Flatpak: Apps sandboxen, aktuell halten und automatisch aktualisieren

Warum Flatpak – und warum nicht einfach apt?

Paketmanager wie apt oder dnf sind an ihre Distribution gebunden und liefern genau die Versionen, die zur Stabilität des Systems passen. Das ist für Server richtig – für Desktop-Anwendungen aber unpraktisch: Wer auf Debian stable arbeitet, bekommt dieselbe Anwendung ein Jahr später in derselben Version, während der Hersteller längst vier Releases weiter ist.

Flatpak trennt beides:

Abgrenzung zu den beiden anderen „Universalpaketen“:

Runtimes, Sandbox, Portale

Drei Begriffe erklären praktisch alles, was dir bei Flatpak begegnet:

Flatpak und Flathub einrichten

Danach das Repository hinzufügen – einmal, systemweit:

sudo flatpak remote-add --if-not-exists flathub \
  https://dl.flathub.org/repo/flathub.flatpakrepo

# Kontrolle
flatpak remotes
flatpak search shortwave

Die Befehle, die du brauchst

--user und --system lassen sich bei den meisten Befehlen kombinieren: Ohne Angabe arbeitet Flatpak auf beiden Ebenen, sofern vorhanden.

Berechtigungen: was die Sandbox darf

Rechte stehen bei jeder App als Schlüssel-Wert-Paare. Manche sind Alternativen mit und ohne Gegenstück – so entsteht ein lesbares Modell:

Für den Alltag brauchst du die Kommandozeile selten: Die App Flatseal zeigt alle Rechte grafisch und erlaubt das Umschalten mit einem Klick – sie ist selbst ein Flatpak:

flatpak install flathub com.github.tchx84.Flatseal

# Alternativ auf der Kommandozeile: nur den Downloads-Ordner freigeben
flatpak override --user --filesystem=xdg-download de.haeckerfelix.Shortwave

# Und wieder alles zurücksetzen
flatpak override --user --reset de.haeckerfelix.Shortwave

Aufräumen, Reparieren, Speicher

Der häufigste Kritikpunkt an Flatpak ist der Speicherbedarf – und er ist meist selbstgemacht: Alte Runtimes bleiben liegen, wenn eine App aktualisiert wurde oder verschwunden ist.

# Was belegt wie viel?
du -sh ~/.local/share/flatpak /var/lib/flatpak 2>/dev/null

# Alte, nicht mehr benötigte Runtimes entfernen (der wichtigste Befehl)
flatpak uninstall --unused

# Nur anzeigen, was entfernt würde:
flatpak uninstall --unused --no-related

Automatische Updates per systemd-Timer

Flatpak hat einen entscheidenden Vorteil, den es zu nutzen gilt: Updates brauchen keine root-Rechte und funktionieren im Hintergrund. Gerade bei Browsern und Kommunikations-Apps ist ein täglicher Rhythmus Pflicht – Sicherheitsupdates sollten nicht bis zum nächsten manuellen Aufruf warten.

Das folgende Skript legt dazu einen systemd-User-Service samt Timer an. Du führst es also einmal aus; danach übernimmt systemd die Arbeit – ohne root, ohne Cron, ohne Passworteingabe.

#!/usr/bin/env bash

# Fehler sofort abbrechen
set -euo pipefail

echo "=================================================="
echo " Start: Automatisches Flatpak-Update-Setup (User)"
echo "=================================================="

# 1. Verzeichnis für User-Services erstellen
echo "[1/4] Erstelle Systemd-User Verzeichnis..."
mkdir -p "$HOME/.config/systemd/user"

# 2. Service-Datei erstellen (Inklusive Autoremove & Repair)
echo "[2/4] Erstelle flatpak-update.service..."
cat << 'EOF' > "$HOME/.config/systemd/user/flatpak-update.service"
[Unit]
Description=Update User Flatpak Apps Automatically
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot
# Updates einspielen
ExecStart=/usr/bin/flatpak update --user --noninteractive --assumeyes
# Reste aufräumen (Löscht ungenutzte Runtimes)
ExecStartPost=/usr/bin/flatpak uninstall --user --unused --noninteractive --assumeyes
# Optional: Repariert eventuelle Inkonsistenzen im User-Store
ExecStartPost=-/usr/bin/flatpak repair --user

[Install]
WantedBy=default.target
EOF

# 3. Timer-Datei erstellen (Täglicher Takt statt monatlich)
echo "[3/4] Erstelle flatpak-update.timer..."
cat << 'EOF' > "$HOME/.config/systemd/user/flatpak-update.timer"
[Unit]
Description=Timer for Automatic User Flatpak Updates

[Timer]
# Jeden Tag ausführen (wichtig für Browser-Sicherheitsupdates)
OnCalendar=daily
# Falls der Laptop aus war, sofort nach dem Hochfahren nachholen
Persistent=true
# 15 Minuten zufällige Verzögerung, um das WLAN nach dem Start zu schonen
RandomizedDelaySec=15m

