chmod Rechner — Linux Dateiberechtigungen

Was ist chmod?

# Make a script executable, then verify with ls -l
$ ls -l deploy.sh
-rw-r--r--  1 jack  staff  512 Jul 17 10:00 deploy.sh
$ chmod 755 deploy.sh
$ ls -l deploy.sh
-rwxr-xr-x  1 jack  staff  512 Jul 17 10:00 deploy.sh

# The symbolic equivalent of 755
$ chmod u=rwx,go=rx deploy.sh

# Read the current mode as a number
$ stat -c '%a' deploy.sh   # Linux → 755
$ stat -f '%Lp' deploy.sh  # macOS → 755

Hauptfunktionen

chmod Berechtigungsbeispiele

755

rwxr-xr-x — chmod 755 file · chmod u=rwx,go=rx file

600

rw------- — der Besitzer liest und schreibt, alle anderen sehen nichts

4755

rwsr-xr-x — im Execute-Slot des Besitzers steht s statt x

drwxr-xr-x  5 jack staff 160 Jul 17 dist

755

So verwenden Sie den chmod Rechner

1. 1

   Berechtigungen beliebig setzen

   Haken Sie Lesen, Schreiben und Ausführen pro Klasse an, tippen Sie einen Oktalmodus wie 755 oder 4755 oder starten Sie mit einem der Preset-Chips — SSH-Schlüssel 400, private Datei 600, Web-Datei 644, Skript 755 und mehr.

2. 2

   Alle drei Ansichten gleichzeitig lesen

   Die Checkbox-Matrix, der Oktalwert und der symbolische rwx-String bleiben in jede Richtung synchron; jede Zeile zeigt dabei ihre Ziffer und ihren Drei-Zeichen-Ausschnitt, während Sie arbeiten.

3. 3

   Genau den Befehl kopieren, den Sie brauchen

   Fünf startklare Varianten aktualisieren sich live: numerischer Modus, das symbolische Äquivalent mit intelligenter Gruppierung, rekursives -R sowie das sicherere Paar „nur Verzeichnisse“/„nur Dateien“ auf Basis von find -type.

4. 4

   Vorhandene Berechtigungen dekodieren

   Fügen Sie eine komplette ls -l Zeile — Dateityp-Zeichen, ACL-Marker und alles Übrige — in das symbolische Feld ein und lesen Sie den Oktalwert sofort ab, Spezialbits inklusive.

5. 5

   umask prüfen und Ergebnis teilen

   Der umask-Bereich zeigt, was neue Dateien und Verzeichnisse erhalten, und „Link kopieren“ hält den aktuellen Modus in einer URL fest, die Sie in ein Code-Review oder ein Runbook einfügen können.

Häufige chmod-Fehler

sudo chmod -R 777 /var/www   # Zugriff klappt, Sicherheit ist weg

sudo chown -R www-data:www-data /var/www   # Besitzer korrigieren, 755/644 behalten

chmod -R 777 uploads/

find uploads -type d -exec chmod 755 {} + && find uploads -type f -exec chmod 644 {} +

chmod 644 reports/   # cd reports/ → Permission denied

chmod 755 reports/   # Verzeichnisse tragen x, damit man sie betreten kann

./deploy.sh   # bash: ./deploy.sh: Permission denied

chmod u+x deploy.sh && ./deploy.sh

Was Sie mit dem chmod Rechner machen können

Sicher auf Webserver deployen

Setzen Sie mit den generierten find-Befehlen 755 auf Verzeichnisse und 644 auf Dateien in nginx- oder Apache-Document-Roots, und lassen Sie das Risiko-Panel bestätigen, dass vor dem Deploy nichts für jeden beschreibbar ist. Kombinieren Sie das mit dem htpasswd-Generator, wenn ein Verzeichnis zusätzlich Basic-Auth-Schutz braucht.

SSH-Schlüsselberechtigungen reparieren

Die Preset-Chips 400 und 600 erzeugen genau das, was OpenSSH für private Schlüssel verlangt, und die FAQ erklärt Schritt für Schritt die Fehlermeldung 'Permissions 0644 ... are too open', die erscheint, wenn ein Schlüssel für die Gruppe lesbar bleibt.

Berechtigungen bei der Incident-Triage dekodieren

Fügen Sie ls -l Zeilen aus einer Produktions-Shell direkt in das symbolische Feld ein und verwandeln Sie rwxr-sr-x in 2755, ohne Bits im Kopf zu zählen — Spezialmodi, ACL-Marker und Dateityp-Zeichen werden alle verstanden.

Shared Hosting und FTP-Modi richtig setzen

Control Panels und FTP-Clients fragen nach numerischen Modi: 755 für public_html, 644 für Seiten, 600 für Konfigurationsdateien mit Zugangsdaten. Preset laden, Tabelle lesen, Zahl kopieren — kein Raten.

Container und CI-Skripte vorbereiten

Entrypoints und Hook-Skripte brauchen u+x, bevor Docker oder ein CI-Runner sie ausführen kann, und Volume-Mounts erben die Modi des Hosts. Erzeugen Sie hier das exakte chmod für jeden Fall und planen Sie die zugehörigen Jobs mit dem Crontab-Generator.

