Automatische VPS-Neustarts nach Kernel-Updates

Sicherheitsupdates kommen oft mit einem neuen Kernel — der wirkt aber erst nach Reboot. Damit Ihr System nicht monatelang mit veralteten Kerneln läuft, können Sie automatische Neustarts einrichten.

Automatische Updates aktivieren

Auf Ubuntu/Debian:

apt install unattended-upgrades
dpkg-reconfigure --priority=low unattended-upgrades

Dann aktiv? Prüfen:

systemctl status unattended-upgrades

Konfiguration

/etc/apt/apt.conf.d/50unattended-upgrades:

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}";
    "${distro_id}:${distro_codename}-security";
    "${distro_id}ESMApps:${distro_codename}-apps-security";
    "${distro_id}ESM:${distro_codename}-infra-security";
};

// Nur Sicherheits-Updates automatisch
Unattended-Upgrade::AutoFixInterruptedDpkg "true";
Unattended-Upgrade::MinimalSteps "true";
Unattended-Upgrade::Package-Blacklist {
    // Pakete die NIE automatisch upgedated werden:
    // "nginx";
    // "mysql-server";
};

// Automatischer Reboot bei Kernel-Update
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

// E-Mail bei Update-Fehler
Unattended-Upgrade::Mail "admin@Ihre-domain.de";
Unattended-Upgrade::MailOnlyOnError "true";

Wann läuft das?

Standard-Zeitplan (siehe /etc/apt/apt.conf.d/20auto-upgrades):

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Läuft täglich per systemd-Timer, meist zwischen 06:00 und 08:00.

Reboot-Fenster wählen

Tipp: Reboot nicht auf volle Stunden legen — dann versuchen viele Server gleichzeitig zu rebooten. Besser krumme Zeit wie 04:17.

Wenn Ihr Server Dienste betreibt die Reboots vertragen sollten:

• Uptime-Monitoring vorher deaktivieren (5 Min vorher)
• Wartungsseite über CDN einblenden (falls Web-Traffic)
• Reboot-Notification an Ihr Bark/Telegram vorher

Nur Sicherheits-Updates

Standardmäßig installiert unattended-upgrades nur Sicherheits-Updates. Feature-Updates (z.B. neue Nginx-Version) bleiben aus — die machen Sie manuell.

Wenn Sie auch normale Updates wollen, in 50unattended-upgrades ergänzen:

Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-updates";
};

Manuell testen

# Was würde als nächstes installiert?
unattended-upgrades --dry-run --debug

Alternative: Live-Patching

Für kritische Server wo Sie keine Reboots wollen: Kernel Live-Patching von Canonical (Ubuntu Pro). Aktuelle Sicherheitspatches werden im laufenden Kernel eingespielt. Ubuntu Pro ist bis 5 Maschinen kostenlos für Privatnutzer.