Administratorhandbuch: Ascripto und Google Workspace

Zuletzt geprüft am 19. Oktober 2026

Für Google Workspace-Administratoren und Super Admins, die gebeten wurden, etwas zu erlauben, und für alle, die prüfen, worauf Ascripto zugreift. Zuerst der Mechanismus, in den Begriffen, die Google selbst verwendet.

Was Ascripto anfordert und von wem

Freigabe	Wer sie erteilt	Wo	Was sie erlaubt
Anmeldung	jede Person, die Ascripto nutzt	die Google-Anmeldung	`openid`, `email`, `profile`. Die Identität wird über die stabile Subject-ID und die gehostete Domain des Google-Kontos bestimmt, nie über die E-Mail-Adresse
Verzeichnis, nur Lesezugriff	ein Google Workspace-Administrator	OAuth-Einwilligung, aufgerufen aus Ascripto (Willkommensseite oder Einstellungen → Verbindungen)	`admin.directory.user.readonly` und `admin.directory.domain.readonly`: Nutzer mit Namen, Positionen, Abteilungen, Telefonnummern, Organisationseinheit und benutzerdefinierten Attributen; die bestätigten Domains der Organisation. Gruppen werden nicht gelesen
Signaturen	ein Super Admin	Admin-Konsole → Sicherheit → Zugriffs- und Datenkontrolle → API-Steuerung → Domainweite Delegierung verwalten	www.googleapis.com/auth/gmail.settings.basic für das Ascripto-Dienstkonto, dessen Client-ID auf der Seite angezeigt wird. Wird nur für `users.settings.sendAs` verwendet

Ascripto liest, sendet oder löscht niemals E-Mails. Die Nutzung von Google-Daten durch Ascripto unterliegt der Richtlinie für Nutzerdaten zu Google API-Diensten, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use); die entsprechende Erklärung steht in der Datenschutzerklärung unter ascripto.com/de/privacy/.

Warum domainweite Delegierung statt einer Installation über den Marketplace

Zwei Gründe, und beide würden auch dann noch gelten, wenn es den Marketplace-Eintrag gibt:

Eine „Senden als“-Signatur in einem anderen Postfach als dem eigenen des Aufrufers zu lesen oder zu schreiben, ist nur einem Dienstkonto-Client mit domainweiter Befugnis möglich. Eine Einwilligung pro Nutzer kann das nicht.
Google bietet keine Nur-Lese-Variante von gmail.settings.basic. Das Audit liest nur, doch die Freigabe erlaubt zwangsläufig auch Schreibzugriffe.

Google hat die OAuth-App von Ascripto (Branding und sensible Bereiche) am 17. Oktober 2026 überprüft, daher zeigt der Zustimmungsbildschirm für die Verzeichnisfreigabe keine Warnung „nicht überprüfte App“. Der Delegierungseintrag für Signaturen wird weiterhin von Hand in der Admin-Konsole angelegt, und die Bereiche sind die in der Tabelle oben.

Häufigkeit und Mechanik

Vorgang	Häufigkeit	Mechanismus
Verzeichnisänderungen	sobald sie geschehen: Google meldet Ascripto jede Änderung, und die Person wird sofort, eine Minute und fünf Minuten später gelesen	Admin SDK Directory API `users.watch`, ein Kanal je Art der Änderung (hinzugefügt, geändert, gelöscht, wiederhergestellt), alle zwei Tage erneuert und mit `channels.stop` beendet; `users.get` für die Person
Verzeichnis einlesen	stündlich; alle 15 Minuten, solange ein Benachrichtigungskanal fehlt; und bei Jetzt einlesen	Admin SDK Directory API `users.list`, `domains.list`
Audit	einmal täglich und bei Erneut prüfen	`sendAs.list` pro Person; die Signatur der primären Adresse wird mit dem Verzeichniseintrag verglichen
Bereitstellung	bei einer geprüften Bereitstellung; danach automatisch für neue Mitarbeitende und geänderte Einträge	`sendAs.patch` pro Person, etwa zwanzig Schreibvorgänge pro Sekunde. Jedes Postfach wird zuerst gelesen und nur beschrieben, wenn es abweicht, es sei denn, Auch aktuelle Signaturen neu schreiben ist aktiviert
Import	auf Anforderung	`sendAs.get` für die ausgewählte Person; die Werte werden mit ihrem Verzeichniseintrag abgeglichen

Verwendet wird sendAs.patch statt sendAs.update, damit eine Bereitstellung nie den Anzeigenamen, die Antwortadresse oder die Alias-Flags einer Person löscht.

