Google Drive strengere Regeln für Dateifreigaben: Google führt für ausgewählte Workspace-Editionen eine neue Sicherheitsfunktion ein, mit der Unternehmen sensible Dateien nicht mehr nur anhand ihres Inhalts schützen, sondern zugleich festlegen können, welche internen oder externen Empfänger diese Dokumente überhaupt erhalten dürfen. Google kündigte die Funktion am 15. September 2026 an; der schrittweise Rollout für Rapid-Release- und Scheduled-Release-Domains begann bereits am 14. September und kann bis zu 15 Tage dauern, wie die Redaktion von Techify.de.
Der Kern der Änderung liegt in einer Zusammenführung zweier bisher getrennter Schutzmechanismen: Data Loss Prevention, kurz DLP, beurteilt Inhalt beziehungsweise Klassifizierung einer Datei, während Freigaberegeln bestimmen, für welche Organisationseinheiten, Gruppen oder Domains eine Freigabe zulässig ist. Administratoren können dadurch beispielsweise automatisch verhindern, dass eine als „vertraulich“ eingestufte Datei an externe Empfänger gelangt, ohne sämtliche externen Freigaben im Unternehmen pauschal abzuschalten. Die Einstellung erfolgt zentral in der Google-Admin-Konsole; für normale Endnutzer gibt es dafür keinen eigenen Schalter.
Was sich bei Google Drive konkret ändert
Google Drive verfügte bereits vorher über DLP-Regeln, Trust Rules, Klassifizierungslabels und verschiedene Möglichkeiten, externe Freigaben einzuschränken. Neu ist deshalb nicht die grundsätzliche Fähigkeit, sensible Informationen zu erkennen oder eine Datei extern zu blockieren. Neu ist vielmehr, dass Administratoren Google Drive DLP und Freigaberegeln innerhalb einer gemeinsamen Data-Protection-Regel miteinander verknüpfen können.
Dadurch kann eine Entscheidung gleichzeitig auf dem Inhalt beziehungsweise Sensitivitätsstatus einer Datei und auf dem vorgesehenen Empfänger beruhen.
Das ermöglicht deutlich präzisere Richtlinien als ein einfaches „extern erlaubt“ oder „extern verboten“. Google spricht ausdrücklich von „content-aware sharing boundaries“, also Freigabegrenzen, die den Inhalt des Dokuments berücksichtigen.
Bislang mussten Verantwortliche laut Google nutzer- und gruppenbasierte Trust Rules sowie DLP-Richtlinien für Drive getrennt verwalten. Jetzt können beide Ebenen in einer Regel zusammengeführt werden.
„prevent data exfiltration“
— Google Workspace Team, Ankündigung vom 15. September 2026.
In der Praxis stehen drei zentrale Varianten für die Empfängersteuerung zur Verfügung:
| Freigaberegel | Wirkung | Typisches Unternehmensszenario |
|---|---|---|
| Externe Freigabe vollständig blockieren | Eine Datei, die die definierten Inhaltsbedingungen erfüllt, darf die Organisation nicht verlassen | Personalakten, interne Finanzdaten, vertrauliche Verträge |
| Nur definierte Empfänger zulassen | Interne und externe Freigaben werden grundsätzlich blockiert, außer für festgelegte OUs, Gruppen oder Domains | Zusammenarbeit mit einer Wirtschaftsprüfung, Kanzlei oder einem festen Projektpartner |
| Bestimmte Empfänger blockieren | Ausgewählte Gruppen, Organisationseinheiten oder externe Parteien werden ausgeschlossen, alle anderen können erlaubt bleiben | Trennung zwischen konkurrierenden Dienstleistern oder bestimmten Auftragnehmern |
Google beschreibt diese Varianten sowohl in der offiziellen Workspace-Ankündigung als auch in der aktualisierten Administratordokumentation.
Damit kann ein Unternehmen beispielsweise festlegen: Eine Datei mit einem bestimmten Vertraulichkeitslabel darf intern zwischen Finanzabteilung und Geschäftsführung geteilt werden, nicht jedoch mit normalen externen Domains.
