Prüfen Sie, welche Apps und Websites mit Ihrem Google-Konto verbunden sind (und entziehen Sie den Zugriff)

Jedes Mal, wenn Sie in einer App oder auf einer Website auf „Über Google anmelden“ klicken, melden Sie sich nicht nur einmal an — Sie gewähren dieser App dauerhaften Zugriff auf Ihr Google-Konto, der aktiv bleibt, bis Sie ihn manuell entziehen. Die meisten Menschen prüfen diese Liste nie, und sie wächst über Jahre hinweg: eine App, die Sie 2019 einmal ausprobiert haben, eine Browser-Erweiterung, deren Installation Sie vergessen haben, ein Hackathon-Projekt, das Zugriff auf Ihre Kontakte angefordert hat. Hier erfahren Sie genau, wo Sie nachsehen und wie Sie aufräumen.

Wo Sie alle mit Ihrem Google-Konto verbundenen Apps sehen

Gehen Sie zu myaccount.google.com/permissions (oder: Google-Konto → Sicherheit → „Apps von Drittanbietern mit Kontozugriff“).

Diese Seite listet jede App und Website auf, der jemals OAuth-Zugriff auf Ihr Google-Konto gewährt wurde — nicht nur die, die Sie aktiv nutzen. Klicken Sie auf einen Eintrag, um genau zu sehen, worauf zugegriffen werden kann: Ihre E-Mail-Adresse, Ihr Profilbild, Ihre Kontakte, Ihre Google-Drive-Dateien, Ihren Kalender oder (viel seltener, aber prüfenswert) vollständigen Kontozugriff.

Was die Berechtigungsstufen tatsächlich bedeuten

Google gruppiert den Zugriff in grobe Stufen, und der Unterschied ist wichtig:

Grundlegende Profilinformationen (Name, E-Mail, Foto) — geringes Risiko. Das fordert fast jede Schaltfläche „Über Google anmelden“ an, vergleichbar damit, dass die App weiß, wer Sie sind.
Ihre Google-Drive-Dateien ansehen, bearbeiten, erstellen oder löschen — das ist eine deutlich umfangreichere Berechtigung. Eine App mit dieser Berechtigung kann Dokumente lesen, die Sie nie mit ihr teilen wollten.
Ihre E-Mails lesen, senden, löschen und verwalten — die riskanteste verbreitete Berechtigung. Nur sehr wenige legitime Apps benötigen das; wenn eine Ihnen unbekannte App das besitzt, entziehen Sie den Zugriff sofort.
Vollständiger Kontozugriff — reserviert für Kontowiederherstellungs- oder Migrationstools. Diese Liste sollte extrem kurz sein, idealerweise leer bis auf Tools, die Sie bewusst selbst eingerichtet haben.

Wie Sie den Zugriff entziehen

Klicken Sie auf der Berechtigungsseite auf eine App, die Sie nicht mehr nutzen oder nicht erkennen, und dann auf Zugriff entfernen. Dies macht die OAuth-Tokens dieser App sofort ungültig — sie kann Ihre Daten nicht mehr lesen, und wenn sie erneut Zugriff benötigt, müssen Sie sie erneut ausdrücklich autorisieren.

Das Entfernen des Zugriffs löscht keine Daten, die die App bereits vor dem Entzug heruntergeladen oder auf ihren eigenen Servern gespeichert hat — es stoppt nur zukünftigen Zugriff. Wenn eine App Zugriff auf sensible Daten hatte und Sie nicht sicher sind, was sie damit gemacht hat, ist das eine separate Angelegenheit, die die Datenschutzrichtlinie dieser App selbst betrifft — nicht etwas, das die Entzugsschaltfläche von Google rückgängig machen kann.

Beschränken Sie sich nicht auf Apps — prüfen Sie auch Geräte

Eine verwandte, aber separate Seite, myaccount.google.com/device-activity, zeigt jedes Gerät, das aktuell in Ihrem Google-Konto angemeldet ist: Telefone, Laptops, Smart-TVs, alles. Wenn Sie ein Gerät sehen, das Sie nicht erkennen, oder eines, das Sie vor Jahren verkauft oder verschenkt haben und das immer noch aufgeführt ist, klicken Sie darauf und wählen Sie Abmelden. Das ist die nützlichste Überprüfung, wenn Sie auch nur vage vermuten, dass Ihr Passwort geleakt sein könnte, denn sie wirft sofort jede Sitzung hinaus, die ein Angreifer möglicherweise hält — unabhängig davon, ob Sie das Passwort bereits geändert haben.

Eine fünfminütige Routine, die sich zu wiederholen lohnt

Öffnen Sie myaccount.google.com/permissions, überfliegen Sie die Liste und entfernen Sie alles, was Sie nicht aktiv nutzen oder nicht erkennen.
Öffnen Sie myaccount.google.com/device-activity und melden Sie alle unbekannten Geräte ab.
Wenn Sie nicht sicher sind, ob ein anderswo verwendetes Passwort bereits geleakt ist, prüfen Sie es mit einer Passwort-Datenleck-Prüfung — sie prüft gegen echte Leck-Daten, ohne Ihr tatsächliches Passwort jemals irgendwohin zu senden.

Nichts davon erfordert eine Installation oder das Anvertrauen Ihres Kontos an Dritte — alles ist in Googles eigenen Einstellungen integriert und dauert weniger Zeit, als das Lesen dieses Artikels gedauert hat.