Schlüsselpunkte
- Typische Ursachen für Lücken erkennen: Dazu zählen die Einarbeitung und das Offboarding von Benutzer:innen, Änderungen an Organisationseinheiten (OUs) oder Gruppen sowie falsch konfigurierte Backup-Richtlinien.
- Eine Benutzer-Baseline aufbauen: Exportieren Sie das vollständige Benutzerverzeichnis von Google Workspace und gleichen Sie es mit Ihrem SaaS-Backup-Inventar ab.
- Richtlinien für OUs und Gruppen prüfen: Hier entstehen besonders häufig blinde Flecken im Backup, vor allem wenn neue Benutzer:innen oder Gruppen ohne aktualisierte Backup-Zuweisungen hinzukommen.
- Die Grenzen von Vault kennen: Google Vault unterstützt Datenaufbewahrung und Legal Hold, ist aber keine Backup-Lösung.
- Die Erkennung von Lücken automatisieren: Mit der Google Admin SDK Directory API und der Reports API finden Sie ungeschützte Benutzerkonten und riskante Löschaktivitäten automatisiert und in großem Maßstab.
- Behebung dokumentieren und steuern: Erfassen Sie Backup-Lücken in einem zentralen Register, damit die Behebung in allen Google Workspace-Umgebungen einheitlich abläuft.
Ein umfassender und strukturierter Prozess zur Erkennung von Lücken in der Google Backup-Abdeckung bringt MSPs gleich mehrere Vorteile. Vor allem stellt er sicher, dass jede lizenzierte Person und jeder Datensatz geschützt ist. Administrator:innen können dadurch leichter
- Fehlkonfigurationen oder blinde Flecken frühzeitig erkennen,
- Ergebnisse für Audits und vierteljährliche Geschäftsüberprüfungen (QBRs) dokumentieren und
- Maßnahmen zur Behebung oder zusätzliche Investitionen in SaaS-Backup begründen.
Schützen Sie alle Benutzer:innen und Workloads mit einer zuverlässigen SaaS-Backup-Lösung.
Hier geht’s zu Ihrer kostenlosen Testversion von NinjaOne SaaS-Backup
Anleitung: So prüfen Sie Ihre Google Backup-Daten
📌 Voraussetzungen:
- Sie benötigen die Rolle „Super Admin“ oder ein delegiertes Administratorkonto mit Zugriff auf die Google Admin-Konsole und Vault.
- Wenn Sie mit APIs arbeiten, brauchen Sie ein Google Cloud-Projekt, in dem die Admin SDK Directory API und die Reports API aktiviert sind.
- OAuth 2.0-Anmeldeinformationen für den delegierten Zugriff sind erforderlich.
- Sie sollten über ein Basisinventar der Benutzer:innen, OUs und Gruppen verfügen, um Abgleiche durchführen zu können.
- Außerdem brauchen Sie eine Tabelle oder eine Dokumentations-Plattform, um Ergebnisse festzuhalten.
📌 Empfohlene Vorgehensweisen:
| Klicken Sie auf eine Methode | 💻 Am besten für Einzelanwender:innen | 💻💻💻 Am besten für Unternehmen |
| Methode 1: Abdeckung der Benutzerkonten über die Admin-Konsole prüfen | ✓ | |
| Methode 2: Ausnahmen bei Organisationseinheiten (OUs) und Gruppen prüfen | ✓ | |
| Methode 3: Aufbewahrungsrichtlinien in Vault überprüfen | ✓ | |
| Methode 4: Ungeschützte Konten mit der Admin SDK Directory API aufspüren | ✓ | |
| Methode 5: Löschrisiken mit der Reports API erkennen | ✓ | |
| Methode 6: Ergebnisse dokumentieren und ein Lückenregister aufbauen | ✓ |
Einen schnellen visuellen Überblick gibt Ihnen unser Video-Leitfaden So erkennen Sie Lücken in der Backup-Abdeckung von Google Workspace mit der Admin-Konsole und APIs
Methode 1: Abdeckung der Benutzerkonten über die Admin-Konsole prüfen
- Öffnen Sie die Google Admin-Konsole.
- Gehen Sie zu Menü > Verzeichnis > Nutzer.
- Klicken Sie oben rechts auf das Symbol Herunterladen.
- Wählen Sie Alle Nutzer.
- Sie können die Daten entweder als CSV-Datei herunterladen oder in Google Sheets ablegen. Wählen Sie die Option, die am besten zu Ihren Vorlieben und den Richtlinien Ihres Unternehmens passt.
- Vergleichen Sie die Daten aus der Google-Konsole mit den Daten aus Ihrer SaaS-Backup-Liste.
