Dynamic Access Control: Zugriff über Claims steuern

Dynamic Access Control (DAC) ist eine Funktion von Windows Server, mit der Sie den Zugriff auf Dateien über Eigenschaften steuern, zusätzlich zu Gruppen. Eine Regel kann etwa lauten: Dateien mit der Einstufung „Vertraulich“ und der Abteilung „Finanzen“ dürfen nur Beschäftigte der Finanzabteilung öffnen, und nur von einem verwalteten Firmengerät aus. Grundlage sind Ansprüche (Claims) über Benutzer und Geräte, Eigenschaften der Dateien und zentrale Zugriffsrichtlinien aus dem Active Directory.

Unten steht, wie DAC aufgebaut ist, wie Sie es einrichten, wo es an Grenzen stößt und was heute in der Cloud an seine Stelle tritt.

Das Problem, das DAC löst

Klassische NTFS-Berechtigungen hängen an Gruppen. Für jede Kombination aus Abteilung, Standort und Vertraulichkeit braucht es eine eigene Gruppe, und jede Freigabe muss einzeln gepflegt werden. In größeren Umgebungen entstehen so Hunderte Gruppen, deren Zweck niemand mehr kennt. Ein Beschäftigter, der die Abteilung wechselt, behält oft alte Rechte.

DAC dreht die Logik um. Sie beschreiben Bedingungen: Wenn die Abteilung des Benutzers der Abteilung der Datei entspricht und das Gerät ein Firmengerät ist, gibt es Lesezugriff. Ändert sich die Abteilung im Active Directory, ändert sich der Zugriff automatisch.

Die Bausteine

Die Dateiklassifizierung übernimmt die File Classification Infrastructure (FCI) des Ressourcen-Managers für Dateiserver. Sie kann Dateien nach Ordner, Inhalt oder regulären Ausdrücken einstufen, etwa jede Datei mit einer Kreditkartennummer.

So richten Sie Dynamic Access Control ein

1. Voraussetzungen prüfen: Domänencontroller ab Windows Server 2012, Dateiserver ab Windows Server 2012 mit dem Ressourcen-Manager für Dateiserver. Für Geräteansprüche müssen auch die Clients Windows 8 oder neuer sein.
2. Kerberos-Schutz aktivieren: Per Gruppenrichtlinie für die Domänencontroller die Unterstützung für Ansprüche und Kerberos Armoring (FAST) einschalten.
3. Anspruchstypen anlegen: Im Active-Directory-Verwaltungscenter unter „Dynamische Zugriffssteuerung“ die Attribute wählen, die als Ansprüche dienen, etwa department oder country.
4. Ressourceneigenschaften festlegen: zum Beispiel Vertraulichkeit mit den Werten Niedrig, Mittel, Hoch.
5. Zentrale Zugriffsregeln schreiben: Bedingungen aus Benutzer, Gerät und Ressource kombinieren.
6. Zentrale Zugriffsrichtlinie erstellen und verteilen: per Gruppenrichtlinie an die Dateiserver.
7. Auf Ordner anwenden: In den erweiterten Sicherheitseinstellungen eines Ordners die zentrale Richtlinie zuweisen.
8. Erst testen: Regeln können zunächst als vorgeschlagene Berechtigungen laufen. Das Überwachungsprotokoll zeigt dann, wer betroffen wäre, ohne den Zugriff zu ändern.

Eine Beispielregel in der Bedingungssprache von Windows sieht so aus:

(@USER.department == @RESOURCE.Department)
  && (Member_of {SID(Firmengeraete)})

Ein Beispiel aus der Praxis

Ein Unternehmen mit Standorten in Deutschland und Österreich speichert Personalakten auf einem Dateiserver. Bisher gab es pro Standort und Abteilung eine Gruppe, insgesamt über 40 Gruppen allein für die Personalordner.

