Suchanfragen im Prüftool anpassen

Diese Funktion ist für G Suite Enterprise, G Suite Enterprise for Education, Drive Enterprise und die Cloud Identity Premiumversion verfügbar.

Im Tool für die Sicherheitsprüfung können Sie Suchanfragen mithilfe von verschiedenen Bedingungen anpassen. Welche Bedingungen verfügbar sind, hängt von der jeweiligen Datenquelle ab, z. B. Geräteprotokollereignisse oder Drive-Protokollereignisse.

So führen Sie eine Suchanfrage mit dem Prüftool aus:

Melden Sie sich unter admin.google.com in der Google Admin-Konsole an.
Achten Sie darauf, nicht Ihr privates Gmail-Konto, sondern das Administratorkonto zu verwenden.
Klicken Sie auf Sicherheit.
Klicken Sie auf Prüftool.
Wählen Sie eine Datenquelle für die Suche aus: Geräteprotokollereignisse, Geräte, Drive-Protokollereignisse, Gmail-Protokollereignisse, Gmail-Nachrichten, Nutzer-Protokollereignisse oder Nutzer.
Hinweis: Welche Datenquellen verfügbar sind, hängt davon ab, welche G Suite-Version Sie nutzen.
Klicken Sie auf BEDINGUNG HINZUFÜGEN.
Sie können eine oder mehrere in die Suche aufnehmen. Weitere Informationen zu den verfügbaren Bedingungen finden Sie in den folgenden Abschnitten.
Klicken Sie auf SUCHEN.

Auf Grundlage der Suchergebnisse Aktionen ausführen

Nach einer Suche im Prüftool haben Sie verschiedene Möglichkeiten. Beispiel: Wenn Sie in den Gmail-Protokollereignissen suchen, können Sie anschließend mit dem Prüftool bestimmte Nachrichten löschen, als Spam oder Phishing markieren, unter Quarantäne stellen oder an die Posteingänge von Nutzern senden. Weitere Informationen dazu finden Sie im Hilfeartikel Auf Grundlage der Suchergebnisse Aktionen ausführen.

Hinweis: Je weiter Sie die Suche eingrenzen, desto schneller erhalten Sie Ergebnisse im Prüftool. Wenn Sie z. B. nur nach Ereignissen aus der letzten Woche suchen, wird die Anfrage schneller zurückgegeben als eine ohne zeitliche Begrenzung.

Beim Anpassen einer Suche eine Option "Gruppieren nach" hinzufügen

Wenn Sie eine Suche im Prüftool anpassen, können Sie Elemente nach einem bestimmten Suchattribut gruppieren und sich so schnell einen Überblick über den Umfang des Problems verschaffen. Wenn Sie zum Beispiel nach Geräteprotokollereignissen suchen, können Sie die Suchkriterien auf Grundlage des Gerätemodells gruppieren.

So fügen Sie Ihrer Suche eine Option "Gruppieren nach" hinzu:

Klicken Sie während der Suche auf GRUPPIERUNGSOPTION HINZUFÜGEN.
Wählen Sie im Drop-down-Menü Gruppieren nach eine Bedingung für Ihre Suche aus, z. B. Gerätemodell.
Klicken Sie auf SUCHEN.

In diesem Beispiel werden die Geräte in der Liste mit den Suchergebnissen angezeigt. Bei jedem Element in den Suchergebnissen steht der Name des Gerätemodells und es wird angezeigt, wie häufig die einzelnen Gerätemodelle vorkommen, wobei die höchste Anzahl oben steht.

Anschließend können Sie den Suchkriterien weitere Bedingungen hinzufügen. Bewegen Sie den Mauszeiger dazu über die Suchergebnisse, klicken Sie auf das Dreipunkt-Menü und dann auf Bedingung zur Suche hinzufügen.

