Ubuntu 24.04: Sind automatische Updates aktiviert?

Warum sich die Einrichtung automatischer Sicherheitsupdates lohnt

Ein Server ohne aktuelle Patches ist das einfachste Ziel im Internet. Die meisten Angriffe auf kleine Server sind nicht ausgeklügelt. Meist wird eine bekannte Schwachstelle in einem veralteten Paket ausgenutzt, das der Betreiber nie aktualisiert hat. Ubuntu stellt ein Tool bereit, das diese Lücke selbstständig schließt: unattended-upgrades installiert Sicherheitsupdates automatisch nach einem Zeitplan, ohne dass Sie sich anmelden müssen. Auf einem VPS ist das die kostengünstigste Sicherheitsmaßnahme. Unter Ubuntu ist sie in wenigen Minuten eingerichtet.

Das Tool arbeitet bewusst konservativ. Standardmäßig installiert es nur Sicherheitsupdates und nicht jedes Paketupgrade. Ein Sicherheitspatch ist in der Regel risikoarm und kann ohne Prüfung eingespielt werden. Ein Feature-Upgrade kann dagegen das Verhalten ändern, auf das Sie angewiesen sind. Dieser Standard ist für die meisten Server richtig. Diese Anleitung behält ihn bei und zeigt nur die Einstellungen, deren Änderung sinnvoll sein kann.

Schritt 1: Installieren und aktivieren

Unter Ubuntu 24.04 ist das Paket häufig bereits vorhanden, aber nicht immer aktiviert. Installieren und aktivieren Sie es:

sudo apt update
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Die Abfrage dpkg-reconfigure enthält eine einzige Ja-Nein-Frage: Sollen stabile Updates automatisch heruntergeladen und installiert werden? Antworten Sie mit yes. Dadurch wird die Datei geschrieben, die den täglichen Job aktiviert:

cat /etc/apt/apt.conf.d/20auto-upgrades

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Die erste Zeile aktualisiert täglich die Paketliste. Die zweite führt täglich das unbeaufsichtigte Upgrade aus. Wenn beide auf 1 gesetzt sind, prüft und installiert das System jeden Tag Sicherheitsupdates. Dies geschieht über einen systemd-Timer und erfordert keine weitere Aktion von Ihnen.

Schritt 2: Festlegen, was automatisch installiert wird

Die Richtlinie steht in /etc/apt/apt.conf.d/50unattended-upgrades. Öffnen Sie die Datei und suchen Sie den Block Allowed-Origins im oberen Bereich:

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}";
    "${distro_id}:${distro_codename}-security";
    "${distro_id}ESMApps:${distro_codename}-apps-security";
    "${distro_id}ESM:${distro_codename}-infra-security";
};

Die Zeilen -security sind entscheidend und standardmäßig aktiviert. Das ist die konservative Richtlinie: Sicherheitsupdates werden installiert, normale Feature-Updates wenden Sie bei Bedarf manuell an. Sie können die Origin-Zeile "${distro_id}:${distro_codename}-updates" hinzufügen, um alle Updates automatisch zu installieren. Für einen Server, auf dem wichtige Dienste laufen, ist es jedoch sicherer, automatisch nur Sicherheitspatches einzuspielen. Belassen Sie die Einstellung im Auslieferungszustand, sofern kein konkreter Grund dagegen spricht.

Schritt 3: Neustarts behandeln

Einige Updates, etwa ein Kernel oder eine zentrale Bibliothek, werden erst nach einem Neustart vollständig wirksam. unattended-upgrades startet Ihren Server nicht neu, solange Sie dies nicht festlegen. Dadurch kann ein gepatchter Kernel ungenutzt bleiben, bis Sie den Server zufällig neu starten. Legen Sie in 50unattended-upgrades ausdrücklich fest, wie Neustarts behandelt werden sollen:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

Damit wird der Server um 4 Uhr morgens neu gestartet, wenn und nur wenn ein Update dies erfordert. Bei einem einzelnen VPS ohne Cluster, auf den der Dienst ausweichen kann, ist ein kurzer Neustart am frühen Morgen meist ein sinnvoller Kompromiss, um Kernel-Fixes aktuell zu halten. Wenn auf Ihrem Server etwas läuft, das niemals unerwartet neu starten darf, lassen Sie den Neustart deaktiviert. Starten Sie den Server stattdessen nach einer Prüfung von /var/run/reboot-required regelmäßig selbst neu.