Eine zweite Regel könnte ausgewählten Beratern weiterhin Zugriff erlauben. Eine dritte könnte eine konkrete Lieferanten-Domain ausdrücklich ausschließen.
Entscheidend ist dabei, dass die Richtlinie nicht erst auf den Namen oder Speicherort einer Datei schauen muss. Sensible Dokumente automatisch blockieren lässt sich auch anhand des tatsächlichen Inhalts realisieren.
DLP kann unter anderem mit vordefinierten Datentypen, Textzeichenfolgen, regulären Ausdrücken oder eigenen Wortlisten arbeiten. Unterstützt werden außerdem Bedingungen auf Basis von Klassifizierungslabels, Dateinamen, Dateierweiterungen und weiteren Metadaten.
Welche Informationen kann DLP erkennen?
Google nennt als Beispiele für vordefinierte Erkennungsmechanismen unter anderem E-Mail-Adressen, Identifikationsnummern oder andere standardisierte sensible Datentypen. Unternehmen können zusätzlich eigene Detektoren bauen.
Ein möglicher Aufbau wäre:
- Datei wird in Google Drive erstellt oder geändert.
- DLP überprüft den Inhalt beziehungsweise relevante Metadaten.
- Eine Regel erkennt etwa eine definierte personenbezogene Nummer, eine interne Kennzeichnung oder ein Klassifizierungslabel.
- Google überprüft gleichzeitig, mit welchem Empfänger die Datei geteilt werden soll.
- Die konfigurierte Sharing Boundary entscheidet, ob die Freigabe erlaubt oder blockiert wird.
- Das Ereignis kann anschließend in den entsprechenden Sicherheits- beziehungsweise Regelprotokollen nachvollzogen werden.
Für Unternehmen ist besonders relevant, dass sich Bedingungen miteinander verknüpfen lassen. Regeln können unter anderem mit AND-, OR- oder NOT-Logik arbeiten. Dadurch muss beispielsweise nicht jedes PDF mit einem bestimmten Wort automatisch gesperrt werden; Administratoren können zusätzliche Voraussetzungen definieren.
Allerdings stellt Google ausdrücklich klar, dass automatische Erkennung nicht als hundertprozentige Inhaltsgarantie verstanden werden darf.
„Content detectors do not guarantee detection of sensitive content.“
— Google Workspace Admin Help.
Unternehmen sollten automatische Regeln deshalb testen und nicht davon ausgehen, dass jeder denkbare vertrauliche Datensatz ohne Fehlklassifizierung erkannt wird.
Welche Dateien Google Drive prüft – und wo die Grenzen liegen
Die automatische Dateiklassifizierung in Google Drive umfasst deutlich mehr als native Google Docs. Nach der aktuellen Google-Dokumentation können unter anderem Google Docs, Sheets, Slides, Forms und Vids sowie zahlreiche Office-, PDF-, Text-, Bild-, Archiv- und Quellcodedateien geprüft werden. Auch Dateimetadaten wie Dateinamen, Labels oder vorgeschlagene Änderungen können je nach Regel relevant sein.
Bei klassischen Dokumentformaten nennt Google unter anderem DOC, DOCX, PDF, PPT, PPTX, XLS, XLSX, TXT, RTF, HTML und XML. Hinzu kommen verschiedene Bildformate, ZIP- und RAR-Archive sowie Quellcodedateien wie Java, JavaScript, Python, PHP, SQL oder C++.
Damit lassen sich DLP-Regeln auch auf Daten anwenden, die Unternehmen außerhalb der eigentlichen Google-Editoren in Drive ablegen.
Nicht jede Datei wird allerdings vollständig oder überhaupt inhaltlich untersucht.
Google nennt unter anderem folgende Einschränkungen:
- Kommentare in Docs, Sheets, Slides und Drawings werden nicht als regulärer DLP-Dateiinhalt gescannt.
