0800 71 20000
Kontakt
...
Dateidienste ordnen

NTFS-Berechtigungen und Freigaben planen: ein Konzept über Gruppen statt Einzelrechte

Diese Seite ordnet die beiden Berechtigungsebenen, das Zusammenspiel der Gruppentypen im Verzeichnis und den Antragsweg, ohne den ein Konzept nach einem Jahr wieder aussieht wie der Zustand davor.

Passende Kurse ansehen Persönlich beraten lassen
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Jeder einzelne Eingriff war richtig, und trotzdem ist der Bestand nicht mehr prüfbar

Berechtigungen wachsen aus Ausnahmen. Jemand braucht kurzfristig Zugriff auf einen Projektordner, das Ticket ist dringend, also wird das Konto direkt eingetragen. Eine Abteilung soll einen Unterordner nicht sehen, also wird die Vererbung unterbrochen. Eine Vertretung braucht dieselben Rechte wie die abwesende Person, also werden sie kopiert. Jeder einzelne dieser Schritte war zum Zeitpunkt der Entscheidung vertretbar. Zusammengenommen ergeben sie einen Bestand, den niemand mehr in vertretbarer Zeit prüfen kann.

Sichtbar wird das immer an denselben drei Stellen. Ein Mensch wechselt die Abteilung und behält Zugriffe, weil sie an seinem Konto hängen und nicht an einer Gruppe. Eine Prüfung fragt, wer auf einen Ordner zugreifen darf, und die Antwort dauert Tage. Und beim Umzug auf einen neuen Dateiserver stellt sich heraus, dass die Berechtigungen sich nicht mitnehmen lassen, ohne sie vorher zu verstehen.

Der zweite Fehler ist ebenso verbreitet und weniger offensichtlich: Berechtigungen werden auf beiden Ebenen gleichzeitig gepflegt. Auf der Freigabe steht ein Satz Rechte, im Dateisystem ein anderer, und die tatsächliche Wirkung ergibt sich aus der jeweils engeren Vorgabe. Wer eine Fehlersuche in einem solchen Aufbau schon einmal gemacht hat, weiß, dass die Hälfte der Zeit dafür draufgeht, überhaupt herauszufinden, welche Ebene gerade bremst.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was

Wer im Haus was entscheidet

Die meisten Probleme in Dateidiensten sind keine technischen, sondern Zuständigkeitsfragen. Die folgende Aufteilung ordnet jede wiederkehrende Entscheidung genau einer Stelle zu und benennt jeweils die Falle, in die Häuser an dieser Stelle regelmäßig laufen.

Ob ein neuer Ordner mit eigenen Rechten entsteht

Wer entscheidet
Die Fachabteilung, die den Ordner braucht, gemeinsam mit der Stelle, die die Datenablage insgesamt verantwortet
Wer setzt um
Der Betrieb, indem er die beiden Rechtegruppen anlegt, den Ordner erzeugt und die Gruppen an ihm einträgt
Stolperfalle
Der Ordner entsteht zuerst und die Rechte kommen nachträglich. Bis dahin liegen Daten darin, die für die Vererbung ungünstig verteilt sind, und die erste Bereinigung ist teurer als die Anlage gewesen wäre.

Wer in eine Rechtegruppe aufgenommen wird

Wer entscheidet
Die fachlich verantwortliche Person für die Daten in diesem Ordner, nicht die IT und nicht die anfragende Person selbst
Wer setzt um
Der Betrieb oder der Servicedesk über die Mitgliedschaft in der globalen Gruppe, immer mit einem Verweis auf den Vorgang
Stolperfalle
Die Zustimmung wird mündlich eingeholt, weil es schnell gehen muss. Bei der nächsten Prüfung fehlt der Nachweis, und der Zugriff lässt sich weder begründen noch guten Gewissens entziehen.

Die Rechte an der Freigabe selbst

Wer entscheidet
Die Stelle, die die Dateidienste betreibt, einmalig und für alle Freigaben nach demselben Muster
Wer setzt um
Der Betrieb, indem er die Freigabe gleichförmig setzt und alle Unterscheidungen ins Dateisystem verlagert
Stolperfalle
Es wird auf beiden Ebenen unterschieden. Danach kostet jede Fehlersuche doppelt so lange, weil zuerst geklärt werden muss, welche der beiden Ebenen gerade die engere ist.

