NTFS-Berechtigungen: Zugriffsrechte festlegen – so geht’s

Ordner- und Dateirechte per NTFS-Berechtigungen in Windows 11/10 festlegen: So vergeben, ändern oder entziehen Sie Zugriffsrechte für Benutzer.

NTFS-Berechtigungen legen Sie unter Windows 11/10 am schnellsten über den Explorer fest: Klicken Sie mit der rechten Maustaste auf den Ordner, wählen Sie „Eigenschaften“ → „Sicherheit“ → „Bearbeiten“ und vergeben Sie dort Rechte wie Lesen, Ändern oder Vollzugriff. Für viele Ordner gleichzeitig eignet sich der Befehl icacls oder PowerShell.

Zusätzlich erfahren Sie hier, wie Vererbung, Besitz, Freigaben, Windows Server sowie Linux und macOS mit NTFS-Rechten umgehen.

Was sind NTFS-Berechtigungen?

NTFS (New Technology File System) ist das Standard-Dateisystem von Windows. Es speichert für jede Datei und jeden Ordner, wer was damit tun darf. Diese Regeln heißen NTFS-Berechtigungen oder auch Zugriffsrechte.

Technisch steckt dahinter eine Zugriffssteuerungsliste, kurz ACL (Access Control List). Jede ACL besteht aus einzelnen Einträgen, den sogenannten ACEs (Access Control Entries). Ein Eintrag sagt zum Beispiel: „Die Gruppe Buchhaltung darf diesen Ordner lesen und ändern.“

Außerdem gelten NTFS-Rechte immer, also sowohl lokal am PC als auch beim Zugriff über das Netzwerk. Deshalb sind sie die wichtigste Grundlage, um Daten unter Windows abzusichern.

Wo NTFS-Berechtigungen eine Rolle spielen

• Privat-PC: Sie schützen persönliche Ordner vor anderen Benutzerkonten im Haushalt.
• Kleines Büro: Sie trennen zum Beispiel Personal-, Buchhaltungs- und Projektordner.
• Dateiserver (Windows Server): Sie steuern den Zugriff Hunderter Mitarbeiter auf zentrale Freigaben.
• Externe Festplatten: Auch USB-Laufwerke mit NTFS tragen Berechtigungen mit sich – das führt beim Wechsel an einen anderen PC häufig zu „Zugriff verweigert“.

Die Standard-Berechtigungen im Überblick

Windows bietet im Reiter „Sicherheit“ sechs Standardberechtigungen an. Sie fassen mehrere Einzelrechte bequem zusammen.

Berechtigung	Was sie erlaubt
Vollzugriff	Alles: lesen, schreiben, löschen, Berechtigungen ändern, Besitz übernehmen
Ändern	Lesen, schreiben, ausführen und löschen – jedoch keine Rechte ändern
Lesen, Ausführen	Dateien öffnen und Programme starten
Ordnerinhalt anzeigen	Inhalt eines Ordners auflisten (nur bei Ordnern)
Lesen	Dateien und Attribute ansehen, aber nichts verändern
Schreiben	Neue Dateien anlegen und Inhalte schreiben, jedoch nicht löschen

Zusätzlich gibt es die speziellen Berechtigungen. Diese erreichen Sie über die erweiterten Einstellungen. Dort lassen sich insgesamt 14 Einzelrechte gezielt vergeben, zum Beispiel „Unterordner und Dateien löschen“ oder „Berechtigungen lesen“.

„Ändern“ statt „Vollzugriff“ vergeben

Für normale Benutzer reicht in fast allen Fällen „Ändern“. Mit „Vollzugriff“ könnte jemand nämlich auch die Berechtigungen selbst ändern und so andere aussperren. Deshalb gilt die Faustregel: Vollzugriff nur für Administratoren und SYSTEM.

Zulassen, Verweigern und Vererbung verstehen

Bevor Sie Rechte festlegen, sollten Sie drei Grundprinzipien kennen. Sonst wundern Sie sich später, warum ein Benutzer trotz Freigabe nicht an seine Dateien kommt.

