Linux Logs mit journalctl analysieren

Aktualisiert am 26.10.2026 · Lesezeit ca. 6 Min. · Niveau: Fortgeschrittene · von Viktor Tribus, IT-Tribus Nideggen

Die Analyse von System-Logs ist ein wichtiger Bestandteil der Systemverwaltung auf Linux. Mit dem Befehl journalctl können Sie die Protokolle des systemd-Logging-Dienstes Journald durchsuchen und filtern, um Problemschritte zu identifizieren und Lösungen zu finden. Dieser Artikel führt Sie Schritt für Schritt durch das Analysieren von Linux-Logs mit journalctl.

Linux-Systeme erzeugen eine Vielzahl an Protokollen, die über verschiedene Aspekte des Systemverhaltens informieren. Diese Protokolle sind besonders nützlich bei der Fehlersuche und der Überwachung von Systemvorgängen. journalctl ist das Hauptwerkzeug zur Analyse dieser Logs auf Systemd-basierten Linux-Distributionen.

Sie benötigen diese Kenntnisse in typischen Situationen wie:

• Fehlersuche: Wenn ein Dienst nicht startet oder unerwartete Fehlermeldungen erscheinen.
• Überwachung und Auditierung: Um nachvollziehbar zu machen, was auf einem System passiert ist.
• Sicherheitsüberprüfungen: Besonders relevant im Europäischen Monat der Cybersicherheit (Oktober), um potenzielle Angriffe oder Sicherheitsverstöße zu erkennen.

Um Linux-Logs mit journalctl analysieren zu können, benötigen Sie die folgenden Voraussetzungen:

• Linux-Distribution: Die meisten aktuellen Distributionen verwenden Systemd und Journald. Überprüfen Sie Ihre Version mit systemctl --version.
• Admin-Rechte: Viele journalctl-Befehle erfordern root-Zugriff. Verwenden Sie sudo, z.B. sudo journalctl.
• Befehlszeile: Sie sollten bereits mit der Verwendung von Terminalen vertraut sein.

Zum Anzeigen aller gespeicherten Protokolle verwenden Sie den Befehl journalctl:

sudo journalctl

Dies zeigt Ihnen die vollständige Protokolldatenbank, beginnend mit dem ältesten Eintrag. So prüfen Sie, ob es geklappt hat: Sie sehen eine Liste von Zeitstempeln und entsprechenden Meldungen.

Um Protokolle innerhalb eines bestimmten Zeitraums anzuzeigen, können Sie journalctl mit den Optionen -S (Startzeit) und -U (Endzeit) verwenden:

sudo journalctl --since "2026-10-01 00:00:00" --until "2026-10-31 23:59:59"

Dies filtert die Protokolle für den gesamten Oktober 2026. So prüfen Sie, ob es geklappt hat: Die angezeigten Einträge liegen innerhalb des gewählten Zeitraums.

Sie können Protokolle für einen bestimmten Systemdienst anzeigen. Zum Beispiel, um die Logs für den SSH-Dienst anzuzeigen:

sudo journalctl -u ssh.service

Dies zeigt nur die Einträge des ssh.service. So prüfen Sie, ob es geklappt hat: Die angezeigten Meldungen beziehen sich ausschließlich auf den SSH-Dienst.

Sie können die Ausgabe auch nach der Priorität der Logs filtern. Zum Beispiel, um nur Warnmeldungen und Fehler anzuzeigen:

sudo journalctl -p warning..err

Dies filtert die Protokolle auf Warnungen (level 4) und Fehler (level 3). So prüfen Sie, ob es geklappt hat: Die angezeigten Einträge sind nur Warnmeldungen oder Fehler.

Um die Protokolle für einen bestimmten Boot-Vorgang anzuzeigen, können Sie den Befehl wie folgt verwenden:

sudo journalctl -b -1

Dies zeigt die Logs des vorletzten Boot-Vorgangs. So prüfen Sie, ob es geklappt hat: Die angezeigten Einträge liegen innerhalb des gewählten Boot-Vorgangs.

