Falls Sie vermuten, dass Konten manipuliert oder gehackt wurden, können Sie als Administrator diese Checkliste nutzen, um sie zu sichern. Arbeiten Sie gemeinsam mit den betroffenen Nutzern die Gmail-Sicherheits-Checkliste für Endnutzer ab.
Sicherheitsmaßnahmen, die ergriffen werden sollten
Schritt 1: Vermutlich gehackte Nutzerkonten vorübergehend sperren- Sie können Nutzer vorübergehend sperren, um unbefugte Zugriffe zu verhindern.
Hinweis: Wenn Sie einen Nutzer sperren, werden seine Anmeldecookies und OAuth-Tokens zurückgesetzt.
- Untersuchen Sie die potenziell unzulässigen Aktivitäten. Anschließend können Sie das Konto wiederherstellen. Optional können Sie eine Bestätigung in zwei Schritten für die Domain festlegen.
- Bitten Sie den betroffenen Nutzer, seine Wiederherstellungsadresse zu prüfen und alle Punkte der Sicherheits-Checkliste für Gmail umzusetzen.
- Falls der manipulierte Nutzer ein Administrator ist, sollten Sie einen Blick auf die Administrator-Audit-Logs werfen. Achten Sie dabei auf Konfigurationsänderungen, die dieser Nutzer kürzlich vorgenommen hat. Überspringen Sie den Schritt, wenn das nicht zutrifft.
- Prüfen Sie die mit dem betroffenen Konto verbundenen Mobilgeräte und löschen Sie Geräte, die Ihnen verdächtig vorkommen.
- Untersuchen Sie die potenziell unzulässigen Aktivitäten:
- In der Admin-Konsole finden Sie das User Logereignisse. Es umfasst eine Liste erfolgreicher und nicht erfolgreicher webbasierter Anmeldungen in Ihrer Domain innerhalb der letzten sechs Monate. Verdächtige Anmeldungen sind mit einem Warnsymbol gekennzeichnet. Sie können auch die Reports API verwenden, um die Anmeldedaten für Domainkonten abzurufen.
- Mit der E-Mail-Protokollsuche haben Sie die Möglichkeit, die Zustellungsprotokolle für Ihre Domains zu prüfen und die Nachrichtenübertragung (Empfang und Versand) bei gehackten Konten auszuwerten. Wird das Konto in Vault verwaltet, können Sie mit dieser Funktion auch die E-Mail-Aktivitäten nachvollziehen.
Hinweis: Nutzer, die ein Upgrade auf eine Version mit Vault durchgeführt haben, können endgültig gelöschte E-Mails oder Dokumente wiederherstellen. - Anhand der Sicherheitsberichte können Sie beurteilen, wie gefährdet die Daten in der Domain sind. Sie sollten sich diese Berichte ansehen:
- OAuth-Protokollereignisse
- Groups-Protokollereignisse
- Drive-Protokollereignisse
Versionen mit dieser Funktion: Frontline Starter und Frontline Standard Business Starter, Business Standard und Business Plus, Enterprise Standard und Enterprise Plus Education Fundamentals, Education Standard, Teaching and Learning Upgrade und Education Plus Essentials Starter, Essentials, Enterprise Essentials und Enterprise Essentials Plus; G Suite Business. G Suite-Versionen vergleichen
- Kalender-Protokollereignisse
- Vergewissern Sie sich, dass keine schädlichen Einstellungen vorgenommen wurden. Mit der Gmail API können Sie die Einstellungen für Nutzerkonten abrufen, etwa die Weiterleitungseinstellungen. Wenn Sie vermuten, dass ein privates Gmail-Konto an dieser Manipulation beteiligt ist, melden Sie dies bitte.
- Befolgen Sie die Schritte im Hilfeartikel Nutzerpasswort zurücksetzen.
- Widerrufen Sie OAuth-2.0-Tokens für den Nutzer.
- Nach dem Zurücksetzen eines Nutzerpassworts ist der Zugriff auf Daten für einige Anwendungen mit OAuth-2.0-Authentifizierung nicht mehr möglich. Der betroffene Nutzer muss sich mit seinem Kontonamen und dem neuen Passwort anmelden, um ein neues OAuth-2.0-Token abzurufen.
- Entfernen Sie App-Passwörter, die der Nutzer erstellt hat.
- Heben Sie die Kontosperrung auf.
- Teilen Sie den Nutzern ihr neues temporäres Passwort mit und bitten Sie sie, ein neues Passwort festzulegen, das nicht für andere Websites oder Anwendungen verwendet wird.
- Aktivieren Sie für die Domain die Bestätigung in zwei Schritten und registrieren Sie die Nutzer mit Sicherheitsschlüsseln. Diese bieten einen besseren Schutz als Codes für die Bestätigung in zwei Schritten.
- Arbeiten Sie gemeinsam mit den Nutzern die Gmail-Sicherheits-Checkliste für Endnutzer ab. Achten Sie beispielsweise auf die korrekte Konfiguration von Filtern und Weiterleitungsoptionen im Konto der Endnutzer.
- Kontowiederherstellungsoptionen aktualisieren
- Konto auf ungewöhnliche Aktivitäten überprüfen
- Fehlende oder verdächtige Nachrichten suchen
- Kontakte auf Fehler überprüfen
- Gmail-Einstellungen überprüfen
Zusätzliche Sicherheitsmaßnahmen ergreifen
Wir empfehlen Ihnen, diese zusätzlichen Schritte auszuführen, um die Sicherheit der Konten Ihrer Nutzer zu gewährleisten.
Schritt 1: Bestätigung in zwei Schritten mit Sicherheitsschlüsseln einrichtenDie Bestätigung in zwei Schritten bietet eine zusätzliche Sicherheitsstufe für die Konten Ihrer Nutzer. Dabei sind zur Kontoanmeldung nicht nur ein Nutzername und das zugehörige Passwort erforderlich, sondern auch ein Bestätigungscode. Weitere Details finden Sie im Hilfeartikel Ihr Unternehmen mit der Bestätigung in zwei Schritten schützen. Wir empfehlen, statt 2SV-Sicherheitscodes lieber Sicherheitsschlüssel für die Bestätigung in zwei Schritten zu verwenden. So sind Sie noch besser vor Phishing geschützt.
Im Hilfeartikel Meinem Administratorkonto Wiederherstellungsoptionen hinzufügen erfahren Sie, wie sekundäre E-Mail-Adressen und Telefonnummern hinterlegt werden. Wir empfehlen, die sekundäre E-Mail-Adresse zu schützen, indem Sie das Passwort ändern oder eine alternative Adresse einsetzen.
Als Administrator können Sie festlegen, dass Sie über wichtige Kontoaktivitäten benachrichtigt werden, z. B. bei potenziell verdächtigen Anmeldeversuchen oder wenn andere Administratoren Diensteinstellungen ändern.
Allgemeine Empfehlungen zur Aufrechterhaltung der Kontosicherheit finden Sie auch im Sicherheitscenter.
