Google Workspace absichern: Mehrschichtiger Schutz für den Mittelstand

Viele Mittelstands- und Nonprofit-Teams in DACH nutzen Google Workspace längst produktiv, und unterschätzen trotzdem die Angriffsfläche. Nicht weil die Plattform unsicher wäre, sondern weil Sicherheit oft nur als „MFA irgendwann“ oder „Antivirus auf dem Laptop“ gedacht wird. Moderne Angriffe setzen auf automatisierte Phishing-Ketten, Social Engineering und falsch gesetzte Freigaben. Genau dagegen hilft ein mehrschichtiger Ansatz: Identität, Admin-Policies, Inhalte, Geräte und Monitoring greifen ineinander.

Warum Sicherheit in Google Workspace jetzt zählt

Früher reichte oft ein starkes Passwort und ein wenig Glück. Heute sehen wir in der Praxis drei typische Muster: (1) Phishing-Mails, die täuschend echt wie Google-Login oder Bank wirken, (2) Drive-Links, die „für alle mit dem Link“ freigegeben und jahrelang vergessen wurden, und (3) BYOD-Geräte ohne Bildschirmsperre oder ohne klare Trennung von privaten und geschäftlichen Konten.

Für KMU und Nonprofits ist das besonders heikel: Es gibt selten ein eigenes Security-Team, aber dieselben regulatorischen Erwartungen (DSGVO, AV-Verträge, Nachweispflichten). Ein Ausfall von E-Mail oder ein Datenabfluss kostet Vertrauen, und oft mehr als die präventive Härtung. Bei Medienhäusern und vertrauenssensiblen Organisationen zeigt sich nach einer Workspace-Migration mit Security-Fokus immer wieder: Die Plattform ist stark, wenn Du die Admin-Hebel wirklich nutzt. Genau diesen Anspruch hatten wir zum Beispiel bei der Google-Workspace-Migration von BibelTV, Sicherheit und Betrieb mussten von Tag eins zusammenpassen.

Gleichzeitig steigt der Druck von außen: Versicherungen fragen nach MFA, Kunden prüfen Lieferketten, und Spender oder Mandanten erwarten, dass Daten nicht „irgendwo im Drive“ offen liegen. Mehrschichtiger Schutz ist deshalb kein Luxus-Feature, sondern Betriebsfähigkeit.

Schicht 1: Identität, MFA und Admin-Policies

Die erste und wichtigste Schicht ist die Identität. Ohne starke Authentifizierung helfen Dir weder Drive-Policies noch schöne Schulungen.

• MFA für alle Nutzer erzwingen, nicht nur für Admins. Authenticator-App oder Hardware-Key schlagen SMS oft deutlich.
• Super-Admin-Konten reduzieren, wenige privilegierte Konten, klare Rollen (Helpdesk, Groups-Admin, etc.).
• Passwort- und Session-Policies, sinnvolle Session-Dauer, Sperre bei verdächtigen Logins, keine geteilten Generalkonten.
• Context-Aware Access (wo lizenziert), Zugriff nur von vertrauenswürdigen Netzwerken oder verwalteten Geräten.

Viele Organisationen „haben MFA“, aber nur opt-in. Das reicht nicht. Setze MFA als Organisationsrichtlinie und prüfe regelmäßig, wer noch Ausnahmen hat. Dokumentiere Ausnahmen kurz (Warum? Bis wann? Wer genehmigt?), das hilft Dir später bei Audits und Versicherungen.

Schicht 2: Phishing und Drive-Freigaben

Die meisten erfolgreichen Angriffe kommen nicht durch Zero-Day-Exploits, sondern durch Menschen und Links. In Google Workspace heißt das konkret: Gmail, Kalender-Einladungen und Drive.

• Phishing- und Malware-Schutz in Gmail aktiv halten und für riskante Anhänge nachschärfen.
• Externe Freigaben standardmäßig einschränken, „Jeder mit dem Link“ nur bewusst und zeitlich begrenzt.
• Shared Drives statt wilder My-Drive-Freigaben, klare Ownership, wenn Personen das Unternehmen verlassen.
• Warnungen bei externen Empfängern und Schulungen mit echten Beispielen aus Deiner Branche.

Ein kurzer Admin-Check einmal im Quartal („Welche Dateien sind öffentlich?“) spart oft peinliche Überraschungen. Ergänzend helfen DLP-Regeln, wenn Du sensible Datenklassen (Personalakten, Spenderdaten, Mandantenakten) markieren kannst. Wichtig: Technik allein reicht nicht, Dein Team muss wissen, warum eine freigiebige Link-Freigabe riskant ist, und wie man sie sauber ersetzt (benannte Nutzer, Ablaufdatum, Shared Drive).

