Windows Server – Dateifreigaben & Berechtigungen

Was sind Dateifreigaben – und warum sind Berechtigungen so wichtig?

Auf jedem Windows Server, der als Fileserver dient, liegen freigegebene Ordner – sogenannte SMB-Shares (Server Message Block). Wenn ein User \\server\Projekte im Explorer eingibt, greift er über das Netzwerk auf genau diesen Ordner zu. Was er dort darf, hängt von zwei unabhängigen Berechtigungsebenen ab, die gleichzeitig gelten:

1. Share-Berechtigungen – regeln den Netzwerkzugriff auf die Freigabe selbst
2. NTFS-Berechtigungen – regeln den Zugriff auf Dateisystemebene (lokal und über das Netz)

Das Tückische: Beide Ebenen werden kombiniert. Windows wendet immer die restriktivere der beiden an. Wer also bei NTFS “Vollzugriff” hat, aber bei der Share nur “Lesen” eingestellt ist, kommt übers Netzwerk trotzdem nur lesend ran.

Die zwei Berechtigungsebenen im Detail

Share-Berechtigungen

Share-Berechtigungen sind grob und kennen nur drei Stufen:

Wichtig: Diese Berechtigungen greifen nur beim Netzwerkzugriff. Wer sich lokal am Server einloggt, geht an den Share-Berechtigungen völlig vorbei.

NTFS-Berechtigungen

NTFS-Berechtigungen sind feingranularer und gelten überall – ob lokal oder übers Netz. Die sechs Grundberechtigungen:

Hinter den Kulissen gibt es noch erweiterte/spezielle Berechtigungen – 14 Einzelrechte wie “Attribute schreiben”, “Unterordner und Dateien auflisten” usw. Die brauchst du nur in Ausnahmefällen, z.B. wenn du einem Service-Account nur das Recht geben willst, Dateien zu lesen aber nicht Ordner aufzulisten.

Vererbung

NTFS-Berechtigungen werden standardmässig vererbt: Ein Unterordner übernimmt die Berechtigungen des übergeordneten Ordners automatisch. Das ist in den meisten Fällen genau richtig – aber manchmal willst du das durchbrechen, etwa wenn ein Abteilungsordner eine eigene Berechtigung haben soll, unabhängig vom Parent.

Vererbung deaktivieren: Rechtsklick auf Ordner > Eigenschaften > Sicherheit > Erweitert > “Vererbung deaktivieren”. Du kannst dann wählen, ob du die bestehenden Berechtigungen konvertierst (aus geerbten werden explizite) oder komplett löscht.

Freigabe erstellen – Schritt für Schritt

Variante 1: GUI (Server Manager)

1. Server Manager öffnen > Datei- und Speicherdienste > Freigaben
2. Auf “Tasks” klicken > “Neue Freigabe”
3. Profil wählen: SMB-Freigabe – Schnell ist für die meisten Fälle richtig
4. Pfad angeben (z.B. D:\Freigaben\Projekte)
5. Freigabename vergeben (z.B. Projekte) – der Name, den die User als \\server\Projekte sehen
6. Optionale Features: “Access-Based Enumeration” aktivieren (empfohlen, siehe unten)
7. Berechtigungen konfigurieren

Variante 2: PowerShell

Für die meisten Admins schneller und scriptefähig:

# Ordner anlegen
New-Item -ItemType Directory -Path "D:\Freigaben\Projekte"

# Freigabe erstellen
# Share-Berechtigung: Alle authentifizierten Benutzer dürfen rein (NTFS steuert den Rest)
New-SmbShare `
  -Name "Projekte" `
  -Path "D:\Freigaben\Projekte" `
  -FullAccess "Authentifizierte Benutzer" `
  -Description "Projektdateien aller Abteilungen"

