Skip to main content

4.1 Benutzer, Gruppen und Rechte

Linux ist ein Mehrbenutzersystem.

Das bedeutet:

Mehrere Benutzer können auf demselben System arbeiten,
ohne automatisch Zugriff auf alle Dateien,
Prozesse
oder Systemfunktionen zu haben.

Dafür nutzt Linux:

- Benutzer
- Gruppen
- Besitzer
- Dateirechte
- sudo
- Root-Rechte
- optional ACLs

Für Fachinformatiker Systemintegration ist dieses Thema besonders wichtig, weil Rechteprobleme, Sicherheitskonzepte, Dienstkonten, SSH-Zugriffe und Datei-Freigaben sehr häufig mit Benutzer- und Gruppenrechten zusammenhängen.

Merksatz:

Linux-Sicherheit beginnt bei Benutzern,
Gruppen
und Rechten.

Lernziele

Nach dieser Seite solltest du erklären können:

- was Benutzer unter Linux sind
- was Gruppen sind
- was UID und GID bedeuten
- wie Linux Dateirechte aufteilt
- was Besitzer,
  Gruppe
  und Andere bedeuten
- was r,
  w
  und x bedeuten
- wie chmod,
  chown
  und chgrp grundsätzlich funktionieren
- was sudo macht
- warum Root-Rechte gefährlich sein können
- welche typischen Rechtefehler auftreten

Grundidee

Jede Datei und jedes Verzeichnis unter Linux hat Berechtigungen.

Diese Berechtigungen regeln:

- wer lesen darf
- wer schreiben darf
- wer ausführen darf
- wem die Datei gehört
- welcher Gruppe die Datei zugeordnet ist

Linux unterscheidet dabei klassisch drei Bereiche:

Bereich Bedeutung
Benutzer / Besitzer Eigentümer der Datei
Gruppe zugeordnete Benutzergruppe
Andere alle übrigen Benutzer

Merksatz:

Linux-Rechte gelten für Besitzer,
Gruppe
und Andere.

Benutzer

Ein Benutzer ist ein Konto auf dem Linux-System.

Benutzer können:

- sich anmelden
- Dateien besitzen
- Prozesse starten
- Gruppen zugeordnet sein
- Rechte erhalten
- Dienste ausführen

Beispiele:

felix

root

www-data

postgres

backup

Wichtig:

Nicht jeder Benutzer ist ein Mensch.
Viele Dienste laufen unter eigenen Systembenutzern.

Merksatz:

Benutzer können Menschen oder Dienstkonten sein.

Root

root ist der administrative Hauptbenutzer unter Linux.

root darf fast alles:

- Systemdateien ändern
- Benutzer anlegen
- Rechte ändern
- Dienste starten und stoppen
- Software installieren
- Dateien anderer Benutzer lesen oder löschen
- Systemkonfiguration ändern

Das ist mächtig, aber auch gefährlich.

Ein falscher Befehl mit Root-Rechten kann das System beschädigen.

Merksatz:

Root-Rechte nur bewusst verwenden.

Normale Benutzer

Normale Benutzer haben eingeschränkte Rechte.

Sie dürfen typischerweise:

- im eigenen Home-Verzeichnis arbeiten
- eigene Dateien bearbeiten
- eigene Prozesse starten
- Programme ausführen

Sie dürfen normalerweise nicht:

- Systemdateien ändern
- Dienste systemweit verwalten
- fremde Dateien beliebig lesen
- Pakete installieren
- Benutzer anlegen

Vorteil:

Fehler oder Angriffe wirken sich weniger stark auf das gesamte System aus.

Merksatz:

Normale Benutzer begrenzen Risiken.

Systembenutzer und Dienstkonten

Viele Dienste laufen unter eigenen Benutzern.

Beispiele:

Benutzer Typischer Zweck
www-data Webserver-Prozesse
nginx Webserver-Prozesse
postgres PostgreSQL-Datenbank
mysql MySQL/MariaDB-Datenbank
backup Backup-Aufgaben
nobody stark eingeschränkter Benutzer

Warum?

