Mit Landlock kann ein Linux-Prozess seine eigenen Zugriffsrechte ohne Root-Rechte weiter einschränken. Dazu legt er ein Ruleset an, benennt darin die Rechte, die er kontrollieren will, fügt gezielte Freigaben hinzu und wendet die Policy auf sich selbst an. Landlock ist eine zusätzliche Schutzschicht: Sie ersetzt weder die übrigen Linux-Zugriffskontrollen noch eine umfassende Sandbox.
Was Landlock schützt – und wie die Policy wirkt
Landlock ist ein stapelbares Linux Security Module (LSM), das auch unprivilegierte Prozesse zum Selbst-Sandboxing nutzen können. Der Prozess schränkt damit seine eigenen Rechte und die seiner künftig gestarteten Kinder ein, statt einem Administrator zu erlauben, beliebige Prozesse von außen zu konfigurieren. Mickaël Salaün, Autor der offiziellen API-Dokumentation, fasst den Ansatz so zusammen: “Landlock empowers any process, including unprivileged ones, to securely restrict themselves.” Gemeint ist: Jeder Prozess, auch ein Prozess ohne besondere Rechte, kann sich selbst sicher beschränken.
As an Amazon Associate I earn from qualifying purchases.
Eine Landlock-Policy besteht aus einem Ruleset und darin eingetragenen Regeln. Das Ruleset legt zunächst fest, welche Zugriffsarten Landlock überhaupt behandeln soll. Für diese behandelten Aktionen gilt dann: Was keine passende Regel erlaubt, wird verweigert. Nicht behandelte Aktionen werden von dieser Policy nicht kontrolliert. Die Anwendung muss deshalb bewusst festlegen, welche Rechte sie einschränken will, und die tatsächlich benötigten Zugriffe gezielt freigeben.
Quick wins for a faster PC:
Scan for outdated or missing drivers - takes under a minuteDriver Scan →Clear out junk files and repair common Windows errorsFree Scan →Landlock ergänzt die normalen DAC-Prüfungen – etwa Unix-Dateirechte – und andere aktive LSMs. Eine Landlock-Regel hebt keine dieser Kontrollen auf. Bei mehreren Landlock-Schichten muss eine Aktion von jeder Schicht zugelassen werden; weitere Schichten können die Rechte daher nur weiter beschneiden. Die gesetzte Beschränkung lässt sich vom betroffenen Thread nicht wieder entfernen.
#1 Best Overall
Wie eine Anwendung eine Landlock-Policy aufbaut
Der grundlegende Ablauf ist: Laufzeitunterstützung prüfen, ein Ruleset mit den zu behandelnden Rechten erzeugen, Regeln für die benötigten Ressourcen hinzufügen und die Policy anwenden. Die offiziellen Beispiele verwenden dafür die Landlock-Systemaufrufe. Jeder Schritt kann fehlschlagen; eine Anwendung darf die Sandbox nur dann als aktiv behandeln, wenn die Einrichtung tatsächlich erfolgreich war.
- ABI zur Laufzeit abfragen. Die offizielle API empfiehlt
landlock_create_ruleset(NULL, 0, LANDLOCK_CREATE_RULESET_VERSION). Der Rückgabewert gibt an, welche Landlock-ABI das laufende System bereitstellt. - Nur unterstützte Zugriffsarten auswählen. Entfernen Sie Rechte, die das ermittelte ABI nicht unterstützt. Die Anwendung sollte nicht voraussetzen, dass zwei Installationen mit Landlock dieselben Dateisystem-, Netzwerk- oder Scope-Funktionen anbieten.
- Ruleset-Rechte festlegen. Tragen Sie in den
handled_access_*-Feldern genau die Zugriffsarten ein, die diese Policy kontrollieren soll. Für jede behandelte Aktion gilt die Verweigerung, solange keine passende Regel sie erlaubt. - Gezielte Regeln hinzufügen. Geben Sie nur die Pfade und Aktionen frei, die das Programm nach dem Sandboxing benötigt. Maskieren Sie die Rechte jeder Regel gegen die tatsächlich behandelten Rechte und überspringen Sie Regeln, die danach leer sind.
