Wurde unser Google Workspace kompromittiert?

VoraussetzungEin Super-Admin oder ein Admin mit dem Recht „Prüfung und Untersuchung“. Keine Installation nötig.

1. Melden Sie sich bei admin.google.com an (Konsolensprache: Englisch) und öffnen Sie Reporting → Audit and investigation → User log events.
2. Stellen Sie den Zeitraum von 30 Tagen vor der verdächtigen Mail bis heute ein – standardmäßig sind es nur die letzten 7 Tage. Bei Bedarf nach Nutzer filtern.
3. Fügen Sie unter Manage columns die Spalte IP ASN hinzu, falls Ihre Konsole sie anbietet: Sie verrät Hosting-Netze.
4. Klicken Sie auf Export all → CSV (oder Google Sheets, dann Datei → Herunterladen → CSV) und speichern Sie die Datei.
5. Wiederholen Sie das für OAuth log events und Gmail log events (wenn möglich auch Drive und Admin) und legen Sie alle CSV-Dateien zusammen hier ab.

VoraussetzungGAM installiert und für Ihre Domain mit einem Admin-Konto autorisiert, das Berichte lesen darf.

Eine Zeile schreibt pro Log (Anmeldungen, Nutzerkonten, OAuth, Gmail, Drive, Admin) eine CSV-Datei für die letzten 30 Tage und alle Nutzer in einen Ordner gws-logs. Legen Sie diesen Ordner hier ab.

mkdir -p ~/gws-logs && for app in login useraccounts token gmail drive admin; do gam redirect csv ~/gws-logs/$app.csv report $app user all start -30d; done

New-Item -ItemType Directory -Force -Path C:\triage\gws | Out-Null; foreach ($app in 'login','useraccounts','token','gmail','drive','admin') { gam redirect csv "C:\triage\gws\$app.csv" report $app user all start -30d }

Passen Sie -30d an Ihren Zeitraum an; für ein einzelnes Konto ersetzen Sie all durch dessen Adresse. Eine Quelle, die Ihre Edition nicht protokolliert, ergibt nur einen Fehler oder eine leere Datei. JSON der Reports API (activities.list-Seiten oder JSON Lines, gzip oder nicht) wird ebenfalls akzeptiert.

Gmail-Filter, Weiterleitungsadressen, automatische Weiterleitung und „Senden als“-Aliasse stehen nicht in den Audit-Logs. Diese Zeilen speichern die Antworten der Gmail API in einem Ordner mit dem Namen des Postfachs.

VoraussetzungEin Zugriffstoken für dieses Postfach mit dem Scope gmail.settings.basic, zum Beispiel aus dem OAuth 2.0 Playground, angemeldet als der Nutzer.

M='jane@example.com'; T='<ACCESS_TOKEN>'; mkdir -p ~/gws-logs/gmail-settings/"$M" && for s in filters forwardingAddresses sendAs autoForwarding; do curl -sS -H "Authorization: Bearer $T" -o ~/gws-logs/gmail-settings/"$M"/$s.json "https://gmail.googleapis.com/gmail/v1/users/me/settings/$s"; done

$M='jane@example.com'; $T='<ACCESS_TOKEN>'; $D="C:\triage\gws\gmail-settings\$M"; New-Item -ItemType Directory -Force -Path $D | Out-Null; foreach ($s in 'filters','forwardingAddresses','sendAs','autoForwarding') { curl.exe -sS -H "Authorization: Bearer $T" -o "$D\$s.json" "https://gmail.googleapis.com/gmail/v1/users/me/settings/$s" }

Ersetzen Sie zuerst die Adresse und <ACCESS_TOKEN>. Der Ordnername sagt dem Tool, wem das Postfach gehört. Die Filter- und Weiterleitungslisten von GAM werden nicht akzeptiert: Verwenden Sie das API-JSON. Delegierte (delegates.list) erfordern ein Dienstkonto mit domainweiter Delegierung; speichern Sie diese Antwort als delegates.json im selben Ordner.

Kein API-Zugang? Öffnen Sie gemeinsam mit dem Nutzer seine Gmail-Einstellungen (Filter und blockierte Adressen, Weiterleitung und POP/IMAP, Konten) und machen Sie datierte Screenshots.

Minimum: User log events, OAuth und Gmail für das oder die betroffenen Konten, von 30 Tagen vor der verdächtigen Mail bis jetzt. Jede weitere Quelle bringt zusätzliche Erkennungen.

Legen Sie alles zusammen ab: einzelne Dateien, den ganzen Ordner oder ein ZIP. .gz-Dateien funktionieren unverändert, Excel-Dateien nicht (als CSV exportieren).

Bewahren Sie die Originaldateien unverändert auf und notieren Sie, wann und wie Sie sie exportiert haben. Das Tool verändert sie nie und lädt sie nie hoch.