Dienste sollen nicht mit Root-Rechten laufen,
wenn das nicht notwendig ist.

Vorteil:

Wenn ein Dienst kompromittiert wird,
ist der Schaden begrenzter.

Merksatz:

Dienste sollten nur die Rechte haben,
die sie benötigen.

UID und GID

Linux identifiziert Benutzer und Gruppen intern über Zahlen.

UID bedeutet:

User ID

GID bedeutet:

Group ID

Beispiele:

Begriff Bedeutung
UID eindeutige Benutzerkennung
GID eindeutige Gruppenkennung
UID 0 root-Benutzer
normale UID normaler Benutzer oder Systembenutzer

Wichtig:

Der Benutzername ist für Menschen lesbar.
Intern arbeitet Linux stark mit UID und GID.

Merksatz:

UID identifiziert Benutzer.
GID identifiziert Gruppen.

Benutzerinformationen anzeigen

Aktuellen Benutzer anzeigen:

whoami

Benutzer-ID und Gruppen anzeigen:

id

Beispiel:

id felix

Mögliche Ausgabe:

uid=1000(felix) gid=1000(felix) groups=1000(felix),27(sudo)

Bedeutung:

Benutzer felix hat UID 1000,
Hauptgruppe felix
und ist zusätzlich in der Gruppe sudo.

Merksatz:

id zeigt Benutzer,
UID,
GID
und Gruppen.

Gruppen

Gruppen fassen Benutzer zusammen.

Damit können Rechte einfacher vergeben werden.

Beispiel:

Alle Benutzer der Gruppe developers
dürfen auf ein Projektverzeichnis zugreifen.

Vorteile:

Rechte müssen nicht einzeln pro Benutzer vergeben werden

Verwaltung wird übersichtlicher

Zugriff kann über Gruppenmitgliedschaft gesteuert werden

Rollen lassen sich besser abbilden

Merksatz:

Gruppen vereinfachen Rechteverwaltung.

Hauptgruppe und Zusatzgruppen

Ein Benutzer hat eine Hauptgruppe und kann zusätzlich Mitglied weiterer Gruppen sein.

Beispiel:

Benutzer:
felix

Hauptgruppe:
felix

Zusatzgruppen:
sudo,
docker,
www-data

Die Hauptgruppe wird oft für neu erstellte Dateien verwendet.

Zusatzgruppen geben weitere Rechte.

Merksatz:

Hauptgruppe ist Standardgruppe.
Zusatzgruppen geben zusätzliche Rechte.

Wichtige Dateien für Benutzer und Gruppen

Linux speichert Benutzer- und Gruppeninformationen in bestimmten Dateien.

Datei Bedeutung
/etc/passwd Benutzerkonten
/etc/group Gruppen
/etc/shadow Passwort-Hashes und Passwortinformationen
/etc/sudoers sudo-Regeln
/etc/sudoers.d/ zusätzliche sudo-Regeln

Wichtig:

/etc/shadow ist besonders geschützt,
weil dort Passwort-Hashes liegen.

Merksatz:

Benutzer stehen in /etc/passwd,
Gruppen in /etc/group.

/etc/passwd

Die Datei /etc/passwd enthält Benutzerinformationen.

Beispielzeile:

felix:x:1000:1000:Felix Ulrich:/home/felix:/bin/bash

Bedeutung:

Feld Bedeutung
felix Benutzername
x Passwort liegt nicht direkt hier
1000 UID
1000 GID
Felix Ulrich Kommentar oder Beschreibung
/home/felix Home-Verzeichnis
/bin/bash Login-Shell

Merksatz:

/etc/passwd enthält Benutzerstammdaten.

/etc/group

Die Datei /etc/group enthält Gruppeninformationen.

Beispielzeile:

sudo:x:27:felix

Bedeutung:

Feld Bedeutung
sudo Gruppenname
x Passwortfeld, meist ungenutzt
27 GID
felix Mitglieder der Gruppe

Merksatz:

/etc/group zeigt Gruppen und Mitglieder.

