Zum Inhalt
Kontakt

IT-Systembetreuung · Cloud & Microsoft 365

Benutzer und Berechtigungen – nachvollziehbar verwaltet

Wer darf was? Diese Frage stellt sich bei jedem Eintritt, jedem Wechsel und jedem Austritt. Wir pflegen Konten, Gruppen und Zugriffsrechte in Active Directory und Microsoft Entra ID – so, dass nachvollziehbar bleibt, was sich geändert hat. Auf Wunsch prüfen wir Berechtigungen regelmäßig.

Zugriff nachvollziehenBetreuung anfragen

Das Prinzip

Rechte über Gruppen, nicht über Einzelfälle

Gut gepflegte Umgebungen vergeben Zugriffsrechte nicht Person für Person, sondern über Gruppen und Rollen. Wer das Team wechselt, wechselt die Gruppe – und hat damit die passenden Rechte.

  1. BenutzerEin Konto pro Person
  2. Gruppen und RollenZum Beispiel Abteilung, Projekt, Funktion
  3. RechteLesen, Bearbeiten, Verwalten
  4. RessourcenOrdner, SharePoint-Websites, Teams, Postfächer, Anwendungen
Schematische Darstellung des rollen- und gruppenbasierten Zugriffs.

Fachmodell

Was darf Anna im Ordner „Vertrieb“ wirklich?

Auf einem Windows-Dateiserver entscheiden zwei getrennte Rechte über den Zugriff: die Freigabeberechtigung und das NTFS-Recht am Ordner. Stellen Sie beide ein – das Modell zeigt, was Anna tatsächlich darf und warum. Die Regeln folgen der Microsoft-Dokumentation zu Freigabe- und NTFS-Berechtigungen.

Anna greift zu
Freigabeberechtigung

Gilt nur für Zugriffe über das Netz. Steht sie auf „Vollzugriff für Jeder“, wird nur über NTFS gesteuert.

NTFS-Recht (über Annas Gruppen)

Steht am Ordner selbst und gilt immer – über das Netz wie direkt am Server.

Tatsächlicher Zugriff

Öffnen und ändern

Anna kann Dateien öffnen, anlegen, ändern und löschen.

  • Das NTFS-Recht am Ordner erlaubt Ändern.
  • Die Freigabe schränkt nicht ein; maßgeblich ist das NTFS-Recht.

Vereinfachtes Lernmodell der Windows-Dateiberechtigungen mit zwei Stufen (Lesen, Ändern) – keine Nachbildung eines Servers. Nicht abgebildet: Vollzugriff auf NTFS-Ebene, besondere Berechtigungen, Vererbung im Detail (ein geerbtes Verweigern kann durch ein ausdrückliches Zulassen übersteuert werden), Besitzerrechte und zugriffsbasierte Aufzählung. Microsoft 365 und SharePoint folgen eigenen Regeln.

Modellregeln als Text

Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Öffnen und ändern → Nur lesen → Kein Zugriff).

  • Öffnen und ändern, wenn NTFS-Recht (über Annas Gruppen): Ändern – Das NTFS-Recht am Ordner erlaubt Ändern.
  • Nur lesen, wenn NTFS-Recht (über Annas Gruppen): Lesen – Das NTFS-Recht erlaubt nur Lesen – egal, was die Freigabe erlaubt.
  • Kein Zugriff, wenn NTFS-Recht (über Annas Gruppen): kein Eintrag – Keine von Annas Gruppen steht am Ordner – ohne Eintrag kein Zugriff.
  • Kein Zugriff, wenn NTFS-Recht (über Annas Gruppen): ausdrücklich verweigert – Ein ausdrückliches Verweigern wird vor dem Zulassen ausgewertet – es sperrt, auch wenn eine andere Gruppe Zugriff hätte.
  • Öffnen und ändern, wenn Freigabeberechtigung: Vollzugriff oder Ändern und Anna greift zu: über das Netzlaufwerk – Die Freigabe schränkt nicht ein; maßgeblich ist das NTFS-Recht.
  • Nur lesen, wenn Freigabeberechtigung: Lesen und Anna greift zu: über das Netzlaufwerk – Über das Netz gilt das restriktivere Recht: Die Freigabe erlaubt nur Lesen, auch wenn NTFS Ändern erlaubt.
  • Kein Zugriff, wenn Freigabeberechtigung: kein Eintrag und Anna greift zu: über das Netzlaufwerk – Ohne Freigabeberechtigung kommt Anna über das Netz nicht an den Ordner.
  • Öffnen und ändern, wenn Anna greift zu: direkt am Server (z. B. Remotedesktop) – Direkt am Server gilt die Freigabeberechtigung nicht – nur das NTFS-Recht zählt.

Vereinfachtes Lernmodell der Windows-Dateiberechtigungen mit zwei Stufen (Lesen, Ändern) – keine Nachbildung eines Servers. Nicht abgebildet: Vollzugriff auf NTFS-Ebene, besondere Berechtigungen, Vererbung im Detail (ein geerbtes Verweigern kann durch ein ausdrückliches Zulassen übersteuert werden), Besitzerrechte und zugriffsbasierte Aufzählung. Microsoft 365 und SharePoint folgen eigenen Regeln.

