Drive-Protokollereignisse

Nutzeraktivitäten für Google Drive-Dateien ansehen

Je nach Google Workspace-Version haben Sie möglicherweise Zugriff auf das Sicherheits-Prüftool, das erweiterte Funktionen bietet. Super Admins können beispielsweise Sicherheits- und Datenschutzprobleme erkennen und beurteilen sowie Maßnahmen ergreifen. Weitere Informationen

Als Administrator Ihrer Organisation können Sie nach Protokollereignissen zu Google Drive suchen und anhand der Suche Aktionen ausführen. Sie können z. B. eine Übersicht von Aktionen aufrufen, um die Nutzeraktivität in Drive zu sehen. Drive-Protokollereignisse umfassen Informationen zu Inhalten, die Ihre Nutzer in Google Docs, Tabellen, Präsentationen und anderen Google Workspace-Apps erstellen, sowie zu Inhalten, die Nutzer in Drive hochladen, z. B. PDF- und Microsoft Word-Dateien.

Mit der Activity API können Sie programmgesteuert auf grundlegende Berichtsdaten zugreifen. Wenn dies von Ihrer Google Workspace-Version unterstützt wird, können Sie mit der neuen Reports API erweiterte Google Workspace-Berichtsdaten aufrufen.

Wichtig:

Nicht alle Aktivitäten in Drive werden protokolliert. Eine Liste der Protokolleinträge finden Sie auf dieser Seite unter Protokollierte und nicht protokollierte Ereignisse.
Informationen dazu, wann Daten verfügbar werden und wie lange sie aufbewahrt werden, finden Sie im Hilfeartikel Datenaufbewahrung und Zeitverzögerungen.
Die meisten Ereignisse im Audit-Log für Drive werden nur für Dateien protokolliert, deren Eigentümer Nutzer unterstützter Versionen sind. Ausgenommen sind Ereignisse vom Typ „URL-Zugriff“. Sie werden protokolliert, wenn sich der Nutzer, der ein Apps Script-Skript startet, das auf eine URL zugreift, in Ihrer Organisation befindet und eine unterstützte Version hat.

Nach Protokollereignissen suchen

Ob Sie eine Suche ausführen können, hängt von Ihrer Google-Version, Ihren Administratorberechtigungen und der Datenquelle ab. Sie können eine Suche für alle Nutzer ausführen, unabhängig von ihrer Google Workspace-Version.

Audit- und Prüftool

Sicherheits-Prüftool

Unterstützte Versionen für diese Funktion: Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus, Cloud Identity Premiumversion. Versionen vergleichen

Wenn Sie im Sicherheits-Prüftool eine Suchanfrage ausführen möchten, müssen Sie zuerst eine Datenquelle auswählen. Wählen Sie dann mindestens eine Bedingung aus. Wählen Sie für jede Bedingung ein Attribut, einen Operator und einen Wert aus.

Melden Sie sich mit einem Administratorkonto in Google Admin-Konsole an.
Wenn Sie kein Administratorkonto verwenden, können Sie nicht auf die Admin-Konsole zugreifen.
Gehen Sie zu „Menü“ Sicherheit > Sicherheitscenter > Prüftool.
Hierfür ist die Administratorberechtigung Sicherheitscenter erforderlich.
Klicken Sie auf Datenquelle und wählen Sie Drive-Protokollereignisse aus.
Klicken Sie auf Bedingung hinzufügen.
Tipp: Sie können eine oder mehrere Bedingungen in die Suche einschließen oder Ihre Suche mit verschachtelten Abfragen anpassen. Weitere Informationen finden Sie unter Individuelle Suche mit verschachtelten Abfragen erstellen.
Klicken Sie auf Attributwählen Sie eine Option aus.
Eine vollständige Liste der Attribute finden Sie unten im Abschnitt Attributbeschreibungen.
Wählen Sie einen Operator aus.
Geben Sie einen Wert ein oder wählen Sie einen aus der Drop-down-Liste aus.
Optional: Wiederholen Sie die Schritte 4 bis 7, um weitere Suchbedingungen hinzuzufügen.
Klicken Sie auf Suchen.
Die Suchergebnisse im Prüftool werden unten auf der Seite in einer Tabelle angezeigt.
Optional: Klicken Sie zum Speichern der Prüfung auf Speichern geben Sie einen Titel und eine Beschreibung ein klicken Sie auf Speichern.

