Mit BeyondCorp Threat and Data Protection den Schutz vor Datenverlust in Chrome einbinden

Die Funktionen von BeyondCorp Threat and Data Protection sind nur für Kunden verfügbar, die BeyondCorp Enterprise erworben haben.

Mit BeyondCorp Threat and Data Protection können Sie Funktionen zum Schutz vor Datenverlust (Data Loss Prevention, DLP) in Chrome einbinden, um die Erkennung sensibler Daten in hoch- und heruntergeladenen Dateien sowie (per Drag-and-drop) eingefügten Inhalten zu implementieren.

Über diese Einbindung können Sie festlegen, welche Daten Chrome-Nutzer teilen dürfen, z. B. Sozialversicherungs- oder Kreditkartennummern. Dies gilt nur für den Chrome-Browser unter Windows, Mac, Linux und dem Chrome-Betriebssystem. Andere Plattformen werden derzeit nicht unterstützt.

BeyondCorp und DLP

Die DLP-Einbindung in Chrome gehört zu den BeyondCorp-Funktionen, die zur Sicherheit der Google Cloud Platform beitragen. Zum Konfigurieren dieser Einbindung verwenden Sie Google Workspace-Funktionen.

BeyondCorp umfasst Folgendes:

• Nutzung von Funktionen der Chrome-Verwaltung
• Konfiguration von Chrome-Connectors
• Konfiguration von DLP-Regeln im Google Workspace-Sicherheitscenter (wird in diesem Artikel beschrieben)
• Benachrichtigungen und Überprüfung von Sicherheitshinweisen in Chrome (z. B. Erkennung von Malware oder sensiblen Daten, Phishing, Social Engineering oder Wiederverwendung von Passwörtern)

Weitere Informationen zur Implementierung von BeyondCorp finden Sie unter Chrome-Nutzer mit BeyondCorp Threat and Data Protection schützen.

DLP für BeyondCorp einrichten

Führen Sie die folgenden Schritte aus, um den gesamten BeyondCorp-DLP-Schutz zu implementieren und zu verwenden:

• Schritt 1: Richten Sie Chrome Enterprise Connectors-Richtlinien ein. Weitere Informationen finden Sie in der Google Chrome Enterprise-Hilfe unter Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen.
• Schritt 2: Richten Sie Datenschutzregeln (wie in diesem Artikel beschrieben) in der Google Workspace-Admin-Konsole ein.
• Schritt 3: Richten Sie Aktivitätswarnungen ein. Im Hilfeartikel Details zu Benachrichtigungen aufrufen und in der Google Workspace-Admin-Hilfe finden Sie Beschreibungen der Warnungstypen.

Nachdem Sie DLP-Regeln erstellt haben, können Ereignisse ausgelöst werden, wenn Nutzer Daten hochladen, herunterladen oder in den Browser kopieren. Sie haben folgende Möglichkeiten:

• Sehen Sie sich die Berichte im Sicherheitsdashboard an. Folgende Berichte enthalten Informationen zu BeyondCorp:
  • Bericht „Zusammenfassung für den Schutz vor Bedrohungen in Chrome“
  • Bericht „Zusammenfassung für den Datenschutz in Chrome“
  • Bericht zu Chrome-Nutzern mit hohem Sicherheitsrisiko
  • Bericht zu Chrome-Domains mit hohem Sicherheitsrisiko
• Untersuchen Sie Benachrichtigungen zu Vorfällen beim Teilen von Daten mit dem Sicherheits-Prüftool. Weitere Informationen finden Sie im Hilfeartikel Das Sicherheits-Prüftool.
• Details zu Audit-Logs finden Sie unter Ereignisse im Regelprotokoll.

Beispiele für DLP-Regeln, die BeyondCorp-Einbindungen in Chrome unterstützen

• Bevor Sie DLP-Regeln mit Chrome-Einstellungen erstellen, sollten Sie die Chrome Enterprise Connectors-Richtlinien aktualisieren, damit die BeyondCorp-Funktionen und die DLP-Einbindung unterstützt werden. Weitere Informationen finden Sie im Hilfeartikel Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen.
• Allgemeine Schritte zum Erstellen von DLP-Regeln finden Sie im Hilfeartikel DLP-Regeln und benutzerdefinierte Inhaltsdetektoren für Google Drive erstellen.

DLP- und BeyondCorp-Einbindung – Beispiele für Datenübertragungsregeln

Hier finden Sie Beispiele für das Blockieren von Dateidownloads nach URL, für das Ausgeben von Warnungen bei Downloads mit mehreren E-Mail-Adressen, für das Blockieren von Uploads einer bestimmten URL-Kategorie und für das Blockieren von Downloads abhängig von der Dateigröße.

