So prüfen Sie die Berechtigungen von OAuth-Drittanbieter-Apps in Google Workspace

OAuth-basierte Integrationen von Drittanbieter-Apps in Google Workspace sind praktisch und nützlich, können aber zum Sicherheitsrisiko werden, wenn sie unkontrolliert bleiben. Eine regelmäßige Google OAuth-Berechtigungsprüfung ist deshalb unverzichtbar, damit die Daten Ihres Unternehmens und Ihrer Kund:innen geschützt bleiben.

Wenn Sie regelmäßig prüfen, welche Anwendungen Zugriff auf Ihr Google Workspace haben, verhindern Sie unbefugte Datenzugriffe und laterale Bewegungen im Netzwerk. Außerdem erkennen Sie ungenutzte Anwendungen, die weiterhin riskante Berechtigungen mit großem Geltungsbereich besitzen, und stellen sicher, dass Ihr Unternehmen Sicherheitsvorgaben wie HIPAA, SOC 2, ISO 27001 und weitere einhält.

Sie möchten das Thema lieber visuell nachvollziehen? Dann sehen Sie sich unser Video an: So prüfen Sie die Berechtigungen von OAuth-Drittanbieter-Apps in Google Workspace.

Diese Möglichkeiten gibt es für ein OAuth-Token-Auditprotokoll

Am effizientesten prüfen und entfernen Sie Tokens von Google-Drittanbieter-Apps über die Google Admin-Konsole. Administrator:innen können die Details zum App-Zugriff außerdem per Kommandozeile und PowerShell exportieren.

📌 Voraussetzungen:

• Sie benötigen ein Google Workspace-Administrator- oder Super-Administrator-Konto.
• Zugriff auf die Google Admin-Konsole oder das Google Workspace Admin SDK ist erforderlich.
• PowerShell 7+ mit aktivierten Google-APIs ist erforderlich, insbesondere wenn Sie Daten exportieren möchten.
• Optional: Google Cloud-Projekt mit aktivierter OAuth-Token-Prüfung
• Optional: NinjaOne oder andere RMM-Tools, um die App-Nutzung von Geräten und Benutzer:innen zu taggen, zu überwachen und darüber zu berichten

📌 Empfohlene Vorgehensweisen:

Klicken Sie, um eine Methode auszuwählen	💻 Am besten für Einzelanwender:innen	💻💻💻 Am besten für Unternehmen
Methode 1: OAuth-Apps über die Google Admin-Konsole prüfen		✓
Methode 2: App-Zugriffsdetails über die Google Workspace Reports API exportieren		✓
Methode 3: Riskante oder inaktive Apps erkennen und entfernen		✓
Methode 4: Ergebnisse zu OAuth-Apps in der Registry taggen oder protokollieren (für RMM-Transparenz)		✓

Methode 1: OAuth-Apps über die Google Admin-Konsole prüfen

1. Öffnen Sie den Browser Ihrer Wahl.
2. Rufen Sie admin.google.com auf.
3. Navigieren Sie zu: Sicherheit > Zugriffs- und Datenkontrolle > API-Steuerung > App-Zugriffssteuerung.
4. Sehen Sie sich die Liste der Drittanbieter-Apps an, die Zugriff auf Ihre Google Workspace-Daten haben.
5. Prüfen Sie die Liste der angeforderten OAuth-Scopes.
6. Ermitteln Sie die Anwendungen mit sensiblen Scopes. Darauf sollten Sie achten:
   • Anwendungen mit Vollzugriff auf Gmail (gmail.modify, gmail.compose)
   • Anwendungen mit Schreib- oder Freigabeberechtigungen für Drive
   • Anwendungen, die APIs auf Administrationsebene wie admin.directory.user.readonly nutzen

Methode 2: App-Zugriffsdetails über die Google Workspace Reports API exportieren

Option 1: Google Apps Manager verwenden

Google Apps Manager ist ein Kommandozeilen-Tool, mit dem Sie auf Google Workspace-Tools zugreifen können.

