Wie sicher ist Google Drive? Da­ten­schutz und Ver­schlüs­se­lung im Überblick

Wer Google Drive nutzt, verlässt sich auf einen der be­kann­tes­ten Cloud-Dienste. Obwohl Google Drive Backups und das Auslagern von Daten besonders einfach macht, stellt sich die Frage, wie sicher Ihre Daten in der Google-Cloud wirklich sind.

Daten, die Sie in Google Drive hochladen, sind bei Up- und Downloads sowie auf den Servern mit dem AES-256-Bit-Ver­schlüs­se­lungs­stan­dard gesichert. Zudem nutzt Google eine Zwei-Faktor-Au­then­ti­fi­zie­rung zum Schutz vor un­be­rech­tig­tem Zugriff, geo­red­un­dan­te Re­chen­zen­tren sowie Perfect Forward Secrecy für sichere SSL-Ver­schlüs­se­lung. Trotz allem lässt sich an Googles Si­cher­heits­maß­nah­men bemängeln, dass es sich letztlich um US-Server handelt und der Da­ten­schutz­stan­dard nicht eu­ro­päi­schem Niveau ent­spricht. Google Drive bietet deutschen Un­ter­neh­men somit nicht die volle Kontrolle über die eigenen Daten.

Drive ist der Cloud-Dienst von Google und somit fester Be­stand­teil eines jeden Google-Accounts. Google Drive bietet stan­dard­mä­ßig 15 GB kos­ten­lo­sen Cloud Storage, der sich nach Bedarf kos­ten­pflich­tig auf über 2 TB erweitern lässt. Hinzu kommen gängige Google-Workspace-An­wen­dun­gen wie Dokumente, Meets, Tabellen oder Kalender sowie prak­ti­sche Teamwork-Er­wei­te­run­gen in der Business-Version und im Abo von Google One.

Für Uploads und Downloads in die Google-Cloud sowie für ge­spei­cher­te Daten auf Google-Servern kommt die moderne AES-256-Bit-Ver­schlüs­se­lung zum Einsatz. Die AES-Ver­schlüs­se­lung (Advanced En­cryp­ti­on Standard) zählt zu den gän­gigs­ten, si­chers­ten und am meisten genutzten Ver­schlüs­se­lungs­ver­fah­ren. Mit AES werden auch US-Re­gie­rungs­do­ku­men­te ver­schlüs­selt. 256 steht hierbei für die Ver­schlüs­se­lungs­län­ge, die bis zu 115 Duo­de­zil­li­ar­den ver­schie­de­ne Schlüssel erzeugen kann. AES-Schlüssel lassen sich aus diesem Grund selbst mit Brute-Force-Attacken kaum knacken.

Für eine ge­schütz­te Kom­mu­ni­ka­ti­on zwischen Browser und Webserver bietet Google Drive den zu­ver­läs­si­gen Ver­schlüs­se­lungs­stan­dard TLS (SSL). Die Ver­bin­dung zwischen beiden Parteien wird also gesichert und die Iden­ti­tä­ten von Client und Server werden bestätigt. So ge­währ­leis­tet Google einen optimalen Google-Drive-Da­ten­schutz bei der In­for­ma­ti­ons­über­tra­gung.

In Google Drive gilt grund­sätz­lich: Zugriff auf ge­spei­cher­te Daten haben zunächst einmal nur Sie selbst. Da das Tool jedoch auch der Ko­ope­ra­ti­on und Team­ar­beit dient, er­mög­licht es Google Drive, Dateien für andere Nut­ze­rin­nen und Nutzer frei­zu­ge­ben. Frei­ga­be­rech­te umfassen u. a. die Mög­lich­keit, den Zugriff auf aus­ge­wähl­te, ge­spei­cher­te Dokumente und Dateien zu gewähren. So können Sie gemeinsam an Projekten arbeiten und Dateien orts- und ge­rä­te­un­ab­hän­gig teilen.

Sie legen z. B. fest, ob der Zugriff „ver­trau­lich“ erfolgen soll und be­rech­tig­te Personen somit nur per Anmeldung Dateien nutzen dürfen. Weitere Optionen sind der öf­fent­li­che Zugriff ohne Ein­schrän­kung oder der Zugriff über einen spe­zi­el­len Frei­ga­be­l­ink. Personen, die über den Link verfügen, erhalten über diesen Zugriff auf die aus­ge­wähl­te Datei. Öf­fent­lich zu­gäng­li­che Dateien können Sie mit bis zu 100 Geräten gleich­zei­tig nutzen.

Um Dateien frei­zu­ge­ben, wählen Sie die ent­spre­chen­de Datei aus und geben über die Befehle „Freigeben…“ und „Personen einladen“ die zu­ge­hö­ri­ge E-Mail-Adresse an. Vor­aus­set­zung für den Zugriff ist ein Google-Account – ein Google-Konto lässt sich in wenigen Schritten erstellen.

Ein mögliches Problem stellen die Zu­griffs­rech­te staat­li­cher Behörden dar. Da Ihre per­sön­li­chen Daten oder Un­ter­neh­mens­da­ten mit Google Drive in der Regel auf US-Servern liegen, ist Google ver­pflich­tet, sie bei be­rech­tig­tem Aus­kunfts­er­su­chen wei­ter­zu­ge­ben.