Dateirechte anzeigen

Dateirechte zeigt man mit:

ls -l

Beispiel:

-rw-r--r-- 1 felix users 1200 Jul 08 12:30 notiz.txt

Wichtiger Teil:

-rw-r--r--

Aufteilung:

-    rw-    r--    r--
Typ  User   Gruppe Andere

Merksatz:

ls -l zeigt Dateityp,
Rechte,
Besitzer
und Gruppe.

Rechtebereiche

Linux-Rechte sind klassisch in drei Bereiche aufgeteilt:

Bereich Bedeutung
User / Owner Besitzer der Datei
Group zugeordnete Gruppe
Others alle anderen Benutzer

Beispiel:

-rw-r--r--

Bedeutung:

Bereich Rechte
Besitzer rw-
Gruppe r--
Andere r--

Merksatz:

Rechte werden in Dreiergruppen gelesen.

r, w und x

Die Buchstaben bedeuten:

Zeichen Name Bei Dateien Bei Verzeichnissen
r read Datei lesen Inhalt auflisten
w write Datei ändern Einträge erstellen/löschen/umbenennen
x execute Datei ausführen Verzeichnis betreten

Wichtig:

x hat bei Dateien und Verzeichnissen unterschiedliche praktische Bedeutung.

Merksatz:

r = lesen.
w = schreiben.
x = ausführen oder betreten.

Rechte bei Dateien

Bei Dateien bedeutet:

Recht Bedeutung
r Inhalt lesen
w Inhalt ändern
x Datei ausführen

Beispiel:

-rwxr-xr--

Bedeutung:

Besitzer darf lesen,
schreiben
und ausführen.

Gruppe darf lesen
und ausführen.

Andere dürfen nur lesen.

Merksatz:

x macht eine Datei ausführbar.

Rechte bei Verzeichnissen

Bei Verzeichnissen bedeutet:

Recht Bedeutung
r Inhalt des Verzeichnisses anzeigen
w Dateien im Verzeichnis erstellen, löschen oder umbenennen
x Verzeichnis betreten und Pfade darin nutzen

Wichtig:

Ohne x kann man ein Verzeichnis nicht sinnvoll betreten,
auch wenn r gesetzt ist.

Beispiel:

drwxr-x---

Bedeutung:

Besitzer darf alles.

Gruppe darf betreten und auflisten.

Andere haben keinen Zugriff.

Merksatz:

Bei Verzeichnissen ist x besonders wichtig.

Numerische Rechte

Rechte können auch als Zahlen dargestellt werden.

Recht Wert
r 4
w 2
x 1

Kombinationen:

Rechte Zahl
--- 0
--x 1
-w- 2
-wx 3
r-- 4
r-x 5
rw- 6
rwx 7

Beispiele:

Zahl Bedeutung
644 Besitzer rw-, Gruppe r--, Andere r--
600 Besitzer rw-, Gruppe ---, Andere ---
755 Besitzer rwx, Gruppe r-x, Andere r-x
700 Besitzer rwx, Gruppe ---, Andere ---

Merksatz:

r=4,
w=2,
x=1.

chmod

Mit chmod ändert man Dateirechte.

Beispiele:

chmod 644 datei.txt

chmod 600 geheim.txt

chmod 755 script.sh

chmod +x script.sh

Bedeutung:

Befehl Bedeutung
chmod 644 datei.txt typische Rechte für normale Textdatei
chmod 600 geheim.txt nur Besitzer darf lesen und schreiben
chmod 755 script.sh Besitzer darf alles, andere lesen/ausführen
chmod +x script.sh Ausführrecht hinzufügen

Merksatz:

chmod ändert Rechte.

chown

Mit chown ändert man den Besitzer einer Datei.

Beispiel:

chown felix datei.txt

Besitzer und Gruppe ändern:

chown felix:users datei.txt

Rekursiv für Verzeichnisse:

chown -R felix:users projektordner

Wichtig:

chown benötigt häufig administrative Rechte.

Merksatz:

chown ändert Besitzer und optional Gruppe.

chgrp

Mit chgrp ändert man die Gruppe einer Datei.

