Gleiche Rechte für alle: Wie Sie einen neuen Benutzer erstellen, der genau den gleichen Zugriff wie ein anderer Account hat

In der heutigen digitalen Welt, in der Zugriffsrechte und Datensicherheit an vorderster Stelle stehen, ist die konsistente und fehlerfreie Verwaltung von Benutzerkonten und deren Berechtigungen von entscheidender Bedeutung. Ob in einem kleinen Büro, einem mittelständischen Unternehmen oder einem großen Konzern – die Notwendigkeit, einen neuen Mitarbeiter schnell und effizient in bestehende Arbeitsabläufe zu integrieren, ohne dabei Sicherheitslücken zu schaffen oder Produktivitätsverluste hinnehmen zu müssen, ist allgegenwärtig. Oftmals bedeutet dies, dass ein neuer Benutzer **genau die gleichen Zugriffsrechte** erhalten soll wie ein bereits bestehender Mitarbeiter in einer ähnlichen Position. Doch wie stellt man das sicher? Dieser Artikel beleuchtet umfassend und detailliert, wie Sie dies in verschiedenen IT-Umgebungen realisieren können, von lokalen Systemen bis hin zu Cloud-Diensten, und welche Best Practices Sie dabei beachten sollten.

### Warum ist die konsistente Vergabe von Zugriffsrechten so wichtig?

Bevor wir in die technischen Details eintauchen, lassen Sie uns kurz erörtern, warum dieses Thema so relevant ist. Eine präzise und konsistente Zuweisung von Berechtigungen bietet mehrere Vorteile:

* **Effizienz**: Neue Mitarbeiter können sofort nach ihrer Einrichtung mit ihrer Arbeit beginnen, ohne auf fehlende Zugriffe warten zu müssen.
* **Produktivität**: Alle Teammitglieder haben Zugang zu den notwendigen Ressourcen, was einen reibungslosen Arbeitsfluss gewährleistet.
* **Sicherheit**: Durch die Vermeidung manueller Fehler bei der Berechtigungsvergabe wird das Risiko von übermäßigen Rechten (und damit potenziellen Sicherheitslücken) oder fehlenden Rechten (was zu „Schatten-IT” führen kann, wenn Mitarbeiter Workarounds suchen) minimiert.
* **Compliance**: Viele regulatorische Anforderungen verlangen eine nachvollziehbare und konsistente Verwaltung von Benutzerzugriffen.
* **Vereinfachte Fehlerbehebung**: Bei Problemen mit Zugriffsrechten ist es einfacher, die Ursache zu finden, wenn die Zuweisung standardisiert ist.

Unser Ziel ist es also, einen neuen Benutzer anzulegen, dessen **Berechtigungsprofil** exakt dem eines Referenzbenutzers entspricht. Das bedeutet, er soll auf die gleichen Dateifreigaben, Anwendungen, Datenbanken und Dienste zugreifen können.

### Was bedeutet „identischer Zugriff” eigentlich?

Der Begriff „identischer Zugriff” ist umfassender, als es auf den ersten Blick scheint. Es geht nicht nur um das bloße Erstellen eines Benutzernamens und Passworts. Vielmehr umfasst er:

* **Gruppenmitgliedschaften**: Dies ist oft der wichtigste Faktor. Benutzer erhalten ihre Rechte meist über die Gruppen, denen sie angehören (z.B. „Marketing-Team”, „IT-Administratoren”, „Finanzabteilung”).
* **Rollenbasierte Zugriffssteuerung (RBAC)**: In modernen Systemen und Cloud-Diensten werden Benutzern oft Rollen zugewiesen, die vordefinierte Berechtigungssätze bündeln.
* **Direkte Dateisystemberechtigungen (ACLs)**: Obwohl weniger üblich für Standardbenutzer, können spezifische Dateien oder Ordner individuelle Berechtigungen haben. Im Idealfall werden diese jedoch ebenfalls über Gruppen gemanagt.
* **Anwendungsberechtigungen**: Zugriffe innerhalb spezifischer Anwendungen (z.B. ERP-Systeme, CRM-Software) können über deren interne Berechtigungssysteme gesteuert werden.
* **Spezielle Privilegien**: Dazu gehören zum Beispiel `sudo`-Rechte unter Linux oder lokale Administratorrechte unter Windows.
* **Heimatverzeichnisse und Profile**: Die korrekte Einrichtung des Benutzerprofils und des Heimatverzeichnisses, oft mit standardisierten Vorlagen oder Skripten.

