NTFS-Berechtigungen vom Fileserver in SharePoint abbilden

WISSEN Alles zu CosyTrack.Drive: SharePoint, Teams und OneDrive als Laufwerksbuchstaben, am Arbeitsplatz und auf dem Terminalserver. › CosyTrack.Drive	BERATUNG Dein Rechtekonzept wurzelt noch im Jahr 2009? Wir räumen mit dir auf und testen das Ergebnis im Pilot. › Beratung zu CosyTrack.Drive	SCHULUNG Onboarding für Admins: Laufwerksquellen, Rechte pro Laufwerk, Richtlinien und Admin-Kit. › Schulung und Onboarding für CosyTrack.Drive

 

Die kurze Antwort: NTFS-Berechtigungen lassen sich nicht sauber 1:1 in SharePoint abbilden, und du solltest es auch gar nicht versuchen. SharePoint kennt Berechtigungsstufen statt NTFS-Einzelrechte, keine Verweigern-Einträge und eine Vererbung von der Website über die Bibliothek bis zur Datei. Die Migrationswerkzeuge von Microsoft übernehmen nur Lesen, Schreiben und Vollzugriff, verwerfen explizites Verweigern und erzeugen bei tief verschachtelten Rechten eine Unmenge eindeutiger Berechtigungen. Besser: Bilde vor dem Umzug Berechtigungskreise und lege die Rechte auf Ebene von Website und Bibliothek fest. Ordner mit eigenen Rechten bleiben die dokumentierte Ausnahme.

Jeder Fileserver, der älter als drei Admins ist, trägt Spuren. Da gibt es den Ordner „Nur_GL“, auf den die Geschäftsleitung längst keinen Zugriff mehr hat, weil jemand 2017 die Vererbung unterbrochen und die falsche Gruppe entfernt hat. Da gibt es den Verweigern-Eintrag für einen Praktikanten, der inzwischen Abteilungsleiter ist. Und da gibt es die Datei, auf die nur der Administrator zugreifen kann, und das auch nur, weil er vorher den Besitz übernommen hat. Die Versuchung ist groß, dieses Erbe einfach mitzunehmen. Schließlich hat es ja irgendwie funktioniert. Dieser Beitrag zeigt dir, warum das in SharePoint eine Zeitbombe ist und wie du es besser machst.

Der Artikel richtet sich an Admins vor der Migration. Er geht nicht auf das ganze Thema Fileserver-Ablösung ein, sondern nur auf die Rechte. Wie du ein Abteilungslaufwerk insgesamt ablöst, ohne dass die Belegschaft rebelliert, steht in Abteilungslaufwerk ablösen ohne Kulturschock. Wie lange Fileserver und SharePoint nebeneinander laufen dürfen, klärt Fileserver und SharePoint parallel betreiben.

NTFS und SharePoint: ähnliche Ebenen, andere Regeln

Auf den ersten Blick sehen beide Welten verwandt aus. Hier wie dort gibt es Container, Vererbung und die Möglichkeit, die Vererbung zu unterbrechen. Der Teufel steckt, wie so oft, in den Einzelrechten.

Auf dem Fileserver: Freigabe plus NTFS

Auf dem Fileserver wirken zwei Schichten zusammen: die Freigabeberechtigung für den Zugriff über das Netzwerk und die NTFS-Berechtigungen auf Ordnern und Dateien. Wirksam ist die strengere Kombination. NTFS bietet neben den Standardrechten wie Lesen, Schreiben, Ändern und Vollzugriff eine ganze Palette erweiterter Einzelrechte, etwa „Unterordner und Dateien löschen“ oder „Berechtigungen ändern“. Dazu kommen Zulassen- und Verweigern-Einträge, wobei ein Verweigern in der Regel ein Zulassen schlägt. Die Vererbung lässt sich an jedem Ordner und jeder Datei unterbrechen. Das ist mächtig und genau deshalb gefährlich: Nichts hindert dich daran, in der siebten Ordnerebene noch eine Ausnahme einzubauen.

