Linux-Prozesse, Pakete und Dienste

Ein Programm wie /usr/bin/sleep ist eine Datei auf einem Datenträger. Ein Prozess ist eine laufende Instanz dieses Programms mit eigenem Arbeitsspeicher und eigenen Ressourcen. Drei Befehle, die dasselbe Programm ausführen, erzeugen drei Prozesse. Jeder laufende Prozess hat eine PID, eine Prozess-ID; Linux kann diese Nummer nach seinem Ende erneut vergeben.

Den Prozess und seinen Elternprozess finden

Ein Prozess wird normalerweise von einem anderen Prozess gestartet, seinem Elternprozess. Die Spalte PPID gibt die PID dieses Elternprozesses an. Befehle, die du in einer Shell startest, sind deren Kindprozesse. PID 1 ist der erste vom Kernel gestartete Prozess; auf einem systemd-System ist das systemd. pstree -p zeichnet diese Verwandtschaftsbeziehungen, sofern es installiert ist.

ps erstellt eine Momentaufnahme. Standardmäßig wählt es Prozesse mit deiner effektiven Benutzer-ID auf deinem aktuellen Terminal aus. Für eine systemweite Ansicht wähle die benötigten Spalten:

Die BSD-Form ps aux hat keinen Bindestrich. Das Feld USER nennt das Konto, dessen Rechte der Prozess nutzt. Ein root-Prozess kann auf Ressourcen zugreifen, auf die der Prozess eines regulären Benutzers nicht zugreifen kann.

Eine Zeile lesen

Betrachte dieses Beispiel aus ps aux:

www-data 2417 0.3 1.2 214560 48212 ? S 09:14 0:02 nginx: worker process

Der Eigentümer ist www-data, die PID ist 2417 und der CPU-Verbrauch lag seit dem Start durchschnittlich bei 0,3 %. Der Prozess belegt derzeit 1,2 % des Arbeitsspeichers. RSS ist der residente Speicher: 48.212 KiB, etwa 47,1 MiB. VSZ, 214.560 KiB, enthält auch virtuellen Adressraum, der nicht im Arbeitsspeicher liegt. Ein großer VSZ-Wert allein ist kein Beleg für Speichermangel.

Das ? bedeutet, dass es kein steuerndes Terminal gibt. Der Zustand S bedeutet wartend, meist auf Arbeit. START ist 09:14; TIME beträgt zwei Sekunden CPU-Arbeit. TIME ist nicht die verstrichene Zeit: Ein Server kann tagelang laufen und dabei sehr wenig CPU-Zeit verbrauchen.

Prozesszustände erkennen

STAT kann Kennzeichen ergänzen: + für eine Vordergrundgruppe eines Terminals, s für einen Sitzungsleiter, l für mehrere Threads, N für verringerte CPU-Priorität und < für erhöhte Priorität. Wartende Prozesse sind normal. Ein Zombieprozess ist bereits beendet und verbraucht keine CPU-Zeit; ein weiteres Beendigungssignal kann seinen Rückgabestatus nicht abholen. Eine wachsende Zahl von Zombieprozessen weist auf ein Elternprogramm hin, das Aufmerksamkeit benötigt.

Die Suche eingrenzen

pgrep -a nginx zeigt passende PIDs und Befehlszeilen. Muster können auf mehrere Namen passen: pgrep ssh kann sowohl sshd als auch ssh-agent finden. pgrep -u alice wählt nach Eigentümer aus; pidof nginx sucht nach einem Programmnamen. Eine ps-Pipeline durch grep kann auch den grep-Prozess selbst anzeigen.

Für die fünf größten Speicherverbraucher führe aus:

ps -eo pid,ppid,user,%mem,cmd --sort=-%mem | head -n 6

Es gibt sechs Zeilen, weil die erste eine Kopfzeile ist. ps -p 2417 prüft eine einzelne PID. /proc/2417/status stellt Name, Zustand, Elternprozess und Speicherdetails bereit. /proc ist eine vom Kernel bereitgestellte virtuelle Ansicht und keine Sammlung von Prozessberichten auf dem Datenträger; das PID-Verzeichnis verschwindet, wenn der Prozess endet.

Eine Momentaufnahme zeigt dir, was vorhanden ist; wiederholte Beobachtungen zeigen, was sich verändert. top kombiniert eine laufend aktualisierte Prozessliste mit Gesamtwerten für CPU-Aktivität, Systemlast, Arbeitsspeicher und Auslagerungsspeicher. Betrachte die Übersicht und die stark beschäftigten Prozesse zusammen, bevor du entscheidest, welche Ressource knapp wird.

Mit top arbeiten

Führe top aus. Drücke P, um nach CPU-Verbrauch zu sortieren, M für Speicherverbrauch, 1, um jede CPU anzuzeigen, h für Hilfe und q zum Beenden. Die Befehle k und r senden Signale und ändern Nice-Werte. htop bietet eine weitere interaktive Ansicht, muss aber möglicherweise installiert werden.

Zu den Prozessspalten gehören PID, USER, PR, NI, VIRT, RES, SHR, Zustand, %CPU, %MEM, TIME+ und COMMAND. RES ist der residente Arbeitsspeicher, wie RSS in ps; VIRT enthält reservierten Adressraum. Im Standardmodus von top, der sich auf eine CPU bezieht, kann ein Prozess mit mehreren Threads 400 % erreichen, indem er vier CPUs auslastet. Mit I stellst du die Anzeige so um, dass der Verbrauch durch die Anzahl der CPUs dividiert wird.

Die Art der CPU-Aktivität erkennen

Die CPU-Übersicht teilt die Zeit in Kategorien auf:

Hoher CPU-Verbrauch durch Benutzerprogramme deutet auf Rechenarbeit hin. Ein hoher wa-Wert bei wenig Benutzerarbeit lenkt die Aufmerksamkeit auf Wartezeiten bei Speicherzugriffen. In einer virtuellen Maschine weist ein hoher st-Wert auf CPU-Zeit hin, die das Hostsystem vorenthält. Dies sind verschiedene Ursachen für langsame Reaktionen.

Systemlast mit CPU-Kapazität vergleichen

uptime und top zeigen die mittlere Systemlast für die letzten 1, 5 und 15 Minuten. Linux zählt laufbereite und nicht unterbrechbar wartende Prozesse, einschließlich derer, die auf Speicherzugriffe warten. Die Systemlast ist kein CPU-Prozentwert. nproc meldet die CPUs, die dem aktuellen Prozess zur Verfügung stehen. Das hilft bei der Beurteilung der Kapazität.

Angenommen, bei CPU-lastiger Arbeit mit wenigen Wartezeiten auf Speicherzugriffe meldet nproc 4 und die Systemlast beträgt 6.00, 5.20, 3.10. Die jüngste Last beträgt 1,5 Prozesse pro CPU, sodass Arbeit auf ihre Ausführung warten musste. Der Wert für den kürzeren Zeitraum liegt über dem für den längeren und zeigt damit einen jüngsten Anstieg. Auf 16 CPUs wäre eine Last von 6 wesentlich geringer. Eine hohe Systemlast bei untätigen CPUs kann dagegen von Prozessen im Zustand D stammen.

Arbeitsspeicher anhand von available beurteilen

Führe free -h aus. Die Zeile Mem enthält total, used, free, shared, buff/cache und available. Linux füllt freien Arbeitsspeicher mit nützlichen Datenträger-Caches und kann einen großen Teil davon zurückgewinnen. Free zählt vollständig ungenutzten Arbeitsspeicher; available schätzt, wie viel neue Arbeit nutzen kann, ohne auszulagern.

Ein Rechner meldet zum Beispiel total 7.6Gi, used 3.1Gi, free 0.4Gi, buff/cache 4.6Gi und available 4.5Gi. Der kleine Wert bei free bedeutet keinen Mangel: Etwa 59 % bleiben verfügbar. In aktuellen procps-Versionen ist used gleich total minus available; free, used und Cache sind keine einfache Aufteilung, die sich addieren lässt.

Die Endungen Ki, Mi und Gi stehen für binäre Einheiten. Ein GiB entspricht 1.073.741.824 Byte; ein GB entspricht 1.000.000.000 Byte. free -m verwendet MiB und free -g ganze GiB, wodurch kleine Mengen durch Rundung verborgen bleiben können.