- Markieren Sie alle abweichenden oder fehlenden Einträge. Fehlt ein Eintrag in der SaaS-Backup-Datei, ist das betreffende Benutzerkonto nicht korrekt mit einer Backup-Richtlinie verknüpft.
Methode 2: Ausnahmen bei Organisationseinheiten (OUs) und Gruppen prüfen
- Gehen Sie die verschiedenen Organisationseinheiten und Gruppen durch, über die in Ihrem Unternehmen Backups zugewiesen werden.
- Stellen Sie sicher, dass alle Bereiche abgedeckt sind und alle Benutzer:innen einer passenden Backup-Richtlinie zugeordnet sind.
- Markieren Sie nicht abgedeckte Benutzer:innen oder Gruppen sofort. Das kommt zum Beispiel vor, wenn eine OU neu ist oder Benutzer:innen kürzlich in eine neue Gruppe verschoben wurden.
- Achten Sie darauf, dass Ihre Backup-Richtlinien einheitlich auf alle Benutzer:innen, Gruppen und Organisationseinheiten angewendet werden.
Methode 3: Aufbewahrungsrichtlinien in Vault überprüfen
- Öffnen Sie Google Vault.
- Gehen Sie zu Aufbewahrung.
- Prüfen Sie, ob die Aufbewahrungsregeln für Gmail, Drive, Chat und Meet einheitlich auf alle Ihre Organisationseinheiten angewendet werden.
- Dokumentieren Sie die Lücken, falls die Regeln nicht einheitlich greifen.
- Arbeiten Sie Ihre Dokumentation durch und passen Sie jede Einstellung so an, dass die Regeln in allen Organisationseinheiten einheitlich gelten.
Ganz wichtig: Google Vault hilft zwar dabei, Daten aus Compliance-Gründen und für Legal Hold aufzubewahren, ersetzt aber kein SaaS-Backup eines Drittanbieters. Vault garantiert weder
- Wiederherstellungen zu einem bestimmten Zeitpunkt,
- granulare Wiederherstellung noch
- Schutz vor Fehlkonfigurationen durch Administrator:innen.
Methode 4: Ungeschützte Konten mit der Admin SDK Directory API aufspüren
Sie können auch Windows PowerShell verwenden, um über die SDK Directory API eine Abfrage auszuführen und Abdeckungslücken zu finden. (Denken Sie daran: Token müssen über OAuth 2.0 oder Dienstkonten mit domainweiter Delegierung erzeugt werden.)
Hier ein Beispielskript, das Sie verwenden können:
# Example PowerShell snippet using Google Admin SDK Directory API$uri = "https://admin.googleapis.com/admin/directory/v1/users?customer=my_customer&maxResults=500"$headers = @{ Authorization = "Bearer $AccessToken" }$response = Invoke-RestMethod -Uri $uri -Headers $headers $response.users | Select-Object primaryEmail, suspended, orgUnitPath |
„Bearer $AccessToken“ müssen Sie durch ein gültiges API-Token ersetzen.
Mit diesem Skript verbinden Sie sich über die Admin SDK API mit Google Workspace und erhalten
- eine Liste von 500 Benutzer:innen samt E-Mail-Adressen,
- die Information, ob das Konto gesperrt ist, und
- die Organisationseinheit, zu der es gehört.
Exportieren Sie die Daten als CSV-Datei und vergleichen Sie sie mit den Daten in Ihren Backup-Tools. Markieren Sie abweichende oder fehlende Konten, um ungeschützte Benutzerkonten zu finden.
Methode 5: Löschrisiken mit der Reports API erkennen
Häufige Löschvorgänge und „Papierkorb leeren“-Aktionen können die Wiederherstellbarkeit gefährden. Mit der Reports API spüren Sie solche Aktionen auf, zum Beispiel mit diesem Skript:
# === CONFIGURATION ===$AccessToken = "<YOUR_ACCESS_TOKEN>" # Paste your OAuth token here$Application = "admin" # 'admin' = Admin Console events$EventName = "DELETE_USER" # Type of deletion event$StartTime = (Get-Date).AddDays(-30).ToString("yyyy-MM-ddTHH:mm:ssZ") # Last 30 days$OutputCsv = "C:\Reports\UserDeletions.csv"# === INITIALIZE ===$uri = "https://admin.googleapis.com/admin/reports/v1/activity/users/all/applications/$Application?eventName=$EventName&startTime=$StartTime"$headers = @{ Authorization = „Bearer $AccessToken“ }$allEvents = @() $pageToken = $nullWrite-Host „Fetching deletion events from Reports API…“do { $fullUri = if ($pageToken) { "$uri&pageToken=$pageToken" } else { $uri }try { $response = Invoke-RestMethod -Uri $fullUri -Headers $headers -Method Get } catch { Write-Error „API call failed: $_“ break }if ($response.items) { foreach ($item in $response.items) { $eventDetails = [PSCustomObject]@{ EventId = $item.id.uniqueQualifier Time = $item.id.time ActorEmail = $item.actor.email ActorType = $item.actor.type EventName = $item.events[0].name TargetUser = ($item.events[0].parameters | Where-Object { $_.name -eq „USER_EMAIL“ }).value } $allEvents += $eventDetails } }$pageToken = $response.nextPageToken } while ($pageToken)# === EXPORT === if ($allEvents.Count -gt 0) { $allEvents | Export-Csv -Path $OutputCsv -NoTypeInformation -Encoding UTF8 Write-Host „Export complete. $($allEvents.Count) deletion events saved to $OutputCsv“ } else { Write-Host „No deletion events found.“ } |
So sehen Sie alle Löschereignisse in Ihrem Google Workspace. Dokumentieren Sie Muster und stellen Sie sicher, dass Ihre Vault-Regeln oder Ihre Backup-Abdeckung diese Situationen abdecken.