Zulassen und Verweigern

Jede Berechtigung können Sie auf „Zulassen“ oder „Verweigern“ setzen. Dabei gilt:

• Verweigern schlägt Zulassen – zumindest bei expliziten Einträgen auf derselben Ebene.
• Ist ein Benutzer in mehreren Gruppen, addieren sich die Zulassen-Rechte.
• Ein einziges „Verweigern“ in irgendeiner Gruppe sperrt ihn jedoch aus.

Deshalb sollten Sie „Verweigern“ sparsam einsetzen. Besser ist es, Rechte gar nicht erst zu vergeben, als sie nachträglich zu verweigern.

Vererbung

Standardmäßig erben Unterordner und Dateien die Rechte des übergeordneten Ordners. Das spart viel Arbeit, denn Sie legen die Rechte nur einmal oben fest.

Ererbte Einträge erkennen Sie im Dialog an ausgegrauten Häkchen. Diese lassen sich nicht direkt ändern. Stattdessen müssen Sie entweder den übergeordneten Ordner anpassen oder die Vererbung deaktivieren.

Wichtig ist außerdem die Reihenfolge: Explizite Rechte haben Vorrang vor geerbten. Ein explizites „Zulassen“ am Unterordner hebt also ein geerbtes „Verweigern“ auf.

Besitzer

Jedes Objekt hat einen Besitzer. Dieser darf die Berechtigungen immer ändern – selbst dann, wenn er aktuell keinen Zugriff hat. Administratoren können den Besitz jederzeit übernehmen. Genau das hilft, wenn Sie bei alten Festplatten keinen Zugriff mehr bekommen.

Voraussetzungen: Das brauchen Sie

Damit Sie NTFS-Berechtigungen festlegen können, müssen einige Bedingungen erfüllt sein:

1. Das Laufwerk ist mit NTFS formatiert. Bei FAT32 oder exFAT fehlt der Reiter „Sicherheit“ komplett.
2. Sie haben Administratorrechte oder sind Besitzer des Ordners.
3. Die Benutzer oder Gruppen existieren bereits. Lokale Konten legen Sie über „Einstellungen → Konten“ an, Domänenkonten im Active Directory.

So prüfen Sie das Dateisystem:

1. Öffnen Sie den Explorer mit Windows + E.
2. Klicken Sie auf „Dieser PC“.
3. Klicken Sie mit der rechten Maustaste auf das Laufwerk und wählen Sie „Eigenschaften“.
4. Unter „Dateisystem“ steht entweder NTFS, exFAT oder FAT32.

Übrigens funktioniert der Reiter „Sicherheit“ auch in Windows 11 Home und Windows 10 Home. Lediglich einige Werkzeuge wie die lokale Benutzerverwaltung (lusrmgr.msc) fehlen in den Home-Versionen.

Hinweis zu Windows 10: Der reguläre Support endete am 14. Oktober 2025. Die hier beschriebenen Schritte funktionieren dennoch identisch. Aus Sicherheitsgründen empfiehlt sich jedoch der Umstieg auf Windows 11 oder die Teilnahme am ESU-Programm.

NTFS-Berechtigungen im Explorer festlegen (Windows 11/10)

Der Explorer ist der einfachste Weg, um Zugriffsrechte zu setzen. Diese Anleitung funktioniert in Windows 11 und Windows 10 gleichermaßen.

Benutzer oder Gruppe hinzufügen

1. Klicken Sie mit der rechten Maustaste auf den gewünschten Ordner.
2. Wählen Sie „Eigenschaften“. In Windows 11 finden Sie den Punkt direkt im Kontextmenü, alternativ drücken Sie Alt + Eingabe.
3. Wechseln Sie auf den Reiter „Sicherheit“.
4. Klicken Sie auf „Bearbeiten …“.
5. Klicken Sie anschließend auf „Hinzufügen …“.
6. Tippen Sie den Benutzer- oder Gruppennamen ein, zum Beispiel „Anna“ oder „Buchhaltung“.
7. Klicken Sie auf „Namen überprüfen“. Der Name wird nun unterstrichen.
8. Bestätigen Sie mit „OK“.

Rechte vergeben

1. Markieren Sie den neuen Eintrag in der Liste oben.
2. Setzen Sie unten die Häkchen in der Spalte „Zulassen“, zum Beispiel bei „Ändern“.
3. Windows aktiviert die zugehörigen Rechte wie „Lesen“ und „Schreiben“ automatisch mit.
4. Klicken Sie auf „Übernehmen“ und danach auf „OK“.