Bedingungen für Geräteprotokollereignisse

Bedingung
Datum	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Geräte-ID	Ist Ist nicht	Geben Sie in das Feld Geräte-ID einen Wert ein.
Ereignis	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Änderung der Kontoregistrierung Compliancestatus des Geräts Aktualisierung des Gerätebetriebssystems Unterstützung von Arbeitsprofilen Änderung der Geräteeinstellungen Gerät manipuliert Falsche Passworteingaben Verdächtige Aktivität Anwendungsänderung auf Gerät ADB-Ereignisse Displaysperre-Ereignisse Geräteeigentümer geändert Netzwerkereignis Geräteaktion
Geräteeigentümer	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld "Geräteeigentümer" eine gültige E-Mail-Adresse ein.
Gerätetyp	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Android iOS Mac Windows Chrome OS
Gerätemodell	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Gerätemodus einen Wert ein.
Falsche Passworteingaben	Ist gleich Kleiner als oder gleich Größer als oder gleich	Geben Sie in das Feld Numerischer Wert eine Zahl ein.
Manipulationsstatus des Geräts	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Gehackt Nicht gehackt
Geräteeigenschaft	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Gerätemodell Seriennummer IMEI-Nummer MEID-Nummer WLAN-Mac-Adresse Device Policy App-Berechtigung Hersteller Marke oder Anbieter des Geräts Gerätehardware Bootloader-Version
Geräteeinstellung	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Entwickleroptionen Unbekannte Quellen USB-Fehlerbehebung Apps überprüfen
SHA-256-Hash der Anwendung	Ist Ist nicht	Geben Sie in das Feld SHA-256-Hash einen Wert ein.
Anwendungs-ID	Ist Ist nicht	Geben Sie in das Feld Anwendungs-ID einen Wert ein.
Anwendungsstatus	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Installiert Deinstalliert Aktualisiert
Kontostatus	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Registriert Nicht registriert
Registrierberechtigung	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Geräteadministrator Geräteeigentümer Profilinhaber
Geräteeigentümerschaft	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Gehört dem Unternehmen Gehört dem Nutzer
Neue Geräte-ID	Ist Ist nicht	Geben Sie in das Feld Geräte-ID einen Wert ein.
Ressourcen-ID	Ist Ist nicht	Geben Sie in das Feld Ressourcen-ID einen Wert ein.
Seriennummer	Ist Ist nicht	Geben Sie in das Feld Seriennummer einen Wert ein.
iOS-Anbieter-ID	Ist Ist nicht	Geben Sie in das Feld iOS-Anbieter-ID einen Wert ein.
Domain	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Domain einen Wert ein.
Compliancestatus des Geräts	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Konform Nicht konform
Eigenschaft des Betriebssystems	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Betriebssystemversion Build-Nummer Kernel-Version Baseband-Version Sicherheitspatch Bootloader des Geräts

Bedingungen für Geräte

Bedingung
Geräte-ID	Ist Ist nicht	Geben Sie in das Feld Geräte-ID einen Wert ein.
Geräteeigentümer	Ist Ist nicht	Geben Sie in das Feld Geräteeigentümer eine gültige E-Mail-Adresse ein.
Gerätetyp	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Android iOS Mac Windows Chrome OS
Gerätemodell	Ist Ist nicht	Geben Sie in das Feld Gerätemodell einen Wert ein.
Status	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Ausstehend Aktiv Blockiert Wird gelöscht Gelöscht Nicht eingerichtet Kontolöschung Konto gelöscht Registriert Nicht registriert Deaktiviert Genehmigt
Datum der letzten Synchronisierung	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Manipulationsstatus des Geräts	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Gehackt Nicht gehackt
Passwortstatus	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: An Aus
Verwaltungstyp	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: – Einfach Erweitert
Datum des Sicherheitspatches	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Registrierungsdatum	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Mobilfunkanbieter	Ist Ist nicht	Geben Sie in das Feld Mobilfunkanbieter einen Wert ein.

Bedingungen für Drive-Protokollereignisse

Bedingung
Datum	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Dokument-ID	Ist Ist nicht	Geben Sie in das Feld Dokument-ID einen Wert ein.
Titel	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Titel einen Wert ein.
Dokumenttyp	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Google-Dokument Google-Tabelle Google-Präsentation Ordner Google-Formular Google-Zeichnung Geteilte Ablage Textdatei JPEG PDF PNG MP4 Microsoft Word Microsoft Excel HTML MPEG QuickTime Microsoft PowerPoint Google Sites
Bisherige Sichtbarkeit	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Privat Intern freigegeben Personen innerhalb der Domain mit dem Link Öffentlich in der Domain Extern freigegeben Personen mit dem Link Öffentlich im Web
Sichtbarkeit	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Privat Intern freigegeben Personen innerhalb der Domain mit dem Link Öffentlich in der Domain Extern freigegeben Personen mit dem Link Öffentlich im Web
Ereignis	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Erstellen Hochladen Bearbeiten Anzeigen Umbenennen Verschieben Zu Ordner hinzufügen Aus Ordner entfernen Papierkorb Löschen Aus Papierkorb wiederherstellen Herunterladen Vorschau Drucken Eigentümer ändern ACL-Bearbeiter ändern Zugriffsbereich ändern Dokumentsichtbarkeit ändern Nutzerzugriff ändern Mitgliedschaft in geteilter Ablage ändern
Akteur	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Akteur einen Nutzernamen ein. Hinweis: Der Akteur ist der Nutzer, der durch eine Änderung an einer Datei ein Ereignis ausgelöst hat.
Eigentümer	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Eigentümer einen Nutzernamen ein.
Ziel	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Ziel einen Wert ein. Hinweis: Das Ziel ist der Nutzer oder die Gruppe, die einer Datei hinzugefügt oder daraus entfernt wurde.
Änderung der Sichtbarkeit	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Intern Extern –
IP-Adresse	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld IP-Adresse einen Wert ein.
Domain	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Domain einen Wert ein.

