Google Workspace

Verfügbar

Ojava liest die Prüfprotokolle Ihres Google Workspace und warnt Sie vor gestohlenen Passwörtern, Mailweiterleitungen, riskanten Apps und neuen Administratoren.

14-tägige Testphase starten

Was es erkennt

Gestohlene Passwörter und Kontoübernahme

Jemand meldet sich mit einem gestohlenen oder erratenen Passwort an.

: Anmeldungen von zwei Orten, die zu weit auseinanderliegen, und Serien falscher Passwörter.

Angriffe auf den zweiten Anmeldeschritt

Der Angreifer kennt das Passwort und versucht, MFA oder die Bestätigung in zwei Schritten zu umgehen.

: Wiederholt abgelehnte Bestätigungscodes.

Mailweiterleitung und Zahlungsbetrug

Ein gekapertes Postfach schickt heimlich Kopien Ihrer Mails nach aussen: der klassische erste Schritt beim Zahlungsbetrug.

: Weiterleitung an eine Adresse ausserhalb Ihrer Domain.

Riskante App-Zugriffe

Jemand gibt einer unbekannten App Zugriff auf Mails oder Dateien, oft nach einem Phishing-Link.

: Apps mit Zugriff auf Gmail, Drive oder Admin-Daten.

Neue Administratorrechte

Ein Konto erhält plötzlich Admin-Rechte; so kann ein Angreifer das ganze Firmenkonto übernehmen.

: Admin-Rollen, die einem Nutzer zugewiesen werden.

Massendownloads und Datendiebstahl

Viele Dateien verlassen das Unternehmen in kurzer Zeit.

: 50 oder mehr Drive-Downloads innerhalb einer Stunde, wo Google Drive-Aktivitäten protokolliert.

Zusammenhängende Angriffe

Zusammengehörige Warnzeichen werden zu einem Vorfall, so sehen Sie die ganze Geschichte statt einzelner Alarme.

: Zum Beispiel eine Anmeldung aus dem Ausland, gefolgt von einer Weiterleitung an eine externe Adresse.

Was Sie brauchen

Jede Google-Workspace-Business-Edition (ab Business Starter)Ab Business Starter. Anmeldungen, Admin-Änderungen, Mailweiterleitungen und App-Zugriffe funktionieren in jeder Edition.
Drive-Downloads, wo Google sie protokolliertGoogle protokolliert die meisten Drive-Aktivitäten nur für Dateien von Nutzern mit Editionen, die die Drive-Prüfung unterstützen. Sehen Sie in der Admin-Konsole unter Berichte → Prüfung und Untersuchung → Drive-Logereignisse Einträge, sieht Ojava sie auch.
Bestätigung in zwei Schritten eingeschaltetNötig für den Alarm bei wiederholt abgelehnten Bestätigungscodes.
Ein Super-AdminMeldet sich einmal an, um Ojava Lesezugriff auf die Prüfberichte zu geben.

So verbinden Sie es

In Ojava: Einstellungen → Integrationen → Google Workspace verbinden.
Melden Sie sich als Super-Admin Ihres Workspace an.
Google zeigt den Zugriff, den Ojava anfragt: Ihren Namen, Ihre E-Mail-Adresse das Lesen der Prüfberichte und das Ansehen der Benutzerinformationen Ihrer Google-Workspace-Domain. Klicken Sie auf Weiter.
Ojava beginnt sofort zu lesen; die ersten Ereignisse erscheinen innerhalb weniger Minuten.

Googles Hinweis «nicht bestätigte App»

Google prüft jede App, die Workspace-Prüfberichte lesen will. Bis Google die Prüfung von Ojava abgeschlossen hat, kann ein Hinweis erscheinen, dass Google diese App nicht bestätigt hat. Der angefragte Zugriff bleibt derselbe: nur lesend, keine E-Mails, keine Dateien.

Klicken Sie beim Hinweis «Diese App wurde nicht von Google überprüft» auf Erweitert.
Klicken Sie unten auf den Link: Zu … wechseln (unsicher).
Prüfen Sie den angezeigten Zugriff (Ihr Name, Ihre E-Mail-Adresse und das Lesen der Prüfberichte Ihrer Domain) und klicken Sie auf Weiter.

