el-tunox

Netzwerkfreigabe überschrieben

Hallo liebe User,

ich habe mir heute irgendwie die Netzwerkfreigabe zerschossen. Wir haben in unserem Unternehmen einen Fileserver (WinSrv2012R2) am laufen und haben eine große Ordnerstruktur aufgebaut über die letzten 10 Jahre. Nun hat mich heute jemand gebeten, einer Person aus dem Vorstand Zugriff auf alle Ordner zu geben. Ist abgesegnet und ich habe es umgesetzt. Wahrscheinlich war meine Vorgehensweise die Falsche.
Im Explorer auf dem Fileserver habe ich ganz normal auf dem übergeordnetem Ordner einen Rechtsklick->Freigabe auf Freigabe geklickt und denjenigen hinzugefügt. Am Ende wurde dann gefragt, ob das auf alle Unterordner angewandt werden soll. JA.

Danach konnte kein anderer AD-User trotz der gesetzten Berechtigungen einen Ordner auf diesem Laufwerk sehen. Tatsächlich wurden alle Berechtigungen in den Unterordnern so gesetzt und nun zeigen sich dort
Administrator
Administratoren
Domänen-Admins
Person X

Aus unerklärlichen Gründen können alle User auf einmal alle Ordner mit Inhalten sehen. Was ist hier passiert ?
Am liebsten würde ich das rückgängig machen, jedoch bin ich auf keinen passenden Tip /Tutorial gestoßen.
Wenn ich es manuell abändere, wie muss ich dann vorgehen ? ICh habe noch "Domänen-Benutzer" hinzugefügt, mit der Hoffnung, dass sich alle Rechte, die man im AD setzt, wieder so hinzufügen. Das hat nicht geklappt und ich glaube, ich befinde mich auf dem Holzweg.
Auf Facebook teilen
Auf X (Twitter) teilen
Auf Reddit teilen
Auf Linkedin teilen

Content-ID: 673861

Url: https://administrator.de/forum/netzwerkfreigabe-fileserver-berechtigungen-windows-673861.html

Ausgedruckt am: 18.07.2025 um 00:07 Uhr

CamelCase
CamelCase 14.07.2025 um 17:18:44 Uhr
Moin,

Autsch - die originalen Rechte sind durch deine erste Aktion weg. Wenn du ein Backup hast, kannst du das wiederherstellen, oder eben manuell wieder vergeben.

Dadurch, dass du Domänen-Benutzer hinzugefügt hast, haben nun alle Nutzer Zugriff auf alles.
Im Prinzip bleibt nur Backup wiederherstellen oder alle Rechte wieder manuell zu vergeben.
Du solltest auf jeden Fall nur Gruppen auf Ordner zulassen und nicht direkt Nutzer zulassen.

Viel Erfolg
kreuzberger
kreuzberger 14.07.2025 um 17:28:26 Uhr
Irgendwie ist das mal wieder der typische Fall von Geiz oder Sparzwang in der Geschäftsleitung, wenn man keine Fachleute hat, die mit dem zentralen Werkzeug der Unternehmenskommunikation umgehen kann. Es ist so als wäre man ein Fuhrunternehmen, aber keiner hat einen Führerschein.
Sorry, nicht böse gemeint, auch wenn es hart daher kommt.

@CamelCase hat recht. Entweder ein Backup zurück holen, oder eben alles per habe wiederherstellen. Zugruffsrechte werden üblicher- und sinnvollerweise nur über Ordnerrechte vergeben, und nicht per einzelner Person.
Das mach man besser nicht per Rechtsklick auf den freigegebenen Ordner, sondern über das AD.

Kreuzberger
El-Tunox
El-Tunox 14.07.2025 um 17:35:46 Uhr
Ohje... auf diese Antwort habe ich nicht gehofft. Shit
Ein Backup gibt es (ist ne VM und wird wöchentlich per VSS gesichert) und könnte helfen. Das sind aber über 3 TB Daten und heute wurde natürlich längst in der Struktur gearbeitet. Das ist also nur der letzte Ausweg mit dem Backup.

Schon bevor ich Domänen-Benutzer hinzugefügt hatte, konnten alle User sämtliche Ordner sehen. Ich entferne den Eintrag gerade und schau mal, was gleich passiert. Standardgemäß lasse ich nur Gruppen auf Ordner zu.

