Dateiserver mit NTFS- und Freigabeberechtigungen richtig einrichten

Windows Server 2022 und 2025 nutzen für Dateifreigaben zwei unabhängige Berechtigungsebenen: Freigabeberechtigungen (Share-Level) und NTFS-Berechtigungen (Dateisystem-Level). Beim Netzwerkzugriff gilt stets das restriktivste Recht aus beiden. Diese Anleitung zeigt, wie Sie eine SMB-Freigabe aufsetzen, NTFS-Rechte vergeben, das AGDLP-Prinzip umsetzen und typische Fehler vermeiden, per GUI im Server Manager sowie per PowerShell und icacls.

Voraussetzungen

• Windows Server 2022 oder 2025 (On-Premises, Domänenumgebung empfohlen)
• Rolle Dateidienste und Speicherdienste (File and Storage Services) installiert, darin mindestens Dateiserver
• Lokale Administratorrechte oder Domänen-Administratorrechte auf dem Server
• PowerShell 5.1 oder höher (auf Windows Server 2022/2025 standardmäßig vorhanden)
• Active Directory-Domäne für AGDLP (empfohlen; Workgroup-Betrieb eingeschränkt möglich)
• NTFS-formatiertes Datenvolume (z. B. D:\) für die Freigaben, getrennt vom Systemlaufwerk
• Hardware: für einen Dateiserver im KMU reichen meist 2 CPU-Kerne und 4 GB RAM (x86-64); maßgeblich sind Speicherplatz, Datenträger-Redundanz (RAID) und eine Datensicherung

Schritt 1: Dateidienste-Rolle installieren

Ist die Rolle noch nicht installiert, holen Sie das nach:

GUI (Server Manager)

Öffnen Sie den Server Manager und klicken Sie auf Verwalten → Rollen und Features hinzufügen. Wählen Sie Rollenbasierte oder featurebasierte Installation, dann Ihren Server. Unter Serverrollen klappen Sie Dateidienste und Speicherdienste auf und haken Dateiserver an. Bestätigen Sie mit Installieren.

PowerShell

# Dateidienste-Rolle installieren
Install-WindowsFeature -Name FS-FileServer -IncludeManagementTools

Verifizieren: Get-WindowsFeature FS-FileServer zeigt in der Spalte Install State den Wert Installed.

Schritt 2: Ordner anlegen und Freigabe erstellen

Legen Sie den Zielordner auf dem Datenvolume an und erstellen Sie die SMB-Freigabe. Die Freigabeberechtigungen setzen Sie bewusst weit; die Steuerung übernehmen die NTFS-Rechte in Schritt 3.

GUI (Server Manager)

Im Server Manager: Datei- und Speicherdienste → Freigaben → TASKS → Neue Freigabe. Wählen Sie das Profil SMB-Freigabe – Schnell oder SMB-Freigabe – Erweitert (letzteres bietet ABE und Kontingente direkt im Assistenten). Geben Sie Serverlaufwerk und Pfad an und vergeben Sie einen Freigabenamen. Auf der Seite Berechtigungen klicken Sie auf Berechtigungen anpassen und setzen die Freigabeberechtigungen auf Jeder = Vollzugriff.

Alternativ per Rechtsklick auf den Ordner im Explorer: Eigenschaften → Freigabe → Erweiterte Freigabe → Diesen Ordner freigeben, Freigabenamen eingeben, auf Berechtigungen klicken, Jeder hinzufügen und Vollzugriff erteilen.

PowerShell

# Ordner anlegen
New-Item -ItemType Directory -Path 'D:\SharedData'

# SMB-Freigabe erstellen
# Freigabeberechtigung: Administratoren = Vollzugriff, alle anderen = Aendern
# (NTFS regelt die Feinsteuerung)
New-SmbShare `
    -Name 'DataShare' `
    -Path 'D:\SharedData' `
    -FullAccess 'Administrators' `
    -ChangeAccess 'Jeder'

-ChangeAccess 'Jeder' entspricht der Freigabeberechtigung Ändern für alle Benutzer, weit genug für die NTFS-Steuerung. Alternativ -FullAccess 'Jeder'; beide Varianten funktionieren, solange NTFS die Feinsteuerung übernimmt. Auf englischsprachigen Servern heißt die Gruppe Everyone.

Verifizieren: Get-SmbShareAccess -Name 'DataShare' listet Administratoren mit Full und Jeder mit Change. Von einem Client aus öffnet sich \\SERVERNAME\DataShare im Explorer.