Auslagerungsspeicher nimmt einen Teil des Speicherinhalts auf einem langsameren Datenträger auf. Achte darauf, ob wenig Arbeitsspeicher verfügbar ist und gleichzeitig die Nutzung des Auslagerungsspeichers wächst. Ist der Speicher erschöpft, kann der OOM-Killer des Kernels einen Prozess beenden. Suche mit sudo journalctl -k nach einer OOM-Meldung, bevor du annimmst, dass eine Anwendung von selbst abgestürzt ist.

Ein Signal ist eine kurze Benachrichtigung an einen Prozess. Es kann zum Beenden auffordern, Arbeit pausieren oder einem Dienst mitteilen, dass er Einstellungen neu einlesen soll. Der Befehl kill sendet Signale; sein Name bedeutet nicht, dass jedes Signal den Empfänger beendet.

Das Signal auswählen

Die meisten Signale kann das Programm behandeln oder ignorieren. SIGKILL und SIGSTOP können nicht abgefangen, blockiert oder ignoriert werden. kill -l listet Namen und Nummern auf. Zu den gebräuchlichen Nummern auf x86 und ARM gehören TERM 15, KILL 9, INT 2, HUP 1, QUIT 3, CONT 18, STOP 19 und TSTP 20. Namen vermeiden architekturabhängige Nummerierungen.

Einen Prozess vorsichtig stoppen

Stelle zuerst fest, um welchen Prozess es sich handelt. Mit ps -p 5120 -o pid,user,stat,cmd kannst du PID, Eigentümer, Zustand und Befehl untersuchen. Fordere dann ein sauberes Ende an:

kill -TERM 5120

kill 5120, kill -15 5120 und kill -s TERM 5120 senden dieselbe Aufforderung. Ein sauberes Ende ermöglicht es der Anwendung, Arbeit zu speichern, Dateien zu schließen und Sperrdateien zu entfernen. Gib ihr Zeit zu reagieren und führe dann erneut ps -p 5120 aus. Erscheint nur die Kopfzeile, ist sie beendet.

Hängt derselbe laufende Prozess nach der Wartezeit noch immer, ist kill -KILL 5120 die erzwungene Ausweichlösung. Die Anwendung hat dann keine Gelegenheit aufzuräumen; ungesicherte Arbeit und zurückgelassene temporäre Dateien können bestehen bleiben. Prüfe die Identität erneut, bevor du diesen Schritt gehst: PIDs können nach dem Ende erneut vergeben werden.

Namen vor dem Handeln abgleichen

pkill wählt anhand eines Namensmusters aus; killall wählt einen Programmnamen aus. Beide senden normalerweise SIGTERM. Prüfe ein weit gefasstes Muster mit pgrep -a fire, bevor du pkill fire verwendest: Das Muster kann mehr Prozesse auswählen als den beabsichtigten. pkill -u bob wählt alle Prozesse von bob aus, nicht eine einzelne Anwendung.

killall -HUP rsyslogd sendet HUP an die passenden Protokollierungsprozesse. Die Wirkung von HUP hängt von der Anwendung ab: Prüfe, ob sie das Neuladen unterstützt, bevor du das Signal wie einen Neuladebefehl behandelst. Verwende für einen von systemd verwalteten Dienst sudo systemctl stop NAME; die Dienstverwaltung behandelt die Prozessgruppe des Dienstes und wertet den angeforderten Stopp nicht als Fehler, den sie automatisch beheben muss.

Berechtigungen und Zustände verstehen

Ein reguläres Konto steuert normalerweise seine eigenen Prozesse. Der Versuch, einem Prozess eines anderen Kontos ein Signal zu senden, kann „Operation not permitted“ ausgeben; sudo verschafft bei Bedarf root-Rechte. Prüfe das Ziel, bevor du diese Rechte nutzt, denn der Stopp des falschen Dienstes betrifft andere Benutzer.

Ein Prozess im Zustand D kann nach SIGKILL sichtbar bleiben, während er auf eine Antwort des Speichers wartet. Ein erneutes Senden des Signals repariert den Speicher nicht. Ein Zombieprozess im Zustand Z ist bereits beendet; sein Elternprozess muss seinen Rückgabestatus abholen. Verschwindet der Prozess nicht, ist es daher wichtig, seinen Zustand zu untersuchen.

Tastenkombinationen richten sich an die Vordergrundprozessgruppe. Strg+C beendet die Arbeit normalerweise; Strg+Z pausiert sie und erhält ihren Arbeitsspeicher und ihre geöffneten Dateien. Das Schließen des Terminals führt häufig zu HUP und zur Beendigung der zugehörigen Jobs, weshalb lange Aufgaben bewusst behandelt werden müssen.

Ein Vordergrundjob belegt das Terminal, bis er endet oder angehalten wird. Bei einem Hintergrundjob kann die Shell während seiner Ausführung einen weiteren Befehl annehmen. Die Jobsteuerung ändert, wo Arbeit ausgeführt wird; die CPU-Priorität ändert, wie sie mit anderer Arbeit konkurriert.

Arbeit zwischen Vorder- und Hintergrund verschieben

Ein kaufmännisches Und startet einen Befehl im Hintergrund:

sleep 300 &

Die Shell könnte [1] 6431 ausgeben. Dabei ist 1 die lokale Jobnummer und 6431 die systemweite PID. jobs listet nur die Jobs dieser Shell auf. fg %1 holt Job 1 in den Vordergrund. Pausierst du diesen Vordergrundjob mit Strg+Z, setzt bg %1 ihn im Hintergrund fort. Ohne Nummer wählen fg und bg den mit + markierten Job.

Probiere die Folge mit sleep 300 aus: Führe den Befehl im Vordergrund aus, drücke Strg+Z, führe bg aus, sieh dir jobs an, führe dann fg aus und drücke Strg+C. „Stopped“ bedeutet pausiert, nicht beendet. Ein angehaltener Job verbraucht keine CPU-Zeit, belegt aber weiterhin Arbeitsspeicher und hält Dateien geöffnet. Bash kann beim Versuch, die Shell zu verlassen, mit „There are stopped jobs“ warnen.

Ausgabe und Abmeldung steuern

Ein Hintergrundbefehl kann weiterhin in das Terminal ausgeben. Leite für eine lange Aufgabe beide Ausgabeströme um:

./report.sh > report.log 2>&1 &

Die erste Umleitung sendet die normale Ausgabe an die Datei. 2>&1 sendet die Fehlerausgabe an dasselbe Ziel. Das abschließende & gibt die Eingabeaufforderung zurück, während die Aufgabe läuft.

Die Ausführung im Hintergrund allein schützt einen Job nicht vor dem Schließen des Terminals. Um Arbeit zu starten, die SIGHUP ignoriert, verwende:

nohup ./long-task.sh > task.log 2>&1 &

Ohne ausdrückliche Ausgabeumleitung schreibt nohup Ausgaben, die für das Terminal bestimmt sind, gewöhnlich nach nohup.out. In Bash entfernt disown %1 einen vorhandenen Job aus der Jobtabelle der Shell, sodass Bash HUP nicht an ihn weiterleitet. Das Programm benötigt weiterhin nutzbare Ein- und Ausgabeziele. Ein Programm, das dauerhaft laufen soll, wird besser als Dienst verwaltet.

Interaktiver Arbeit Raum geben

Der Nice-Wert drückt die CPU-Scheduling-Priorität für gewöhnliche Prozesse aus. Die Werte reichen von -20, der höchsten Priorität, bis 19, der niedrigsten Priorität; der übliche Startwert ist 0. Höhere Werte geben konkurrierender Arbeit mehr Gelegenheit zur Ausführung. Ein Prozess mit Nice-Wert 19 kann eine ansonsten untätige CPU weiterhin vollständig nutzen.

nice -n 10 xz -9 big.log
renice -n 15 -p 6431

Der erste Befehl startet die Komprimierung mit einer positiven Anpassung des Nice-Werts; vom üblichen Wert 0 aus wird er zu 10. Der zweite ändert den Nice-Wert des laufenden Prozesses auf 15. nice ohne -n wendet eine Anpassung um 10 an. Ein gewöhnlicher Benutzer kann den Nice-Wert seines eigenen Prozesses grundsätzlich erhöhen und damit dessen CPU-Priorität senken. Um die Priorität durch Senken des Werts zu erhöhen, ist normalerweise root nötig, zum Beispiel sudo renice -n -5 -p 6431.

