Do these 3 things before closing this tab:
1Clear out junk files and repair common Windows errors2Scan for outdated or missing drivers - takes under a minute3Repair Windows errors before they cause bigger problemsLandlock ist ein Linux-Security-Module, mit dem ein Prozess zusätzliche Zugriffsregeln für sich selbst und seine künftig gestarteten Kindprozesse erzwingen kann. Es eignet sich für Selbst-Sandboxing ohne privilegierten Systemdienst, ersetzt aber weder seccomp noch Namespaces oder die übrigen Linux-Sicherheitskontrollen. Was tatsächlich gesperrt wird, hängt von den gesetzten Regeln und der unterstützten Landlock-ABI ab.
Was Landlock kontrolliert – und was nicht
Landlock ergänzt die Zugriffskontrollen des Systems. Es lässt eine Anwendung ein Ruleset erstellen, darin festlegen, welche Zugriffsarten es behandelt, und passende Regeln hinzufügen. Anschließend erzwingt die Anwendung das Ruleset für sich selbst. Die Regeln gelten auch für künftige Kindprozesse und werden mit geerbten Landlock-Schichten kombiniert.
As an Amazon Associate I earn from qualifying purchases.
Eine Aktion muss von jeder geltenden Landlock-Schicht sowie von den übrigen Systemkontrollen erlaubt sein. Ein Landlock-Allow allein garantiert daher nicht, dass ein Zugriff gelingt: DAC-Berechtigungen und andere LSMs gelten weiterhin. Die Kernel-Dokumentation beschreibt das Prinzip so: „A Landlock rule shall not interfere with other access-controls enforced on the system, only add more restrictions.“ (Linux-Kernel-Dokumentation zu Landlock.)
Ein Ruleset beschränkt grundsätzlich nur die Zugriffsarten, die seine „handled access“-Bitmaske aufführt. Nicht aufgeführte Aktionen werden durch dieses Ruleset nicht eingeschränkt. Die Auswahl dieser Maske ist deshalb entscheidend: Werden notwendige Rechte ausgelassen, bleiben sie außerhalb der Policy; werden sie aufgenommen, müssen Regeln die benötigten Ausnahmen gezielt gestatten.
#1 Best Overall
- Dateisystem: Regeln beziehen sich auf Datei- und Verzeichnisaktionen innerhalb von Hierarchien.
- Netzwerk: Regeln können unterstützte TCP- und UDP-Aktionen an Ports kontrollieren; der Umfang hängt von der ABI ab.
Landlock ist keine allgemeine Syscall-Filterung und kontrolliert nicht automatisch jede Kernel-Ressource. Es ist auf Zugriffskontrolle für unterstützte Kernel-Objekte und Aktionen ausgelegt.
Wie die Selbst-Sandbox aufgebaut wird
Das Anwendungsprogramm definiert seine Policy selbst. Auf hoher Ebene besteht der Ablauf aus einem Ruleset, den darin behandelten Zugriffsarten, Regeln für konkrete Hierarchien oder Netzwerkports und dem Erzwingen des Rulesets für den eigenen Prozess. Die Userspace-API-Dokumentation beschreibt die verfügbaren Systemaufrufe und ABI-Abfrage (Landlock-Userspace-API).
Rank #2
Für eine belastbare Policy sollte die Anwendung nur tatsächlich notwendige Aktionen behandeln und Zugriffe so eng wie möglich erlauben. Insbesondere sollte sie vor dem Erzwingen klären, welche Datei- und Verzeichniszugriffe sie später benötigt. Regeln sind Beschränkungen, keine automatische Erkennung dessen, was das Programm braucht.
Free tools Windows power users keep installed
One-click scans. No signup required.
Wichtige Grenze: bereits geöffnete Dateien
Dateien und Verzeichnisse, die vor dem Sandboxing geöffnet wurden, unterliegen nicht nachträglich den später gesetzten Pfadregeln. Die Userspace-Dokumentation formuliert: „Files or directories opened before the sandboxing are not subject to these restrictions.“ Bereits geöffnete Dateideskriptoren können deshalb weiterhin Zugriff ermöglichen; bei ihrer Weitergabe bleiben die an den Deskriptor gebundenen Rechte erhalten.
Die Reihenfolge der Initialisierung und der Umgang mit Deskriptoren sind somit Teil des Sicherheitsmodells: Eine Anwendung, die Pfade beschränken möchte, muss berücksichtigen, welche Ressourcen sie vor dem Anwenden der Regeln öffnet und ob sie offene Deskriptoren an andere Prozesse weiterreicht.
