Lebensdauer und Release-Upgrades

Modul 4: Software und Updates · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie die Lebensdauer Ihrer Distribution nachschlagen, Sie wissen, was "End of Life" für Ihren Server bedeutet, und Sie können ein Release-Upgrade sicher planen und durchführen.

Kernbegriffe: Release, LTS, Standardunterstützung, Debian LTS, Ubuntu ESM und Ubuntu Pro, End of Life (EOL), /etc/os-release, do-release-upgrade, minimales und vollständiges Upgrade, Paketquellen von Drittanbietern, Snapshot, curl | bash

Jedes Release hat ein Haltbarkeitsdatum

Automatische Updates (Lektion 4.2) funktionieren nur, solange Ihre Distribution für Ihre Version noch Updates erstellt. Jedes Release von Debian und Ubuntu erhält für einen festen Zeitraum Sicherheitsupdates. Danach ist Schluss: Ihr Server bekommt keine Korrekturen mehr, auch nicht für schwerwiegende Sicherheitslücken. Das nennt man End of Life (EOL).

Welche Version Sie haben, sehen Sie so:

anna@web1:~$ cat /etc/os-release
PRETTY_NAME="Debian GNU/Linux 13 (trixie)"
NAME="Debian GNU/Linux"
VERSION_ID="13"
VERSION="13 (trixie)"
VERSION_CODENAME=trixie
...

Unter Ubuntu steht dort zum Beispiel VERSION="24.04.3 LTS (Noble Numbat)".

Debian

Debian unterstützt ein Release etwa drei Jahre lang vollständig. Danach übernimmt das Debian LTS-Team für weitere zwei Jahre, mit Sicherheitsupdates für die am häufigsten genutzten Pakete. Für die aktuellen Releases (Stand November 2026, prüfen Sie dies auf debian.org/releases):

Debian 12 erhält also über LTS noch Updates, befindet sich aber in der letzten Phase. Einen neuen Server installieren Sie mit Debian 13.

Ubuntu

Ubuntu veröffentlicht alle zwei Jahre im April ein LTS-Release (Long Term Support) mit fünf Jahren Standard-Sicherheitswartung. Mit einem Ubuntu Pro-Abonnement (für die private Nutzung auf einigen Rechnern kostenlos) kommt ESM (Expanded Security Maintenance) hinzu, bis zu insgesamt zehn Jahren.

Zwischen den LTS-Releases erscheinen Zwischenversionen (etwa 25.10) mit nur neun Monaten Unterstützung. Diese sind nicht für einen Server gedacht, der jahrelang laufen soll. Wählen Sie für einen Server immer ein LTS-Release.

Was EOL für Sie bedeutet

Ein Server mit einem Release, das keine Updates mehr erhält, läuft einfach weiter. Genau das ist das Tückische: Sie merken nichts, bis jemand eine Lücke ausnutzt, die überall behoben wurde, nur nicht bei Ihnen. Außerdem gilt:

• neue Software (eine neue PHP-Version, ein neues Docker-Release) wird für Ihr Release nicht mehr gebaut;
• Paketquellen von Drittanbietern stellen die Unterstützung ebenfalls ein, oft sogar früher;
• je länger Sie warten, desto größer der Sprung. Debian unterstützt das Überspringen eines Releases nicht: Von 11 auf 13 geht es nur über 12.

Tragen Sie das EOL-Datum Ihres Servers deshalb in Ihren Kalender ein, mit einer Erinnerung ein halbes Jahr vorher.

Zwei Wege: upgraden oder neu aufbauen

Es gibt zwei saubere Wege zu einem neuen Release.

1. In-place-Upgrade: Sie aktualisieren den bestehenden Server auf das neue Release. Schnell, alles bleibt erhalten, aber alte Reste und eigene Anpassungen werden mitgenommen.
2. Neu aufbauen: Sie erstellen einen neuen Server mit dem neuen Release, richten Ihre Dienste darauf neu ein (praktisch mit den Notizen aus Lektion 10.4 oder mit Docker Compose, Modul 9), übertragen die Daten aus Ihrem Backup und stellen das DNS um (Lektion 7.1). Mehr Arbeit, aber sauber, und gleichzeitig ein Test Ihres Backups.

Für einen kleinen Server mit wenigen Diensten ist ein In-place-Upgrade völlig in Ordnung. Läuft dort viel Individuelles oder wurde der Server schon mehrmals aktualisiert, sollten Sie einen Neuaufbau in Betracht ziehen.

