dann Chrome-Browser und dann Apps und Erweiterungen und dann Nutzer und Browser.

  2. Wenn Sie die Einstellung auf bestimmte Nutzer oder Browser anwenden möchten, wählen Sie eine Organisationseinheit oder eine Konfigurationsgruppe aus. Wenn Sie die Microsoft Entra ID-SSO für eine Pilot-Organisationseinheit verwenden, muss das SSO-Profil des Drittanbieter-IdPs dieser Organisationseinheit zugewiesen sein.
  3. Bewegen Sie den Mauszeiger auf „Hinzufügen“  und klicken Sie auf Chrome-Apps oder ‑Erweiterungen über die jeweilige ID hinzufügen .
  4. Geben Sie als Erweiterungs-ID die ID ekajlcmdfcigmdbphhifahdfjbkciflj ein und wählen Sie Aus dem Chrome Web Store aus.
  5. Klicken Sie auf Speichern.
  6. Klicken Sie in der Liste der Apps und Erweiterungen auf Secure Enterprise Browser.
  7. Wählen Sie unter Installationsrichtlinie die Option Installation erzwingen oder Installation erzwingen und an Symbolleiste des Browsers anpinnen aus.
  8. Klicken Sie rechts oben auf Speichern.

Schritt 3: Regel zum Erzwingen von Cloud-Speicher erstellen

  1. Öffnen Sie in der Admin-Konsole das Menü  und dann Regeln und dann Regel erstellen und dann Datenschutz.

    Hierfür benötigen Sie die Administratorberechtigungen DLP-Regel ansehen und verwalten oder für den Chrome-Browser oder ChromeOS die Berechtigungen Chrome-DLP-Regel ansehen und verwalten.

  2. Geben Sie einen Namen und optional eine Beschreibung für die Regel ein.
  3. Wählen Sie im Bereich Apps unter Chrome das Kästchen Datei heruntergeladen aus.
  4. Klicken Sie auf Weiter.
  5. Wählen Sie im Abschnitt Aktionen unter Chrome die Option Cloud-Speicher erzwingen aus.
  6. Wählen Sie das Cloud Storage-Ziel aus:
    • Google Drive für Ihre Organisation
    • OneDrive für Ihre Organisation
  7. Optional: Konfigurieren Sie im Abschnitt Benachrichtigungen eine der folgenden Benachrichtigungsoptionen:
    • Wählen Sie einen Schweregrad aus: Niedrig, Mittel oder Hoch.
    • Klicken Sie auf das Kästchen Benachrichtigungszentrale, um Benachrichtigungen an die Benachrichtigungszentrale zu senden.
    • Fügen Sie Empfänger für E‑Mail-Benachrichtigungen hinzu.
  8. Klicken Sie auf Weiter.
  9. Wählen Sie unter Bereich eine Option aus:
    • Wählen Sie Alle in *domain.name* aus, um die Regel auf die gesamte Organisation anzuwenden.
    • Wenn Sie die Regel auf bestimmte Organisationseinheiten oder Gruppen anwenden möchten, wählen Sie aus, ob Sie Organisationseinheiten und Gruppen ein- oder ausschließen möchten, und wählen Sie dann die Organisationseinheiten und Gruppen aus.
  10. (Optional) Klicken Sie im Abschnitt Inhaltsbedingungen auf Bedingung hinzufügen, um anzugeben, was die Regel auslöst, z. B. einen vordefinierten Datentyp, Dateityp, Quell-URL oder Dateigröße. Weitere Informationen zu den verfügbaren Bedingungen finden Sie unter Mit Chrome Enterprise Premium Schutz vor Datenverlust in Chrome einbinden.
  11. Klicken Sie auf Weiter und sehen Sie sich die Regeldetails an.
  12. Wählen Sie unter Regelstatus die Option Aktiv aus, um die Regel sofort auszuführen, oder Inaktiv, um die Regel vor dem Aktivieren zu prüfen.
  13. Klicken Sie auf Erstellen.

Dateigrößenbeschränkungen, Vorrang von Regeln und Zeitplanung

  • Maximale Dateigröße: Der erzwungene Cloud-Speicher unterstützt Dateien mit einer Größe von bis zu 150 MB. Wenn ein Nutzer eine Datei herunterlädt, die größer als 150 MB ist, blockiert der Chrome-Browser den Download und die Erweiterung zeigt eine Fehlermeldung an. Sie können Ihrer Regel die Bedingung Dateigröße hinzufügen, um bestimmte Dateigrößen abzugleichen.
  • Aktionspriorität: Wenn mehrere Regeln für denselben Dateidownload gelten, wird die Regel mit der strengsten Aktion angewendet: Blockieren und dann Cloud-Speicher erzwingen und dann Mit Warnung zulassen und dann Nur prüfen. Wenn mehrere Regeln dieselbe Aktion haben, gilt die zuletzt geänderte Regel.
  • Regelaktualisierungen: Wenn Sie eine Regel erstellen oder bearbeiten, dauert es in der Regel bis zu 2 Minuten, bis die Änderungen wirksam werden.