- Ruleset anwenden und Fehler auswerten. Prüfen Sie die Rückgabewerte beim Erstellen des Rulesets, beim Hinzufügen jeder Regel und beim Anwenden der Beschränkung. Schlägt die ABI-Abfrage oder ein notwendiger Einrichtungsschritt fehl, darf die Anwendung nicht stillschweigend einen erfolgreichen Sandbox-Status melden.
Als Prinzip zeigt die Kernel-Dokumentation eine Freigabe von /usr für Lesen und Ausführen, während behandelte Schreibaktionen gesperrt bleiben. Das ist ein Beispiel für eine gezielte Freigabe, keine pauschale Empfehlung für jedes Programm: Der benötigte Pfadsatz hängt davon ab, welche Dateien die Anwendung tatsächlich lesen, laden oder verändern muss.
Rank #2
ABI-Unterschiede und Verfügbarkeit zur Laufzeit behandeln
Landlock-Funktionen sind nicht auf jedem unterstützenden Kernel gleich umfangreich. Maßgeblich sind die Kernel-Konfiguration, ob Landlock beim Systemstart aktiviert wurde, und die verfügbare ABI. Die aktuelle API-Dokumentation vom August 2026 beschreibt Dateisystem- und Netzwerkregeln sowie weitere Funktionen, die je nach ABI hinzukommen. TCP-Netzwerkaktionen sind ab ABI 4 verfügbar, UDP-Netzwerkaktionen ab ABI 10. Diese Versionsangaben beschreiben die Einführung der jeweiligen API-Funktionen; sie garantieren nicht, dass eine konkrete Anwendung oder Distribution sie aktiviert und nutzbar macht.
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
Deshalb sollte Software nicht allein aus einer Kernel-Versionsnummer auf ein bestimmtes Set an Rechten schließen. Sie sollte die ABI abfragen, unterstützte Rechte best-effort verwenden und ihre Policy an die tatsächlich verfügbaren Funktionen anpassen. Fehlt Landlock oder ist es beim Booten deaktiviert, muss die Anwendung eine bewusste Fehlerstrategie haben – beispielsweise den Start ablehnen, wenn die Sandbox für den Anwendungsfall zwingend ist, statt ungeschützt weiterzulaufen.
Kindprozesse und mehrthreadige Programme berücksichtigen
Eine erfolgreich angewandte Policy gilt für den aufrufenden Thread und wird an danach neu erzeugte Kindprozesse vererbt. Ein Kind kann zusätzliche Landlock-Schichten anwenden, aber die geerbten Einschränkungen nicht lockern. Das eignet sich, um einer Prozessgruppe eine gemeinsame Grundbeschränkung zu geben und einzelne Kinder bei Bedarf zusätzlich einzuschränken.
In einem mehrthreadigen Programm ist das Anwenden der Policy auf einen Thread nicht automatisch gleichbedeutend mit dem Einschränken aller bereits laufenden Geschwister-Threads. Prüfen Sie die dokumentierte TSYNC-Option und synchronisieren Sie den Vorgang passend zur Thread-Architektur Ihrer Anwendung. Testen Sie außerdem, was parallel laufende Threads während des Übergangs tun können; eine Sandbox-Einrichtung ist kein Ersatz für eine sichere Synchronisationsstrategie.
Welche Zugriffe Landlock nicht vollständig abdeckt
Landlock kontrolliert nur ausdrücklich unterstützte Rechte. Die API-Dokumentation nennt mehrere Dateioperationen, die derzeit nicht durch Landlock-Rechte beschränkt werden, darunter stat, chdir, chmod, chown, flock, fcntl, access, setxattr und utime. Eine Policy sollte daher nicht als vollständige Kontrolle aller Dateisysteminteraktionen verstanden werden.
- Bereits geöffnete Dateien und Verzeichnisse: Deskriptoren, die vor dem Sandboxing geöffnet wurden, unterliegen nicht nachträglich denselben Dateisystembeschränkungen. Prüfen und begrenzen Sie geerbte sowie bereits offene Deskriptoren, bevor Sie die Policy anwenden.
