Ordner- und Dateiberechtigungen mit den Systembefehlen "takeown" und "icacls" ändern!

Jedes Laufwerk (SSD, HDD,u.a.), jeder Ordner und jede Datei unter Windows besitzt Rechte bzw., Berechtigungen, die festlegen, wer auf einen Speicherort zugreifen bzw. eine Datei öffnen oder ändern darf.

Der Zugriff auf diese Rechteverwaltung erfolgt in der Regel über den Windows-Explorer oder einen anderen Datei-Manager.

Über das Kontextmenü einer Datei oder eines Ordners und den Befehl Eigenschaften gelangst du zum Register "Sicherheit", wo du Änderungen an den Datei- und Ordnerrechten vornehmen kannst.

Wenn du nur ein paar Änderungen an Zugriffsrechten vornehmen möchtest, dann ist der Weg über diese Art der Rechteverwaltung OK.

Solltest du jedoch etwas häufiger Änderungen an Dateizugriffsrechten vornehmen, dann ist es effektiver, Systembefehle wie "Takeown" und "Icacls" zu nutzen, die du auf der Kommandozeile (Eingabeaufforderung) ausführen kannst.

Mit dem Befehl Takeown übernimmst du den Besitz des Ordners bzw. des Laufwerkes, was notwendig ist, um überhaupt erst einmal Änderungen an den Rechten von Dateien und Ordnern vornehmen zu können.

Hast du den Besitz übernommen, dann kannst du mit dem Befehl Icacls die nötigen Rechte vergeben.

Für alle, die sich noch nicht so sehr mit der Rechteverwaltung von Dateien und Ordnern unter Windows befasst haben, kurz eine kleine Erläuterung, wozu eine Rechteverwaltung gut ist.

Über die Rechteverwaltung legst du fest, was ein Benutzer mit dieser Datei oder diesem Ordner anstellen darf.

Dabei sprechen wir von Berechtigungen.

Unter Berechtigungen werden ganz allgemein die Zugriffsrechte auf Dateien und Verzeichnisse (Ordner) verstanden, die sich auf deinem PC oder Notebook befinden.

Die wichtigsten Berechtigungen haben wir dir hier mit einer kurzen Erläuterung aufgelistet.

Eine ausführliche Beschreibung mit Erläuterungen und Tabellenübersicht aller Windows-Berechtigungen findest du auch auf folgender Seite.

Berechtigungen unter Windows

Die Benutzergruppe oder der Benutzer hat vollen Zugriff und kann jede Datei in diesem Ordner löschen.

Die Benutzergruppe bzw. der Benutzer hat fast die gleichen Berechtigungen wie beim Vollzugriff, außer dass Änderungen an den Rechten nicht vorgenommen werden können und der Ordner bzw. Unterordner in diesem Ordner nicht gelöscht werden kann.

Diese Option ist nur für Dateien gültig.

Die Benutzergruppe oder der Benutzer hat das Recht eine Datei mit dem dazugehörigen Programm zu öffnen und zu lesen. Es können jedoch keine Änderungen vorgenommen werden.

Ist die Datei ein ausführbares Programm, wie beispielsweise eine exe-Datei, dann können User mit dieser Berechtigung Programminstallationen, die über exe-Dateien ausgelöst werden, durchführen.

Diese Option ist nur für Ordner (Verzeichnisse) zuständig.

Die Benutzergruppe oder der Benutzer hat das Recht in einen Ordner hineinzuschauen, sich den Inhalt des Ordners auflisten zu lassen.

Die Benutzergruppe oder der Benutzer hat das Recht eine Datei zu lesen oder den Ordnerinhalt aufzulisten.

Es können aber keine in dem Ordner befindlichen ausführbaren Programme gestartet werden.

Die Benutzergruppe oder der Benutzer hat das Recht Dateien und Ordner zu erstellen, aber nicht zu löschen.

Um die beiden Befehle Takeown und Icacls ohne Einschränkungen ausführen zu können, musst du die Kommandozeile, wo diese beiden Befehle ausgeführt werden mit administrativen Rechten öffnen.

Das geht am schnellsten über das Kontextmenü (Rechtsklick) des Startbuttons.

Hier wählst du dann den Menübefehl "Eingabeaufforderung (Administrator)", um die Befehlszeile von Windows mit administrativen Rechten zu nutzen.

