Debian 11: LTS-Pflege endet am 31. August 2026

Ein System, das niemand bestellt hat

Die meisten Betriebe, die dieser Termin betrifft, haben Debian nie ausgewählt. Sie haben eine Website beauftragt, einen Server gemietet, eine Branchensoftware eingeführt oder ein Netzwerkgerät gekauft. Debian war nicht die Entscheidung — es war das, worauf die Entscheidung gestellt wurde.

Genau deshalb ist die naheliegende Überschrift zu diesem Termin die falsche. „Aktualisieren Sie Ihren Debian-Server" hilft niemandem, der gar nicht weiß, dass er einen hat. Die nützlichere Formulierung lautet: Am 31. August 2026 endet die LTS-Pflege für Debian 11 „bullseye" — und die erste Aufgabe ist herauszufinden, ob es bei Ihnen irgendwo mitläuft.

Dieser Beitrag ordnet ein, was an diesem Datum tatsächlich endet, warum der verlängerte Pfad weniger auffängt, als sein Name vermuten lässt, und welche drei Fragen die Sache für Ihren Betrieb klären.

Auf einen Blick

• Der LTS-Zeitraum für Debian 11 „bullseye" läuft vom 15. August 2024 bis zum 31. August 2026. Danach endet die Pflege durch das LTS-Team.
• Die Systeme laufen weiter. Was endet, ist der Nachschub an Sicherheitskorrekturen aus der Distribution — nicht der Betrieb.
• Es gibt einen verlängerten Pfad: Extended LTS (ELTS) vom 1. September 2026 bis zum 30. Juni 2031. Debian beschreibt ihn ausdrücklich als kommerzielles Angebot des Anbieters Freexian.
• Der Paketumfang von ELTS wird von den zahlenden Abonnenten bestimmt — es ist keine flächendeckende Absicherung der ganzen Distribution.
• Für einen Betrieb ohne ELTS-Abonnement heißt der 1. September deshalb tatsächlich: keine Distributionspatches mehr für dieses System.
• Das naheliegende Ziel ist Debian 12 „bookworm" — dessen LTS-Pflege läuft bis zum 30. Juni 2028. Ein Ziel mit Restlaufzeit, kein Endzustand.

Wo Debian 11 in einem kleinen Betrieb steckt

Debian ist eine der Grundlagen, auf denen ein großer Teil der Server-Landschaft aufsetzt. Für Sie heißt das: Sie begegnen ihm selten unter seinem Namen, sondern in Gestalt von etwas anderem.

• Der gemietete Server. Wer eine Website, einen Shop, ein Buchungssystem oder ein internes Werkzeug auf einem eigenen virtuellen Server betreibt, hat bei der Einrichtung meist ein Betriebssystem-Abbild ausgewählt bekommen. Was damals aktuell war, ist heute möglicherweise Debian 11.
• Container-Abbilder von Fachanwendungen. Moderne Branchensoftware wird häufig als fertiges Paket ausgeliefert, das sein Betriebssystem mitbringt. Dieses Innenleben sieht der Kunde nie — und aktualisiert es folglich auch nicht selbst.
• Netzwerkgeräte und Speichersysteme. Bei Geräten, deren Firmware auf einer Linux-Basis aufsetzt, entscheidet der Gerätehersteller, wann diese Basis erneuert wird. Sie merken davon nur, ob ein Firmware-Update angeboten wird oder nicht.
• Das System, das „einfach läuft". Der Server, der vor Jahren für einen bestimmten Zweck aufgesetzt wurde, seither zuverlässig arbeitet und deshalb nie wieder Thema war. Das ist der häufigste Fall — und der, der am schwersten zu finden ist.

Diese vier Orte haben eines gemeinsam: In keinem davon können Sie die Lage vom Schreibtisch aus beurteilen. Deshalb steht am Anfang keine technische Maßnahme, sondern eine Bestandsaufnahme.

Was am 31. August endet — und was nicht

Zunächst das Beruhigende: Am 1. September fällt nichts aus. Ein Debian-11-System startet weiter, Ihre Website bleibt erreichbar, die Anwendung arbeitet unverändert. Es gibt keinen Schalter, der umgelegt wird, und keinen Zustand, der sich über Nacht ändert.