Herkunft eines Rechts

Wie ein Recht zu Anna kommt – und warum Umwege helfen

Microsoft empfiehlt, Rechte über Gruppen statt an einzelne Konten zu vergeben. Bewährt hat sich eine feste Kette – oft „AGDLP“ genannt:

  • Konto – Anna, ein Konto pro Person.
  • Globale Gruppe für die Rolle – etwa „Vertrieb“. Hier ändert sich die Mitgliedschaft, wenn jemand eintritt, wechselt oder geht.
  • Domänenlokale Gruppe für das Recht – etwa „Ordner Vertrieb – Ändern“. Sie enthält die Rollengruppen, die dieses Recht brauchen.
  • Berechtigung – nur die domänenlokale Gruppe steht am Ordner.

So bleibt nachvollziehbar, warum jemand Zugriff hat: Ein Blick auf die Gruppen genügt. Die Gruppenbereiche – global, domänenlokal, universell – und was sie enthalten dürfen, beschreibt Microsoft Learn.

Lokal und Cloud

Active Directory und Microsoft Entra ID

Im eigenen Netzwerk verwaltet Active Directory die Konten für Anmeldung, Dateiserver und Drucker. In der Cloud übernimmt das Microsoft Entra ID: Laut Microsoft Learn ist jeder Microsoft-365-Mandant automatisch auch ein Entra-Mandant.

Nutzt ein Unternehmen beides, lassen sich die Konten synchronisieren – Microsoft spricht von hybrider Identität. Dann zählt, dass Änderungen an der richtigen Stelle gemacht werden und beide Seiten zusammenpassen.

Wir betreuen Konten und Gruppen dort, wo sie bei Ihnen gepflegt werden, und achten darauf, dass lokal und in der Cloud dasselbe gilt.

In Microsoft 365 gelten eigene Regeln: Wer eine Datei in SharePoint oder Teams sieht, ergibt sich aus Websiteberechtigungen, Gruppen und Freigabelinks – erklärt unter SharePoint Online.

Aufgaben

Was wir übernehmen

Wir betreuen Konten, Gruppen und Zugriffsrechte in Active Directory und Microsoft Entra ID – individuell beauftragbar. Welche Aufgaben dazugehören, legen wir mit Ihnen fest; Fachanwendungen beziehen wir nach Vereinbarung im Einzelfall ein.

  1. Konten anlegen und deaktivieren

    Beim Eintritt und Austritt, auf Ihre Freigabe hin.

  2. Gruppen und Rollen pflegen

    Eine Struktur, die zu Ihrer Organisation passt und mitwächst.

  3. Berechtigungen regelmäßig prüfen

    Wer hat Zugriff auf welche Ordner, Websites und Teams – und passt das noch? Auf Wunsch prüfen wir regelmäßig und halten das Ergebnis fest.

  4. Gewachsene Rechte bereinigen

    Gewachsene Einzelrechte und Ausnahmen ordnen wir als eigenes Projekt neu – mit Gruppen, die zur Organisation passen.

  5. Administratorrechte begrenzen

    Erhöhte Rechte nur dort, wo sie gebraucht werden.

  6. Änderungen dokumentieren

    Nachvollziehbar für Ihr Team, Ihre Prüfer und Ihre Lieferanten.

Leitgedanke

So viel Zugriff wie nötig, so wenig wie möglich.

Microsoft empfiehlt für Microsoft 365, Administratorrollen mit den wenigsten Berechtigungen zu vergeben und die Zahl der globalen Administratoren zu begrenzen. Der Gedanke gilt für jede Umgebung: Wer nur die Rechte hat, die er braucht, kann weniger versehentlich ändern – und ein kompromittiertes Konto richtet weniger Schaden an.

Häufige Fragen

Was ist der Unterschied zur Microsoft-365-Administration?

Hier geht es um Identitäten und Zugriffsrechte über alle Systeme hinweg. Die Microsoft-365-Administration kümmert sich um die Dienste selbst – Postfächer, Teams, SharePoint, Lizenzen. Beides greift ineinander und lässt sich gemeinsam vereinbaren.

Wer entscheidet, welche Rechte jemand bekommt?

Sie. Wir setzen Änderungen auf Ihre Freigabe hin um, schlagen bei Bedarf eine sinnvolle Gruppenstruktur vor und dokumentieren, was geändert wurde.

Können Sie bestehende Berechtigungen aufräumen?

Ja. Gewachsene Berechtigungen bereinigen wir als eigenes Projekt. Ob danach eine regelmäßige Prüfung sinnvoll ist, besprechen wir anhand Ihrer Umgebung.

Betreuen Sie auch Konten in Fachanwendungen?

Nach Vereinbarung im Einzelfall. Ob und wie eine Fachanwendung einbezogen werden kann, hängt von der Anwendung ab; das legen wir bei der Vereinbarung fest.

Warum kann jemand eine Datei öffnen, aber nicht speichern?

Möglicher Grund: Das NTFS-Recht erlaubt Ändern, die Freigabeberechtigung aber nur Lesen. Über das Netz gilt dann das restriktivere Recht. Das Modell oben zeigt den Fall unter „Ich kann nicht speichern“.

Sollten wir Rechte mit „Verweigern“ steuern?

Möglichst nicht. Ein ausdrückliches Verweigern sperrt auch dann, wenn eine andere Gruppe Zugriff hätte – das ist schwer nachzuvollziehen. Besser ist, die Person gar nicht erst in eine berechtigte Gruppe aufzunehmen.

Benutzerverwaltung anfragen

Erzählen Sie uns, wie Konten und Rechte bei Ihnen heute verwaltet werden – wir stimmen mit Ihnen ab, welche Aufgaben und Prüfungen wir übernehmen. Telefon 07131-618726-0.

Benutzerverwaltung anfragenAnrufenAlle Bereiche der IT-Systembetreuung