Drei Dinge, die Sie in Microsoft 365 und Google Workspace heute selbst ändern können
Fragen Sie Ihre IT einmal, welche Anwendungen derzeit auf die Postfächer Ihres Unternehmens zugreifen dürfen. Nicht welche Sie eingekauft haben. Welche Zugriff haben.
Dauert die Antwort länger als zehn Sekunden, lesen Sie weiter.
Die meisten Unternehmen, die wir sehen, haben ihre Cloud-Suite nicht falsch eingerichtet. Sie haben sie gar nicht eingerichtet. Der Mandant läuft, wie er ausgeliefert wurde, und der Auslieferungszustand ist auf Zusammenarbeit ohne Reibung ausgelegt. Nicht auf Datenschutz. Das ist keine Nachlässigkeit, sondern die logische Folge davon, dass niemand eine Software erst konfiguriert und dann benutzt.
Kurz gefasst: Drei Einstellungen senken das Risiko sofort und wirken auf den gesamten Altbestand. Erstens, wer Ihre Links öffnen kann. Zweitens, welche zusätzlichen Dienste auf Ihren gesamten Datenbestand zugreifen dürfen. Drittens, ob überhaupt jemals etwas gelöscht wird. Alles drei können Sie selbst ändern. Was danach kommt, sollten Sie nicht allein machen, und am Ende dieses Beitrags steht auch, warum.
Ein Hinweis vorab, der wichtiger ist, als er klingt. Voreinstellungen sind keine Produkteigenschaften, sondern Momentaufnahmen. Sie unterscheiden sich je nach Erstellungsdatum des Mandanten, nach Lizenz und nach Region, und beide Anbieter ändern sie laufend. Die hier genannten Stände haben wir am 21. August 2026 an der jeweiligen Herstellerdokumentation geprüft. Prüfen Sie den Zustand in Ihrem eigenen Mandanten, bevor Sie etwas umstellen.
Erstens: Wer kann Ihre Links öffnen?
Die häufigste tatsächliche Beeinträchtigung von Menschen durch eine Cloud-Suite ist nicht der Zugriff eines ausländischen Nachrichtendienstes. Es ist die Kenntnisnahme durch jemanden, der den Zugriff technisch hat, aber nicht haben sollte.
Das trifft Beschäftigte bei Personalunterlagen, Bewerber bei Absagevorgängen, Kunden und Patienten bei Fachunterlagen. Die Schwere ist hoch, weil solche Offenlegungen soziale und wirtschaftliche Folgen haben. Die Wahrscheinlichkeit ist hoch, weil Freigaben in der täglichen Arbeit entstehen und praktisch nie zurückgenommen werden.
Der Punkt ist in beiden Suiten derselbe. Der Weg dorthin nicht, und das wird regelmäßig übersehen.
In Microsoft 365 ist es eine Konfigurationsfrage. Microsoft dokumentiert, dass externe Freigabe für die gesamte SharePoint- und OneDrive-Umgebung standardmäßig eingeschaltet ist. Auf der höchsten Stufe entstehen Links, die ohne jede Anmeldung funktionieren, weiterleitbar sind und ohne zusätzliche Konfiguration weder ablaufen noch nachvollziehbar machen, wer sie genutzt hat. Ein Link aus einer Mail von vor zwei Jahren öffnet die Datei also heute noch, und niemand weiß, in wessen Postfach er inzwischen liegt.
Drei Stellschrauben im SharePoint Admin Center unter Richtlinien und Freigabe: Organisationsebene auf authentifizierte Gäste, Standard-Linktyp von „jeder mit dem Link“ auf „bestimmte Personen“, und für verbleibende offene Links einen Ablauf in Tagen erzwingen.
In Google Workspace liegt der Fall anders, und hier korrigieren wir eine verbreitete Behauptung. Der Standardzugriff neuer Drive-Dateien steht nach Googles Dokumentation auf „Private to the owner“, nicht auf „jeder mit dem Link“. Offene Freigaben entstehen dort nicht durch die Voreinstellung, sondern durch aktives Teilen. Der Hebel ist entsprechend ein anderer: externe Freigabe auf zugelassene Domänen begrenzen, den Access Checker auf „Recipients only“ stellen, wie Google es in der eigenen Sicherheitsprüfung empfiehlt, und regelmäßig auswerten, was tatsächlich geteilt wurde.
Eine Warnung aus der Praxis: Externe Freigabe abzuschalten unterbricht über Nacht die Zusammenarbeit mit Steuerberatung, Agentur und Kunden. Wir haben mehr Rückabwicklungen gesehen als erfolgreiche Umstellungen, wenn vorher nicht kommuniziert wurde. Erst erheben, dann ankündigen, dann umstellen.
Zweitens: Der Schalter, den kaum jemand kennt
In Google Workspace lautet die Voreinstellung in der Steuerung der Programmierschnittstellen wörtlich: „Allow users to access any third-party apps.“
Im Klartext: Jede beschäftigte Person kann einer beliebigen Anwendung per OAuth Zugriff auf ihr Postfach, ihren Kalender oder ihre Ablage erteilen. Ohne Rückfrage. Das typische Beispiel ist ein Notiz- oder Protokollwerkzeug mit Vollzugriff auf das Postfach.
In Microsoft 365 gibt es die entsprechende Steuerung in Entra unter den Einstellungen zur Nutzerzustimmung. Welcher Zustand dort ab Werk gilt, hängt vom Jahrgang Ihres Mandanten ab. Das ist ein Prüfpunkt, kein Faktum.
Warum das mehr ist als ein Sicherheitsthema: Mit jeder solchen Zustimmung entsteht ein Empfänger personenbezogener Daten, den Sie nicht ausgewählt, nicht nach Art. 28 Abs. 1 DSGVO auf hinreichende Garantien geprüft, nicht vertraglich gebunden und nicht in Ihr Verzeichnis von Verarbeitungstätigkeiten aufgenommen haben. Sie können ihn im Zweifel nicht einmal benennen.
Damit fallen gleichzeitig die Auskunft nach Art. 15, die Information nach Art. 13 und der Nachweis nach Art. 5 Abs. 2 aus. Die Auswahlentscheidung, die das Gesetz dem Verantwortlichen zuweist, ist an jede einzelne beschäftigte Person delegiert.
In dieselbe Kategorie gehören die KI-Funktionen der Anbieter. Sie folgen demselben Muster: ein zusätzlicher Verarbeitungszweck, der auf den vorhandenen Bestand zugreift.
Bei Google sind die Gemini-Funktionen in den Workspace-Diensten nach Googles Dokumentation standardmäßig aktiv. Zwei Details lohnen die Aufmerksamkeit. Das Abschalten je Dienst dichtet nicht ab, denn Google beschreibt selbst, dass sich Drive-Inhalte aus Gmail heraus abfragen lassen, auch wenn Gemini in Drive deaktiviert ist. Und bei den intelligenten Funktionen setzt die Administration nur eine Voreinstellung, die Nutzer individuell überstimmen können. Wer den KI-Einsatz verbindlich regeln will, braucht neben dem Schalter also eine Regelung.
Bei Microsoft ist die Modellwahl in Copilot der relevante Punkt. Microsoft dokumentiert, dass Modelle von Anthropic derzeit von der EU Data Boundary ausgenommen sind. Für Mandanten innerhalb der EU Data Boundary und im Vereinigten Königreich sind sie nach dem Dokumentationsstand vom 22. Juli 2026 standardmäßig deaktiviert. Das ist die gute Nachricht. Die Konsequenz: Eine Aktivierung ist eine bewusste Entscheidung, die diesen Teil der Verarbeitung aus der EU Data Boundary herausnimmt. Sie gehört dokumentiert und nicht nebenbei geklickt.
Der Zusammenhang zwischen den ersten beiden Punkten ist wichtiger als jeder einzelne davon: Assistenzfunktionen erben Ihre Berechtigungen. Wer breite Freigaben und offene App-Berechtigungen hat und dann eine KI-Funktion aktiviert, macht einen bis dahin unübersichtlichen Bestand durchsuchbar.