Bei großen Ordnern dauert das Übernehmen einen Moment, da Windows die Rechte auf alle Unterobjekte anwendet.

Benutzer entfernen

1. Öffnen Sie erneut „Sicherheit“ → „Bearbeiten“.
2. Markieren Sie den Benutzer.
3. Klicken Sie auf „Entfernen“.

Erscheint stattdessen eine Fehlermeldung, ist der Eintrag geerbt. In diesem Fall müssen Sie zuerst die Vererbung deaktivieren, wie im nächsten Abschnitt beschrieben.

Erweiterte Sicherheitseinstellungen nutzen

Für feinere Einstellungen bietet Windows die erweiterten Sicherheitseinstellungen. Dort steuern Sie zum Beispiel die Vererbung, den Besitzer und spezielle Rechte.

So öffnen Sie den Dialog:

1. Klicken Sie mit der rechten Maustaste auf den Ordner und wählen Sie „Eigenschaften“.
2. Öffnen Sie den Reiter „Sicherheit“.
3. Klicken Sie unten auf „Erweitert“.

Vererbung deaktivieren

1. Klicken Sie in den erweiterten Einstellungen auf „Vererbung deaktivieren“.
2. Windows fragt nun nach, was mit den bisherigen Rechten passieren soll:
   • „Vererbte Berechtigungen in explizite Berechtigungen konvertieren“ – die bisherigen Rechte bleiben erhalten und lassen sich jetzt bearbeiten. Diese Option ist fast immer die richtige Wahl.
   • „Alle vererbten Berechtigungen aus diesem Objekt entfernen“ – der Ordner ist danach praktisch leer, was Rechte betrifft. Dadurch können Sie sich schnell selbst aussperren.
3. Klicken Sie auf „Übernehmen“.

Spezielle Berechtigungen festlegen

1. Markieren Sie in den erweiterten Einstellungen einen Eintrag und klicken Sie auf „Bearbeiten“.
2. Klicken Sie auf „Erweiterte Berechtigungen anzeigen“.
3. Setzen oder entfernen Sie die gewünschten Einzelrechte.
4. Wählen Sie unter „Anwenden auf“, wofür die Regel gilt.

Die Option „Anwenden auf“ ist besonders nützlich. Zum Beispiel können Sie festlegen:

• „Diesen Ordner, Unterordner und Dateien“ – die Standardeinstellung.
• „Nur diesen Ordner“ – Rechte gelten nicht für den Inhalt.
• „Nur Dateien“ – Rechte gelten nur für Dateien, nicht für Unterordner.

Praxisbeispiel: Ablageordner ohne Löschrecht

Angenommen, Mitarbeiter sollen Dateien in einen Ordner legen, jedoch nichts löschen dürfen. Dann gehen Sie so vor:

1. Vergeben Sie der Gruppe zunächst „Ändern“.
2. Öffnen Sie anschließend die erweiterten Berechtigungen des Eintrags.
3. Entfernen Sie die Häkchen bei „Löschen“ und „Unterordner und Dateien löschen“.
4. Bestätigen Sie mit „OK“ und „Übernehmen“.

Rechte auf alle Unterordner erzwingen

Manchmal haben Unterordner eigene, abweichende Rechte. Um alles zu vereinheitlichen, aktivieren Sie unten in den erweiterten Einstellungen die Option „Alle Berechtigungseinträge für untergeordnete Objekte durch vererbbare Berechtigungseinträge von diesem Objekt ersetzen“.

Diese Option überschreibt jedoch sämtliche abweichenden Rechte darunter. Deshalb sollten Sie sie nur bewusst einsetzen.

Besitz übernehmen: Wenn der Zugriff verweigert wird

Die Meldung „Sie verfügen nicht über die Berechtigung“ ist ein Klassiker. Häufig passiert das bei externen Festplatten aus einer alten Windows-Installation. Die Rechte verweisen dann auf Benutzerkonten, die es auf dem neuen PC nicht mehr gibt.