Sichtbarkeit von Dateien in geteilten Ablagen

Im Ordner "Meine Ablage" hat eine Datei, die nur für den Eigentümer sichtbar ist, den Sichtbarkeitsstatus Privat. Eine Datei in einer geteilten Ablage hat jedoch den Status Intern freigegeben, auch wenn sie nicht explizit für andere Nutzer freigegeben wurde, denn diese Dateien können nicht Privat sein.

Bedingungen für Gmail-Protokollereignisse

Bedingung
Datum	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Nachrichten-ID	Ist Ist nicht	Geben Sie in das Feld Nachrichten-ID einen Wert ein.
Betreff	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Betreff einen Wert ein.
Ereignis	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Administratorquarantäne Anhang heruntergeladen Auf Anhangslink geklickt Anhang in Drive gespeichert Automatisch weitergeleitet Drive-Element in Drive gespeichert Spät als Spam klassifiziert Auf Link geklickt Als ungelesen markiert Aus dem Papierkorb verschoben In Posteingang verschoben In Papierkorb verschoben Geöffnet Empfangen Aus Quarantäne freigegeben Beantwortet Gesendet Vom Nutzer als Spam klassifiziert
Von (Header-Adresse)	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Von (Header-Adresse) eine Adresse ein.
Von (Envelope)	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Von (Envelope) eine Adresse ein.
An (Envelope)	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld An (Envelope) eine Adresse ein.
Eigentümer	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Eigentümer einen Nutzernamen ein.
Domain	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Domain einen Namen ein.
Mit Anhang	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Anhangs-Hash	Ist Ist nicht	Geben Sie in das Feld SHA-256-Hash einen Wert ein.
Name des Anhangs	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Name des Anhangs einen Namen ein.
Malwarefamilie des Anhangs	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Bekannte Malware Virus/Wurm Inhalt könnte schädlich sein Möglicherweise unerwünscht Sonstige
IP-Adresse	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld IP-Adresse einen Wert ein.
Von (Header-Name)	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Von (Header-Name) einen Namen ein.
Absenderdomain	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Absenderdomain einen Namen ein.
Link-Domain	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Link-Domain einen Namen ein.
Anhangserweiterung	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Anhangserweiterung eine Erweiterung ein.
SPF-Domain	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld SPF-Domain einen Namen ein.
DKIM-Domain	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld DKIM-Domain einen Namen ein.
Zugriffsquelle	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Extern Intern
Spamklassifizierung	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Sicher Spam Phishing Verdächtig Malware
Grund für die Spamklassifizierung	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Standard Letzte Aktivitäten des Nutzers Verdächtiger Inhalt Verdächtiger Link Verdächtiger Anhang Typ DMARC Domain in öffentlichen RBLs RFC-Verstoß Verstoß gegen Gmail-Richtlinien Durch maschinelles Lernen eingestuft Absenderzuverlässigkeit Offensichtliche Spamnachricht Sicherheitseinstellung in Gmail
Standortbestimmung	Ist Ist nicht Enthält Enthält nicht	Geben Sie in das Feld Standortbestimmung einen Wert ein.
OAuth-Projekt-ID	Ist gleich Kleiner als oder gleich Größer als oder gleich	Geben Sie einen Wert für die OAuth-Projekt-ID ein.
Ziellink-URL	Ist Ist nicht Enthält Enthält nicht	Geben Sie einen Wert für die Ziellink-URL ein.
Hash des Zielanhangs	Ist Ist nicht	Geben Sie einen Wert für den Hash des Zielanhangs ein.
Name des Zielanhangs	Ist Ist nicht	Geben Sie einen Wert für den Namen des Zielanhangs ein.
Malwarefamilie des Zielanhangs	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Inhalt könnte schädlich sein Bekannte Malware Sonstige Möglicherweise unerwünscht Virus/Wurm
ID der Zielablage	Ist Ist nicht Enthält Enthält nicht	Geben Sie einen Wert für die ID der Zielablage ein.