Das Unterbrechen der Vererbung an einem Unterordner

Wer entscheidet
Die Stelle, die das Konzept verantwortet, und nicht die Person, die gerade das Ticket bearbeitet
Wer setzt um
Der Betrieb, mit einem Eintrag im Verzeichnis der Ausnahmen und einer Begründung, die auch in einem Jahr noch verständlich ist
Stolperfalle
Die Unterbrechung wird gesetzt, weil sie das Ticket schließt. Nach fünfzig solchen Entscheidungen ist die Struktur nicht mehr aus dem Konzept ableitbar, sondern nur noch aus dem Dateisystem selbst.

Die regelmäßige Überprüfung der vergebenen Zugriffe

Wer entscheidet
Die fachlich verantwortlichen Personen je Ordner, in einem festen Takt und nicht anlassbezogen
Wer setzt um
Der Betrieb, indem er die Mitgliederlisten der Rechtegruppen bereitstellt und die Rückmeldungen umsetzt
Stolperfalle
Die Überprüfung liefert eine Liste technischer Gruppennamen, mit der eine Fachabteilung nichts anfangen kann. Ohne die Zuordnung von Gruppe zu Ordner und Stufe wird sie ohne echte Prüfung abgenickt.

Der Umzug auf einen neuen Dateiserver

Wer entscheidet
Die Stelle, die die Dateidienste verantwortet, gemeinsam mit den betroffenen Fachabteilungen
Wer setzt um
Der Betrieb, indem er die Berechtigungen vor dem Umzug sichert, sie mitnimmt und danach gegen den vorherigen Stand vergleicht
Stolperfalle
Die Berechtigungen werden beim Kopieren mitgenommen, ohne vorher gesichert worden zu sein. Fällt beim Abgleich etwas auf, gibt es keinen Stand, gegen den sich prüfen ließe, was ursprünglich gesetzt war.

Vom Antrag bis zum prüfbaren Recht

  1. 01 Ist die Freigabe für alle gleich gesetzt, sodass nur das Dateisystem unterscheidet?
  2. 02 Hängt das Recht an einer domänenlokalen Gruppe und nicht an einem Konto?
  3. 03 Sagt der Gruppenname, um welchen Ordner und welche Stufe es geht?
  4. 04 Ist die Vererbung an dieser Stelle ununterbrochen, oder gibt es eine begründete Ausnahme?
  5. 05 Steht fest, wer den Zugriff fachlich verantwortet und wann er ihn wieder prüft?
Was du mitnimmst

Sechs Festlegungen, die den Bestand wieder prüfbar machen

Die Reihenfolge zählt. Erst die Ebenen klären, dann die Gruppen, dann die Ausnahmen und ganz zum Schluss den Weg, auf dem neue Ordner entstehen. Wer mit dem Antragsweg anfängt, beschreibt einen Zustand, den es noch gar nicht gibt.

Nur eine Ebene wirklich steuern

Windows prüft beim Zugriff über das Netz beide Ebenen, die Berechtigung an der Freigabe und die am Dateisystem, und es gilt jeweils die engere. Genau deshalb lohnt es sich, nur eine davon zu benutzen, um zu unterscheiden. Setz an der Freigabe eine großzügige, für alle gleiche Vorgabe und steuere die Feinheiten ausschließlich im Dateisystem. Damit hast du im Störfall genau einen Ort, an dem du nachsiehst.

Rechte an Gruppen hängen, niemals an Konten

Ein Recht, das an einem Konto hängt, verschwindet nicht beim Abteilungswechsel und taucht in keiner Auswertung nach Rollen auf. Bau stattdessen die im Verzeichnis vorgesehene Kette: Konten kommen in globale Gruppen, globale Gruppen kommen in domänenlokale Gruppen, und nur den domänenlokalen Gruppen wird ein Recht am Ordner zugewiesen. Das ist keine Formsache, sondern folgt genau den Regeln, welche Gruppenart welche Mitglieder aufnehmen darf.

Je Ordner und Rechtestufe genau eine Gruppe

Für einen Ordner, auf den lesend und schreibend zugegriffen wird, brauchst du zwei domänenlokale Gruppen, eine je Stufe. Der Name der Gruppe sollte den Ordner und die Stufe enthalten, damit sich aus der Berechtigungsliste eines Ordners ohne Nachschlagen ablesen lässt, was dort erlaubt ist. Diese Gruppen sind reine Rechteträger und bekommen niemals Personen als direkte Mitglieder, sondern ausschließlich globale Gruppen.

