Automatische Updates

Modul 4: Software und Updates · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie automatische Sicherheitsupdates aktivieren und prüfen, Sie wissen, was automatisch geschieht und was nicht, und Sie wissen, wann ein Neustart nötig ist.

Kernbegriffe: unattended-upgrades, 20auto-upgrades, 50unattended-upgrades, Origins-Pattern und Allowed-Origins, apt-daily-Timer, needrestart, /var/run/reboot-required, Automatic-Reboot, Kernel-Update, dnf-automatic

Warum automatisch?

Sicherheitslücken werden gefunden, behoben und danach aktiv ausgenutzt, oft innerhalb weniger Tage. Ein Server, den Sie einmal im Monat aktualisieren, ist also im Durchschnitt wochenlang für bekannte Lücken offen. Das niederländische NCSC zählt das rechtzeitige Installieren von Updates zu den Grundprinzipien digitaler Widerstandsfähigkeit: "Das rechtzeitige Aktualisieren und Patchen von Software hilft, Schwachstellen schnell zu beheben."

Trotzdem ist "alles automatisch" auch nicht richtig. Eine neue Version eines Programms kann sich anders verhalten als die alte, und ein Server, der sich mitten am Tag selbst neu startet, kann Ihre Besucher treffen. Der übliche Mittelweg unter Debian und Ubuntu ist:

• Sicherheitsupdates automatisch, jeden Tag;
• andere Updates und Release-Upgrades von Hand, zu einem Zeitpunkt, den Sie wählen, mit einem Snapshot vorab;
• Neustarts geplant, zu einem ruhigen Zeitpunkt, und kontrolliert.

Das Programm, das dies regelt, heißt unattended-upgrades.

unattended-upgrades aktivieren

Unter Ubuntu Server ist unattended-upgrades standardmäßig installiert, und automatische Sicherheitsupdates sind direkt nach der Installation aktiv. Unter Debian ist es auf vielen Installationen und Images ebenfalls schon vorhanden, aber nicht immer. Prüfen und aktivieren Sie es:

anna@web1:~$ sudo apt install unattended-upgrades
anna@web1:~$ sudo dpkg-reconfigure -plow unattended-upgrades

Der zweite Befehl fragt "Automatically download and install stable updates?". Wählen Sie Yes. Dadurch wird die Datei /etc/apt/apt.conf.d/20auto-upgrades geschrieben:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Die 1 bedeutet: jeden Tag. Mit 0 schalten Sie es ab. Die eigentliche Arbeit wird von zwei systemd-Timern gestartet (Lektion 6.3), die Sie so ansehen:

anna@web1:~$ systemctl list-timers 'apt*'
NEXT                        LEFT     LAST                        PASSED  UNIT                    ACTIVATES
Tue 2026-11-10 06:24:11 CET 9h left  Mon 2026-11-09 06:41:03 CET 14h ago apt-daily-upgrade.timer apt-daily-upgrade.service
Tue 2026-11-10 08:02:47 CET 11h left Mon 2026-11-09 19:12:30 CET 1h ago  apt-daily.timer         apt-daily.service

apt-daily lädt die Paketlisten (wie apt update), apt-daily-upgrade installiert die Updates. Die Zeiten sind zufällig gestreut, damit nicht alle Server der Welt gleichzeitig die Paketquellen belasten.

Was wird automatisch installiert?

Das steht in /etc/apt/apt.conf.d/50unattended-upgrades. Unter Debian heißt der Block Unattended-Upgrade::Origins-Pattern, unter Ubuntu Unattended-Upgrade::Allowed-Origins. Standardmäßig sind dort die Sicherheitsquelle und die feste Quelle Ihres Releases aktiv und die Quelle -updates deaktiviert. Unter Ubuntu sieht das so aus:

Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}";
        "${distro_id}:${distro_codename}-security";
        "${distro_id}ESMApps:${distro_codename}-apps-security";
        "${distro_id}ESM:${distro_codename}-infra-security";
//      "${distro_id}:${distro_codename}-updates";
//      "${distro_id}:${distro_codename}-proposed";
//      "${distro_id}:${distro_codename}-backports";
};

Zeilen mit // davor sind deaktiviert. Lassen Sie das bei einem ersten Server so. Ändern Sie die Datei nicht direkt, denn eine spätere Version des Pakets möchte sie möglicherweise ersetzen. Debian empfiehlt, eigene Änderungen in eine eigene Datei zu schreiben, zum Beispiel /etc/apt/apt.conf.d/52unattended-upgrades-local; spätere Dateien haben Vorrang vor früheren.