💡Hinweis: Der Google Apps Manager benötigt Zugriff auf die APIs von Google, um zu funktionieren. Gehen Sie dafür in Ihrer Google Admin-Konsole zu Sicherheit > API-Referenz und klicken Sie auf API-Zugriff aktivieren > Änderungen speichern.

1. Öffnen Sie das Startmenü und suchen Sie nach Eingabeaufforderung.
2. Klicken Sie mit der rechten Maustaste auf Eingabeaufforderung > Als Administrator ausführen.
3. Geben Sie gam ein und drücken Sie die Eingabetaste. Damit starten Sie den Google Apps Manager. Beim ersten Start führt Sie die Eingabeaufforderung durch die Vergabe der erforderlichen Berechtigungen und Anmeldeinformationen.
4. Geben Sie gam report tokens ein und drücken Sie die Eingabetaste. Damit erhalten Sie folgende Informationen:
   • App-Name
   • Client-ID
   • Benutzer:in, unter der/dem die App autorisiert ist
   • OAuth-Scopes
   • Zeitstempel der letzten Nutzung
5. Um die Daten in eine CSV-Datei zu exportieren, geben Sie gam report tokens > oauth_tokens.csv ein und drücken Sie die Eingabetaste.

Option 2: Windows PowerShell mit Google API-Client verwenden

📌 Voraussetzung: Die Google API .NET-Clientbibliotheken müssen bereits in Windows PowerShell installiert sein.

1. Öffnen Sie das Startmenü und suchen Sie nach Windows PowerShell.
2. Klicken Sie mit der rechten Maustaste auf Windows PowerShell > Als Administrator ausführen.
3. Dies ist ein Beispielskript, das Sie ausführen können:

Invoke-RestMethod -Uri "https://admin.googleapis.com/admin/reports/v1/activity/users/all/applications/token" -Headers @{ Authorization = „Bearer <access_token>“ }

Ersetzen Sie <access_token> durch das Zugriffstoken für Ihr Konto.

Methode 3: Riskante oder inaktive Apps erkennen und entfernen

1. Öffnen Sie den Browser Ihrer Wahl.
2. Rufen Sie admin.google.com auf.
3. Navigieren Sie zu: Sicherheit > Zugriffs- und Datenkontrolle > API-Steuerung > App-Zugriffssteuerung.
4. Klicken Sie jede Drittanbieter-Anwendung an und prüfen Sie die genutzten Scopes sowie die Benutzer:innen, die die Anwendung autorisiert haben.
5. Blockieren Sie Anwendungen, die nicht den Sicherheitsrichtlinien Ihres Unternehmens entsprechen. Klicken Sie dafür auf Zugriff ändern > Zugriff blockieren.

Methode 4: Ergebnisse zu OAuth-Apps in der Registry taggen oder protokollieren (für RMM-Transparenz)

Sie können Informationen zu Ihrer Berechtigungsprüfung in der Windows-Registry festhalten und die Daten mit Ihrem RMM-Tool nachverfolgen, überprüfen und aktualisieren.

1. Öffnen Sie das Startmenü und suchen Sie nach Windows PowerShell.
2. Klicken Sie mit der rechten Maustaste auf Windows PowerShell > Als Administrator ausführen.
3. Geben Sie diesen Befehl ein und drücken Sie die Eingabetaste:
   

New-Item -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Force Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "LastAuditDate" -Value (Get-Date).ToString(„u“) Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\OAuthAudit" -Name "FlaggedApps" -Value "Dropbox, SlackBot"

