Bei NTFS Berechtigungen gilt die Summe der erlaubten Berechtigungen solange nicht explizit verweigert wird. Wenn ein Benutzer oder eine Gruppe mehrere Berechtigungen über unterschiedliche Wege (Vererbung, explizite Zuweisung, Mitgliedschaft in mehreren Gruppen) erhält, dann werden alle "Erlauben" Berechtigungen zusammengerechnet. Eine "Verweigern" Berechtigung hat Vorrang und überschreibt "Erlauben" (sofern sie nicht auf niedrigerer Ebene wieder aufgehoben wird). Die "restriktivste" Regel kommt nur bei der Kombination SMB (Freigabe) + NTFS zum Tragen. Da gilt: effektive Berechtigung = die restriktivste von beiden.