Methode 6: Ergebnisse dokumentieren und ein Lückenregister aufbauen
Wenn Sie eine Lücke entdecken, sollten Sie Folgendes tun:
- Halten Sie den betroffenen Workload bzw. Dienst, das betroffene Benutzerkonto oder die OU, das zu lösende Problem und die Schritte zur Behebung fest.
- Benennen Sie Verantwortliche für die Behebung und setzen Sie eine Frist.
- Legen Sie das Register in einem gemeinsam genutzten Dokument ab, damit es für Governance und QBR-Gespräche zur Verfügung steht.
Best Practices für die Backup-Abdeckung in Google Workspace im Überblick
| Komponente | Nutzen |
| Export der Benutzerliste vs. Backup-Liste | Damit erkennen Sie ungeschützte Konten und können sie absichern. |
| Prüfung der Richtlinien für OUs und Gruppen | Das verhindert Fehlkonfigurationen und stellt sicher, dass jede Organisationseinheit und Gruppe abgedeckt ist. |
| Kontrolle der Vault-Aufbewahrung | So stellen Sie sicher, dass die Google Vault-Regeln zu denen Ihres Unternehmens passen. |
| Abfragen über die Directory API | Damit erkennen Sie Lücken in Ihrem Google Workspace automatisiert. |
| Audit über die Reports API | Damit identifizieren Sie riskante Löschmuster und können rechtzeitig gegensteuern. |
| Lückenregister | Damit verfolgen Sie die Behebung nach und schaffen klare Verantwortlichkeiten. |
Beispiel-Workflow für die tägliche Erkennung von Lücken
- Stellen Sie ein Skript bereit, das über die Admin SDK Directory API eine Benutzerliste abruft.
- Vergleichen Sie diese Liste mit der Liste aus Ihrem SaaS-Backup.
- Exportieren Sie die Abweichungen in eine CSV-Datei.
- Lösen Sie in Ihrer PSA-Software automatisch die Erstellung eines Tickets für ungeschützte Konten aus.
- Archivieren Sie die Ergebnisse wöchentlich für Audits.
NinjaOne-Integration für das Management der Backup-Abdeckung
Mit den Tools von NinjaOne können Sie
- geplante Skripte ausführen, die die Directory API oder die Reports API abfragen,
- für ungeschützte Konten automatisiert Tickets erzeugen,
- Lückenregister in NinjaOne Docs ablegen und so Transparenz gegenüber Kund:innen schaffen,
- die Abdeckungs-Compliance in QBR-Dashboards aufnehmen und
- Erinnerungen an vierteljährliche Audits der Abdeckung automatisieren.
Besonders hilfreich ist NinjaOne Backup: Die Lösung bietet jetzt auch SaaS-Backup-Funktionen für Google Workspace und Microsoft 365 und gibt Teams über proaktive Alarmierungen und eine einheitliche Management-Ansicht zentrale Transparenz über mögliche Lücken in der Backup-Abdeckung.
Starten Sie noch heute eine kostenlose Testversion der Software oder sehen Sie sich eine kostenlose Demo an.
Automatisieren Sie Transparenz und Alarmierungen zu Abdeckungslücken in Google Workspace und MS 365.
Benutzerkonten mit einer durchdachten SaaS-Governance schützen
Unterm Strich ist es entscheidend, Lücken in der Backup-Abdeckung im Google Workspace Ihres Unternehmens aufzudecken. Nur so können Sie sicher sein, dass alle genutzten Konten und Dienste geschützt sind. Dafür eignen sich
- Exporte aus der Google Admin-Konsole,
- Kontrollen der Vault-Aufbewahrung und
- die Admin SDK APIs,
um blinde Flecken systematisch aufzuspüren und die Ergebnisse für Ihre Kund:innen zu dokumentieren.
Verwandte Links:
