Seien Sie vorsichtig, was Sie in „Jeder mit dem Link“ in Google Docs eingeben

Wenn Sie das nächste Mal etwas Sensibles in ein Google Doc – oder ein anderes Online-Tool mit Freigabefunktion – eingeben, achten Sie genau auf die Berechtigungen, die Sie erteilen.

Im Gespräch mit The Register erklärte der Gründer des QR-Code-Generierungsdienstes Pageloot, dass er diese Lektion auf die harte Tour lernen musste. Siim Kostabi erinnerte sich daran, wie ein externer Mitarbeiter des Unternehmens versehentlich die Zugangsdaten für die Testumgebung preisgab – Daten, die niemals die interne Testumgebung verlassen sollten.

Der unglückselige Entwickler hatte Zugriff auf eine Testumgebung (die zum Testen von neuem Softwarecode vor der Veröffentlichung verwendet wird). Er speicherte die Zugangsdaten in einem Google Doc und stellte die Einstellung auf „Jeder mit dem Link kann es ansehen“ ein.

Es stellte sich heraus, dass die Google-Suche Google Docs mit dieser Einstellung indexieren kann, sobald der Link im öffentlichen Web auffindbar wird. Dateien, die für jeden mit dem Link zugänglich sind, werden nicht automatisch indexiert. Daher wissen wir nicht genau, wie Google dieses spezielle Dokument gefunden hat. Wir wissen jedoch, dass es gefunden wurde: Die Zugangsdatendatei landete in der Google-Suche.

Ein Pageloot-Entwickler gab während der Fehlersuche die Firmendomain in Google ein. Die Google-Autovervollständigung lieferte daraufhin einen temporären Hostnamen, gefolgt von einer Zeichenkette, die wie Anmeldeinformationen aussah. Tatsächlich war das Dokument online zugänglich. Google Search zeigte Informationen aus einem Dokument an, das zu weit verbreitet worden war.

Lobenswert ist, dass Pageloot schnell reagierte. Der Zugriff des Auftragnehmers wurde gesperrt und alle betroffenen Zugangsdaten geändert. Außerdem wurde die Speicherung von Passwörtern in Google Docs, Slack, Notion und allen anderen gemeinsam genutzten Arbeitsbereichen untersagt.

Das Problem ist, dass keine dieser Lösungen existierte, bevor die Autovervollständigung das Passwort anzeigte. Hätte es niemand bemerkt, wären die Zugangsdaten möglicherweise weiterhin ungeschützt geblieben.

Wenn es jemals ein Beispiel dafür gab, warum man einen Passwortmanager verwenden sollte, dann ist es dieses. Stattdessen tippte der Auftragnehmer seine Zugangsdaten in ein Google Doc ein, vermutlich um sie griffbereit zu haben.

Pageloot ist nicht der einzige Anbieter, der mit diesem Problem zu kämpfen hat. Ateam, ein japanisches Unternehmen, … Android Ein Spieleentwickler ließ seine Google Drive-Instanz von März 2017 bis November 2023 so einstellen, dass sie für jeden mit dem Link im Internet zugänglich war. Durch diese Fehlkonfiguration wurden 1.369 Dateien und persönliche Daten von 935.779 Personen offengelegt. Ateam gab an, keine Hinweise auf einen Datendiebstahl gefunden zu haben, doch sieben Jahre ungeschützter Zugriff sind wenig beruhigend.

Scale AI, das für Metas KI-Ambitionen zentrale Datenkennzeichnungsunternehmen, hinterließ außerdem 85 Google Docs mit Trainingsmaterial für Meta, Google und xAI, die für jeden mit einem Link bearbeitbar waren. Auftragnehmer bezeichneten die Einrichtung als „unglaublich mangelhaft“. Scale deaktivierte später die Möglichkeit für Nutzer, verwaltete Dokumente öffentlich zu teilen.

Das ist ein Trend. Vor drei Jahren scannte das KI-Sicherheitsunternehmen Metomic rund 6,5 Millionen Google Drive-Dateien und stellte fest, dass 40,2 % davon sensible Informationen enthielten. Etwas mehr als ein Drittel wurde extern geteilt, während 0,5 % vollständig öffentlich zugänglich waren.

Diese 0,5 % klingen vielleicht nicht nach viel, aber bei 6,5 Millionen Dateien stellen sie immer noch Tausende von öffentlich zugänglichen Dateien dar.

Das ist jedoch nicht nur ein Problem von Google. Auch über andere Tools, wie beispielsweise das Projektmanagementsystem Trello, teilen Nutzer versehentlich sensible Informationen. Wenn man ein Trello-Board öffentlich macht, ist es für jeden einsehbar. Das erwies sich 2018 als fatal für Regierungsbehörden, die dadurch Passwörter und Sicherheitspläne offenlegten .

Das Problem besteht darin, dass die Menschen mit der zunehmenden Vernetzung von Tools nicht mehr Schritt halten können. Es passieren Fehler. Laut dem Verizon-Bericht „Data Breach Investigations Report 2025“ sind rund 60 % der Datenschutzverletzungen auf menschliches Versagen zurückzuführen , darunter Fehlkonfigurationen und der Missbrauch gültiger Zugangsdaten.

Was das Kontrollkästchen kostet

Pageloot stieß erneut auf einen Fehler in der Zugriffskontrolle, der einen Kunden betraf. Ein verärgerter ehemaliger Mitarbeiter, dessen Zugriffsrechte nie entzogen worden waren, nutzte diese, um die QR-Codes des Kunden auf die Website eines Konkurrenten umzuleiten. Die Ursache war dieselbe: Niemand kontrollierte, wer worauf Zugriff hatte.

Kostabi hat seine Lektion gelernt, nämlich immer darauf zu achten, wer worauf Zugriff hat.

Auch Verbraucher können einige einfache Vorsichtsmaßnahmen treffen. Speichern Sie Passwörter oder andere hochsensible Informationen nicht in normalen, gemeinsam genutzten Dokumenten. Verwenden Sie einen Passwort-Manager für Passwörter und prüfen Sie vor dem Teilen von Inhalten in Online-Diensten genau, wer Zugriff darauf hat.