- Google-Sites-Inhalte gehören nicht zum Drive-DLP-Scan.
- Normale Antworten in Google Forms werden nicht auf dieselbe Weise geprüft; hochgeladene Dateien können dagegen erfasst werden.
- Inhalte passwortgeschützter Dateien werden nicht ausgelesen.
- Video- und Audiodateien gehören nicht zu den regulär gescannten Drive-DLP-Dateitypen.
- Bei nicht nativen Drive-Dateien gelten Größen- und Extraktionsgrenzen.
Auch die Größenlimits sind für Administratoren relevant. Bei nicht nativen Drive-Dateien kann der auswertbare Dateiinhalt laut Google bis zu 50 MB umfassen; für DLP-Regeln werden maximal die ersten 10 MB des extrahierten Textes analysiert.
Bei ZIP-Dateien nennt Google ein Limit von 1.000 gescannten enthaltenen Dateien, bei erkannten Elementen bis zu 10.000 Treffer pro Dokument oder Datei. Dateiname und Dateierweiterung werden bis zu einer Länge von 500 Zeichen bewertet.
| DLP-Bereich in Google Drive | Dokumentierter Grenzwert |
|---|---|
| Nicht native Datei für Content Extraction | bis 50 MB |
| Analysierter extrahierter Text | erste 10 MB |
| Dateien innerhalb eines ZIP-Archivs | bis 1.000 |
| Erkannte Elemente pro Datei | bis 10.000 |
| Auswertung von Dateiname und Erweiterung | bis 500 Zeichen |
Diese Grenzen sind ein wichtiger Unterschied zwischen einer organisatorischen Sicherheitsrichtlinie und einer vollständigen forensischen Inhaltsanalyse. Eine DLP-Regel kann sehr viel automatisieren, ersetzt aber nicht sämtliche weiteren Sicherheitskontrollen.
Unternehmen, die aktuell immer mehr Arbeit direkt zwischen Gmail, Docs, Sheets und Slides verlagern, sollten diese Entwicklung zudem zusammen mit den neuen Workspace-Verknüpfungen betrachten.
Google ermöglicht Gemini inzwischen beispielsweise, Dokumente, Tabellen und Präsentationen direkt aus Gmail heraus zu erstellen; eine ausführliche Übersicht dazu findet sich im Beitrag über Gemini in Gmail und die direkte Erstellung von Docs, Sheets und Slides.
Je mehr Arbeitsprozesse innerhalb derselben Cloud-Umgebung stattfinden, desto relevanter wird eine zentrale Klassifizierung der dort entstehenden Dateien. Dabei geht es nicht nur um die Frage, ob jemand einen Freigabelink erstellt, sondern auch darum, welche Daten eine Datei überhaupt enthält und welchem Empfängerkreis sie zugänglich sein darf.
Labels können die Schutzstufe einer Datei automatisch festlegen
Ein weiterer Baustein sind Google Drive Klassifizierungslabels. DLP-Regeln können Labels automatisch auf Dateien anwenden, wenn die definierten Bedingungen erfüllt sind. Google unterscheidet dabei zwischen Standardklassifizierung, DLP-basierten Labels und KI-gestützter Klassifizierung.
Bei einer DLP-Regel können beispielsweise Dateityp, Wörter oder bestimmte Zeichenfolgen dazu führen, dass eine Datei automatisch als vertraulich eingestuft wird. Auf dieses Label kann anschließend eine andere Schutzlogik reagieren.
Google weist allerdings auf Unterschiede zwischen den Verfahren hin. Eine Standardklassifizierung gilt vor allem für neu erstellte Dateien oder Dateien, deren Eigentümer sich ändert. DLP-basierte Regeln können dagegen auch bestehende Dateien erfassen. Außerdem können durch DLP gesetzte Labels höhere Priorität als Standardklassifizierungen haben.