# NTFS-Berechtigung setzen: Gruppe "Mitarbeiter" bekommt "Aendern"
$acl = Get-Acl "D:\Freigaben\Projekte"
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule(
  "FIRMA\Mitarbeiter",
  "Modify",
  "ContainerInherit,ObjectInherit",
  "None",
  "Allow"
)
$acl.SetAccessRule($rule)
Set-Acl -Path "D:\Freigaben\Projekte" -AclObject $acl

# Freigaben auflisten
Get-SmbShare

# Wer ist aktuell verbunden?
Get-SmbSession

# Einzelne Freigabe anzeigen
Get-SmbShare -Name "Projekte"

# Freigabe entfernen
Remove-SmbShare -Name "Projekte" -Force

Netzlaufwerk verbinden (Client-seitig)

rem Dauerhaft als Laufwerk Z: verbinden
net use Z: \\server01\Projekte /persistent:yes

rem Mit anderen Zugangsdaten verbinden
net use Z: \\server01\Projekte /user:FIRMA\mmuster /persistent:yes

Oder per PowerShell:

New-PSDrive -Name "Z" -PSProvider FileSystem -Root "\\server01\Projekte" -Persist

Per GPO lassen sich Netzlaufwerke für alle User oder bestimmte Gruppen automatisch verbinden – das ist der sauberere Weg in einer AD-Umgebung. Mehr dazu auf der GPO-Seite.

Das A-G-DL-P-Modell: Berechtigungen skalierbar aufbauen

Wenn du nur einen Ordner und drei User hast, kannst du Berechtigungen direkt auf User setzen. Sobald es mehr wird, brauchst du eine Struktur. Das bewährte Modell heisst A-G-DL-P:

Konkret: Anstatt den User “Maria Meier” direkt in die NTFS-ACL zu schreiben, machst du das so:

1. Maria ist Mitglied der Global Group GG-Buchhaltung
2. GG-Buchhaltung ist Mitglied der Domain Local Group DL-Projekte-Buchhaltung-Aendern
3. DL-Projekte-Buchhaltung-Aendern hat auf D:\Freigaben\Projekte\Buchhaltung die NTFS-Berechtigung “Ändern”

Wenn jetzt eine neue Kollegin in die Buchhaltung kommt, fügst du sie einfach zur Global Group GG-Buchhaltung hinzu – fertig. Keine Berechtigungen auf Ordnerebene anfassen.

Access-Based Enumeration (ABE) – verstecken, was der User nicht sehen darf

Standardmässig kann ein User im Explorer alle Ordner sehen, auch wenn er keinen Zugriff hat – er bekommt beim Öffnen nur eine Fehlermeldung. Das ist nicht nur unschön, sondern gibt auch Einblick in die Ordnerstruktur.

Access-Based Enumeration versteckt Ordner, auf die ein User keine Leseberechtigung hat – er sieht sie schlicht nicht. Aktivieren per GUI oder PowerShell:

# ABE fuer eine bestehende Freigabe aktivieren
Set-SmbShare -Name "Projekte" -FolderEnumerationMode AccessBased

# Status prüfen
Get-SmbShare -Name "Projekte" | Select-Object Name, FolderEnumerationMode

SMB-Verschlüsselung: Übertragung absichern

Seit SMB 3.0 (Windows Server 2012) lässt sich der Datentransfer zwischen Client und Server verschlüsseln – ohne zusätzliche IPsec-Konfiguration. Das schützt vor Abhören im Netzwerk, besonders relevant in WAN-Verbindungen oder bei sensiblen Daten.

# Verschlüsselung für eine einzelne Freigabe erzwingen
Set-SmbShare -Name "Projekte" -EncryptData $true

# Verschlüsselung serverweit erzwingen (alle Freigaben)
Set-SmbServerConfiguration -EncryptData $true

# Aktuellen Status prüfen
Get-SmbServerConfiguration | Select-Object EncryptData
Get-SmbShare | Select-Object Name, EncryptData

Windows Server 2022 und Windows 11 unterstützen AES-256-GCM als stärksten Algorithmus – er wird automatisch ausgehandelt, wenn beide Seiten ihn können.