[Install]
WantedBy=timers.target
EOF

# 4. Systemd-User-Daemon neu laden und Timer aktivieren
echo "[4/4] Aktiviere und starte den Systemd-Timer..."
systemctl --user daemon-reload
systemctl --user enable --now flatpak-update.timer

echo "=================================================="
echo " FERTIG! Die Flatpak-Updates laufen nun automatisch."
echo "=================================================="
echo "Zum Testen der Installation kannst du jetzt ausführen:"
echo "systemctl --user start flatpak-update.service"
echo "=================================================="

Speichern als flatpak-update-setup.sh, ausführbar machen, einmal starten:

chmod +x flatpak-update-setup.sh
./flatpak-update-setup.sh

# Läuft der Timer?
systemctl --user list-timers flatpak-update.timer

# Sofort testen, ohne auf 00:00 Uhr zu warten
systemctl --user start flatpak-update.service
journalctl --user -u flatpak-update.service -n 40 --no-pager

Warum die Zeilen so gewählt sind – die interessanten Details:

User- oder Systeminstallation?

Diese Entscheidung ist wichtiger als sie aussieht – sie bestimmt, welche Updates greifen und wer die Rechte vergibt.

Ein Hinweis zur After=network-online.target-Zeile im Skript: Sie ist der klassische Weg, Updates erst nach vorhandener Netzwerkverbindung zu starten. Im User-Manager ist diese Unit nicht in jeder Distribution vorhanden – systemd ignoriert unbekannte Abhängigkeiten dann, ohne zu scheitern. Praktisch ist das dank Persistent=true und der 15-Minuten-Streuung unproblematisch; wer es strenger mag, kombiniert den Timer zusätzlich mit OnBootSec=5min. In einem Systemdienst (siehe Tipp oben) funktioniert die Zeile wie erwartet.

Zwei Apps aus Flathub

Beide folgenden Programme zeigen, warum Flatpak in der Praxis gewinnt: Sie sind aktuell, laufen unabhängig von der Distributionsversion und bringen nur die Rechte mit, die sie wirklich brauchen.

RustDesk – eigener Remote-Desktop

flatpak install flathub com.rustdesk.RustDesk
flatpak run com.rustdesk.RustDesk

RustDesk ist ein in Rust geschriebener Remote-Desktop und die Open-Source-Alternative zu TeamViewer und AnyDesk – mit dem entscheidenden Unterschied, dass du die Vermittlungsserver (hbbs/hbbr) selbst hosten kannst. Dann läuft kein Byte über fremde Infrastruktur, und du behältst die vollständige Kontrolle über Adressbuch und Verbindungen. Die Einrichtung dieser Server ist in einem eigenen Artikel ausführlich beschrieben – Flatpak ist hier nur der Client.

• Stärke: Bildschirmübertragung und Steuerung ohne Cloud-Zwang, eigene ID-Server, plattformübergreifend (Linux, Windows, macOS, Android).
• Berechtigungen: braucht Netzwerk und Bildschirmzugriff. Unter Wayland läuft die Bildschirmfreigabe über das Portal und muss je Sitzung bestätigt werden – das ist kein Fehler, sondern die Sicherheitsregel.
• Für Dauerbetrieb beachten: Wenn der Rechner dauerhaft fernsteuerbar sein soll, prüfe nach dem ersten Start einmal die Freigabe und den Autostart. Die Paketversion aus der Distribution ist in solchen Fällen gelegentlich unkomplizierter als die Sandbox-Variante.

Shortwave – Internetradio für den Desktop

flatpak install flathub de.haeckerfelix.Shortwave

Shortwave ist ein Internetradio im GNOME-Look: durchsuchbar nach Genre, Land und Sprache, mit Favoritenliste, Aufnahmefunktion und sogar Musikerkennung über das Mikrofon. Die Senderliste kommt aus der offenen Datenbank radio-browser.info – also aus einer Gemeinschaftsquelle statt aus einem kommerziellen Verzeichnis. Keine Werbung, kein Werbe-Tracking, kein Konto.

• Stärke: riesige Senderauswahl mit brauchbarer Suche; Streams laufen direkt, ohne Browser-Tab.
• Berechtigungen: braucht Netzwerk (für die Sender) und Audio. Für Mitschneiden zusätzlich Schreibzugriff – am saubersten auf den Downloads-Ordner begrenzt, statt das ganze Home zu öffnen.
• Typischer Flatpak-Moment: Die erste Aufnahme schlägt fehl, weil die Sandbox den Zielordner nicht kennt. Lösung ist der override-Befehl aus dem Berechtigungs-Abschnitt – oder der Klick in Flatseal.

Typische Stolperfallen

Häufige Fragen (FAQ)

Fazit

Flatpak löst ein Problem, das jede stabile Distribution hat: aktuelle Anwendungen ohne Eingriff ins System – und mit weniger Rechten, als ein klassisches Paket je hätte. Der Preis sind Speicherplatz und ein neues Denkmodell bei den Berechtigungen.

Der zweite Teil ist die eigentliche Erkenntnis dieses Artikels: Wenn Updates ohne root laufen, kann eine kleine systemd-Einheit sie täglich erledigen. Ein Skript, einmal ausgeführt – und die Frage „hast du heute schon aktualisiert?“ stellt sich nie wieder.