Schritt 3: NTFS-Berechtigungen setzen (Kernaufgabe)

Mit NTFS-Berechtigungen legen Sie fest, wer lesen, schreiben, ändern oder vollständig zugreifen darf. Vergeben Sie Rechte nur an Gruppen, nie an einzelne Benutzerkonten (AGDLP, Schritt 4).

Standard-NTFS-Rechtestufen

Rechtestufe	icacls-Kürzel	Beschreibung
Vollzugriff	F	Lesen, Schreiben, Ändern, Löschen, Berechtigungen ändern
Ändern	M	Lesen, Schreiben, Löschen – kein Rechte-Management
Lesen & Ausführen	RX	Dateien öffnen und Programme starten
Lesen	R	Nur lesender Zugriff
Schreiben	W	Neue Dateien anlegen, vorhandene überschreiben

GUI (Ordner-Eigenschaften)

Rechtsklick auf den Ordner → Eigenschaften → Sicherheit → Bearbeiten. Klicken Sie auf Hinzufügen, geben Sie den Gruppennamen ein, wählen Sie die passende Rechtestufe und stellen Sie unter Gilt für sicher, dass Diesen Ordner, Unterordner und Dateien ausgewählt ist.

PowerShell (Set-Acl)

# Aktuelle ACL lesen
$acl = Get-Acl -Path 'D:\SharedData'

# Vererbung unterbrechen, vorhandene Eintraege beibehalten
$acl.SetAccessRuleProtection($true, $true)

# Neue Regel: CONTOSO\DL-DataShare-RW bekommt Aendern-Rechte
# Vererbungsflags: ContainerInherit = Unterordner, ObjectInherit = Dateien
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule(
    'CONTOSO\DL-DataShare-RW',
    'Modify',
    'ContainerInherit,ObjectInherit',
    'None',
    'Allow'
)
$acl.AddAccessRule($rule)

# Lesende Gruppe hinzufuegen
$ruleRead = New-Object System.Security.AccessControl.FileSystemAccessRule(
    'CONTOSO\DL-DataShare-RO',
    'ReadAndExecute',
    'ContainerInherit,ObjectInherit',
    'None',
    'Allow'
)
$acl.AddAccessRule($ruleRead)

# ACL schreiben
Set-Acl -Path 'D:\SharedData' -AclObject $acl

icacls (Kommandozeile, rekursiv)

# Berechtigung rekursiv vergeben
# (OI) = Objekt erbt (Dateien), (CI) = Container erbt (Unterordner)
icacls "D:\SharedData" /grant "CONTOSO\DL-DataShare-RW:(OI)(CI)M" /T /C

# Lesende Gruppe
icacls "D:\SharedData" /grant "CONTOSO\DL-DataShare-RO:(OI)(CI)RX" /T /C

# Aktuelle Berechtigungen anzeigen
icacls "D:\SharedData"

/T wendet die Regel rekursiv an, /C setzt bei Fehlern (z. B. gesperrte Dateien) fort.

Verifizieren: icacls "D:\SharedData" zeigt CONTOSO\DL-DataShare-RW:(OI)(CI)(M) und CONTOSO\DL-DataShare-RO:(OI)(CI)(RX).

Schritt 4: AGDLP-Prinzip umsetzen

AGDLP steht für Account → Globale Gruppe → Domänenlokale Gruppe → Location (Berechtigung), das von Microsoft empfohlene Modell für skalierbare Rechtevergabe in Active Directory.

• Konten (A) – einzelne Benutzerkonten oder Computerkonten
• Globale Gruppen (G) – fassen Benutzer nach Abteilung oder Rolle zusammen, z. B. GG-Buchhaltung. Globale Gruppen sind domänenübergreifend verwendbar.
• Domänenlokale Gruppen (DL) – stehen direkt an der Ressource und erhalten die NTFS-Berechtigung. Beispiel: DL-DataShare-RW (Schreibzugriff) und DL-DataShare-RO (Lesezugriff).
• Berechtigung – wird ausschließlich der domänenlokalen Gruppe zugewiesen, nie direkt einem Benutzerkonto.

Ein neuer Mitarbeiter mit Schreibbedarf kommt in GG-Buchhaltung; diese ist Mitglied von DL-DataShare-RW mit NTFS-Recht Ändern. Die NTFS-ACL bleibt unverändert.