Troubleshooting: Die häufigsten Probleme

”Zugriff verweigert” – obwohl Berechtigungen gesetzt sind

Das ist der Klassiker. Vorgehen:

1. Share-Berechtigungen prüfen: Rechtsklick auf freigegebenen Ordner > Eigenschaften > Freigabe > Erweiterte Freigabe > Berechtigungen
2. NTFS-Berechtigungen prüfen: Rechtsklick > Eigenschaften > Sicherheit > Bearbeiten
3. Kombination: Erinnere dich – es gilt immer die restriktivere Ebene
4. Gruppenmitgliedschaft prüfen: Ist der User in der richtigen AD-Gruppe? Wurde er neu hinzugefügt und hat sich noch nicht neu angemeldet?

# Gruppenmitgliedschaft eines Users prüfen
Get-ADUser -Identity "mmuster" -Properties MemberOf | Select-Object -ExpandProperty MemberOf

# Effektive Berechtigungen auf einem Ordner prüfen (via icacls)
icacls "D:\Freigaben\Projekte"

# Berechtigungen einer Freigabe anzeigen
Get-SmbShareAccess -Name "Projekte"

Nach einer Gruppenänderung im AD muss sich der User neu anmelden – das Kerberos-Token mit den Gruppenmitgliedschaften wird erst beim Login neu ausgestellt.

Freigabe nicht erreichbar / Name wird nicht aufgelöst

rem Ist der Server überhaupt erreichbar?
ping server01

rem Ist Port 445 offen?
Test-NetConnection -ComputerName server01 -Port 445

rem DNS-Auflösung prüfen
nslookup server01

Wenn Port 445 (SMB) durch die Windows-Firewall blockiert wird, hilft:

# Firewall-Regel für SMB aktivieren (wenn versehentlich deaktiviert)
Enable-NetFirewallRule -DisplayGroup "Datei- und Druckerfreigabe"

Netzlaufwerk verbindet nach Neustart nicht mehr

Häufige Ursache: Die Verbindung wurde mit net use /persistent:yes gesetzt, aber das Laufwerk ist beim Systemstart noch nicht erreichbar (Netzwerk nicht fertig initialisiert). Lösung: Netzlaufwerke per GPO-Logon-Skript oder GPO “Drive Mapping” verbinden – das greift erst, wenn Netzwerk und AD erreichbar sind.

Event-Log: Wo stehen die Fehler?

# SMB-Fehler im Event Log finden
Get-WinEvent -LogName "Microsoft-Windows-SMBServer/Operational" |
  Where-Object { $_.LevelDisplayName -eq "Error" } |
  Select-Object TimeCreated, Message |
  Select-Object -First 20

Snapshot: Berechtigungsstruktur für ein typisches KMU

Hier ein konkretes Beispiel, wie eine saubere Freigabestruktur für eine Firma mit drei Abteilungen aussehen könnte:

\\fileserver\Firma\          ← Freigabe "Firma"
  ├── Allgemein\             ← Alle Mitarbeiter: Lesen
  ├── Buchhaltung\           ← Nur Buchhaltung: Ändern
  ├── IT\                    ← Nur IT: Ändern
  └── Geschäftsleitung\      ← Nur GL: Ändern, andere: kein Zugriff (ABE versteckt)

AD-Gruppen:

Share-Berechtigung: Authentifizierte Benutzer – Vollzugriff (einmal, für alle)

Schattenkopien (VSS): Self-Service-Wiederherstellung für User

Der Volume Shadow Copy Service (VSS) legt in regelmässigen Abständen Punkt-in-Zeit-Snapshots eines ganzen Volumes an. User können darüber selbst auf frühere Versionen einer Datei zugreifen – ohne dass die IT ein Backup-Tape einlegen muss. Für den Alltag (“Ich habe die Excel-Datei versehentlich überschrieben, ich brauche den Stand von gestern”) ist das der schnellste Weg zurück zu den Daten.