Beispiel 1: Dateidownloads von drive.google.com blockieren

In diesem Beispiel wird gezeigt, wie Sie Dateidownloads durch Regeleinstellungen blockieren. Der Download wird blockiert, wenn er von drive.google.com ausgeführt wird.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen.
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt Umfang die Option Auf alle <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Nutzer und in Chrome OS nur für Geräte gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Option Datei heruntergeladen aus.
8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: URL
   2. Wonach soll gesucht werden: Enthält Textstring
   3. Abzugleichende Inhalte: googleusercontent.com
   Wichtig: Für Google Drive-Downloads sind Drittanbieter-Cookies erforderlich, um die Browsersicherheit zu erhöhen und sicherzustellen, dass nur Sie Ihre Daten herunterladen können. Google Drive verwendet googleusercontent.com. Diese Google-Domain wird von Google Drive als Drittanbieter angesehen wird, um Ihre Dateien bereitzustellen und die Sicherheit weiter zu erhöhen.
    
10. Klicken Sie auf Weiter. Wählen Sie im Abschnitt Aktionen unter „Chrome“ die Option Blockieren aus.
11. Optional: Im Abschnitt Benachrichtigungen:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
12. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
13. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
14. Klicken Sie auf Erstellen.

Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen

Beispiel 2: Vor einem Chrome-Download mit mehr als 30 E-Mail-Adressen warnen

In diesem Beispiel wird gezeigt, wie Sie mit Regeleinstellungen unter bestimmten Bedingungen die Nutzer warnen können.  Die Nutzer werden gewarnt, wenn sie versuchen, mehr als 30 E-Mail-Adressen gleichzeitig herunterzuladen.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen Ihnen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen. 
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt "Umfang" die Option Auf alle in <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Geräte und in Chrome OS nur für Nutzer gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Option Datei heruntergeladen aus.
8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: Alle Inhalte
   2. Wonach soll gesucht werden: Stimmt mit vordefiniertem Datentyp überein
   3. Datentyp: Global – E-Mail-Adresse
   4. Schwellenwert für die Wahrscheinlichkeit: Mittel
   5. Mindestanzahl eindeutiger Übereinstimmungen – 1
   6. Mindestanzahl der Übereinstimmungen – 30
10. Klicken Sie auf Weiter. Wählen Sie im Abschnitt Aktionen unter Chrome die Option Mit Warnung zulassen aus. Der Nutzer wird gewarnt, kann aber mit der Aktion fortfahren, wenn die Regel verletzt wird. Wenn der Nutzer trotz der Warnung fortfährt, wird die Aktion im Audit-Log zu Regeln aufgezeichnet.
11. Optional: Im Abschnitt Benachrichtigungen:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
12. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
13. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
14. Klicken Sie auf Erstellen.

Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen

Beispiel 3: Hochladen von Dateien auf Websites sozialer Medien blockieren

In diesem Beispiel wird gezeigt, wie Sie Dateiuploads auf bestimmte Websites mithilfe von Regeleinstellungen blockieren. In diesem Beispiel wird der Upload blockiert, wenn der Nutzer versucht, Dateien auf Social-Media-Websites wie Facebook hochzuladen.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen Ihnen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen. 
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt Umfang die Option Auf alle <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Geräte und im Chrome-Betriebssystem nur für Nutzer gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Option Datei hochgeladen aus.

   Hinweis: Bei den Triggern Datei hochgeladen und Inhalt eingefügt hängt die Blockierung von der Einstellung unter Datei-Upload verzögern ab, wie unter Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen beschrieben. Wenn für Datei-Upload verzögern die Option Sofortigen Upload erlauben festgelegt ist, wird die Datei während des Scans hochgeladen. Damit Nutzer Dateien oder Inhalte nicht während eines Scans hochladen können, sollten Sie für Datei-Upload verzögern die Einstellung Upload verzögern, bis die Analyse abgeschlossen ist festlegen.

8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: URL-Kategorie
   2. Kategorie auswählen: Online-CommunitiesSoziale Netzwerke.
10. Klicken Sie auf Weiter. Wählen Sie im Abschnitt „Aktionen“ unter „Chrome“ die Option Blockieren aus.
11. Optional: Im Abschnitt Benachrichtigungen:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
12. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
13. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
14. Klicken Sie auf Erstellen.

Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen

Beispiel 4: Herunterladen von Bilddateien mit mehr als 10 Kilobyte blockieren

In diesem Beispiel wird gezeigt, wie Sie mit Regeleinstellungen Dateidownloads abhängig vom Dateityp und von der Größe blockieren. In diesem Beispiel wird der Download blockiert, wenn der Nutzer versucht, Bilddateien über 10 KB herunterzuladen.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen Ihnen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen. 
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt Umfang die Option Auf alle <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Geräte und im Chrome-Betriebssystem nur für Nutzer gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Option Datei heruntergeladen aus.
8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: Dateigröße.
   2. Wonach soll gesucht werden?: Ist größer als
   3. Dateigröße (in Byte) eingeben: 10000
10. Klicken Sie auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
    1. Zu scannender Inhaltstyp: Dateityp.
    2. Suchfunktion: Entspricht der Systemdateikategorie
    3. Systemdateikategorie: Bild

    Informationen zu den in den einzelnen Systemdateikategorien enthaltenen MIME-Typen finden Sie hier.