Vielleicht möchtest du dir ja vor der Nutzung der Befehle Takeown und Icacls erst einmal ein paar Infos zu den Befehlen anzeigen lassen?

Wenn ja, dann kannst du dir über den Parameter /? Informationen zu den Optionen des Befehl auflisten lassen.

Dabei werden dir nicht nur die zur Verfügung stehenden Optionen aufgelistet, sondern auch Beispiele, wie du diese Befehle anwenden solltest.

Ein klein wenig weiter unten haben wir dir die Optionen für diese beiden Befehl mal aufgelistet.

Möchtest du beispielsweise die Rechte für einen Ordner neu festlegen, dann kannst du das folgendermaßen tun.

Unser Beispielordner ist der Ordern Downloads auf dem Laufwerk D:.

Zuerst übernimmst du den Besitz des Ordners durch Eingabe des folgenden Befehls.

takeown /f D:/Downloads /r /d y

Über den Parameter /f übergibst du den Ordner, dessen Besitz du übernehmen möchtest.

Über den Parameter /r bestimmst du, dass alle Daten und Ordner in Unterverzeichnissen mit einbezogen werden.

Über den Parameter /d y gibst du dir die Berechtigung Dateien aufzulisten.

Nun vergibst du die Rechte auf diesen Ordner.

icacls D:Downloads /grant Administratoren:F /t /c /l /q

Zuerst übergibst du dem Befehl Icacls den Ordner, dessen Rechte geändert werden sollen.

Der Parameter /grant Administratoren:F gibt der Gruppe der Administratoren den Vollzugriff.

Der Parameter /t legt fest, dass alle Unterverzeichnisse und der Dateien einbezogen werden.

Der Parameter /c legt fest, dass bei auftretenden Fehlern der Befehl fortgesetzt wird, aber die Fehlermeldungen weiterhin angezeigt werden.

Der Parameter /l ist eine systeminterne Funktion, die das Ziel als symbolischen Link behandelt.

Wenn du dir also vorher ein paar Gedanken darüber machst, was du genau ändern möchtest, dann sparen dir die Befehl Takeown und Icacls eine Menge Zeit und Klicks, wenn es um Änderungen an Datei- und Ordnerberechtigungen geht.

Im Folgenden kurz die Auflistung der Optionen der beiden Befehle.

TAKEOWN [/S System [/U Benutzername [/P [Kennwort]]]] /F Dateiname [/A] [/R [/D Aufforderung]]

Beschreibung:

Dieses Tool ermöglicht einem Administrator das Wiederherstellen des Zugriffs auf eine Datei, für die der Zugriff durch erneutes Zuweisen des Besitzers verweigert wurde.

Parameterliste:

/S System

Bestimmt das Remotesystem mit dem eine Verbindung hergestellt werden soll.

/U [Domäne\]Benutzer

Bestimmt den Benutzerkontext, unter dem der Befehl ausgeführt werden soll.

/P [Kennwort]

Gibt das Kennwort für den jeweiligen Benutzerkontext an. Zeigt eine Eingabeaufforderung an, wenn keine Eingabevorgenommen wurde.

/F Dateiname

Gibt das Dateinamen- oder Verzeichnisnamenmuster an.

Platzhalter "*" können verwendet werden, um das Muster anzugeben.

Ermöglicht die Angabe von Freigabename\ Dateiname.

/A

Überträgt die Besitzrechte an die Gruppe Administratoren" anstelle des aktuellen Benutzers.

/R

Rekursiv: Weist das Tool zur Bearbeitung von Dateien im angegebenen Verzeichnis und allen Unterverzeichnissen an.

/D Aufforderung

Standardantwort, die verwendet wird, wenn der aktuelle Benutzer nicht die Berechtigung "Ordner auflisten" für ein Verzeichnis hat.

Tritt bei der rekursiven Bearbeitung (/R) von Unterverzeichnissen auf.

Gültige Werte sind "Y" zum Übernehmen der Besitzrechte oder "N" zum Auslassen dieses Schrittes.

/SKIPSL

Keiner symbolischen Verknüpfung folgen.

Nur mit "/R" zulässig.

/?

Zeigt die Hilfemeldung an.