Ein In-place-Upgrade vorbereiten

Sorgen Sie für diese fünf Dinge, bevor Sie beginnen:

1. Ein Snapshot im Panel Ihres Anbieters, unmittelbar vor dem Start, und zusätzlich ein aktuelles Backup außerhalb des Servers (Modul 8). Ein Snapshot ist Ihr schneller Weg zurück, falls das Upgrade mittendrin schiefgeht.
2. Ein zweiter Zugang: die Konsole Ihres Anbieters. Sie arbeiten über SSH, und wenn sich während des Upgrades die Netzwerkeinstellungen oder der SSH-Server ändern, möchten Sie über die Konsole weiterarbeiten können. Die Debian-Release-Notes sagen es wörtlich: Sorgen Sie vorab für eine andere Möglichkeit, sich anzumelden.
3. Die Release-Notes lesen, vor allem das Kapitel "Issues to be aware of". Für Debian 13 steht dort zum Beispiel: /tmp liegt jetzt standardmäßig im Arbeitsspeicher, /etc/sysctl.conf wird nicht mehr gelesen (verwenden Sie /etc/sysctl.d/), und /boot muss groß genug sein.
4. Quellen von Drittanbietern prüfen. Pakete, die nicht von Debian oder Ubuntu selbst stammen, können während des Upgrades Konflikte verursachen. Prüfen Sie, welche Quellen Sie haben (ls /etc/apt/sources.list.d/) und ob der Hersteller bereits eine Version für das neue Release anbietet.
5. Eine Sitzung, die einen Verbindungsabbruch übersteht. Starten Sie das Upgrade in tmux oder screen. Fällt Ihre Internetverbindung aus, läuft das Upgrade weiter, und Sie nehmen es mit tmux attach wieder auf.

Debian: die Schritte

Aus den Release-Notes von Debian 13, für ein Upgrade von 12 auf 13:

root@web1:~# apt update && apt full-upgrade          # zuerst das aktuelle Release vollständig aktualisieren
root@web1:~# sed -i 's/bookworm/trixie/g' /etc/apt/sources.list.d/debian.sources
root@web1:~# apt update
root@web1:~# apt upgrade --without-new-pkgs          # minimales Upgrade
root@web1:~# apt full-upgrade                        # vollständiges Upgrade
root@web1:~# reboot

Verwenden Sie noch /etc/apt/sources.list, passen Sie den Codenamen dort an. Quellen von Drittanbietern schalten Sie während des Upgrades vorübergehend ab (umbenennen in .disabled) und danach mit dem Codenamen des neuen Releases wieder ein, sofern der Hersteller ihn anbietet.

Achten Sie während des Upgrades auf die Fragen zu Konfigurationsdateien. Haben Sie eine Datei selbst angepasst, etwa sshd_config, fragt dpkg, ob Sie Ihre Version behalten möchten. Behalten Sie Ihre eigene Version, wenn Sie wissen, warum Sie sie angepasst haben, und vergleichen Sie sie anschließend mit der neuen Version (.dpkg-dist).

Nach dem Neustart:

anna@web1:~$ cat /etc/os-release | grep VERSION=
VERSION="13 (trixie)"
anna@web1:~$ systemctl --failed
anna@web1:~$ sudo apt autoremove

systemctl --failed (Lektion 6.1) muss leer sein. Prüfen Sie auch, ob Ihre Websites und Container funktionieren und ob Ihre Überwachung (Lektion 8.3) grün ist.

Ubuntu: do-release-upgrade

Ubuntu hat dafür ein eigenes Programm:

anna@web1:~$ sudo apt update && sudo apt full-upgrade
anna@web1:~$ sudo do-release-upgrade

Zwei Dinge sollten Sie wissen. Erstens bietet Ubuntu ein Upgrade von einem LTS-Release auf das nächste erst nach dem ersten Point-Release an (zum Beispiel 26.04.1, einige Monate nach April). Das ist Absicht: In den ersten Monaten werden die größten Probleme behoben. Zweitens: Führen Sie das Upgrade über SSH aus, meldet do-release-upgrade, dass es zur Sicherheit einen zusätzlichen SSH-Server auf einem Ersatzport startet. Dieser Port muss dann von Ihrer Firewall (Lektion 5.2) zugelassen werden, falls Sie ihn brauchen; meist brauchen Sie ihn nicht, weil Sie die Konsole haben.