Mit DAC legt die IT zwei Ansprüche an, department und country, und eine Ressourceneigenschaft „Personaldaten“. Die Dateiklassifizierung markiert alle Dateien im Ordner „Personal“ automatisch. Eine einzige zentrale Zugriffsregel lautet: Zugriff auf Personaldaten nur für Benutzer der Abteilung Personal, deren Land dem Land der Datei entspricht, und nur von Firmengeräten. Wechselt eine Personalreferentin von Wien nach München, ändert die Personalabteilung das Land in ihrem Konto. Ihr Zugriff folgt automatisch.

Zugriffe nachvollziehen

Zentrale Zugriffsrichtlinien lassen sich mit Überwachungsrichtlinien kombinieren. Dann protokolliert der Dateiserver Zugriffe auf Dateien mit bestimmten Eigenschaften, etwa jeden Lesezugriff auf vertrauliche Daten. Für Audits ist das hilfreich, weil Sie nicht für jeden Ordner eine eigene Überwachung einrichten müssen.

DAC, RBAC und ABAC im Vergleich

Windows DAC ist im Kern eine Umsetzung der attributbasierten Zugriffskontrolle für Dateiserver. Wie ABAC allgemein funktioniert, steht im Beitrag ABAC mit Beispielen, die rollenbasierte Variante unter RBAC einführen.

Wann sich DAC lohnt

• Sie betreiben weiterhin lokale Dateiserver mit vielen Freigaben.
• Die Zugriffe hängen an Merkmalen wie Abteilung, Land oder Projekt, die im Active Directory gepflegt sind.
• Sie wollen vertrauliche Dateien automatisch erkennen und schützen, ohne jeden Ordner einzeln zu prüfen.
• Prüfer fragen nach nachvollziehbaren Regeln für den Zugriff auf sensible Daten.

Wer fast alle Dateien bereits in SharePoint Online und OneDrive hat, investiert die Zeit besser in bedingten Zugriff und Vertraulichkeitsbezeichnungen.

Grenzen von Dynamic Access Control

• Nur lokale Dateiserver: DAC wirkt auf Freigaben von Windows Server, nicht auf SharePoint Online, OneDrive oder Teams.
• Saubere Attribute nötig: Wenn Abteilung und Standort im Active Directory nicht gepflegt sind, entscheiden die Regeln falsch.
• Wenig Weiterentwicklung: Microsoft hat DAC seit Windows Server 2012 R2 kaum ausgebaut. Neue Funktionen für Datenklassifizierung entstehen in Microsoft Purview.
• Fehlersuche: Wenn ein Zugriff verweigert wird, zeigt der Reiter „Effektiver Zugriff“ in den Sicherheitseinstellungen, welche Regel greift. Ohne dieses Werkzeug wird die Suche mühsam.

Dynamische Zugriffskontrolle in der Cloud

Die Idee hinter DAC, also Zugriff nach Kontext, lebt in der Cloud weiter. Microsoft Entra ID setzt sie mit bedingtem Zugriff um: Der Zugriff auf eine Anwendung hängt von Benutzer, Gerät, Standort und Risiko ab. Vertraulichkeitsbezeichnungen in Microsoft Purview übernehmen die Rolle der Dateiklassifizierung und schützen Dokumente auch außerhalb des Unternehmens. Mehr zu bedingtem Zugriff im Beitrag Richtlinien für bedingten Zugriff.

Ein Baustein bleibt gleich: Die Bedingung „nur von einem verwalteten Firmengerät“ setzt voraus, dass Sie wissen, welche Geräte verwaltet und geschützt sind.

Auch die IT-Konsole braucht klare Rechte

Wer Zugriffe auf Dateien sauber regelt, sollte dasselbe für die Werkzeuge der IT tun. In der Geräteverwaltung kann ein Konto mit vollen Rechten Software auf jedes Gerät bringen.

trio.so ist kein Werkzeug für Dateiserver. In der Konsole vergeben Sie Rechte über integrierte und eigene Rollen, schützen Konten mit Multi-Faktor-Anmeldung und zeigen für jedes Gerät, ob es verschlüsselt ist und welche Richtlinien greifen.