Was das Audit vergleicht

Pro Person wird die Signatur, die Gmail für neue Nachrichten verwendet, mit dem Verzeichniseintrag verglichen. Befunde:

Befund	Prüfung
keine Signatur	die Signatur ist leer
Name fehlt	der Name der Person steht nicht im Text
Position fehlt	die Position aus dem Verzeichnis steht nicht im Text
Telefon (geschäftlich) fehlt	die geschäftliche Telefonnummer aus dem Verzeichnis steht nicht im Text
kein Logo	die Signatur enthält kein Logobild
konnte nicht gelesen werden	Google hat den Zugriff auf das Postfach verweigert; wird gesondert gezählt, nie als markenkonform oder nicht markenkonform

Nicht geprüft, und das steht auch neben den Zahlen: die separate Signatur, die eine Person für Antworten und Weiterleitungen auswählen kann (Gmail speichert sie in den Web-Einstellungen, und keine API gibt preis, welche verwendet wird), eine in der Gmail-App festgelegte Mobile Signatur (nur lokal auf dem Gerät, für keine API sichtbar), Schriftarten, Schriftgrößen und Farben sowie alles, was eine Person über die bereitgestellten Inhalte hinaus hinzufügt.

Was die Bereitstellung schreibt

Das für diese Person gerenderte HTML (Bilder werden auf img.ascripto.com gehostet, da eine Gmail-Signatur ein HTML-String ist und nichts einbetten kann) und den passenden Nur-Text. Gmail wendet die Signatur im Web und in den Gmail-Apps an. Die Bereitstellung überspringt Personen, die im Verzeichnis gesperrt sind, deren Adresse außerhalb der Domains der Organisation liegt oder für die keine Signatur gilt.

Ausgeschiedene Mitarbeitende

Eine aus dem Verzeichnis entfernte Person kommt in den Papierkorb von Ascripto (standardmäßig 7 Tage, unter Einstellungen → Verbindungen auf bis zu ein Jahr einstellbar) und wird nicht mehr verwaltet. Ascripto schreibt nie wieder in ihr Postfach und entfernt die dort bereits vorhandene Signatur nicht. In die Postfächer gesperrter Nutzer wird nicht geschrieben, solange sie gesperrt sind.

Doppelte Signaturen

Wenn in der Admin-Konsole (Apps → Google Workspace → Gmail → Compliance) die Einstellung Fußzeile anfügen aktiviert ist, fügt Google die Fußzeile unter der eigenen Signatur jedes Nutzers ein, auch unter der Signatur, die Ascripto schreibt. Deaktivieren Sie die Fußzeile in jeder Organisationseinheit, in der sie festgelegt ist, sobald Ascripto den rechtlichen Text übernimmt.

Fehlerfälle, wie das Produkt sie meldet

Was passiert ist	Was Ascripto anzeigt	Lösung
Der Delegierungseintrag fehlt oder wurde gelöscht	Google hat das Öffnen der Postfächer verweigert. Der Signaturzugriff wurde in Ihrer Admin-Konsole möglicherweise entzogen. Das Audit oder die Bereitstellung stoppt; die Zählungen bleiben auf dem erreichten Stand	Fügen Sie die Client-ID und den Bereich erneut hinzu. Wird am Token-Endpunkt erkannt (`unauthorized_client`), daher wird zwischendurch kein Postfach angefasst
Die Verzeichniseinwilligung wurde widerrufen, oder der einwilligende Administrator hat die Rolle verloren	Einstellungen → Verbindungen: Die Verbindung wurde widerrufen. Verbinden Sie sich erneut, um das Verzeichnis wieder zu lesen.	Wählen Sie als aktueller Administrator Erneut verbinden
Google braucht eine Weile, um eine neue Delegierung anzuwenden	Noch nicht zugelassen mit einer erneuten Prüfung alle 20 Sekunden	Warten Sie; Google nennt bis zu 24 Stunden, meist sind es Minuten
Eine Prüfung oder ein Lesevorgang schlägt auf Seiten von Ascripto fehl	wird genau so angezeigt und wiederholt	nichts