In top zeigt NI den Nice-Wert; bei gewöhnlichen Prozessen im Zeitteilungsbetrieb ist PR üblicherweise 20 plus NI. Nice-Wert 10 erscheint daher als PR 30. In ps aux markiert N eine verringerte und < eine erhöhte Priorität. Der Nice-Wert beeinflusst die Konkurrenz um CPU-Zeit, nicht die Priorität von Datenträgerzugriffen; ionice steuert eine gesonderte Ressource.

Bevor du Software installierst oder Ressourcen für eine Arbeitslast dimensionierst, finde heraus, was das System tatsächlich bietet. Die Architektur bestimmt, welche Pakete mit Maschinencode laufen. Die Verfügbarkeit von CPUs hilft, die Systemlast zu erklären, und der nutzbare Arbeitsspeicher begrenzt, welche Arbeit hineinpasst.

Kernel und Distribution unterscheiden

Ubuntu 24.04 ist eine Distributionsversion; ein Wert wie 6.8.0-45-generic identifiziert den darin laufenden Kernel. Die Installation eines neuen Kernels wechselt den laufenden Kernel nicht sofort: Das geschieht beim Neustart.

Architekturbezeichnungen unterscheiden sich zwischen Paketfamilien. Debian-Pakete verwenden amd64 für die von uname als x86_64 gemeldete Architektur und arm64 für aarch64. RPM-Pakete verwenden üblicherweise direkt x86_64 und aarch64. Prüfe vor der Installation, ob der Build zum Rechner passt.

Kerne und logische CPUs zählen

lscpu meldet Architektur, Modell, Sockel, Kerne pro Sockel, Threads pro Kern und logische CPUs. Für eine einheitliche CPU-Anordnung gilt:

Ein Sockel mit sechs Kernen und zwei Threads pro Kern ergibt 12 logische CPUs. Es bleiben sechs physische Kerne. Zwei Hardware-Threads teilen sich Ressourcen innerhalb eines Kerns, sodass 12 logische CPUs nicht die doppelte Leistung von sechs Kernen versprechen.

nproc meldet die dem aktuellen Prozess verfügbaren Verarbeitungseinheiten; CPU-Affinität oder Ressourcenbeschränkungen können diesen Wert gegenüber der Anzahl im gesamten Rechner verringern. /proc/cpuinfo liefert CPU-Details direkt. Auf x86 zählt grep -c ^processor /proc/cpuinfo die Prozessoreinträge, und die Kennzeichen vmx oder svm zeigen Unterstützung für Hardwarevirtualisierung an. ARM stellt andere Felder bereit.

Nutzbaren und installierten Arbeitsspeicher ablesen

free -h liefert eine praktische Arbeitsspeicherübersicht. /proc/meminfo bietet Details: MemTotal ist der nutzbare Arbeitsspeicher und MemAvailable schätzt die Kapazität, die neue Arbeit nutzen kann. Diese Datei bezeichnet ihre Werte mit kB, es handelt sich aber um Kibibyte mit jeweils 1.024 Byte.

Zum Beispiel entspricht MemTotal: 16303448 kB nach zweimaliger Division durch 1.024 etwa 15,5 GiB. Ein Rechner mit 16 GiB physischen Modulen kann weniger nutzbaren Arbeitsspeicher anzeigen, weil Firmware und Kernel einen Teil reservieren.

Um installierte Module und Steckplätze zu untersuchen, führe sudo dmidecode -t memory aus. sudo dmidecode -t system meldet die von der Firmware bereitgestellten Hersteller-, Modell- und Seriendaten. Eine virtuelle Maschine meldet ihre virtuelle Hardware. sudo lshw -short liefert, sofern installiert, eine kompakte Hardwareübersicht.

Eine Anforderung in einzelnen Schritten prüfen

Angenommen, Software benötigt ein 64-Bit-ARM-System, mindestens vier verfügbare CPUs und 8 GB Arbeitsspeicher. Gibt uname -m den Wert aarch64 zurück, ist die Architekturanforderung erfüllt. Gibt nproc 4 zurück, ist die CPU-Anforderung erfüllt. Insgesamt 3.7Gi entsprechen nur etwa 4,0 GB, der Arbeitsspeicher reicht also nicht aus. Zwei bestandene Prüfungen können die dritte, nicht bestandene Prüfung nicht ausgleichen.

Linux gibt Hardwaregeräten Namen unter /dev und stellt seine Gerätesicht unter /sys bereit. Verschiedene Auflistungswerkzeuge beantworten unterschiedliche Fragen: Welche Speichergeräte gibt es, welche Busse haben Geräte erkannt und welche Treiber steuern sie?

Datenträger und Partitionen identifizieren

SATA-, SAS- und USB-Datenträger erscheinen gewöhnlich als /dev/sda, /dev/sdb und mit weiteren Buchstaben. Ihre Partitionen erhalten eine zusätzliche Nummer, etwa /dev/sda1. NVMe verwendet Namen wie /dev/nvme0n1, mit /dev/nvme0n1p1 für eine Partition. Eine virtuelle Maschine kann /dev/vda verwenden.

lsblk zeigt Blockgeräte als Baum. TYPE unterscheidet einen Datenträger von einer Partition; RM kennzeichnet Wechselmedien und RO den schreibgeschützten Zustand. SIZE gibt die Kapazität an und MOUNTPOINTS zeigt, wo ein Gerät verwendet wird. Zusätzliche Details wählst du mit:

lsblk -o NAME,SIZE,MODEL
lsblk -f

Der erste Befehl erleichtert den Vergleich von Modell und Größe. Der zweite ergänzt Dateisystemtyp, Bezeichnung und UUID. Namen wie sdb können sich mit der Erkennungsreihenfolge ändern. Bevor du einen Datenträger beschreibst, bestätige seine Identität anhand weiterer Merkmale als des Buchstabens: Das Beschreiben des falschen Geräts zerstört dessen Daten.

Ein als 512 GB verkauftes Laufwerk enthält 512 Milliarden Byte. In GiB sind das etwa 476,8, was lsblk als 476.8G anzeigt. Das Gerät hat keine Kapazität verloren: Seine Beschriftung und die Anzeige verwenden verschiedene Einheiten.

Geräte und gebundene Treiber finden

Eine USB-ID wie 046d:c52b identifiziert Hersteller und Produkt zuverlässiger als eine allgemeine Bezeichnung wie „Funkempfänger“. Unterscheide in der PCI-Ausgabe Kernel modules, das mögliche Module nennt, von Kernel driver in use, das einen gebundenen Treiber angibt. Die Erkennung allein ist nicht gleichbedeutend mit funktionierender Unterstützung.

Die meisten Treiber lassen sich als Kernelmodule laden, also als Teile des Kernelcodes, die bei Bedarf hinzugefügt werden. Das Laden oder Entfernen von Modulen verändert den laufenden Kernel und erfordert root-Rechte. Manche Treiber sind stattdessen fest in den Kernel eingebaut. Auf ARM-Platinen liegen viele eingebaute Geräte nicht an PCI, sodass eine kurze lspci-Liste nicht bedeuten muss, dass Hardware fehlt.

Eine Verbindung im Kernel-Protokoll verfolgen

Wenn ein USB-Datenträger eingesteckt wird, führe sudo dmesg | tail aus oder starte sudo dmesg -w vor dem Anschließen. Eine Meldung wie [sdb] 60437492 512-byte logical blocks identifiziert den neuen Datenträger als /dev/sdb und gibt seine Kapazität an. Multipliziert man die Blockanzahl mit der Blockgröße, ergibt das 30.943.995.904 Byte: etwa 30,9 GB oder 28,8 GiB.

Vergleiche dann den neuen lsblk-Eintrag mit dieser Meldung und dem Gerätemodell. Funktioniert ein erkannter Adapter nicht, prüfe den Treiber mit lspci -k und lies Initialisierungsfehler mit dmesg. Ein fehlender gebundener Treiber und ein Treiber, der einen Fehler meldet, erfordern unterschiedliche weitere Prüfungen.

Ein Softwarepaket bündelt Softwaredateien mit Informationen, die zu ihrer Installation und Pflege verwendet werden. Seine Metadaten nennen Version, Architektur und benötigte Pakete, und es kann Installationsskripte enthalten. Ein Paketmanager verzeichnet, welche Dateien zu welchem installierten Paket gehören.