Die Herausforderung besteht darin, all diese Aspekte vom Referenzbenutzer zu identifizieren und auf den neuen Benutzer zu übertragen.

### Szenario 1: Windows-Umgebung (Active Directory und lokale Benutzer)

In den meisten Unternehmensumgebungen ist **Microsoft Active Directory (AD)** das zentrale Verzeichnis für Benutzer, Computer und Zugriffsrechte. Aber auch lokale Benutzerkonten spielen eine Rolle, insbesondere auf Workstations.

#### Identifizieren der Rechte des Referenzbenutzers (Active Directory)

Der erste Schritt ist immer, herauszufinden, welche Rechte der bestehende Benutzer hat.

1. **Gruppenmitgliedschaften**:
* Öffnen Sie „Active Directory-Benutzer und -Computer” (ADUC).
* Suchen Sie den Referenzbenutzer, klicken Sie mit der rechten Maustaste darauf und wählen Sie „Eigenschaften”.
* Wechseln Sie zur Registerkarte „Mitglied von”. Hier sehen Sie alle Gruppen, denen der Benutzer angehört. Notieren Sie sich diese sorgfältig.
* **PowerShell**: Für eine automatisierte Abfrage können Sie folgenden Befehl verwenden:
„`powershell
Get-ADUser -Identity -Properties MemberOf | Select-Object -ExpandProperty MemberOf
„`
Dieser Befehl listet alle Gruppen auf, in denen der Benutzer Mitglied ist. Um die Gruppen als einfache Namen zu erhalten, könnte man es noch etwas verfeinern:
„`powershell
(Get-ADUser -Identity -Properties MemberOf).MemberOf | ForEach-Object { (Get-ADGroup -Identity $_).Name }
„`
2. **Spezielle Berechtigungen**: Prüfen Sie, ob der Benutzer direkt spezifische Berechtigungen für Dateifreigaben oder Ordner (NTFS-Berechtigungen) besitzt, was jedoch, wie erwähnt, aus Management-Sicht vermieden werden sollte und eher über Gruppen erfolgt.

#### Anlegen des neuen Benutzers und Kopieren der Rechte (Active Directory)

Nachdem Sie die Gruppen des Referenzbenutzers ermittelt haben, können Sie den neuen Benutzer anlegen und die Rechte übertragen.

1. **Über ADUC (Grafische Oberfläche)**:
* Navigieren Sie in ADUC zu der Organisationseinheit (OU), in der der neue Benutzer erstellt werden soll.
* Klicken Sie mit der rechten Maustaste auf den Referenzbenutzer und wählen Sie „Benutzer kopieren…”. Dies ist oft die einfachste Methode!
* Es öffnet sich ein Assistent, in dem Sie den Vornamen, Nachnamen, Initialen und den Anmeldenamen des neuen Benutzers eingeben können.
* Klicken Sie auf „Weiter”. Nun können Sie ein Passwort festlegen und die gewünschten Optionen (z.B. „Benutzer muss Kennwort bei der nächsten Anmeldung ändern”) auswählen.
* Klicken Sie auf „Weiter”. Auf der letzten Seite sehen Sie eine Zusammenfassung, die auch die Gruppenmitgliedschaften des Referenzbenutzers anzeigt, die auf den neuen Benutzer übertragen werden. Stellen Sie sicher, dass alle relevanten Gruppen aufgeführt sind.
* Klicken Sie auf „Fertig stellen”. Der neue Benutzer wird mit allen Gruppenmitgliedschaften des Referenzbenutzers angelegt.
2. **Über PowerShell (Skriptbasiert)**: Dies ist die bevorzugte Methode für eine automatisierte und fehlerresistente Bereitstellung, insbesondere wenn Sie viele Benutzer mit ähnlichen Rechten anlegen müssen.
„`powershell
# Variablen definieren
$ReferenzUser = „jdoe” # Anmeldename des Referenzbenutzers
$NeuerUserSamAccountName = „smeier” # Anmeldename des neuen Benutzers
$NeuerUserGivenName = „Sarah”
$NeuerUserSurname = „Meier”
$NeuerUserDisplayName = „$NeuerUserGivenName $NeuerUserSurname”
$Passwort = ConvertTo-SecureString „IhrSicheresPasswort123!” -AsPlainText -Force
$OU = „OU=Benutzer,DC=ihredomain,DC=local” # Die OU, in der der neue Benutzer erstellt werden soll

