NTFS- & Freigabeberechtigungen

Zwei Berechtigungsebenen – NTFS und Freigabe

Wenn du in einem Windows-Netzwerk einen Ordner freigibst, gibt es zwei unabhängige Berechtigungsebenen die zusammenwirken:

• NTFS-Berechtigungen: Gelten für den direkten lokalen Zugriff auf dem Dateisystem – und auch bei Netzwerkzugriff

• Freigabeberechtigungen (Share Permissions): Gelten nur beim Zugriff über das Netzwerk (\\Server\Freigabe)

Wenn ein Benutzer über das Netzwerk zugreift, gelten beide Berechtigungen gleichzeitig. Das effektive Recht ist immer das restriktivere der beiden. Das heißt: Hat jemand NTFS-Vollzugriff aber nur Lese-Freigabeberechtigung, kann er trotzdem nur lesen.

Zugriff über Netzwerk:

NTFS: Lesen + Schreiben
Share: Nur Lesen
→ Effektiv: Nur Lesen  (das Restriktivere gewinnt)

NTFS: Nur Lesen
Share: Vollzugriff
→ Effektiv: Nur Lesen  (das Restriktivere gewinnt)

NTFS-Berechtigungen

NTFS-Berechtigungen sind feingranular und gelten für Dateien und Ordner auf NTFS-formatierten Datenträgern. Es gibt Standardberechtigungen und erweiterte Berechtigungen.

Standard-NTFS-Berechtigungen

Vererbung

NTFS-Berechtigungen werden standardmäßig vererbt: Ein Unterordner übernimmt automatisch die Berechtigungen des übergeordneten Ordners. Die Vererbung kann deaktiviert werden – dann müssen Berechtigungen manuell gesetzt werden.

Explizite Ablehnung (Deny)

NTFS-Berechtigungen können als Zulassen (Allow) oder Verweigern (Deny) gesetzt werden. Deny gewinnt immer – auch wenn der Benutzer durch eine Gruppe Allow-Rechte hätte. Deny sollte sparsam eingesetzt werden – es macht Berechtigungsstrukturen schnell unübersichtlich.

Kumulierung von Berechtigungen

Ein Benutzer der Mitglied mehrerer Gruppen ist, erhält die kumulierten (zusammengefassten) Rechte aller Gruppen:

Gruppe A: Lesen
Gruppe B: Schreiben
Benutzer ist in A und B → Effektiv: Lesen + Schreiben = Ändern

Ausnahme: Deny einer Gruppe überschreibt Allow aller anderen Gruppen

Besitzer (Owner)

Jede Datei und jeder Ordner hat einen Besitzer – standardmäßig das Konto das die Datei erstellt hat. Der Besitzer hat immer das Recht seine eigenen Berechtigungen zu ändern – selbst wenn er sich versehentlich ausgesperrt hat.

Freigabeberechtigungen

Freigabeberechtigungen sind einfacher als NTFS-Berechtigungen – es gibt nur drei Stufen:

Best Practice: Freigabeberechtigungen vereinfachen

Die empfohlene Praxis in modernen Windows-Umgebungen:

1. Freigabeberechtigung: Jeder → Vollzugriff (oder "Authentifizierte Benutzer → Vollzugriff")

2. Die eigentliche Zugriffskontrolle wird ausschließlich über NTFS-Berechtigungen geregelt

So muss man sich nur um eine Berechtigungsebene kümmern und vermeidet Konfusion durch zwei parallele Systeme.

Administrative Freigaben

Windows erstellt automatisch versteckte administrative Freigaben – erkennbar am $-Zeichen am Ende:

• C$, D$: Zugriff auf das Laufwerksstamm-Verzeichnis (nur Admins)

• ADMIN$: Zeigt auf C:\Windows – für Remote-Verwaltungstools

• IPC$: Inter-Process Communication – für Named Pipes und Remote-Verwaltung

• SYSVOL: Enthält Gruppenrichtliniendateien – für alle authentifizierten Benutzer lesbar

• NETLOGON: Enthält Anmeldeskripte

PowerShell für Berechtigungen

# NTFS-Berechtigungen anzeigen
Get-Acl "C:\Freigaben\IT" | Format-List

# Freigabe erstellen
New-SmbShare -Name "IT-Daten" -Path "C:\Freigaben\IT" `
             -FullAccess "Jeder" -Description "IT-Abteilung"

# Freigaben anzeigen
Get-SmbShare

Zusammenfassung

• Zwei Berechtigungsebenen: NTFS (lokal und Netzwerk) und Freigabe (nur Netzwerk)

• Bei Netzwerkzugriff gilt das restriktivere der beiden Rechte

• NTFS-Berechtigungen: Lesen, Schreiben, Lesen & Ausführen, Ändern, Vollzugriff

• NTFS-Rechte werden vererbt und kumuliert – Deny überschreibt immer Allow

• Freigabeberechtigungen: Lesen, Ändern, Vollzugriff

• Best Practice: Freigabe auf Vollzugriff setzen, Kontrolle nur über NTFS

• Administrative Freigaben: C$, ADMIN$, IPC$, SYSVOL, NETLOGON