Aktivieren tust du Schattenkopien pro Volume, nicht pro Freigabe:

1. Datenträgerverwaltung öffnen (oder Explorer > Rechtsklick auf Laufwerk > Eigenschaften)
2. Reiter “Schattenkopien” > Volume auswählen > “Aktivieren”
3. Über “Einstellungen” den Speicherbereich (Diff Area) und den Zeitplan anpassen

Der Standard-Zeitplan legt zweimal täglich einen Snapshot an (07:00 und 12:00 Uhr) – für die meisten Fileserver ein guter Ausgangspunkt, den du je nach Änderungsfrequenz nachjustieren solltest.

:: Schattenkopie manuell erstellen (z.B. vor einer Migration)
vssadmin create shadow /for=D:

:: Alle vorhandenen Schattenkopien eines Volumes auflisten
vssadmin list shadows /for=D:

:: Speicherbereich begrenzen, z.B. maximal 10% des Volumes fuer Snapshots
vssadmin resize shadowstorage /for=D: /on=D: /maxsize=10%

:: Aelteste Schattenkopie manuell loeschen, wenn der Speicherbereich voll laeuft
vssadmin delete shadows /for=D: /oldest

Für den User ist die Wiederherstellung denkbar einfach: Rechtsklick auf Datei oder Ordner > Eigenschaften > Reiter “Vorherige Versionen” (unter Windows 10/11 auch über den Explorer-Verlauf erreichbar). Das funktioniert für Netzlaufwerke genauso wie lokal.

Erweiterte Zugriffsauditierung (SACL): Wer hat wann was geöffnet, geändert oder gelöscht?

Die bisherigen Berechtigungen (DACL – Discretionary Access Control List) regeln, wer darf. Für viele Compliance-Anforderungen (Datenschutz, Revision, Nachvollziehbarkeit bei Buchhaltungs- oder Personaldaten) brauchst du zusätzlich eine Antwort auf wer hat wann tatsächlich zugegriffen. Dafür gibt es die SACL (System Access Control List) – die Audit-Einträge eines Objekts.

Auditierung braucht zwei Schalter, die beide gesetzt sein müssen:

1. Die Audit-Richtlinie (systemweit oder per GPO), die überhaupt festlegt, dass Dateisystemzugriffe protokolliert werden
2. Die SACL auf dem konkreten Ordner, die festlegt, für wen und welche Aktionen protokolliert wird

# Schritt 1: Audit-Subkategorie "Dateisystem" aktivieren (Erfolg + Fehlversuche)
auditpol /set /subcategory:"Dateisystem" /success:enable /failure:enable

# Status pruefen
auditpol /get /subcategory:"Dateisystem"

Per GPO liegt dieselbe Einstellung unter Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Objektzugriff > “Dateisystem überwachen”.

# Schritt 2: SACL auf einen sensiblen Ordner setzen
# Beispiel: Loeschungen durch "Jeder" protokollieren (Erfolg)
$path = "D:\Freigaben\Projekte\Buchhaltung"
$acl = Get-Acl -Path $path -Audit
$auditRule = New-Object System.Security.AccessControl.FileSystemAuditRule(
  "Jeder",
  "Delete,DeleteSubdirectoriesAndFiles",
  "ContainerInherit,ObjectInherit",
  "None",
  "Success"
)
$acl.AddAuditRule($auditRule)
Set-Acl -Path $path -AclObject $acl

Die Treffer landen im Sicherheitsprotokoll und lassen sich über die Ereignisanzeige auswerten – wichtige Event-IDs sind 4656 (Handle auf Objekt angefordert), 4663 (tatsächlicher Zugriff, z.B. Lesen/Schreiben/Löschen) und 4660 (Objekt gelöscht).

