Kontrollieren Sie den Dateizugriff wie ein IT-Administrator ⚡ Erweitertes Freigabe-Tutorial

Planen Sie den Zugriff nach Gruppe, nicht nach Person

Bevor Sie eine Einstellung berühren, legen Sie fest, welche Zugriffsebenen der Ordner benötigt. In diesem Tutorial ist die Arbeit in zwei Gruppen unterteilt: Accounts-Full für die Personen, die Dateien öffnen, bearbeiten und löschen können, und Accounts-Read für die Personen, die Dateien nur anzeigen und öffnen können. Jede Berechtigung in den nächsten Schritten wird diesen Gruppen erteilt – niemals einzelnen Benutzern einzeln.

Aktivieren Sie die Netzwerkerkennung und Dateifreigabe

Stellen Sie auf dem PC, der den Ordner hosten soll, sicher, dass das Netzwerkprofil auf Privat eingestellt ist. Öffnen Sie dann Systemsteuerung → Netzwerk- und Freigabecenter → Erweiterte Freigabeeinstellungen ändern und aktivieren Sie Netzwerkerkennung und Datei- und Druckerfreigabe. Lassen Sie Passwortgeschützte Freigabe aktiviert, damit nur Personen, die über ein Benutzerkonto auf diesem PC verfügen, eine Verbindung zur Freigabe herstellen können.

Jeder Benutzer, der eine Verbindung herstellt, benötigt ein eigenes Konto auf diesem Host-PC, und das Konto muss über ein Kennwort verfügen. Standardmäßig verweigert Windows die Netzwerkanmeldung für Konten mit einem leeren Kennwort.

Erstellen Sie die Gruppen und fügen Sie Benutzer hinzu (lusrmgr.msc)

Drücken Sie Win + R, geben Sie den folgenden Befehl ein und drücken Sie die Eingabetaste, um „Lokale Benutzer und Gruppen“ zu öffnen:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

Teilen Sie den Ordner mithilfe der erweiterten Freigabe

Klicken Sie mit der rechten Maustaste auf den Ordner → Eigenschaften → Registerkarte Freigabe → Erweiterte Freigabe. Aktivieren Sie Diesen Ordner freigeben und legen Sie einen eindeutigen Freigabenamen fest – dies ist der Name, den andere PCs im Netzwerk sehen. Im erweiterten Dialog gibt ein Administrator einen Ordner frei, da er eine separate Kontrolle über den Freigabenamen, die Anzahl gleichzeitiger Benutzer und die Freigabeberechtigungen bietet.

Durch das Hinzufügen eines $-Zeichens am Ende des Freigabenamens wird diese zu einer versteckten Freigabe: Sie wird nicht angezeigt, wenn jemand den PC durchsucht, und sie kann nur durch Eingabe des vollständigen Pfads geöffnet werden.

Freigabeberechtigungen für die Gruppen festlegen

Klicken Sie noch in der erweiterten Freigabe auf die Schaltfläche Berechtigungen. Entfernen Sie den Standardeintrag Jeder, damit der Ordner nicht für das gesamte Netzwerk geöffnet ist. Fügen Sie dann die beiden Gruppen hinzu: Geben Sie Accounts-Full die Berechtigung Vollzugriff und erteilen Sie Accounts-Read nur die Berechtigung Lesen. Freigabeberechtigungen haben drei Ebenen – Lesen, Ändern und Vollzugriff – und gelten nur, wenn der Ordner über das Netzwerk geöffnet wird.

Legen Sie NTFS-Berechtigungen auf der Registerkarte „Sicherheit“ fest

Öffnen Sie nun die Registerkarte Sicherheit in den Eigenschaften desselben Ordners und fügen Sie dort dieselben zwei Gruppen hinzu. Geben Sie Accounts-Full Vollzugriff. Geben Sie Konten-Lesen nur Lesen & Ausführen, Ordnerinhalte auflisten und Lesen – lassen Sie „Ändern“ und „Schreiben“ deaktiviert, andernfalls kann ein „schreibgeschützter“ Benutzer weiterhin Dateien ändern oder löschen. NTFS-Berechtigungen sind die Standardliste für Vollzugriff, Ändern, Lesen und Ausführen, Ordnerinhalte auflisten, Lesen und Schreiben und sie schützen die Dateien auf der Festplatte selbst – sowohl für Netzwerkbenutzer als auch für jeden, der an diesem PC sitzt.