Die Rechtestufen begrenzen und Vollzugriff sparsam vergeben

Drei Stufen reichen für fast alles: lesen, ändern und in wenigen Fällen Vollzugriff. Der Unterschied zwischen Ändern und Vollzugriff ist gerade im Alltag entscheidend, denn Vollzugriff erlaubt zusätzlich das Ändern der Berechtigungen und das Übernehmen des Besitzes. Wer das breit vergibt, gibt die Kontrolle über den Bestand aus der Hand, und zwar an Leute, die davon meist gar nichts wissen.

Verweigern als Ausnahme behandeln und begründen

Ein ausdrückliches Verweigern steht in der Auswertungsreihenfolge vor jeder Erlaubnis und ist deshalb ein wirksames, aber grobes Werkzeug. In einem Konzept, in dem Rechte über Gruppenmitgliedschaften vergeben werden, ist es fast immer ein Zeichen dafür, dass die Gruppenstruktur nicht passt. Wenn es doch nötig ist, gehört in dieselbe Zeile eine Begründung im Dokument, sonst rätselt in zwei Jahren jemand daran.

Den Weg festlegen, auf dem ein neuer Ordner entsteht

Ein Konzept hält nur, wenn der reguläre Weg bequemer ist als der Umweg. Leg fest, wer einen Ordner beantragt, wer fachlich zustimmt, welche Angaben dafür nötig sind und wie lange es dauert. Zu den Angaben gehören der Zweck, die zuständige Person und die beiden Gruppen, die angelegt werden. Wenn dieser Weg zwei Tage dauert und der Anruf beim Servicedesk zwei Minuten, gewinnt der Anruf, und zwar jedes Mal.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Zwei Ebenen, und die engere gewinnt

Beim Zugriff über das Netz prüft Windows zwei getrennte Berechtigungen. Die erste hängt an der Freigabe und kennt drei Stufen: Lesen, Ändern und Vollzugriff. Diese Stufen tauchen auch in den Werkzeugen wieder auf, etwa als Angabe für die Cmdlets, mit denen sich Freigabeberechtigungen setzen lassen. Die zweite hängt am Dateisystem selbst und ist erheblich feiner, weil sie einzelne Rechte kennt, bis hin zum Lesen der erweiterten Attribute oder dem Anhängen von Daten.

Wirksam ist immer die engere der beiden. Wer an der Freigabe nur Lesen vergibt, kann im Dateisystem schreiben, wie er will, es bleibt beim Lesen. Umgekehrt ändert eine großzügige Freigabe nichts daran, dass ein Ordner im Dateisystem gesperrt ist. Für den lokalen Zugriff direkt am Server gilt die Freigabeebene übrigens gar nicht, was gelegentlich für Verwirrung sorgt, wenn eine Anwendung auf dem Server selbst läuft.

Für das Konzept folgt daraus die einfachste mögliche Regel: Setz an jeder Freigabe dieselbe großzügige Vorgabe und unterscheide ausschließlich im Dateisystem. Damit hat jede Frage nach einer Berechtigung genau einen Ort, an dem sie beantwortet wird. Die Werkzeuge helfen dabei: Auf der Ebene des Dateisystems kennt icacls kurze Kürzel für die üblichen Stufen, unter anderem F für Vollzugriff, M für Ändern, RX für Lesen und Ausführen und R für reines Lesen.

Warum die Kette aus Gruppen und nicht die Abkürzung

Active Directory kennt drei Reichweiten für Gruppen, und sie unterscheiden sich darin, was sie aufnehmen dürfen und wo ein Recht mit ihnen vergeben werden kann. Eine globale Gruppe nimmt Konten und andere globale Gruppen aus derselben Domäne auf und lässt sich in jeder Domäne des Forests sowie in vertrauenden Domänen für Berechtigungen verwenden. Eine domänenlokale Gruppe nimmt Konten, globale Gruppen und universelle Gruppen aus dem Forest und aus vertrauenden Domänen auf, wird aber nur innerhalb der eigenen Domäne für Berechtigungen benutzt.