Das ist kein Argument gegen KI. Es ist ein Argument für die Reihenfolge.
Drittens: Was gelöscht ist, kann Ihnen niemand mehr entwenden
Die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO ist der einzige Grundsatz, der das Risiko mit der Zeit tatsächlich verkleinert, statt es nur zu verwalten. Jeder Datensatz, der gelöscht ist, kann nicht mehr offengelegt, nicht mehr entwendet und nicht mehr zweckwidrig ausgewertet werden.
Was das praktisch heißt, wird meist erst am Beispiel klar. Ein zehn Jahre altes Postfach eines längst ausgeschiedenen Mitarbeiters enthält typischerweise Krankmeldungen von Kollegen, Kundendaten, Verhandlungsstände und Bewerbungsunterlagen. Genau dieser Bestand liegt offen, wenn ein Konto übernommen wird.
Die Reihenfolge ist dabei eine andere, als die meisten Vorlagen nahelegen. Zuerst ist zu klären, ob Ihre Umgebung eine Frist überhaupt zentral durchsetzen kann. Erst danach werden Fristen festgelegt. Wer das umdreht, erhält ein Löschkonzept, dessen Fristen im System nicht greifen, und damit den schriftlichen Nachweis, dass die eigene Vorgabe nicht eingehalten wird. Das ist die schlechtere Lage als gar kein Konzept.
Der Funktionsumfang zur zentralen Steuerung von Aufbewahrung und Löschung ist bei beiden Anbietern editionsabhängig. Wer eine Edition einsetzt, die diese Steuerung nicht enthält, kann Fristen nur dezentral durchsetzen, also über das Handeln der Nutzer und über die Voreinstellungen der einzelnen Dienste. Das ist keine Aussage über die Qualität eines Produkts, sondern eine Frage der passenden Edition zum eigenen Verarbeitungsumfang. Sie gehört an den Anfang eines Löschkonzepts, nicht ans Ende.
Zu beachten ist außerdem: Diese Werkzeuge dienen in erster Linie dazu, Daten festzuhalten, etwa zur Beweissicherung. Dass sie auch Fristen erzwingen können, ist die zweite Funktion. Eine Umgebung ohne gesetzte Regel löscht deshalb nicht planmäßig, sondern folgt dem Handeln der Nutzer und den Papierkorbzyklen der Dienste. Der Bestand wächst ungesteuert, und niemand kann sagen, wie alt der älteste Datensatz ist.
Wo Voreinstellungen bereits im Sinne der Speicherbegrenzung wirken, liegt das Risiko nicht in der Voreinstellung, sondern in ihrer Abschaltung. Beispiel Microsoft Teams: Besprechungsaufzeichnungen laufen standardmäßig nach 120 Tagen ab. Der Ablauf lässt sich abschalten, und eine spätere Änderung der Frist erfasst nach der Herstellerdokumentation nur neu erstellte Aufzeichnungen. Der Altbestand bleibt liegen.
Vier Stellen, an denen Sie ohnehin vorbeikommen
Wenn Sie schon im Admin Center sind. Prüfen und bewusst entscheiden, nicht blind umstellen.
Automatische Weiterleitung nach außen in Exchange Online. Die Einstellung steht in der ausgehenden Spamrichtlinie auf einem systemgesteuerten Wert, dessen Verhalten sich nach Microsofts eigener Dokumentation je nach Organisation unterscheidet. Microsoft empfiehlt ausdrücklich, den Wert explizit zu setzen. Unentdeckte Weiterleitungsregeln sind der klassische Befund nach einer Kontoübernahme.
Diagnosedaten der Office-Anwendungen. Ist keine Richtlinie gesetzt, werden nach Microsofts Dokumentation erforderliche und optionale Diagnosedaten gesendet. Viele Verantwortliche gehen vom Gegenteil aus und beschreiben ihren Mandanten deshalb im Verzeichnis falsch.
Optionale verbundene Erfahrungen. Sie sind standardmäßig verfügbar und unterliegen nach Microsofts Angabe gesonderten Nutzungsbedingungen, also nicht denen des Kerndienstes. Nach Herstellerangabe schränkt eine Deaktivierung allerdings auch Copilot Chat und weitere Funktionen ein. Solche Kopplungen ändern sich zwischen Produktreleases.