# 1. Gruppenmitgliedschaften des Referenzbenutzers abrufen
$GruppenDesReferenzUsers = (Get-ADUser -Identity $ReferenzUser -Properties MemberOf).MemberOf | ForEach-Object { (Get-ADGroup -Identity $_).SamAccountName }

# 2. Neuen Benutzer anlegen
New-ADUser -SamAccountName $NeuerUserSamAccountName `
-UserPrincipalName „[email protected]” `
-GivenName $NeuerUserGivenName `
-Surname $NeuerUserSurname `
-DisplayName $NeuerUserDisplayName `
-Path $OU `
-AccountPassword $Passwort `
-ChangePasswordAtLogon $true `
-Enabled $true

# 3. Neuen Benutzer zu den gleichen Gruppen hinzufügen
foreach ($Gruppe in $GruppenDesReferenzUsers) {
Add-ADGroupMember -Identity $Gruppe -Members $NeuerUserSamAccountName
}

Write-Host „Benutzer ‘$NeuerUserSamAccountName’ erfolgreich erstellt und Gruppenmitgliedschaften von ‘$ReferenzUser’ kopiert.”
„`
Dieses Skript automatisiert den Prozess effizient. Beachten Sie, dass Sie die Platzhalter (`ihredomain.local`, Passwort, etc.) an Ihre Umgebung anpassen müssen.

#### Lokale Benutzer (Windows Workstation/Server ohne AD)

Wenn Sie lokale Benutzer auf einer einzelnen Maschine verwalten, ist der Prozess ähnlicher, aber manueller:

1. **Identifizieren**: Gehen Sie zu „Computerverwaltung” > „Lokale Benutzer und Gruppen” > „Benutzer”. Klicken Sie doppelt auf den Referenzbenutzer, dann auf die Registerkarte „Mitglied von”, um seine Gruppen zu sehen.
2. **Anlegen**: Erstellen Sie einen neuen Benutzer.
3. **Kopieren**: Fügen Sie den neuen Benutzer manuell den gleichen lokalen Gruppen hinzu, die Sie vom Referenzbenutzer identifiziert haben.
4. **PowerShell**:
„`powershell
# Lokale Gruppen des Referenzbenutzers abrufen (benötigt Admin-Rechte)
$ReferenzUser = „ExistingLocalUser”
$ReferenzUserGroups = ([ADSI]”WinNT://./$ReferenzUser,user”).Groups() | ForEach-Object {$_.Name}

# Neuen lokalen Benutzer erstellen
$NeuerUser = „NewLocalUser”
$Passwort = ConvertTo-SecureString „YourSecurePassword123!” -AsPlainText -Force
New-LocalUser -Name $NeuerUser -Password $Passwort -FullName „Neuer Lokaler Benutzer” -Description „Beschreibung” -NoPasswordChange $false -PasswordNeverExpires $false

# Neuen Benutzer zu den gleichen lokalen Gruppen hinzufügen
foreach ($Gruppe in $ReferenzUserGroups) {
Add-LocalGroupMember -Group $Gruppe -Member $NeuerUser
}
„`

### Szenario 2: Linux/Unix-Umgebung

Unter Linux basiert die Benutzer- und Rechteverwaltung hauptsächlich auf Dateisystemberechtigungen und Gruppen.