Besitz im Explorer übernehmen

1. Öffnen Sie „Eigenschaften“ → „Sicherheit“ → „Erweitert“.
2. Klicken Sie neben „Besitzer“ auf „Ändern“.
3. Geben Sie Ihren Benutzernamen oder „Administratoren“ ein und klicken Sie auf „Namen überprüfen“.
4. Bestätigen Sie mit „OK“.
5. Aktivieren Sie das Häkchen „Besitzer der Objekte und untergeordneten Container ersetzen“.
6. Klicken Sie auf „Übernehmen“.
7. Schließen Sie alle Fenster und öffnen Sie die Eigenschaften erneut.
8. Vergeben Sie sich nun über „Bearbeiten“ die gewünschten Rechte.

Besitz per Befehl übernehmen

Schneller geht es mit takeown. Öffnen Sie dafür das Terminal als Administrator:

1. Klicken Sie mit der rechten Maustaste auf Start.
2. Wählen Sie „Terminal (Administrator)“ bzw. unter Windows 10 „Windows PowerShell (Administrator)“.
3. Geben Sie folgenden Befehl ein:

takeown /F "E:\Altdaten" /R /D J

Dabei bedeutet /R rekursiv, also inklusive aller Unterordner. /D J beantwortet Rückfragen automatisch mit „Ja“. Auf einem englischen Windows lautet der Parameter jedoch /D Y.

Achtung: Übernehmen Sie niemals den Besitz von Systemordnern wie C:\Windows oder C:\Programme. Diese gehören dem Konto TrustedInstaller. Änderungen dort können Updates und Programme beschädigen.

NTFS-Berechtigungen mit icacls setzen

Der Befehl icacls ist in Windows 11/10 sowie Windows Server fest eingebaut. Er eignet sich ideal, wenn Sie Rechte für viele Ordner gleichzeitig festlegen oder dokumentieren möchten. Öffnen Sie dafür das Terminal als Administrator.

Aktuelle Rechte anzeigen

icacls "D:\Projekte"

Die Ausgabe nutzt Kürzel. Diese sollten Sie kennen:

Kürzel	Bedeutung
F	Vollzugriff
M	Ändern
RX	Lesen, Ausführen
R	Lesen
W	Schreiben
D	Löschen
(OI)	Vererbung an Dateien (Object Inherit)
(CI)	Vererbung an Unterordner (Container Inherit)
(I)	Eintrag ist geerbt

Rechte vergeben

So erhält die Gruppe „Vertrieb“ das Recht „Ändern“ – inklusive Vererbung an alle Dateien und Unterordner:

icacls "D:\Projekte" /grant "Vertrieb:(OI)(CI)M"

Möchten Sie hingegen nur Lesezugriff vergeben, ersetzen Sie M durch RX:

icacls "D:\Projekte" /grant "Praktikanten:(OI)(CI)RX"

Zusätzlich ersetzt der Parameter /grant:r alle bisherigen expliziten Rechte des Benutzers, statt sie zu ergänzen.

Rechte entfernen und verweigern

icacls "D:\Projekte" /remove "Praktikanten"
icacls "D:\Projekte" /deny "Gast:(OI)(CI)W"

Vererbung steuern

icacls "D:\Projekte" /inheritance:d

Dabei gibt es drei Varianten:

• /inheritance:e – Vererbung aktivieren
• /inheritance:d – Vererbung deaktivieren und Rechte als explizit kopieren
• /inheritance:r – Vererbung deaktivieren und geerbte Rechte entfernen

Rechte sichern und wiederherstellen

Bevor Sie größere Änderungen vornehmen, sollten Sie die bestehenden Rechte sichern:

icacls "D:\Projekte" /save "C:\Backup\rechte.txt" /T /C

Anschließend stellen Sie sie bei Bedarf wieder her. Beachten Sie dabei, dass Sie den übergeordneten Ordner angeben:

icacls "D:\" /restore "C:\Backup\rechte.txt"

Rechte auf Standard zurücksetzen

Haben Sie sich vertan, setzen Sie die Rechte auf die geerbten Standardwerte zurück:

icacls "D:\Projekte" /reset /T /C

Der Parameter /T arbeitet rekursiv, während /C trotz Fehlern weitermacht.

