Leider enthält keiner der Links eine Antwort auf die ursprüngliche Frage. Ich hab mal folgendes probiert, aber bin mir noch nicht klar, ob das "Best practise" ist:
In einem Hauptordner, in dem ein User bzw. eine Gruppe nur Leserechte haben darf machen ich
> icacls . /grant DOMAIN\user:(NP)(R)
Ein Unterordner, der zwar nicht gelöscht oder umbenannt werden darf, aber in dem geschrieben, modifiziert und gelöscht werden darf, bekommt in 2 Schritten folgende Rechte:
> icacls <folder> /grant LOGISTIK\scan:(NP)(R,WD)
> icacls <folder> /grant LOGISTIK\scan:(OI)(CI)(IO)(M)
Hintergrund zu den Parametern:
https://ss64.com/nt/icacls.html
Gerne Feedback, was ihr davon haltet!