So funktionieren Linux-Dateiberechtigungen

Die Oktal-Arithmetik: 4 + 2 + 1

Jede Benutzerklasse erhält eine Oktalziffer, und die Ziffer ist die Summe aus Lesen = 4, Schreiben = 2 und Ausführen = 1. Alle acht Kombinationen existieren: 0 nichts, 1 nur Ausführen, 2 nur Schreiben, 3 Schreiben + Ausführen, 4 nur Lesen, 5 Lesen + Ausführen, 6 Lesen + Schreiben, 7 alle drei. Ein Modus wie 640 liest sich daher so: Besitzer 6 (Lesen + Schreiben), Gruppe 4 (nur Lesen), Andere 0 (nichts). Die Ziffern-Tabelle auf dieser Seite listet alle acht Zeilen, und die Matrix zeigt, wie dieselbe Summe beim Anhaken der Boxen entsteht.

Numerischer (absoluter) Modus vs. symbolischer Modus

chmod akzeptiert dieselben Bits auf zwei Arten. Der numerische Modus benennt das vollständige Ergebnis — chmod 755 file ersetzt, was vorher da war. Der symbolische Modus beschreibt eine Änderung relativ zum aktuellen Zustand: chmod u=rwx,go=rx file setzt Klassen explizit, während chmod g+w file ein einzelnes Bit umlegt und den Rest unangetastet lässt. Numerisch ist ideal, um in Skripten und Deployments einen bekannten guten Zustand zu erzwingen; symbolisch glänzt bei punktuellen Anpassungen wie u+x. Dieser Rechner gibt beide Formen aus, mit automatisch zusammengefassten Klassen (go=rx, a=rwx), wie erfahrene Admins sie schreiben.

setuid, setgid und das Sticky-Bit

Eine vierte, führende Oktalziffer codiert die Spezialmodi: setuid = 4000 führt ein Programm mit den Rechten des Dateibesitzers aus, setgid = 2000 tut dasselbe für die Gruppe (und lässt neue Dateien in einem Verzeichnis dessen Gruppe erben), und das Sticky-Bit = 1000 beschränkt das Löschen in einem geteilten Verzeichnis auf den jeweiligen Dateibesitzer — /tmp ist das kanonische 1777. In ls -l ersetzen sie den Execute-Slot: kleines s oder t, wenn Execute ebenfalls gesetzt ist, großes S oder T, wenn nicht (meist eine prüfenswerte Fehlkonfiguration). Eine GNU/Linux-Feinheit: Numerisches chmod erhält vorhandene setuid/setgid-Bits auf Verzeichnissen absichtlich — entfernen Sie sie mit einem fünfstelligen Modus wie 00755, einer Gleichheitsklausel wie =755 oder mit u-s,g-s, wie im GNU-coreutils-Handbuch dokumentiert. BSD und macOS entfernen sie bei numerischen Modi standardmäßig.

Wie die umask neue Dateien formt

Frisch angelegte Dateien starten von der Basis 666, Verzeichnisse von 777; die umask des Prozesses schaltet anschließend die in ihr enthaltenen Bits ab — effektiver Modus = Basis & ~umask. Die Standard-umask 022 maskiert das Schreibbit für Gruppe und Andere und ergibt die vertrauten 644-Dateien und 755-Verzeichnisse. Ein strengeres 077 liefert 600 und 700 und hält alles privat beim Besitzer; ein kollaboratives 002 ergibt 664 und 775, sodass die Gruppe schreiben kann. Der umask-Bereich auf dieser Seite führt die Rechnung für beide Basen live aus.

Best Practices für Dateiberechtigungen

Nur die geringsten nötigen Rechte vergeben

Beginnen Sie mit dem engsten Modus und öffnen Sie nur, was tatsächlich fehlschlägt: 600 für private Dateien, 644 für gemeinsam lesbare, 755 nur dort, wo Ausführen oder Betreten wirklich gebraucht wird. Jedes zusätzliche Schreibbit ist Angriffsfläche.

Standard: 644-Dateien in 755-Verzeichnissen

Diese Kombination deckt fast jedes Web-Root, jeden Repository-Checkout und jedes geteilte Lese-Szenario ab. Reguläre Dateien brauchen selten Execute; Verzeichnisse brauchen es immer, um betreten werden zu können — die Verwechslung der beiden verursacht die meisten alltäglichen Berechtigungsfehler.

Rekursion mit find -type statt pauschalem -R

chmod -R 755 markiert jede Datei als ausführbar. Verwenden Sie die von diesem Tool erzeugten Befehle für „nur Verzeichnisse“ und „nur Dateien“ oder das große X von GNU chmod (u+rwX,go+rX), das Execute nur dort setzt, wo es hingehört.

Nie 777 auf etwas lassen, das ein Server erreicht

Für jeden beschreibbare Web-Roots und Upload-Verzeichnisse sind der Lehrbuchweg zu eingeschleusten Dateien und verunstalteten Seiten. Müssen mehrere Konten schreiben, ist eine gemeinsame Gruppe mit 775 oder 2775 (setgid hält die Gruppenzugehörigkeit konsistent) dem Öffnen für die ganze Welt vorzuziehen.

SSH-Schlüssel auf 600 halten — oder 400, sobald sie final sind

OpenSSH lehnt gruppen- oder weltlesbare private Schlüssel rundweg ab. 600 ist der Arbeitsstandard; 400 verhindert zusätzlich das versehentliche Überschreiben eines Schlüssels, den Sie nie bearbeiten wollen. Öffentliche Schlüssel und authorized_keys sind mit 644 in Ordnung.

FAQ zum chmod Rechner