Aufzeichnung und Transkription in Teams. Die Transkription ist mandantenweit erlaubt. Automatisch aufgezeichnet wird nach der Herstellerdokumentation nicht jede Besprechung, wohl aber werden Events wie Webinare und Townhalls standardmäßig automatisch aufgezeichnet. Die Abfrage einer ausdrücklichen Zustimmung der Teilnehmenden ist standardmäßig deaktiviert. Sie ersetzt im Übrigen keine Rechtsgrundlage, sie dient der Transparenz und dem Nachweis.
Wo Selbsthilfe endet
Diese Punkte kann jede Administration im eigenen Mandanten selbst prüfen und ändern. Sie wirken sofort, sie wirken auf den vorhandenen Bestand, und sie brauchen niemanden von außen.
Beratung braucht der Schritt danach: die Festlegung, welche Frist, welche Rechtsgrundlage und welche Dokumentation zu der geänderten Einstellung gehören.
Einstellungen kann man ändern und wieder ändern. Festlegungen binden.
Konkret sind das fünf Dokumente, bei denen ein fehlerhaftes Ergebnis schlechter ist als gar keines.
Die Datenschutz-Folgenabschätzung und die ihr vorgelagerte Schwellwertanalyse. Wird das Risiko aus Sicht des Unternehmens statt aus Sicht der betroffenen Person bewertet und am Ende ein hohes Restrisiko in einem Satz akzeptiert, steht dort die schriftliche Feststellung, dass Ihnen ein hohes Risiko bekannt war. Zugleich löst genau dieses Ergebnis nach Art. 36 DSGVO die Pflicht zur vorherigen Konsultation der Aufsichtsbehörde aus. Das Dokument schafft die Pflicht, die es verletzt.
Die Betriebsvereinbarung zur IT-Nutzung. Sie kann zugleich zu wenig legitimieren und zu viel verbieten. Das Bundesarbeitsgericht hat 2025 entschieden, dass sich ein Arbeitgeber für Datenkategorien, die eine Betriebsvereinbarung ausdrücklich ausschließt, nicht nachträglich auf das berechtigte Interesse berufen kann.
Die Transfer-Folgenabschätzung, wenn sie so geschrieben ist, dass sie mit dem Angemessenheitsbeschluss steht und fällt.
Das Löschkonzept, aus den oben genannten Gründen.
Die Rollenabgrenzung zwischen Verantwortlichem und Auftragsverarbeiter. Beide Anbieter verarbeiten einen Teil der Daten nicht weisungsgebunden, sondern für eigene Zwecke. Wer im Verzeichnis pauschal „Auftragsverarbeiter“ einträgt, macht jede spätere Auskunft und jede spätere Meldung inhaltlich falsch.
Zwei Sätze, die Ihre Dokumente veralten lassen
Erstens, Beschäftigtendaten. Das Bundesarbeitsgericht hat mit Urteil vom 8. Mai 2025, Aktenzeichen 8 AZR 209/21, entschieden, dass § 26 Abs. 1 Satz 1 BDSG unangewendet zu bleiben hat, weil der Norm die nach Art. 88 Abs. 2 DSGVO erforderlichen Schutzmaßnahmen fehlen. Die Vorschrift steht weiterhin im Gesetz. Als eigenständige Rechtsgrundlage trägt sie nicht mehr.
Wer heute noch „§ 26 BDSG“ als Rechtsgrundlage in seinem Verzeichnis oder in seiner Beschäftigteninformation stehen hat, sollte diese Stellen überarbeiten. Verarbeitungen im Beschäftigungskontext sind je nach Zweck auf Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO zu stützen, und wo das berechtigte Interesse herangezogen wird, ist die Abwägung schriftlich festzuhalten. Ein Beschäftigtendatengesetz liegt nach dem uns zugänglichen Stand der Gesetzgebungsdokumentation nicht vor.
