Mit BeyondCorp Threat and Data Protection den Schutz vor Datenverlust in Chrome einbinden

Die Funktionen von BeyondCorp Threat and Data Protection sind nur für Kunden verfügbar, die BeyondCorp Enterprise erworben haben.

Mit BeyondCorp Threat and Data Protection können Sie Funktionen zum Schutz vor Datenverlust (Data Loss Prevention, DLP) in Chrome einbinden, um die Erkennung sensibler Daten in hoch- und heruntergeladenen Dateien sowie (per Drag-and-drop) eingefügten Inhalten zu implementieren.

Über diese Einbindung können Sie festlegen, welche Daten Chrome-Nutzer teilen dürfen, z. B. Sozialversicherungs- oder Kreditkartennummern. Dies gilt nur für den Chrome-Browser unter Windows, Mac, Linux und dem Chrome-Betriebssystem. Andere Plattformen werden derzeit nicht unterstützt.

BeyondCorp und DLP

Die DLP-Einbindung in Chrome gehört zu den BeyondCorp-Funktionen, die zur Sicherheit der Google Cloud Platform beitragen. Zum Konfigurieren dieser Einbindung verwenden Sie Google Workspace-Funktionen.

BeyondCorp umfasst Folgendes:

• Nutzung von Funktionen der Chrome-Verwaltung
• Konfiguration von Chrome-Connectors
• Konfiguration von DLP-Regeln im Google Workspace-Sicherheitscenter (wird in diesem Artikel beschrieben)
• Benachrichtigungen und Überprüfung von Sicherheitshinweisen in Chrome (z. B. Erkennung von Malware oder sensiblen Daten, Phishing, Social Engineering oder Wiederverwendung von Passwörtern)

Weitere Informationen zur Implementierung von BeyondCorp finden Sie unter Chrome-Nutzer mit BeyondCorp Threat and Data Protection schützen.

DLP für BeyondCorp einrichten

Führen Sie die folgenden Schritte aus, um den gesamten BeyondCorp-DLP-Schutz zu implementieren und zu verwenden:

• Schritt 1: Richten Sie Chrome Enterprise Connectors-Richtlinien ein. Weitere Informationen finden Sie in der Google Chrome Enterprise-Hilfe unter Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen.
• Schritt 2: Richten Sie Datenschutzregeln (wie in diesem Artikel beschrieben) in der Google Workspace-Admin-Konsole ein.
• Schritt 3: Richten Sie Aktivitätswarnungen ein. Im Hilfeartikel Details zu Benachrichtigungen aufrufen und in der Google Workspace-Admin-Hilfe finden Sie Beschreibungen der Warnungstypen.

Nachdem Sie DLP-Regeln erstellt haben, können Ereignisse ausgelöst werden, wenn Nutzer Daten hochladen, herunterladen oder in den Browser kopieren. Sie haben folgende Möglichkeiten:

• Sehen Sie sich die Berichte im Sicherheitsdashboard an. Folgende Berichte enthalten Informationen zu BeyondCorp:
  • Bericht „Zusammenfassung für den Schutz vor Bedrohungen in Chrome“
  • Bericht „Zusammenfassung für den Datenschutz in Chrome“
  • Bericht zu Chrome-Nutzern mit hohem Sicherheitsrisiko
  • Bericht zu Chrome-Domains mit hohem Sicherheitsrisiko
• Untersuchen Sie Benachrichtigungen zu Vorfällen beim Teilen von Daten mit dem Sicherheits-Prüftool. Weitere Informationen finden Sie im Hilfeartikel Das Sicherheits-Prüftool.
• Details zu Audit-Logs finden Sie unter Ereignisse im Regelprotokoll.

Beispiele für DLP-Regeln, die BeyondCorp-Einbindungen in Chrome unterstützen

• Bevor Sie DLP-Regeln mit Chrome-Einstellungen erstellen, sollten Sie die Chrome Enterprise Connectors-Richtlinien aktualisieren, damit die BeyondCorp-Funktionen und die DLP-Einbindung unterstützt werden. Weitere Informationen finden Sie im Hilfeartikel Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen.
• Allgemeine Schritte zum Erstellen von DLP-Regeln finden Sie im Hilfeartikel DLP-Regeln und benutzerdefinierte Inhaltsdetektoren für Google Drive erstellen.

DLP- und BeyondCorp-Einbindung – Regelbeispiele

Hier finden Sie Beispiele für das Blockieren von Dateidownloads, die Warnung bei Downloads mit mehreren Adressen und das Blockieren eines Gmail-Uploads mit mehreren Adressen. Dabei ist der Feldtyp URL relevant.