Wenn der Ordner Einträge aus seinem übergeordneten Ordner geerbt hat, die Sie nicht möchten, öffnen Sie Erweitert auf der Registerkarte Sicherheit und verwenden Sie Vererbung deaktivieren, um sie zu konvertieren oder zu entfernen. Behalten Sie dann nur die Einträge bei, die Sie selbst festgelegt haben.

Überprüfen Sie das tatsächliche Ergebnis mit effektivem Zugriff

Ein Benutzer, der den Ordner über das Netzwerk öffnet, wird von beiden Ebenen überprüft und das restriktivere Ergebnis gewinnt. Wenn also die Freigabeberechtigung „Vollzugriff“ lautet, die NTFS-Berechtigung jedoch „Lesen“, erhält der Benutzer effektiv „Lesen“. Um dies ohne zu raten zu bestätigen, öffnen Sie den Ordner Eigenschaften → Sicherheit → Erweitert → Registerkarte Effektiver Zugriff, wählen Sie einen Benutzer aus und Windows zeigt genau an, was dieser Benutzer für den Ordner tun kann und was nicht.

Beobachten Sie den Live-Zugriff in der Konsole für freigegebene Ordner (fsmgmt.msc)

Sobald Benutzer die Freigabe verwenden, öffnen Sie die Konsole „Freigegebene Ordner“, um sie live zu verwalten:

fsmgmt.msc

The Shares node lists every shared folder on the PC, Sessions shows which users are connected right now, and Open Files shows exactly which shared files are open at this moment. From here you can disconnect a user, close an open file or stop sharing a folder — the daily control panel of a shared-folder admin.

Aktivieren Sie die Überwachung, um zu sehen, wer eine Datei geöffnet oder gelöscht hat (secpol.msc)

Berechtigungen steuern, was Benutzer tun können; Auditing zeichnet auf, was sie tatsächlich getan haben. Schalten Sie zunächst die Überwachung in der lokalen Sicherheitsrichtlinie ein:

secpol.msc

Go to Local Policies → Audit Policy → Audit object access and enable both Success and Failure. Then open the folder Properties → Security → Advanced → Auditing tab and add the groups, choosing the actions you want recorded, such as opening files or deleting them. From then on, access attempts on that folder are written to Event Viewer under Windows Logs → Security — look for event ID 4663 — so you can see which account opened or deleted a file, and when.

Auditing creates a lot of log entries, so enable it on important folders only, not on the whole drive.

Testen Sie die Freigabe von einem anderen PC aus

Drücken Sie auf einem zweiten PC im selben Netzwerk Win + R oder verwenden Sie die Adressleiste des Datei-Explorers und öffnen Sie die Freigabe über ihren Netzwerkpfad, zum Beispiel \\PC-NAME\ShareName – Sie können anstelle des Namens auch die IP-Adresse des Host-PCs verwenden. Melden Sie sich mit einem Benutzerkonto an, das zu einer der beiden Gruppen gehört.

Testen Sie wie ein Administrator: Ein Mitglied von Accounts-Read sollte in der Lage sein, Dateien zu öffnen, muss jedoch abgelehnt werden, wenn versucht wird, Änderungen zu speichern oder eine Datei zu löschen, und ein Mitglied von Accounts-Full sollte in der Lage sein, Dateien normal zu bearbeiten und zu löschen. Wenn einer der Tests ein anderes Ergebnis liefert, überprüfen Sie die Gruppenmitgliedschaft des Benutzers und die Registerkarte „Effektiver Zugriff“ aus Schritt 7 erneut, bevor Sie eine Berechtigung ändern.