NTFS-Berechtigungen mit PowerShell verwalten

Für Skripte und Automatisierung ist PowerShell die erste Wahl. Damit können Sie etwa Berichte erstellen oder Rechte für Hunderte Ordner einheitlich setzen.

Rechte auslesen

Get-Acl "D:\Projekte" | Format-List

Übersichtlicher wird es mit diesem Befehl:

(Get-Acl "D:\Projekte").Access | Format-Table IdentityReference, FileSystemRights, AccessControlType, IsInherited

Rechte hinzufügen

$pfad = "D:\Projekte"
$acl = Get-Acl $pfad
$regel = New-Object System.Security.AccessControl.FileSystemAccessRule(
  "Vertrieb", "Modify", "ContainerInherit,ObjectInherit", "None", "Allow")
$acl.AddAccessRule($regel)
Set-Acl -Path $pfad -AclObject $acl

Dieses Skript entspricht dem icacls-Befehl mit (OI)(CI)M. Statt „Modify“ können Sie außerdem „ReadAndExecute“, „Read“ oder „FullControl“ angeben.

Komfortabler mit dem Modul NTFSSecurity

Deutlich einfacher geht es mit dem kostenlosen PowerShell-Modul NTFSSecurity. So installieren und nutzen Sie es:

1. Öffnen Sie PowerShell als Administrator.
2. Installieren Sie das Modul:

Install-Module NTFSSecurity -Scope CurrentUser

3. Bestätigen Sie die Rückfragen mit „J“ bzw. „A“.
4. Vergeben Sie anschließend Rechte mit einem einzigen Befehl:

Add-NTFSAccess -Path "D:\Projekte" -Account "Vertrieb" -AccessRights Modify
Get-NTFSAccess -Path "D:\Projekte"

Zudem bietet das Modul Befehle wie Remove-NTFSAccess, Set-NTFSOwner und Get-NTFSEffectiveAccess.

Freigabeberechtigungen vs. NTFS-Berechtigungen

Viele Probleme entstehen, weil zwei Rechteebenen verwechselt werden. Wenn Sie einen Ordner im Netzwerk freigeben, gibt es nämlich zwei Schichten:

• Freigabeberechtigungen: Gelten nur beim Zugriff über das Netzwerk. Es gibt lediglich drei Stufen: Lesen, Ändern und Vollzugriff.
• NTFS-Berechtigungen: Gelten immer – lokal und im Netzwerk – und sind deutlich feiner.

Es gilt das restriktivere Recht

Beim Netzwerkzugriff prüft Windows beide Ebenen. Anschließend gilt jeweils das strengere Recht. Erlaubt die Freigabe zum Beispiel „Ändern“, NTFS jedoch nur „Lesen“, darf der Benutzer nur lesen.

Bewährte Kombination

In der Praxis hat sich deshalb folgende Aufteilung durchgesetzt:

1. Setzen Sie die Freigabeberechtigung großzügig, etwa „Authentifizierte Benutzer: Ändern“.
2. Steuern Sie die eigentlichen Zugriffsrechte ausschließlich über NTFS.

Dadurch müssen Sie nur an einer Stelle pflegen und behalten den Überblick.

So geben Sie einen Ordner frei

1. Klicken Sie mit der rechten Maustaste auf den Ordner und wählen Sie „Eigenschaften“.
2. Wechseln Sie auf den Reiter „Freigabe“.
3. Klicken Sie auf „Erweiterte Freigabe …“.
4. Aktivieren Sie „Diesen Ordner freigeben“.
5. Klicken Sie auf „Berechtigungen“ und passen Sie die Freigaberechte an.
6. Bestätigen Sie alles mit „OK“.

Effektive Berechtigungen prüfen

Gerade wenn ein Benutzer in mehreren Gruppen steckt, ist schwer erkennbar, was er tatsächlich darf. Windows zeigt Ihnen das jedoch direkt an:

1. Öffnen Sie „Eigenschaften“ → „Sicherheit“ → „Erweitert“.
2. Wechseln Sie auf den Reiter „Effektiver Zugriff“.
3. Klicken Sie auf „Benutzer auswählen“ und geben Sie den Namen ein.
4. Klicken Sie auf „Effektiven Zugriff anzeigen“.