HINWEIS:

1) Wenn "/A" nicht angegeben wird, werden die Besitzrechte für die Datei dem derzeit angemeldeten Benutzer übertragen.

2) Gemischte Muster mit "?" und "*" werden nicht unterstützt.

3) "/D" wird verwendet, um die Bestätigungsaufforderung zu unterdrücken.

Beispiele:

TAKEOWN /?

TAKEOWN /F Dateiname

TAKEOWN /F \\system\share\lostfile /A

TAKEOWN /F directory /R /D N

TAKEOWN /F directory /R /A

TAKEOWN /F *

TAKEOWN /F C:\Windows\System32\acme.exe

TAKEOWN /F %windir%\*.txt

TAKEOWN /S System /F EigeneFreigabe\Acme*.doc

TAKEOWN /S System /U Benutzer /F

EigeneFreigabe\EigeneBinärdatei.dll TAKEOWN /S System /U Domäne\Benutzer /P Kennwort /F

Freigabe\Dateiname TAKEOWN /S System /U Benutzer /P Kennwort /F

Dokumente\Report.doc /A TAKEOWN /S System /U Benutzer /P Kennwort /F

EigeneFreigabe\* TAKEOWN /S System /U Benutzer /P Kennwort /F

Startseite\Anmelden /R TAKEOWN /S System /U Benutzer /P Kennwort /F

EigeneFreigabe\Verzeichnis /R /A

ICACLS name /save aclfile [/T] [/C] [/L] [/Q] Speichert die DACLs für die Dateien und Ordner mit übereinstimmendem Namen zur späteren Verwendung mit "/restore" in der ACL-Datei.

SACLs, Besitzer oder Integritätsbezeichnungen werden nicht gespeichert.

ICACLS Verzeichnis [/substitute SidOld SidNew [...]] /restore aclfile /C] [/L] [/Q]

Wendet die gespeicherten ACLs auf die Dateien im Verzeichnis an.

ICACLS name /setowner user [/T] [/C] [/L] [/Q]

Ändert den Besitzer für alle übereinstimmenden Namen. Diese Option erzwingt keine Änderung der Besitzrechte. Verwenden Sie dazu das Hilfsprogramm "takeown.exe".

ICACLS name /findsid Sid [/T] [/C] [/L] [/Q]

Findet alle übereinstimmenden Namen, die eine ACL enthalten, in der die SID explizit erwähnt wird.

ICACLS name /verify [/T] [/C] [/L] [/Q]

Findet alle Dateien, deren ACL kein kanonisches Format aufweist oder deren Länge nicht mit der ACE-Anzahl übereinstimmt.

ICACLS name /reset [/T] [/C] [/L] [/Q]

Ersetzt die ACLs für alle übereinstimmenden Dateien durch standardmäßige vererbte ACLs.

ICACLS name [/grant[:r] Sid:perm[...]] [/deny Sid:perm [...]] [/remove[:g|:d]] Sid[...]] [/T] [/C] [/L] [/Q] [/setintegritylevel Level:policy[...]]

/grant[:r] Sid:perm

gewährt die angegebenen Benutzerzugriffsrechte.

Mit :r ersetzen die Berechtigungen alle zuvor gewährten expliziten Berechtigungen. Ohne :r, werden die Berechtigungen beliebigen zuvor gewährten expliziten Berechtigungen hinzugefügt.

/deny Sid:perm verweigert die angegebenen Benutzerzugriffsrechte explizit.

Eine explizit verweigerte ACE wird für die angegebenen Berechtigungen hinzugefügt, und die gleichen Berechtigungen in einer expliziten Berechtigung werden entfernt.

/remove[:[g|d]] Sid

entfernt alle Vorkommen gewährter Rechten für diese SID.

Mit :g, werden alle Vorkommen von gewährten Rechten für diese entfernt.

Mit :d, werden alle Vorkommen von verweigerten Rechten für diese SID entfernt.

/setintegritylevel [(CI)(OI)]Level

fügt allen übereinstimmenden Dateien explizit eine Integritäts-ACE hinzu. Die Ebene wird mit einem der folgenden Werte angegeben:

L[ow]

M[edium]

H[igh]

Vererbungsoptionen für die Integritäts-ACE können vor der Ebene stehen und werden nur auf Verzeichnisse angewendet.

