Windows 11/10: Vererbte Berechtigungen (de)aktivieren – so geht’s

Windows 11 und Windows 10: So schalten Sie vererbte Berechtigungen bei Dateien und Ordnern über die Eigenschaften und den Sicherheits-Reiter gezielt ein oder aus.

Wenn Sie unter Windows 11 oder Windows 10 den Zugriff auf Ordner und Dateien gezielt steuern möchten, kommen Sie an den NTFS-Berechtigungen nicht vorbei. Die schnellste Lösung, um eigene Zugriffsrechte festzulegen, ist das Deaktivieren der vererbten Berechtigungen.

Dieser Artikel zeigt Schritt für Schritt, wie Sie vererbte Berechtigungen über den Explorer, die Eingabeaufforderung und PowerShell (de)aktivieren.

Was sind vererbte Berechtigungen unter Windows?

Unter Windows basiert das Berechtigungssystem auf dem NTFS-Dateisystem. Jede Datei und jeder Ordner besitzt eine sogenannte Zugriffssteuerungsliste (Access Control List, kurz ACL). Diese Liste legt fest, welcher Benutzer oder welche Gruppe welche Rechte besitzt.

Standardmäßig übernehmen Unterordner und Dateien automatisch die Berechtigungen ihres übergeordneten Ordners. Genau das bezeichnet man als Berechtigungsvererbung. Ein neu erstellter Ordner erhält also zunächst dieselben Rechte wie sein „Elternordner”.

Diese Vererbung ist praktisch, da sie den Verwaltungsaufwand deutlich reduziert. Allerdings führt sie in bestimmten Situationen auch zu Problemen. Deshalb möchten viele Nutzer die vererbten Berechtigungen deaktivieren, um eigene, unabhängige Zugriffsrechte zu definieren.

Der Unterschied zwischen vererbten und expliziten Berechtigungen

Es gibt grundsätzlich zwei Arten von Berechtigungen:

• Vererbte Berechtigungen: Sie werden automatisch vom übergeordneten Objekt übernommen und lassen sich nicht direkt am untergeordneten Objekt bearbeiten.
• Explizite Berechtigungen: Sie werden direkt am jeweiligen Ordner oder an der jeweiligen Datei festgelegt und überschreiben in der Regel die vererbten Rechte.

Sobald Sie die Vererbung deaktivieren, wandeln sich die zuvor vererbten Berechtigungen entweder in explizite Berechtigungen um, oder sie werden vollständig entfernt. Welche der beiden Varianten zutrifft, entscheiden Sie im entsprechenden Dialogfenster selbst.

Warum sollten Sie vererbte Berechtigungen deaktivieren?

Es gibt mehrere Gründe, weshalb sich das Deaktivieren der Vererbung lohnt. Zunächst einmal möchten viele Administratoren einzelne Ordner besonders schützen, beispielsweise sensible Firmendaten oder private Dokumente.

Zudem kann es vorkommen, dass fehlerhafte Berechtigungen aus einem übergeordneten Ordner „mitgeschleppt” werden. Dadurch erhalten Benutzer unter Umständen Zugriff auf Daten, die eigentlich geschützt sein sollten. In diesem Fall hilft ausschließlich das Aufbrechen der Vererbungskette.

Außerdem tritt bei der Migration von Daten, etwa nach einem Serverumzug oder einer Neuinstallation, häufig das Problem auf, dass alte Berechtigungen nicht mehr zur neuen Struktur passen. Hier ist es sinnvoll, die Vererbung zu deaktivieren und die Rechte manuell neu zu vergeben.

Ebenso kann eine deaktivierte Vererbung bei der Fehlerbehebung helfen, wenn der Zugriff auf einen Ordner verweigert wird, obwohl die übergeordneten Rechte eigentlich ausreichend erscheinen.

Voraussetzungen für das Ändern der Berechtigungen

Bevor Sie beginnen, sollten Sie einige Punkte beachten:

• Sie benötigen ein Administratorkonto, um Berechtigungen systemweit zu ändern.
• Der Ordner oder das Laufwerk muss mit dem NTFS-Dateisystem formatiert sein, da FAT32 oder exFAT keine Berechtigungsverwaltung unterstützen.
• Erstellen Sie vorab eine Sicherungskopie wichtiger Daten, falls beim Ändern der Berechtigungen versehentlich der Zugriff für alle Benutzer entfernt wird.
• Notieren Sie sich idealerweise die bestehenden Berechtigungen, bevor Sie diese ändern, damit Sie im Notfall den Ursprungszustand wiederherstellen können.