In SharePoint: Website, Bibliothek, Ordner, Datei

SharePoint arbeitet mit Berechtigungsstufen, die mehrere Einzelrechte bündeln. Die bekanntesten sind Vollzugriff, Bearbeiten, Mitwirken und Lesen. Eine Teamwebsite bringt drei Standardgruppen mit: Besitzer mit Vollzugriff, Mitglieder mit Bearbeiten und Besucher mit Lesen. Bei Websites, die mit einem Team oder einer Microsoft-365-Gruppe verbunden sind, ergeben sich Besitzer und Mitglieder aus der Gruppenmitgliedschaft. Die Bibliothek erbt standardmäßig von der Website, Ordner und Dateien erben von der Bibliothek. Du kannst die Vererbung auf jeder Ebene unterbrechen, dann entsteht dort ein eigener Berechtigungsbereich.

Eine Eigenheit, die Fileserver-Admins gern übersehen: Auch Freigaben erzeugen eigene Berechtigungen. Teilt jemand eine einzelne Datei oder einen Ordner per Link oder mit bestimmten Personen, unterbricht SharePoint an dieser Stelle die Vererbung. Die Rechtelandschaft verändert sich also auch nach dem Umzug weiter, und zwar durch die Belegschaft selbst. Welche Freigaben erlaubt sind, regelst du über die Freigabeeinstellungen von SharePoint und der einzelnen Website.

Merkmal	Fileserver mit NTFS	SharePoint in Microsoft 365
Rechte-Einheit	Einzelrechte und Standardrechte, frei kombinierbar	Berechtigungsstufen wie Vollzugriff, Bearbeiten, Mitwirken, Lesen
Verweigern	Explizite Verweigern-Einträge möglich	Keine Verweigern-Einträge auf Website, Bibliothek, Ordner oder Datei
Oberste Ebene	Freigabe plus NTFS auf dem Stammordner	Website mit Besitzern, Mitgliedern, Besuchern
Vererbung	An jedem Ordner und jeder Datei unterbrechbar	Auf Bibliothek, Ordner, Datei unterbrechbar; ab 100.000 Elementen nicht mehr
Berechtigte	Benutzer und AD-Gruppen, auch verschachtelt	Benutzer, SharePoint-Gruppen, Sicherheitsgruppen und Microsoft-365-Gruppen aus Entra ID
Einzelfreigaben	Gibt es nicht, nur ACL-Einträge	Freigabelinks und Personenfreigaben, jeweils mit eigener Berechtigung

 

FAKTEN · Was Microsoft offiziell festlegt Pro Liste oder Bibliothek unterstützt SharePoint bis zu 50.000 Elemente mit eindeutigen Berechtigungen, die empfohlene allgemeine Grenze liegt bei 5.000. Enthält eine Liste, Bibliothek oder ein Ordner mehr als 100.000 Elemente, kannst du dort die Vererbung weder unterbrechen noch wiederherstellen. Auf einzelnen Elementen darunter geht es weiterhin, bis zur Grenze der eindeutigen Berechtigungen. Pro Website sind bis zu 10.000 SharePoint-Gruppen möglich, jede mit bis zu 5.000 Benutzern.

 

Warum die 1:1-Übernahme tief verschachtelter Rechte keine gute Idee ist

Technisch kannst du die Rechte beim Umzug mitnehmen. Das SharePoint Migration Tool und der Migration Manager von Microsoft haben dafür die Einstellung „Preserve file share permissions“, also das Beibehalten der Dateifreigabeberechtigungen. Die Frage ist nur, was dabei herauskommt.

Was bei der Übernahme verloren geht

Microsoft beschreibt in der Dokumentation zu Datei- und Ordnerberechtigungen beim SharePoint Migration Tool sehr genau, was passiert. Übernommen werden drei Arten von Berechtigungen: Lesen, Schreiben und Vollzugriff. Spezielle Berechtigungen wie Verweigern werden nicht gespeichert. Die Migrationsanleitung für Dateifreigaben ergänzt: Nach der Migration bestimmt die strengste Kombination aus Freigabe- und NTFS-Recht die endgültige Berechtigung, und alle erweiterten NTFS-Berechtigungen werden entfernt. Microsoft warnt ausdrücklich, dass Inhalte, die bisher per Verweigern geschützt waren, danach zugänglich werden können.