Hinweis:

Auf dem Tab Tool zur Bedingungserstellung werden Filter als Bedingungen mit UND- bzw. ODER-Operatoren dargestellt. Auf dem Tab Filter können Sie einfache Parameter- und Wertpaare einschließen, um die Suchergebnisse zu filtern.
Falls Sie einem Nutzer einen neuen Namen gegeben haben, sehen Sie keine Abfrageergebnisse mit dem alten Namen des Nutzers. Wenn Sie beispielsweise AlterName@beispiel.de in NeuerName@beispiel.de ändern, sehen Sie keine Ergebnisse für Ereignisse im Zusammenhang mit AlterName@beispiel.de.

Attributbeschreibungen

Für diese Datenquelle können Sie beim Suchen in Protokollereignisdaten die folgenden Attribute verwenden:

Hinweise:

Nicht alle Attribute in der folgenden Liste werden für alle Ereignisse gemeldet.
Die folgende Liste ist nicht vollständig und unterliegt Änderungen. Weitere Informationen zu Drive-Protokollereignissen finden Sie auf der Website Google Workspace Admin SDK im Hilfeartikel zu Drive-Audit-Aktivitätsereignissen.

Attribut	Beschreibung
Akteur	E-Mail-Adresse des Nutzers, der die Aktion ausgeführt hat. Externe Nutzer werden als anonym angezeigt, es sei denn, sie lesen oder bearbeiten ein Dokument, das für sie (als Einzelperson oder Gruppenmitglied) freigegeben ist. Hinweis: Wenn ein Nutzer sowohl eine primäre E-Mail-Adresse als auch einen Alias hat, wird in den Protokollereignisdaten die primäre E-Mail-Adresse erfasst, auch wenn ein Ereignis wie die Freigabe eines Artikels den Alias betrifft.
ID der Gruppe	Gruppenname des Akteurs Weitere Informationen finden Sie im Hilfeartikel Ergebnisse nach Google Groups-Gruppe filtern. So fügen Sie der Zulassungsliste Ihrer Filtergruppen eine Gruppe hinzu: Wählen Sie Name der Gruppe des Akteurs aus. Klicken Sie auf Gruppenfilter. Die Seite „Gruppenfilter“ wird angezeigt. Klicken Sie auf Gruppen hinzufügen. Suchen Sie nach einer Gruppe, indem Sie die ersten Zeichen des Namens oder der E-Mail-Adresse eingeben. Wenn die gewünschte Gruppe angezeigt wird, wählen Sie sie aus. Optional: Um eine weitere Gruppe hinzuzufügen, suchen Sie danach und wählen Sie sie aus. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Hinzufügen. Optional: Klicken Sie zum Entfernen der Gruppe auf . Klicken Sie auf Speichern.
Organisationseinheit des Akteurs	Organisationseinheit des Akteurs
API-Methode	Bei den Aktionen Herunterladen und Auf Artikelinhalte zugegriffen, die über eine Drittanbieter-App erfolgen, die API-Methode, die von der Aktion verwendet wird. Beispiel: drive.files.export.
App-ID	OAuth-Client-ID der Drittanbieter-App, die die Aktion ausgeführt hat
App-Name	Die App, die die Aktion ausgeführt hat
Zielgruppe	Zieldomain, falls das Auditprotokoll sich auf eine Sichtbarkeitsänderung bezieht
Abrechenbar	Nur Essentials: Gibt an, ob die Nutzeraktion kostenpflichtig ist
Datum	Datum und Uhrzeit des Ereignisses, angezeigt in der Standardzeitzone des Browsers. Hinweis: Die meisten Ereignisse werden protokolliert, wenn sie abgeschlossen sind. Manchmal kann es länger dauern, bis umfangreiche Uploads protokolliert werden.
Dokument-ID	Eindeutiger Bezeichner einer Drive-Datei, die mit der Aktivität verknüpft ist, so wie im URL-Link der Datei gespeichert Hinweis: Bei Ereignissen vom Typ URL-Zugriff werden die Dokument-ID und andere dateibezogene Felder wie „Dokumenttyp“ und „Eigentümer“ nur für bestimmte Aktionen gemeldet. Weitere Informationen finden Sie auf dieser Seite unter Aufgerufene URL.
