Active Directory Gruppen Berechtigungen auslesen PowerShell

Aktualisiert am 29.10.2026 · Lesezeit ca. 5 Min. · Niveau: Experten · von Viktor Tribus, IT-Tribus Nideggen

Als IT-Administrator in kleinen und mittleren Unternehmen müssen Sie häufig die Berechtigungen von Active Directory-Gruppen überprüfen. Dies ist besonders wichtig für Sicherheitsüberprüfungen oder bei der Ermittlung von Zugriffskontrolle-Problemen. In diesem Artikel erläutern wir Ihnen, wie Sie mit PowerShell genau das tun können.

Die Verwendung von PowerShell zur Auslesung von Berechtigungen bietet die Möglichkeit, diese Aktionen in Skripte zu integrieren und somit die Automatisierung und Wiederverwendbarkeit der Prozesse zu erhöhen. Dieser Artikel zielt auf Experten ab, die bereits über fundierte Kenntnisse zur Active Directory-Verwaltung verfügen.

Die Auslesung von Gruppenberechtigungen in Active Directory ist ein wichtiger Schritt bei der Sicherheitsverwaltung. Typische Situationen, in denen diese Funktion benötigt wird, sind die Überprüfung von Zugriffskontrollen und die Ermittlung von fehlenden oder übermäßigen Rechten. Ein falsches Verständnis oder eine Fehlkonfiguration kann zu Sicherheitslücken führen.

Beispielsweise könnten Sie benötigen, die Berechtigungen einer bestimmten Gruppe für einen Shared-Folder-Pfad zu überprüfen und sicherzustellen, dass nur autorisierte Benutzer Zugriff haben. Eine falsche Konfiguration kann dazu führen, dass unerwünschte Benutzer Zugriff auf sensible Daten erhalten.

• Windows Server Active Directory-Domäne: Stellen Sie sicher, dass Sie in einer AD-Domäne arbeiten. Prüfen Sie dies über die Eingabeaufforderung: whoami /user.
• Powershell Module installiert: Verwenden Sie Import-Module ActiveDirectory, um sicherzustellen, dass das AD-PowerShell-Modul geladen ist.
• Administratorrechte: Die Ausführung der Befehle erfordert Administratorrechte. Prüfen Sie dies über die Eingabeaufforderung: whoami /groups | findstr S-1-5-32-544.
• Zugriff auf die Gruppe: Stellen Sie sicher, dass Sie Zugriff auf die zu prüfende AD-Gruppe haben. Nutzen Sie den Befehl Get-ADGroup -Identity "Gruppenname".

Laden Sie das Active Directory-Modul, um die erforderlichen Befehle zur Verfügung zu haben. Stellen Sie sicher, dass Sie eine Verbindung zum Active Directory aufbauen können.

# Modul laden
Import-Module ActiveDirectory

# Überprüfung der geladenen Module
Get-Module -ListAvailable | Where-Object 

So prüfen Sie, ob es geklappt hat: Verwenden Sie Get-ADGroup, um eine Gruppe aufzulisten und sicherzustellen, dass das Modul korrekt geladen wurde.

Wählen Sie die Gruppe aus, deren Berechtigungen Sie überprüfen möchten. Dies ist wichtig für den späteren Befehl Get-ADPermission.

# Beispiel einer Gruppenauswahl
$GruppenName = "Admins"
$Gruppe = Get-ADGroup -Identity $GruppenName

# Überprüfung, ob die Gruppe existiert und korrekt geladen wurde
if ($Gruppe)  else 

So prüfen Sie, ob es geklappt hat: Prüfen Sie den Inhalt von $Gruppe auf gültige Informationen.

Nutzen Sie den Befehl Get-ADPermission, um die spezifischen Berechtigungen für die gewählte Gruppe zu ermitteln.

# Auslesen der Berechtigungen
$Berechtigungen = Get-ADPermission -Identity $Gruppe.DistinguishedName

# Überprüfung, ob Berechtigungen korrekt ausgelesen wurden
if ($Berechtigungen)  else 

So prüfen Sie, ob es geklappt hat: Überprüfen Sie den Inhalt von $Berechtigungen auf gültige und erwartete Werte.

Analyze the output of Get-ADPermission, which will provide you with detailed information about permissions. You can filter and process this data to get a clear overview.