Recht auf der Dateifreigabe	Rolle in SharePoint nach der Migration
Vollzugriff	Vollzugriff
Ändern	Mitwirken
Schreiben	Mitwirken
Lesen, Ausführen	Lesen
Ordnerinhalt anzeigen	Lesen
Lesen	Lesen
Verweigern	wird nicht übernommen
Erweiterte Einzelrechte	werden entfernt

 

WARNUNG · Verweigern ist die gefährlichste Lücke Hast du sensible Unterordner bisher nach dem Muster „Abteilung darf alles, außer Gruppe X hier“ geschützt, ist dieser Schutz nach der Übernahme weg. Gruppe X erbt dann die Rechte des übergeordneten Ordners. Prüfe vor der Migration gezielt alle Verweigern-Einträge und ersetze sie durch eine positive Struktur: eigene Bibliothek oder eigene Website für den geschützten Inhalt.

 

Was dazukommt: eindeutige Berechtigungen ohne Ende

Jeder Ordner und jede Datei mit eigenen NTFS-Einträgen wird in SharePoint zu einem Element mit eindeutigen Berechtigungen. Bei einer gewachsenen Abteilungsfreigabe sind das schnell Tausende. Die empfohlene Grenze von 5.000 pro Bibliothek ist dann kein theoretischer Wert mehr. Hinzu kommt die Grenze von 100.000 Elementen: Wächst eine Bibliothek darüber hinaus, kannst du auf ihrer Ebene die Vererbung nicht mehr wiederherstellen. Wer also denkt, er räume nach dem Umzug in Ruhe auf, räumt womöglich mit angezogener Handbremse auf.

Dazu kommt die Benutzerzuordnung. Damit Rechte überhaupt übertragen werden können, muss es zu jedem lokalen Konto eine Entsprechung in Microsoft Entra ID geben, in der Regel über die Verzeichnissynchronisierung. Gibt es keine Zuordnung, bekommen die Dateien die Standardrechte des Zielorts. Verwaiste SIDs von längst ausgeschiedenen Kolleginnen und Kollegen reisen also bestenfalls nicht mit und erzeugen schlimmstenfalls Fehler im Bericht.

Und dann ist da noch der Mensch

Selbst wenn alles technisch klappt: Die Belegschaft sieht im Browser, in Teams und im Explorer plötzlich Ordner, die sie nicht öffnen darf, oder vermisst Ordner, die sie früher hatte. Niemand kann erklären, warum, weil niemand mehr weiß, wer 2014 welche Ausnahme gesetzt hat. In SharePoint ist so etwas zudem schwerer zu überblicken als auf dem Fileserver, weil die Rechte über Website, Bibliothek, Ordner, Datei und Freigabelinks verteilt sind. Das Ergebnis heißt dann Helpdesk-Ticket, und zwar in Serie.

AUS DER PRAXIS · Filialisierter Lebensmittelbetrieb Das Abteilungslaufwerk des Einkaufs hatte Ausnahmen bis in die sechste Ordnerebene, darunter mehrere Verweigern-Einträge für Filialleitungen. Ein Testlauf mit beibehaltenen Rechten zeigte das Problem sofort: Die Verweigern-Einträge waren weg, die Konditionsordner damit für mehr Leute sichtbar als vorgesehen. Am Ende entstanden zwei Websites, eine für den gesamten Einkauf und eine für die Leitung, jeweils mit einfachen Bibliotheksrechten. Die Ordnerausnahmen ließ man beim Fileserver zurück, wo sie in Frieden ruhen dürfen.

