Anmelden

Windows Grundlagen

Lektion 4 von 6

Benutzer, Gruppen und NTFS-Berechtigungen

Lerne lokale Identitäten, Gruppen, Rechte, Vererbung und effektiven Zugriff kennen.

Lernziele

Nach Abschluss dieser Lektion kannst du:

  • Benutzer und Gruppen unterscheiden
  • Gruppen als skalierbare Berechtigungsverwaltung erklären
  • SID konzeptionell erklären
  • Authentifizierung und Autorisierung unterscheiden
  • gängige NTFS-Berechtigungssätze erkennen
  • Allow, Deny und Vererbung sorgfältig einordnen
  • effektiven Zugriff aus direkten, Gruppen- und geerbten Einträgen verstehen
  • Eigentümerschaft sowie Administrator/UAC erklären
  • Freigabe- und NTFS-Berechtigungen unterscheiden
  • Full Control nicht als pauschalen Fix einsetzen

Lokale Benutzer, Gruppen und SID

Ein lokales Konto existiert in der lokalen Sicherheitsdatenbank und gilt primär für diesen Computer, etwa PC01\azubi oder PC01\administrator. Lokale Gruppen wie Users und Administrators bündeln Benutzer, damit Rechte nicht einzeln gepflegt werden müssen. Welche grafischen Verwaltungswerkzeuge verfügbar sind, hängt von Edition und Version ab.

Ein SID (Security Identifier) identifiziert einen Windows-Sicherheitsprinzipal wie Benutzer oder Gruppe intern. Wird ein Konto umbenannt, entsteht allein durch den neuen Namen konzeptionell keine völlig neue Sicherheitsidentität. SID-Formate müssen hier nicht auswendig gelernt werden.

Authentifizierung und Autorisierung

Authentifizierung fragt: „Wer bist du?“ Autorisierung fragt danach: „Was darfst du?“ Eine erfolgreiche Anmeldung als Anna beweist daher nicht, dass Anna jede Datei lesen darf.

NTFS-Berechtigungssätze

Read
Inhalte und Eigenschaften lesen
Write
Inhalte anlegen oder schreiben, soweit anwendbar
Read & Execute
lesen und ausführbare Inhalte starten
Modify
typisch lesen, ausführen, ändern und löschen
Full Control
umfassender, einschließlich weitergehender Berechtigungsverwaltung

Modify ist nicht Full Control. Eine Anwendung, die Dateien schreiben muss, benötigt deshalb nicht pauschal Full Control; vergeben wird nur das Erforderliche.

Allow, Deny und effektiver Zugriff

ACLs können Allow- und Deny-Einträge enthalten. „Deny wins immer“ ist keine universell ausreichende Regel: Explizite Deny-Einträge haben starke Priorität, doch die Auswertung hängt vom vollständigen Zugriffstoken, ACE-Typ und -Reihenfolge, Vererbung und den angefragten Rechten ab. Ein sauberes Gruppen-/Allow-Design ist leichter zu verstehen als unnötige Deny-Einträge.

Effektiver Zugriff kann aus direkten Benutzereinträgen, mehreren Gruppen und geerbten Einträgen entstehen. Nicht nur die ACL-Zeile mit dem Benutzernamen zählt.

Wie Berechtigungen zusammenkommen

Textliche Kennzeichnungen machen direkte, gruppenbasierte, geerbte und explizite Einträge unabhängig von Farben verständlich.

Benutzer

  • Anna
  • Mitglied: Users
  • Mitglied: Support

Ordner C:\\Daten\\Support

  • Gruppe Support → Modify
  • Gruppe Users → Read

Ergebnis (konzeptionell)

  • Token enthält beide Gruppen
  • anwendbare Einträge werden ausgewertet
  • Anna kann über Support ändern

Elternordner C:\\Daten

  • Users → Read
  • als vererbbar markiert

Kind C:\\Daten\\Support

  • geerbt: Users → Read
  • explizit: Support → Modify
  • beide Arten können koexistieren

Vererbung und Eigentümerschaft

Einträge von C:\Daten können an C:\Daten\Azubi vererbt werden. Geerbte und explizite Einträge können gleichzeitig bestehen; ein Kind muss daher nicht exakt dieselben Berechtigungen wie sein Elternordner haben.

NTFS-Objekte besitzen einen Eigentümer. Eigentümerschaft ist für Sicherheitsverwaltung relevant und kann unter Windows-Regeln die Möglichkeit beeinflussen, Berechtigungen zu verwalten. Eine Besitzübernahme ist aber kein alltäglicher Reparaturtrick und wird hier nicht ausgeführt.

Administrators, UAC und Freigaben

Mitgliedschaft in Administrators bedeutet nicht, dass normale Prozesse ständig voll erhöht laufen. Änderungen an geschützten Ressourcen können UAC-Rechteerhöhung verlangen; UAC wird weder umgangen noch deaktiviert.

Bei lokalem Dateizugriff wirken NTFS-Berechtigungen. Beim Zugriff über eine SMB-Freigabe können Freigabe- und NTFS-Berechtigungen beteiligt sein; die anwendbare, restriktivere effektive Kombination kann begrenzen. Freigaberechte ersetzen NTFS nicht.

Übung

Sicherheitsbegriffe zuordnen

Ordne jedem Eintrag die passende Bedeutung zu.

Szenario: Warum darf Anna ändern?

Anna ist Mitglied von Users und Support. Auf C:\Daten\Support erhält Support Modify, Users Read. Anna kann ändern, weil ihr Zugriffstoken die Support-Mitgliedschaft und damit den anwendbaren Modify-Eintrag enthält.

Typische Fehlvorstellungen

Falsch: „Anmeldung erfolgreich = Zugriff auf jede Datei.“
Korrektur: Anmeldung authentifiziert; Autorisierung entscheidet je Ressource.
Falsch: „Gruppen sind nur organisatorische Ordner für Benutzer.“
Korrektur: Gruppen sind Sicherheitsprinzipale und vereinfachen Rechtevergabe.
Falsch: „Full Control ist der normale Fix für Schreibprobleme.“
Korrektur: Least Privilege verlangt nur die tatsächlich nötigen Rechte.
Falsch: „NTFS-Berechtigungen spielen bei Netzwerkfreigaben keine Rolle.“
Korrektur: Bei SMB können Freigabe- und NTFS-Berechtigungen gemeinsam begrenzen.
Falsch: „Nur direkt am Benutzer eingetragene Rechte zählen.“
Korrektur: Gruppen und Vererbung fließen ebenfalls in effektiven Zugriff ein.
Falsch: „Deny wins immer, egal wie die ACL aufgebaut ist.“
Korrektur: Zugriffsauswertung berücksichtigt Token, ACE-Typ/-Reihenfolge, Vererbung und angefragte Rechte; explizites Deny hat starke, aber nicht als isolierter Slogan ausreichende Priorität.

Dein Lernstand

Lektion in Bearbeitung

Das Öffnen startet die Lektion. Als erledigt zählt sie erst nach deiner ausdrücklichen Bestätigung.