Ende August 2026 startete Google zusätzlich eine offene Beta für Gemini-basierte KI-Klassifizierung in Drive. Sie soll Dateien automatisch identifizieren und mit entsprechenden Klassifizierungslabels versehen, die anschließend unter anderem für DLP- oder Aufbewahrungsregeln genutzt werden können.
Diese Funktionen sind nicht identisch mit den am 15. September vorgestellten Sharing Boundaries. Zusammengenommen zeigen sie aber, wie Google den Schutzmechanismus aufbaut: Dateien werden klassifiziert, Regeln erkennen sensible Inhalte und die Freigabe kann anschließend abhängig von Inhalt und Empfänger eingeschränkt werden.
So richten Administratoren die neuen Freigabegrenzen ein
Die Konfiguration erfolgt über die Admin-Konsole und nicht in der normalen Drive-Oberfläche eines Mitarbeiters. Dafür werden entsprechende Berechtigungen zum Anzeigen und Verwalten von DLP-Regeln benötigt.
Google nennt als grundlegenden Pfad „Rules“ und anschließend „Create rule“ sowie „Data protection“. Dort wird Google Drive als Anwendung gewählt.
Danach wird für Drive die Aktion „Block sharing“ ausgewählt. Erst bei dieser Block-Aktion stehen die neuen Sharing Conditions zur Verfügung. Administratoren können anschließend optionale Inhaltsbedingungen definieren und danach festlegen, für welche Empfänger die Freigabe blockiert oder erlaubt werden soll.
Ein praktischer Einrichtungsablauf sieht damit so aus:
- Google Admin Console öffnen.
- Neue Data-Protection-Regel erstellen.
- Google Drive beziehungsweise Drive files auswählen.
- Als Aktion „Block sharing“ festlegen.
- Inhaltsbedingungen definieren, falls die Regel nicht pauschal gelten soll.
- Empfängerbedingungen festlegen.
- Allowlist oder Denylist konfigurieren.
- Regel zunächst prüfen.
- Status auf „Active“ setzen, sobald die Richtlinie produktiv eingesetzt werden soll.
- Ergebnisse anschließend über Sicherheits- und Regelprotokolle kontrollieren.
Google weist darauf hin, dass Änderungen nicht immer sofort überall sichtbar werden.
„Changes can take up to 24 hours but typically happen more quickly.“
— Google Workspace Admin Help, aktualisiert am 16. September 2026.
Damit sollten Administratoren nach dem Aktivieren einer neuen Regel nicht bereits nach wenigen Minuten aus einem einzelnen Test ableiten, dass sie nicht funktioniert.
Vor einem produktiven Block empfiehlt sich außerdem ein kontrollierter Test. Google dokumentiert für Drive DLP ausdrücklich auch einen „Audit only“-Modus bei regulären DLP-Szenarien, mit dem Ereignisse protokolliert werden können, ohne Nutzer sofort zu blockieren. Für die neuen Sharing Conditions selbst ist die relevante Freigabeaktion dagegen „Block sharing“.
Gerade Unternehmen mit vielen bestehenden Drive-Dateien sollten außerdem berücksichtigen, dass das erneute Scannen größerer Bestände Zeit beanspruchen kann.
Google erklärt, dass das Prüfen von Dateien je nach Umfang Stunden, einen Tag oder länger dauern kann. Werden Regeln geändert, kann DLP auch die aktuelle Version bereits vorhandener Dateien erneut prüfen.
Neben den eigentlichen Freigaberegeln lohnt sich ein Blick auf bestehende Kontosicherheit. Wenn Mitarbeiter ständig neu bei Google-Diensten angemeldet werden müssen oder unbekannte Sitzungen auftreten, liegt das Problem nicht zwingend an Drive selbst.
Welche Rolle Cookies, Browser-Sitzungen und Sicherheitsereignisse spielen, erklärt der Leitfaden zu wiederholten Google-Konto-Anmeldungen und abgemeldeten Geräten.