Diese Anleitung funktioniert sowohl unter Windows 11 als auch unter Windows 10, da sich der Explorer und die Sicherheitsverwaltung in beiden Systemen kaum unterscheiden. Kleinere Abweichungen in der Menüführung werden im Folgenden gesondert erwähnt.

Vererbte Berechtigungen über den Explorer deaktivieren

Der klassische Weg, um Berechtigungen zu verwalten, führt über den Datei-Explorer. Gehen Sie dazu folgendermaßen vor:

1. Öffnen Sie den Datei-Explorer über die Tastenkombination Windows + E.
2. Navigieren Sie zu dem Ordner oder der Datei, deren Berechtigungen Sie ändern möchten.
3. Klicken Sie mit der rechten Maustaste auf den Ordner und wählen Sie Eigenschaften.
4. Wechseln Sie zum Reiter Sicherheit.
5. Klicken Sie auf die Schaltfläche Erweitert, um die erweiterten Sicherheitseinstellungen zu öffnen.

Im Fenster Erweiterte Sicherheitseinstellungen sehen Sie nun eine Übersicht aller Berechtigungseinträge. Zusätzlich erkennen Sie in der Spalte Geerbt von, von welchem übergeordneten Ordner die jeweilige Berechtigung stammt.

Vererbung deaktivieren – Schritt für Schritt

Um die Vererbung nun tatsächlich zu deaktivieren, gehen Sie wie folgt vor:

1. Klicken Sie im Fenster Erweiterte Sicherheitseinstellungen auf Vererbung deaktivieren.
2. Es öffnet sich ein Dialogfeld mit zwei Auswahlmöglichkeiten:
   • Vererbte Berechtigungen in explizite Berechtigungen dieses Objekts konvertieren
   • Alle vererbten Berechtigungen von diesem Objekt entfernen
3. Wählen Sie die erste Option, wenn Sie die aktuellen Berechtigungen als Ausgangsbasis beibehalten und anschließend individuell anpassen möchten.
4. Wählen Sie die zweite Option, wenn Sie sämtliche Berechtigungen entfernen und komplett neu vergeben möchten.
5. Bestätigen Sie anschließend mit Übernehmen und OK.

Nach diesem Vorgang sind die zuvor vererbten Berechtigungen entweder in explizite Berechtigungen umgewandelt oder vollständig gelöscht. Das jeweilige Objekt ist somit unabhängig von seinem übergeordneten Ordner.

Wichtig: Sollten Sie die Option „Alle vererbten Berechtigungen entfernen” wählen, besitzt zunächst niemand mehr Zugriff auf das Objekt. Fügen Sie deshalb umgehend die benötigten Benutzer und Gruppen wieder hinzu, um sich nicht selbst auszusperren.

Vererbte Berechtigungen wieder aktivieren

Möchten Sie die Vererbung zu einem späteren Zeitpunkt wieder herstellen, funktioniert dies ebenfalls über den Explorer:

1. Öffnen Sie erneut die Eigenschaften des betroffenen Ordners.
2. Wechseln Sie zum Reiter Sicherheit und klicken Sie auf Erweitert.
3. Klicken Sie im Fenster Erweiterte Sicherheitseinstellungen auf Vererbung aktivieren.
4. Bestätigen Sie die Änderung mit Übernehmen und OK.

Sobald die Vererbung aktiviert ist, übernimmt der Ordner automatisch wieder alle Berechtigungen des übergeordneten Objekts. Zusätzlich bleiben bereits vorhandene explizite Berechtigungen in der Regel erhalten, sofern Sie diese nicht zuvor entfernt haben.

Vererbte Berechtigungen über die Eingabeaufforderung ändern

Neben dem grafischen Weg lässt sich die Vererbung auch über die Eingabeaufforderung mit dem Tool icacls steuern. Dieser Weg eignet sich besonders für Administratoren, die mehrere Ordner gleichzeitig oder per Skript bearbeiten möchten.

Eingabeaufforderung als Administrator öffnen

1. Klicken Sie auf die Windows-Taste und geben Sie „cmd” ein.
2. Klicken Sie mit der rechten Maustaste auf Eingabeaufforderung und wählen Sie Als Administrator ausführen.
3. Bestätigen Sie die Sicherheitsabfrage der Benutzerkontensteuerung mit Ja.