Dokumenttyp	Das bei der Aktion verwendete Dateiformat, z. B. Google Docs, Google Sheets, Google Präsentationen, JPEG, PDF, PNG, MP4, Microsoft Word, Excel, PowerPoint, TXT, HTML, MPEG-Audio, QuickTime-Video, Ordner oder geteilte Ablagen
Domain*	Die Domain, in der die Aktion stattgefunden hat
Verschlüsselt*	Ob die Datei clientseitig verschlüsselt ist
Ereignisname	Ereignisse wie Ansehen, Umbenennen, Erstellen, Bearbeiten, Drucken, Löschen, Hochladen und Herunterladen Die meisten Aktionen werden sofort protokolliert. Bei Druckereignissen aus dem Drive-Viewer kann es allerdings zwölf Stunden oder länger dauern. Dateien, die automatisch von Google Drive oder aus dem Papierkorb gelöscht werden, werden protokolliert. Andere Ereignisse wie das Hochladen einer Datei werden protokolliert, sobald sie abgeschlossen sind.
Identitätsdiebstahl	Die Anwendung hat die domainweite Delegierung verwendet, um im Namen eines Nutzers eine Anfrage zu senden. True gibt an, dass das Ereignis im Namen eines Nutzers ausgeführt wurde. Unter Akteur finden Sie die E-Mail-Adresse des Nutzers. Unter App-ID und App-Name können Sie die Anwendung identifizieren. Weitere Informationen zur domainweiten Delegierung
IP-Adresse*	Adresse, von der aus der Nutzer die Aktivität durchführt. Diese kann sowohl für den Standort eines Nutzers als auch für andere Dinge stehen, z. B. einen Proxyserver oder die Adresse eines virtuellen privaten Netzwerks (Virtual Private Network, VPN). In folgenden Fällen wird keine IP-Adresse protokolliert: Bei Ereignissen, die von externen Nutzern gestartet wurden Bei Ereignissen für Dienste, bei denen die IP-Adresse in den Anfragen nicht protokolliert wird Beim Umbenennen oder Löschen einer geteilten Ablage
Neuer Wert für Sichtbarkeit der Veröffentlichung	Neue Sichtbarkeit des Dokuments
Neuer Wert*	Neuer Wert der geänderten Einstellung
IDs des neuen Werts*	Neuer Wert des Labelfelds
Alter Wert für Sichtbarkeit der Veröffentlichung	Alte Sichtbarkeit des Dokuments, wenn es sich bei der Aktivität um eine Sichtbarkeitsänderung handelt
Alter Wert*	Alter Wert der geänderten Einstellung
IDs des alten Werts*	Alter Wert des Labelfelds
Eigentümer	Nutzer, dem die Datei gehört
Bisherige Sichtbarkeit	Bisherige Sichtbarkeit des Dokuments, falls die Sichtbarkeit geändert wird
Empfänger*	E-Mail-Adressen der Empfänger
ID der geteilten Ablage	Die Drive-ID der geteilten Ablage, die die Datei enthält. Wenn sich die Datei nicht in einer geteilten Ablage befindet, ist dieses Feld leer.
Ziel	Nutzer, dessen Zugriff geändert wird
Titel	Titel des Dokuments
Sichtbarkeit	Sichtbarkeit der mit der Aktivität verknüpften Drive-Datei
Sichtbarkeit ändern	Sichtbarkeit der Drive-Datei vor der Aktivität
Besucher	Ja bedeutet, dass die Aktivität von einem Nutzer ohne Google-Konto stammt. Nein bedeutet, dass die Aktivität von einem Google-Nutzer stammt. Weitere Informationen finden Sie im Artikel Dokumente für Besucher freigeben.

* Sie können mit diesen Filtern keine Regeln für die Berichterstellung erstellen. Weitere Informationen zum Unterschied zwischen Berichtsregeln und Aktivitätsregeln

Hinweis: Wenn Sie einem Nutzer einen neuen Namen gegeben haben, sehen Sie keine Abfrageergebnisse mit dem alten Namen des Nutzers. Wenn Sie beispielsweise AlterName@beispiel.de in NeuerName@beispiel.de ändern, sehen Sie keine Ergebnisse für Ereignisse im Zusammenhang mit AlterName@beispiel.de.

