---
id: S2
titel: Benutzer, Gruppen und Berechtigungen
block: system
woche: 4
worum: Rechte werden an Gruppen vergeben, nie an einzelne Personen – sonst weiß nach zwei Jahren niemand mehr, warum jemand irgendwo hineinkommt.
rahmenplan: [B3, A6]
lernfeld: LF4
merksatz: Rechte an Gruppen, Personen in Gruppen. So wenig wie möglich, so viel wie nötig.
karten:
  - frage: Warum vergibt man Berechtigungen an Gruppen statt an einzelne Benutzer?
    antwort: Weil beim Wechsel einer Person nur die Gruppenzugehörigkeit geändert werden muss und jederzeit nachvollziehbar bleibt, warum jemand ein Recht hat.
  - frage: Was setzt sich durch, wenn Freigabe- und NTFS-Berechtigungen sich widersprechen?
    antwort: Die jeweils restriktivere Berechtigung. Über das Netz gilt der Schnitt aus beiden, lokal nur die NTFS-Berechtigung.
  - frage: Was besagt das Prinzip der geringsten Rechte?
    antwort: Jedes Konto bekommt genau die Rechte, die es für seine Aufgabe braucht, und nicht mehr – auf Zeit vergebene Rechte werden wieder entzogen.
---

## Das Wesentliche

- **Rechte an Gruppen, Personen in Gruppen.** Die Gruppe trägt die Begründung im Namen:
  `FS-Buchhaltung-Aendern` ist selbsterklärend, `Rechte_Meier` nicht.
- **Prinzip der geringsten Rechte.** Kein Tagesgeschäft mit Administratorrechten. Erhöhte
  Rechte werden angefordert, benutzt und wieder abgelegt.
- **Vererbung verstehen**, bevor man sie unterbricht. Ein unterbrochener Vererbungspfad ist
  in zwei Jahren nicht mehr nachvollziehbar.
- **Verweigern schlägt Erlauben.** Eine explizite Verweigerung setzt sich gegen jede
  Erlaubnis durch – deshalb sparsam einsetzen, sonst sucht man sich später tot.
- **Freigabe und NTFS greifen zusammen:** Über das Netz gilt die restriktivere der beiden.
  Übliche Praxis: Freigabe auf „Jeder – Vollzugriff", die eigentliche Steuerung über NTFS.
- **Austritt heißt sperren, nicht löschen.** Gelöschte Konten reißen Berechtigungen und
  Dateibesitz auseinander.

## Übersicht

| Berechtigung | Erlaubt | Typisch für |
|---|---|---|
| Lesen | Öffnen, Auflisten | Nachschlagewerke, Vorlagen |
| Lesen und Ausführen | zusätzlich Programme starten | Softwareablagen |
| Ändern | zusätzlich Anlegen, Ändern, Löschen | Arbeitsverzeichnisse einer Abteilung |
| Vollzugriff | zusätzlich Berechtigungen ändern | ausschließlich Administratoren |

## Prüfungsfrage

**Frage:** Eine Mitarbeiterin wechselt von der Buchhaltung in den Einkauf. Wie gehen Sie mit
ihren Berechtigungen um?

**Antwort:** Das Konto bleibt bestehen; geändert wird ausschließlich die
Gruppenzugehörigkeit: Entfernen aus den Gruppen der Buchhaltung, Aufnahme in die Gruppen
des Einkaufs. Direkt am Konto vergebene Einzelberechtigungen sind zu suchen und zu
entfernen – sie sind der Grund, warum Rechte über Jahre mitwandern. Die Änderung wird mit
Datum und Anlass dokumentiert, und nach dem Wechsel wird stichprobenartig geprüft, dass der
Zugriff auf die Buchhaltungsablagen tatsächlich nicht mehr besteht.