Gibt es einen Weg, die in der AD angelegten Berechtigungen auf die Ordnerstruktur zu übernehmen ?
El-Tunox
El-Tunox 14.07.2025 um 17:58:04 Uhr
@kreuzberger du hast den Nagel auf den Kopf getroffen. Ich habe tatsächlich als Quereinsteiger zugesagt und bisher is das alles auch in Ordnung und macht Spaß. Gerne hätte ich mir an einigen Punkten mal einen Lehrgang oder ähnliches gewünscht, aber leider fehlen hier die finanziellen Mittel. Das war nun auch das letzte mal, das ich in der Form Freigaben erteile.

@CamelCase auch mit dem entfernen der Domänen-Benutzer kann man nun weiterhin alle Ordner sehen.

Ich denke um eine Wiederherstellung komme ich nicht rum.
El-Tunox
El-Tunox 14.07.2025 um 18:04:50 Uhr
Noch "ne Frage zur Wiederherstellung...

Es geht um eine VM im Hyper-V. Gibt es Risiken, die während oder nach dem Einspielen des BAckups auftreten können ?
Gesichert werden alle VMs per Windows VSS. Ich müsste nun also die VM mit dem Backup überschreiben.
kreuzberger
kreuzberger 14.07.2025 um 18:15:55 Uhr
@El-Tunox

Es ist natürlich etwas blöd, dass inzwischen mit den Daten weiter gearbeitet wurde. Das will man natürlich nicht zerstören, indem man es mit dem älteren stand überschreibt. Und 3TB ist ja nicht wenig.

Enn es noch genug platz auf dem selbigen server gäbe, wäre eine Rücksicherung in einen neuen Ordner parallel zum alten sinnvoll, um dann per robocopy vom stand jetzt auf die Rücksicherung zu kopieren, und dann die Rücksicherung zur neuen produktiv-freigabe zu machen.

Klingt kompliziert, ist aber wenn der platz (3TB) da ist der sichere weg.

da ich nicht weiß, wie du die backups machst kann manauch nicht einfach nur die rechtestrucktur (ohne Daten zurück zu kopieren) wiederherstellen. Wären es zum Beispiel nur einfache robocopy-Sicherungen auf ein anderes storage, könnte am mit robocopy die rechtestruktur (ACLs) wiederherstellen.

Kreuzberger

p.s.: rede mit der Geschäftsführung, dass du die Verantwortung für solche Aktionen ablehnst ohne Weiterbildung. Das kann sonst durchaus auch teuer für dich persönlich werden.
em-pie
em-pie 14.07.2025 um 18:17:41 Uhr
Moin,

Spiele nicht das Backup 1:1 zurück sondern nur die VMDK und binde die in eine TestVM ein.
Dann gehst du entweder:
  • Ordner für Ordnerebene durch, vergleiche und ziehe die Sicherheitsberwchtigungen nach
oder
  • schaue, ob man mit Powershell und zusatztools (SetACL), ob die die Rechte Scriptbasiert übertragen kannst.


Grundsatz bei Berechtigungen (von Ordnern)
Nie, Nie Niemals einzelne User berechtigen.
Arbeite mit Gruppen. Wir setzen immer zwei Gruppen ein:
  • …_ro
  • …_rw

Ro= readonly
rw = Readwrite

Die Leute kommen dann nur noch in diese AD-Gruppen und fertig.
Und streng genommen arbeiten wir doppelt mit Gruppen:

Einmal eine Gruppe, die die Funktion des MAs beschreibt:
  • FiBu
  • Geschäftsleitung
  • IT
  • Vertrieb

Dann eben die Gruppen für Ordner/ Anwendungen/ …
  • ERP
  • CRM
  • CashManagement


Die Gruppen von Oben (GL, FibU, IT) kommen dann in die unteren Gruppen.
Kommt ein neuer Vertriebsmitarbeiter, kommt der in die Gruppe „Vertrieb“. Die wiederum steckt bereits überall anders drin und der neue MA hat alle relevanten Rechte.

Klappt zu 90% bei uns. Manche Anwendungen kommen nicht mit verschachtelten Gruppen klar - leider…
TwistedAir
TwistedAir 14.07.2025 um 18:24:47 Uhr
Ich müsste nun also die VM mit dem Backup überschreiben.

