Distro + Desktopumgebung für Offline-"Insel"-System

[Mondgesang]

Liebe Freunde,

angenommen ihr hättet zu Hause einen kleinen PC stehen und müsstet diesen zu einem für immer vom Netz getrennten, dauerhaft offline verweilenden System umfunktionieren. Keine Updates, keine Upgrades nie wieder bis in alle Zeit. Nur das, was ihr Stand heute dort installiert.

Macht die Distro und der Desktop da überhaupt einen Unterschied? Spielt das überhaupt eine Rolle, wenn es keine Angreifer aus dem Netz gibt sondern nur denkbar physische? Welche Distro und welche Desktopumgebung würdet ihr wählen?

Ich würde jetzt zwecks "telefoniert am wenigsten nach Hause" z.B. Debian nehmen (laienhafte Annahme). Und als Desktop? Hm... keine Ahnung. KDE oder GNOME aus Gewohnheit? XFCE um mehr in die Nische zu gehen? Hat der eine oder andere Desktop bestimmte Schwächen bei einem physischen Angriff? Irgendwelche Backdoors bei bestimmten eingestöpselten Geräten, dass da doch plötzlich Root-Rechte möglich sind oder dergleichen (laienhafte Annahme)?

Ganz auf einen Desktop verzichten ist leider nicht drin. Es muss schon eine grafische Benutzeroberfläche sein.

 

[Fujiyama]

Wenn dann würde ich den Schutz eher auf die Räumlichkeit lenken.
Es ist auch die Frage was genau du schützen willst auf dem Pc? Wenn es jemand auf dich abgesehen hat und du online bist wirst du auch keine 100 % Sicherheit unter Linux haben.

 

[Tornhoof]

Keine Rolling Release Distro, sonst erwischt du zufällig gerade was instabiles. Debian Stable oder so. Wenn einer physischen Zugriff auf das System hat, dann gehört ihm das System.

 

[madmax2010]

Nimm die mit der du am besten zurecht kommst. Jede Distro funktioniert.
Bei alter Hardware macht der Desktop einen Unterschied.

Was hast du denn mit einem PC vor, der komplett vom Internet getrennt ist und vermutlich auch keine xterne Festplatten / USB Sticks zu gesicht bekommt?

 

[Lotsenbruder]

Ich würde jetzt zwecks "telefoniert am wenigsten nach Hause" z.B. Debian nehmen (laienhafte Annahme).

Das ist nicht interessant wenn er nie am Internet hängt. Btw. Linux "telefoniert" nur wenn Du es zulässt.

XFCE um mehr in die Nische zu gehen?

XFCE ist keine Nische. XFCE ist nicht so aufgebläht wie KDE und Gnome.

Ich würde jetzt zwecks "telefoniert am wenigsten nach Hause" z.B. Debian nehmen (laienhafte Annahme). Und als Desktop? Hm... keine Ahnung. KDE oder GNOME aus Gewohnheit? XFCE um mehr in die Nische zu gehen? Hat der eine oder andere Desktop bestimmte Schwächen bei einem physischen Angriff? Irgendwelche Backdoors bei bestimmten eingestöpselten Geräten, dass da doch plötzlich Root-Rechte möglich sind oder dergleichen (laienhafte Annahme)?

Das liegt daran was Du erlaubst und was nicht.

Was ist das überhaupt für eine Kiste und wozu das ganze?

 

[GTrash81]

Headless-System mit ALMA10, hat aktuell die längste Restlaufzeit.

 

[BFF]

Macht die Distro und der Desktop da überhaupt einen Unterschied?

Nein.

Wir hatten bis vor kurzem noch eine Insel mit DOS 6.22 und einem DOS Works auf realer i386 Hardware.

Es muss schon eine grafische Benutzeroberfläche sein.

Da reicht auch die welche Ansatzweise mit DR-DOS aufkam oder ein Win3.11. 😁

Nur das, was ihr Stand heute dort installiert.

Wofuer?

 

[Schinken42]

Da sich nichts am System verändern wird ist die einzig sinvolle Antwort: Die Distro und Oberfläche die du kennst und/oder magst.

Um Sicherheit musst du dir dann auf Softwareebene keine Gedanken machen. Sorg dafür, dass Niemals jemand unbefugt an den PC kommt, nur und nur dann ist er sicher.
Deshalb spielen auch eventuelle Backdoors die in ferner Zukunft entdeckt werden keine Rolle (eisseidenn, sie führen in dein Wohnzimmer xD). Nur wer an den PC kommt könnte die Backdoor überhaupt nutzen. Der hätte dann aber eh 1000 einfachere Möglichkeiten.

 

[MightyMulder]

Was ist denn eigentlich das Ziel?