Vererbung mit icacls deaktivieren

Verwenden Sie folgenden Befehl, um die Vererbung für einen bestimmten Ordner zu deaktivieren:

icacls "C:\Pfad\zum\Ordner" /inheritance:d

Der Parameter /inheritance:d sorgt dafür, dass die zuvor vererbten Berechtigungen als explizite Berechtigungen erhalten bleiben. Möchten Sie zusätzlich alle Berechtigungen entfernen, nutzen Sie stattdessen den folgenden Befehl:

icacls "C:\Pfad\zum\Ordner" /inheritance:r

Hierbei entfernt der Parameter /inheritance:r sämtliche geerbten Einträge, sodass keine Berechtigung mehr für das Objekt besteht. Anschließend müssen Sie neue Berechtigungen händisch mit dem Parameter /grant vergeben, beispielsweise so:

icacls "C:\Pfad\zum\Ordner" /grant Benutzername:F

Der Buchstabe F steht dabei für Full Control, also die volle Kontrolle. Alternativ stehen unter anderem M für Modify, RX für Read & Execute sowie R für Read zur Verfügung.

Vererbung mit icacls wieder aktivieren

Um die Vererbung erneut zu aktivieren, verwenden Sie den Befehl:

icacls "C:\Pfad\zum\Ordner" /inheritance:e

Der Parameter /inheritance:e stellt die Vererbung wieder her, wobei explizit gesetzte Berechtigungen ebenfalls erhalten bleiben.

Berechtigungen rekursiv für Unterordner ändern

Falls Sie die Änderung nicht nur auf einen einzelnen Ordner, sondern auf alle Unterordner und Dateien anwenden möchten, ergänzen Sie den Befehl um den Parameter /T:

icacls "C:\Pfad\zum\Ordner" /inheritance:d /T

Dadurch wird die Vererbung rekursiv für die gesamte Ordnerstruktur deaktiviert. Dies spart insbesondere bei großen Verzeichnisbäumen erheblich Zeit im Vergleich zur manuellen Bearbeitung über den Explorer.

Vererbte Berechtigungen über PowerShell ändern

Alternativ zu icacls bietet sich auch PowerShell an, insbesondere wenn Sie ohnehin Skripte zur Automatisierung nutzen.

Vererbung mit PowerShell deaktivieren

Öffnen Sie zunächst PowerShell als Administrator über das Startmenü. Anschließend verwenden Sie folgenden Befehl:

$acl = Get-Acl "C:\Pfad\zum\Ordner"
$acl.SetAccessRuleProtection($true, $true)
Set-Acl "C:\Pfad\zum\Ordner" $acl

Der erste boolesche Parameter $true aktiviert den Schutz vor Vererbung, während der zweite Parameter festlegt, ob die bisher vererbten Regeln als explizite Regeln übernommen werden. Setzen Sie den zweiten Wert auf $false, werden stattdessen alle bisherigen Berechtigungen entfernt.

Vererbung mit PowerShell aktivieren

Um die Vererbung wieder zu aktivieren, passen Sie den ersten Parameter entsprechend an:

$acl = Get-Acl "C:\Pfad\zum\Ordner"
$acl.SetAccessRuleProtection($false, $true)
Set-Acl "C:\Pfad\zum\Ordner" $acl

Dadurch übernimmt der Ordner wieder automatisch die Berechtigungen des übergeordneten Objekts.

Vererbte Berechtigungen für ein ganzes Laufwerk ändern

Möchten Sie die Vererbung nicht nur für einen einzelnen Ordner, sondern für ein komplettes Laufwerk anpassen, gehen Sie grundsätzlich genauso vor wie bei einem Ordner. Wählen Sie im Explorer statt eines Ordners direkt das Laufwerk, beispielsweise C:\, und öffnen Sie ebenfalls die Eigenschaften sowie den Reiter Sicherheit.

Beachten Sie jedoch, dass Systemlaufwerke besonders sensible Berechtigungen für Systemdateien und Programme enthalten. Ändern Sie die Vererbung auf Laufwerksebene daher nur, wenn Sie genau wissen, welche Auswirkungen dies hat. Andernfalls riskieren Sie, dass Windows-Dienste oder installierte Programme nicht mehr korrekt funktionieren.

Für private Ordner, etwa den Ordner „Eigene Dokumente” oder einen freigegebenen Netzwerkordner, ist das Anpassen der Vererbung hingegen unbedenklich und in vielen Fällen sogar empfehlenswert.