Beispiel:

chgrp developers projekt.txt

Rekursiv:

chgrp -R developers projektordner

Merksatz:

chgrp ändert die Gruppenzuordnung.

sudo

sudo erlaubt berechtigten Benutzern, einzelne Befehle mit erhöhten Rechten auszuführen.

Beispiel:

sudo systemctl restart ssh

Vorteile:

keine dauerhafte Root-Sitzung nötig

bessere Nachvollziehbarkeit

gezielte administrative Rechte

geringeres Risiko als dauerhaft als root zu arbeiten

Wichtig:

sudo sollte nur berechtigten Benutzern gegeben werden.

Merksatz:

sudo gibt gezielt erhöhte Rechte für einzelne Befehle.

su

su steht für:

substitute user

Mit su kann man zu einem anderen Benutzer wechseln.

Beispiel:

su -

Häufig wird damit zu root gewechselt, wenn das Root-Konto aktiviert ist.

Unterschied zu sudo:

Befehl Bedeutung
sudo befehl einzelnen Befehl mit erhöhten Rechten ausführen
su Benutzer wechseln
su - Login-Shell des Zielbenutzers starten

Merksatz:

sudo führt Befehl aus.
su wechselt Benutzer.

Dateien ausführbar machen

Ein Skript muss ausführbar sein, wenn man es direkt starten möchte.

Beispiel:

chmod +x backup.sh

Starten:

./backup.sh

Wichtig:

./ bedeutet:
Datei im aktuellen Verzeichnis ausführen.

Ohne Ausführrecht kommt häufig:

Permission denied

Merksatz:

Skript direkt starten braucht x-Recht.

Typische Rechte für Dateien

Zweck Rechte Bedeutung
normale Textdatei 644 Besitzer schreibt, andere lesen
private Datei 600 nur Besitzer liest und schreibt
Skript oder Programm 755 Besitzer schreibt, alle dürfen ausführen
geheimes Skript 700 nur Besitzer darf alles
öffentlich lesbares Verzeichnis 755 andere können betreten und lesen
privates Verzeichnis 700 nur Besitzer Zugriff

Merksatz:

644 für normale Dateien.
755 für ausführbare Programme oder Verzeichnisse.
600 für private Dateien.

Rechte und Sicherheit

Zu breite Rechte sind ein Sicherheitsrisiko.

Beispiel kritisch:

chmod 777 datei

777 bedeutet:

Besitzer darf alles.

Gruppe darf alles.

Andere dürfen alles.

Risiko:

Jeder Benutzer kann lesen,
schreiben
und ausführen.

Besser:

Rechte gezielt setzen.

Merksatz:

777 ist selten eine saubere Lösung.

Permission denied

Die Meldung:

Permission denied

bedeutet:

Zugriff verweigert.

Mögliche Ursachen:

Datei nicht lesbar

Datei nicht beschreibbar

Datei nicht ausführbar

Verzeichnis nicht betretbar

falscher Besitzer

falsche Gruppe

sudo nötig

Prüfen:

ls -l datei

ls -ld verzeichnis

id

Merksatz:

Permission denied zuerst mit ls -l und id prüfen.

Rechteproblem bei Verzeichnissen

Ein Benutzer hat Leserecht auf eine Datei, kann sie aber trotzdem nicht öffnen.

Mögliche Ursache:

fehlendes x-Recht auf einem übergeordneten Verzeichnis.

Beispiel:

/srv/projekt/datei.txt

Damit der Benutzer die Datei erreichen kann, braucht er passende Rechte auf:

/srv

/srv/projekt

/srv/projekt/datei.txt

Merksatz:

Für Zugriff auf Dateien müssen auch Verzeichnisrechte passen.

Gruppenbasierter Zugriff

Beispiel:

Mehrere Benutzer sollen auf /srv/projekt zugreifen.

Sinnvolles Vorgehen:

Gruppe projekt anlegen

Benutzer zur Gruppe hinzufügen

Verzeichnis der Gruppe projekt zuordnen

Gruppenrechte passend setzen

Beispielhafte Befehle:

chgrp -R projekt /srv/projekt

chmod -R 770 /srv/projekt

Bedeutung:

Besitzer und Gruppe dürfen alles.
Andere haben keinen Zugriff.