Linux ohne Inet/Netzwerk ist doch eigentlich nicht Sinn des Systems. Was machst du, wenn du eine bestimmte Software brauchst? Eigene Spiegel-Server? Updates/Software über USB-Stick verteilen?

Wenn es eine minimalistische Desktopumgebung sein soll, dann ist vielleicht nur ein Fenster-Manager was für dich? I use PekWM, btw. =D

 

[foofoobar]

Was ist denn eigentlich das Ziel?

Linux ohne Inet/Netzwerk ist doch eigentlich nicht Sinn des Systems. Was machst du, wenn du eine bestimmte Software brauchst? Eigene Spiegel-Server? Updates/Software über USB-Stick verteilen?

file


The file scheme allows an arbitrary directory in the file system to be considered an archive. This is useful for NFS mounts and local mirrors or archives.

https://manpages.debian.org/stretch/apt/sources.list.5.en.html

 

[Grimba]

Macht die Distro und der Desktop da überhaupt einen Unterschied?

Ja, ein wenig schon. Es würde sich hier aus meiner Sicht nicht anbieten, Bleeding Edge zu wählen, weil Distributionen dieser Art durchaus davon leben, dass Updates Ecken und Kanten noch ausbessern. Daher würde ich hier persönlich etwas wählen, was Stabilität im Fokus hat und vor allem alles, was sie bietet, auch auf Offline-Medien anbietet. Das kann bei einer offline Kiste nützlich werden.

Ich würde jetzt zwecks "telefoniert am wenigsten nach Hause" z.B. Debian nehmen (laienhafte Annahme).

Wie soll etwas nach Hause telefonieren, wenn es nicht telefonieren kann, da offline? Verstehe ich nicht. Aber Debian wäre hier tatsächlich auch in meiner engeren Wahl gewesen.

Und als Desktop?

Ist eigentlich egal. Vermutlich wäre es besser, hier etwas leichtes zu nehmen, was nicht ein großes Netz aus Paketabhängigkeiten spannt. Aber das muss kein Showstopper sein, wenn man Offline-Medien hat.

Irgendwelche Backdoors bei bestimmten eingestöpselten Geräten, dass da doch plötzlich Root-Rechte möglich sind oder dergleichen (laienhafte Annahme)?

Wenn sie bekannt wären, wären sie gefixt. Kommende bekanntwerdende Bugs und Lücken kannst du ja nicht fixen (und natürlich auch noch nicht wissen), da offline für immer und ewig. D.h. das kann dir potentiell bei jedem kritischen Softwarebestandteil der Distribution passieren, da alle Versionen ja fix sind. Daher müsste man hier für die Zukunft anderweitige Maßnahmen ergreifen, wenn man sich um den physischen Angriffsvektor sorgt. Z.B. beschränkter Zugang, oder deaktivierte USB-Ports etc. Da die Kiste offline ist, kann man eigentlich ganz gut härten.

Du kannst auch den ganz anderen Weg gehen und dir ein Linux so zusammenbauen, z.B. mit Gentoo, das nur für diesen Einsatzzweck herunterreduziert ist, und einen Großteil der möglichen Angriffswinkel gezielt deaktiveren, da du so Support für bestimmte Dinge schon beim Kompilieren deaktiveren kannst.

 

[Redundanz]

ich habe eine 7 jahre alte installation von debian trixie (startete als buster) auf einer partition, lüppt und lüppt... momentan zwar ergänzt durch ein paar backports aber grundsätzlich würde ich für dein vorhaben debian stable (trixie) mit schlichter lxqt- oder xfce-oberfläche wählen.
ich vermute mal (?!) du hast im zweifel immer die option die kiste im kontext eines ausnahmefalls, also z.b. neufund einer riesenlücke im linuxkernel, ans netz zu schließen für ein punktuelles update/upgrade, oder?

 

[Habicht]

Nimm die Distri mit der du am besten klar kommst und dann mach ne vollverschlüsselte Installation dann sind deine Daten vor fremdem Zugriff gesichert, Swap/Zram dabei nicht vergessen - dann einmal ins Netz, aktualisieren und die benötigten Programme und Codecs installieren, das wars dann auch.

 

[foofoobar]

@Habicht Warum wird zram immer so hochgejazzt?

https://chrisdown.name/2026/03/24/zswap-vs-zram-when-to-use-what.html

 

[MightyMulder]

@foofoobar Deswegen ja meine Frage bzgl. eigener Spiegel-Server. ;-)

 

[Mondgesang]

Vielen Dank für eure zahlreichen Beiträge! Sehr spannend zu sehen dass noch DOS Inseln in der heutigen Zeit betrieben werden.

Ich beantworte einfach mal paar Fragen um hier Klarheit zu schaffen. Die Frage habe ich absichtlich etwas offen formuliert um überhaupt so die Grundsätze abzustecken.