Dateien ansehen, die außerhalb einer Domain freigegeben wurden

So rufen Sie Dateien auf, die für Nutzer außerhalb einer Domain freigegeben wurden:

Audit- und Prüfseite

Sicherheits-Prüftool

Protokollierte und nicht protokollierte Ereignisse

Löschen

Dateien, die automatisch von Google Drive oder aus dem Papierkorb gelöscht werden, werden protokolliert.

Kopieren

Beim Kopieren einer Datei werden die Ereignisse Erstellen und Kopieren für die neue Datei protokolliert. Für die Originaldatei wird ein Ausgangstext-Ereignis protokolliert.

Wenn ein Nutzer außerhalb Ihrer Organisation eine Datei an einen externen Speicherort kopiert, werden die Ereignisse Erstellen und Kopieren nicht protokolliert, da die neue Datei extern ist. Ihre Logs enthalten jedoch das Ausgangstext-Ereignis in der Originaldatei mit dem Kopiertyp Extern. Wenn Sie wissen möchten, wann Daten aus Ihrer Organisation kopiert werden, können Sie Ereignisse vom Typ Ausgangstext mit dem Kopiertyp Extern überprüfen.

Drucken

Ereignisse vom Typ Drucken werden nicht aufgezeichnet, wenn ein Nutzer eine Datei druckt, die in einem Google-Dateiformat (Docs, Tabellen, Präsentationen, Zeichnungen oder Formulare) geöffnet wurde.

Wenn Sie Dateien mit der Drive-App von einem Apple iPhone und iPad oder Android-Gerät drucken, werden Druckereignisse möglicherweise als Downloadereignisse protokolliert.

Download

Die meisten Downloads werden protokolliert, auch wenn Dateien mit Google Drive for Desktop zwischen Drive und einem lokalen Gerät kopiert werden.

Die folgenden Ansehen-Aktionen werden als Download-Ereignisse protokolliert:

Vorschau einer Datei in der Drive App auf einem Mobilgerät
Das Ansehen in der Vorschau von Dateien wie PDFs, die nicht direkt in Google Docs oder einer anderen Google App geöffnet werden können
Dateien als Anhang an eine E-Mail aus einer Google-App wie Google Docs senden

Downloads aus den folgenden Quellen werden nicht protokolliert:

Google Datenexport: Suchen Sie stattdessen nach Protokollereignisse für den Datenexport.
Downloads in Offline-Browser-Caches
Fotos, die mit Google Fotos synchronisiert, daraus heruntergeladen oder dort angesehen werden
Drive-Elemente, die als E-Mail-Anhänge von Gmail gesendet werden

Elementinhalt synchronisiert

Ereignisse vom Typ „Elementinhalt synchronisiert“ werden in den folgenden Fällen protokolliert und sind nach dem 1. Juli 2024 für Aktivitäten verfügbar:

Eine Datei wird mit Google Drive for Desktop von Drive auf ein lokales Gerät synchronisiert. Diese werden auch als Download-Ereignisse protokolliert.
Eine Datei wird für den Offlinezugriff mit einem Gerät synchronisiert, einschließlich laufender Synchronisierungen mit der Onlineversion. Ereignisse, bei denen Artikelinhalte mit der mobilen Drive App (Android und iOS) synchronisiert wurden, werden ebenfalls als Download -Ereignisse protokolliert.

Zugriff auf Elementinhalt

Der Zugriff auf Dateien kann im Namen von Nutzern über eine App erfolgen, die eine Google Workspace API wie die Google Drive API oder die Google Tabellen API verwendet. Diese Aktionen werden nicht als Download- oder Ansehen-Ereignisse protokolliert, sondern nur als Zugriff auf Inhalte von Elementen. Gemini-Ereignisse vom Typ Zugriff auf Inhalte von Elementen werden nur protokolliert, wenn auf Dateiinhalte außerhalb der geöffneten Datei eines Nutzers in Drive for Web zugegriffen wird.

Ereignisse für den Zugriff auf Elementinhalte werden nicht protokolliert, wenn ein Nutzer in Drive für das Web, Drive auf Mobilgeräten oder in der Drive for Desktop App eine Datei aufruft oder öffnet.

Ansicht

Das Ansehen von Dateien mit /htmlview, /embed, /revisions und anderen speziellen URLs wird jetzt als Ereignis vom Typ Ansehen protokolliert.