#### Identifizieren der Rechte des Referenzbenutzers (Linux)

1. **Gruppenmitgliedschaften**:
* Verwenden Sie den Befehl `id ` oder `groups `.
* Beispiel: `id jdoe` würde die UID, GID und alle Gruppen auflisten, denen `jdoe` angehört.
* Alternativ können Sie die Datei `/etc/group` einsehen.
2. **Sudo-Rechte**: Prüfen Sie, ob der Referenzbenutzer `sudo`-Rechte besitzt.
* Dies ist in der Datei `/etc/sudoers` oder in Dateien im Verzeichnis `/etc/sudoers.d/` konfiguriert. Suchen Sie nach Einträgen, die den Referenzbenutzer oder eine seiner Gruppen explizit berechtigen.
* **ACHTUNG**: Bearbeiten Sie `/etc/sudoers` niemals direkt mit einem Texteditor, sondern immer mit `visudo`, um Syntaxfehler zu vermeiden.
3. **Home-Verzeichnis und Dateiberechtigungen**: Die Standard-Umask (Dateierstellungsmaske) und eventuelle spezifische Berechtigungen für Dateien und Verzeichnisse im Home-Verzeichnis oder anderen Orten.

#### Anlegen des neuen Benutzers und Kopieren der Rechte (Linux)

1. **Benutzer anlegen**:
„`bash
sudo useradd -m -s /bin/bash
sudo passwd
„`
* `-m` erstellt das Home-Verzeichnis.
* `-s /bin/bash` weist die Bash als Standardshell zu (passen Sie dies ggf. an).
* Setzen Sie ein sicheres Passwort mit `passwd`.
2. **Gruppenmitgliedschaften kopieren**:
* Zuerst die Gruppen des Referenzbenutzers ermitteln:
„`bash
REFERENZ_BENUTZER=”jdoe”
NEUER_BENUTZER=”smeier”
GRUPPEN=$(groups $REFERENZ_BENUTZER | cut -d ‘:’ -f 2 | tr ‘ ‘ ‘,’ | sed ‘s/^,//’)
echo „Gruppen des Referenzbenutzers: $GRUPPEN”
„`
* Fügen Sie den neuen Benutzer zu diesen Gruppen hinzu:
„`bash
sudo usermod -aG „$GRUPPEN” $NEUER_BENUTZER
„`
* `-aG` fügt den Benutzer zu den angegebenen zusätzlichen Gruppen hinzu, ohne die primäre Gruppe zu ändern.
3. **Sudo-Rechte kopieren**:
* Wenn der Referenzbenutzer `sudo`-Rechte über eine Gruppe erhält (z.B. die Gruppe `sudo` oder `wheel`), stellen Sie sicher, dass der neue Benutzer ebenfalls Mitglied dieser Gruppe ist.
„`bash
# Beispiel: Neuen Benutzer zur sudo-Gruppe hinzufügen
sudo usermod -aG sudo $NEUER_BENUTZER
„`
* Wenn die `sudo`-Rechte direkt für den Referenzbenutzer in `/etc/sudoers` konfiguriert sind, sollten Sie diese Konfiguration kopieren oder (besser) den neuen Benutzer einer entsprechenden Gruppe zuweisen.
* Verwenden Sie `sudo visudo` und fügen Sie einen ähnlichen Eintrag hinzu:
„`
# Referenzbenutzer Eintrag (Beispiel)
# jdoe ALL=(ALL) NOPASSWD: ALL

# Neuer Benutzer Eintrag (Beispiel)
# smeier ALL=(ALL) NOPASSWD: ALL
„`
**Hinweis**: Direkte Einträge pro Benutzer in `/etc/sudoers` sind wartungsintensiv. Bevorzugen Sie die Zuweisung über Gruppen.