Moin,

wenn du bei der aktuellen VM den Hostnamen und die IP änderst statt sie zu überschreiben, könntest du nach Wiederherstellung aus dem Backup die Dateien der Freigaben auf beiden VMs vergleichen (lassen) und das Delta seit Erstellung des Backups bestimmen. Die so bestimmten Dateien könntest du dann in die Verzeichnisstruktur der neuen VM einfügen. Danach kann die "defekte VM" weg.
Ob du dir die Mühe machen möchtest, hängt aber auch davon ab, wie viele neue Dateien geschrieben werden und wie wichtig diese sind.

Gruß
TA
BiberMan
BiberMan 14.07.2025 aktualisiert um 18:38:09 Uhr
Mounte dein Backup, speichere dir die ACLs mit icacls in eine Textdatei (/save), und stelle sie dann ebenfalls mit icacls wieder her(/restore).

Oder übertrage ausschließlich die Rechte mit Robocopy (/copy:SOU) vom gemounteten Backup auf die aktuelle Struktur, das dauert nicht so lange wie sämtliche Files wiederherzustellen.
commodity
commodity 14.07.2025 aktualisiert um 18:43:11 Uhr
... icacls
Das... ist genau der Weg der Wahl face-smile
Und für die Zukunft: icacls kann man per Aufgabenplaner o.ä. jeden Tag schreiben lassen und damit ins Backup geben. Dann braucht man in einem solchen Fall nur die Datei.
andysblog.de/windows-ntfs-berechtigungen-mit-icacls-sichern-und- ...

Viele Grüße, commodity
DivideByZero
DivideByZero 14.07.2025, aktualisiert am 15.07.2025 um 07:09:30 Uhr
Moin,

noch meinen Senf dazu:

Bevor Du irgendetwas machst, vergewissere Dich, dass Du wirklich und tatsächlich ein richtiges und brauchbares Backup hast. Denn was ist:
Ein Backup gibt es (ist ne VM und wird wöchentlich per VSS gesichert)
VSS ist kein Backup. Wie genau funktioniert das also?

Und was hast Du da so alles auf der VM laufen? Ist die etwa auch - dann noch der einzige - DC? Oder reiner Fileserver?
Wenn da irgendwelche besonderen Dienste wie SQL, DC oä laufen, lass da besser die Finger von.

Bzw. gehe den sicheren Weg, wie auch oben beschrieben, d.h. stelle aus dem Backup die VM als 2. VM her (nicht: die derzeitige ersetzen/überschreiben). Dann nimm für die wiederhergestellte VM das Netzwerk weg, starte sie und sichere die Berechtigungen per icacls und stelle sie in der anderen VM wieder her. Problematisch sind dann nur die Differenzen zwischen dem letzten Backup und heute, da sind dann wahrscheinlich die falschen Rechte drauf (jeder für alles oder so...).

Gruß

/0

P.S.: Wenn Du da der einzig verantwortliche ITler bist: Weise Deine Vorgesetzten auf die Problematik mit Win2012R2 hin. Das ist mangels Support und Sicherheitslücken ein Problem
P.P.S.: Überdenke bei Vorstand (größeres Unternehmen muss das ja sein) und 3TB Daten mal Deine Backupstrategie. Wöchentlich wäre mir viel zu heiß. Und achte v.a. darauf, dass es nicht nur das Backup der letzten Woche gibt, sonst gibt es quasi null Schutz gegen Ransomware.
Vision2015
Vision2015 15.07.2025 um 06:10:24 Uhr
Moin...

abgesehen von (WinSrv2012R2) und wöchentlichen Backups, würde ich an deiner stelle eine Fachfirma anrufen, die klickt mit dir zusammen die Rechte zusammen, wie es sein soll!
das ist schnell und sicher erledigt.

jetzt wäre der zeitpunkt auch, die Server Version zu aktualisieren und Tägliche Backups zu erstellen.

Frank
departure69
departure69 15.07.2025 aktualisiert um 07:49:35 Uhr
@El-Tunox:

Plus für Systemhaus. Auch, wenn nicht viel Geld da ist, ich würde bei der GL beichten gehen und sagen, daß mir aus Unkenntnis (oder nicht genügender Kenntnis) der Materie ein heftiger Fehler unterlaufen ist, den ich selbst nicht beheben kann und ein Systemhaus brauche.

