Clientseitige Verschlüsselung für Nutzer aktivieren oder deaktivieren

Hinweis: Die folgenden Schritte sind für Administratoren gedacht, die Gmail-Konten für ein Unternehmen, eine Bildungseinrichtung oder eine andere Gruppe verwalten. Die clientseitige Verschlüsselung ist für Ihr privates gmail.com-Konto nicht verfügbar.

Unterstützte Versionen für diese Funktion: Frontline Plus; Enterprise Plus; Education Standard und Education Plus. Versionen vergleichen

Als Administrator können Sie die clientseitige Verschlüsselung (Client-side Encryption, CSE) von Google Workspace für Nutzer aktivieren, die verschlüsselte Inhalte mit diesen Diensten erstellen müssen:

Für diesen Dienst... CSE aktivieren für...
Google Drive

Nutzer, die clientseitig verschlüsselte Dokumente, Tabellen und Präsentationen erstellen oder clientseitig verschlüsselte Dateien in Drive hochladen müssen.

Für Nutzer, die lediglich für sie freigegebene Dateien ansehen und bearbeiten, ist die Funktion nicht erforderlich.
Gmail

Nutzer, die verschlüsselte Nachrichten senden oder empfangen müssen.

Bevor Sie die clientseitige Verschlüsselung für Gmail aktivieren: Sehen Sie sich die Optionen zum Aktivieren der E-Mail-Verschlüsselung für Nutzer an. Dies ist zusätzlich zur Aktivierung der clientseitigen Verschlüsselung für Gmail erforderlich. Weitere Informationen finden Sie weiter unten auf dieser Seite im Abschnitt Clientseitige Verschlüsselung für Gmail: Verschlüsselung für Nutzer aktivieren.
Google Kalender

Nutzer, die clientseitig verschlüsselte Kalendertermine erstellen müssen. Außerdem müssen Sie die clientseitige Verschlüsselung für Google Drive und Google Meet für diese Nutzer aktivieren, wenn sie clientseitig verschlüsselte Dokumente anhängen und clientseitig verschlüsselte Videokonferenzen hosten sollen.

Für Eingeladene ist die Funktion nicht erforderlich.
Google Meet

Nutzer, die clientseitig verschlüsselte Onlinebesprechungen organisieren müssen.

Für andere Besprechungsteilnehmer müssen Sie die clientseitige Verschlüsselung nicht aktivieren.

Für Nutzer, die verschlüsselte Inhalte nur aufrufen oder bearbeiten, ist Folgendes zu beachten:

Hinweis

Einschränkungen bei der Verwendung von CSE mit unterstützten Diensten

Weitere Informationen zu Funktionen, die bei aktivierter clientseitiger Verschlüsselung für Nutzer nicht verfügbar sind, finden Sie im Hilfeartikel Clientseitige Verschlüsselung – Übersicht.

Nutzer bei Bedarf zu Organisationseinheiten und Gruppen hinzufügen

Sie müssen die Nutzer den Organisationseinheiten oder Gruppen zuordnen, für die Sie die clientseitige Verschlüsselung für alle oder bestimmte Dienste aktivieren möchten.

Sie können die clientseitige Verschlüsselung als Standardeinstellung für Nutzer-Apps festlegen.

Erfordert das Assured Controls- oder Assured Controls Plus-Add-on.

Wenn Sie die clientseitige Verschlüsselung für Organisationseinheiten aktivieren, können Sie sie als Standardeinstellung für die folgenden Dienste festlegen, einschließlich Web- und mobiler Apps:

  • Gmail: Inhalte werden standardmäßig verschlüsselt, wenn Nutzer eine E‑Mail verfassen, beantworten oder weiterleiten.
  • Google Drive: Inhalte werden standardmäßig verschlüsselt, wenn Nutzer neue Dateien wie Dokumente, Tabellen und Präsentationen erstellen.
  • Google Kalender: Terminbeschreibungen werden standardmäßig verschlüsselt, wenn Nutzer einen Termin erstellen. Google Meet-Videokonferenzen sind ebenfalls standardmäßig verschlüsselt.