Bedingungen für Gmail-Nachrichten

Bedingung
Betreff	Ist Ist nicht	Geben Sie einen Betreff in das gleichnamige Feld ein.
Nachrichten-ID	Ist Ist nicht	Geben Sie in das Feld Nachrichten-ID einen Wert ein.
Datum	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Absender	Ist Ist nicht	Geben Sie einen Absender in das gleichnamige Feld ein.
Empfänger	Ist Ist nicht	Geben Sie einen Empfänger in das gleichnamige Feld ein.
Label	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Posteingang Papierkorb Spam Ungelesen Markiert Phishing Administratorquarantäne
Name des Anhangs	Ist Ist nicht	Geben Sie in das Feld Name des Anhangs einen Namen ein.
Mit Anhang	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Cc	Ist Ist nicht	Geben Sie in das Feld Cc eine gültige E-Mail-Adresse ein.
Bcc	Ist Ist nicht	Geben Sie in das Feld Bcc eine gültige E-Mail-Adresse ein.
Alle Inhalte	Enthält Wort Enthält Wort nicht	Geben Sie in das Feld Alle Inhalte einen Wert ein.
Nachrichtengröße	Größer als oder gleich Kleiner als oder gleich	Geben Sie in das Feld Nachrichtengröße einen Wert ein.

Bedingungen für Nutzerprotokollereignisse

Verfügbar für Beta-Kunden von G Suite Enterprise, Google Drive Enterprise und der Cloud Identity Premiumversion

Bedingung
Datum	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Nutzer	Ist Ist nicht	Geben Sie in das Feld Nutzer einen Wert ein.
Ereignis	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Erfolgreiche Anmeldung Fehler bei der Anmeldung Identitätsbestätigung Abmelden Passwortänderung Passwort zurücksetzen Registrierung für die Bestätigung in zwei Schritten Abmeldung von der Bestätigung in zwei Schritten Änderung der Wiederherstellungsinformationen Erstellung eines Back-up-Codes
Art der Anmeldung	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Google-Passwort SAML Exchange Neuautorisierung Unbekannt
Art der Identitätsbestätigung	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Aufforderung von Google Passwort Offline-OTP: Der Nutzer gibt einen OTP-Code aus den Einstellungen seines Android-Smartphones ein Kenntnis einer Mitarbeiter-ID: Der Nutzer weist die Kenntnis einer Mitarbeiter-ID nach Kenntnis einer zuvor registrierten E-Mail: Der Nutzer weist die Kenntnis einer vorab registrierten E-Mail-Adresse nach Kenntnis eines zuvor registrierten Smartphones: Der Nutzer weist die Kenntnis eines vorab registrierten Smartphones nach Anmeldestandort: Der Nutzer meldet sich von seinem üblichen Anmeldeort aus an IDV auf beliebigem Smartphone: Der Nutzer wird nach einer Telefonnummer gefragt und gibt einen Code ein, der an dieses Telefon gesendet wurde Back-up-Code: Der Nutzer wird aufgefordert, einen Back-up-Code einzugeben Sicherheitsschlüssel: Der Nutzer übergibt einen Sicherheitsschlüssel bei der kryptografischen Identitätsbestätigung Google Authenticator: Der Nutzer wird aufgefordert, einen OTP-Code aus der Authenticator App einzugeben Sonstige –
Ist verdächtig	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
IP-Adresse	Ist Ist nicht	Geben Sie in das Feld IP-Adresse einen Wert ein.
Geräte-ID	Ist Ist nicht	Geben Sie in das Feld Geräte-ID einen Wert ein.
Zweiter Faktor	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch

Bedingungen für Nutzer

Bedingung
E-Mail	Ist Ist nicht	Geben Sie in das Feld E-Mail eine gültige E-Mail-Adresse ein. Hinweis: Diese Adresse kann sowohl mit der primären als auch mit anderen E-Mail-Adressen eines Nutzers übereinstimmen.
Vorname	Ist Ist nicht	Geben Sie in das Feld Vorname einen Wert ein.
Nachname	Ist Ist nicht	Geben Sie in das Feld Nachname einen Wert ein.
Letzte Anmeldung	Vor Nach	Geben Sie ein Datum in das gleichnamige Feld ein. Verwenden Sie das folgende Format: YYYY-MM-DDThh:mm:ss
Super Admin	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Delegierter Administrator	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Bestätigung in zwei Schritten eingerichtet	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Bestätigung in zwei Schritten für Organisation erzwungen	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Gesperrte ID	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Passwort bei der Anmeldung ändern	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch
Postfach eingerichtet	Ist Ist nicht	Wählen Sie aus folgenden Optionen aus: Wahr Falsch

War das hilfreich?

Wie können wir die Seite verbessern?