 

Der Weg mit Bordmitteln: Rechte auf Bibliotheksebene vereinfachen

Die Empfehlung ist unspektakulär und gerade deshalb wirksam: Rechte gehören in SharePoint auf die Ebene von Website und Bibliothek. Wer etwas anderes sehen oder ändern darf als die anderen, bekommt eine eigene Bibliothek oder eine eigene Website, nicht einen Ordner mit Sonderrechten. Microsoft unterstützt diese Arbeitsweise ausdrücklich: Ist „Preserve file share permissions“, also das Beibehalten der Dateifreigabeberechtigungen, ausgeschaltet, erben die migrierten Dateien die Berechtigungen der Zielbibliothek.

Schritt für Schritt zum einfachen Rechtekonzept

1. Bestand erheben. Exportiere die Berechtigungen der Quelle, etwa mit icacls oder mit PowerShell und Get-Acl. Interessant sind vor allem Ordner mit unterbrochener Vererbung, Verweigern-Einträge und Einträge für einzelne Benutzer statt Gruppen.

2. Inhalte prüfen. Lass den Scan des SharePoint Migration Tools mit der Einstellung „Only perform scanning“ laufen, also nur prüfen statt migrieren. Er zeigt dir unter anderem Probleme mit Pfadlängen und Dateinamen, die du ohnehin vor dem Umzug beheben musst.

3. Berechtigungskreise bilden. Frag nicht „wer hat heute welche Rechte?“, sondern „wer muss künftig was sehen und ändern?“. Meist bleiben pro Abteilung zwei bis vier Kreise übrig: alle, die Leitung, Mitleser aus anderen Bereichen und gelegentlich ein vertraulicher Kreis.

4. Zielstruktur festlegen. Jeder Kreis bekommt eine Bibliothek oder eine Website. Vertrauliches wie Personal oder Verträge kommt besser auf eine eigene Website, weil dort auch Besitzer, Suche und Freigaberegeln getrennt sind.

5. Gruppen statt Personen berechtigen. Berechtige die Standardgruppen Besitzer, Mitglieder und Besucher oder bei Teams die Gruppenmitgliedschaft. Synchronisierte Sicherheitsgruppen aus dem Active Directory kannst du ebenfalls verwenden.

6. Ausnahmen bewusst entscheiden. Bleibt ein Ordner mit eigenen Rechten unvermeidlich, dokumentiere ihn mit Grund und Verantwortlichen. Wenige Ausnahmen sind beherrschbar, Hunderte nicht.

7. Migrationseinstellung wählen. Für ein neu gebautes Konzept schaltest du die Übernahme der Dateifreigabeberechtigungen aus, damit die Dateien die Rechte der Zielbibliothek erben. Lässt du sie an, gelten Microsofts Regeln für Stammordner und Unterordner, und die Rechte des Quell-Stammordners können die der Zielbibliothek ersetzen.

8. Mit echten Konten prüfen. Teste mit Konten aus jedem Kreis, ob sie genau das sehen, was sie sehen sollen. In den erweiterten Berechtigungen einer Website hilft die Prüfung der Berechtigungen, um für eine Person oder Gruppe die wirksame Stufe anzuzeigen.

TIPP · Freigabelinks gleich mitdenken Ein schlankes Rechtekonzept hält nur, wenn die Belegschaft es nicht am ersten Tag mit Freigabelinks zerlegt. Lege fest, welche Freigabeart standardmäßig angeboten wird und ob Freigaben nach außen pro Website erlaubt sind. Für vertrauliche Websites ist eine strengere Einstellung sinnvoll.