Aus diesen beiden Regeln ergibt sich die bekannte Kette. Personen werden nach ihrer Rolle in globalen Gruppen gebündelt, etwa nach Abteilung, Standort oder Aufgabe. Die Rechte am Ordner bekommen ausschließlich domänenlokale Gruppen, und in diese werden die globalen Gruppen aufgenommen. Der Gewinn liegt darin, dass sich die beiden Fragen trennen lassen: Wer gehört fachlich zusammen, und was darf diese Menge an welchem Ordner.

In der Praxis bedeutet das, dass eine Änderung an einer Person genau eine Stelle berührt, nämlich ihre Mitgliedschaft in den globalen Gruppen. Es bedeutet außerdem, dass die Berechtigungsliste eines Ordners kurz bleibt und aus sich heraus lesbar ist. Und es bedeutet, dass eine Auswertung darüber, worauf eine Abteilung zugreifen kann, über Gruppenmitgliedschaften läuft und nicht über das Durchsuchen von Millionen Dateien.

Vererbung, Ausnahmen und der Punkt, an dem es kippt

Berechtigungen im Dateisystem werden von oben nach unten vererbt, und das ist der Zustand, den du erhalten willst. Ein Ordner, dessen Rechte vollständig geerbt sind, braucht keine eigene Dokumentation, weil er der Regel folgt. Erst eine Unterbrechung erzeugt eine Stelle, die jemand kennen muss. Deshalb lohnt sich eine schlichte Zählung: Wie viele Stellen im Baum haben eigene, nicht geerbte Einträge? Diese Zahl ist ein besseres Maß für die Ordnung als jede Beschreibung.

Beim Aufräumen hilft es, die Reihenfolge zu kennen, in der Windows die Einträge auswertet. Sie ist festgelegt: zuerst die ausdrücklichen Verweigerungen, dann die ausdrücklichen Erlaubnisse, danach die geerbten Verweigerungen und zuletzt die geerbten Erlaubnisse. Genau deshalb sticht ein Verweigern, das direkt am Ordner steht, jede geerbte Erlaubnis von oben. Wer diese Reihenfolge im Kopf hat, erklärt die meisten überraschenden Ergebnisse in einer Minute.

Für die Arbeit am Bestand gibt es ein Bordmittel, das mehr kann, als die meisten nutzen. Mit icacls lassen sich die Berechtigungen eines ganzen Baums in eine Datei sichern und daraus wiederherstellen, was vor jedem größeren Eingriff der erste Schritt sein sollte. Der Schalter zum Zurücksetzen ersetzt die Rechte durch die geerbten Standardwerte, und über die Angabe zur Vererbung lässt sich die Vererbung aktivieren, deaktivieren und dabei entweder die geerbten Einträge übernehmen oder entfernen. Die Suche nach einer bestimmten Kennung findet außerdem alle Stellen, an denen ein bestimmtes Konto oder eine bestimmte Gruppe noch eingetragen ist.

Sichtbarkeit ist kein Schutz

Eine Frage kommt in jedem Projekt: Können wir Ordner ausblenden, die jemand nicht öffnen darf? Ja, dafür gibt es die zugriffsbasierte Aufzählung, und für die Übersichtlichkeit einer großen Ablage ist sie eine echte Verbesserung. Sie hat allerdings eine Grenze, die Microsoft ausdrücklich benennt: Sie verhindert nicht, dass jemand einen bekannten Pfad direkt öffnet. Den Zugriff verhindern ausschließlich die Berechtigungen an der Freigabe und im Dateisystem.

Daraus folgt eine klare Trennung im Sprachgebrauch, die sich in Gesprächen mit Fachabteilungen auszahlt. Ausblenden ist eine Frage der Bequemlichkeit, Schützen eine Frage der Berechtigungen. Wer beides vermischt, baut irgendwann eine Ablage, in der die Struktur zwar aufgeräumt aussieht, ein Pfad aus einer alten Verknüpfung aber trotzdem funktioniert. In DFS-Namespaces kommt hinzu, dass die Berechtigungen an einem Namespace-Ordner ausschließlich der Sichtbarkeit dienen und nicht dem Zugriff.

Der zweite Punkt betrifft die Kosten. Microsoft weist darauf hin, dass die zugriffsbasierte Aufzählung in manchen Umgebungen zu hoher Prozessorlast auf dem Server und zu langsamen Antworten für die Nutzer führen kann. Es lohnt sich also, sie dort einzuschalten, wo sie wirklich hilft, und nicht überall aus Prinzip. Ein aufgeräumter Baum mit wenigen Ausnahmen braucht sie an den meisten Stellen gar nicht.