Die passende Distributionsfamilie finden

Arch Linux verwendet pacman; Alpine Linux verwendet apk. Der ältere Name yum gehört zur Red-Hat-Familie. Bist du nicht sicher, welches System du hast, lies vor der Auswahl der Befehle die Ausgabe von cat /etc/os-release.

Eine Datei wie nginx_1.24.0-2_amd64.deb nennt nginx, seine Softwareversion, Paketierungsrevision und Architektur. Diese Felder helfen dem Paketmanager, einen kompatiblen Build auszuwählen. Ein vertrauter Anwendungsname macht nicht jedes heruntergeladene Paket für jede Distribution geeignet.

Abhängigkeiten vom übergeordneten Werkzeug auflösen lassen

Eine Abhängigkeit ist ein anderes Paket, das die Software benötigt, häufig eine gemeinsam genutzte Bibliothek. Bei der Installation einer Anwendung können daher mehrere Pakete hinzukommen. Ein übergeordnetes Werkzeug wie apt oder dnf findet eine kompatible Zusammenstellung, lädt sie herunter und beauftragt das grundlegende Werkzeug mit der Installation.

dpkg und rpm arbeiten mit lokalen Paketdateien und verwalten die Datenbank installierter Pakete. Sie laden fehlende Abhängigkeiten nicht aus Paketquellen nach. Installierst du damit eine Datei, können Anforderungen offenbleiben, die du auflösen musst. Übergeordnete Werkzeuge können ebenfalls lokale Dateien installieren und dabei ihre Anforderungen aus konfigurierten Paketquellen auflösen.

Suchen und Abfragen funktionieren als regulärer Benutzer. Installation, Entfernung und Aktualisierung verändern Systemdateien und benötigen normalerweise sudo. Die Bestätigungsanzeige liefert nützliche Informationen: Prüfe die zusätzlichen Pakete und vorgeschlagenen Entfernungen, bevor du zustimmst.

Vertrauen in Paketquellen verstehen

Eine Paketquelle stellt Paketdateien und Indizes bereit, die verfügbare Versionen und Abhängigkeiten beschreiben. Die eigenen Paketquellen einer Distribution bieten eine Zusammenstellung, die für ihre jeweilige Version erstellt wurde.

APT prüft signierte Metadaten der Paketquelle und gleicht die Prüfsummen daraus mit den heruntergeladenen Dateien ab. Eine gesonderte Signatur auf jeder .deb-Datei prüft es normalerweise nicht. DNF prüft normalerweise die RPM-Signaturen der Distribution; die Signaturprüfung der Metadaten der Paketquelle wird separat konfiguriert. Diese Prüfungen stellen eine Vertrauenskette zu einem vertrauenswürdigen Herausgeber her und helfen, Manipulationen zu erkennen.

Wenn du eine Paketquelle eines Drittanbieters hinzufügst, vertraust du auch dessen Software und Installationsskripten. Beschaffe seinen Signaturschlüssel anhand der echten Anleitung des Herausgebers. Umgehe Signaturprüfungen nicht, um einen Fehler wie „NO_PUBKEY“ zu überwinden. Auch eine Datei von einer unbekannten Downloadseite braucht eine vertrauenswürdige Herkunft; die Paketendung allein bietet dieses Vertrauen nicht.

Nach dem richtigen Namen suchen

Software- und Paketnamen können sich unterscheiden. Apache wird auf Systemen der Debian-Familie als apache2 und auf Systemen der Red-Hat-Familie als httpd paketiert. Der Befehl dig stammt aus bind9-dnsutils oder bind-utils. Suche, bevor du annimmst, dass ein Befehlsname zugleich sein Paketname ist.

Andere Installationssysteme führen getrennte Verzeichnisse. Snap, Flatpak und AppImage bündeln Anwendungen mit vielen Abhängigkeiten; pip und npm verwalten Programmbibliotheken. Die Installation einer Python-Bibliothek mit pip macht sie nicht zu einem von apt verwalteten Paket.

Die Paketpflege umfasst drei getrennte Aufgaben: herausfinden, was verfügbar ist, ausgewählte Änderungen anwenden und nicht mehr benötigte Software entfernen. Lies die geplante Transaktion vor der Bestätigung, besonders wenn sie Pakete entfernt.

Paketlisten und Software aktualisieren

apt update aktualisiert keine Software. Es lädt aktuelle Paketlisten herunter. Führe danach sudo apt upgrade aus, um neuere Versionen zu installieren. Der Aktualisierungsbefehl von DNF kümmert sich dabei um veraltete Metadaten der Paketquelle. DNF4 verwendet dnf check-update, um verfügbare Änderungen aufzulisten; DNF5 verwendet dnf check-upgrade.

apt upgrade entfernt kein installiertes Paket, um eine Aktualisierung abzuschließen. Ein Paket, das eine solche Änderung benötigt, kann zurückgehalten werden. sudo apt full-upgrade erlaubt Entfernungen, prüfe daher den Plan sorgfältig. -y akzeptiert eine Transaktion automatisch und nimmt dir die Möglichkeit, sie interaktiv zu prüfen.

Aus einer Paketquelle oder einer lokalen Datei installieren

Führe auf Ubuntu sudo apt update und danach sudo apt install htop aus. APT listet neue Pakete und Abhängigkeiten vor dem Herunterladen auf. htop --version prüft das installierte Programm. Verwende auf Fedora sudo dnf install htop.

Führst du apt install für ein vorhandenes Paket aus, kann es auf den aktuellen Installationskandidaten aktualisiert werden; ist diese Version bereits installiert, ändert sich nichts. Um eine vertrauenswürdige lokale Datei zu installieren, gib ihren Pfad an:

sudo apt install ./app_2.1.0_amd64.deb
sudo dnf install ./app-2.1.0-1.x86_64.rpm

Das ./ kennzeichnet einen Dateipfad. Dagegen laden sudo dpkg -i file.deb und sudo rpm -i file.rpm fehlende Abhängigkeiten nicht herunter. Lässt dpkg Abhängigkeiten unerfüllt, kann sudo apt --fix-broken install sie auflösen; prüfe die vorgeschlagene Reparatur.

Software und Einstellungen bewusst entfernen

APT-remove behält die verwaltete Systemkonfiguration des Pakets; purge entfernt auch diese. Keiner der beiden Befehle entfernt Dateien aus den Home-Verzeichnissen der Benutzer. Autoremove zielt auf automatisch installierte Abhängigkeiten, die von installierten Paketen nicht mehr benötigt werden. Dies ist eine andere Entscheidung als das Entfernen einer Anwendung anhand ihres Namens.

APT-Quelleneinträge liegen in /etc/apt/sources.list und /etc/apt/sources.list.d/; Ubuntu 24.04 verwendet gewöhnlich ubuntu.sources in diesem Verzeichnis. Aktualisiere die Paketlisten nach Änderungen an den Quellen. DNF liest .repo-Dateien unter /etc/yum.repos.d/; dnf repolist zeigt aktivierte Paketquellen.

Die Wartung sauber abschließen

apt ist für die interaktive Nutzung ausgelegt. Skripte verwenden im Allgemeinen die stabileren Schnittstellen von apt-get und apt-cache. Ihre Befehle decken dieselben grundlegenden Aufgaben ab, auch wenn sich Standardeinstellungen unterscheiden können.

Ein neu installierter Kernel wird nach einem Neustart zum laufenden Kernel. Programme, die ersetzte Bibliotheken nutzen, müssen neu gestartet werden, um den neuen Code zu laden. Ubuntu kann einen nötigen Neustart mit /var/run/reboot-required anzeigen.

Eine Paketverwaltungssperre bedeutet oft, dass eine automatische Aktualisierung oder ein anderer Paketvorgang aktiv ist. Warte, bis er abgeschlossen ist; das Löschen der Sperrdatei kann Paketeinträge beschädigen. Ein Berechtigungsfehler weist dagegen auf fehlende Rechte hin. Prüfe daher, ob der Vorgang sudo benötigt.

Fehlt ein Befehl oder ändert sich eine Version, kannst du mit Paketabfragen vom Symptom aus rückwärts suchen. Entscheide zuerst, ob du Informationen aus Paketquellen, Informationen zu installierten Paketen oder die Paketzugehörigkeit einer bestimmten Datei benötigst.