 

Quelle auf dem Fileserver	Ziel in SharePoint	Rechte
\\fs01\Einkauf (ganze Abteilung)	Website „Einkauf“, Bibliothek „Dokumente“	Mitglieder: Einkauf, Besucher: Controlling
\\fs01\Einkauf\Lieferanten	Bibliothek „Lieferanten“ auf derselben Website	Erbt von der Website
\\fs01\Einkauf\Verträge (nur Leitung)	Website „Einkauf Leitung“	Mitglieder: Leitung Einkauf
\\fs01\Einkauf\Reklamationen\nur_Leitung	Bibliothek „Reklamationen“ auf der Leitungswebsite	Erbt, keine Ordnerausnahme
\\fs01\Einkauf\Archiv_alt	Bleibt zunächst auf dem Fileserver oder wird archiviert	Entscheidung nach Aufbewahrungsregeln

 

WICHTIG · Pfadlänge und Struktur hängen zusammen Wenn du aus Ordnern mit Sonderrechten eigene Bibliotheken machst, wird die Struktur oft flacher. Das hilft nebenbei bei der 400-Zeichen-Grenze für Pfade in SharePoint. Details stehen in Pfad zu lang: die 400-Zeichen-Grenze in SharePoint.

 

Wer die Struktur gemeinsam mit den Fachbereichen erarbeiten will, findet in der SharePoint-Beratung Unterstützung für Informationsarchitektur und Berechtigungskonzept. Weitere Grundlagen zu Websites, Bibliotheken und Governance sammelt der Kompetenzbereich SharePoint.

Der Weg mit CosyTrack.Drive: Rechte kommen aus SharePoint

Nach dem Umzug stellt sich die Frage, wie die Belegschaft mit den neuen Bibliotheken arbeitet. CosyTrack.Drive bindet SharePoint- und Teams-Bibliotheken sowie OneDrive als Windows-Laufwerksbuchstaben ein, am Arbeitsplatz genauso wie auf dem Terminalserver, wo jeder Benutzer seine eigenen Laufwerke bekommt. Für das Rechtekonzept ist dabei ein Punkt entscheidend: Drive verwaltet keine eigenen Berechtigungen auf Dateien. Was jemand lesen oder ändern darf, entscheidet SharePoint. Dein aufgeräumtes Konzept aus dem vorigen Abschnitt gilt also im Laufwerk genauso wie im Browser und in Teams.

Pro Laufwerk strenger, nie großzügiger

In Drive legst du pro Laufwerk fest, ob es nur lesend oder lesend und schreibend eingebunden wird. Schreiben umfasst Speichern, Umbenennen, Löschen und Ordner anlegen. Diese Einstellung kann die SharePoint-Rechte nur weiter einschränken. Wer in SharePoint lediglich Lesen hat, kann über ein lesend und schreibend eingebundenes Laufwerk trotzdem nichts ändern. Wer in SharePoint Bearbeiten hat, kann auf einem nur lesend eingebundenen Laufwerk ebenfalls nichts ändern. Ausführlich beschreibt das Nur lesen oder schreiben – Rechte pro Laufwerk.

Praktisch heißt das: Du brauchst für ein Nachschlagelaufwerk keine zweite Rechtestruktur in SharePoint. Ein QM-Handbuch, Vorlagen oder ein Archiv kannst du für das ganze Team als nur lesendes Laufwerk einbinden, während die Verantwortlichen in SharePoint weiterhin bearbeiten dürfen, etwa über ein eigenes, lesend und schreibend eingebundenes Laufwerk oder im Browser. Die Konfiguration verteilst du per Gruppenrichtlinie oder Intune, für Tests gibt es zusätzlich die Konfigurations-App, siehe CosyTrack.Drive per GPO und Intune steuern.

Neben dem Zugriffsmodus pro Laufwerk siehst du in den Einstellungen auch die Schreibeinstellungen für den ganzen Rechner. Wichtig für dein Rechtekonzept: Auch diese Schalter erweitern nichts, was SharePoint nicht erlaubt.

Laufwerksquellen, die dem Rechtekonzept folgen

Ein einfaches Rechtekonzept auf Website- und Bibliotheksebene passt gut zu den Laufwerksquellen von Drive. Eine feste Bibliothek erscheint unter einem festen Buchstaben, etwa S: für die Bibliothek der Abteilung. Die Teams-Automatik bindet die Teams einer Person ein und wird regelmäßig aktualisiert, auf Wunsch auch manuell. Die Website-Suche fasst zugängliche Websites der ersten Ebene unter einem Buchstaben zusammen, standardmäßig nur Teamwebsites. Und Projektlaufwerke lassen sich aus einer SharePoint-Liste per Filter bilden, etwa über ein Personenfeld mit dem angemeldeten Benutzer. Das eigene OneDrive kommt zum Beispiel auf O:. Wie die Teams-Variante aussieht, zeigt Teams-Dateien als Laufwerk im Explorer, die Listen-Variante steht in Projektlaufwerke aus einer SharePoint-Liste.