Schritt 4: Ereignisberichte aktivieren und Ereignisse beobachten

Aktivieren Sie die Berichterstellung für Chrome-Ereignisse, damit Sie erzwungene Cloud Storage-Ereignisse in Ihren Protokollen, Berichten und Benachrichtigungen sehen können.

  1. Öffnen Sie in der Admin-Konsole im Menü  und dann Geräte und dann Chrome und dann Einstellungen.

    Wenn Sie sich für Chrome Enterprise Core registriert haben, klicken Sie auf das Dreistrich-Menü  und dann Chrome-Browser und dann Einstellungen.

    Hierfür ist die Administratorberechtigung Mobilgeräteverwaltung erforderlich.

  2. Optional: Wenn Sie die Einstellung auf eine Abteilung oder ein Team anwenden möchten, wählen Sie an der Seite eine Organisationseinheit aus.
  3. Rufen Sie Browserberichte und dann Ereignisberichte auf.
  4. Wählen Sie Ereignisberichte aktivieren aus. Achten Sie darauf, dass Ereignisse mit sensiblen Daten oder alle Ereignistypen aktiviert sind.
  5. Klicken Sie auf Speichern. Alternativ können Sie für eine Organisationseinheit auf Überschreiben klicken.

    Wenn Sie den übernommenen Wert später wiederherstellen möchten, klicken Sie auf Übernehmen.

Nachdem die Ereignisberichterstellung aktiviert wurde, können Sie erzwungene Cloud-Speicheraktivitäten in der Admin-Konsole im Blick behalten:

  • Chrome-Protokollereignisse: Unter Berichterstellung und dann Audit und Prüfung und dann Chrome-Protokollereignisse wird für entsprechende Downloads als Ziel Google Drive oder OneDrive angezeigt.
  • Regelprotokollereignisse: Unter Berichterstellung und dann Audit und Prüfung und dann Regelprotokollereignisse wird für entsprechende Downloads die Ausgelöste Aktion Speichern in der Cloud erzwingen oder Speichern in der Cloud erzwungen angezeigt.
  • Benachrichtigungszentrale: Unter Sicherheit und dann Benachrichtigungszentrale wird in den Benachrichtigungen die ausgelöste Aktion In der Cloud speichern erzwingen angezeigt.
  • Bericht „Zusammenfassung für den Schutz vor Bedrohungen in Chrome“: Unter Sicherheit und dann Dashboard und dann Zusammenfassung für den Schutz vor Bedrohungen in Chrome wird die Anzahl der Ereignisse vom Typ Erzwungenes Speichern in der Cloud erfasst.

Was Nutzer sehen

  1. Wenn ein Nutzer einen Dateidownload startet, der der Regel entspricht, blockiert der Chrome-Browser den lokalen Download. Eine Meldung fordert den Nutzer auf, die Datei im Cloud-Speicher zu speichern.
  2. Wenn der Nutzer die Datei im Cloud-Speicher speichert:
    • Wenn der Nutzer bei OneDrive nicht in seinem Microsoft-Konto angemeldet ist, wird zuerst ein Microsoft-Anmeldefenster geöffnet.
    • Die Erweiterung Secure Enterprise Browser öffnet das Feld In Google Drive speichern oder In OneDrive speichern und zeigt den Uploadfortschritt an.
  3. Im Uploadfeld kann der Nutzer den Upload abbrechen, die Datei umbenennen oder die hochgeladene Datei aus Cloud Storage löschen.

Nutzer können die Erweiterungseinstellungen auch auf der Seite Secure Enterprise Browser-Optionen im Abschnitt Einstellungen für die Downloadsteuerung anpassen:

  • Gespeicherten Link in das Google-Editorformat konvertieren: Kompatible Dateien werden beim Speichern in Google Drive in das Format von Google Docs, Google Sheets oder Google Präsentationen konvertiert.
  • Gespeicherte Datei automatisch öffnen: Öffnet die Datei im Cloud-Speicher, nachdem der Upload abgeschlossen ist.

