Mac: App darf Schreibtisch und Dokumente nicht lesen
Backup, Terminal oder Sync-Programm findet plötzlich nichts mehr in Schreibtisch, Dokumente und Downloads? macOS wartet auf deine Zustimmung.
Aufwand:
ca. 10 Min.
Voraussetzung:
Systemeinstellungen, Benutzerkonto mit Administrator-Rechten, Terminal
Gilt für:
macOS 13 und neuer
Das Symptom
Das Backup-Programm meldet, der Ordner sei leer. Der Synchronisierer überträgt
seit gestern nichts mehr. Ein Skript, das jahrelang lief, bricht mit „Operation
not permitted“ ab — bei einer Datei, die auf deinem eigenen Schreibtisch liegt
und dir gehört. Der Finder zeigt sie an, du kannst sie doppelklicken, alles
normal. Nur eben nicht für dieses eine Programm.
Und weil kaum eine Anwendung dafür eine saubere Fehlermeldung mitbringt, sieht
das Ergebnis meist nach etwas ganz anderem aus: nach einem leeren Ordner, nach
einem hängenden Abgleich, nach einer kaputten Festplatte.
Die „Layer 8“-Wahrheit
Hier prallen zwei Rechtesysteme aufeinander, und nur eines davon kennen die
meisten. Das alte, aus Unix stammende System fragt: Darf dieser Benutzer diese
Datei lesen? Die Antwort ist Ja, es ist dein Ordner. Seit macOS 10.15 stellt das
System zusätzlich eine zweite Frage, die mit Rechten im klassischen Sinn nichts
zu tun hat: Darf dieses Programm in deinem Namen dorthin greifen? Apple schreibt
das im Sicherheitshandbuch unmissverständlich hin — die Zustimmung wird vom
System erzwungen, bevor irgendeine App Dateien in Dokumente, Downloads,
Schreibtisch, iCloud Drive und auf Netzwerkvolumes anfassen darf.
Genau deshalb ist „Ich bin doch Administrator“ hier keine Antwort. Die Sperre
sitzt nicht auf der Ebene, auf der Administratorrechte etwas bewirken. Sie
schützt nicht das System vor dir, sondern deine Unterlagen vor Programmen, denen
du nie ausdrücklich etwas erlaubt hast.
Der zweite Grund, warum das so lange rätselhaft bleibt: Es gibt zwei Töpfe.
Für Schreibtisch, Dokumente und Downloads fragt das Programm nach und landet danach
unter „Dateien & Ordner“ — dort taucht es wenigstens in der Liste auf, auch das
Terminal. Für den vollen Zugriff auf den internen Speicher kommt laut Apple keine
Nachfrage: Solche Programme müssen von Hand unter „Festplattenvollzugriff“
eingetragen werden. Wer nur in der ersten Liste sucht,
findet dort nie etwas und schließt daraus, die Berechtigung könne es nicht sein.
Und dann ist da noch der Klassiker, der die letzten Minuten frisst: Der Haken
sitzt, es geht trotzdem nicht. Berechtigungen werden beim Start eines Prozesses
eingesammelt. Das noch laufende Programm kennt nur seinen alten, verneinten
Zustand und behält ihn bei, bis es wirklich beendet wird — nicht bis sein Fenster
zu ist.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Prüfen, ob es wirklich die Berechtigung ist
Der Test dauert zehn Sekunden. Öffne das Terminal und lasse dir den Schreibtisch auflisten. Fragt macOS stattdessen, ob das Terminal auf den Schreibtisch zugreifen darf, ist das genau diese Zustimmung. Kommt statt der Dateiliste eine Meldung über eine nicht erlaubte Operation, ist es nicht die Festplatte und nicht dein Konto, sondern die Zustimmung, die dem Terminal fehlt.
ls ~/Desktop
2.
Die eigene macOS-Version feststellen
Der Ort hat sich mit macOS 13 verschoben, und die Anleitungen im Netz sind entsprechend uneinheitlich. Apple nennt beide Wege: ab macOS 13 liegt die Einstellung unter Datenschutz & Sicherheit, bei macOS 12 und älter unter Sicherheit & Datenschutz. Wer die eigene Version kennt, sucht nicht in der falschen Anleitung.
sw_vers
3.
Den Eintrag „Dateien & Ordner“ öffnen
Apfel-Menü, dann Systemeinstellungen, in der Seitenleiste Datenschutz & Sicherheit, dort Dateien & Ordner. Apple beschreibt diese Liste so: Für jedes Programm in der Liste lässt sich der Zugriff auf Dateien und Ordner an bestimmten Orten ein- oder ausschalten. Steht das Programm dort mit ausgeschaltetem Schalter, ist die Frage einmal verneint worden — Haken setzen genügt.
4.