Gerade weil Drive die Rechte aus SharePoint übernimmt, lohnt sich die Vereinfachung doppelt: Wenn Berechtigungskreise und Bibliotheken übereinstimmen, ergibt sich daraus fast von selbst, welche Gruppe welchen Laufwerksbuchstaben bekommt. Wie du die Buchstaben verteilst, beschreibt Laufwerksbuchstaben-Konzept: wer bekommt welchen Buchstaben?. Für die Ablösung alter Anmeldeskripte lies Anmeldeskripte mit net use ablösen.

Aufgabe	Mit Bordmitteln	Mit CosyTrack.Drive
Wer darf lesen und ändern?	SharePoint-Berechtigungen auf Website und Bibliothek	Unverändert SharePoint, Drive übernimmt sie
Team soll nur lesen, Verantwortliche bearbeiten	Eigene Berechtigungsstufen oder getrennte Gruppen in SharePoint	Gleiche SharePoint-Rechte, Laufwerk für das Team nur lesend
Abteilungsbibliothek als Laufwerk	Synchronisierung, Verknüpfung oder Explorer-Ansicht	Feste Bibliothek als Laufwerksbuchstabe
Verteilung	Richtlinien für den Sync-Client, Skripte	GPO oder Intune, Konfigurations-App für Tests
Einsatzort	Je nach Weg unterschiedlich gut	Arbeitsplatz und Terminalserver gleichwertig

 

WARNUNG · Drive ist kein Umzugswagen Den Rechte-Export, das neue Konzept und den Massenumzug erledigt Drive nicht. Für den Umzug vom Fileserver nach SharePoint ist CosyTrack.Migrate zuständig. Erkennt Drive eine Massenkopie, weist es darauf hin. Die Abgrenzung beschreibt Drive oder Migrate – Arbeiten ist nicht Umziehen.

 

Im Pilot prüfen, ob Rechte und Laufwerke zusammenpassen

Plane für den Pilot Konten aus jedem Berechtigungskreis ein und prüfe drei Dinge: Sieht jede Person die richtigen Laufwerke, sind nur lesende Laufwerke wirklich nur lesend, und scheitert ein Schreibversuch dort, wo SharePoint nur Lesen erlaubt. Das nachvollziehbare Logging von Drive hilft dir, Vorgänge im Pilot zu belegen. Das Admin-Kit liefert dazu Verbindungsprüfung, Bereitschaftscheck mit Bericht und Stresstest mit Bericht als Abnahmeprotokoll. Die Installation läuft per MSI, ein Ersteinrichtungs-Assistent hilft beim Start, und nach der Installation gibt es einen Testzeitraum. Den gesamten Ablauf beschreibt der Einführungsfahrplan für CosyTrack.Drive.

Wenn du dein Rechtekonzept mit uns gegen die Laufwerksplanung halten willst oder ein Angebot brauchst, ist die Beratung zu CosyTrack.Drive der richtige Startpunkt. Wie Drive auf dem Sitzungshost eingesetzt wird, steht in SharePoint als Laufwerk auf dem Terminalserver, für den Arbeitsplatz in SharePoint als Netzlaufwerk am Arbeitsplatz einbinden.

WEITERLESEN · Passt zum Thema › Nur lesen oder schreiben – Rechte pro Laufwerk › Abteilungslaufwerk ablösen ohne Kulturschock › Fileserver und SharePoint parallel betreiben › Drive oder Migrate – Arbeiten ist nicht Umziehen › Pfad zu lang: die 400-Zeichen-Grenze in SharePoint › Fileserver abschaffen: was kostet das, was spart das?