Windows listet nun alle Einzelrechte mit grünem Haken oder rotem Kreuz auf. Außerdem sehen Sie, welche Freigabe- oder NTFS-Ebene ein Recht einschränkt.

Für größere Umgebungen empfiehlt sich zusätzlich das kostenlose Microsoft-Tool AccessChk aus den Sysinternals. Ein Beispiel:

accesschk.exe -d -s "Vertrieb" "D:\Projekte"

So sehen Sie auf einen Blick, auf welche Unterordner eine Gruppe zugreifen kann.

Kopieren und Verschieben: Was passiert mit den Rechten?

Beim Kopieren oder Verschieben von Dateien ändern sich die Berechtigungen nicht immer so, wie Sie es erwarten. Grundsätzlich gilt:

• Kopieren: Die Kopie erbt die Rechte des Zielordners.
• Verschieben auf demselben Laufwerk: Die Datei behält ihre bisherigen Rechte, da sie physisch nicht bewegt wird.
• Verschieben auf ein anderes Laufwerk: Technisch ist das ein Kopieren plus Löschen – deshalb erbt die Datei die Rechte des Ziels.

Gerade der zweite Fall sorgt häufig für Verwirrung. Verschieben Sie zum Beispiel eine vertrauliche Datei auf demselben Laufwerk in einen öffentlichen Ordner, bleibt sie für andere womöglich unsichtbar. Umgekehrt kann eine öffentliche Datei in einem geschützten Ordner weiterhin für alle lesbar sein.

Rechte beim Kopieren erhalten

Möchten Sie die Original-Rechte beim Kopieren mitnehmen, verwenden Sie Robocopy:

robocopy "D:\Quelle" "E:\Ziel" /E /COPYALL /DCOPY:DAT

Der Parameter /COPYALL kopiert dabei Daten, Attribute, Zeitstempel, NTFS-Rechte, Besitzer und Überwachungsinformationen.

Rechte auf Windows Server und im Netzwerk strukturieren

Auf Dateiservern mit Windows Server 2025, 2022 oder 2019 verwalten Sie oft Tausende Ordner. Ohne Konzept wird das schnell unübersichtlich. Deshalb sollten Sie einige Grundregeln beachten.

Gruppen statt Einzelbenutzer

Vergeben Sie Rechte nie direkt an einzelne Benutzer. Nutzen Sie stattdessen Gruppen. Verlässt ein Mitarbeiter das Unternehmen, entfernen Sie ihn einfach aus der Gruppe – die Ordnerrechte bleiben unberührt.

Das AGDLP-Prinzip

Im Active Directory hat sich das sogenannte AGDLP-Prinzip bewährt:

1. Accounts (Benutzerkonten) kommen in
2. Globale Gruppen (z. B. „Abteilung Vertrieb“), diese kommen in
3. Domänenlokale Gruppen (z. B. „Projekte_Ändern“), denen Sie die
4. Permissions (Berechtigungen) auf den Ordner geben.

Dadurch trennen Sie die Organisation (wer gehört wohin?) sauber von der Technik (wer darf was?).

Flache Ordnerstruktur

Unterbrechen Sie die Vererbung möglichst selten und am besten nur in den oberen zwei bis drei Ebenen. Tief verschachtelte Sonderrechte sind später kaum noch nachvollziehbar.

Zugriffsbasierte Aufzählung aktivieren

Mit der zugriffsbasierten Aufzählung (Access-based Enumeration, ABE) sehen Benutzer nur Ordner, auf die sie auch Zugriff haben. So aktivieren Sie die Funktion:

1. Öffnen Sie den Server-Manager.
2. Gehen Sie zu „Datei-/Speicherdienste“ → „Freigaben“.
3. Klicken Sie mit der rechten Maustaste auf die Freigabe und wählen Sie „Eigenschaften“.
4. Öffnen Sie „Einstellungen“ und aktivieren Sie „Zugriffsbasierte Aufzählung aktivieren“.

Zugriffe überwachen

Möchten Sie protokollieren, wer Dateien gelöscht oder geändert hat, nutzen Sie die Überwachung. Aktivieren Sie zunächst per Gruppenrichtlinie die Option „Dateisystem überwachen“. Anschließend legen Sie im Ordner unter „Erweitert“ → „Überwachung“ fest, welche Aktionen protokolliert werden. Die Ereignisse erscheinen danach in der Ereignisanzeige im Sicherheitsprotokoll.