Vor der Installation suchen

apt search json und dnf search json durchsuchen Paketnamen und -beschreibungen. Untersuche ein vielversprechendes Ergebnis mit apt show NAME oder dnf info NAME. Diese Befehle zeigen Details wie Version, Größe, Beschreibung und Paketquelle. Die Ausgabe von APT show listet auch Abhängigkeiten auf; DNF-Anforderungen lassen sich mit dnf repoquery --requires NAME abfragen.

Informationen aus Paketquellen beantworten, was du installieren könntest. Sie allein belegen nicht, was bereits installiert ist. apt policy NAME unterscheidet die installierte Version vom Installationskandidaten, der Version, die APT derzeit auswählen würde. apt list --upgradeable oder dnf list --upgrades zeigt installierte Pakete mit verfügbaren Aktualisierungen.

Installierte Pakete abfragen

In dpkg -l kennzeichnet der Status ii ein installiertes Paket. Die Richtung einer Abfrage ist wichtig: -L geht von einem Paket aus und listet seine Dateien auf; -S geht von einer Datei aus und findet das zugehörige Paket. Auf RPM-Systemen entspricht dem die Unterscheidung zwischen -ql und -qf.

Einen Befehl zu seinem Paket zurückverfolgen

Angenommen, which openssl gibt /usr/bin/openssl aus. Auf Debian identifiziert dpkg -S /usr/bin/openssl openssl als zugehöriges Paket. apt policy openssl zeigt dann die installierte Version, den Installationskandidaten und die Paketquellen. So vermeidest du die Annahme, dass der Name eines Befehls immer mit seinem Paketnamen übereinstimmen muss.

Bei einem fehlenden Befehl gibt es möglicherweise kein installiertes zugehöriges Paket, das sich abfragen lässt. dnf provides /usr/bin/rsync durchsucht Dateilisten der Paketquellen. Systeme der Debian-Familie bieten das separate Werkzeug apt-file: Nachdem sein Index mit sudo apt-file update aktualisiert wurde, findet apt-file search bin/rsync die Anbieter. Ubuntu kann auch ein Paket vorschlagen, wenn ein Befehl nicht gefunden wird.

Einen Fehler mit einer Transaktion in Verbindung bringen

APT zeichnet Transaktionen in /var/log/apt/history.log auf; dpkg zeichnet grundlegendere Aktionen in /var/log/dpkg.log auf. Bei DNF4 listet dnf history Transaktionen auf; DNF5 verwendet dnf history list. dnf history info 12 zeigt die in Transaktion 12 geänderten Pakete.

sudo dnf history undo 12 fordert die Rückgängigmachung dieser Transaktion an. Prüfe den Plan: Das Rückgängigmachen hängt davon ab, ob die benötigten Paketversionen noch verfügbar sind, und stellt keine beliebigen Anwendungsdaten wieder her. Lies zur Diagnose den Verlauf, bevor du eine weitere Änderung vornimmst. Eine kürzliche Bibliotheksaktualisierung kann erklären, warum sich das Verhalten eines Programms geändert hat, obwohl niemand die Hauptanwendung neu installiert hat.

Ein Dienst, oft Daemon genannt, stellt eine Hintergrundfunktion bereit, etwa Webseiten auszuliefern oder SSH-Verbindungen anzunehmen. Er hat gewöhnlich kein Terminal. Viele Daemon-Namen enden auf d, wie sshd und chronyd.

Die Dienstverwaltung finden

Auf den meisten verbreiteten Distributionen läuft systemd als PID 1 und startet Dienste in der erforderlichen Reihenfolge. Prüfe das mit ps -p 1 -o comm=. systemd kann Prozesse überwachen, fehlgeschlagene Dienste neu starten und das Sammeln ihrer Protokolle organisieren. Manche Distributionen verwenden eine andere Verwaltung, etwa OpenRC von Alpine Linux.

systemd verwaltet Units. Ihre Endungen kennzeichnen ihre Aufgaben:

In Dienstbefehlen ist nginx die Kurzform für nginx.service. Namen unterscheiden sich: SSH verwendet auf Debian und Ubuntu gewöhnlich ssh, auf Fedora und RHEL sshd. Apache heißt apache2 oder httpd. systemctl list-unit-files | grep ssh hilft, den lokalen Namen zu finden.

Die zwei wichtigen Statuszeilen lesen

Führe systemctl status nginx aus. Eine Beispielausgabe kann enthalten:

Loaded: loaded (/usr/lib/systemd/system/nginx.service; enabled; preset: enabled)
Active: active (running) since Wed 2026-10-21 09:14:03 UTC
Main PID: 2410 (nginx)

Loaded nennt die Unit-Datei und ihren Aktivierungszustand. Active meldet den aktuellen Zustand und seit wann er besteht. Main PID bezeichnet den Hauptprozess; es folgen aktuelle Protokollzeilen. Ein regulärer Benutzer kann den Status untersuchen, für die Einsicht in Systemprotokolle können aber zusätzliche Rechte nötig sein.

Aktiv und aktiviert sind unabhängig voneinander. Aktiv beschreibt die Gegenwart. Aktiviert bedeutet, dass Aktivierungslinks erstellt wurden, meist damit ein Target den Dienst beim Systemstart startet. Ein deaktivierter Dienst kann dennoch von Hand gestartet oder von einer anderen Unit aktiviert werden. Ein aktivierter Dienst kann gestoppt oder fehlgeschlagen sein.

Den Zustand richtig deuten

Die Farbe des Statuspunkts hilft beim schnellen Erfassen, aber der Zustandstext ist der aussagekräftige Beleg. systemctl is-active nginx meldet den aktuellen Zustand; systemctl is-enabled nginx meldet die Aktivierung. static bedeutet, dass die Unit keine Aktivierungsanweisungen hat und auf einem anderen Weg aktiviert werden kann. masked bedeutet, dass ihr Start blockiert ist.

Die passende Übersicht wählen

systemctl list-units --type=service zeigt aktuell geladene Service-Units mit der standardmäßigen Zustandsfilterung. Ergänze --all, um inaktive geladene Units einzubeziehen, oder --state=running, um dich auf laufende Dienste zu konzentrieren. systemctl --failed zeigt ausschließlich fehlgeschlagene Units. systemctl list-unit-files --type=service listet installierte Service-Dateien und Aktivierungszustände auf, einschließlich der Dienste, die gerade nicht laufen.

Die Dienststeuerung betrifft zwei Zeitpunkte: Was soll jetzt laufen und was später automatisch gestartet werden? Halte diese Entscheidungen getrennt, wenn du Software installierst oder einen Dienst reparierst.

Den aktuellen Zustand steuern

Verwende nach einer Änderung systemctl status nginx. Für eine stille Prüfung liefert systemctl is-active --quiet nginx Erfolg zurück, wenn der Dienst aktiv ist. Es gibt keinen Zustandstext aus und ist daher für Shellbedingungen nützlich.

Ob Neuladen unterstützt wird, hängt vom Dienst ab. Prüfe bei nginx eine geänderte Konfiguration mit sudo nginx -t vor sudo systemctl reload nginx. Ein erfolgreiches Neuladen kann neue Einstellungen anwenden, ohne den Dienst zu stoppen. Bei fehlerhafter Konfiguration behält nginx beim Neuladen die alte laufende Konfiguration; ein Neustart mit der fehlerhaften Datei kann dagegen zum Ausfall führen.

Automatischen Start konfigurieren

sudo systemctl enable nginx erstellt Aktivierungslinks; es startet nginx nicht jetzt. sudo systemctl disable nginx entfernt diese Links; es stoppt den aktuellen Prozess nicht. Um beide Änderungen zusammen vorzunehmen:

sudo systemctl enable --now nginx
sudo systemctl disable --now nginx

Der erste Befehl aktiviert und startet; der zweite deaktiviert und stoppt. Eine nginx-Installation auf Fedora lässt den Dienst gewöhnlich gestoppt und deaktiviert, während die Paketinstallation in der Debian-Familie ihn oft startet und aktiviert. Prüfe nach der Installation den tatsächlichen Zustand.

Nach dem Start eines Webdienstes kann curl -I http://localhost seine lokale Antwort prüfen. Ein lokaler Erfolg und der Zugriff von einem anderen Rechner sind verschiedene Prüfungen; eine Firewall kann den entfernten Zugriff weiterhin blockieren.

