Was bauen wir?

Am Ende zieht dein Debian 13 täglich automatisch Sicherheitsupdates und installiert sie ohne dein Zutun. Du entscheidest, ob und wann der Server für nötige Kernel-Updates neu startet, und weißt, wie du überprüfst, dass der Automatismus wirklich greift. Automatisiert werden Sicherheitsupdates und die konservativen Stable-Punktreleases; größere Upgrades deiner übrigen Software bleiben bewusst in deiner Hand.

Voraussetzungen

• Ein abgesicherter Server mit aktiver Firewall

Schritt für Schritt

Schritt 1: Paket installieren

sudo apt update
sudo apt install -y unattended-upgrades apt-listchanges

apt-listchanges zeigt bei Updates die Changelogs – nützlich, wenn du später doch manuell nachsiehst, was sich geändert hat.

Schritt 2: Automatik aktivieren

Der einfachste Weg, die tägliche Ausführung einzuschalten:

sudo dpkg-reconfigure -plow unattended-upgrades

Wähle im Dialog Ja. Das legt die Datei /etc/apt/apt.conf.d/20auto-upgrades mit diesem Inhalt an:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Die 1 bedeutet „täglich": Paketlisten aktualisieren und unbeaufsichtigte Upgrades ausführen. Ausgelöst wird das über die systemd-Timer apt-daily.timer (Paketlisten) und apt-daily-upgrade.timer (Upgrade-Lauf) – kein eigener Cronjob nötig.

Schritt 3: Festlegen, was aktualisiert wird

Wirf einen Blick in /etc/apt/apt.conf.d/50unattended-upgrades:

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

Auf Debian 13 sind im Block Origins-Pattern standardmäßig drei Quellen aktiv:

Unattended-Upgrade::Origins-Pattern {
  "origin=Debian,codename=${distro_codename},label=Debian";
  "origin=Debian,codename=${distro_codename},label=Debian-Security";
  "origin=Debian,codename=${distro_codename}-security,label=Debian-Security";
};

Die beiden Debian-Security-Zeilen sorgen für zeitnahe Sicherheitsupdates – der eigentliche Zweck. Die erste Zeile (label=Debian) deckt die konservativen Stable-Updates ab, die nur bei Debian-Punktreleases nachrücken; sie ist also kein Risiko-Rolling-Update, sondern gut abgehangen. Wer wirklich ausschließlich Security-Updates will, kommentiert die erste Zeile mit // aus.

Zwei Optionen lohnt es, hier explizit zu setzen. Alte Kernel/Pakete automatisch aufräumen, sonst läuft irgendwann /boot voll (Remove-Unused-Kernel-Packages ist code-seitig zwar schon der Default, steht in der Datei aber nur auskommentiert – explizit gesetzt ist die Entscheidung dokumentiert):

Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

Und der wichtigste Punkt – der automatische Neustart:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

Damit der automatische Neustart auf Debian überhaupt auslösen kann, fehlt noch ein Baustein: unattended-upgrades startet nur dann neu, wenn die Markierungsdatei /var/run/reboot-required existiert – und die legt Debian 13 bei Kernel-Updates von Haus aus nicht an (den zuständigen Hook liefert ein Ubuntu-Hilfspaket, das es in Debian nicht gibt; nur einzelne Pakete wie dbus setzen die Datei selbst). Ein Zweizeiler schließt die Lücke:

sudo tee /etc/kernel/postinst.d/zz-reboot-required > /dev/null <<'EOF'
#!/bin/sh
touch /var/run/reboot-required
EOF
sudo chmod +x /etc/kernel/postinst.d/zz-reboot-required

Der Hook läuft nach jeder Kernel-Installation und setzt die Markierungsdatei. Ab jetzt funktionieren sowohl Automatic-Reboot als auch der manuelle Blick auf /var/run/reboot-required zuverlässig – ohne den Hook würde der automatische Neustart bei Kernel-Updates schlicht nie ausgelöst.

Schritt 4: Einen Probelauf machen

Ohne echte Installation testen, was unattended-upgrades tun würde:

sudo unattended-upgrade --dry-run --debug

In der Debug-Ausgabe ist diese Zeile entscheidend (auf einem frischen Debian 13, gekürzt):

Allowed origins are: origin=Debian,codename=trixie,label=Debian, origin=Debian,codename=trixie,label=Debian-Security, origin=Debian,codename=trixie-security,label=Debian-Security
[...]
No packages found that can be upgraded unattended and no pending auto-removals

Dort müssen die Debian-Security-Quellen auftauchen. Steht dort etwas, greift die Konfiguration; findet der Lauf nichts zu tun (wie oben), ist schlicht gerade kein Sicherheitsupdate offen.

Wenn es nicht funktioniert

Symptom: Der Probelauf meldet No packages found that can be upgraded unattended.

Ursache & Lösung: Meist völlig normal – aktuell steht kein Sicherheitsupdate an. Prüfe die Konfiguration trotzdem über die Allowed origins are:-Zeile im --debug-Lauf. Erscheinen dort keine Security-Origins, stimmt das Origins-Pattern aus Schritt 3 nicht.

Symptom: Updates kommen, aber der Server startet trotz Kernel-Update nie neu.

Ursache & Lösung: Entweder steht Automatic-Reboot auf "false" (Standard) – dann auf "true" setzen (Schritt 3) – oder die Markierungsdatei wird nie gesetzt, weil der Kernel-Hook /etc/kernel/postinst.d/zz-reboot-required aus Schritt 3 fehlt. Ohne ihn legt Debian /var/run/reboot-required bei Kernel-Updates nicht an, und der automatische Neustart löst nie aus.

Symptom: /boot läuft voll, Updates schlagen fehl.

Ursache & Lösung: Alte Kernel häufen sich an. Remove-Unused-Kernel-Packages "true" setzen (Schritt 3); einmalig aufräumen mit sudo apt autoremove --purge.

Symptom: Ein Paket wird hartnäckig zurückgehalten (kept back).

Ursache & Lösung: unattended-upgrades installiert keine Updates, die andere Pakete entfernen würden. Solche Fälle löst du bewusst von Hand mit sudo apt upgrade und prüfst, was passiert.

Wartung & Backups

• Trotzdem draufschauen: Automatik ersetzt nicht die Aufmerksamkeit. Wirf monatlich einen Blick ins Log /var/log/unattended-upgrades/unattended-upgrades.log und lauf ab und zu sudo apt update && sudo apt upgrade für die nicht sicherheitskritischen Updates.
• Reboots einplanen: Wenn du automatische Neustarts nutzt, sorge dafür, dass deine Dienste einen Reboot sauber überstehen (restart: unless-stopped in Docker Compose, falls du Container betreibst).
• Kein eigenes Backup nötig, aber halte fest, ob du automatische Reboots aktiviert hast – das erklärt später, warum der Server nachts kurz weg war.