Dazu passende Kurse

Wenn im Haus niemand mehr sagen kann, warum eine Gruppe Zugriff hat, sind Kurse, in denen du ein Berechtigungskonzept für Dateidienste aufbaust der schnellste Weg zurück zu einer prüfbaren Struktur.

Für alles, was rund um die Ablage noch dazugehört, von Kontingenten bis zur Datensicherung, findest du bei Trainings zu Dateidiensten, Gruppen und Zugriffssteuerung den passenden Einstieg.

Wissen prüfen

Wie sicher bist du beim Thema wirklich?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest Windows Server Grundlagen QuizTeste dein Wissen zu Rollen und Features, Dateidiensten, DNS und DHCP, Failover Cluster, Server Core und den Update-Wegen. Quiz starten
Konkrete Kurse

Wo du genau das übst

Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Windows Server - Remote Desktop Services (Advanced 01)
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Hyper-V und System Center VMM - Alles für Administratoren
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Hyper-V und System Center VMM - Alles für Administratoren

Häufige Fragen

Welche Rechte gehören an die Freigabe?
Eine gleichförmige, großzügige Vorgabe, damit die Freigabe nicht zur zweiten Baustelle wird. Die Feinheiten regelst du im Dateisystem, denn dort sind sie auswertbar, vererbbar und mit Bordmitteln zu sichern. Wichtig ist nur, dass diese Regel für alle Freigaben gleich gilt; eine Ausnahme genügt, um bei der nächsten Fehlersuche wieder beide Ebenen prüfen zu müssen.
Warum nicht einfach eine Gruppe je Abteilung und fertig?
Weil damit zwei Fragen vermischt werden, die sich unterschiedlich entwickeln. Die Zugehörigkeit zu einer Abteilung ändert sich bei einem Wechsel, der Zugriff auf einen Projektordner endet mit dem Projekt. Wenn beides an derselben Gruppe hängt, muss bei jeder Änderung geprüft werden, welche Wirkung gerade gemeint ist. Zwei getrennte Ebenen kosten einmal Anlage und sparen danach jedes Mal.
Wann ist Vollzugriff berechtigt?
Selten. Vollzugriff erlaubt zusätzlich zum Ändern von Inhalten auch das Ändern von Berechtigungen und das Übernehmen des Besitzes. Für den normalen Umgang mit Dateien reicht die Stufe Ändern vollständig aus. Vollzugriff gehört an Konten der Administration, an das Sicherungskonto, wenn es eines gibt, und an sonst niemanden.
Wie prüfe ich, wer auf einen bestimmten Ordner zugreifen kann?
Über die Berechtigungsliste des Ordners und die Mitgliederlisten der dort eingetragenen Gruppen. Genau dafür lohnt sich die Kette aus globalen und domänenlokalen Gruppen: Die Liste am Ordner ist kurz, und der Rest ist eine Abfrage im Verzeichnis. Steht dort ein einzelnes Konto, ist das der Hinweis darauf, dass an dieser Stelle einmal am Konzept vorbei entschieden wurde.
Was mache ich mit einem Bestand, der über Jahre gewachsen ist?
Nicht alles auf einmal. Sichere zuerst die Berechtigungen des gesamten Baums, dann nimm dir die Stellen mit unterbrochener Vererbung vor, denn sie sind die eigentliche Last. Für jede davon gilt: entweder in die Regel zurückführen oder mit einer Begründung dokumentieren. Danach ersetzt du die Einzelkonten in den Berechtigungslisten durch Gruppen, und zwar von den am häufigsten genutzten Ordnern abwärts.

Quellen

Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.

0800 71 20000 E-Mail
Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

0800 71 20000 E-Mail

Ein Berechtigungskonzept aufbauen, das auch geprüft werden kann

In den Kursen rund um Windows Server und Active Directory bei cmt gehst du Freigaben, Vererbung und die Kette aus Gruppen an einer eigenen Umgebung durch und siehst, an welchen Stellen ein Konzept im Alltag aufgeweicht wird.

Alle Kurse und Termine Frage stellen

Passt dazu

Alle Themen zu Windows Server