Fehlerbehebung bei erzwungenem Cloud-Speicher

Anforderungen und Fehler bei der Nutzerbestätigung

Damit die Erweiterung Dateien in Cloud Storage hochladen kann, müssen alle folgenden Bedingungen erfüllt sein:

  • Der Nutzer ist in seinem Chrome-Profil angemeldet.
  • Das angemeldete Konto ist mit Chrome Enterprise Premium verknüpft.
  • Wenn der Browser verwaltet wird, stimmt die Domain des angemeldeten Nutzers mit der Domain des verwalteten Browsers überein.
  • Bei OneDrive muss die Microsoft-E-Mail-Adresse, die für die Anmeldung bei der Erweiterung verwendet wird, mit der E-Mail-Adresse des Chrome-Profils übereinstimmen (nur Kleinbuchstaben). E‑Mail-Adressen mit Groß- und Kleinschreibung werden nicht unterstützt.

Wenn eine Anforderung nicht erfüllt ist, wird der Nutzer aufgefordert, sich in einem gültigen Arbeitskonto oder Konto einer Bildungseinrichtung anzumelden. Der Download lokaler Dateien bleibt blockiert.

Validierungsbenachrichtigungen werden unter macOS nicht angezeigt

Auf macOS-Geräten können Chrome-Benachrichtigungen durch die Einstellungen für Systembenachrichtigungen unterdrückt werden, wenn ein Fehler bei der Nutzervalidierung auftritt. Bitten Sie den Nutzer, die macOS-Systemeinstellungen und dann Benachrichtigungen und dann Google Chrome zu öffnen und die Benachrichtigungen zu aktivieren.

Microsoft Entra-Fehler AADSTS50105

Wenn Sie die Enterprise-App Chrome Enterprise Premium Force Save to OneDrive in Microsoft Entra ID hinzugefügt haben, Nutzer aber ein Fehlerfeld AADSTS50105 erhalten, prüfen Sie, ob für die App eine Nutzerzuweisung erforderlich ist. Öffnen Sie die App im Microsoft Entra Admin Center und setzen Sie Zuweisung erforderlich? auf Nein oder weisen Sie die betroffenen Nutzer und Gruppen der App zu.

Fehler, wenn die OneDrive App nicht hinzugefügt wurde

Wenn Nutzer die Fehlermeldung erhalten, dass die App Ihrer Organisation nicht hinzugefügt wurde, führen Sie die Schritte unter Schritt 1: OneDrive-App in Microsoft Entra ID einrichten mit einem Konto für globale Administratoren oder Administratoren mit privilegierten Rollen aus. Achten Sie darauf, dass Sie die Administratorzustimmung für den gesamten Mandanten erteilen.

Google-Konto bei der Anmeldung nicht gefunden

Wenn ein Nutzer auf dem Chrome-Anmeldebildschirm die Fehlermeldung „Google-Konto nicht gefunden“ erhält, ist seine Microsoft Entra-Identität möglicherweise nicht mit Google synchronisiert oder die Einmalanmeldung (SSO) ist für seine Organisationseinheit nicht aktiviert. Überprüfen Sie die Identitätssynchronisierung und die SSO-Einrichtung in Microsoft Entra ID und in der Admin-Konsole.

Dateien in Drittanbieteranwendungen hochladen

Viele Drittanbieteranwendungen stellen eine direkte Verbindung zu Google Drive und OneDrive her. Wenden Sie sich an Ihren Anwendungsanbieter, um weitere Informationen zu Cloud Storage-Integrationen zu erhalten. Wenn Nutzer Dateien für eine Anwendung herunterladen müssen, die keinen Cloud-Speicher unterstützt, passen Sie die Bedingungen der Datenschutzregel an. Fügen Sie beispielsweise die Bedingungen Dateityp oder Quell-URL hinzu, um bestimmte Dateien oder Websites von der Regel auszuschließen.

Warum die OneDrive App Dateiberechtigungen anfordert

Die Erweiterung benötigt die Berechtigung, Ordner zu erstellen und Dateien in das OneDrive des Nutzers hochzuladen. Die App greift nur auf das OneDrive-Konto des angemeldeten Nutzers zu. Es kann nicht auf Dateien zugreifen, die anderen Nutzern in Ihrer Organisation gehören.

Erweiterungsprotokolle auf Download- oder Uploadfehler prüfen

Wenn ein Upload fehlschlägt, werden im Uploadfeld für Erweiterungen die Fehlerdetails angezeigt. Ein Upload kann fehlschlagen, wenn das Cloud-Speicherkontingent voll ist, die Anmeldung fehlschlägt oder der Quellserver einen Fehler zurückgibt.

So rufen Sie Erweiterungslogs auf oder exportieren sie:

  1. Öffnen Sie die Optionen für den sicheren Browser für Unternehmen.
  2. Gehen Sie zum Abschnitt Fehlerbehebung.
  3. Klicken Sie auf Protokoll anzeigen oder Protokoll herunterladen.