Und von dem Systemhaus würde ich mir auch gleich mit beibringen lassen, wie man grundlegend Leute berechtigt, nämlich Personen in Gruppen stecken und nur Gruppen berechtigen. Außerdem lernen, daß es neben Freigaberechten auch NTFS-Dateisystemrechte gibt und wie man diese händelt. Und, wie man Vererbung aufhebt, ohne die Rechte, die von oben kommen, dabei zu entfernen, sondern erst ab dem Eingriffspunkt neu und rekursiv zu berechtigen. Das alles solltest Du Dir dringend beibringen (lassen), ansonsten stehst Du immer wieder vor solch verzweifelten Situationen. Was Du bisher gemacht hast, war im Nebel stochern. Nicht böse gemeint, alle mußten das erst lernen und begreifen.

Der W2K12R2 ist seit Jahren EOL. Fileserver lassen sich prima Inplace aktualisieren (es sei denn, wie von anderen weiter oben schon angemerkt, der Fileserver tut auch noch viele andere Dinge oder ist gar Domänencontroller, dann natürlich kein Inplace-Upgrade), wenigstens W2K19 sollte drauf, dann hast Du erstmal bis 2029 Support.

Viele Grüße

von

departure69
WoenK0
WoenK0 15.07.2025 um 20:21:16 Uhr
Zitat von @El-Tunox:

@kreuzberger du hast den Nagel auf den Kopf getroffen. Ich habe tatsächlich als Quereinsteiger zugesagt und bisher is das alles auch in Ordnung und macht Spaß. Gerne hätte ich mir an einigen Punkten mal einen Lehrgang oder ähnliches gewünscht, aber leider fehlen hier die finanziellen Mittel. Das war nun auch das letzte mal, das ich in der Form Freigaben erteile.

Weiss jetzt nicht was man da für "finanzielle Mittel" braucht.
Einzige was man braucht ist der Wille Zeit zu haben.
Gibt genügend Hilfen kostenlose Hilfen Online, meiste davon deutlich aktueller als manche Kusr die angeboten werden.

Könnte mir gar nicht vorstellen eine Woche in einen Kurs zu sitzen und mir alles anzuhören, dann spezifisch ein Zertifikat dafür zu erhalten was meinen Marktwert steigern würde.
Und wenn es nicht ein grössere Abteilung mit Spezialisten ist, dann muss man sich alles selbst beibringen..

Auch wenn ein Arbeitgeber versucht an der IT zu sparen... es wird deutlisch teurer als die Einsparungen wenn etwas passiert. Und die Frage ist, egal wie gut die IT ist, nicht das ob, sodern nur das wann... zu viel gespart bedeutet das "wann" kommt eher.

Und selbst wenn es manchmal hart ist, wenn man selbst nicht weiter weiss und es zu risky ist, selbst rumzupfuschen, besser einen Spezailisten zur Hilfe rufen. Kann man nebenbei was lernen und lässt einen icht Jahre altern, weil man seinen eigen Pfusch versucht auszugleichen (was bei wöchentlichen Backups natürlich extrem schlecht ist.... ich fahr nicht mal Windows Updates ohne vorher zu checken ob das tägliche Backup OK ist und mach nen Snapshot davor)
commodity
commodity 15.07.2025 um 21:19:03 Uhr
der Wille Zeit zu haben.
Das ist mal eine wundervolle Formulierung! face-smile

Fast alle haben nie Zeit ... denken sie. Es ist aber eine Frage der Prioritäten. Bzw. des Streaming-Angebots face-wink

Viele Grüße, commodity
kreuzberger
kreuzberger 16.07.2025 um 12:33:12 Uhr
@WoenK0
Weiss jetzt nicht was man da für "finanzielle Mittel" braucht.
Einzige was man braucht ist der Wille Zeit zu haben.
Gibt genügend Hilfen kostenlose Hilfen Online, meiste davon deutlich aktueller als manche Kusr die angeboten werden.