Häufige Fehler und Problembehebung

Beim Bearbeiten von Berechtigungen treten immer wieder ähnliche Probleme auf. Deshalb folgen hier die häufigsten Stolpersteine sowie passende Lösungen.

„Zugriff verweigert” nach dem Deaktivieren der Vererbung

Dieser Fehler tritt meistens auf, wenn beim Deaktivieren der Vererbung die Option Alle vererbten Berechtigungen entfernen gewählt wurde, ohne anschließend neue Berechtigungen zu vergeben. Fügen Sie in diesem Fall über die Eigenschaften > Sicherheit > Bearbeiten Ihren Benutzer erneut mit den gewünschten Rechten hinzu.

Sie sind nicht als Besitzer eingetragen

Manchmal lässt sich die Vererbung nicht deaktivieren, da der aktuelle Benutzer nicht als Besitzer des Objekts eingetragen ist. Ändern Sie in diesem Fall zunächst den Besitzer:

1. Öffnen Sie die Erweiterten Sicherheitseinstellungen.
2. Klicken Sie neben Besitzer auf Ändern.
3. Geben Sie Ihren Benutzernamen ein und bestätigen Sie mit Namen überprüfen sowie OK.

Anschließend können Sie die Vererbung wie gewohnt (de)aktivieren.

Die Schaltfläche „Vererbung deaktivieren” ist ausgegraut

Ist die Schaltfläche nicht anklickbar, fehlen Ihnen möglicherweise die notwendigen Administratorrechte. Starten Sie in diesem Fall die Eingabeaufforderung oder PowerShell explizit als Administrator und nutzen Sie stattdessen die zuvor beschriebenen Befehle mit icacls.

Änderungen werden nicht sofort übernommen

Gelegentlich zeigt der Explorer die neuen Berechtigungen nicht sofort an. Aktualisieren Sie in diesem Fall die Ansicht mit F5, oder schließen und öffnen Sie das Eigenschaften-Fenster erneut.

Vererbte Berechtigungen bei Netzwerkfreigaben

Bei freigegebenen Ordnern im Netzwerk gibt es zusätzlich zu den NTFS-Berechtigungen noch separate Freigabeberechtigungen. Diese beiden Berechtigungsarten arbeiten zusammen, wobei stets die restriktivere Einstellung greift.

Deaktivieren Sie also die Vererbung ausschließlich auf NTFS-Ebene, bleiben die Freigabeberechtigungen davon unberührt. Möchten Sie den Zugriff auf einen freigegebenen Ordner vollständig kontrollieren, sollten Sie deshalb beide Berechtigungsarten überprüfen und gegebenenfalls anpassen.

Unterschiede zwischen Windows 11 und Windows 10

Die Vorgehensweise zum (De-)Aktivieren der Vererbung ist unter Windows 11 und Windows 10 nahezu identisch. Lediglich das Kontextmenü im Explorer unterscheidet sich geringfügig: Unter Windows 11 müssen Sie im Rechtsklick-Menü zunächst auf Weitere Optionen anzeigen klicken, bevor der Eintrag Eigenschaften erscheint.

Zudem wirkt die Benutzeroberfläche der Erweiterten Sicherheitseinstellungen unter Windows 11 optisch leicht überarbeitet, funktioniert jedoch technisch genauso wie unter Windows 10. Die Befehle für icacls sowie PowerShell sind in beiden Systemen vollkommen identisch, sodass Skripte problemlos auf beiden Plattformen funktionieren.

Tipps für den sicheren Umgang mit Berechtigungen

Damit das Ändern der Vererbung nicht zu unerwünschten Nebenwirkungen führt, sollten Sie einige grundlegende Empfehlungen beachten.

• Deaktivieren Sie die Vererbung niemals auf Systemordnern wie C:\Windows oder C:\Program Files, da dies zu Systeminstabilität führen kann.
• Dokumentieren Sie Änderungen an wichtigen Ordnern, damit spätere Anpassungen nachvollziehbar bleiben.
• Nutzen Sie bei mehreren Benutzern nach Möglichkeit Gruppen anstelle einzelner Benutzerkonten, um die Verwaltung zu vereinfachen.
• Testen Sie Änderungen zunächst an einem unwichtigen Testordner, bevor Sie diese auf produktive Daten anwenden.
• Erstellen Sie vor größeren Anpassungen stets ein Backup, insbesondere bei geschäftskritischen Daten.