Um die Logs in eine Datei zu exportieren, können Sie den Befehl wie folgt verwenden:

sudo journalctl -b > /path/to/export.log

Dies speichert alle Protokolle des aktuellen Boot-Vorgangs in der angegebenen Datei. So prüfen Sie, ob es geklappt hat: Die Exportdatei enthält die erwarteten Einträge.

Fehlermeldung: Cannot open system journal: Permission denied.

• Ursache: Sie haben nicht die erforderlichen Admin-Rechte.
• Lösung: Verwenden Sie sudo, z.B. sudo journalctl.

Fehlermeldung: Unknown option "..." for command line parameter "--".

• Ursache: Ihre Systemd-Version ist veraltet und unterstützt die gewünschten Optionen nicht.
• Lösung: Aktualisieren Sie Ihren Systemd, z.B. mit sudo apt update && sudo apt upgrade systemd.

Fehlermeldung: No entries.

• Ursache: Der gewählte Zeitrahmen enthält keine Einträge oder die Zeitangabe ist inkorrekt formatiert.
• Lösung: Überprüfen Sie den Formatierungsstil der Zeit und stellen Sie sicher, dass der angegebene Zeitraum gültig ist. Beispiel: --since "2023-10-01 00:00:00" --until "2023-10-31 23:59:59".

Fehlermeldung: Permission denied.

• Ursache: Sie haben nicht die erforderlichen Schreibrechte für den Zielordner.
• Lösung: Verwenden Sie sudo oder ändern Sie die Berechtigungen des Ordners mit chmod, z.B. sudo chmod 755 /path/to/export.log.

Die Änderung von Log-Einstellungen oder das Filtern der Logs selbst beeinflusst nicht die Original-Logs. Jedoch, wenn Sie Protokolle manuell gelöscht oder geändert haben, können Sie die ursprünglichen Daten nicht wiederherstellen.

Es ist jedoch ratsam, regelmäßige Backups Ihrer Logdateien zu erstellen, um in solchen Fällen den Ausgangszustand wiederherzustellen. IT-Tribus in Nideggen kann Ihnen bei der Umsetzung und Verwaltung dieser Prozesse helfen.

Sie können die Protokolle mithilfe von sudo journalctl --vacuum-time=1d für einen bestimmten Zeitraum löschen. Dies entfernt alle Einträge älter als 24 Stunden.

Ja, Sie können die exportierten Log-Dateien mit einem Texteditor oder speziellen Log-Analysatoren wie Elasticsearch, Logstash, und Kibana (ELK-Stack) auf einem Windows-Rechner anzeigen.

Ja, es gibt alternative Log-Analysetools wie dmesg für Kernel-Meldungen oder tail -f /var/log/syslog für ältere Systeme ohne systemd.

Ja, Sie können die Logs mithilfe von SSH exportieren und lokal analysieren. Zum Beispiel: ssh -i ~/.ssh/id_rsa BENUTZER@REMOTE-IP journalctl > /path/to/export.log.

Ja, Tools wie Journal Viewer oder KSystemLog bieten eine grafische Oberfläche zum Analysieren von Protokollen.

Die Analyse von Linux-Logs mit journalctl ist ein leistungsstarkes Werkzeug für die Fehlersuche und Überwachung. Durch das Verständnis der verschiedenen Filteroptionen und Befehle können Sie effizient Probleme identifizieren und lösen. IT-Tribus in Nideggen steht Ihnen bei weiterführenden Fragen oder praktischen Umsetzungen zur Seite.

• Durchblick im Log | c’t – heise.de
• Linux-Protokolldienst Journald verstehen und sinnvoll nutzen – heise.de
• Verwenden von Journalctl zum Anzeigen und Manipulieren von … – digitalocean.com
• How to find and interpret system log files on Linux – redhat.com
• Logdateien › Wiki › ubuntuusers.de – wiki.ubuntuusers.de
• systemd-Journalprotokolle: Export mit journalctl – socprime.com

Hinweis: Dieser Beitrag wurde am 26.10.2026 mit KI-Unterstützung erstellt, auf Basis der genannten Quellen eigenständig formuliert und redaktionell von IT-Tribus betreut. Alle Angaben ohne Gewähr – bitte prüfen Sie Befehle vor dem Einsatz in produktiven Umgebungen und legen Sie vorher eine Sicherung an.