apt update schlägt fehl: alte Debian-Version auf das Archiv umstellen

Sie rufen apt update auf einem älteren Debian-Server auf, und statt der Paketliste kommen nur Fehlermeldungen: "404 Not Found", "Release file is not valid yet" oder "Repository does not have a Release file". In dieser Anleitung erklären wir die Ursache und zeigen, wie Sie den Server wieder aktualisierbar machen.

Betroffen sind alle Debian-Versionen, deren Unterstützung ausgelaufen ist: Debian 8 (Jessie), Debian 9 (Stretch), Debian 10 (Buster) und in Kürze auch Debian 11 (Bullseye).

Warum apt update auf alten Debian-Versionen fehlschlägt

Debian betreibt für jede Veröffentlichung eigene Paketserver. Sobald eine Version das Ende ihrer Unterstützung erreicht, verschwindet sie von den regulären Spiegelservern unter deb.debian.org und security.debian.org. Die Pakete gehen dabei nicht verloren, sie ziehen lediglich um: nach archive.debian.org.

Ihre Datei /etc/apt/sources.list zeigt aber weiterhin auf die alten Adressen. Deshalb meldet apt einen Fehler 404. Dazu kommt ein zweites Problem: Die im Archiv abgelegten Release-Dateien tragen ein Ablaufdatum, das längst überschritten ist. Auch daran bricht apt ab, selbst wenn die Adressen stimmen.

Beide Punkte lassen sich beheben. Wichtig ist aber die Einordnung: Ein Debian ohne Unterstützung erhält keine Sicherheitsaktualisierungen mehr. Die folgenden Schritte machen den Server wieder verwaltbar, sie ersetzen kein Upgrade.

Welche Debian-Version läuft auf Ihrem Server?

Prüfen Sie das zuerst, denn davon hängen die richtigen Adressen ab:

cat /etc/debian_version
lsb_release -a

Der zurückgegebene Codename (jessie, stretch, buster, bullseye) taucht in allen folgenden Zeilen wieder auf.

sources.list sichern und bearbeiten

Legen Sie zuerst eine Sicherung an, damit Sie jederzeit zurück können:

cp /etc/apt/sources.list /etc/apt/sources.list.bak

Öffnen Sie die Datei anschließend im Editor:

nano /etc/apt/sources.list

Löschen Sie den bisherigen Inhalt und tragen Sie den zu Ihrer Version passenden Block aus dem nächsten Abschnitt ein. Prüfen Sie danach zusätzlich das Verzeichnis /etc/apt/sources.list.d/: Auch dort liegen oft eigene Dateien mit veralteten Adressen, die den Fehler weiterhin auslösen.

Die passenden Archiv-Quellen

Debian 10 (Buster)

Die Unterstützung endete Mitte 2024, Buster liegt vollständig im Archiv:

deb http://archive.debian.org/debian/ buster main contrib non-free
deb-src http://archive.debian.org/debian/ buster main contrib non-free

deb http://archive.debian.org/debian-security/ buster/updates main contrib non-free
deb-src http://archive.debian.org/debian-security/ buster/updates main contrib non-free

Debian 9 (Stretch)

deb http://archive.debian.org/debian/ stretch main contrib non-free
deb-src http://archive.debian.org/debian/ stretch main contrib non-free

deb http://archive.debian.org/debian-security/ stretch/updates main contrib non-free
deb-src http://archive.debian.org/debian-security/ stretch/updates main contrib non-free

Debian 8 (Jessie)

Jessie ist der Klassiker unter den Fehlerfällen, weil viele alte Anleitungen im Netz noch auf security.debian.org verweisen. Diese Adresse liefert für Jessie nichts mehr:

deb http://archive.debian.org/debian/ jessie main contrib non-free
deb-src http://archive.debian.org/debian/ jessie main contrib non-free

deb http://archive.debian.org/debian-security/ jessie/updates main contrib non-free
deb-src http://archive.debian.org/debian-security/ jessie/updates main contrib non-free

deb http://archive.debian.org/debian/ jessie-backports main
deb-src http://archive.debian.org/debian/ jessie-backports main

Debian 11 (Bullseye)