Schritt 4: Funktion prüfen

Warten Sie nicht einen Tag, um zu prüfen, ob der Job läuft. Starten Sie einen Probelauf. Er zeigt genau, was installiert würde, ohne Änderungen vorzunehmen:

sudo unattended-upgrade --dry-run --debug

Die Ausgabe listet die berücksichtigten Pakete und deren Origin auf. So sehen Sie die Richtlinie in der Praxis. Nachdem der eigentliche Job mindestens einmal ausgeführt wurde, finden Sie das Protokoll hier:

cat /var/log/unattended-upgrades/unattended-upgrades.log

Dieses Protokoll beantwortet die Frage: „Installiert mein Server tatsächlich automatisch Updates?“ Wenn darin nach einem Zeitplan installierte Sicherheitspakete erscheinen, funktioniert der Job.

Einordnung

Automatische Updates sind eine Schicht eines gehärteten Servers, aber nicht die gesamte Absicherung. Sie verhindern, dass bekannte Fehler offen bleiben. Sie regeln jedoch nicht, wer sich anmelden darf oder welche Dienste erreichbar sind. Kombinieren Sie sie mit einer SSH-Härtung nur mit Schlüsseln, damit die Zugangsschnittstelle nicht per Brute-Force angegriffen werden kann, mit einer UFW-Firewall mit standardmäßigem Deny, damit nur ausdrücklich freigegebene Dienste erreichbar sind, und mit nicht privilegierten Dienstkonten, damit eine kompromittierte Anwendung nicht den gesamten Server übernehmen kann. Die von Ihnen betriebenen Anwendungen enthalten zusätzlich eigene Geheimnisse. Wenn auf diesem Server beispielsweise ein selbst gehosteter Passwort-Tresor läuft, schützt eine Härtung von Vaultwarden das Admin-Token und die Backup-Datei, die durch kein apt-Patching geschützt werden. Patches schließen bekannte Lücken. Die anderen Schichten begrenzen den Schaden durch unbekannte Lücken.

FAQ

Installiert unattended-upgrades jedes Update oder nur Sicherheitsupdates?

Standardmäßig nur Sicherheitsupdates. Der Block Allowed-Origins in /etc/apt/apt.conf.d/50unattended-upgrades aktiviert die Origins -security und überlässt Ihnen die Installation normaler Feature-Updates. Das ist beabsichtigt: Sicherheitspatches sind risikoarm und sollten automatisch installiert werden. Feature-Upgrades können dagegen das Verhalten ändern. Die meisten Server sollten daher die konservative Standardeinstellung beibehalten.

Starten automatische Updates meinen Server neu?

Nur wenn Sie dies festlegen. Setzen Sie Unattended-Upgrade::Automatic-Reboot "true" und eine Automatic-Reboot-Time in der Konfiguration. Dann wird der Server zu diesem Zeitpunkt neu gestartet, wenn ein Update dies erfordert, beispielsweise nach einem Kernel-Patch. Wenn die Einstellung deaktiviert bleibt, wartet ein gepatchter Kernel auf Ihren manuellen Neustart. Prüfen Sie /var/run/reboot-required, um festzustellen, ob ein Neustart aussteht.

Wie prüfe ich, ob automatische Updates tatsächlich ausgeführt werden?

Führen Sie sudo unattended-upgrade --dry-run --debug aus, um zu sehen, was jetzt installiert würde, ohne Änderungen vorzunehmen. Lesen Sie /var/log/unattended-upgrades/unattended-upgrades.log, um die Protokolle früherer Ausführungen anzuzeigen. Jede automatische Installation wird außerdem in /var/log/apt/history.log protokolliert. Wenn das Protokoll täglich installierte Sicherheitspakete zeigt, funktioniert der Timer. Gibt der Probelauf No packages found that can be upgraded unattended aus, ist entweder bereits alles aktuell oder die erlaubten Origins sind zu eng gefasst und passen nicht zum Sicherheits-Repository.

Reicht unattended-upgrades aus, um meinen Server abzusichern?

Nein, aber es ist eine notwendige Schicht. Das Tool verhindert, dass bekannte Schwachstellen ungepatcht bleiben. Dadurch wird die häufigste Art von Angriff verhindert. Es kontrolliert jedoch weder den Zugriff noch die Erreichbarkeit. Kombinieren Sie es mit SSH-Härtung, einer Firewall mit standardmäßigem Deny und Dienstkonten mit den geringstmöglichen Berechtigungen. So wird der Server deutlich schwerer angreifbar.