 

FAQ: NTFS-Berechtigungen und SharePoint

Kann ich NTFS-Berechtigungen 1:1 nach SharePoint übernehmen?

Nur eingeschränkt. Die Werkzeuge von Microsoft übernehmen Lesen, Schreiben und Vollzugriff, verwerfen Verweigern-Einträge und entfernen erweiterte NTFS-Rechte. Bei tief verschachtelten Rechten entstehen außerdem sehr viele eindeutige Berechtigungen. Ein neues, einfaches Konzept ist fast immer besser.

Was passiert mit Verweigern-Einträgen bei der Migration?

Sie werden nicht übernommen. Inhalte, die bisher nur durch ein Verweigern geschützt waren, können danach für mehr Personen sichtbar sein. Ersetze solche Konstruktionen vorher durch eine eigene Bibliothek oder Website.

Wie viele eindeutige Berechtigungen verträgt eine Bibliothek?

Microsoft unterstützt bis zu 50.000 Elemente mit eindeutigen Berechtigungen pro Liste oder Bibliothek und empfiehlt als allgemeine Grenze 5.000.

Warum kann ich die Vererbung auf meiner Bibliothek nicht mehr ändern?

Enthält eine Liste, Bibliothek oder ein Ordner mehr als 100.000 Elemente, lässt SharePoint dort das Unterbrechen und Wiederherstellen der Vererbung nicht mehr zu. Einzelne Elemente darunter kannst du weiterhin anpassen.

Soll ich „Preserve file share permissions“ einschalten?

Wenn du ein neues Konzept auf Bibliotheksebene baust, meist nicht. Dann erben die migrierten Dateien die Rechte der Zielbibliothek. Lässt du die Option an, wirken die Regeln von Microsoft für Stammordner und Unterordner, und Rechte des Quellordners können die der Zielbibliothek ersetzen.

Kann ich meine AD-Gruppen in SharePoint weiterverwenden?

Ja, wenn sie per Verzeichnissynchronisierung in Microsoft Entra ID vorhanden sind. Damit Rechte beim Umzug überhaupt zugeordnet werden, müssen die lokalen Konten Entsprechungen in Entra ID haben.

Kann CosyTrack.Drive jemandem mehr Rechte geben als SharePoint?

Nein. Die Rechte kommen aus SharePoint. Drive kann ein Laufwerk nur strenger einbinden, also nur lesend statt lesend und schreibend, aber niemals großzügiger.

Übernimmt CosyTrack.Drive die Migration meiner Fileserver-Rechte?

Nein. Drive ist ein Werkzeug zum Arbeiten mit SharePoint-Dateien als Laufwerk, kein Migrationswerkzeug. Massenumzüge laufen über CosyTrack.Migrate.

Fazit: Rechte nicht umziehen, sondern neu denken

NTFS und SharePoint sehen sich ähnlich, spielen aber nach anderen Regeln. Verweigern gibt es nicht, erweiterte Einzelrechte fallen weg, und jede Ordnerausnahme wird zu einem eigenen Berechtigungsbereich mit Grenzen, die Microsoft klar benennt. Wer tief verschachtelte Rechte 1:1 mitnimmt, nimmt die Altlasten mit und verliert unterwegs ausgerechnet die Schutzmechanismen, auf die er sich verlassen hat.

Der bessere Weg: Berechtigungskreise bilden, Rechte auf Website- und Bibliotheksebene setzen, Ausnahmen dokumentieren und den Umzug mit CosyTrack.Migrate erledigen. CosyTrack.Drive übernimmt danach die Rechte aus SharePoint und bringt die Bibliotheken als Laufwerksbuchstaben an Arbeitsplatz und Terminalserver, pro Laufwerk auf Wunsch strenger, nie großzügiger. Für das Team, das Drive betreibt, gibt es die Schulung und Onboarding für CosyTrack.Drive. Und der Ordner „Nur_GL“ darf endlich in Rente gehen.