Bullseye erreicht das Ende seiner LTS-Phase im August 2026. Danach greift dasselbe Muster. Beachten Sie, dass sich ab Bullseye die Schreibweise der Sicherheitsquelle geändert hat: Sie lautet nicht mehr bullseye/updates, sondern bullseye-security:

deb http://archive.debian.org/debian/ bullseye main contrib non-free
deb-src http://archive.debian.org/debian/ bullseye main contrib non-free

deb http://archive.debian.org/debian-security/ bullseye-security main contrib non-free
deb-src http://archive.debian.org/debian-security/ bullseye-security main contrib non-free

Solange Bullseye noch unterstützt wird, bleiben die regulären Spiegelserver die richtige Wahl. Stellen Sie erst um, wenn apt tatsächlich einen Fehler 404 meldet.

Ein Hinweis für neuere Systeme: Ab Debian 13 (Trixie) werden Paketquellen standardmäßig nicht mehr in /etc/apt/sources.list gepflegt, sondern im Format deb822 unter /etc/apt/sources.list.d/debian.sources. Dort sieht der Aufbau anders aus, das Prinzip bleibt gleich.

Abgelaufene Paketlisten akzeptieren

Nach dem Speichern wird apt vermutlich weiterhin abbrechen, diesmal mit dem Hinweis, die Release-Datei sei abgelaufen. Das ist bei archivierten Versionen normal. Weisen Sie apt an, das Ablaufdatum zu ignorieren:

echo 'Acquire::Check-Valid-Until "false";' | tee /etc/apt/apt.conf.d/10-nocheckvalid

Wenn Sie das nur ein einziges Mal brauchen, können Sie die Einstellung auch direkt an den Aufruf hängen, statt eine Datei anzulegen:

apt-get -o Acquire::Check-Valid-Until=false update

Anschließend funktioniert die gewohnte Aktualisierung wieder:

apt-get update
apt-get upgrade

Häufige Fehlermeldungen und was sie bedeuten

• "404 Not Found": Die Adresse in der sources.list zeigt noch auf einen regulären Spiegelserver. Stellen Sie auf archive.debian.org um.
• "Release file ... is not valid yet" oder "expired": Das Ablaufdatum der Release-Datei ist überschritten. Setzen Sie die Option Check-Valid-Until wie oben beschrieben.
• "The repository ... does not have a Release file": Meist ein Tippfehler im Codenamen oder eine Suite, die es im Archiv nicht gibt. Prüfen Sie die Schreibweise Zeichen für Zeichen.
• "NO_PUBKEY" oder "EXPKEYSIG": Der Signaturschlüssel der alten Veröffentlichung ist abgelaufen. In vielen Fällen hilft es, das Paket debian-archive-keyring neu zu installieren.
• Der Fehler bleibt trotz korrigierter sources.list: In /etc/apt/sources.list.d/ liegt noch eine zweite Datei mit alten Adressen.

Die dauerhafte Lösung: Upgrade oder Neuinstallation

Die Umstellung auf das Archiv bringt Ihren Server wieder in einen verwaltbaren Zustand, aber sie liefert keine Sicherheitsaktualisierungen. Für einen Server, der aus dem Internet erreichbar ist, sollte deshalb ein Wechsel auf eine unterstützte Debian-Version folgen.

Zwei Wege stehen offen:

1. Neuinstallation: In den meisten Fällen der schnellere und sauberere Weg. Sie können Ihren Server im Kundenbereich jederzeit selbst mit einem aktuellen Betriebssystem neu aufsetzen. Sichern Sie vorher Ihre Daten und Konfigurationsdateien.
2. Schrittweises Upgrade: Debian lässt sich von Version zu Version hochziehen, also etwa von Buster auf Bullseye und danach auf Bookworm. Sprünge über mehrere Versionen hinweg werden nicht unterstützt und enden regelmäßig in einem defekten System.

Legen Sie in jedem Fall vorher eine Sicherung an. Ein Upgrade über mehrere Jahre alte Versionen hinweg ist erfahrungsgemäß der Punkt, an dem alte Konfigurationen und Fremdquellen Probleme machen.