Schicht 3: Geräte und BYOD

Viele Teams arbeiten hybrid: Firmenlaptop, privates iPad, Smartphone mit Workspace-App. Ohne Endpoint-Management wird die schönste MFA wirkungslos, sobald das Gerät gestohlen oder mit Malware infiziert ist.

• Grundregeln für BYOD: Bildschirmsperre, aktuelle OS-Version, Remote-Wipe für Workspace-Daten wo möglich.
• Endpoint-Management / Mobile Device Management für geschäftliche Geräte, auch in kleinen Teams oft mit Workspace Enterprise oder Partner-Tools machbar.
• Klare Trennung: Welche Daten dürfen auf privaten Geräten liegen, und welche nicht?

In verteilten Teams, etwa in anonymisierten Family-Office-Szenarien mit vielen BYOD-Geräten, entscheidet oft nicht die Cloud-Lizenz, sondern ob Geräte und Identitäten gemeinsam gesteuert werden. Das muss nicht „Enterprise-Theater“ sein. Ein Mindeststandard (Sperre, Updates, kein Root/Jailbreak, klare App-Richtlinien) reicht für den Start und lässt sich später ausbauen.

Schicht 4: Logging, Alarme und Partner-Hilfe

Mehrschichtiger Schutz endet nicht beim Einschalten von Features. Du brauchst Sichtbarkeit und eine Reaktion, wenn etwas auffällt.

• Admin-Audit-Logs regelmäßig prüfen: verdächtige Logins, Massen-Downloads, Rechteänderungen.
• Alert-Center nutzen und Eskalationswege festlegen (wer reagiert nachts / am Wochenende?).
• Backup und Wiederherstellung, Workspace ist hochverfügbar, ersetzt aber kein eigenes Backup-Konzept für versehentliches Löschen oder Insider-Risiken.
• Incident-Playbook auf einer Seite: verdächtiger Login → Session beenden → Passwort/MFA reset → betroffene Freigaben prüfen.

Wenn Du kein internes Security-Team hast, ist ein erfahrener Google-Workspace-Partner sinnvoll: nicht als Ticket-Blackbox, sondern für Härtung, Reviews und Schulung Deines Admin-Teams. Genau das machen wir bei Deschalet als zertifizierter Google Cloud Partner, von der Bestandsaufnahme bis zur laufenden Betreuung.

Für besonders sensible Daten gibt es noch eine weitere Schicht: Mit der clientseitigen Verschlüsselung in Google Workspace verschlüsselt Deine Organisation Inhalte mit eigenen Schlüsseln, sodass Google sie nicht entschlüsseln kann.

Auch die Verschlüsselung selbst entwickelt sich weiter: Google Meet nutzt inzwischen Post-Quanten-Kryptografie. Was das für Dich bedeutet und was das BSI empfiehlt, liest Du in Post-Quanten-Kryptografie in Google Meet.

Praktischer Start in 30 Tagen

Du musst nicht alles parallel umsetzen. Ein realistischer Fahrplan für den Mittelstand:

• Woche 1: MFA erzwingen, Super-Admins bereinigen, Alert-Center aktivieren.
• Woche 2: Externe Freigabe-Defaults härten, öffentliche Links inventarisieren.
• Woche 3: Geräte-Mindestregeln und BYOD-Richtlinie kommunizieren.
• Woche 4: Kurz-Schulung Phishing + Incident-Playbook + Backup-Check.

Danach reicht oft ein quartalsweiser Security-Review: Policies, Ausnahmen, Logs, neue Nutzergruppen. Halte das Review bewusst kurz (90 Minuten), sonst wird es verschoben und nie gemacht.

Fazit: Mehrere Schichten schlagen eine „Wunderfeature“

Google Workspace bringt starke Bordmittel mit, aber Sicherheit entsteht erst, wenn Du Identität, Inhalte, Geräte und Monitoring bewusst kombinierst. Für Mittelstand und Nonprofits in DACH heißt das: pragmatisch härten, DSGVO-tauglich dokumentieren und Ausnahmen aktiv managen statt sie zu ignorieren.

Willst Du wissen, wo Deine Workspace-Umgebung heute steht? Buche ein kostenloses Erstgespräch, wir schauen uns Admin-Konsole, Freigaben und Geräte gemeinsam an und priorisieren die nächsten Schritte ohne Buzzword-Bingo.