/inheritance:e|d|r

e - aktiviert die Vererbung.

d - deaktiviert die Vererbung und kopiert die ACEs.

r - entfernt alle vererbten ACEs.

Hinweis:

SIDs können im numerischen Format oder als Anzeigenamen angegeben werden.

Fügen Sie beim numerischen Format ein * am Anfang der SID hinzu.

/T gibt an, dass dieser Vorgang für alle übereinstimmenden Dateien/Verzeichnisse ausgeführt wird, die den im Namen angegebenen Verzeichnissen untergeordnet sind.

/C gibt an, dass dieser Vorgang bei allen Dateifehlern fortgesetzt wird. Fehlermeldungen werden weiterhin angezeigt.

/L gibt an, dass dieser Vorgang für einen symbolischen Link anhand seines Ziels ausgeführt wird.

/Q gibt an, dass ICACLS Erfolgsmeldungen unterdrücken soll.

ICACLS behält die kanonische Sortierung der ACE-Einträge bei:

Explizite Verweigerungen

Explizite Berechtigungen

Vererbte Verweigerungen

Vererbte Berechtigungen

perm ist eine Berechtigungsmaske und kann in einem von zwei Formaten angegeben werden:

Eine Folge von einfachen Rechten:

N - Kein Zugriff

F - Vollzugriff

M - Änderungszugriff

RX - Lese- und Ausführungszugriff

R - Schreibgeschützter Zugriff

W - Lesegeschützter Zugriff

D - Löschzugriff

Eine in Klammern stehende kommagetrennte Liste von bestimmten Rechten:

DE - Löschen

RC - Lesesteuerung

WDAC - DAC schreiben

WO - Besitzer schreiben

S - Synchronisieren AS - Systemsicherheitszugriff

MA - Maximal zulässig

GR - Allgemeiner Lesezugriff

GW - Allgemeiner Schreibzugriff

GE - Allgemeiner Ausführungszugriff

GA - Allgemeiner Zugriff (alle)

RD - Daten lesen/Verzeichnis auflisten

WD - Daten schreiben/Datei hinzufügen

AD - Daten anfügen/Unterverzeichnis hinzufügen

REA - Erweiterte Attribute lesen

WEA - Erweiterte Attribute schreiben

X - Ausführen/Durchsuchen

DC - Untergeordnetes Element löschen

RA - Attribute lesen

WA - Attribute schreiben

Die Vererbungsrechte können beiden Formaten vorangestellt werden und werden nur auf Verzeichnisse angewendet:

(OI) - Objektvererbung

(CI) - Containervererbung

(IO) - Nur vererben

(NP) - Vererbung nicht verteilen

(I) - Vom übergeordneten Container vererbte Berechtigung

Beispiele:

icacls c:\windows\* /save AclFile /T

Speichert die ACLs für alle Dateien unter "c:\windows" und in den dazugehörigen Unterverzeichnissen in der ACL.

icacls c:\windows\ /restore AclFile

Stellt die ACLs für alle Dateien in der ACL-Datei wieder her, die unter "c:\windows" und in den dazugehörigen Unterverzeichnissen vorhanden sind.

icacls file /grant Administrator:(D,WDAC)

Gewährt dem Benutzer mit Administratorrechten die Berechtigungen "DAC löschen" und "DAC schreiben" für die Datei.

icacls file /grant *S-1-1-0:(D,WDAC)

Gewährt dem durch die SID S-1-1-0 definierten Benutzer die Berechtigungen "DAC löschen" und "DAC schreiben" für die Datei.

Mit dem Wissen unseres heutigen Tutorials zu den Befehlen Takeown und Icacls wirst du in Zukunft hoffentlich keine umständlichen Berechtigungseinstellungen mehr über die Konfigurationsfenster der Dateien und Ordner durchführen, sondern effektiv mit diesen beiden wichtigen Systembefehlen arbeiten.

Achtung:

Du kannst bei falscher Anwendung der Befehlsoptionen auch Schaden anrichten. Deshalb ist es wichtig, dir vorher die Auswirkungen der angewendeten Parameter zur Änderung von Dateiberechtigungen genau zu überleben. Für Fehler und den Folgen übernehmen wir keinerlei Haftung!

Hier findest du noch ein paar weitere Seiten, die vielleicht interessant für dich sind.