Zweitens, Datenübermittlung in die USA. Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework ist in Kraft. Das Gericht der Europäischen Union hat eine Nichtigkeitsklage mit Urteil vom 3. September 2025 in der Rechtssache T-553/23 abgewiesen, dagegen ist ein Rechtsmittel anhängig. Neu ist, dass der Europäische Datenschutzausschuss die Europäische Kommission mit Schreiben vom 31. Juli 2026 aufgefordert hat zu prüfen, ob eine Entscheidung des Obersten Gerichtshofs der Vereinigten Staaten zur Unabhängigkeit der Federal Trade Commission den Beschluss berührt.
Die belastbare Aussage lautet weder „das Framework ist gefallen“ noch „alles unverändert“. Die Grundlage trägt, aber die Begründung, die sie trägt, wird gerade überprüft. Ein Transferstopp ist nicht veranlasst. Angezeigt ist, die eigene Transfer-Folgenabschätzung so fortzuschreiben, dass sie einen Wegfall des Angemessenheitsbeschlusses überstehen würde, und die Standardvertragsklauseln als dokumentierte Rückfallebene vorzuhalten. Das kostet wenig und wirkt im Prüfungsfall.
Ein verwandter Irrtum begegnet uns dabei regelmäßig. Regionale Speicherzusagen der Anbieter, ob EU Data Boundary oder Datenregionen, sind Zusagen über den Verarbeitungsort bestimmter Daten. Sie sind keine Übermittlungsgrundlage nach Kapitel V der DSGVO, und sie decken nicht alles ab. Google schließt Protokolldaten und zwischengespeicherte Inhalte ausdrücklich aus. Microsoft dokumentiert selbst mehrere Kategorien fortdauernder Übermittlung, darunter Fernzugriff eigener Beschäftigter, Titel von Supportfällen und begrenzte Verzeichnisdaten. Das ist kein Vorwurf an die Anbieter. Es ist die Prüfliste für Ihre eigene Bewertung.
Der schnellste Weg zu einer belastbaren Antwort
Die drei Punkte oben kosten Sie einen Nachmittag und wirken sofort. Alles Weitere hängt davon ab, wie Ihr Mandant tatsächlich aussieht, und das lässt sich nicht aus der Ferne raten.
Wir sind externe Datenschutzbeauftragte mit Schwerpunkt Microsoft 365 und begleiten Unternehmen von der Bestandsaufnahme bis zur Betriebsvereinbarung. Vor jedem Angebot steht bei uns ein kostenfreies Erstaudit: ein strukturiertes Gespräch von 60 bis 90 Minuten, die Sichtung dessen, was vorhanden ist, und ein schriftlicher Kurzbefund mit den Lücken, nach Dringlichkeit geordnet. Daraus entsteht ein Angebot in zwei getrennt beauftragbaren Teilen, laufende Betreuung und einmalige Einrichtung. Eine Verpflichtung zur Beauftragung entsteht nicht.
Wenn Sie den Zustand Ihres Mandanten nicht punktuell, sondern fortlaufend im Blick behalten wollen: Im M365 Compliance Radar werten wir monatlich die Änderungen aus, die Microsoft im Message Center veröffentlicht, und bereiten sie für Datenschutzbeauftragte, Betriebsrat und IT auf.
Und falls die Frage vom Anfang noch offen ist: Der Bericht, der Ihnen sagt, welche Anwendungen auf Ihre Postfächer zugreifen dürfen, liegt in beiden Suiten drei Klicks entfernt. Es lohnt sich, ihn einmal anzusehen.
Dieser Beitrag gibt den Stand vom 21. August 2026 wieder und informiert allgemein. Er berücksichtigt keine Umstände des Einzelfalls und ersetzt keine Rechtsberatung. Die genannten Voreinstellungen entsprechen dem an diesem Tag an der jeweiligen Herstellerdokumentation geprüften Stand; sie können je nach Erstellungsdatum des Mandanten, Lizenz und Region abweichen und werden von den Anbietern laufend geändert. Die Rechtsprechung zum Beschäftigtendatenschutz und die Bewertung von Datenübermittlungen in die USA entwickeln sich derzeit; einzelne Aussagen können durch spätere Entscheidungen überholt sein.