Was endet, ist die Zuständigkeit. Bis zum 31. August pflegt das LTS-Team von Debian diese Version — es sammelt neu bekannt gewordene Schwachstellen ein, korrigiert sie und stellt die Korrekturen zur Verfügung. Danach tut das für Debian 11 niemand mehr, jedenfalls nicht auf diesem Weg.

Der Unterschied zwischen beidem ist der Grund, warum ein solcher Termin ein Planungsthema ist und kein Notfall: Das Risiko entsteht nicht am Stichtag, es wächst danach. Am 1. September ist Ihr System genauso sicher wie am 31. August — dieselbe Software, dieselben bereits geschlossenen Lücken. Es altert nur ab diesem Tag anders: Jede Schwachstelle, die künftig gefunden wird, bleibt offen. Nach zwei Monaten fällt das nicht auf. Nach zwei Jahren ist es ein anderes System.

Zur Vollständigkeit gehört eine Einschränkung, die schon vor diesem Datum galt: Der LTS-Zeitraum deckte ohnehin nur die vier Architekturen i386, amd64, armhf und arm64 ab. Wer auf anderer Hardware unterwegs ist, war bereits vorher außerhalb dieser Pflege — die üblichen Server und Geräte in einem kleinen Betrieb laufen allerdings genau auf diesen vier Architekturen, sodass die Einschränkung dort selten greift.

Der verlängerte Pfad — und wo er endet

An dieser Stelle haben wir vor wenigen Wochen zum Support-Ende einer Datenbank geschrieben, und die Kernaussage lautete: Ein Support-Ende beim Hersteller bedeutet nicht automatisch, dass ein System ungepatcht dasteht — entscheidend ist, woher die Software stammt und wer für sie einsteht. In jenem Fall gab es einen verlängerten Pfad, der die betroffenen Pakete breit mit abdeckte. Wer ihn gebucht hatte, war nicht ungeschützt.

Dasselbe Prinzip gilt hier — mit einem Unterschied, der den ganzen Unterschied macht.

Auch für Debian 11 existiert ein verlängerter Pfad: Extended LTS, kurz ELTS, vom 1. September 2026 bis zum 30. Juni 2031. Auf den ersten Blick sieht das nach fast fünf zusätzlichen Jahren Ruhe aus. Zwei Punkte relativieren das erheblich, und Debian benennt beide selbst.

Erstens ist ELTS ein kommerzielles Angebot. Es wird nicht vom Debian-Projekt als Teil der Distribution geliefert, sondern von einem Anbieter — Freexian — als bezahlte Leistung. Wer kein Abonnement hat, hat auch keinen ELTS.

Zweitens richtet sich der Umfang nach den Abonnenten. Welche Pakete tatsächlich weiter gepflegt werden, bestimmen die Organisationen, die dafür bezahlen. Das ist kein Nebensatz, sondern der Kern: ELTS ist keine Verlängerung der Distribution in ihrer ganzen Breite, sondern eine Pflege ausgewählter Pakete für einen zahlenden Kreis. Ob ausgerechnet die Komponente, auf der Ihre Anwendung steht, darin enthalten ist, lässt sich pauschal nicht sagen.

Für die Praxis in einem kleinen Betrieb folgt daraus eine unbequeme, aber klare Aussage: Wenn niemand für Ihr System ein ELTS-Abonnement hält, bedeutet der 1. September 2026 für dieses System das Ende der Sicherheitsupdates aus der Distribution. Das ist der Punkt, an dem sich dieser Fall von dem Datenbank-Fall unterscheidet — und der Grund, warum die beruhigende Lesart „das fängt schon jemand auf" hier nicht trägt, solange Sie nicht wissen, wer dieser Jemand sein soll.