Landlock-ABI: Funktionen hängen von der Version ab
Landlock wurde mit Linux 5.13 eingeführt. Die im August 2026 datierte aktuelle Kernel-Dokumentation beschreibt ABI 11. Anwendungen sollten die tatsächlich unterstützte ABI-Version zur Laufzeit abfragen und ihre Policy daran anpassen, statt neuere Kontrollmöglichkeiten vorauszusetzen.
| ABI | Erweiterung laut Kernel-Userspace-Dokumentation |
|---|---|
| 2 | Sichere Kontrolle von Umbenennen und Verknüpfen über LANDLOCK_ACCESS_FS_REFER |
| 3 | Kontrolle der Dateikürzung |
| 4 | TCP-Bind und TCP-Connect |
| 5 | IOCTL-Kontrolle an Zeichen- und Blockgeräten |
| 6 | Scope-Regeln für abstrakte UNIX-Sockets und Signale |
| 8 | Thread-Synchronisierung |
| 9 | Zugriffskontrolle für Pfadnamen-UNIX-Sockets |
| 10 | UDP-Bind und UDP-Connect/Senden sowie selektive Unterdrückung von Logs |
| 11 | no_new_privs-Option beim Erzwingen |
Die Liste zeigt, warum eine Policy nicht ohne Versionsprüfung übernommen werden sollte: Ältere ABIs können einzelne Aktionen nicht verweigern. Beispielsweise ist Dateikürzung vor ABI 3, TCP-Bind und -Connect vor ABI 4 und IOCTL vor ABI 5 nicht kontrollierbar. Für explizite TCP-/UDP-Regeln ist außerdem TCP/IP-Unterstützung im Kernel erforderlich; für UDP-Regeln nennt die Dokumentation CONFIG_INET=y als Voraussetzung.
Voraussetzungen und Prüfung auf einem System
Landlock muss im Kernel aktiviert und beim Systemstart in der LSM-Liste eingeschlossen sein. Laut Kernel-Dokumentation sind CONFIG_SECURITY_LANDLOCK=y beim Kernel-Build und die Aktivierung über CONFIG_LSM relevant. Falls eine Anpassung über den Kernel-Parameter lsm=landlock,[…] erforderlich ist, müssen vorhandene Module in der Liste erhalten bleiben.
Die Kernel-Dokumentation verweist auf Bootmeldungen, um die Aktivierung im laufenden System zu prüfen. Für Anwendungssoftware ist zusätzlich wichtig, die verfügbaren Landlock-Systemaufrufe und die unterstützte ABI abzufragen: Ein System kann eine andere Funktionsbasis bieten als die, für die eine Policy geschrieben wurde.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Landlock im Vergleich zu seccomp und Namespaces
Diese Mechanismen adressieren unterschiedliche Kontrollziele und können sich ergänzen; keiner ist allein pauschal der „Sieger“ für jede Sandbox.
| Mechanismus | Primäres Kontrollziel | Wichtige Abgrenzung |
|---|---|---|
| Landlock | Unterstützte Datei-, Verzeichnis- und Netzwerkzugriffe auf Kernel-Objekte | Kann von einem Prozess zur zusätzlichen Selbstbeschränkung eingesetzt werden; Regeln ergänzen bestehende Kontrollen. |
| seccomp-BPF | Systemaufrufe und deren Argumente | Filtert Syscalls statt Dateisystemhierarchien oder Ports als solche. |
| Namespaces | Prozessräume und Sicht auf bestimmte Ressourcen | Die Kernel-Dokumentation beschreibt sie nicht als feingranulare Zugriffskontrolle. |
Bei der Auswahl zählen daher das gewünschte Isolationsziel, die kontrollierten Objekte und Aktionen, die benötigte Kernel-Konfiguration, die Möglichkeit unprivilegierter Selbstbeschränkung sowie Vererbung und bereits geöffnete Ressourcen. Für eine umfassendere Sandbox kann die Kombination verschiedener Mechanismen sinnvoll sein.
The Tool Desk
Outbyte Driver Updater FREEScan for outdated or missing drivers - takes under a minuteDriver Scan →Outbyte PC Repair FREERepair Windows errors before they cause bigger problemsFix Now →Dateisystemdetails, die zusätzliche Prüfung verdienen
Die Hierarchieregeln verhalten sich nicht bei allen Dateisystemkonstruktionen gleich. Die Kernel-Dokumentation erläutert die Propagierung von Hierarchierechten über Bind-Mounts, aber nicht in derselben Weise über OverlayFS. Wer eine Sandbox mit Bind-Mounts oder OverlayFS betreibt, sollte die jeweilige Semantik für die konkrete Konfiguration prüfen, statt identisches Verhalten anzunehmen.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
