NTFS-Rechte unter C:\ anpassen für Authentifizierte Benutzer

[OnkelGauss 10]

Hallo Community

 

Habe das "Problem", dass Benutzer (ohne Administratoren- Rechte) unter C:\ Ordner erstellen können. Möchte dies anpassen, damit nicht keine Benutzerdaten ausserhalb des Profiles gespeichert werden können (Datensicherung, Neuinstallationen, ...).

 

Habe mir gedacht, dass ich dies mit icacls via Batch/cmd realisieren könnte:

%WINDiR%\system32\icacls.exe C:\ /q /remove *S-1-5-11
%WINDiR%\system32\icacls.exe C:\ /q /grant *S-1-5-11:(OI)(CI)(IO)M

 

Frage 1: Spricht etwas dagegen (Erfahrungen)?

 

Frage 2: Lässt sich das Recht für Ordner erstellen/Daten anhängen mit einer Zeile realisieren? Etwas in dieser Richtung?

icacls.exe C:\ /q /remove *S-1-5-11:(AD)

 

Frage 3: Gibt es eine bessere Lösung?

 

Danke für eure Antworten und einen schönen Tag.