Wenn Sie die clientseitige Verschlüsselung standardmäßig aktivieren, können Nutzer die Verschlüsselung bei Bedarf trotzdem deaktivieren. Mit dem Sicherheitsprüftool können Sie Nutzeraktionen zum Deaktivieren der clientseitigen Verschlüsselung für Drive und Kalender überwachen. Weitere Informationen finden Sie im Hilfeartikel Protokolle und Berichte zur clientseitigen Verschlüsselung aufrufen.

Hinweis: Die clientseitige Verschlüsselung als Standard für einen Dienst ist derzeit nur für Organisationseinheiten und nicht für Konfigurationsgruppen verfügbar.

Clientseitige Verschlüsselung für Gmail: E-Mail-Verschlüsselung für Nutzer aktivieren

Damit Nutzer verschlüsselte Nachrichten senden und empfangen können, müssen sowohl die clientseitige Verschlüsselung für Gmail als auch die E‑Mail-Verschlüsselung für ihre Konten aktiviert sein. Je nach Abo und Anforderungen können Sie die Verschlüsselung auf eine der folgenden Arten aktivieren:

  • S/MIME-Zertifikate für Nutzer konfigurieren und hochladen (erfordert Erfahrung mit APIs und Python-Skripts) Bei dieser Option müssen Sie die Gmail API aktivieren, bevor Sie die clientseitige Verschlüsselung für Gmail aktivieren. Weitere Informationen finden Sie im Hilfeartikel Nur Gmail: S/MIME-Zertifikate für die clientseitige Verschlüsselung konfigurieren.
  • Wenn Sie das Add-on „Assured Controls“ haben und keine Hardwareschlüsselverschlüsselung für Gmail verwenden, können Sie die Ende-zu-Ende-Verschlüsselung (E2EE) von Gmail verwenden, indem Sie beim Aktivieren der clientseitigen Verschlüsselung für Gmail die Option Verschlüsselung mit Gastkonten auswählen (wie weiter unten auf dieser Seite beschrieben). Bei dieser Option müssen Sie keine S/MIME-Zertifikate für Nutzer konfigurieren. Wenn Sie die Ende-zu-Ende-Verschlüsselung in Gmail verwenden möchten, müssen Sie zuerst einen Gast-Identitätsanbieter (IdP) konfigurieren. Weitere Informationen finden Sie unter Externen Zugriff auf clientseitig verschlüsselte Inhalte gewähren.

    Wichtig:Mit der Option Verschlüsselung mit Gastkonten können Nutzer auch clientseitig verschlüsselte Nachrichten mit Personen außerhalb Ihrer Organisation austauschen. Dazu müssen Sie einen Gast-Identitätsanbieter (IdP) konfigurieren. Weitere Informationen finden Sie unter Externen Zugriff auf clientseitig verschlüsselte Inhalte gewähren.

Clientseitige Verschlüsselung für Nutzer aktivieren oder deaktivieren

Wenn Sie die clientseitige Verschlüsselung für Nutzer benötigen, aktivieren Sie sie für die Organisationseinheiten oder Konfigurationsgruppen, denen diese Nutzer angehören. Wenn Sie den Nutzerzugriff für die clientseitige Verschlüsselung aktivieren, können Nutzer auswählen, ob sie Inhalte verschlüsseln möchten.

Wenn Sie die clientseitige Verschlüsselung für eine Organisationseinheit aktivieren, können Sie sie als Standard für Gmail, Google Drive und Google Kalender festlegen – sowohl für Web- als auch für mobile Apps. Erfordert das Assured Controls- oder Assured Controls Plus-Add-on.