File Server Resource Manager (FSRM): Kontingente, Dateiscreening, Speicherberichte

FSRM ist die Verwaltungsrolle für alles, was über reine Freigaben und Berechtigungen hinausgeht: Speicherplatz begrenzen, unerwünschte Dateitypen blockieren und regelmässige Auswertungen über die Datenmenge erzeugen.

# Rollendienst installieren
Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools

Kontingente (Quotas)

Ein Kontingent begrenzt den Speicherplatz eines Ordners – hart (Schreiben wird blockiert) oder weich (nur Warnung, kein Blockieren). Vorlagen erleichtern die einheitliche Anwendung über viele Ordner hinweg.

# Verfuegbare Kontingent-Vorlagen anzeigen
Get-FsrmQuotaTemplate

# Hartes Kontingent von 10 GB auf einem Abteilungsordner setzen
New-FsrmQuota -Path "D:\Freigaben\Projekte\Marketing" -Size 10GB `
  -Description "Marketing-Ordner, hartes Limit 10 GB"

# Bestehende Kontingente auflisten
Get-FsrmQuota

Dateiscreening

Blockiert das Speichern bestimmter Dateitypen auf einer Freigabe – klassisches Beispiel: keine Mediendateien auf dem Projektlaufwerk.

# Verfuegbare Dateigruppen ansehen
Get-FsrmFileGroup

# Aktives Screening: Audio-/Videodateien auf der Freigabe blockieren
New-FsrmFileScreen -Path "D:\Freigaben\Projekte" -Active `
  -IncludeGroup "Audio and Video Files" `
  -Description "Keine Mediendateien auf dem Projektlaufwerk"

# Ausnahme fuer einen Unterordner, z.B. Marketing darf Videos ablegen
New-FsrmFileScreenException -Path "D:\Freigaben\Projekte\Marketing" `
  -IncludeGroup "Audio and Video Files"

Speicherberichte

Zeigen z.B. die grössten Dateien, doppelte Dateien oder die Kontingentauslastung – ideal, um vor einer Migration oder einem Storage-Upgrade eine Entscheidungsgrundlage zu haben.

# Interaktiven Bericht ueber grosse Dateien (>100 MB) erzeugen
New-FsrmStorageReport -Name "Grosse Dateien" -Namespace @("D:\Freigaben") `
  -ReportType @("LargeFiles") -LargeFileMinimum 100MB -Interactive

Wiederkehrende Speicherberichte (z.B. jeden Montagmorgen automatisch per E-Mail) richtest du am schnellsten über die FSRM-Konsole unter “Speicherberichte verwalten > Zeitplan für Speicherberichte” ein.

DFS-Namespace (DFS-N) und DFS-Replikation (DFS-R): Freigaben bündeln und synchron halten

Sobald mehr als ein Fileserver im Spiel ist – etwa weil ein Standort dazukommt oder ein Server aus Kapazitätsgründen aufgeteilt wird – wird \\server01\Projekte, \\server02\Buchhaltung für die User schnell unübersichtlich. DFS-Namespace (DFS-N) löst das, indem er einen einzigen virtuellen Pfad wie \\firma.local\Freigaben bereitstellt, der im Hintergrund transparent auf die tatsächlichen Server verweist. DFS-Replikation (DFS-R) hält die Inhalte mehrerer Server dabei synchron.