Häufige Fragen zu vererbten Berechtigungen unter Windows

Was passiert, wenn ich die Vererbung deaktiviere?

Sobald Sie die Vererbung deaktivieren, übernimmt der betroffene Ordner keine Berechtigungen mehr vom übergeordneten Objekt. Stattdessen bleiben die zuvor geerbten Rechte entweder als explizite Berechtigungen erhalten, oder sie werden vollständig entfernt, je nachdem, welche Option Sie wählen.

Kann ich vererbte Berechtigungen direkt bearbeiten?

Nein, vererbte Berechtigungen lassen sich nicht direkt am untergeordneten Objekt bearbeiten. Möchten Sie individuelle Anpassungen vornehmen, müssen Sie zunächst die Vererbung deaktivieren und anschließend die Berechtigungen als eigenständige, explizite Einträge festlegen.

Wie finde ich heraus, von welchem Ordner eine Berechtigung geerbt wurde?

Öffnen Sie die Erweiterten Sicherheitseinstellungen des betroffenen Objekts. Dort zeigt die Spalte Geerbt von genau an, aus welchem übergeordneten Ordner die jeweilige Berechtigung stammt.

Funktioniert das Deaktivieren der Vererbung auch bei Dateien?

Ja, das Deaktivieren der Vererbung funktioniert sowohl bei Ordnern als auch bei einzelnen Dateien. Der Ablauf über die Eigenschaften und den Reiter Sicherheit ist dabei identisch.

Muss ich Administrator sein, um Berechtigungen zu ändern?

In den meisten Fällen benötigen Sie Administratorrechte, insbesondere wenn Sie Berechtigungen für Systemordner oder für andere Benutzerkonten ändern möchten. Bei eigenen persönlichen Ordnern reicht teilweise auch ein Standardbenutzerkonto aus, sofern Sie als Besitzer eingetragen sind.

Warum sollte ich icacls statt des Explorers verwenden?

Der Explorer eignet sich gut für einzelne Ordner, wird jedoch bei vielen Objekten schnell unübersichtlich. Mit icacls lassen sich Berechtigungen hingegen per Skript automatisieren und rekursiv auf ganze Ordnerstrukturen anwenden, was deutlich Zeit spart.

Verliere ich beim Deaktivieren der Vererbung meine Daten?

Nein, das Deaktivieren der Vererbung betrifft ausschließlich die Zugriffsrechte, nicht die eigentlichen Daten. Allerdings kann es passieren, dass Sie selbst vorübergehend keinen Zugriff mehr auf die Daten haben, falls Sie versehentlich alle Berechtigungen entfernen.

Wie kann ich die ursprünglichen Berechtigungen wiederherstellen?

Um zum ursprünglichen Zustand zurückzukehren, aktivieren Sie einfach die Vererbung erneut über Vererbung aktivieren in den erweiterten Sicherheitseinstellungen. Zusätzlich empfiehlt es sich, vor größeren Änderungen die bestehenden Berechtigungen zu notieren oder zu exportieren.

Gibt es Unterschiede bei Berechtigungen zwischen lokalen und Domänenkonten?

Ja, bei Domänenkonten innerhalb eines Firmennetzwerks werden Berechtigungen häufig zusätzlich über Gruppenrichtlinien gesteuert. Lokale Änderungen an der Vererbung können deshalb in Unternehmensumgebungen von zentralen Richtlinien überschrieben werden.

Kann ich die Vererbung für mehrere Ordner gleichzeitig deaktivieren?

Ja, das ist über icacls mit dem Parameter /T sowie über PowerShell-Skripte problemlos möglich. Dadurch lässt sich die Vererbung für ganze Ordnerstrukturen in einem einzigen Arbeitsschritt anpassen, statt jeden Ordner einzeln zu bearbeiten.

Fazit

Das (De-)Aktivieren vererbter Berechtigungen unter Windows 11 sowie Windows 10 gelingt sowohl über den Explorer als auch über icacls und PowerShell. Wählen Sie je nach Anzahl der betroffenen Ordner den passenden Weg, um Zugriffsrechte gezielt und sicher zu verwalten.

Beachten Sie stets, vor größeren Änderungen ein Backup anzulegen und den eigenen Zugriff nicht versehentlich zu entfernen. So bleiben Ihre Daten zuverlässig geschützt.