Wenn Sie verhindern möchten, dass Nutzer Inhalte verschlüsseln, können Sie die clientseitige Verschlüsselung für die Organisationseinheiten oder Konfigurationsgruppen, zu denen sie gehören, deaktivieren. Wenn Sie die clientseitige Verschlüsselung für Nutzer deaktivieren, bleiben alle clientseitig verschlüsselten Inhalte verschlüsselt und zugänglich.

Für diese Aufgabe müssen Sie als Super Admin angemeldet sein.

  1. Öffnen Sie in der Admin-Konsole das Menü  und dann Daten und dann Compliance und dann Clientseitige Verschlüsselung.

    Für diese Aufgabe müssen Sie als Super Admin angemeldet sein.

  2. Klicken Sie unter Apps auf den Namen des Google-Dienstes, für den Sie die CSE für Nutzer aktivieren oder deaktivieren möchten.

    Sie können auch unter Verschlüsselung mit externem Schlüsseldienst oder Verschlüsselung mit Hardwareschlüsseln auf Zuweisen klicken. Wählen Sie dann unter Verschlüsselung nach App den Google-Dienst aus, für den Sie die clientseitige Verschlüsselung aktivieren möchten.

  3. Wählen Sie links die entsprechende Organisationseinheit oder Gruppe aus.

  4. Wählen Sie unter Status der clientseitigen Verschlüsselung die Option An oder Aus aus.

  5. Bestätigen Sie Ihre Auswahl im Pop-up-Fenster.

  6. (Optional, nur für Gmail) Wenn Sie die E-Mail-Verschlüsselung für Nutzerkonten automatisch aktivieren möchten, wählen Sie unter Verschlüsselung mit Gastkonten die Option Nutzern erlauben, clientseitig verschlüsselte Nachrichten an Empfänger zu senden, die S/MIME nicht verwenden aus. Erfordert das Assured Controls- oder Assured Controls Plus-Add-on.

  7. Optional (nur für Organisationseinheiten): Wenn Sie Gmail-, Drive- oder Kalenderinhalte standardmäßig mit dem Google-Dienst verschlüsseln möchten, setzen Sie unter Standardmäßig aktiviert ein Häkchen bei Clientseitige Verschlüsselung standardmäßig aktivieren. Nutzer haben weiterhin die Möglichkeit, die Verschlüsselung zu deaktivieren.
    Hierfür ist das Assured Controls- oder Assured Controls Plus-Add-on erforderlich.

  8. Klicken Sie auf Überschreiben, um Ihre Einstellung beizubehalten, wenn die CSE-Einstellungen für die übergeordnete Organisationseinheit geändert werden.

  9. Wenn für die Organisationseinheit bereits Überschrieben festgelegt ist, wählen Sie eine Option aus:

    • Übernehmen: Die Einstellung der übergeordneten Organisationseinheit wird übernommen.
    • Speichern: Die neue Einstellung wird gespeichert und gilt auch bei geänderter übergeordneter Einstellung weiterhin.
Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, meistens geht es jedoch schneller. Weitere Informationen

Wenn Sie die clientseitige Verschlüsselung für Gmail aktiviert haben

Wenn Sie die Option Verschlüsselung mit Gastkonten nach dem Aktivieren der clientseitigen Verschlüsselung für Gmail nicht verwenden konnten, müssen Sie für jeden Nutzer, der die clientseitige Verschlüsselung für Gmail verwendet, die S/MIME-Zertifikate und die verschlüsselten Metadaten des privaten Schlüssels in Gmail vorbereiten und hochladen. Weitere Informationen finden Sie unter Clientseitige Verschlüsselung für Nutzer in Gmail einrichten.

Wenn Nutzer Probleme bei der Verwendung der clientseitigen Verschlüsselung haben

Sehen Sie in der Benachrichtigungszentrale nach, falls Nutzer Probleme bei der Verwendung der clientseitigen Verschlüsselung in Gmail haben. Weitere Informationen finden Sie unter Dienst für clientseitige Verschlüsselung ist nicht verfügbar.