Zutritt – Berechtigungsbericht für Dateifreigaben (NTFS und SMB)

Zugriffsrechte anzeigen: Wer darf worauf zugreifen – und warum?

Auf gewachsenen Fileservern ist oft schwer zu sehen, wer wohin darf: Rechte hängen an verschachtelten Gruppen, die Vererbung ist irgendwo unterbrochen, verschobene Ordner haben ihre alten Rechte mitgenommen. Für eine regelmäßige Berechtigungsprüfung braucht es trotzdem eine klare Antwort und einen Nachweis, etwa einen NTFS-Berechtigungsbericht zum Abzeichnen.

Als Berechtigungsanalyse für Fileserver beantwortet Zutritt genau diese Frage – wer darf worauf zugreifen, und warum – für Admins und Prüfer, die die Antwort regelmäßig brauchen, ohne eine neue Plattform einzuführen. Nicht zu verwechseln mit einer Zutrittskontrolle für Türen: Zutritt prüft Zugriffsrechte auf Dateifreigaben.

Funktionen des Berechtigungsberichts

• NTFS- und Freigabeberechtigungen auslesen

  Eine Freigabe, ein ganzer Server, lokale Ordner oder alle Freigaben dieses PCs. Abzweigungen (Junctions) werden vermerkt, aber nicht verfolgt.

• Effektive Berechtigungen wie Windows

  Gespeicherte Reihenfolge der Einträge (auch nicht kanonische), Verweigern-Einträge, Vererbung, OWNER RIGHTS und Freigabe mit NTFS zusammen – in der Testsuite gegen die Zugriffsprüfung von Windows geprüft.

• Gruppen bis zur Person

  Lokale Konten und Gruppen des Servers und, auf Rechnern in einer Domäne, Active Directory – verschachtelt, mit Schutz vor Zyklen.

• Wer darf hier rein? Wohin darf diese Person?

  Pro Ordner jede Person mit effektivem Recht und Gruppenkette; pro Person jeder erreichbare Ordner – auch über verschachtelte Gruppen und deaktivierte Konten.

• 15 Prüfregeln mit Empfehlung

  Breite Gruppe darf schreiben, verwaiste SID, Recht direkt an eine Person, Vollzugriff für Nicht-Admins, versteckte Vererbungsbrüche, verschobene Ordner, Einträge in falscher Reihenfolge – jeweils mit Erklärung und Empfehlung.

• Vergleich mit dem letzten Lauf

  Neue und erledigte Befunde, geänderte ACL-Einträge und Gruppenmitgliedschaften – und wer jetzt mehr oder weniger darf.

• Excel und PDF zum Abzeichnen

  Filterbare Excel-Arbeitsmappe mit jedem Eintrag; PDF mit Deckblatt, Zusammenfassung, Befunden und einem Block für „Geprüft von“, Datum, Unterschrift und Bemerkungen.

• Befehlszeile und geplante Aufgaben

  Zutritt.exe scan mit Vergleich und Bericht, Exitcodes 0–3 für das Monitoring – etwa jeden Montag früh per Aufgabenplanung. Befehle und Optionen gibt es deutsch und englisch.

Berechtigungen auswerten: die 15 Prüfregeln

ACL-Befunde meldet Zutritt dort, wo ein Eintrag ausdrücklich gesetzt ist – nicht noch einmal an jedem Ordner, der ihn erbt.

Für Berechtigungsprüfungen und Audits

Regelmäßige Prüfungen der Zugriffsrechte werden in GMP-Umgebungen (EU GMP Annex 11), nach ISO/IEC 27001 (Maßnahme A.5.18 „Zugangsrechte“) und unter NIS2 erwartet. Zutritt liefert den Nachweis: was geprüft wurde, von wem, wann, mit welchem Ergebnis und was sich seit dem letzten Mal geändert hat – und eine Seite zum Unterschreiben.

Zutritt ist kein validiertes System und macht keine Compliance-Zusage. Es ist ein Analysewerkzeug, das nur liest; wie es in einem regulierten Prozess qualifiziert und eingesetzt wird, entscheidet der Betreiber.

Umstieg von kommerziellen Berechtigungs-Reportern: Zutritt als Alternative

Wer Berechtigungen auf Dateifreigaben bisher mit einem kommerziellen Berechtigungs-Reporter auswertet, findet in Zutritt ein Werkzeug für dieselbe Aufgabe: zeigen, wer auf welchen Ordner zugreifen darf. Zutritt bietet dafür:

• Freigabe- und NTFS-Berechtigungen zusammen, effektive Rechte wie Windows sie berechnet – gegen die Zugriffsprüfung von Windows getestet
• Gruppen bis zur einzelnen Person: lokale Konten und Gruppen des Servers und Active Directory der eigenen Domäne, verschachtelt
• 15 Prüfregeln mit Erklärung und Empfehlung und den Vergleich mit dem letzten Lauf
• Excel-Arbeitsmappe mit Filtern und PDF mit Block zum Abzeichnen
• nur lesend, ohne Server, Agent oder Dienst; Befehlszeile mit Exitcodes für geplante Aufgaben
• kostenlos unter der MIT-Lizenz, ohne Lizenzschlüssel, ohne Lizenzserver und ohne Telemetrie

Was Umsteiger wissen sollten: Zutritt läuft nur unter Windows 10 ab Version 1809 und Windows 11 (x64), löst Active Directory nur für die Domäne des prüfenden PCs auf und ist dabei bisher nur gegen ein simuliertes Verzeichnis getestet. Es überwacht nicht dauerhaft und ändert keine Rechte.

Systemvoraussetzungen

Betriebssystem

Windows 10 ab Version 1809 oder Windows 11, x64 – nur Windows, weil NTFS, Freigaben und Active Directory nur dort lesbar sind

.NET

nicht nötig für die MSI und Zutritt.exe; das ZIP braucht die .NET 10 Desktop Runtime

Rechte

ein Konto, das die gewünschten Berechtigungen lesen darf; Freigabeberechtigungen brauchen Administratorrechte auf dem Server

Active Directory

optional, wenn der prüfende PC Mitglied der Domäne ist

Sprache

Oberfläche, Befehlszeile und Berichte auf Deutsch, Englisch, Spanisch, Französisch und Chinesisch (die letzten drei maschinell übersetzt, noch nicht von Muttersprachlern gegengelesen)

Grenzen, ehrlich gesagt

• Vorabversion, noch nicht signiert: SmartScreen kann warnen; die Downloads lassen sich über SHA256SUMS.txt prüfen.
• Active Directory nur für die eigene Domäne des prüfenden PCs; Gruppen aus vertrauten Domänen werden genannt, aber nicht aufgelöst. Bisher gegen ein simuliertes Verzeichnis getestet, noch nicht in einer echten Domäne.
• Im Zweifel zeigt Zutritt mehr Zugriff, nicht weniger: bedingte Erlaubnisse zählen, bedingte Verweigerungen nicht, nicht lesbare Freigaberechte bedeuten „nur NTFS“.
• Dateien werden nur mit --dateien geprüft, und dann nur solche mit eigenen Rechten.
• Sehr große Berichte werden mit sichtbarem Hinweis gekürzt – das PDF früher als die Excel-Arbeitsmappe.
• Kein Dauer-Monitoring und keine Auswertung von Dateizugriffen; Rechte ändert Zutritt bewusst nicht.