Merksatz:

Gemeinsamer Zugriff wird sauber über Gruppen geregelt.

Benutzer anlegen

Typische Befehle je nach Distribution:

useradd

adduser

Beispiel:

adduser felix

oder:

useradd -m felix

Bedeutung:

-m erstellt ein Home-Verzeichnis.

Wichtig:

Die genaue Bedienung kann je nach Distribution unterschiedlich sein.

Merksatz:

Benutzerverwaltung kann je nach Distribution leicht unterschiedlich sein.

Passwort setzen

Passwort für Benutzer setzen:

passwd felix

Eigenes Passwort ändern:

passwd

Wichtig:

Starke Passwörter verwenden.

Für administrative Zugänge zusätzlich MFA oder Schlüsselverfahren nutzen,
wenn möglich.

Merksatz:

passwd setzt oder ändert Passwörter.

Benutzer zu Gruppe hinzufügen

Beispiel:

usermod -aG gruppe benutzer

Wichtig:

-aG bedeutet:
zur Zusatzgruppe hinzufügen,
ohne bestehende Gruppen zu entfernen.

Beispiel:

usermod -aG sudo felix

Nach Gruppenänderungen ist oft eine neue Anmeldung erforderlich.

Merksatz:

usermod -aG fügt Benutzer zu Zusatzgruppe hinzu.

Benutzer löschen

Benutzer löschen:

userdel benutzer

Benutzer inklusive Home-Verzeichnis löschen:

userdel -r benutzer

Wichtig:

Vor dem Löschen prüfen:

Gibt es noch Dateien des Benutzers?

Gibt es laufende Prozesse?

Gibt es Dienste oder Cronjobs?

Müssen Daten archiviert werden?

Merksatz:

Benutzer nicht löschen,
ohne Daten und Dienste zu prüfen.

ACLs

ACL steht für:

Access Control List

ACLs erlauben feinere Rechte als klassische Linux-Rechte.

Beispiel:

Eine bestimmte Benutzerin soll Zugriff erhalten,
ohne Besitzer oder Gruppe zu ändern.

Typische Befehle:

getfacl datei

setfacl -m u:benutzer:r datei

Wichtig:

ACLs sind nützlich,
können Rechteverwaltung aber komplexer machen.

Merksatz:

ACLs erweitern klassische Linux-Rechte.

SetUID, SetGID und Sticky Bit

Neben normalen Rechten gibt es Sonderrechte.

Sonderrecht Bedeutung
SetUID Programm läuft mit Rechten des Dateibesitzers
SetGID Programm oder Verzeichnis nutzt Gruppenlogik besonders
Sticky Bit in Verzeichnissen dürfen Benutzer nur eigene Dateien löschen

Typisches Beispiel für Sticky Bit:

/tmp

Rechte häufig:

drwxrwxrwt

Das t am Ende zeigt das Sticky Bit.

Merksatz:

Sticky Bit schützt gemeinsame Verzeichnisse wie /tmp.

Typische Fehlerbilder

Fehlerbild Wahrscheinliche Ursache
Permission denied beim Lesen fehlendes Leserecht
Permission denied beim Schreiben fehlendes Schreibrecht
Skript startet nicht fehlendes Ausführrecht
Datei trotz Rechten nicht erreichbar Verzeichnisrecht fehlt
Benutzer sieht Datei nicht fehlendes r auf Verzeichnis
Benutzer kann Datei nicht löschen fehlendes w auf Verzeichnis
sudo nicht erlaubt Benutzer nicht in sudoers
Gruppenrecht wirkt nicht Benutzer neu anmelden oder falsche Gruppe
Dienst kann Datei nicht lesen Dienstbenutzer hat keine Rechte
777 wurde gesetzt unsichere Notlösung

Sichere Arbeitsweise bei Rechteproblemen

Nicht sofort:

chmod 777

Besser prüfen:

whoami

id

ls -l datei

ls -ld verzeichnis

groups benutzer

getfacl datei

Dann gezielt entscheiden:

Besitzer ändern?