Das US-ame­ri­ka­ni­sche Gesetz namens Cloud Act wurde 2018 erlassen und definiert die Zu­griffs­rech­te von US-Behörden auf ge­spei­cher­te Daten. US-Firmen ver­pflich­ten sich durch den Cloud Act, US-Behörden den Zugriff auf Daten von Nut­ze­rin­nen und Nutzern zu gewähren, selbst wenn diese nicht in den USA ge­spei­chert sind. Google un­ter­liegt somit einer Her­aus­ga­be­pflicht und muss Drive-Daten freigeben, wenn US-Behörden eine ent­spre­chen­de Be­grün­dung vorlegen. Unter be­stimm­ten Be­din­gun­gen ist ein Zugriff sogar ohne rich­ter­li­chen Beschluss möglich.

Nach dem Ende des EU-US-Privacy Shields in 2020 müssen Un­ter­neh­men, die sensible Daten in die USA über­mit­teln, müssen sich somit ei­gen­stän­dig rechtlich absichern und Schutz­maß­nah­men treffen. An­dern­falls lassen sich eu­ro­päi­sche Da­ten­schutz­stan­dards für Geschäfts- und Kun­den­da­ten sowie Da­ten­ho­heit beim Cloud Computing kaum umsetzen.

Für Nut­ze­rin­nen und Nutzer, die Google Drive für private Zwecke oder ge­schäft­li­che Kom­mu­ni­ka­ti­on und Kol­la­bo­ra­ti­on nutzen, bietet Drive solide Cloud-Si­cher­heit und Schutz vor Cy­ber­an­grif­fen. Zu den Schutz­maß­nah­men von Google Drive gehören:

• Pass­wort­schutz – möglichst mit einem sicheren Passwort
• Zwei-Faktor-Au­then­ti­fi­zie­rung
• AES-256-Bit-Ver­schlüs­se­lung
• TLS-Ver­schlüs­se­lung
• Geo-Redundanz für sichere Re­chen­zen­tren
• Konten-Wie­der­her­stel­lung (durch Si­cher­heits­fra­ge, E-Mail-Be­stä­ti­gung oder ver­knüpf­tes Mo­bil­te­le­fon)
• Warnungen vor ver­däch­ti­gen An­mel­dun­gen
• Zu­ver­läs­si­ger Spam­fil­ter
• Backup & Sync für Backups als Schutz vor Da­ten­ver­lust
• Au­to­ma­ti­sche Malware-Scans von E-Mails und Dateien
• Ver­schlüs­se­lung von Uploads und Downloads
• Perfect Forward Secrecy (ver­hin­dert nach­träg­li­che Ent­schlüs­se­lung von Daten)

Je nachdem, welche Version von Google Drive bzw. Google Sie nutzen, stehen Ihnen mit kos­ten­pflich­ti­gen Abos für Google Workspace weitere Si­cher­heits­tools zur Verfügung. Dazu zählen ein Cloud-First- und Zero-Trust-Ansatz sowie in­di­vi­du­el­ler Da­ten­schutz bei Team­ar­beit durch fest­ge­leg­te Si­cher­heits­grup­pen und Ad­mi­nis­tra­tor­rech­te.

Bei Google handelt es sich um ein US-ame­ri­ka­ni­sches Un­ter­neh­men, dessen Server der US-ame­ri­ka­ni­schen Ge­setz­ge­bung un­ter­lie­gen. Obwohl sich Googles Server vorrangig in den USA befinden, greift der besagte Cloud Act auch bei Daten, die auf Google-Servern in Dritt­län­dern liegen. Auch hier können sich US-Behörden also Zugriff auf ge­spei­cher­te Daten ver­schaf­fen. Dies sollte Nut­ze­rin­nen und Nutzern bewusst sein.

Hin­sicht­lich Ver­schlüs­se­lung bietet Google Drive mit AES-256-Bit, TLS und Perfect Forward Secrecy eine Da­ten­ver­schlüs­se­lung auf dem aktuellen Stand. Hinzu kommen Zer­ti­fi­zie­run­gen für Da­ten­si­cher­heit durch das American Institute of Certified Public Ac­coun­tants (AICPA) und ISA 27001 (SOC1, SOC2, SOC3). Google-Server werden somit re­gel­mä­ßig von un­ab­hän­gi­gen Stellen sachgemäß geprüft. Der Zugriff auf Daten ist zudem auf einen für Wartung und Si­cher­heit nötigen Per­so­nen­kreis be­schränkt.