Pakete aus zusätzlichen Quellen (Docker, Caddy, PostgreSQL vom Hersteller) werden standardmäßig nicht automatisch aktualisiert. Das ist eine bewusste Entscheidung: Diese verfolgen Sie selbst (Lektion 9.4), oder Sie fügen die Quelle von Hand zur Liste hinzu, wenn Sie dem Hersteller vertrauen und die Folgen kennen.

Einige Einstellungen, die Sie häufig haben möchten:

// /etc/apt/apt.conf.d/52unattended-upgrades-local
Unattended-Upgrade::Mail "root";
Unattended-Upgrade::MailReport "only-on-error";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Automatic-Reboot "false";

Mail funktioniert nur, wenn der Server E-Mails versenden kann (ein kleines Relay, Lektion 8.3). Ist das nicht möglich, überspringen Sie es und nutzen Sie die Überwachung aus Lektion 8.3.

Prüfen, ob es funktioniert

Ein Automatismus, der unbemerkt stoppt, ist gefährlicher als gar keiner, denn Sie glauben, Sie seien sicher. Prüfen Sie deshalb drei Dinge.

1. Ein Probelauf. Er zeigt, was passieren würde, ohne etwas zu ändern:

anna@web1:~$ sudo unattended-upgrade --dry-run --debug
...
Allowed origins are: origin=Debian,codename=trixie,label=Debian, origin=Debian,codename=trixie-security,label=Debian-Security, ...
Packages that will be upgraded: libssl3t64 openssh-server

2. Das Protokoll. Jeder Lauf schreibt nach /var/log/unattended-upgrades/unattended-upgrades.log:

anna@web1:~$ sudo tail -n 5 /var/log/unattended-upgrades/unattended-upgrades.log
2026-11-09 06:41:15,201 INFO Packages that will be upgraded: openssh-server
2026-11-09 06:41:15,202 INFO Writing dpkg log to /var/log/unattended-upgrades/unattended-upgrades-dpkg.log
2026-11-09 06:41:29,874 INFO All upgrades installed

3. Was noch offen ist. apt list --upgradable (Lektion 4.1) sollte nach einer Nacht keine Pakete aus -security mehr anzeigen. Stehen sie dort mehrere Tage hintereinander, hakt etwas: eine volle Festplatte, eine Sperre durch ein manuell gestartetes apt, das hängt, oder ein Paket, das eine Rückfrage stellt.

Neustarts: Dienste und der Kernel

Ein aktualisiertes Programm auf der Festplatte ist noch nicht dasselbe wie ein aktualisiertes Programm im Arbeitsspeicher. Läuft OpenSSH schon seit drei Wochen, dann läuft der alte Code, bis der Dienst neu startet.

• Dienste: Das Programm needrestart prüft nach einem Update, welche Dienste noch alte Bibliotheken verwenden. Unter Ubuntu 24.04 und neuer startet unattended-upgrades diese Dienste über needrestart standardmäßig selbst neu. Unter Debian ist needrestart ein separates Paket (apt install needrestart), das Sie interaktiv fragt, welche Dienste neu starten sollen.
• Der Kernel: Ein neuer Kernel ist erst nach einem Neustart des gesamten Servers aktiv. Debian und Ubuntu legen dann die Datei /var/run/reboot-required an:

anna@web1:~$ cat /var/run/reboot-required
*** System restart required ***
anna@web1:~$ cat /var/run/reboot-required.pkgs
linux-image-6.12.57+deb13-amd64

Sie haben zwei Möglichkeiten. Entweder starten Sie selbst neu, zum Beispiel jede Woche zu einem festen Zeitpunkt, nachdem Sie nachgesehen haben, ob die Datei vorhanden ist. Oder Sie lassen das unattended-upgrades erledigen:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:30";

Der Standard ist false. Aktivieren Sie die Option nur, wenn Sie sicher sind, dass nach einem Neustart alles von selbst wieder hochfährt: Dienste mit enable (Lektion 6.1), Container mit einer restart:-Richtlinie (Lektion 9.3) und eine Überwachung, die Sie warnt, wenn das nicht der Fall ist (Lektion 8.3). Testen Sie es zuerst einmal von Hand: sudo reboot, und prüfen Sie, ob alles zurückkommt.