#### Wichtige Überlegungen unter Linux

* **UID/GID**: Normalerweise ist es nicht notwendig, die gleiche User ID (UID) oder Group ID (GID) wie der Referenzbenutzer zu verwenden, es sei denn, es gibt sehr spezifische Anwendungen, die dies erfordern. Das System weist automatisch neue, eindeutige IDs zu.
* **Dateiberechtigungen**: Stellen Sie sicher, dass der neue Benutzer die richtigen Dateiberechtigungen für gemeinsam genutzte Verzeichnisse hat. Da die Rechte über Gruppenmitgliedschaften vergeben werden, sollte dies automatisch gegeben sein, sobald der Benutzer den korrekten Gruppen hinzugefügt wurde.

### Szenario 3: Cloud-Dienste und SaaS-Plattformen

In Cloud-Umgebungen wie AWS, Azure, Google Cloud oder bei SaaS-Anwendungen wie Microsoft 365, Google Workspace oder Salesforce werden Zugriffsrechte typischerweise über **Rollenbasierte Zugriffssteuerung (RBAC)** oder Richtlinien verwaltet.

#### Allgemeine Prinzipien

1. **Identifizieren der Rollen/Richtlinien des Referenzbenutzers**:
* Navigieren Sie zum Benutzerverwaltungsbereich des jeweiligen Dienstes (z.B. AWS IAM, Azure Active Directory, Google Workspace Admin Console).
* Suchen Sie den Referenzbenutzer und prüfen Sie, welche Rollen oder Richtlinien diesem zugewiesen sind.
* Manche Plattformen bieten auch die Möglichkeit, Berechtigungssätze oder Gruppen zu erstellen, denen Benutzer dann zugewiesen werden.
2. **Anlegen des neuen Benutzers**:
* Erstellen Sie den neuen Benutzer in der jeweiligen Plattform. Geben Sie die erforderlichen Informationen wie Name, E-Mail-Adresse etc. ein.
3. **Zuweisen der identischen Rollen/Richtlinien**:
* Suchen Sie den neu erstellten Benutzer und weisen Sie ihm dieselben Rollen, Richtlinien, Berechtigungssätze oder Gruppen zu, die Sie beim Referenzbenutzer identifiziert haben.

#### Beispiele für Cloud-Plattformen

* **AWS IAM (Identity and Access Management)**:
* Identifizieren Sie, welche IAM-Richtlinien (Policies) oder IAM-Gruppen der Referenzbenutzer zugewiesen hat.
* Erstellen Sie den neuen IAM-Benutzer.
* Fügen Sie den neuen Benutzer denselben IAM-Gruppen hinzu oder weisen Sie ihm dieselben IAM-Richtlinien direkt zu. Das Hinzufügen zu Gruppen ist hier die Best Practice.
* **Microsoft 365 / Azure Active Directory**:
* Im Microsoft 365 Admin Center oder Azure Active Directory Admin Center: Suchen Sie den Referenzbenutzer und prüfen Sie, welche Rollen (z.B. „Globaler Leser”, „Exchange Administrator”) oder Gruppen (z.B. Sicherheitsgruppen, Microsoft 365-Gruppen) ihm zugewiesen sind.
* Erstellen Sie den neuen Benutzer.
* Weisen Sie dem neuen Benutzer die identischen Rollen und Gruppen zu.
* **Google Workspace**:
* In der Google Admin Console: Überprüfen Sie die „Administratorrollen” und „Sicherheitsgruppen” des Referenzbenutzers.
* Erstellen Sie den neuen Benutzer.
* Weisen Sie dem neuen Benutzer die gleichen Rollen und Gruppen zu.

Die genauen Klicks variieren stark zwischen den Plattformen, aber das zugrunde liegende Prinzip der **Übernahme von Rollen oder Gruppenmitgliedschaften** bleibt dasselbe.

### Best Practices und Sicherheitsaspekte

Auch wenn das Kopieren von Rechten effizient ist, sollten Sie stets Best Practices und Sicherheitsüberlegungen im Auge behalten.