Für den ganzen Datenträger den Festplattenvollzugriff nehmen
Apple trennt zwei Fälle: Für Schreibtisch, Dokumente, Downloads, Netzwerk- und Wechselvolumes fragt das Programm beim ersten Zugriff nach und steht danach unter Dateien & Ordner. Das gilt auch für das Terminal. Programme, die den vollen internen Speicher brauchen, etwa Backup-Werkzeuge und Virenscanner, bekommen dagegen keine Nachfrage: Sie müssen im selben Bereich unter Festplattenvollzugriff von Hand eingetragen werden. Dort das Programm über die Plus-Schaltfläche nachtragen und den Schalter einschalten. Ohne diesen Schritt scheitern sie stumm.
5.
Das Programm vollständig beenden und neu starten
Der Schritt, an dem die meisten hängen bleiben. Die Zustimmung wird beim Start eines Prozesses ausgewertet und nicht laufend neu abgefragt. Also Befehlstaste-Q drücken, im Dock prüfen, dass unter dem Symbol kein Punkt mehr steht, und erst dann erneut starten. Ein geschlossenes Fenster ist kein beendetes Programm.
6.
Beim Terminal an die richtige Anwendung denken
Wer über iTerm, Warp, Visual Studio Code oder einen Editor arbeitet, muss genau dieses Programm eintragen — nicht Terminal.app. Die Berechtigung hängt an der Anwendung, die den Prozess gestartet hat. Und der Pfad zu den Programmen lautet im Dateisystem immer /Applications, auch wenn der Finder den Ordner auf Deutsch als Programme anzeigt.
ls /Applications
7.
Auf dem Firmen-Mac das Konfigurationsprofil prüfen
Ist der Schalter ausgegraut oder springt er nach dem Neustart zurück, entscheidet nicht mehr dein Klick, sondern die Geräteverwaltung. Dann hilft kein weiteres Klicken, sondern nur ein Ticket bei der IT. Auch das ist kein Defekt, sondern eine Entscheidung — nur eben nicht deine.
Häufige Fragen (FAQ)
?Ich bin doch Administrator. Warum reicht das nicht?
Weil hier zwei verschiedene Fragen beantwortet werden. Die Unix-Rechte beantworten die Frage, ob DU die Datei lesen darfst — die tust du, es ist dein Ordner. macOS stellt seit Version 10.15 zusätzlich die Frage, ob dieses PROGRAMM in deinem Namen dort lesen darf. Apple schreibt dazu im Sicherheitshandbuch wörtlich: „In macOS 10.15 or later, this model is enforced by the system to help ensure that all apps have obtained user consent before accessing files in Documents, Downloads, Desktop, iCloud Drive, and network volumes.“ Administrator zu sein hilft dagegen nichts, weil die Sperre gar nicht auf der Rechteebene sitzt.
?Was ist der Unterschied zwischen „Dateien & Ordner“ und „Festplattenvollzugriff“?
„Dateien & Ordner“ ist die feine Auflösung: Dort steht pro Programm, ob es an Schreibtisch, Dokumente oder Downloads darf. Diese Einträge tauchen erst auf, nachdem ein Programm einmal gefragt hat. Der Festplattenvollzugriff ist der grobe Schalter für Programme, die den kompletten Datenträger brauchen — etwa Backup-Werkzeuge und Virenscanner. Apple beschreibt ihn als eigene Kategorie: Programme, die vollen Zugriff auf das Speichergerät benötigen, müssen ab macOS 10.13 ausdrücklich in den Einstellungen hinzugefügt werden. In Apples Übersicht steht der Unterschied in einer Tabelle: Bei Dateien und Ordnern (Schreibtisch, Dokumente, Downloads, Netzwerk- und Wechselvolumes) fragt das Programm nach, beim vollen Zugriff auf den internen Speicher muss man die Einstellung selbst ändern. Dort kommt also keine Nachfrage, das Programm scheitert still.
?Warum scheitert ein Terminal-Befehl mit „Operation not permitted“, obwohl die Datei mir gehört?
Weil nicht du den Befehl ausführst, sondern das Terminal. Der Schutz hängt am Programm, das die Datei anfassen will, nicht am Benutzerkonto. Solange das Terminal keine Zustimmung hat, bekommt es beim Lesen von Schreibtisch, Dokumente, Downloads, iCloud Drive und Netzwerkvolumes dieselbe Absage wie jede andere App. Für Schreibtisch, Dokumente und Downloads fragt macOS beim ersten Zugriff nach, das Terminal steht danach unter Dateien & Ordner; wurde die Frage verneint, dort den Schalter einschalten. Festplattenvollzugriff braucht das Terminal erst für Orte, die diese Liste nicht abdeckt. Achtung, das ist ein anderer Fall als der Systemintegritätsschutz: Der schützt Systemordner und lässt sich auch mit Zustimmung nicht per Klick aushebeln, dieser hier schon.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.