Berechtigungsarchitektur: Wer darf was – und lässt sich das erklären?

Auf einem Windows-Dateiserver entscheiden zwei getrennte Rechte über den Zugriff: die Freigabeberechtigung am freigegebenen Ordner und die NTFS-Berechtigung an Ordnern und Dateien. Greift jemand über das Netzwerk auf die Freigabe zu, werden beide geprüft, und es gilt das restriktivere – so beschreibt Microsoft es aktuell für SMB-Dateifreigaben in Azure Files. Die Freigabeberechtigung wirkt nur beim Zugriff über die Freigabe; direkt am Server bzw. auf einem Terminalserver gilt nur NTFS (Microsoft-Dokumentation zu Windows Server 2008, archiviert). Verbreitet ist deshalb, die Freigabe offen zu lassen und allein über NTFS zu steuern.

NTFS kennt Zulassen und Verweigern. Windows prüft die Einträge einer Zugriffsliste der Reihe nach: explizite vor geerbten, je Ebene Verweigern vor Zulassen, geerbte vom Elternordner zuerst. Der erste Eintrag, der ein angefordertes Recht verweigert, beendet die Prüfung; ist am Ende nicht alles erlaubt, ist der Zugriff implizit verweigert. Daraus folgt: Ein explizites Zulassen an einem Ordner wirkt vor einem geerbten Verweigern.

Die Vererbung lässt sich je Ordner deaktivieren. Dann zählen dort nur die eigenen Einträge – Änderungen am übergeordneten Ordner kommen nicht mehr an. Zugriffsbasierte Aufzählung blendet Ordner ohne Recht aus; laut Microsoft ist das Sichtbarkeit, kein Zugriffsschutz.

Den Zusammenhang von Freigabe- und NTFS-Recht können Sie am Beispiel unter Benutzer und Berechtigungen durchspielen.

SharePoint vergibt Rechte als Berechtigungsstufen an Gruppen oder Personen – standardmäßig Vollzugriff für Besitzer, Bearbeiten für Mitglieder, Lesen für Besucher. Rechte werden an der Website festgelegt und nach unten vererbt. Wer einem Ordner oder einer Datei eigene Berechtigungen gibt, beendet dort die Vererbung; wer ein Element mit jemandem ohne Zugriff teilt, beendet sie automatisch.

Eine Verweigern-Stufe wie bei NTFS kennen die Berechtigungsstufen von SharePoint nicht: Zugriff entsteht, wenn irgendein Weg ihn gewährt – über eine Gruppe, direkt oder per Link. Das hat Folgen für eine Migration: Laut Microsoft werden explizite Verweigerungsrechte von Dateifreigaben nicht übernommen, sodass zuvor gesperrte Inhalte zugänglich werden können.

Dazu kommen Freigabelinks – „Jeder“, „Personen in Ihrer Organisation“, „Bestimmte Personen“ – und die externe Freigabe (das Teilen mit Personen außerhalb der Organisation), die für die Organisation und je Website eingestellt wird. Bei Teams-verbundenen Websites werden Mitglieder über Teams verwaltet; Microsoft-365-Gruppen kennen keinen reinen Lesezugriff. Wer im Beispiel welche Datei sieht, zeigt der Explorer unter SharePoint Online.

Rechte werden in festen Abständen von den Verantwortlichen bestätigt – nicht von der IT, die nur sieht, dass ein Recht besteht, nicht, ob es gebraucht wird. Je höher der Schutzbedarf, desto kürzer der Abstand. Auf einem Dateiserver helfen Berichte über Gruppenmitgliedschaften und Ordnerrechte; in Microsoft 365 gibt es dafür Zugriffsüberprüfungen in Microsoft Entra.

Externe brauchen besondere Aufmerksamkeit: Sie haben keinen Austrittstermin im Personalsystem. Jeder externe Zugang braucht einen Zweck, eine verantwortliche Person und ein Ende – mehr unter Gastkonten und Identity Governance.

Änderungen an Zugriffsrechten sollten protokolliert werden; für Fileserver nennt der IT-Grundschutz das ausdrücklich (APP.3.3.A9). Wie lange solche Protokolle aufbewahrt werden, legt Ihr Datenschutz fest.