Linux-Dateiberechtigungen erklärt

Jedes Linux-System verwendet Dateiberechtigungen, um zu kontrollieren, wer eine Datei lesen, schreiben oder ausführen kann. Wenn Sie diese falsch konfigurieren, sperren Sie entweder berechtigte Benutzer aus oder lassen sensible Dateien ungeschützt. Dieser Leitfaden erklärt, wie Dateieigentümerschaft und Berechtigungen unter Linux funktionieren, wie Sie die Berechtigungszeichenkette lesen und wie Sie Berechtigungen mit chmod und chown ändern.

Wie Linux-Dateieigentümerschaft und -Berechtigungen strukturiert sind

Jeder Datei und jedem Verzeichnis unter Linux wird Folgendes zugewiesen:

• Ein Eigentümer (ein Benutzerkonto)
• Eine Gruppe (eine Gruppe von Benutzern)
• Ein Berechtigungssatz für drei Klassen: Eigentümer, Gruppe und Andere

Wenn ein Prozess versucht, auf eine Datei zuzugreifen, prüft der Kernel diese Klassen der Reihe nach – zuerst den Eigentümer, dann die Gruppe, dann die Anderen – und stoppt bei der ersten Übereinstimmung. Die Klassen schließen sich gegenseitig aus: Wenn Sie der Eigentümer sind, gelten nur die Eigentümer-Bits, selbst wenn die Gruppen-Bits permissiver sind.

Wie man rwx-Berechtigungen unter Linux liest

Führen Sie ls -l aus, um Berechtigungen anzuzeigen:

$ ls -l
-rw-r--r--  1 alice  developers  4017  Jun 1 10:00  config.conf
drwxr-x---  2 alice  developers    68  Jun 1 10:00  project/

Das erste Zeichen ist der Dateityp (- für reguläre Datei, d für Verzeichnis, l für Symlink). Die nächsten neun Zeichen sind drei Berechtigungstripel:

rw-   r--   r--
 ↑     ↑     ↑
Eigentümer Gruppe Andere

Jedes Tripel verwendet drei Bits: r (read/Lesen), w (write/Schreiben), x (execute/Ausführen). Ein - bedeutet, dass diese Berechtigung nicht gesetzt ist.

Hinweis: Wenn Sie ein + am Ende der Berechtigungszeichenkette sehen (z. B. -rw-r--r--+), hat die Datei eine POSIX-ACL angewendet. Das Standard-ls -l zeigt diese zusätzlichen Regeln nicht an – verwenden Sie getfacl, um sie zu inspizieren.

Was jedes Berechtigungsbit tatsächlich bewirkt

Bei Dateien:

Bei Verzeichnissen:

Das Execute-Bit bei Verzeichnissen wird oft missverstanden. Ohne dieses können Sie nicht mit cd in das Verzeichnis wechseln oder auf eine Datei darin über ihren Pfad zugreifen – selbst wenn Sie Leseberechtigung haben.

Wie man Linux-Dateiberechtigungen mit chmod ändert

chmod akzeptiert sowohl symbolische als auch numerische (oktale) Modi.

Symbolischer Modus:

chmod u+x script.sh          # Execute-Berechtigung für Eigentümer hinzufügen
chmod go-w config.conf       # Schreibberechtigung von Gruppe und Anderen entfernen
chmod u=rwx,g=rx,o= app/     # Exakte Berechtigungen für alle Klassen setzen
chmod -R u=rwX,g=rX,o=rX /var/www/html  # Rekursiv: großes X setzt Execute auf Verzeichnisse und Dateien, die bereits Execute haben

Numerischer (oktaler) Modus – jede Ziffer summiert r=4, w=2, x=1:

chmod 644 config.conf   # Eigentümer rw, Gruppe r, Andere r
chmod 750 script.sh     # Eigentümer rwx, Gruppe rx, Andere keine
chmod 700 ~/.ssh        # Nur Eigentümer – korrekt für SSH-Verzeichnisse

Wie man Dateieigentümerschaft mit chown ändert

chown ändert den Eigentümer, die Gruppe oder beides:

chown alice config.conf              # Nur Eigentümer ändern
chown alice:developers config.conf   # Eigentümer und Gruppe ändern
chown -R www-data:www-data /var/www  # Rekursive Eigentümeränderung

Wie Standardberechtigungen mit umask gesetzt werden

Neue Dateien beginnen nicht mit offenen Berechtigungen. Der umask-Wert maskiert Bits vom Systemstandard aus (typischerweise 666 für Dateien, 777 für Verzeichnisse). Eine umask von 022 erzeugt 644-Dateien und 755-Verzeichnisse – der häufigste Standard auf Linux-Servern.

Wenn das übergeordnete Verzeichnis eine Standard-ACL konfiguriert hat, werden diese ACL-Regeln vererbt, anstatt sich rein auf die umask zu verlassen.

umask        # Aktuelle umask anzeigen
umask 027    # Strengeren Standard setzen: Dateien 640, Verzeichnisse 750

Spezielle Berechtigungsbits: setuid, setgid und Sticky-Bit

Diese erweitern das Standardmodell für spezifische Anwendungsfälle:

• setuid (4xxx): Eine ausführbare Datei läuft mit den Rechten des Dateieigentümers. Wird von Systembinärdateien wie /usr/bin/passwd verwendet. Gefährlich bei benutzerdefinierten Skripten – vermeiden Sie es.
• setgid (2xxx) bei einem Verzeichnis: Neue Dateien erben die Gruppe des Verzeichnisses anstelle der primären Gruppe des Erstellers. Nützlich für gemeinsame Projektverzeichnisse.
• Sticky-Bit (1xxx) bei einem Verzeichnis: Nur der Dateieigentümer, Verzeichniseigentümer oder Root kann Dateien darin löschen. Standard bei /tmp.

chmod 2775 /shared/project   # setgid auf gemeinsames Verzeichnis
chmod 1777 /tmp              # Sticky-Bit – standardmäßig bereits gesetzt

Über klassische Berechtigungen hinaus: ACLs und Sicherheitsmodule

Standard-rwx-Berechtigungen decken die meisten Anwendungsfälle ab, haben aber Grenzen. Wenn Sie einem bestimmten Benutzer Zugriff gewähren müssen, ohne die Gruppenmitgliedschaft zu ändern, verwenden Sie POSIX-ACLs über setfacl und getfacl. Auf Systemen mit SELinux oder AppArmor gelten Sicherheitsmodul-Richtlinien zusätzlich zu Standardberechtigungen – eine Datei kann auf UNIX-Ebene für alle lesbar sein, aber dennoch durch eine SELinux-Richtlinie blockiert werden.

Schnellreferenz: Häufige Berechtigungsmuster

Fazit

Linux-Dateiberechtigungen folgen einem konsistenten, vorhersehbaren Modell. Sobald Sie die Eigentümer/Gruppe/Andere-Struktur, die rwx-Bits und wie chmod und chown diese anwenden verstehen, haben Sie die Grundlage, um jede Datei oder jedes Verzeichnis korrekt zu sichern. Für Fälle, in denen das Drei-Klassen-Modell nicht granular genug ist, greifen Sie auf ACLs zurück – und behalten Sie immer das Prinzip der geringsten Rechte im Hinterkopf.

Häufig gestellte Fragen (FAQs)

Gain control over your UX

See how users are using your site as if you were sitting next to them, learn and iterate faster with OpenReplay. — the open-source session replay tool for developers. Self-host it in minutes, and have complete control over your customer data. Check our GitHub repo and join the thousands of developers in our community.