Aktivierung bei Bedarf blockieren

Deaktivieren verhindert nicht, dass eine Abhängigkeit oder ein Socket einen Dienst aktiviert. Maskieren blockiert den Start, indem der Unit-Name mit /dev/null verknüpft wird:

sudo systemctl mask bluetooth
sudo systemctl unmask bluetooth

Maskieren allein stoppt eine bereits laufende Unit nicht. Stoppe sie ebenfalls, wenn sie nicht weiterlaufen darf. Das Aufheben der Maskierung entfernt die Blockierung; es startet oder aktiviert den Dienst nicht von selbst. Der Startversuch einer maskierten Unit meldet, dass sie maskiert ist.

Den Standardsystemzustand wählen

Ein Target gruppiert Units. multi-user.target stellt die normale nicht grafische Mehrbenutzerumgebung bereit, die häufig auf Servern verwendet wird. graphical.target ergänzt den Desktop. systemctl get-default meldet das Standard-Target und sudo systemctl set-default multi-user.target ändert das für künftige Systemstarts gewählte Target; der aktuelle Desktop wird dadurch nicht sofort geschlossen.

sudo systemctl reboot startet den Rechner neu und sudo systemctl poweroff fährt ihn herunter. Verwende für einen einzelnen Dienst stattdessen dessen eigene Steuerbefehle. Das Beenden der PID eines verwalteten Dienstes kann einen automatischen Neustart auslösen; ein bewusstes systemctl stop weist systemd an, ihn gestoppt zu lassen.

Eine Unit-Datei gibt systemd vor, wie ein Dienst auszuführen ist. Lies die wirksame Konfiguration mit systemctl cat NAME: Der Befehl gibt die Basisdatei und alle Überschreibungen mit ihren Pfaden aus.

Wissen, wohin Einstellungen gehören

Von Paketen bereitgestellte Units liegen unter /usr/lib/systemd/system/, auf Systemen der Debian-Familie auch über /lib/systemd/system/ erreichbar. Lokale Administratordateien und Überschreibungen gehören unter /etc/systemd/system/, das Vorrang hat. Eine Paketaktualisierung kann die eigene Datei ersetzen, daher solltest du lokale Änderungen in einer Überschreibung halten.

Eine Unit-Datei enthält Abschnitte und Einstellungen der Form Key=value:

After=network.target legt die Reihenfolge fest; es startet dieses Target nicht selbst und garantiert keine Internetverbindung. WantedBy=multi-user.target weist enable an, einen Link unter multi-user.target.wants/ zu erstellen. Eine statische Unit hat keine Aktivierungsanweisungen, kann aber dennoch von einer anderen Unit aktiviert werden.

Einen einfachen Dienst erstellen

Bereite für einen kleinen Testserver zunächst /srv/hello mit lesbaren Dateien und einem Systemkonto vor:

sudo useradd --system --no-create-home hello

Wenn Python 3 unter /usr/bin/python3 installiert ist, schreibe /etc/systemd/system/hello-web.service:

[Unit]
Description=Hello web server
After=network.target

[Service]
ExecStart=/usr/bin/python3 -m http.server 8080 --directory /srv/hello
User=hello
Restart=on-failure

[Install]
WantedBy=multi-user.target

Führe sudo systemctl daemon-reload und danach sudo systemctl enable --now hello-web aus. Untersuche systemctl status hello-web und rufe http://localhost:8080 mit curl ab. Das Dienstkonto benötigt das Recht, das Verzeichnis zu lesen und seine übergeordneten Verzeichnisse zu durchqueren.

Bei der Standardeinstellung Type=simple bleibt das Programm im Vordergrund, damit systemd es verfolgen kann. ExecStart= akzeptiert einen absoluten Pfad zur ausführbaren Datei oder einen einfachen Dateinamen aus dem Suchpfad von systemd. Ein relativer Pfad mit Schrägstrich wie ./server ist ungültig. Ein Programm, das sich durch Forken in den Hintergrund versetzt, benötigt einen geeigneten Diensttyp wie Type=forking.

Eine Einstellung aus einem Paket überschreiben

sudo systemctl edit nginx öffnet ein Drop-in. Zum Beispiel:

[Service]
Restart=on-failure
RestartSec=5s

Das Speichern mit systemctl edit lädt die Unit-Konfiguration von systemd neu. Starte den Dienst neu, um geänderte Laufzeiteinstellungen anzuwenden. Wenn du Dateien direkt bearbeitest, führe vor dem Neustart selbst sudo systemctl daemon-reload aus. Dies lädt Unit-Definitionen neu, nicht die eigene Konfiguration der Anwendung.

Um eine Listeneinstellung wie ExecStart zu ersetzen, ist vor der neuen Zeile eine leere Zeile ExecStart= nötig. sudo systemctl revert nginx entfernt lokale Überschreibungen und stellt die Herstellerkonfiguration wieder her.

Restart=no lässt einen beendeten Prozess gestoppt. on-failure startet ihn nach entsprechenden Fehlern neu; always umfasst auch reguläre Beendigungen. Ein bewusstes systemctl stop unterdrückt den automatischen Neustart. Schnelle Fehlschläge können eine konfigurierte Begrenzung der Starthäufigkeit erreichen. Die Standardeinstellungen der Dienstverwaltung erlauben fünf Starts in 10 Sekunden; die lokale Konfiguration kann dies ändern. Behebe die Ursache, bevor du den Fehlerzustand zurücksetzt und es erneut versuchst.

Das systemd-Journal sammelt Kernel-, Systemstart- und Dienstmeldungen, einschließlich der Ausgaben, die verwaltete Programme an das Journal senden. systemd-journald speichert indizierte binäre Datensätze. Lies sie mit journalctl; ein Textdateibetrachter wie less kann die Journaldateien selbst nicht interpretieren.

Genug vom Protokoll lesen

Der Zugriff auf das Systemjournal hängt von Berechtigungen und der lokalen Richtlinie ab. root und berechtigte Gruppen wie systemd-journal oder adm können Systemeinträge lesen. Sieht ein reguläres Konto nur eine eingeschränkte Auswahl, verwende für die Systemuntersuchung sudo journalctl.

Die Standardansicht beginnt mit alten Meldungen in einem Pager. Nutze die Pfeiltasten zum Bewegen, / zum Suchen und q zum Beenden. Wähle eine gezieltere Ansicht:

-n ohne Zahl wählt zehn Einträge aus. Die Statusausgabe zeigt oft nur einige aktuelle Zeilen. Lies daher das Journal, wenn diese Zeilen den Fehler nicht erklären.

Unit-, Systemstart- und Zeitfilter kombinieren

sudo journalctl -u nginx -b wählt nginx-Einträge dieses Systemstarts aus. -b -1 wählt den vorherigen Systemstart; --list-boots listet aufbewahrte Systemstartaufzeichnungen auf. -k wählt Kernelmeldungen aus und bezieht sich normalerweise auf den aktuellen Systemstart. Gib für ältere Kerneleinträge den Systemstart ausdrücklich an.

Zeitfilter akzeptieren relative Zeitangaben und vollständige Datumsangaben:

sudo journalctl -u nginx --since "2026-10-22 08:00" --until "2026-10-22 09:30"

--since today bedeutet seit Mitternacht heute, während --since "1 hour ago" ein mitlaufendes Zeitfenster angibt. Datums- und Uhrzeitangaben in Anführungszeichen bleiben als ein Argument zusammen. Ein Datum ohne Uhrzeit beginnt um Mitternacht.

Die Prioritätsschwelle verstehen

Prioritäten reichen von 0, Notfall, bis 7, Fehlersuche. Dazwischen liegen Alarm, kritisch, Fehler, Warnung, Hinweis und Information. Niedrigere Zahlen bedeuten einen höheren Schweregrad. -p err umfasst die Stufen 0 bis 3, nicht nur Fehler. Verwende einen ausdrücklichen Bereich wie -p err..warning, um diesen Bereich auszuwählen.

Ein enger Schweregradfilter kann die benötigten Hinweise ausblenden. SSH kann zum Beispiel Meldungen über fehlgeschlagene Passwörter auf Informationsstufe aufzeichnen. Auf Ubuntu findet sudo journalctl -u ssh --since today --grep "Failed password" passende Meldungen, ohne sie durch eine Warnungsschwelle auszuschließen.

