Linux Benutzer & Gruppen verwalten – Anleitung

Wer einen Server betreibt, kommt an der Benutzerverwaltung nicht vorbei – schon aus Sicherheitsgründen sollte nicht alles als root laufen. In dieser Anleitung lernst du, wie du unter Linux Benutzer und Gruppen verwaltest: Konten anlegen, Passwörter setzen, Gruppen zuweisen, sudo-Rechte vergeben und Nutzer wieder entfernen.

Die Benutzer- und Gruppenverwaltung ist das Rückgrat der Sicherheit jedes Linux-Systems. Sie regelt, wer sich anmelden darf, welche Dateien jemand sehen kann und wer administrative Aufgaben übernimmt. Wer einen Server betreibt, sollte nach dem Grundsatz der minimalen Rechte arbeiten: nicht alles als root, sondern getrennte Konten mit klar abgegrenzten Befugnissen. In dieser Anleitung lernst du, unter Linux Benutzer und Gruppen zu verwalten – Konten anlegen, Passwörter setzen, Gruppen zuweisen, sudo-Rechte vergeben und Nutzer sauber entfernen – und verstehst dabei auch, wie das System diese Informationen im Hintergrund speichert.

Benutzer und Gruppen – die Grundlagen

Jeder Prozess und jede Datei unter Linux gehört einem Benutzer und einer Gruppe. Über Gruppen vergibst du Rechte bequem an mehrere Nutzer gleichzeitig. Das Zusammenspiel bestimmt, wer was darf – die Details dazu erklärt Dateirechte unter Linux.

Einen neuen Benutzer anlegen

Am komfortabelsten legst du auf Debian/Ubuntu einen Benutzer mit adduser an. Der Befehl erstellt Home-Verzeichnis und fragt interaktiv nach einem Passwort:

sudo adduser tobias

sudo adduser tobias

Das Passwort kannst du jederzeit später ändern:

sudo passwd tobias

sudo passwd tobias

Benutzer zu einer Gruppe hinzufügen

Mit usermod -aG fügst du einen Nutzer einer weiteren Gruppe hinzu. Wichtig ist das -a (append) – ohne es würdest du bestehende Gruppen überschreiben:

sudo usermod -aG docker tobias

sudo usermod -aG docker tobias

Welche Gruppen ein Benutzer hat, zeigt dir:

groups tobias

groups tobias

sudo-Rechte vergeben

Damit ein Benutzer administrative Befehle ausführen darf, nimmst du ihn in die Gruppe sudo (Debian/Ubuntu) bzw. wheel (Fedora/RHEL) auf:

sudo usermod -aG sudo tobias

sudo usermod -aG sudo tobias

Nach einer Neuanmeldung kann der Nutzer Befehle mit vorangestelltem sudo ausführen. Das ist die sichere Alternative zum direkten Arbeiten als root – passend dazu: SSH-Server absichern.

Benutzer und Gruppen anzeigen

Einen Benutzer löschen

Nicht mehr benötigte Konten entfernst du mit deluser. Mit --remove-home löschst du gleich das Home-Verzeichnis mit:

sudo deluser --remove-home tobias

sudo deluser --remove-home tobias

System- und normale Benutzer unterscheiden

Nicht jeder Benutzer ist ein Mensch. Linux unterscheidet zwischen normalen Benutzerkonten und Systemkonten, die Diensten wie Webservern oder Datenbanken gehören. Erkennbar sind sie an der Benutzer-ID (UID): Systemkonten liegen üblicherweise unter 1000, normale Anmeldekonten darüber. Diese Trennung sorgt dafür, dass ein Dienst nur genau die Rechte hat, die er braucht.

Alle Konten samt UID, Standardgruppe und Home-Verzeichnis stehen in der Datei /etc/passwd. Die verschlüsselten Passwörter liegen getrennt und nur für root lesbar in /etc/shadow, die Gruppen in /etc/group. Diese Dateien bearbeitest du im Alltag nicht von Hand, sondern über die passenden Befehle.

Konten und Passwörter absichern

Ein Benutzerkonto ist nur so sicher wie sein Passwort und seine Verwaltung. Mit passwd benutzer setzt du ein Passwort neu, mit chage steuerst du dessen Ablauf. So kannst du erzwingen, dass ein Passwort regelmäßig geändert wird oder ein Konto zu einem bestimmten Datum ausläuft – praktisch für befristete Zugänge.