Ebenso sollten Unternehmen zwischen Freigabeschutz und Speicherverwaltung unterscheiden. DLP verhindert keine Speicherknappheit und verändert nicht das verfügbare Kontingent. Wie Drive, Gmail und Google Fotos denselben Speicher beeinflussen können, zeigt der Beitrag zum vollen Google-Speicher und den Folgen für Gmail und Drive.
Welche Unternehmen die Funktion tatsächlich bekommen
Nach der Ankündigung vom 15. September nennt Google Enterprise Standard und Enterprise Plus sowie Education Standard und Education Plus. Zusätzlich führt der Workspace-Updates-Beitrag Enterprise Essentials sowie Frontline Standard und Plus auf.
Die am 16. September aktualisierte Admin-Hilfe nennt für die konkrete Sharing-Boundaries-Funktion dagegen Frontline Plus, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus und Enterprise Essentials Plus.
Damit besteht zwischen der Launch-Mitteilung und der aktuellen Detaildokumentation eine Abweichung bei einzelnen Editionen.
Für eine konkrete Organisation sollte deshalb die in der Admin-Konsole verfügbare Funktion beziehungsweise die aktuelle Editionstabelle im Google Workspace Help Center geprüft werden, statt aus einer allgemeinen DLP-Verfügbarkeit automatisch auf Zugriff auf die neuen Sharing Conditions zu schließen.
Für gewöhnliche private Google-Drive-Konten ist die Funktion nicht als Endnutzeroption vorgesehen. Google erklärt ausdrücklich, dass Endnutzer dafür keine eigene Einstellung erhalten. Es handelt sich um eine administrative Sicherheitsfunktion für unterstützte Workspace-Umgebungen.
Der Rollout läuft sowohl für Rapid Release als auch Scheduled Release schrittweise und begann am 14. September 2026. Bis die Funktion in allen berechtigten Domains sichtbar ist, kann es laut Google bis zu 15 Tage dauern.
Unternehmen, die den neuen Menüpunkt am 19. September noch nicht sehen, müssen deshalb nicht automatisch von einem Konfigurationsproblem ausgehen.
Was die Änderung für Unternehmen praktisch bedeutet
Die Google Drive Freigabe sensibler Dateien lässt sich damit wesentlich differenzierter steuern. Besonders relevant ist das für Organisationen, die externe Dienstleister, Agenturen, Berater, Zulieferer oder Projektpartner in ihre täglichen Drive-Prozesse einbinden.
Eine globale Sperre externer Freigaben wäre in solchen Umgebungen oft zu unflexibel, während völlig offene externe Freigaben ein unnötiges Risiko erzeugen können.
Mit Sharing Boundaries lässt sich beispielsweise eine vertrauliche Datei grundsätzlich intern freigeben, gleichzeitig für bestimmte externe Domains sperren und für einen eng definierten Partnerkreis zulassen.
Typische Anwendungsfälle wären:
- Personal- und Bewerberdaten;
- interne Finanzberichte;
- Kundenlisten;
- Vertragsunterlagen;
- vertrauliche Produktinformationen;
- technische Entwicklungsdokumente;
- interne Sicherheitsberichte;
- Dateien mit bestimmten Identifikationsnummern;
- Projektdokumente, die nur ausgewählte externe Partner sehen dürfen.
Ein zusätzlicher Schutzbereich betrifft Downloads, Kopieren und Drucken. Google Drive DLP kann bereits über Information Rights Management entsprechende Aktionen einschränken.
Seit einer Erweiterung aus dem Jahr 2025 kann eine durch DLP gesetzte IRM-Regel auch Nutzer mit Schreibrechten beziehungsweise Eigentümer einbeziehen, nicht nur Betrachter und Kommentatoren.
Das ist von den neuen Sharing Boundaries zu unterscheiden. Die September-Funktion beantwortet primär die Frage: Wer darf eine Datei erhalten? IRM beantwortet dagegen unter anderem die Frage: Was darf ein bereits berechtigter Nutzer mit dieser Datei tun?