URL wurde aufgerufen

URL wurde aufgerufen Ereignisse werden protokolliert, wenn ein Apps Script-Skript auf eine URL zugreift, auch wenn das Skript über das Apps Script-Dashboard, als Add-on oder als benutzerdefinierte Funktion in Google Sheets ausgeführt wird. Ereignisse vom Typ URL-Zugriff werden nicht protokolliert, wenn ein Nutzer auf einen Link in einer Datei klickt.

Welche Attribute erfasst werden, hängt davon ab, wie das Script ausgeführt wurde und wem es gehört:

Wenn ein Script als benutzerdefinierte Funktion ausgeführt wird, entsprechen die Dokument-ID und andere dokumentbezogene Attribute dem Tabellenblatt, in dem die Funktion aufgerufen wurde.
Wenn ein Script nicht als benutzerdefinierte Funktion ausgeführt wird, werden keine dokumentbezogenen Attribute erfasst.
Die Script-ID wird angegeben, wenn das Apps Script Ihrer Organisation gehört.

Import-URL für Google Sheets

Wenn eine Importfunktion für Google Tabellen aufgerufen wird, die auf eine URL zugreift, wird dies als Ereignis vom Typ Import-URL für Google Tabellen protokolliert. Ein Ereignis wird protokolliert, wenn der Inhalt des Tabellenblatts durch eine automatische Aktualisierung geändert wird oder ein Nutzer das Tabellenblatt öffnet.

Termine, die externe Domains umfassen

Zu einigen Ereignissen gehören Nutzer, freigegebene Ordner oder geteilte Ablagen außerhalb Ihrer Organisation, z. B. wenn ein Nutzer in Ihrer Organisation eine Datei für einen externen Nutzer freigibt. Beide Organisationen protokollieren ein Ereignis, wenn die Eigentümerschaft des Elements von einer Organisation auf eine andere übertragen wird.

Beispiele für Ereignisse, die von beiden protokolliert werden:

Ein Drive-Element, das einem Nutzer in Ihrer Organisation gehört, wird in eine externe geteilte Ablage verschoben.
Ein Drive-Element, das einem Nutzer außerhalb Ihrer Organisation gehört, wird in eine geteilte Ablage Ihrer Organisation verschoben.
Ein Nutzer kopiert eine Datei in oder aus Ihrer Organisation. Die Empfängerorganisation protokolliert den Namen der kopierten Datei, nicht den ursprünglichen Dateinamen.

Beispiele für Ereignisse, die von Ihrer Organisation, aber nicht von der externen Domain protokolliert wurden:

Ein Drive-Element, das einem Nutzer in Ihrer Organisation gehört, wird für einen externen Nutzer freigegeben.
Ein Drive-Element, das einem Nutzer in Ihrer Organisation gehört, wird für eine Gruppe freigegeben, die externe Nutzer zulässt, auch wenn keine externen Nutzer der Gruppe angehören.
Ein externer Nutzer kann ein Google Drive-Element Ihrer Organisation ansehen, bearbeiten, herunterladen, drucken oder löschen.
Ein externer Nutzer lädt eine Datei in eine geteilte Ablage hoch, die Ihrer Organisation gehört.

Ereignisse, die von der externen Domain, aber nicht von Ihrer Organisation protokolliert werden, sind die Umkehrung des vorherigen Abschnitts.

Anonyme und externe Nutzer

Bei anonymen Nutzern (Nutzern, die nicht in einem Google-Konto angemeldet sind), werden Änderungen protokolliert, Aufrufe und Downloads jedoch nicht.

Aktionen, die von Nutzern außerhalb der Domain ausgeführt werden, werden als anonym angezeigt, es sei denn, das Element wurde explizit an sie (als Einzelperson oder als Teil einer bestimmten Gruppe) freigegeben.

Der anonyme und externe Zugriff kann durch Administratoren durch Festlegen von Freigaberichtlinien für die Organisation oder von Richtlinien für Vertrauensregeln eingeschränkt werden.

Drive for Desktop

Beim Kopieren von Dateien mit Google Drive für den Desktop zwischen Drive und einem lokalen Gerät werden Ereignisse vom Typ Download und Elementinhalt synchronisiert protokolliert.