Ihr Workspace kann unbekannte Apps auch sperren. Ein Super-Admin kann Ojava vorher zulassen: Admin-Konsole → Sicherheit → Zugriffs- und Datenkontrolle → API-Steuerung → App-Zugriff verwalten → Neue App konfigurieren → nach Ojava suchen → Vertrauenswürdig. Google sagt nicht, dass dadurch der Hinweis verschwindet; Sie sehen ihn vielleicht noch einmal.

Was Ojava liest

Googles Prüfberichte: Anmeldungen (Zeit, IP-Adresse, Erfolg oder Fehlschlag, Bestätigung in zwei Schritten), Admin-Änderungen wie neue Administratorrollen, Kontoereignisse wie Weiterleitungen an eine externe Adresse, Apps mit Zugriff auf Ihre Daten sowie Drive-Aktivitäten (Dateiname und Aktion, nie der Inhalt). Berechtigungen: zwei nur lesende Datenberechtigungen, admin.reports.audit.readonly (die Prüfberichte) und admin.directory.user.readonly (die Benutzerliste: Adresse, Name, aktiv, gesperrt oder archiviert, einmal täglich gelesen, um die aktiven Konten für die Grenze Ihres Abos zu zählen und zu prüfen, dass jedes Konto überwacht wird), dazu die Standard-Anmeldeberechtigungen von Google (openid, email, profile), die Ojava nur sagen, welcher Administrator zugestimmt hat.

Was Ojava nie liest

Inhalte von E-Mails, Anhängen, Drive-Dateien, Chats oder Kalendern. Ojava kann in Ihrem Google Workspace nichts ändern. Wenn Sie trennen, löscht Ojava seinen Zugang und bittet Google, ihn zu widerrufen.

Was Ojava sieht und nie sieht, pro Berechtigung

Berechtigung (nur lesend)	Was Ojava sieht	Was Ojava nie sieht oder tut
`admin.reports.audit.readonly`	Googles Prüfberichte für Ihren Workspace: Anmeldungen (Zeit, IP-Adresse, Erfolg oder Fehlschlag, Bestätigung in zwei Schritten), Admin-Änderungen, Kontoereignisse wie Mailweiterleitungen, Apps mit Zugriff, Drive-Aktivität und -Freigaben (Aktion, Anzahl Dateien, externe Adresse; Dateinamen nur in einem Alarm zu massenhaftem Teilen, höchstens 20).	Den Inhalt von E-Mails, Drive-Dateien, Chats oder Kalendern; keine Einstellung, kein Benutzer und keine Datei lässt sich damit ändern.
`admin.directory.user.readonly`	Die Liste der Benutzer Ihres Workspace (Adresse, Name, aktiv, gesperrt oder archiviert), einmal täglich gelesen, um die aktiven Konten für die Grenze Ihres Abos zu zählen und zu prüfen, dass jedes Konto überwacht wird.	Sie kann keine Benutzer anlegen, ändern oder löschen; keine Gruppen, Passwörter oder Benutzerinhalte.
`openid, profile, email`	Wer die Verbindung bestätigt hat (Name und E-Mail des Super-Admins).	Sonst nichts.

Wie schnell Alarme kommen

Ojava liest Google Workspace alle 5 Minuten. Google bestimmt, wann seine Protokolle verfügbar sind: Anmeldungen, Admin- und Drive-Ereignisse meist innerhalb weniger Minuten, Kontoereignisse (wie Weiterleitungen) innerhalb von einigen Dutzend Minuten, App-Zugriffe innerhalb weniger Stunden.

Die anderen Quellen

Windows-PCs

Früher Zugang: wir richten es mit Ihnen ein

Ransomware, Schadsoftware, Werkzeuge zum Passwortdiebstahl und abgeschalteter Schutz, auf jedem Windows-PC. Mit oder ohne Microsoft 365 oder Google Workspace.

So funktioniert es

Microsoft 365

Verfügbar

Gestohlene Passwörter, fehlgeschlagene MFA, Mailweiterleitungen, riskante App-Zugriffe, neue Admins und Massendownloads. Jeder Business-Plan; schneller mit Entra ID P1.

So funktioniert es