Die drei Fragen, die Ihren Fall klären

Auflösen müssen Sie das nicht selbst. Sie müssen es nur adressieren — beim Hoster, beim Softwareanbieter, beim Gerätehersteller oder bei dem Dienstleister, der Ihre Systeme betreut. Drei Fragen genügen, und sie passen in eine E-Mail:

• Auf welcher Betriebssystem-Basis läuft das, was Sie für uns betreiben oder liefern? Gefragt ist die Version, nicht nur der Name. Der Unterschied zwischen Debian 11 und Debian 12 ist an dieser Stelle der ganze Unterschied. Diese Frage ist auch dann sinnvoll, wenn Sie vermuten, gar nicht betroffen zu sein — die Antwort dauert Minuten und beendet im besten Fall die Diskussion.
• Falls Debian 11: Wer liefert ab dem 1. September Sicherheitsupdates — und für welche Pakete? Hier reicht kein „das wird weiter gepflegt". Belastbar ist eine Antwort, die entweder ein ELTS-Abonnement benennt und sagt, ob die bei uns eingesetzten Komponenten darin enthalten sind — oder offen einräumt, dass ab diesem Datum nichts mehr nachkommt. Beides ist eine brauchbare Auskunft. Ausweichen ist keine.
• Wann kommt der Wechsel auf eine aktuelle Basis — mit Datum? Bei einem gemieteten Server, einem gelieferten Anwendungspaket oder einer Geräte-Firmware ist das die eigentliche Frage. Ein Anbieter, der einen Termin nennt, hat einen Plan. Ein Anbieter, der ausweicht, hat Ihnen ebenfalls etwas mitgeteilt.

Bleibt eine dieser Fragen unbeantwortet, ist das bereits ein Ergebnis. Dann ist derzeit schlicht nicht geklärt, wer dieses System künftig absichert — und das gehört auf den Tisch, bevor über Versionen und Migrationen gesprochen wird.

Debian 12 ist das Ziel — aber kein Endzustand

Der übliche Weg nach vorn führt auf Debian 12 „bookworm". Das ist ein Wechsel innerhalb derselben Distribution, kein Systemwechsel, und für die meisten Anwendungsfälle ein eingeübter Vorgang. Was dabei zu beachten ist, unterscheidet sich nicht von anderen Eingriffen an zentraler Stelle: ein geplantes Wartungsfenster, eine geprüfte Sicherung vorher, eine Kontrolle der Anwendungen danach — und eine vorab beantwortete Frage, was passiert, wenn etwas klemmt.

Eines sollte man dabei allerdings von Anfang an mitdenken. Debian 12 ist am 11. Juni 2026 selbst in die LTS-Phase eingetreten, und diese läuft bis zum 30. Juni 2028. Der Nachfolger Debian 13 „trixie" tritt seinerseits im August 2028 in seine LTS-Phase ein.

Wer jetzt auf Debian 12 wechselt, kauft sich also knapp zwei Jahre — nicht zehn. Das ist kein Argument gegen den Schritt, im Gegenteil: Es ist der naheliegende und meist einfachste Weg. Es ist aber ein Argument dafür, gleich bei der Migration den nächsten Termin in den Kalender zu schreiben, statt ihn in zwei Jahren erneut als Überraschung zu erleben. Diese Termine kommen nicht unangekündigt. Sie stehen fest, lange bevor sie relevant werden — sie werden nur selten dorthin übertragen, wo jemand hinsieht.

Fazit

Am 31. August 2026 endet die LTS-Pflege für Debian 11. Die Systeme laufen danach weiter; was aufhört, ist der Nachschub an Sicherheitskorrekturen aus der Distribution. Der verlängerte Pfad ELTS reicht zwar bis 2031, ist aber ein kostenpflichtiges Angebot mit einem Paketumfang, den die zahlenden Abonnenten festlegen — für einen Betrieb ohne ein solches Abonnement ist er keine Antwort.

Das Nützliche an diesem Datum liegt deshalb nicht in der Dringlichkeit, sondern im Anlass. Es gibt einen Grund, einmal zu fragen, worauf die Systeme eigentlich stehen, die seit Jahren unauffällig ihren Dienst tun — den gemieteten Server, das gelieferte Anwendungspaket, das Gerät im Netzwerkschrank. Diese Antwort sollten Sie ohnehin haben, unabhängig davon, welches Datum im Kalender steht.

Wenn Sie nicht sicher sind, welche Systeme in Ihrem Betrieb auf Debian aufsetzen und wer sie mit Sicherheitsupdates versorgt, übernehmen wir die Bestandsaufnahme. Wir klären mit Ihnen und den beteiligten Anbietern, was tatsächlich im Einsatz ist, was davon betroffen ist — und planen, falls nötig, den Wechsel so, dass Ihr Tagesgeschäft davon nichts merkt.