1. **Prinzip der geringsten Rechte (Principle of Least Privilege)**: Dies ist die goldene Regel der Sicherheit. Ein Benutzer sollte immer nur die Mindestberechtigungen erhalten, die er für seine Aufgaben benötigt, und nicht mehr. Auch wenn Sie Rechte kopieren, sollten Sie von Zeit zu Zeit prüfen, ob der Referenzbenutzer selbst nicht zu viele Rechte hat. Überprüfen Sie bei jedem Kopiervorgang, ob alle übernommenen Rechte für den neuen Benutzer wirklich notwendig sind.
2. **Regelmäßige Überprüfung und Auditierung**: Führen Sie in regelmäßigen Abständen Audits durch, um zu überprüfen, wer welche Zugriffsrechte besitzt. Veraltete oder überflüssige Rechte sollten umgehend entfernt werden.
3. **Dokumentation**: Halten Sie fest, welche Rollen und Gruppen für welche Positionen oder Abteilungen vorgesehen sind. Eine gute Dokumentation vereinfacht die Benutzerverwaltung erheblich und dient als Referenz bei Unklarheiten.
4. **Automatisierung und Skripting**: Für größere Umgebungen oder wiederkehrende Aufgaben ist die Automatisierung (wie in den PowerShell-Beispielen gezeigt) unerlässlich. Sie reduziert manuelle Fehler und spart Zeit.
5. **Passwortrichtlinien und Multi-Faktor-Authentifizierung (MFA)**: Stellen Sie sicher, dass alle neuen Benutzer starke Passwörter festlegen müssen und MFA aktiviert ist, wo immer möglich. Die Sicherheit des Benutzerkontos ist unabhängig von den Zugriffsrechten von größter Bedeutung.
6. **User Lifecycle Management**: Planen Sie nicht nur die Erstellung, sondern auch die Änderung (z.B. bei Positionswechsel) und Löschung von Benutzerkonten. Wenn ein Mitarbeiter das Unternehmen verlässt, müssen alle seine Zugriffe zeitnah entzogen werden.
7. **Trennung von Aufgaben (Segregation of Duties – SoD)**: Bestimmte kritische Aufgaben und die dazugehörigen Zugriffsrechte sollten auf verschiedene Personen verteilt werden, um Missbrauch und Fehler zu verhindern. Selbst wenn Sie Rechte kopieren, stellen Sie sicher, dass dies nicht gegen SoD-Prinzipien verstößt.
8. **Gruppenstrategie**: Eine gut durchdachte Gruppenstrategie ist das A und O einer effizienten Zugriffsverwaltung. Versuchen Sie, direkte Zuweisungen von Rechten an einzelne Benutzer zu vermeiden und stattdessen stets über Gruppen zu arbeiten. Dies vereinfacht das Kopieren von Rechten und die spätere Wartung.

### Fazit

Das Anlegen eines neuen Benutzers mit exakt denselben Zugriffsrechten wie ein bestehender Account ist eine gängige Aufgabe in der IT-Administration. Wie wir gesehen haben, gibt es für Windows, Linux und Cloud-Umgebungen spezifische, aber im Kern ähnliche Vorgehensweisen. Der Schlüssel liegt im **Verständnis der Gruppen- und Rollenmechanismen** der jeweiligen Plattform und in einer **systematischen Herangehensweise**.

Durch die Nutzung von Funktionen wie „Benutzer kopieren” in Active Directory oder der skriptbasierten Übernahme von Gruppenmitgliedschaften können Sie den Prozess nicht nur beschleunigen, sondern auch die **Konsistenz und Sicherheit** Ihrer IT-Infrastruktur maßgeblich verbessern. Beachten Sie stets die Best Practices wie das Prinzip der geringsten Rechte und eine lückenlose Dokumentation, um eine robuste und sichere Benutzerverwaltung zu gewährleisten. So stellen Sie sicher, dass „gleiche Rechte für alle” nicht nur ein Schlagwort ist, sondern eine gelebte Realität in Ihrem Unternehmen.