# Beispiel einer Filterung nach spezifischen Berechtigungen
$FilterteBerechtigungen = $Berechtigungen | Where-Object 

# Überprüfung, ob die Filterung erfolgreich war
if ($FilterteBerechtigungen)  else 

So prüfen Sie, ob es geklappt hat: Prüfen Sie den Inhalt von $FilterteBerechtigungen auf die erwarteten Werte.

Exportieren Sie die erhaltenen Berechtigungen in eine Datei, um sie später zu analysieren oder als Dokumentation zu verwenden.

# Exportieren der Daten
$FilterteBerechtigungen | Export-Csv -Path "C:\temp\Berechtigungen.csv" -NoTypeInformation

# Überprüfung, ob die Datei erfolgreich exportiert wurde
if (Test-Path "C:\temp\Berechtigungen.csv")  else 

So prüfen Sie, ob es geklappt hat: Überprüfen Sie die Existenz und den Inhalt der Datei C:\temp\Berechtigungen.csv.

Um die Prozesse zu automatisieren, können Sie das skriptbasierte Vorgehen in ein PowerShell-Skript integrieren. Dadurch können Sie die Aktionen regelmäßig oder bei Bedarf ausführen.

# Beispiel eines vollständigen Skripts
$GruppenName = "Admins"
$Gruppe = Get-ADGroup -Identity $GruppenName

if ($Gruppe)  else 

So prüfen Sie, ob es geklappt hat: Überprüfen Sie die Datei C:\temp\Berechtigungen.csv, um sicherzustellen, dass das Skript korrekt ausgeführt wurde.

Ursache: Das Active Directory-PowerShell-Modul ist nicht geladen oder installiert.

Lösung: Laden Sie das Modul über Import-Module ActiveDirectory. Stellen Sie sicher, dass das AD-Powershell-Modul auf Ihrem System installiert ist und die Verbindung zur Domäne hergestellt wurde.

Ursache: Der angegebene Gruppenname oder DistinguishedName existiert nicht in der AD-Domäne.

Lösung: Überprüfen Sie den Namen und die Schreibweise. Verwenden Sie Get-ADGroup -Filter *, um alle Gruppennamen zu überprüfen, und stellen Sie sicher, dass Sie den korrekten DistinguishedName verwenden.

Ursache: Der aktuelle Benutzer hat nicht die nötigen Berechtigungen, um die Gruppenberechtigungen auszulesen.

Lösung: Stellen Sie sicher, dass der Benutzer die entsprechenden Administratorenrechte besitzt. Überprüfen Sie die Gruppenmitgliedschaft mit whoami /groups | findstr S-1-5-32-544.

Ursache: Der Befehl Export-Csv ist nicht verfügbar oder das Modul, in dem er enthalten ist, wurde nicht geladen.

Lösung: Stellen Sie sicher, dass Sie eine Version von PowerShell verwenden, die den Export-Befehl unterstützt (PowerShell Core 6+). Verwenden Sie Save-Content als Alternative, falls erforderlich.

Die Auslesung von Berechtigungen in sich selbst ändert keine Einstellungen und ist daher nicht umkehrbar. Wenn Sie Änderungen an den Gruppenberechtigungen durchgeführt haben, können Sie diese manuell wiederherstellen oder mit der Befehlszeile Set-ADPermission die ursprünglichen Berechtigungen zurücksetzen.

• Add-ADPermission (ExchangePowerShell) – learn.microsoft.com
• Get-ADPermission (ExchangePowerShell) – learn.microsoft.com
• Ausführen eines Diensts als Active Directory-Benutzer oder -Gruppe – learn.microsoft.com
• Get-Group (ExchangePowerShell) – learn.microsoft.com
• Power Query Active Directory connector – Power Query – learn.microsoft.com
• Erstellen und Verwalten dynamischer Verteilergruppen in Exchange … – learn.microsoft.com

Hinweis: Dieser Beitrag wurde am 29.10.2026 mit KI-Unterstützung erstellt, auf Basis der genannten Quellen eigenständig formuliert und redaktionell von IT-Tribus betreut. Alle Angaben ohne Gewähr – bitte prüfen Sie Befehle vor dem Einsatz in produktiven Umgebungen und legen Sie vorher eine Sicherung an.