NTFS-Berechtigungen unter Linux

Auch Linux kann NTFS-Laufwerke lesen und beschreiben. Allerdings arbeitet Linux mit einem eigenen Rechtemodell (Besitzer, Gruppe, andere). Deshalb werden die Windows-ACLs nicht direkt angezeigt oder angewendet.

Der Kernel-Treiber ntfs3

Seit Kernel 5.15 enthält Linux den schnellen Treiber ntfs3. Aktuelle Distributionen wie Ubuntu, Fedora oder Debian nutzen ihn häufig bereits automatisch. Die Rechte steuern Sie über Mount-Optionen:

sudo mount -t ntfs3 -o uid=1000,gid=1000,umask=022 /dev/sdb1 /mnt/daten

Dabei bedeutet:

• uid und gid – welcher Benutzer und welche Gruppe als Besitzer gelten
• umask – welche Rechte entzogen werden (022 = andere dürfen nur lesen)
• fmask und dmask – getrennte Werte für Dateien und Ordner

Die Windows-Sicherheitsinformationen bleiben dabei auf dem Laufwerk erhalten. Profis können sie über das erweiterte Attribut system.ntfs_security auslesen.

Der Treiber ntfs-3g

Der ältere FUSE-Treiber ntfs-3g ist weiterhin verfügbar. Er bietet mit der Option permissions sowie einer Usermapping-Datei sogar eine Zuordnung von Linux-Benutzern zu Windows-SIDs. Dadurch lassen sich Rechte in Dual-Boot-Systemen teilweise konsistent halten.

Dauerhaft einbinden

Für ein dauerhaftes Einbinden tragen Sie das Laufwerk in die Datei /etc/fstab ein, zum Beispiel:

UUID=1234ABCD5678EF90  /mnt/daten  ntfs3  uid=1000,gid=1000,umask=022  0  0

Die UUID ermitteln Sie zuvor mit dem Befehl lsblk -f oder blkid.

NTFS-Berechtigungen unter macOS

macOS kann NTFS-Laufwerke von Haus aus nur lesen. NTFS-Berechtigungen lassen sich am Mac deshalb nicht bearbeiten.

Möchten Sie auf NTFS-Laufwerke schreiben, benötigen Sie ein Zusatzprogramm. Bewährt haben sich:

• Paragon NTFS for Mac (kostenpflichtig)
• Tuxera NTFS for Mac (kostenpflichtig)

So gehen Sie am Beispiel von Paragon vor:

1. Laden Sie Paragon NTFS for Mac von der Herstellerseite herunter.
2. Installieren Sie das Programm und erlauben Sie die Systemerweiterung unter „Systemeinstellungen“ → „Datenschutz & Sicherheit“.
3. Starten Sie den Mac neu.
4. Schließen Sie das NTFS-Laufwerk an – es ist nun beschreibbar.

Die Windows-Zugriffsrechte selbst verwalten Sie jedoch weiterhin am Windows-PC. Teilen Sie ein Laufwerk regelmäßig zwischen Mac und Windows, ist zudem exFAT oft die einfachere Wahl – allerdings ohne jegliche Berechtigungen.

Häufige Fehler beim Festlegen von Zugriffsrechten

Einige Fehler tauchen immer wieder auf. Wenn Sie diese kennen, sparen Sie sich viel Ärger.

• SYSTEM oder Administratoren entfernt: Ohne diese Einträge funktionieren Backups, Virenscanner und Indizierung oft nicht mehr. Lassen Sie beide deshalb stets mit Vollzugriff stehen.
• „Jeder“ mit Vollzugriff: Damit kann jeder – auch Schadsoftware unter einem normalen Benutzerkonto – alles löschen oder verschlüsseln.
• Zu viele Verweigern-Einträge: Diese machen die Fehlersuche extrem schwer. Entfernen Sie stattdessen lieber die Zulassen-Rechte.
• Vererbung vorschnell entfernt: Wählen Sie beim Deaktivieren immer „konvertieren“ und nicht „entfernen“.
• Systemordner verändert: Rechte an C:\Windows, C:\Programme oder C:\ProgramData sollten Sie nicht anfassen.
• Kein Backup der Rechte: Sichern Sie vor größeren Änderungen die ACLs mit icacls /save.
• Änderungen nicht sofort wirksam: Neue Gruppenmitgliedschaften greifen erst nach erneuter Anmeldung des Benutzers.