11. Klicken Sie auf Weiter. Wählen Sie im Abschnitt „Aktionen“ unter „Chrome“ die Option Blockieren aus.
12. Optional: Im Abschnitt Benachrichtigungen:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
13. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
14. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
15. Klicken Sie auf Erstellen.

Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen

DLP- und BeyondCorp-Einbindung – Beispiele für URL-Navigationsregeln

In diesen Beispielen wird die Navigation zu Websites einer bestimmten URL-Kategorie und zu einer von Ihnen erstellten benutzerdefinierten Liste von URLs blockiert.

Beispiel 1: Vor dem Aufrufen von Chrome-Websites warnen, die mit der URL-Kategorie „Spiele/Glücksspiele“ übereinstimmen

In diesem Beispiel wird gezeigt, wie Sie mit Regeleinstellungen eine Nutzerwarnung auslösen können, wenn ein Nutzer eine Website mit Glücksspielinhalten aufrufen möchte.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen.
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt Umfang die Option Auf alle <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Nutzer und in Chrome OS nur für Geräte gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Option Besuchte URL aus.
8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: URL-Kategorie
   2. Kategorie auswählen: Spiele/Glücksspiele
10. Klicken Sie auf Weiter. Wählen Sie im Abschnitt Aktionen unter Chrome die Option Mit Warnung zulassen aus. Der Nutzer wird gewarnt, kann aber mit der Aktion fortfahren, durch die die Regel ausgelöst wird. Wenn der Nutzer fortfahren möchte, wird die Aktion im Chrome-Protokoll aufgezeichnet.
11. Optional: Im Abschnitt Benachrichtigungen:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
12. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
13. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
14. Klicken Sie auf Erstellen.

Hinweis: Wenn eine von Ihnen gefilterte URL kürzlich aufgerufen wurde, wird sie mehrere Minuten lang im Cache gespeichert. Der Cache kann erst dann nach einer neuen (oder geänderten) Regel gefiltert werden, wenn der Cache dieser URL gelöscht wurde. Warten Sie etwa fünf Minuten, bevor Sie eine neue oder geänderte Regel testen.

Beispiel 2: Chrome-Navigationen zu einer benutzerdefinierten URL-Liste blockieren

In diesem Beispiel wird gezeigt, wie Sie mithilfe von Regeleinstellungen einen Nutzer blockieren, wenn er versucht, eine URL aufzurufen, die Teil einer benutzerdefinierten Liste ist.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen.
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Erstellen Sie einen benutzerdefinierten Wortlisten-Detektor mit einer durch Kommas getrennten Liste der URLs, die Sie blockieren möchten. Beispiel: „beispiel.de,beispiel2.de“. Eine spezifische Anleitung finden Sie unter Benutzerdefinierten Detektor erstellen.
4. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
5. Geben Sie den Namen und die Beschreibung der Regel an.
6. Wählen Sie im Abschnitt Umfang die Option Auf alle <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Nutzer und in Chrome OS nur für Geräte gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

7. Klicken Sie auf Weiter.
8. Wählen Sie in Chrome unter Apps die Option Besuchte URL aus.
9. Klicken Sie auf Weiter.
10. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
    1. Zu scannender Inhaltstyp: URL
    2. Wonach gesucht wird: Gleicht Wörter aus einer Wortliste ab
    3. Name der Wortliste: Name der Wortliste, die Sie in Schritt 3 erstellt haben.
    4. Abgleichmodus: Beliebiges Wort abgleichen
    5. Mindestanzahl eines gefundenen Wortes: 1
11. Klicken Sie auf Weiter. Wählen Sie im Abschnitt Aktionen unter „Chrome“ die Option Blockieren aus.
12. Optional: Im Abschnitt Benachrichtigungen:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
13. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
14. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
15. Klicken Sie auf Erstellen.

Hinweis: Wenn eine von Ihnen gefilterte URL kürzlich aufgerufen wurde, wird sie mehrere Minuten lang im Cache gespeichert. Der Cache kann erst dann nach einer neuen (oder geänderten) Regel gefiltert werden, wenn der Cache dieser URL gelöscht wurde. Warten Sie etwa fünf Minuten, bevor Sie eine neue oder geänderte Regel testen.

Weitere Informationen

• Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen
• Bericht „Zusammenfassung für den Schutz vor Bedrohungen in Chrome“
• Bericht „Zusammenfassung für den Datenschutz in Chrome“
• Bericht zu Chrome-Nutzern mit hohem Sicherheitsrisiko
• Bericht zu Chrome-Domains mit hohem Sicherheitsrisiko
• Ereignisse im Regelprotokoll