Dennoch weist Google in Sachen Da­ten­schutz Schwach­stel­len und Grauzonen auf. In den Da­ten­schutz­richt­li­ni­en und Nut­zungs­be­din­gun­gen behält sich Google u. a. das Recht vor, Uploads mittels au­to­ma­ti­sier­ter Systeme basierend auf Schlüs­sel­wör­tern, In­for­ma­tio­nen und Bildern zu scannen. Vorrangig dienen Scans dazu, Malware und illegale Inhalte zu erkennen, zu entfernen und zu melden. Zur Ver­bes­se­rung der Nut­zer­freund­lich­keit erstellt Google zudem re­gel­mä­ßi­ge Berichte zu Nut­zungs­ana­ly­sen und Abstürzen. Auch die Wei­ter­ga­be von Daten an Part­ner­un­ter­neh­men ist im Falle des Kun­den­sup­ports möglich. Wie Ihre Daten von Google letztlich ver­ar­bei­tet werden, lässt sich nur schwer sagen.

Un­ter­neh­men, die Google Drive pro­fes­sio­nell und ge­schäft­lich nutzen, müssen gemäß EU-Da­ten­schutz­richt­li­ni­en die Si­cher­heit von Geschäfts- und Nut­zungs­da­ten ge­währ­leis­ten. Hierzu gilt es, die DSGVO und ent­spre­chen­de Com­pli­ance-Vorgaben ein­zu­hal­ten. Google Drive bietet ver­schie­de­ne Tools, um die Da­ten­ver­ar­bei­tung und den Da­ten­schutz je nach Un­ter­neh­men und Or­ga­ni­sa­ti­on fest­zu­le­gen. Die Rechte an Un­ter­neh­mens- und Kun­den­da­ten in Google Drive bleiben in jedem Fall bei deren Ei­gen­tü­mern. Dennoch nutzt Google die ge­spei­cher­ten Daten ver­ein­ba­rungs­ge­mäß dazu, um die Nut­zer­er­fah­rung und die Google-Drive-Si­cher­heit zu ver­bes­sern.

Un­ter­neh­men, die Google Drive verwenden, müssen folgende Aspekte in der Da­ten­schutz­er­klä­rung aufzeigen:

• Warum werden Daten bei Google Drive ge­spei­chert?
• Auf welcher Rechts­grund­la­ge erfolgen die Da­ten­spei­che­rung und Da­ten­wei­ter­ga­be?
• Welcher Vertrag wurde mit Google hierzu ab­ge­schlos­sen (Vertrag zur Auf­trags­ver­ar­bei­tung)?
• Wie können Userinnen und User der Da­ten­er­he­bung und -spei­che­rung wi­der­spre­chen?
• Wo finden sich die Nutzungs- und Da­ten­schutz­be­stim­mun­gen von Google?

Die Wei­ter­ga­be von Daten an Google un­ter­liegt Artikel 28 der DSGVO. Un­ter­neh­men müssen somit einen Vertrag zur Auf­trags­ver­ar­bei­tung mit Google ab­schlie­ßen, um folgende Fragen zu klären:

• Welche per­so­nen­be­zo­ge­nen Daten werden an Google wei­ter­ge­ge­ben?
• Aus welchem Grund erfolgt die Da­ten­wei­ter­ga­be?
• Wie lange bleiben Daten bei Google ge­spei­chert?
• Welchen Rechten und Pflichten un­ter­lie­gen Google und das Un­ter­neh­men?

Wenn Un­ter­neh­men per­so­nen­be­zo­ge­ne Daten an Google wei­ter­ge­ben, gilt es zudem, Googles Stan­dard­ver­trags­klau­seln zu prüfen, Risiken bei der Da­ten­über­tra­gung zu do­ku­men­tie­ren und sich rechtlich ab­zu­si­chern. Als Un­ter­neh­men müssen Sie für die Ver­wen­dung es­sen­zi­el­ler und nicht­es­sen­zi­el­ler Cookies darüber hinaus eine Nut­zer­ein­wil­li­gung durch ein Cookie Consent Tool einholen.

Möchten Sie Google Drive so weit wie möglich DSGVO-konform und gemäß Com­pli­ance-Richt­li­ni­en verwenden, halten Sie sich an folgende Punkte:

• Nut­zer­ein­wil­li­gung per Opt-in für die Nutzung von es­sen­zi­el­len und nicht­es­sen­zi­el­len Cookies be­reit­stel­len
• Vertrag zur Auf­trags­ver­ar­bei­tung mit Google ab­schlie­ßen
• Da­ten­schutz­er­klä­rung mit trans­pa­ren­ten Hinweisen zur Nutzung von und Da­ten­ver­ar­bei­tung durch Google Drive anpassen
• Google-Stan­dard­ver­trags­klau­seln prüfen
• Risiken bei Da­ten­über­mitt­lung do­ku­men­tie­ren

Sie haben Zweifel an Googles Da­ten­schutz­be­stim­mun­gen und fragen sich, welche Cloud am si­chers­ten ist? Dann empfiehlt sich ein Vergleich deutscher Cloud-Anbieter. Dazu zählen IONOS mit dem sicheren HiDrive Cloud-Speicher inklusive zer­ti­fi­zier­ten, DSGVO-konformen Ser­ver­stand­or­ten in Deutsch­land, die Your Secure Cloud oder die leit­zcloud by vBoxx. Ein all­ge­mei­ner Cloud-Speicher-Vergleich hilft dabei, anhand des Leis­tungs­an­ge­bots und klarer Si­cher­heits­maß­nah­men die besten Google-Drive-Al­ter­na­ti­ven zu finden.