Beispiel 1: Dateidownloads von drive.google.com blockieren

In diesem Beispiel wird gezeigt, wie Sie Dateidownloads durch Regeleinstellungen blockieren. Der Download wird blockiert, wenn er von drive.google.com ausgeführt wird.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen.
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt Umfang die Option Auf alle <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Nutzer und in Chrome OS nur für Geräte gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Option Datei heruntergeladen aus.
8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: URL
   2. Wonach soll gesucht werden: Enthält Textstring
   3. Abzugleichende Inhalte: googleusercontent.com
   Wichtig: Für Google Drive-Downloads sind Drittanbieter-Cookies erforderlich, um die Browsersicherheit zu erhöhen und sicherzustellen, dass nur Sie Ihre Daten herunterladen können. Google Drive verwendet googleusercontent.com. Diese Google-Domain wird von Google Drive als Drittanbieter angesehen wird, um Ihre Dateien bereitzustellen und die Sicherheit weiter zu erhöhen.
    
10. Klicken Sie auf Weiter. Wählen Sie im Abschnitt Aktionen unter „Chrome“ die Option Inhalte blockieren aus.
11. Optional: Gehen Sie im Abschnitt Benachrichtigungen so vor:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
12. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
13. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
14. Klicken Sie auf Erstellen.

Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen

Beispiel 2: Vor einem Chrome-Download mit mehr als 30 E-Mail-Adressen warnen

In diesem Beispiel wird gezeigt, wie Sie mit Regeleinstellungen unter bestimmten Bedingungen die Nutzer warnen können.  Die Nutzer werden gewarnt, wenn sie versuchen, mehr als 30 E-Mail-Adressen gleichzeitig herunterzuladen.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen Ihnen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen. 
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt "Umfang" die Option Auf alle in <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Geräte und in Chrome OS nur für Nutzer gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Option Datei heruntergeladen aus.
8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: Alle Inhalte
   2. Wonach soll gesucht werden: Stimmt mit vordefiniertem Datentyp überein
   3. Datentyp: Global – E-Mail-Adresse
   4. Schwellenwert für die Wahrscheinlichkeit: Mittel
   5. Mindestanzahl eindeutiger Übereinstimmungen – 1
   6. Mindestanzahl der Übereinstimmungen – 30
10. Klicken Sie auf Weiter. Wählen Sie im Abschnitt Aktionen unter „Chrome“ die Option Nutzer warnen aus. Der Nutzer wird gewarnt, kann aber mit der Aktion fortfahren, wenn die Regel verletzt wird. Wenn der Nutzer trotz der Warnung fortfährt, wird die Aktion im Audit-Log zu Regeln aufgezeichnet.
11. Optional: Gehen Sie im Abschnitt Benachrichtigungen so vor:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
12. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
13. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
14. Klicken Sie auf Erstellen.

Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen

Beispiel 3: Chrome-Upload mit mehr als 30 E-Mail-Adressen blockieren

In diesem Beispiel wird gezeigt, wie Sie Dateiuploads durch Regeleinstellungen blockieren.  Der Upload wird blockiert, wenn die Nutzer versuchen, mehr als 30 E-Mail-Adressen gleichzeitig hochzuladen.

Bevor Sie beginnen, melden Sie sich in Ihrem Super Admin-Konto oder einem delegierten Administratorkonto mit den folgenden Berechtigungen an:

• Administrator für Organisationseinheit
• Google Groups-Administrator
• DLP-Regel aufrufen und verwalten. Sie müssen sowohl die Berechtigung zum Ansehen als auch zum Verwalten aktivieren, um Regeln erstellen und bearbeiten zu können. Wir empfehlen Ihnen, eine benutzerdefinierte Rolle mit beiden Berechtigungen zu erstellen. 
• Die Berechtigungen Metadaten und Attribute abrufen (nur für die Verwendung des Prüftools erforderlich): Sicherheitscenter Prüftool Regel Metadaten und Attribute abrufen

Weitere Informationen finden Sie in den Hilfeartikeln Administratorberechtigungen und Benutzerdefinierte Administratorrollen erstellen.

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“ SicherheitZugriffs- und DatenkontrolleDatenschutz.
3. Klicken Sie auf Regeln verwalten. Klicken Sie dann auf Regel hinzufügen  Neue Regel. 
4. Geben Sie den Namen und die Beschreibung der Regel an.
5. Wählen Sie im Abschnitt Umfang die Option Auf alle <domain.name> anwenden aus oder suchen Sie nach den Organisationseinheiten oder Gruppen, für die die Regel gilt, und schließen Sie sie ein oder aus. Wenn es hier einen Konflikt zwischen Organisationseinheiten und Gruppen gibt, hat die Gruppe Vorrang.