4. Um die Informationen in den Registry-Schlüsseln zu überprüfen, öffnen Sie die Eingabeaufforderung mit erhöhten Rechten.
5. Geben Sie diesen Befehl ein und drücken Sie die Eingabetaste:

reg query HKLM\SOFTWARE\Org\OAuthAudit

⚠️ Fehlerbehebung und mögliche Stolpersteine

Probleme	Mögliche Folgen	Lösungen
Die Anwendung taucht wieder auf, obwohl Sie den Zugriff blockiert haben.	Die Anwendung hat weiterhin Zugriff auf Daten, die sie nicht sehen soll.	Möglicherweise liegen bei Benutzer:innen noch zwischengespeicherte Tokens vor. Widerrufen Sie diese Tokens über Google Admin-Konsole > Sicherheit > Drittanbieterzugriff verwalten.
Im Google Apps Manager fehlen Daten.	Ihnen fehlen genaue Daten für die Berechtigungsprüfung der Drittanbieter-Apps.	Stellen Sie sicher, dass die Reports API aktiviert ist und der Google Apps Manager über delegierte Administratorrechte verfügt.
Es sind keine OAuth-Protokolle vorhanden.	Sie können die Prüfung der Drittanbieter-Apps nicht durchführen.	Stellen Sie sicher, dass die Aufbewahrung von Auditprotokollen in der Google Admin-Konsole aktiv ist. Die Protokollierung beginnt erst, nachdem Sie diese Funktion aktiviert haben.
Sie finden den Token-Cache nicht.	Sie können die Prüfung der Drittanbieter-Apps nicht durchführen.	Der Token-Cache kann in Browser-Sitzungen gespeichert oder cloudseitig verwaltet sein. Diese Informationen können Sie über die Reports API überprüfen.

Weitere Punkte beim Erstellen eines OAuth-Token-Auditprotokolls

• Viele OAuth-Tokens von Drittanbietern laufen nicht ab, solange sie nicht widerrufen werden. Wenn eine Anwendung nicht mehr auf Google Workspace zugreifen soll, müssen Sie ihre Berechtigungen aktiv widerrufen.
• OAuth-Scopes können nach der Authentifizierung ohne Benachrichtigung erweitert werden. Führen Sie Prüfungen deshalb regelmäßig durch, damit Anwendungen nur die Berechtigungen besitzen, die die Sicherheitsvorgaben Ihres Unternehmens zulassen.
• Endbenutzer:innen akzeptieren App-Scopes und Berechtigungen häufig, ohne die Risiken zu kennen. Regelmäßige Prüfungen von Scopes und Berechtigungen beugen Sicherheitsverletzungen vor.
• Apps mit gerätebasierten Berechtigungen können sich ohne Benachrichtigung erneut authentifizieren. Sie müssen sie auf Administrationsebene blockieren.

NinjaOne-Services für die Prüfung von Berechtigungen bei Google-Drittanbieter-Apps

NinjaOne unterstützt IT-Administrator:innen bei der Prüfung der Berechtigungen von Google-Drittanbieter-Apps in Google Workspace, und zwar durch:

• Taggen von Geräten mit OAuth-Tokens oder zugehörigen Registry-Schlüsseln
• Bereitstellung von Skripten, die Google-Token-Artefakte auf Ihren Endpunkten erkennen
• Alarmierungen an Administrator:innen, wenn in Benutzerprofilen oder Anmeldeinformationsspeichern Anwendungen mit hohem Risiko gefunden werden
• Registry-Scans und Berichterstattung zum Anwendungs-Footprint jedes Geräts und jeder Benutzerin bzw. jedes Benutzers
• Automatisierung der Behebung, etwa durch das Entfernen lokaler Anwendungsclients oder das Löschen gespeicherter Tokens, wenn nötig

Schützen Sie Ihre Unternehmensdaten durch regelmäßige Prüfungen von OAuth-Berechtigungen

Die Prüfung von OAuth-Berechtigungen für Drittanbieter in Google Workspace ist ein zentraler Baustein einer guten Cloud-Sicherheitshygiene. So stellen Sie sicher, dass keine Anwendung mehr Berechtigungen besitzt als nötig, und schützen die Daten Ihres Unternehmens und Ihrer Kund:innen vor Sicherheitsverletzungen.

Weiterführende Links:

• So richten Sie ein API-OAuth-Token ein
• Was ist OAuth?
• Was ist OAuth? [Video]