# Globale Gruppe anlegen
New-ADGroup -Name 'GG-Buchhaltung' -GroupScope Global -Path 'OU=Gruppen,DC=contoso,DC=local'

# Domaenenlokale Gruppen anlegen
New-ADGroup -Name 'DL-DataShare-RW' -GroupScope DomainLocal -Path 'OU=Gruppen,DC=contoso,DC=local'
New-ADGroup -Name 'DL-DataShare-RO' -GroupScope DomainLocal -Path 'OU=Gruppen,DC=contoso,DC=local'

# Globale Gruppe in domaenenlokale Gruppe aufnehmen
Add-ADGroupMember -Identity 'DL-DataShare-RW' -Members 'GG-Buchhaltung'

# Benutzer in globale Gruppe aufnehmen
Add-ADGroupMember -Identity 'GG-Buchhaltung' -Members 'max.mustermann'

Zur AD-Struktur siehe Active Directory Domäne einrichten: Benutzer und OUs verwalten.

Verifizieren: Get-ADGroupMember DL-DataShare-RW listet GG-Buchhaltung, und Get-ADGroupMember GG-Buchhaltung listet den Testbenutzer.

Schritt 5: Vererbung verstehen und kontrolliert unterbrechen

Unterordner und Dateien erben die NTFS-Berechtigungen des übergeordneten Ordners. Für abweichende Rechte unterbrechen Sie die Vererbung gezielt.

Wann Vererbung unterbrechen?

• Ein Unterordner soll nur von einer bestimmten Gruppe lesbar sein, nicht von allen Mitgliedern der übergeordneten Gruppe.
• Ein Projektordner soll nach Abschluss eingefroren werden (nur noch Lesen).
• Abteilungsordner innerhalb einer gemeinsamen Freigabe mit unterschiedlichen Rechtestufen.

GUI

Rechtsklick auf den Unterordner → Eigenschaften → Sicherheit → Erweitert → Vererbung deaktivieren. Wählen Sie Vererbte Berechtigungen in explizite Berechtigungen für dieses Objekt konvertieren und passen Sie dann an.

icacls

# Vererbung deaktivieren, vorhandene ACEs beibehalten (d = disable, keep)
icacls "D:\SharedData\Projektordner" /inheritance:d

# Unerwuenschte geerbte Eintraege danach entfernen
icacls "D:\SharedData\Projektordner" /remove:g "CONTOSO\DL-DataShare-RW"

# Abweichende Gruppe mit eingeschraenktem Recht hinzufuegen
icacls "D:\SharedData\Projektordner" /grant "CONTOSO\DL-Projekt-RO:(OI)(CI)RX" /T /C

# ACLs auf formale Fehler pruefen (nicht kanonisch, inkonsistent)
icacls "D:\SharedData" /verify /T

# Vererbung komplett zuruecksetzen
icacls "D:\SharedData\Projektordner" /reset /T

ACL sichern und wiederherstellen

# ACL-Zustand sichern
icacls "D:\SharedData" /save C:\Backup\aclfile.txt /T

# ACL wiederherstellen (Pfade in der Datei sind relativ, daher das uebergeordnete Verzeichnis angeben)
icacls "D:\" /restore C:\Backup\aclfile.txt

Verifizieren: Unter Eigenschaften → Sicherheit → Erweitert des Projektordners steht bei den Einträgen in der Spalte Geerbt von „Keine“, und C:\Backup\aclfile.txt existiert und enthält Einträge für SharedData.

Schritt 6: Access-Based Enumeration (ABE) aktivieren

Mit ABE (zugriffsbasierte Aufzählung) sehen Benutzer im Explorer nur Ordner und Dateien, auf die sie Zugriff haben. Ohne ABE wird alles aufgelistet, auch bei verweigertem Zugriff.

GUI (Server Manager)

Im Server Manager: Datei- und Speicherdienste → Freigaben, Rechtsklick auf die Freigabe → Eigenschaften → Einstellungen, Zugriffsbasierte Aufzählung aktivieren anhaken.

PowerShell

# ABE aktivieren
Set-SmbShare -Name 'DataShare' -FolderEnumerationMode AccessBased

# Status pruefen
Get-SmbShare -Name 'DataShare' | Select-Object Name, FolderEnumerationMode

Standard ist Unrestricted (alles sichtbar). Prüfen Sie nach der Aktivierung mit einem Testkonto, ob die erwarteten Ordner sichtbar sind.