Eine Zeile wie „Failed password for invalid user admin from 203.0.113.45“ nennt das versuchte Konto und die Quelladresse. Zeitstempel und Programm-PID ordnen sie in die umgebenden Aktivitäten ein. -o short-iso erleichtert den Vergleich vollständiger Datumsangaben; -o verbose zeigt Felder, -o json-pretty gibt strukturierte Einträge aus und -x ergänzt verfügbare Erklärungstexte.

Wissen, was einen Neustart übersteht

Persistente Journale liegen unter /var/log/journal/; flüchtige Journale unter /run/log/journal/ verschwinden beim Herunterfahren. Das Speicherverhalten wird durch Storage= in der journald-Konfiguration gesteuert. Ein aufgezeichneter Systemstart kann bedeuten, dass ältere Aufzeichnungen nie dauerhaft gespeichert oder bereits entfernt wurden.

journalctl --disk-usage zählt aktive und archivierte Journaldateien. sudo journalctl --vacuum-size=500M entfernt alte archivierte Dateien, um für sie eine Grenze von 500 MiB zu erreichen. Aktive Dateien werden dabei nicht entfernt, sodass die gemeldete Gesamtbelegung größer bleiben kann.

Das Journal ist nicht die einzige Protokollquelle. Manche Systeme betreiben zusätzlich rsyslog und Anwendungen können eigene Textprotokolle schreiben. Der Kernel hält einen separaten Meldungspuffer im Arbeitsspeicher. Wähle die Quelle, die das untersuchte Ereignis aufgezeichnet hat.

Das richtige Textprotokoll finden

Ob eine Datei vorhanden ist, hängt von den installierten Protokolldiensten und ihrer Konfiguration ab. Debian 12 und neuer verlassen sich gewöhnlich auf das Journal, sofern rsyslog nicht installiert ist. Anwendungen können auf einem solchen Rechner dennoch eigene Protokolle führen.

Lies eine Textdatei mit sudo less /var/log/auth.log, untersuche ihr Ende mit sudo tail -n 20 /var/log/syslog oder verfolge neue Zeilen mit sudo tail -f /var/log/nginx/error.log. Um ein Wort unabhängig von der Groß- und Kleinschreibung auszuwählen, verwende sudo grep -i "error" /var/log/syslog.

Felder und ältere Dateien lesen

Ein klassisches Beispiel ist:

Oct 22 08:01:17 web1 sshd[3141]: Accepted publickey for alice from 198.51.100.7 port 50522 ssh2

Es enthält die Uhrzeit, den Host, das Programm mit PID und die Ereignismeldung. Manche Systeme verwenden stattdessen vollständige ISO-Zeitstempel mit Zeitzonenversatz. Die Meldung beschreibt eine erfolgreiche Schlüsselanmeldung, keinen fehlgeschlagenen Passwortversuch; liest du nur den Programmnamen, geht diese Unterscheidung verloren.

Logrotation begrenzt das Wachstum, indem alte Dateien umbenannt, neue erstellt und abgelaufene Dateien schließlich entfernt werden. Die Konfiguration von logrotate liegt in /etc/logrotate.conf und /etc/logrotate.d/. Eine Folge wie syslog, syslog.1 und syslog.2.gz umfasst aktuelle und ältere Einträge. Verwende zless oder zgrep für gzip-komprimierten Text, ohne ihn vorher zu entpacken. Eine Suche allein in der aktuellen Datei kann den Fehler von gestern übersehen.

Kernelereignisse lesen

Der Ringpuffer des Kernels enthält aktuelle Meldungen und überschreibt beim Füllen seine ältesten Einträge. Er zeichnet Geräteerkennung, Treiberfehler, Speicherfehler und Beendigungen durch den OOM-Killer auf. dmesg gibt ihn aus; verwende bei eingeschränktem Zugriff sudo. dmesg -T liefert lesbare Zeitangaben, dmesg -l err,warn wählt Fehler und Warnungen aus und dmesg -w zeigt neue Meldungen fortlaufend.

sudo journalctl -k liest vom Journal aufbewahrte Kerneleinträge. sudo journalctl -k -b -1 kann einen vorherigen Systemstart erreichen, den der aktuelle Ringpuffer nicht mehr enthält.

Verschwindet ein Java-Prozess, verbindet eine Kernelzeile wie „Out of memory: Killed process 4810 (java)“ sein Ende mit Speicherknappheit. Prüfe free -h und top und senke dann den Speicherbedarf oder ergänze Kapazität. Beginne bei Startproblemen eines Dienstes mit dem Journal der Unit; lies für anwendungsspezifische Details deren eigenes Fehlerprotokoll.

Nutze Rotation oder Einstellungen zur Aufbewahrung des Journals, um den Platzbedarf von Protokollen zu steuern. Das manuelle Löschen eines Textprotokolls entfernt Belege und kann dazu führen, dass sein Speicherplatz belegt bleibt, bis das schreibende Programm die Datei schließt.

Wiederholte Neustarts erklären einen Fehler selten. Beginne mit dem sichtbaren Symptom, suche die Meldung, die seine Ursache nennt, und ändere eine Sache. Prüfe den reparierten Dienst dann sowohl über seine Verwaltung als auch anhand der Funktion, die er bereitstellt.

Einer wiederholbaren Untersuchung folgen

1. Bestätige das Symptom: Zum Beispiel schlägt eine lokale Webanfrage fehl.
2. Führe systemctl status NAME aus und lies Active, Result und den Rückgabecode.
3. Lies sudo journalctl -u NAME -b oder mit -n 50 --no-pager die letzten 50 Einträge.
4. Nutze das eigene Fehlerprotokoll und die Konfigurationsprüfung der Anwendung.
5. Korrigiere eine erkannte Ursache und wiederhole die zugehörige Prüfung.
6. Starte den Dienst oder starte ihn neu, prüfe den Status und teste die tatsächliche Funktion.
7. Vergleiche systemctl is-enabled NAME mit dem vorgesehenen Verhalten beim Systemstart.

Lies den ersten aussagekräftigen Fehler des fehlgeschlagenen Versuchs. Eine spätere Zeile „Failed to start“ fasst das Ergebnis zusammen; sie nennt möglicherweise nicht die Ursache. Aufeinander abgestimmte Zeit- und Unit-Filter helfen, den letzten Versuch von älteren Fehlern zu unterscheiden.

Einen Portkonflikt untersuchen

Ein nginx-Neustart schlägt fehl. Sein Journal enthält „bind() to 0.0.0.0:80 failed (98: Address already in use).“ Auf diesem Port lauscht bereits etwas. Führe aus:

sudo ss -tlnp | grep ':80 '

Angenommen, der Befehl identifiziert apache2. Ist dieser Rechner für nginx vorgesehen und wird Apache nicht mehr benötigt, stoppt sudo systemctl disable --now apache2 Apache und entfernt seine Aktivierungslinks. Danach kann sudo systemctl start nginx den Port belegen. Prüfe systemctl status nginx und eine lokale Webanfrage.

Die Voraussetzung ist wichtig: Entferne keinen benötigten Dienst, nur damit ein zweiter startet. Müssen beide laufen, muss ihre Konfiguration zum Lauschen gezielt geändert werden. Das Protokoll zeigt den Ressourcenkonflikt, während die vorgesehene Rolle des Systems die Reparatur bestimmt.

Einen Konfigurationsfehler untersuchen

Angenommen, das Journal meldet eine unerwartete schließende Klammer in /etc/nginx/sites-enabled/default:24. Führe sudo nginx -t aus; der Befehl nennt dieselbe Datei und Zeile. Korrigiere die falsch platzierte Klammer, führe die Prüfung erneut aus und starte erst nach erfolgreicher Prüfung neu. So grenzt du die Änderung ein und vermeidest, eine bekanntermaßen laufende Konfiguration durch eine fehlerhafte zu ersetzen.

Mit dem Ergebniscode die Suche eingrenzen

Eine fehlende ausführbare Datei und ein Programm, das startet, aber seine Einstellungen zurückweist, sind verschiedene Fehler. Vergleiche bei „Permission denied“ die Ausgabe von ls -l und den Verzeichniszugriff mit dem konfigurierten Benutzer des Dienstes. Prüfe bei einem vollen Datenträger df -h, bei wenig Arbeitsspeicher free -h und bei CPU-Überlastung top.

