Technik- und Sicherheitsgeschichte
Warum Google+ eingestellt wurde
Google kündigte 2018 nach der Prüfung Project Strobe das Ende des privaten Google+ an. Die geringe Nutzung und die schwierige Absicherung der APIs trafen auf zwei getrennte Fehler beim Zugriff auf Profildaten.
Kunden
Unternehmen und Institutionen, die stabile IT benötigen.
Die Abschaltung von Google+
Die folgende Darstellung ordnet die bestätigten Informationen ein und unterscheidet die beiden getrennten API-Fehler im Zusammenhang mit der Google+-Abschaltung.
Wesentliche Sicherheitsprobleme bei Google+
Im März 2018 entdeckte und behob Google einen Fehler in einer der Google+ People APIs. Apps mit genehmigtem Profilzugriff konnten ausgewählte Felder sehen, die mit der betreffenden Person geteilt, aber nicht öffentlich waren. Die Auswertung von zwei Wochen Protokollen zeigte, dass potenziell bis zu 500.000 Profile betroffen gewesen sein könnten. Google fand keine Hinweise auf Kenntnis oder Missbrauch durch Entwickler.
Offizielle Project-Strobe-Mitteilung
Googles Mitteilung vom 8. Oktober 2018 erklärt People API, Profilfelder und Grenzen der Auswertung. Sie kündigt außerdem das Ende der privaten Google+-Version an.Sicherheit von Anwendungen und APIs
Die Prüfung von Berechtigungen und Integrationen begrenzt Zugriffe auf Daten für einen definierten Zweck.Der zweite API-Fehler — rund 52,5 Millionen Nutzer
Ein getrennter Fehler entstand nach einem Software-Update im November 2018. Sechs Tage lang konnten Apps breiter auf nicht öffentliche Profilfelder des Nutzers und von Personen zugreifen, die Daten mit ihm geteilt hatten. Google meldete rund 52,5 Millionen betroffene Nutzer, jedoch erneut keine Hinweise auf Kenntnis oder Missbrauch. Am 10. Dezember 2018 zog Google die geplante Abschaltung von August auf April 2019 vor.
Was am 2. April 2019 abgeschaltet wurde
Die Abschaltung betraf die private Google+-Version und deren Inhalte. Google-Konten oder Dienste wie Gmail, Drive, Fotos und YouTube wurden nicht beendet. Integrationen und Google+-Anmeldung liefen früher aus; das Firmenprodukt wurde später zu Google Currents weiterentwickelt. Auch Currents wurde eingestellt: Laut Google endete der Kundenzugriff am 5. Juli 2023. Die geschäftliche Zusammenarbeit wurde in Bereiche von Google Chat überführt, nicht in ein wiederhergestelltes Google+ für Verbraucher.
Vier Lehren für Organisationen mit Cloud-Diensten
Die Geschichte von Google+ ist kein Argument gegen die Cloud. Sie zeigt, dass jeder Dienst und jede Integration einen Verantwortlichen, minimale Rechte, einen Ausstiegsplan und Kontrolle über Daten bei Strategiewechseln braucht.
Verzeichnis von Apps und Verantwortlichen
Führen Sie ein aktuelles Verzeichnis externer Anwendungen, ihrer OAuth-Berechtigungen und der fachlich Verantwortlichen.Minimale OAuth-Berechtigungen
Entziehen Sie ungenutzte Rechte regelmäßig und begrenzen Sie den Datenzugriff auf einen eindeutig definierten Zweck.Geprüfter Datenexport
Definieren Sie Umfang und Format des Exports und prüfen Sie Vollständigkeit sowie Wiederherstellbarkeit des Archivs.Anbieterfristen und Migrationsprobe
Verfolgen Sie Sicherheitsmeldungen, geänderte Bedingungen und Abschalttermine für APIs und Anmeldefunktionen. Testen Sie den Migrationsablauf frühzeitig, damit die Abschaltung eines Dienstes nicht zum Notfallprojekt wird.Fragen vor Beginn der Zusammenarbeit.
Wann wurde die private Version von Google+ abgeschaltet?
+
Die private Google+-Version wurde am 2. April 2019 abgeschaltet. Das Auslaufen von APIs und Integrationen begann früher.
Bezeichnen 500.000 und 52,5 Millionen denselben Vorfall?
+
Nein. Die erste Zahl gehört zum im Oktober 2018 offengelegten People-API-Fehler, die zweite zu einem getrennten Fehler nach einem Software-Update im November 2018.
Bestätigte Google einen Missbrauch der Daten durch Entwickler?
+
Google erklärte, keine Hinweise gefunden zu haben, dass Entwickler von den Fehlern wussten oder den unbeabsichtigten Zugriff missbrauchten.
Was ist die wichtigste Lehre für ein Unternehmen?
+
Jeder externe Dienst braucht einen Verantwortlichen, minimale Rechte, ein Integrationsverzeichnis, einen geprüften Datenexport sowie einen Plan für Migration und Rechteentzug. Der Plan umfasst Daten, Konten, Integrationen, geschäftliche Abhängigkeiten und die Kommunikation mit Nutzern. Zuerst wird der Umfang inventarisiert, dann werden Daten exportiert und geprüft, Integrationen umgestellt und Zugriffe entzogen.
Sicheren Dienstwechsel planen
Wir klären Abhängigkeiten, Exportanforderungen, Nachweise und die Reihenfolge der technischen Arbeiten.
Virtline kontaktieren