Die große Falle: Software von außerhalb der Distribution

Upgrades scheitern fast immer an Software, die nicht aus der Distribution stammt. Drei Gewohnheiten machen den Unterschied:

• Kein curl https://... | bash. Ein Skript aus dem Internet, das Sie direkt als root ausführen, kann alles Mögliche an Ihrem Server ändern: Quellen hinzufügen, Schlüsseln für alle Quellen vertrauen, Dateien überschreiben. Sie wissen nicht, was passiert ist, und beim nächsten Upgrade bricht es. Laden Sie ein solches Skript herunter, lesen Sie es und führen Sie die Schritte lieber selbst aus.
• Eine zusätzliche Quelle nur vom Hersteller selbst, mit eigenem Schlüssel (Signed-By, Lektion 4.1), und notieren Sie in Ihrer Serverdokumentation, warum sie eingetragen ist.
• Keine einzelnen .deb-Dateien von Websites, wenn es auch über die Distribution oder die Quelle des Herstellers geht. Diese erhalten nie Updates.

Unter AlmaLinux und Rocky Linux

Eine "Major"-Version (9, 10) erhält dort etwa zehn Jahre lang Updates, und Zwischenversionen (9.6, 9.7) aktualisieren Sie ganz normal mit dnf upgrade. Ein In-place-Sprung auf eine neue Major-Version ist mit dem Werkzeug ELevate (AlmaLinux) möglich, viele Administratoren entscheiden sich bei einem solchen Sprung aber trotzdem für einen Neuaufbau.

In der Praxis

Im VPS-Bereich von WebOké erstellen Sie vor einem Upgrade einen Snapshot (höchstens zwei gleichzeitig, auf demselben Speicher wie Ihr VPS) und haben die Konsole als zweiten Zugang. Bei anderen Anbietern heißt das ähnlich: Snapshot, VNC- oder Webkonsole, Rescue. Ein Snapshot ersetzt kein Backup außerhalb des Servers; löschen Sie ihn, sobald alles funktioniert, denn er wächst mit jeder Änderung.

Zusammenfassung

• Jedes Release erhält für einen festen Zeitraum Sicherheitsupdates; danach ist es End of Life, und Ihr Server bekommt keine Korrekturen mehr.
• Debian: etwa drei Jahre plus zwei Jahre LTS; Ubuntu LTS: fünf Jahre plus ESM bis zu zehn Jahren. Wählen Sie für einen Server immer ein LTS-Release und tragen Sie das Enddatum in Ihren Kalender ein.
• Bereiten Sie ein Upgrade mit einem Snapshot, einem Backup, der Konsole, den Release-Notes und einer tmux-Sitzung vor.
• Debian: Quellen auf den neuen Codenamen umstellen, apt upgrade --without-new-pkgs, apt full-upgrade; Ubuntu: do-release-upgrade, nach dem ersten Point-Release.
• Software von außerhalb der Distribution ist die größte Ursache für Upgrade-Probleme: kein curl | bash, nur Quellen des Herstellers mit eigenem Schlüssel.

Quiz

Aufgabe

Aufgabe O4.3: Ihr Upgrade-Plan. Finden Sie heraus, mit welchem Release Ihr Server läuft und bis wann es Sicherheitsupdates erhält. Erstellen Sie danach einen Upgrade-Plan: Welche Quellen von Drittanbietern haben Sie, wie erstellen Sie einen Snapshot und ein Backup, wie gelangen Sie über die Konsole auf den Server, welche Schritte führen Sie aus, wie testen Sie anschließend, und entscheiden Sie sich für ein In-place-Upgrade oder einen Neuaufbau (mit Begründung)?

Weiterführende Informationen

• Snapshots und Backups Ihres VPS
• Eine eigene ISO einbinden oder Ihren VPS neu installieren
• Debian-Releases und Unterstützungszeiträume: https://www.debian.org/releases/
• Debian 13, Release-Notes Kapitel 4 (Upgrade) und 5 (zu beachtende Punkte): https://www.debian.org/releases/trixie/release-notes/
• Ubuntu, Release-Zyklus: https://ubuntu.com/about/release-cycle
• Ubuntu Server-Dokumentation, Upgrade your release: https://ubuntu.com/server/docs/how-to/software/upgrade-your-release/