• Konto sperren: usermod -L benutzer deaktiviert die Anmeldung, ohne das Konto zu löschen.
• Konto entsperren: usermod -U benutzer hebt die Sperre wieder auf.
• Passwort-Ablauf setzen: chage -M 90 benutzer erzwingt einen Wechsel alle 90 Tage.
• Login ganz verhindern: eine Login-Shell wie /usr/sbin/nologin für reine Dienstkonten.

Best Practices für die Benutzerverwaltung

Eine saubere Benutzerverwaltung folgt einigen bewährten Prinzipien, die sich im Betrieb immer wieder auszahlen. Im Kern geht es darum, Rechte so knapp wie möglich zu halten und Verantwortlichkeiten nachvollziehbar zu machen. Gerade bei Servern mit mehreren Administratoren verhindert das teure Fehler.

• Kein direktes root-Login: Arbeite mit persönlichen Konten und sudo, das schafft Nachvollziehbarkeit.
• Gruppen statt Einzelrechte: Vergib Berechtigungen über Gruppen, das skaliert und bleibt übersichtlich.
• Regelmäßig aufräumen: Entferne Konten ausgeschiedener Nutzer zeitnah.
• SSH-Schlüssel bevorzugen: Anmeldung per Schlüssel ist sicherer als per Passwort.

Wie du festlegst, welche Dateien ein Benutzer oder eine Gruppe tatsächlich lesen und ändern darf, zeigt der Beitrag zu den Dateirechten mit chmod und chown.

Primäre und sekundäre Gruppen

Jeder Benutzer hat genau eine primäre Gruppe – meist eine gleichnamige Gruppe, die beim Anlegen automatisch entsteht. Neu erstellte Dateien gehören standardmäßig dieser primären Gruppe. Zusätzlich kann ein Benutzer beliebig vielen sekundären Gruppen angehören, die ihm weitere Rechte verleihen, etwa Zugriff auf bestimmte Geräte oder Verzeichnisse.

Mit dem Befehl groups benutzer siehst du auf einen Blick, in welchen Gruppen jemand steckt, und id benutzer zeigt zusätzlich die numerischen IDs. Wichtig zu wissen: Eine frisch zugewiesene Gruppe wird erst nach einer neuen Anmeldung wirksam, weil Gruppen beim Login geladen werden. Meldet sich der Nutzer nach der Änderung nicht neu an, wundert er sich über weiterhin fehlende Rechte.

Häufige Fragen

Rund um Benutzer und Gruppen gibt es ein paar Klassiker unter den Fragen. Diese Antworten helfen dir schnell weiter.

Was ist der Unterschied zwischen usermod -aG und usermod -G?

Das ist eine der häufigsten Fehlerquellen: usermod -aG gruppe benutzer fügt den Benutzer zusätzlich zur Gruppe hinzu. usermod -G gruppe benutzer ersetzt dagegen alle bisherigen Nebengruppen durch die genannte – vergisst du das -a, fliegt der Benutzer versehentlich aus allen anderen Gruppen.

Wie sperre ich einen Benutzer nur vorübergehend?

Nutze usermod -L benutzer, um das Konto zu sperren, ohne Daten zu verlieren. Die Anmeldung ist dann blockiert, alle Dateien bleiben erhalten. Mit usermod -U benutzer aktivierst du das Konto später wieder.

Wo speichert Linux Benutzer und Gruppen?

Benutzerkonten stehen in /etc/passwd, die verschlüsselten Passwörter in /etc/shadow und die Gruppen in /etc/group. Bearbeite diese Dateien nicht direkt, sondern über Befehle wie useradd, usermod und passwd, damit sie konsistent bleiben.

Fazit

Mit adduser, passwd, usermod -aG und deluser hast du die Benutzerverwaltung im Griff. Der wichtigste Grundsatz: Arbeite mit normalen Benutzern und vergib gezielt sudo-Rechte, statt alles als root zu erledigen. Wie sich Rechte auf Dateien auswirken, zeigt der nächste Schritt: Dateirechte verstehen.