Verständnisfrage zum Ordner "Geteilt" und ACLs

Hallo,

die Rechteverwaltung (und sparsame Dokumentation selbiger) von macOS treibt mich in den Wahnsinn.

Disclaimer: Die folgende Namenswahl ist aus Verständnisgründen hier bewusst einfach gewählt. ;-)

Ich möchte folgendes realisieren (nur wie macht man das möglich pfiffig?) ...

Ein macOS Verzeichnis 'Sicherung' soll mit Leserechten im Netz via SMB für einen User backup freigegeben werden. Jeden Tag schreibt jedoch ein User admin über einen Backupprozess in dieses Verzeichnis 'Sicherung' neue Unterverzeichnisse. Der Ordner 'Sicherung' soll nicht für alle anderen im Netz sichtbar sein. Eigentlich soll den niemand sehen. Lediglich der User backup soll sich darauf einloggen und das Backup via SMB abholen können.

Was einfach klingt, scheint eine echte Herausforderung zu sein.

Beholfen habe ich mir aktuell damit, das Verzeichnis unter 'Geteilt' anzulegen. Anschließend habe ich eine Gruppe backup mit einem User backup angelegt und nur Leserechte vergeben. Zuletzt habe ich die ACL angepasst, damit die Rechte vererbt werden. Der Zugriff klappt soweit auch. Allerdings sehen die anderen Macs im Netz besagten Ordner nun leider auch weil er unter 'Geteilt' liegt. Das möchte ich allerdings gerne vermeiden. Die brauchen das Backup nicht sehen. Jedoch kann ich die Rechte von wheel und everyone im Verzeichnis 'Sicherung' unterhalb von 'Geteilt' offenbar nicht einschränken. Das macht auch Sinn, weil 'Geteilt' ja systemweit für alle zur Verfügung stehen soll.

Lege ich nun alternativ besagtes Verzeichnis als Unterverzeichnis von 'Dokumente' von admin an, habe ich jedoch den Ärger, dass die durch den Backupprozess täglich neu ergänzten Dateien und Verzeichnisse die Leserechte des backup nicht vererben. Oder kann ich das auch via ACL anpassen? Falls ja, wie?

Natürlich kann ich mir das ganz einfach machen und nicht als backup, sondern admin die Dateien abholen lassen. Damit hätte der abholende Dienst jedoch Vollzugriff auf den zu sichernden Mac, was ich aus verständlichen Gründen nicht möchte. Es muss doch auch mal ohne Vollzugriff und admin gehen, ohne dass es gleich elendig fummelig wird.

Daher die Frage in die Runde an die ACL-Freaks und macOS-Rechtefüchse: Wie macht man das am schlausten bzw. elegantesten?

Besten Dank!