Verifizieren: Get-SmbShare -Name 'DataShare' zeigt FolderEnumerationMode = AccessBased. Ein Testkonto ohne Rechte auf den Projektordner sieht ihn in \\SERVERNAME\DataShare nicht.

Schritt 7: Effektive Berechtigungen prüfen

Prüfen Sie nach jeder Änderung die effektiven Berechtigungen eines Benutzerkontos, denn das Restriktivste-gewinnt-Prinzip führt bei nicht abgestimmten Ebenen zu unerwarteten Ergebnissen.

GUI (Erweiterte Sicherheitseinstellungen)

Rechtsklick auf den Ordner → Eigenschaften → Sicherheit → Erweitert → Effektiver Zugriff, Benutzerkonto wählen, Effektiven Zugriff anzeigen. Angezeigt werden die kombinierten Rechte aus NTFS und Freigabe.

PowerShell

# NTFS-ACL auslesen und formatieren
Get-Acl -Path 'D:\SharedData' | Format-List

# Freigabeberechtigungen anzeigen
Get-SmbShareAccess -Name 'DataShare'

# Alle SMB-Freigaben auf dem Server auflisten
Get-SmbShare | Select-Object Name, Path, FolderEnumerationMode

Das restriktivste-gewinnt-Prinzip

Bei Netzwerkzugriff gilt: Effektives Recht = MIN(Freigabeberechtigung, NTFS-Berechtigung). NTFS Vollzugriff und Freigabe Lesen ergibt über das Netzwerk nur Lesezugriff. Lokal am Server gelten nur die NTFS-Rechte.

Verifizieren: Für ein Mitglied von GG-Buchhaltung zeigt Effektiver Zugriff Schreibrechte, für ein Mitglied nur der Lesegruppe ausschließlich Lese- und Ausführungsrechte.

Schritt 8: Freigabe mit vollständiger Konfiguration (Zusammenfassung)

Das Skript fasst alle Schritte zusammen: Ordner anlegen, Freigabe erstellen, NTFS-Rechte setzen, ABE aktivieren.

# -------------------------------------------------------
# Dateiserver-Setup: DataShare (Zusammenfassung)
# -------------------------------------------------------

$SharePath  = 'D:\SharedData'
$ShareName  = 'DataShare'
$GroupRW    = 'CONTOSO\DL-DataShare-RW'
$GroupRO    = 'CONTOSO\DL-DataShare-RO'
$AdminGroup = 'Administrators'

# 1. Ordner anlegen
New-Item -ItemType Directory -Path $SharePath -Force

# 2. Freigabe erstellen
New-SmbShare `
    -Name $ShareName `
    -Path $SharePath `
    -FullAccess $AdminGroup `
    -ChangeAccess 'Jeder'

# 3. NTFS-ACL konfigurieren
$acl = Get-Acl -Path $SharePath

# Vererbung unterbrechen, bestehende ACEs behalten
$acl.SetAccessRuleProtection($true, $true)

# Schreibgruppe: Aendern (Modify)
$ruleRW = New-Object System.Security.AccessControl.FileSystemAccessRule(
    $GroupRW, 'Modify', 'ContainerInherit,ObjectInherit', 'None', 'Allow'
)

# Lesegruppe: Lesen & Ausfuehren
$ruleRO = New-Object System.Security.AccessControl.FileSystemAccessRule(
    $GroupRO, 'ReadAndExecute', 'ContainerInherit,ObjectInherit', 'None', 'Allow'
)

$acl.AddAccessRule($ruleRW)
$acl.AddAccessRule($ruleRO)
Set-Acl -Path $SharePath -AclObject $acl

# 4. ABE aktivieren
Set-SmbShare -Name $ShareName -FolderEnumerationMode AccessBased

Write-Host "Freigabe '$ShareName' erfolgreich eingerichtet."

Verifizieren: Das Skript endet ohne rote Fehlermeldung. Get-SmbShare -Name 'DataShare', Get-SmbShareAccess -Name 'DataShare' und icacls "D:\SharedData" zeigen dieselben Werte wie in den Schritten 2, 3 und 6.