Gruppe ändern?

Rechte ändern?

Benutzer in Gruppe aufnehmen?

sudo nötig?

Merksatz:

Rechteprobleme gezielt lösen,
nicht pauschal mit 777.

Typische Prüfungsfragen

Frage Kurzantwort
Was ist root? administrativer Hauptbenutzer
Was bedeutet UID? User ID
Was bedeutet GID? Group ID
Was macht chmod? ändert Rechte
Was macht chown? ändert Besitzer
Was macht chgrp? ändert Gruppe
Was macht sudo? führt Befehl mit erhöhten Rechten aus
Was bedeutet r? lesen
Was bedeutet w? schreiben
Was bedeutet x bei Dateien? ausführen
Was bedeutet x bei Verzeichnissen? betreten
Was bedeutet 755? rwx r-x r-x
Was bedeutet 644? rw- r-- r--
Was bedeutet 600? nur Besitzer lesen/schreiben
Warum ist 777 kritisch? jeder darf alles

Typische Prüfungsfallen

Falle Richtig denken
x bei Verzeichnissen vergessen x bedeutet Verzeichnis betreten
chmod 777 als Lösung unsicher und meist falsch
nur Dateirechte prüfen auch Verzeichnisrechte prüfen
sudo immer verwenden erst Ursache prüfen
Besitzer und Gruppe verwechseln beides getrennt betrachten
Gruppenänderung wirkt sofort erwarten neue Anmeldung kann nötig sein
Dienst läuft als root Sicherheitsrisiko, wenn nicht nötig
/etc/shadow frei lesbar erwarten besonders geschützt
ACLs übersehen zusätzliche Rechte können existieren
Root und normales Konto gleich behandeln Root hat besondere Rechte

IHK-sichere Kurzformulierung

Linux ist ein Mehrbenutzersystem und steuert Zugriffe über Benutzer, Gruppen und Rechte. Jede Datei und jedes Verzeichnis hat einen Besitzer, eine zugeordnete Gruppe und Rechte für Besitzer, Gruppe und Andere. Die klassischen Rechte sind r für Lesen, w für Schreiben und x für Ausführen beziehungsweise bei Verzeichnissen für Betreten. Mit chmod werden Rechte geändert, mit chown der Besitzer und mit chgrp die Gruppe. sudo erlaubt berechtigten Benutzern, einzelne Befehle mit erhöhten Rechten auszuführen. Rechteprobleme sollten mit whoami, id, ls -l und ls -ld geprüft werden. Pauschale Rechte wie 777 sind unsicher und sollten vermieden werden.

Merksätze

Linux ist ein Mehrbenutzersystem.

Benutzer können Menschen oder Dienste sein.

Root ist der administrative Hauptbenutzer.

UID identifiziert Benutzer.

GID identifiziert Gruppen.

Gruppen vereinfachen Rechteverwaltung.

Jede Datei hat Besitzer,
Gruppe
und Rechte.

Rechte gelten für Besitzer,
Gruppe
und Andere.

r bedeutet lesen.

w bedeutet schreiben.

x bedeutet bei Dateien ausführen.

x bedeutet bei Verzeichnissen betreten.

chmod ändert Rechte.

chown ändert Besitzer.

chgrp ändert Gruppe.

sudo gibt gezielt erhöhte Rechte.

su wechselt Benutzer.

644 ist typisch für normale Dateien.

600 ist typisch für private Dateien.

755 ist typisch für Programme oder Verzeichnisse.

700 ist typisch für private Verzeichnisse oder Skripte.

777 ist selten eine gute Lösung.

Permission denied bedeutet Rechteproblem.

Bei Dateien auch Verzeichnisrechte prüfen.

Dienstkonten sollten nur notwendige Rechte haben.

Gruppenänderungen können neue Anmeldung erfordern.

ACLs erweitern klassische Rechte.

Sticky Bit schützt gemeinsame Verzeichnisse wie /tmp.
Back to top