# Rollendienste installieren
Install-WindowsFeature FS-DFS-Namespace, FS-DFS-Replication -IncludeManagementTools

# Domain-basierten Namespace anlegen
New-DfsnRoot -Path "\\firma.local\Freigaben" -TargetPath "\\fs01\Freigaben" -Type DomainV2

# Ordner im Namespace anlegen, der auf eine reale Freigabe zeigt
New-DfsnFolder -Path "\\firma.local\Freigaben\Projekte" -TargetPath "\\fs01\Projekte"

# Zweites Ziel fuer Redundanz bzw. Standortnaehe hinzufuegen
New-DfsnFolderTarget -Path "\\firma.local\Freigaben\Projekte" -TargetPath "\\fs02\Projekte"

Mit einem zweiten Ziel allein sind die Daten aber noch nicht identisch – dafür braucht es eine Replikationsgruppe:

# Replikationsgruppe zwischen fs01 und fs02 fuer den Ordner "Projekte" einrichten
New-DfsReplicationGroup -GroupName "RG-Projekte" |
  New-DfsReplicatedFolder -FolderName "Projekte" |
  Add-DfsrMember -ComputerName "fs01", "fs02"

Set-DfsrMembership -GroupName "RG-Projekte" -FolderName "Projekte" `
  -ComputerName "fs01" -ContentPath "D:\Freigaben\Projekte" -PrimaryMember $true

Set-DfsrMembership -GroupName "RG-Projekte" -FolderName "Projekte" `
  -ComputerName "fs02" -ContentPath "D:\Freigaben\Projekte"

Add-DfsrConnection -GroupName "RG-Projekte" -SourceComputerName "fs01" -DestinationComputerName "fs02"

Da domain-basierte Namespaces auf AD-Sites aufbauen können (“Site Costing”), verweist DFS-N Clients bevorzugt an den Server im eigenen Standort – Grundlage dafür ist die AD-Standortstruktur, siehe Active Directory – Grundlagen.

Serverumzug mit Robocopy: Migrationsstrategien inklusive ACL-Erhalt

Wenn Daten von einem alten auf einen neuen Fileserver umziehen, ist Robocopy (Robust File Copy) nach wie vor das Standardwerkzeug – kostenlos, in Windows enthalten und in der Lage, NTFS-Berechtigungen, Besitzer und Zeitstempel mitzunehmen, wenn man die richtigen Schalter setzt.

Bewährte zweistufige Strategie für minimale Downtime:

:: Durchlauf 1: waehrend der Server noch produktiv laeuft (kann Stunden/Tage dauern)
robocopy \\fs01\Projekte \\fs02\Projekte /E /COPYALL /DCOPY:DATS /ZB /MT:16 /R:3 /W:5 /LOG:C:\Migration\Projekte_Pass1.log /TEE

:: Durchlauf 2: kurz vor dem Cutover, im Wartungsfenster, nur noch die Aenderungen
robocopy \\fs01\Projekte \\fs02\Projekte /MIR /COPYALL /DCOPY:DATS /ZB /MT:16 /R:1 /W:1 /LOG:C:\Migration\Projekte_Final.log /TEE

Erst der zweite, kurze Lauf mit /MIR erzwingt echte Konsistenz – der erste Lauf holt bereits 95%+ der Daten rüber, während niemand gestört wird.

Nach der Migration lohnt sich eine Stichprobenkontrolle der Berechtigungen:

icacls "D:\Freigaben\Projekte" /save C:\Migration\acl_quelle.txt /T
icacls "E:\Freigaben\Projekte" /save C:\Migration\acl_ziel.txt /T
Compare-Object (Get-Content C:\Migration\acl_quelle.txt) (Get-Content C:\Migration\acl_ziel.txt)

Robocopy läuft am zuverlässigsten mit einem Konto, das lokaler Administrator auf beiden Servern ist – so gehen auch Ordner mit eingeschränkten ACLs (z.B. Personal, Geschäftsleitung) sauber mit.

Always Offline und Work Folders: Freigaben für Laptop- und Homeoffice-User

Netzlaufwerke sind praktisch, solange die Verbindung zum Fileserver steht. Für Laptop-User, die viel unterwegs oder im Homeoffice arbeiten, gibt es zwei Microsoft-Technologien, die Dateien lokal zwischenspeichern und im Hintergrund synchronisieren:

Always Offline-Modus (klassische Offline-Dateien)

Standardmässig wechseln Offline-Dateien nur bei einer erkannten langsamen Verbindung in den Cache-Modus. Der Always Offline-Modus erzwingt das dauerhaft – der Client arbeitet immer aus dem lokalen Cache und synchronisiert im Hintergrund, was gleichzeitig die Anzahl der SMB-Roundtrips (und damit die Latenz bei langsamen Verbindungen) drastisch reduziert.