Ich habe hier noch ein älteres Gerät stehen mit Intel 64bit Prozessor, gewöhnlichem DDR4 RAM, SATA Festplatte (ich würde für diesen Anwendungsfall tatsächlich eher auf HDD setzen). Also nichts Ungewöhnliches.

Darauf würde ich dann z.B. Debian Stable offline installieren. Na klar kann die Kiste bei Bedarf oder nach Beendigung des Experiments auch ans Netz oder wenn man mal zwischendurch zwingend was braucht. Aber für das Experiment wäre sie dauerhaft offline.

Wegen der Desktops hatte ich gefragt weil ich News über Sicherheitslücken von wirklich überall her lese. Gefühlt reicht in LibreOffice oder dergleichen irgendeine Tastenkombi bei 20° Außentemperatur wenn der Mond und der Jupiter eine Linie bilden aus und schon hat man irgendwie Adminrechte. Hätte gedacht dass die größeren komplexeren DEs wie KDE oder GNOME da für sowas bekannt wären oder wo man aufpassen müsste. Wo viele Funktionen da viel Potential für Fehler und Lücken.

Aber wenn in einem Inselsystem die DE egal ist dann wird's einfach enemenemu. Ich kann und kenne eigentlich alle Linux DEs.

Codecs etc werden hier nicht benötigt. Diese Insel soll eigentlich nur dem Aufbewahren und gelegentlichem Fortführen einer Datei bzw einer Hand voll streng vertraulichen Dateien dienen.

 

[Lotsenbruder]

Diese Insel soll eigentlich nur dem Aufbewahren und gelegentlichem Fortführen einer Datei bzw einer Hand voll streng vertraulichen Dateien dienen.

Dann nimm ein schlankes Debian mit XFCE weil auch schlank.

 

[Sensei21]

@Habicht Warum wird zram immer so hochgejazzt?

https://chrisdown.name/2026/03/24/zswap-vs-zram-when-to-use-what.html

solange mit mglru swappiness nicht richtig funktioniert und mit memcg der Kernel exzessiv swappt (und den hohen SSD Preisen - Lebenszeit maximieren) - dürfte zram die bessere Wahl sein:

https://lore.kernel.org/linux-mm/20.../T/#m9c7dbc2d8933b4ffaab7c9088f8f9462a1a84a93 mm: mglru: fix swappiness behavior

mglru ist das eine, das andere ist dass memcg irgendwo einen Bug seit ein paar Kernel Versionen (~ 7.0) hat, wo es exzessiv swappt, auch wenn mglru gefixt ist - nur mit memcg aus dem Kernel rauskompiliert ist vollständig Ruhe.

Und wenn zram statt zswap genutzt wird, kann die SSD vor der starken Belastung geschont werden, wenn die swap mehr oder weniger regelmäßig im Auge behalten wird bei starken workflows.

Es gibt auch noch 5-10x write amplification via Btrfs
(https://codeberg.org/hhoffstaette/k...ition-xarray-with-a-fixed-inline-buffer.patch)

also ist, wenn es auf ein langfristiges offline System ausgelegt werden soll - vermutl. ext4 mehr zu empfehlen.
(SSD Lebenszeit, etc.)

Rolling Distros per se sind nicht auszuschließen - z.B. ein gut eingestelltes Gentoo stable (oder sogar ~amd64 aka testing) kann auch über mehrere Monate oder sogar Jahre nicht geupdatet werden - ist dann beim Updaten aber einem immensen Aufwand unterworfen, da man die ganzen Stolpersteine und Updates beachten muss

 

[Grimba]

(SSD Lebenszeit, etc.)

Mir ist vor ein paar Tagen nach immerhin fast 15 Jahren meine msata SSD Crucial M4 256GB verreckt, die in meinem Thinkpad W530 Dienst getan hat. Dort war sie die Systemplatte. Und die habe ich gequält. Noch in der Uni und später auch war das der Experimentierrechner für alles. Ich glaube auf keiner Kiste habe ich so viele Betriebssysteme ausprobiert und gewechselt, also (sehr) viel und (sehr) häufig Daten draufgeschrieben. Das mag nicht für jede SSD gelten, aber wenn das ein erwartbarer Wert ist, würde ich mir nicht soooo stark Sorgen um die Lebenszeit der SSD machen.

 

[Sensei21]

@Grimba das ist auch eine MLC SSD mit Marvell-Controller - die bekommt man doch so in Consumer-SSDs nicht mehr - hab hier auch noch eine MLC SSD im alten Rechner - aber die gängigen sind heutzutage doch TLC oder (immer mehr) QLC - da ist nicht so mit langer Lebensdauer und quälen