- Spezielle Prozessressourcen: Bestimmte über
/proc/<pid>/fd/*oder/proc/<pid>/ns/*erreichbare Ressourcen lassen sich nicht wie reguläre Dateisystemhierarchien explizit einschränken. Je nach Bedrohungsmodell können ergänzende ptrace-Beschränkungen relevant sein. - OverlayFS und Mount-Topologie: Landlock-Regeln binden an Kernelobjekte und Dateisystemhierarchien, nicht bloß an Pfadzeichenketten. Beschränkungen einer Hierarchie können bei Bind-Mounts weiterwirken. OverlayFS-Layer und die zusammengeführte Overlay-Hierarchie gelten aus Landlock-Sicht dagegen als eigenständige Hierarchien; Regeln für das Overlay sind nicht automatisch Regeln für seine zugrunde liegenden Layer.
- Begrenzte Schichtenzahl: Höchstens 16 Ruleset-Schichten lassen sich stapeln. Eine weitere Enforcement-Anfrage kann danach mit
E2BIGfehlschlagen.
Landlock, seccomp und Namespaces: unterschiedliche Aufgaben
Landlock ist ein Baustein und keine vollständige Container- oder Sandbox-Lösung. Die Mechanismen setzen an unterschiedlichen Stellen an und können sich ergänzen.
| Mechanismus | Schwerpunkt der Kontrolle | Root-Rechte zum Einschränken des eigenen Prozesses |
|---|---|---|
| Landlock | Zugriff auf unterstützte Ressourcen und Dateisystemhierarchien; abhängig von ABI auch Netzwerkaktionen und Scopes | Nicht erforderlich |
| seccomp | Systemaufrufe und deren Argumente | Nicht erforderlich, um eine eigene Filterung einzurichten |
| Namespaces | Sicht und Zuordnung von Ressourcen isolieren | Nicht für alle Nutzungsarten erforderlich; die konkrete Berechtigung hängt von Namespace und Konfiguration ab |
Die Tabelle beschreibt verschiedene Schutzobjekte, keine Rangfolge. Landlock kontrolliert zugriffsorientiert, seccomp syscallorientiert; Namespaces isolieren Ressourcen-Sicht und Zuordnung, bieten allein aber nicht dieselbe fein granulare Zugriffskontrolle. Für umfassendere Isolation kann eine Anwendung mehrere Mechanismen kombinieren.
Policy testen und Verweigerungen untersuchen
Testen Sie die Policy mit den realen Betriebsabläufen der Anwendung, nicht nur mit einem erfolgreichen Start. Prüfen Sie typische Lese- und Schreibpfade, dynamisch benötigte Ressourcen, bereits offene Deskriptoren, Kindprozesse, Netzwerkzugriffe und das Verhalten auf unterschiedlichen Kernel- und Distributionsvarianten. Ein Test sollte auch bestätigen, dass ein fehlgeschlagener Enforcement-Schritt nicht fälschlich als aktive Sandbox behandelt wird.
Die Systemverwaltungsdokumentation vom Januar 2026 beschreibt Audit-Ereignisse für verweigerte Landlock-Zugriffe und den Status von Domains, sofern Audit aktiv ist. Je nach System und Konfiguration können protokollierte Ereignisse etwa verweigerte Dateisystemrechte wie fs.write_file, Netzwerkaktionen wie net.connect_tcp oder Scope-Regeln erkennen lassen. Audit-Logs sind ein hilfreicher Weg, unerwartete Verweigerungen und auffällige Zugriffsversuche zu untersuchen; nicht jede Ablehnung wird auf jedem System zwingend protokolliert.
Do these 3 things before closing this tab:
1Scan for outdated or missing drivers - takes under a minute2Repair Windows errors before they cause bigger problems3Fix the driver behind crashes, sound loss and screen glitchesQuick Recap
Offizielle Dokumentation
- Linux-Kernel-Dokumentation: Landlock – unprivileged access control (API, ABI und Einschränkungen; August 2026).
- Linux-Kernel-Dokumentation: Landlock LSM (Design, Schichten und Dateideskriptor-Semantik; Dezember 2022).
- Linux-Kernel-Dokumentation: Landlock – system-wide management (Audit und Systembetrieb; Januar 2026).
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