Troubleshooting

• Zugriff verweigert, obwohl NTFS-Rechte stimmen: Freigabeberechtigungen mit Get-SmbShareAccess -Name 'DataShare' prüfen; erlaubt die Freigabe nur Lesen, greifen NTFS-Änderungsrechte nicht.
• Benutzer sieht keine Ordner (nach ABE-Aktivierung): Ist die Gruppe des Benutzers in der NTFS-ACL? Mit Effektiver Zugriff oder Get-Acl prüfen.
• icacls-Rechte gelten nicht für Unterordner: Das Flag /T vergessen. Befehl mit /T /C wiederholen.
• Fehlerhafte ACLs: icacls "D:\SharedData" /verify /T ausführen. Bei Fehlern icacls "D:\SharedData" /reset /T für betroffene Unterordner, dann neu setzen.
• Zu viele Einzelrechte, unübersichtliche ACL: Berechtigungen auf Benutzerkonten entfernen, stattdessen AGDLP-Gruppen verwenden. icacls "D:\SharedData" /remove:g "CONTOSO\max.mustermann"
• Lokaler Zugriff funktioniert, Netzwerkzugriff nicht: Prüfen Sie, ob die Windows-Firewall den Port 445 (SMB) blockiert. Get-NetFirewallRule -DisplayGroup "Datei- und Druckerfreigabe"
• Änderungen greifen erst nach neuem Login: AD-Gruppenänderungen wirken erst mit neuem Kerberos-Ticket; Benutzer ab- und wieder anmelden.

Häufige Fragen

Was ist der Unterschied zwischen Freigabe- und NTFS-Berechtigungen?

Freigabeberechtigungen gelten nur bei Netzwerkzugriff (UNC-Pfad \\Server\Freigabe) und kennen nur Lesen, Ändern, Vollzugriff. NTFS-Berechtigungen gelten immer, lokal und im Netzwerk, und sind granularer.

Warum soll ich die Freigabeberechtigung auf Vollzugriff setzen?

Wenn NTFS die Feinsteuerung übernimmt, entfällt die Freigabeberechtigung als Fehlerquelle: Sie pflegen nur eine ACL statt zwei Ebenen, das vereinfacht die Fehlersuche.

Was bedeutet AGDLP und warum ist es wichtig?

AGDLP verhindert, dass Benutzerkonten direkt in NTFS-ACLs auftauchen: Neue Mitarbeiter kommen nur in globale Gruppen (Schritt 4). Den Aufbau von OUs und Gruppen erklärt Active Directory Domäne einrichten.

Wie unterscheiden sich NTFS-Rechte von Linux-Dateiberechtigungen?

Linux nutzt Eigentümer, Gruppe und Andere (chmod rwx) sowie sudo. NTFS-ACLs sind feiner: mehrere Gruppen, Vererbungsflags, explizite Verweigerungen, erweiterte Attribute. Vergleich: Linux-Benutzer, Gruppen und Rechte: chmod, chown und sudo.

Was passiert, wenn ich die Vererbung unterbreche und dann vergesse, explizite Rechte zu setzen?

Dann kann niemand mehr zugreifen, außer lokalen Administratoren über Besitz übernehmen. Prüfen Sie nach dem Unterbrechen sofort mit Effektiver Zugriff, ob die benötigten Gruppen noch Zugriff haben.

Kann ich die Berechtigungen sichern und auf einem anderen Server wiederherstellen?

Ja: icacls "D:\SharedData" /save C:\Backup\aclfile.txt /T sichert alle ACEs rekursiv, icacls "D:\" /restore C:\Backup\aclfile.txt stellt sie wieder her (Ziel ist das übergeordnete Verzeichnis). SIDs sind domänengebunden: Ein Restore in derselben Domäne funktioniert, domänenübergreifend ist SID-Mapping nötig.

Fazit

Das Muster: SMB-Freigabe mit weiter Freigabeberechtigung (Jeder = Vollzugriff oder Ändern), Feinsteuerung nur über NTFS, Gruppen nach AGDLP, ABE aktiv. Regelmäßige icacls-Snapshots und /verify halten die ACLs sauber. PowerShell (New-SmbShare, Set-Acl, Set-SmbShare) macht das Setup dokumentier- und reproduzierbar.

Weiterführende Anleitungen und Quellen

• Active Directory Domäne einrichten: Benutzer und OUs verwalten
• Gruppenrichtlinien (GPO): Grundlagen und Praxiseinsatz
• Linux-Benutzer, Gruppen und Rechte: chmod, chown und sudo
• Alle Windows-Server-Anleitungen auf s-edv.com

Quellen: Microsoft Learn: New-SmbShare · Microsoft Learn: icacls