Per GPO aktivieren: Computerkonfiguration > Richtlinien > Administrative Vorlagen > Netzwerk > Offlinedateien > “Always Offline-Modus konfigurieren” = Aktiviert.

# Freigabe fuer Offline-Nutzung vorbereiten: alle Dateien/Programme werden zwischengespeichert
Set-SmbShare -Name "Projekte" -CachingMode Documents

Work Folders

Work Folders ist die modernere, sync-basierte Alternative und läuft über einen eigenen Rollendienst:

# Rollendienst installieren
Install-WindowsFeature FS-SyncShareService -IncludeManagementTools

# Sync-Share anlegen: verweist auf eine Ordnerstruktur mit einem Unterordner pro User
New-SyncShare -Name "Homefolders-Sync" -Path "D:\WorkFolders" `
  -User "FIRMA\Mitarbeiter" -RequireEncryption $true -RequirePasswordAutoLock $true

Clients finden den Work-Folders-Server idealerweise automatisch über einen DNS-SRV-Eintrag (_workfolders._tcp) oder werden per GPO/Autodiscover verbunden. Anders als klassische Offline-Dateien funktioniert Work Folders auch über das Internet (HTTPS, kein VPN nötig) und auf iOS/Android – allerdings nicht auf macOS oder Linux.

Zusammenhang mit anderen Themen

Dateifreigaben sind selten isoliert – sie hängen eng mit folgenden Bereichen zusammen:

• Active Directory – Grundlagen: User, Gruppen und Standorte, die du in ACLs und für DFS-Site-Costing verwendest, kommen aus dem AD
• Active Directory – User & Gruppen: Konkret: Gruppen anlegen und User zuweisen für das A-G-DL-P-Modell
• Group Policy (GPO) – Grundlagen: Netzlaufwerke, Always-Offline-Modus und Audit-Richtlinien per GPO ausrollen
• Windows Server – Backup & Restore: Was nützt die schönste Berechtigungsstruktur, wenn keine Backups laufen?
• Backup-Strategie: die 3-2-1-Regel: Warum Schattenkopien allein kein Backup-Konzept sind
• Windows-Ereignisanzeige: Wo die Treffer aus der SACL-Auditierung landen und wie du sie auswertest
• IT-Security-Grundlagen für KMU: Auditierung und Zugriffskontrolle im grösseren Sicherheitskontext
• Windows Failover Cluster – Grundlagen: Wenn Hochverfügbarkeit wichtiger ist als das, was DFS-R leisten kann
• PowerShell – IT-Alltag: Berechtigungen, Freigaben und ACLs per Skript verwalten

Weiterlernen

• Freigabe- und NTFS-Berechtigungen – Microsoft Learn (de)
• SMB-Sicherheitsverbesserungen – Microsoft Learn (de)
• New-SmbShare – PowerShell-Referenz
• Set-SmbShare – PowerShell-Referenz
• NTFS Permissions Best Practices – Netwrix (en)
• Best Practices zur Verwaltung von NTFS-Berechtigungen – WindowsPro.de
• DFS-Namespace erstellen – Microsoft Learn (en)
• DFSN-Modul – PowerShell-Referenz (en)
• Volumeschattenkopie-Dienst (VSS) – Microsoft Learn (de)
• FileServerResourceManager-Modul – PowerShell-Referenz (en)
• Robocopy – Referenz (Microsoft Learn, de)
• Work Folders – Übersicht – Microsoft Learn (en)

Videos

YouTube

YouTube