Ubuntu bietet über Ubuntu Pro außerdem Livepatch an, das manche Kernel-Fixes ohne Neustart anwendet. Das ist eine Ergänzung, kein Ersatz: Auch mit Livepatch starten Sie gelegentlich neu.

Was Sie nicht automatisch erledigen

• Release-Upgrades (von Debian 12 auf 13, von Ubuntu 24.04 auf 26.04): immer von Hand, mit einem Plan (Lektion 4.3).
• Große Versionssprünge Ihrer eigenen Anwendungen (eine neue Hauptversion einer Datenbank, eines CMS): immer von Hand, nach einem Backup und nach dem Lesen der Release Notes.
• Container: Diese aktualisiert unattended-upgrades nicht. Ein Image aus 2024 bleibt das Image aus 2024, bis Sie docker compose pull ausführen (Lektion 9.4).

Unter AlmaLinux und Rocky Linux

Dort heißt das Werkzeug dnf-automatic. Installieren Sie es mit dnf install dnf-automatic. In /etc/dnf/automatic.conf setzen Sie upgrade_type = security und apply_updates = yes, und Sie aktivieren den Timer mit systemctl enable --now dnf-automatic.timer. Auf RHEL-ähnlichen Systemen ist ein Kernel-Neustart genauso nötig wie unter Debian; dnf needs-restarting -r sagt Ihnen, ob das der Fall ist.

In der Praxis

Bei WebOké funktioniert ein VPS genauso wie anderswo: Was innerhalb des Servers aktualisiert wird, verwalten Sie selbst. Der Anbieter aktualisiert die Hardware und die Virtualisierungsplattform, nicht Ihr Betriebssystem. Erstellen Sie vor einem großen manuellen Update einen Snapshot im Panel Ihres Anbieters; für die täglichen automatischen Sicherheitsupdates ist das nicht nötig.

Zusammenfassung

• Aktivieren Sie automatische Sicherheitsupdates mit unattended-upgrades (Ubuntu: standardmäßig aktiv; Debian: prüfen mit dpkg-reconfigure -plow unattended-upgrades).
• Standardmäßig werden nur die Sicherheitsquelle und die feste Release-Quelle automatisch aktualisiert, zusätzliche Quellen nicht.
• Prüfen Sie mit einem Probelauf, dem Protokoll in /var/log/unattended-upgrades/ und apt list --upgradable.
• Dienste müssen nach einem Update neu starten (needrestart), der Kernel erfordert einen Neustart (/var/run/reboot-required).
• Release-Upgrades, große Anwendungsversionen und Container aktualisieren Sie von Hand.

Quiz

Aufgabe

Aufgabe O4.2: Automatische Updates aktivieren und prüfen. Aktivieren Sie auf Ihrem eigenen Server unattended-upgrades (oder prüfen Sie, dass es aktiv ist), führen Sie einen Probelauf durch und sehen Sie sich das Protokoll und die Timer an. Füllen Sie die Checkliste aus und beantworten Sie: Welche Quellen werden bei Ihnen automatisch aktualisiert, wann lief der letzte Durchlauf, steht gerade ein Neustart aus, und wie werden Sie neu starten (selbst zu einem festen Zeitpunkt oder automatisch, und warum)?

Weiterführende Informationen

• Ihren VPS absichern: die ersten fünf Minuten
• Debian Wiki, automatische Updates (UnattendedUpgrades): https://wiki.debian.org/PeriodicUpdates
• Das niederländische NCSC, Grundprinzip 3: Systeme, Anwendungen und Geräte schützen (niederländische Quelle): https://www.ncsc.nl/basisprincipes/basisprincipe-3-bescherm-systemen-applicaties-en-apparaten
• Ubuntu Server-Dokumentation, Automatic updates: https://ubuntu.com/server/docs/how-to/software/automatic-updates/