   Organisationseinheiten können Geräte, Nutzer oder eine Kombination aus Geräten und Nutzern umfassen. Das ist wichtig, da Regeln im Chrome-Browser nur für Geräte und im Chrome-Betriebssystem nur für Nutzer gelten. Beachten Sie dies beim Erstellen Ihrer DLP-Regeln für BeyondCorp.

6. Klicken Sie auf Weiter.
7. Wählen Sie in Chrome unter Apps die Optionen Datei hochgeladen und Inhalte eingefügt aus.

   Bei den Triggern Datei hochgeladen und Inhalt eingefügt hängt die Blockierung von der Einstellung unter Datei-Upload verzögern ab, wie im Hilfeartikel Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen beschrieben. Wenn für Datei-Upload verzögern die Option Sofortigen Upload erlauben festgelegt ist, wird die Datei beim Scan hochgeladen. Damit Nutzer Dateien oder Inhalte nicht während eines Scans hochladen können, sollten Sie für Datei-Upload verzögern die Einstellung Upload verzögern, bis die Analyse abgeschlossen ist festlegen.

8. Klicken Sie auf Weiter.
9. Klicken Sie im Abschnitt Bedingungen auf Bedingung hinzufügen und wählen Sie die folgenden Werte aus:
   1. Zu scannender Inhaltstyp: Alle Inhalte
   2. Wonach soll gesucht werden: Stimmt mit vordefiniertem Datentyp überein
   3. Datentyp: Global – E-Mail-Adresse
   4. Schwellenwert für die Wahrscheinlichkeit: Mittel
   5. Mindestanzahl eindeutiger Übereinstimmungen – 1
   6. Mindestanzahl der Übereinstimmungen – 30
   7. Klicken Sie auf Bedingung hinzufügen.
   8. Zu scannender Inhaltstyp: URL
   9. Wonach soll gesucht werden: Enthält Textstring
   10. Inhaltsabgleich – mail.google.com
10. Klicken Sie auf Weiter. Wählen Sie im Abschnitt „Aktionen“ unter „Chrome“ die Option Inhalte blockieren aus.
11. Optional: Gehen Sie im Abschnitt Benachrichtigungen so vor:
    • Wählen Sie eine Wichtigkeitsstufe aus („Niedrig“, „Mittel“ oder „Hoch“), um festzulegen, wie ein durch diese Regel ausgelöstes Ereignis im Sicherheitsdashboard gemeldet wird. 
    • Wählen Sie aus, ob ein durch diese Regel ausgelöstes Ereignis auch eine Benachrichtigung an die Benachrichtigungszentrale senden soll. Wählen Sie außerdem aus, ob Benachrichtigungen per E-Mail an alle Super Admins oder andere Empfänger gesendet werden sollen.
12. Klicken Sie auf Weiter, um sich die Regeldetails anzusehen.
13. Wählen Sie einen Status für die Regel aus:
    • Aktiv: Die Regel wird sofort ausgeführt.
    • Inaktiv: Ihre Regel ist vorhanden, wird jedoch nicht sofort ausgeführt. So haben Sie Zeit, die Regel zu prüfen und vor der Implementierung mit den Teammitgliedern zu besprechen. Aktivieren Sie die Regel später unter SicherheitZugriff und DatenkontrolleDatenschutzRegeln verwalten. Klicken Sie auf den Status „Inaktiv“ für die Regel und wählen Sie Aktiv aus. Die Regel wird ausgeführt, nachdem Sie sie aktiviert haben, und DLP führt Scans auf sensible Inhalte durch.
14. Klicken Sie auf Erstellen.

Es kann bis zu 24 Stunden dauern, bis Änderungen wirksam werden, aber normalerweise geschieht dies eher. Weitere Informationen

Weitere Informationen

• Chrome Enterprise Connectors-Richtlinien für Google BeyondCorp Enterprise festlegen
• Bericht „Zusammenfassung für den Schutz vor Bedrohungen in Chrome“
• Bericht „Zusammenfassung für den Datenschutz in Chrome“
• Bericht zu Chrome-Nutzern mit hohem Sicherheitsrisiko
• Bericht zu Chrome-Domains mit hohem Sicherheitsrisiko
• Ereignisse im Regelprotokoll