Zugriff von Ascripto widerrufen

Signaturen: Admin-Konsole → Sicherheit → Zugriffs- und Datenkontrolle → API-Steuerung → Domainweite Delegierung verwalten → der Ascripto-Client → Löschen. Audits und Bereitstellungen stoppen sofort.
Verzeichnis: Der Administrator, der eingewilligt hat, entfernt Ascripto im eigenen Google-Konto → Verknüpfte Apps (myaccount.google.com/linkedapps) (oder Einstellungen → Verbindungen → die Verbindung wird als widerrufen markiert, sobald Google den nächsten Lesevorgang verweigert).
Bereits geschriebene Signaturen bleiben in den Gmail-Konten der Personen erhalten; Ascripto entfernt sie nie.

Umgang mit Daten

Gespeichert: Namen, E-Mail-Adressen und die Verzeichnisfelder, die Signaturen verwenden; Überschreibungen durch Administratoren; Signaturdesigns und -versionen; Markenbilder; Audit-Befunde; bei kostenpflichtigen Tarifen, wer wann in die Monatsrechnung eingeflossen ist. Bilder werden öffentlich über img.ascripto.com ausgeliefert, weil die E-Mail-Programme der Empfänger sie laden müssen.
Nicht gespeichert: E-Mails, Betreffzeilen, Header und die Google-Token über ihre Verwendung hinaus. Die Zugangsdaten für den Verzeichniszugriff liegen in Azure Key Vault.
Wo: Microsoft Azure, Germany West Central (Frankfurt). Transaktions-E-Mails (Anmeldecodes, Einladungen) werden über den eigenen E-Mail-Server von Ascripto in der EU versendet. Zahlungen wickelt Stripe ab.
Aufbewahrung: Verzeichnisfelder, solange die Person im Verzeichnis steht, zuzüglich der Zeit im Papierkorb; Audit-Protokoll der Administratoraktionen 13 Monate; Verlauf der Signaturänderungen 90 Tage; Abrechnungszählungen 70 Tage; die Daten einer Organisation werden innerhalb von 30 Tagen nach Vertragsende gelöscht, nach einem 30-tägigen Exportzeitraum. Die vollständige Tabelle steht in der Datenschutzerklärung; der Auftragsverarbeitungsvertrag (AVV) unter ascripto.com/de/dpa/ entspricht Art. 28 DSGVO und muss nicht unterschrieben werden.
Zugriff durch Mitarbeitende: Mitarbeitende von Ascripto sehen Kundendaten nicht nach Belieben ein. Der Support kann die Daten einer Organisation nur über eine Support-Freigabe einsehen, die zeitlich begrenzt ist, eine Begründung enthält, protokolliert wird und für die Organisation sichtbar ist. Jedes Mitarbeiterkonto verwendet Multi-Faktor-Authentifizierung.
Browsersicherheit: Die App hält nie ein Zugriffstoken im Browser; eine serverseitige Komponente bewahrt die Token in httpOnly-Cookies auf.

Abgerechnete Nutzer

Als abgerechneter Nutzer zählt bei Google Workspace jede Person, deren Gmail-Konto irgendwann im Monat Ihre aktuelle Signatur trug, weil eine Bereitstellung sie geschrieben hat oder weil eine Bereitstellung oder das Audit sie noch vorgefunden hat. Wer den ganzen Monat über gesperrt oder entfernt war, zählt nicht. Den bisherigen Stand des Monats finden Sie unter Einstellungen → Abrechnung.