Google hat außerdem die Analyse externer Drive-Freigaben erweitert. Seit August 2026 können Administratoren mit Drive Inventory Reporting in BigQuery detailliertere Informationen zu externen Freigaben auswerten und dabei etwa direkte Berechtigungen, Gruppenmitgliedschaften oder öffentlich veröffentlichte Dateien besser unterscheiden. Diese Informationen können mit DLP-Metadaten kombiniert werden.
Für größere Workspace-Umgebungen entsteht damit eine Sicherheitskette aus mehreren Ebenen:
| Ebene | Aufgabe |
|---|---|
| Klassifizierung | Erkennen, wie sensibel eine Datei ist |
| DLP | Sensible Inhalte anhand definierter Bedingungen erkennen |
| Sharing Boundaries | Zulässige oder gesperrte Empfänger festlegen |
| IRM | Download, Kopieren und Drucken einschränken |
| Inventory Reporting | Bestehende externe Freigaben auswerten |
| Rule Logs / Investigation | Verstöße und Sicherheitsereignisse untersuchen |
Eine solche Architektur verhindert allerdings nicht automatisch jede Form von Datenabfluss. Passwortgeschützte Dateien, nicht gescannte Medienformate, technische Scanlimits und mögliche Fehlklassifizierungen bleiben Faktoren, die bei der Richtlinienplanung berücksichtigt werden müssen.
Fragen und Antworten zu den neuen Google-Drive-Freigaberegeln
Kann Google Drive jetzt jede vertrauliche Datei automatisch sperren?
Nein. Administratoren müssen zunächst Regeln definieren beziehungsweise Klassifizierungsmechanismen verwenden. Außerdem nennt Google technische Grenzen und weist ausdrücklich darauf hin, dass Content Detectors keine hundertprozentige Erkennung garantieren.
Können Mitarbeiter die Sperre selbst deaktivieren?
Für die neue Funktion gibt es laut Google keine Endnutzer-Einstellung. Die Richtlinien werden von Workspace-Administratoren zentral konfiguriert.
Lassen sich bestimmte externe Partner weiterhin zulassen?
Ja. Eine Allowlist kann definierte interne Organisationseinheiten, Gruppen oder externe Domains vom allgemeinen Block ausnehmen. Alternativ können Unternehmen mit einer Denylist gezielt bestimmte Empfänger ausschließen.
Werden bestehende Dateien ebenfalls geprüft?
Drive DLP kann auch bereits vorhandene Dateien prüfen. Wenn Regeln neu hinzugefügt oder geändert werden, kann Google die aktuelle Revision zuvor hochgeladener Dateien erneut scannen. Je nach Datenmenge kann dieser Prozess Stunden oder länger dauern.
Funktioniert die Kontrolle auch bei PDF- und Office-Dateien?
Ja. Google nennt unter den unterstützten Drive-DLP-Dateiformaten unter anderem PDF, DOC, DOCX, PPT, PPTX, XLS und XLSX. Daneben werden zahlreiche weitere Dokument-, Bild-, Archiv- und Quellcodeformate unterstützt.
Ist die Funktion bereits überall verfügbar?
Noch nicht zwingend. Der schrittweise Rollout begann am 14. September 2026 und kann laut Google bis zu 15 Tage benötigen. Außerdem steht die Funktion nur für bestimmte Workspace-Editionen zur Verfügung.
Die neue Regelarchitektur macht aus einer bisher stärker getrennten Kombination von DLP und Trust Rules eine gemeinsame, inhaltsabhängige Freigabeentscheidung. Für Unternehmen bedeutet das vor allem mehr Präzision: Sie müssen externe Zusammenarbeit nicht vollständig abschalten, können sensible Dokumente aber abhängig von Inhalt, Klassifizierung und Empfänger automatisch zurückhalten. Entscheidend für eine zuverlässige Einführung bleiben sauber definierte Detektoren, nachvollziehbare Allow- und Denylists sowie Tests der Regeln, bevor sie große Teile der Organisation betreffen.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: AirDrop bleibt nach iOS 27 bei „Warten“ hängen: Diese Einstellungen zuerst prüfen