Häufige Fragen zu NTFS-Berechtigungen

Warum fehlt der Reiter „Sicherheit“ in den Eigenschaften?

Meist ist das Laufwerk mit FAT32 oder exFAT formatiert. Diese Dateisysteme kennen keine Berechtigungen. Zudem kann eine Gruppenrichtlinie den Reiter ausblenden. Prüfen Sie deshalb zuerst unter „Eigenschaften“ das Dateisystem.

Kann ich ein Laufwerk ohne Datenverlust in NTFS umwandeln?

Ja. Öffnen Sie dazu das Terminal als Administrator und geben Sie convert E: /FS:NTFS ein. Ersetzen Sie dabei „E:“ durch Ihren Laufwerksbuchstaben. Trotzdem sollten Sie vorher unbedingt eine Datensicherung anlegen.

Was ist der Unterschied zwischen „Ändern“ und „Vollzugriff“?

Mit „Ändern“ dürfen Benutzer lesen, schreiben und löschen. „Vollzugriff“ erlaubt zusätzlich, Berechtigungen zu ändern und den Besitz zu übernehmen. Für normale Benutzer reicht deshalb „Ändern“.

Wie setze ich NTFS-Berechtigungen auf Standard zurück?

Nutzen Sie den Befehl icacls „Pfad“ /reset /T /C im Terminal als Administrator. Dadurch entfernt Windows alle expliziten Rechte und stellt die geerbten wieder her. Bei Bedarf übernehmen Sie vorher mit takeown den Besitz.

Warum gilt meine Berechtigung im Netzwerk nicht?

Beim Netzwerkzugriff gelten zusätzlich die Freigabeberechtigungen. Dabei setzt sich stets das restriktivere Recht durch. Prüfen Sie deshalb beide Ebenen oder nutzen Sie den Reiter „Effektiver Zugriff“.

Bleiben NTFS-Rechte auf einer externen Festplatte erhalten?

Ja, die Rechte werden auf dem Laufwerk gespeichert. Allerdings verweisen sie auf SIDs des alten PCs. Am neuen Rechner erscheinen diese Konten oft als „Unbekanntes Konto“. In diesem Fall übernehmen Sie den Besitz und vergeben die Rechte neu.

Wie verhindere ich, dass Benutzer Dateien löschen?

Vergeben Sie zunächst „Ändern“. Entfernen Sie anschließend in den erweiterten Berechtigungen die Häkchen bei „Löschen“ und „Unterordner und Dateien löschen“. Dadurch können Benutzer Dateien anlegen und bearbeiten, jedoch nicht entfernen.

Funktionieren NTFS-Berechtigungen auch in Windows 11 Home?

Ja. Der Reiter „Sicherheit“, icacls, takeown und PowerShell stehen auch in den Home-Versionen zur Verfügung. Lediglich Funktionen wie die lokale Benutzer- und Gruppenverwaltung sowie Gruppenrichtlinien fehlen dort.

Kann ich NTFS-Berechtigungen unter Linux ändern?

Nur eingeschränkt. Linux steuert die Rechte meist über Mount-Optionen wie uid, gid und umask. Die echten Windows-ACLs bearbeiten Sie hingegen sinnvollerweise unter Windows. Mit ntfs-3g und einer Usermapping-Datei ist eine Zuordnung jedoch möglich.

Fazit

NTFS-Berechtigungen legen Sie unter Windows 11/10 bequem über „Eigenschaften“ → „Sicherheit“ fest. Für viele Ordner sind icacls und PowerShell jedoch deutlich effizienter, zumal Sie Rechte damit auch sichern können.

Vergeben Sie Rechte deshalb möglichst über Gruppen, setzen Sie „Verweigern“ sparsam ein und nutzen Sie die Vererbung. Zusätzlich hilft der Reiter „Effektiver Zugriff“, Probleme schnell aufzuspüren.