Der größte Vorteil des seit XP standardmäßig verwendeten Windows-Dateisystems NTFS gegenüber dem Vorgänger FAT/FAT32 ist die Möglichkeit, Zugriffsrechte auf Ordner- und Dateiebene festzulegen. Dabei wird von Windows für jedes Objekt auf der Festplatte ein Datensatz angelegt, der diverse Sicherheitsbeschreibungen enthält – er nennt sich entsprechend „Security Descriptor“. Wichtigster  Teil des Security Descriptors ist die „Discretionary Access Control List (ACL)“, zu Deutsch die Zugriffskontrollliste. Hierin ist verzeichnet, welcher Benutzer und welcher Systemdienst mit der Datei welche Dinge anstellen darf, also zum Beispiel lesen, schreiben, ändern und/oder löschen.

Über die Einhaltung der Zugriffskontrollliste wacht der Security Reference Monitor (SRM) im Windows-Kern (Kernel). Der SRM ist jedem Dateizugriff vorgeschaltet und vergleicht die Security-ID des Benutzers mit den Einträgen der ACL. Nur wenn dort ein entsprechender Eintrag vorhanden ist, gibt der SRM den Zugriff frei. Der SRM wacht übrigens ebenso über die Windows-Registry – auch hier sind seit Vista pro Schlüssel Zugriffsrechte festgelegt.

Die Security-ID des Benutzers (SID) ist übrigens nicht zu verwechseln mit dem Windows-Benutzernamen: Jedem Benutzerkonto ist eine eindeutige SID zugeordnet. Diese bleibt auch dann gleich, wenn Sie den Benutzernamen ändern. Wird ein Benutzerkonto gelöscht, verschwindet auch die SID unwiderruflich. Wenn Sie einen neuen Benutzer mit dem gleichen Namen anlegen, bekommt dieser also nicht die Rechte, die der gelöschte, gleichnamige Nutzer zuvor hatte.

So viel zur Theorie – jetzt gehen wir in die Praxis über.