Nun, jemanden auszubilden kostet Zeit und Geld. Nicht zuletzt sind gut ausgebildete IT-Leute zurecht nicht billig. Oft genug hat man in kleinen Unternehmen nicht das Geld dafür. Oft genug versucht man sich aber auch in Unternehmen um derlei Ausgaben aus purem Geiz herumzumäkeln. Genau das erlebe ich hier in Berlin z. B. auch flächendeckend im Öffentlichen Dienst, wo man Aufgaben massenweise von "höheren Dienst" in den "gehobenen Dienst" verschiebt, einfach um Geld zu sparen. Denn da sind die Leute deutlich billiger. Es spielt dann schließlich beim Geiz dann keine Rolle, ob entsprechende Ausbildungen da sind oder ein einfach nicht. So nach dem Motto: Sieh doch zu wie du klar kommst. Genau wie es dem TO hier ergeht.
Er bekommt diese Aufgabe, sieht darin eine Bauchpinselei, etwas interessantes, und scheitert, weil die Kenntnisse eben fehlen.
Ich möchte hier aber noch mal zum Ausdruck bringen, dass Schuld hier eher bei der Geschäftsleitung zu sehen ist, und nicht beim TO.

Kreuzberger
commodity
commodity 16.07.2025 um 13:20:14 Uhr
Unabhängig davon, dass es hier nicht auf "Schuld"fragen ankommt:
Der TO kann natürlich etwas tun. Er ist ja ausgesprochen einsichtig, was seine Situation angeht. Mit dieser Erkenntnis kann er
a) das Problem mit dem AG erörtern und gemeinsam nach Lösungen suchen oder
b) einfach so weiter machen bis es vielleicht mal knallt

Ist relativ klar, welche Option für ihn günstiger ist, denke ich.

Bei a) kann man dann auch noch differenzieren:
aa) erwartet man als MA, vom AG komplett geschult zu werden oder
bb) bringt man auch eigene Initiative ein? Vielleicht gibt es auch eine Mischform, z.B.
cc) der AG räumt Zeit und Material ein und der MA packt auch Zeit dazu und nutzt das alles zur autodidaktischen Weiterbildung. Wenn der MA wirklich Interesse hat, wird er seinerseits nicht an der Uhr kleben, sondern auch eine Zeit dafür einsetzen - es ist ja seine Qualifikation, die er damit erhöht.

Nur ein Ansatz. Es gibt da sicher unzählige Konzeptionsmöglichkeiten. Meist aber fehlt ... (nochmal die goldene Formulierung):
der Wille Zeit zu haben
Denn, dass es die - besonders am Anfang - umfänglich braucht, wissen wir hier alle.

Viele Grüße, commodity
WoenK0
WoenK0 17.07.2025 um 17:39:07 Uhr
Zitat von @kreuzberger:

Ich möchte hier aber noch mal zum Ausdruck bringen, dass Schuld hier eher bei der Geschäftsleitung zu sehen ist, und nicht beim TO.

Kreuzberger

Wollte ich auch gar nicht so ausdrücken, das die Schuld beim TO liegt, wenn der Arbeitgeber zu geizig ist oder einfach nicht die Mittel hat, liegt die Schuld bei ihm.
Hab mit meinen "Dienstherrn" Glück, da ist es nicht ganz so knapp
und ich könnte auch einige Schulungen in Anspruch nehmen, aber ehrlich gesagt ist es dann als einziger Admin schon schwer die Altlasten aufzuräumen udn vielleicht auch mal Urlaub zu machen :D
Da bin ich lieber Autodidakt und lerne in meiner Freizeit, einfach auch weil es mich interessiert.
Ohne Umschulung vor 10 Jahren hätte ich als Quereinsteiger sicher auch einen Job gefunden, entwickelt hätte ich mich dadurch kaum weil gewisse Sachen und Vorgehensweisen einfach durch eine Ausbildung geprägt sind, aber der ganze Rest kann man sich gut selbst aneignen. Wenn man die eierlegende Wollmilchsau ist, bringt es nichts ein Spezialist für Firewalls zu sein und den ganzen Tag nur das zu machen.
So viele Schulungen kann man gar nicht machen, würde nach der Ausbildung Jahre dauern ist dann meistens schon wieder überholt. Wenns einen interessiert lernt man es so oder so.

Wenn der Arbeitgeber zu geizig ist, bei nen Startup anfangen...zahlen sehr gut und fast alles (anfangs), meistens etwas überdimensionierte IT, aber halt keine 40 Stunden Woche.
Vielleicht nen guten Headhunter finden, der was passendes zur Zufriedenheit aller Beteiligten findet...ohne meinen wäre ich nicht "schlecht bezahlt" im "Öffentlichen Dienst" gelandet, aber 90k bei nen Startup mit 90-100 Stunden die Woche wäre auch nichts gewesen :