Meldet systemd „start request repeated too quickly“, behebe zuerst die Ursache. Danach setzt sudo systemctl reset-failed NAME den Fehler und die Zähler für die Startbegrenzung zurück, sodass du den Dienst erneut starten kannst. Das Zurücksetzen des Zählers allein repariert das Programm nicht.

Ein Archiv bündelt Dateien und Verzeichnisse mit ihren Namen und Metadaten. Komprimierung verringert die Anzahl der zum Speichern von Daten benötigten Bytes. Ein einfaches tar-Archiv bündelt Dateien, ohne sie zu komprimieren; mit einem Komprimierungsprogramm entstehen Dateien wie .tar.gz, .tar.bz2 oder .tar.xz.

Die Optionen wie einen kurzen Satz lesen

GNU tar akzeptiert auch kombinierte Optionen und die ältere Schreibweise ohne Bindestrich. Setze bei einer kombinierten Gruppe f zuletzt und danach den zugehörigen Dateinamen. Das große J wählt xz, das kleine j bzip2.

Ein Archiv mit nützlichen Eintragsnamen erstellen

tar -czvf site-backup.tar.gz -C /var/www site

Dies erstellt site-backup.tar.gz im aktuellen Verzeichnis der Shell. Tar wechselt für die Eingabe nach /var/www und fügt dann site hinzu, sodass gespeicherte Namen mit site/ beginnen. Es bewahrt Verzeichnisstruktur, Modi, Eigentümermetadaten und Zeitstempel.

Die direkte Angabe von /var/www/site funktioniert ebenfalls. GNU tar entfernt normalerweise den führenden Schrägstrich und speichert var/www/site/...; beim Entpacken wird dieser Pfad dann unterhalb des Ziels wiederhergestellt. Die Auswahl des Eingabeverzeichnisses mit -C ergibt eine kürzere, praktischere Struktur für die Wiederherstellung.

Vor der Wiederherstellung auflisten

Führe tar -tzvf site-backup.tar.gz aus. Der Befehl listet Namen und Metadaten auf, ohne zu entpacken. Prüfe, ob alle Einträge unter einem Verzeichnis liegen. Andernfalls kann das Entpacken Dateien über das Zielverzeichnis verstreuen. GNU tar erkennt beim Lesen gängige Komprimierungsformate, sodass auch tar -tvf site-backup.tar.gz funktioniert.

Für die Wiederherstellung in ein vorhandenes leeres Verzeichnis:

tar -xzvf site-backup.tar.gz -C /tmp/restore

Das Zielverzeichnis muss bereits existieren. Beim Entpacken können gleichnamige Dateien überschrieben werden. Verwende daher ein leeres Wiederherstellungsverzeichnis, wenn du ein unbekanntes Archiv prüfst. Um einen Eintrag zu entpacken, nenne ihn genau wie aufgelistet: tar -xzvf site-backup.tar.gz site/index.html.

Archivdateinamen und Metadaten schützen

Das Wort nach -f ist der Archivdateiname. In tar -cfz backup.tar.gz docs behandelt tar z als diesen Dateinamen und die späteren Wörter als Eingaben. Ebenso lässt tar -cf *.txt durch Shell-Expansion die erste Textdatei als Ausgabearchiv auswählen und kann sie überschreiben. Gib den Archivnamen immer ausdrücklich an.

Ein regulärer Benutzer stellt Dateien unter eigener Eigentümerschaft wieder her; root kann aufgezeichnete Eigentümer wiederherstellen. Das Erstellen einer Sicherung erfordert Lesezugriff auf die Quelle. Verwende für geschützte Systemdateien einen autorisierten Befehl wie sudo tar -czf /root/etc-2026-10-22.tar.gz /etc und prüfe seine Fehlermeldungen auf ausgelassene Dateien.

--exclude='*.log' lässt passende Pfade aus. Das -a von GNU tar wählt anhand der Endung ein Komprimierungsprogramm, wie in tar -caf backup.tar.xz docs. Bevor du Originale entfernst, lies das Archiv mit tar -tzf backup.tar.gz > /dev/null und bestätige, dass die Auflistung die erwarteten Dateien enthält. Ein erfolgreiches Lesen prüft die Lesbarkeit; die Untersuchung einer Wiederherstellung prüft zusätzlich, ob die ausgewählten Inhalte nützlich sind.

Komprimierungswerkzeuge unterscheiden sich in Geschwindigkeit, Größe und im Umgang mit Originalen. Wähle ein Format passend zur Aufgabe: eine schnelle Verkleinerung eines Protokolls, eine Linux-Sicherung oder ein Download für Benutzer verschiedener Betriebssysteme.

Eine Datei komprimieren und bei Bedarf das Original behalten

Diese Werkzeuge ersetzen eine Eingabedatei normalerweise durch ihre komprimierte Version. gzip access.log hinterlässt access.log.gz und entfernt nach Erfolg das Original. Ergänze -k, um es zu behalten. Ihre Formen mit -d kehren den Vorgang um.

Sie erstellen kein Verzeichnisarchiv aus mehreren Dateien. gzip project lehnt ein Verzeichnis ab; rekursives gzip komprimiert dessen Dateien einzeln. Um einen Verzeichnisbaum als ein komprimiertes Objekt zu erhalten, erstelle ein tar-Archiv mit dem gewählten Komprimierungsprogramm.

Zeit, Arbeitsspeicher und Größe abwägen

Gzip ist gewöhnlich schnell, xz erstellt oft kleinere Dateien bei höherem Zeit- und Speicheraufwand und bzip2 liegt meist dazwischen. Die Ergebnisse hängen von Eingabe und Einstellungen ab. Die Stufen von -1 bis -9 bevorzugen am unteren Ende Geschwindigkeit und am oberen Ende Komprimierung. Voreingestellt sind 6 für gzip und xz und 9 für bzip2.

Textprotokolle schrumpfen oft stark. JPEG-Bilder, MP4-Videos und komprimierte Archive profitieren gewöhnlich kaum von einem weiteren Durchlauf. Ihre erneute Komprimierung kann CPU-Zeit verbrauchen, ohne nennenswert Platz zu sparen.

Bei einer Stichprobe von 240 MiB an Protokollen erzeugte gzip 31 MiB und xz 22 MiB. Diese Ausgaben behalten etwa 12,9 % und 9,2 % der ursprünglichen Größe. Die kleinere Datei erforderte bei dieser Stichprobe eine längere Komprimierungszeit; die Zahlen sind keine Vorhersagen für andere Daten.

Komprimierte Inhalte lesen und prüfen

zcat, zless und zgrep lesen gzip-komprimierten Text; bzcat und xzcat verarbeiten ihre jeweiligen Formate. Zum Beispiel durchsucht zgrep "error" /var/log/syslog.2.gz ein rotiertes Protokoll, ohne eine unkomprimierte Kopie auf dem Datenträger zu hinterlassen.

Verwende gzip -t file.gz oder xz -t file.xz für Integritätsprüfungen. Eine Endung ist nur eine Namenskonvention: file backup.bin kann gzip-Inhalt auch ohne .gz erkennen. sha256sum backup.tar.gz erzeugt eine Prüfsumme für den Vergleich nach einer Übertragung. Übereinstimmende Prüfsummen zeigen, dass die Kopien übereinstimmen, nicht dass jede gewünschte Quelldatei enthalten war.

Ein Verzeichnis mit zip weitergeben

ZIP bündelt und komprimiert und behält dabei die Quelldateien:

zip -r project.zip project
unzip -l project.zip
unzip project.zip -d /tmp/project

-r bezieht den Inhalt des Verzeichnisses rekursiv ein. unzip -l listet ihn auf; -d wählt das Ziel zum Entpacken. Die Befehle müssen möglicherweise erst installiert werden. ZIP ist für Windows- und macOS-Benutzer praktisch. Linux-ZIP-Werkzeuge können Unix-Metadaten speichern, aber das Wiederherstellen von Eigentümern und Modi über andere Systeme hinweg ist weniger portabel als die Verwendung von tar für eine Linux-Sicherung.

Wähle .tar.gz für eine routinemäßige Linux-Sicherung, .tar.xz, wenn die Verkleinerung eines Downloads wichtiger als die Komprimierungszeit ist, .zip für die breite Weitergabe an Desktopbenutzer und gzip für eine einzelne große Textdatei. Behalte die Quelldateien, bis Prüfungen und eine probeweise Wiederherstellung belegen, dass das Archiv enthält, was du benötigst.