Erstellt von kalink0 (Marco Neumann) · Fertiggestellt am 2026-10-22 · Noch nicht von einer zweiten Person reviewed

Journald¶

Bedeutung¶

Journald (systemd-journald) ist auf Linux-Systemen mit systemd der zentrale Protokolldienst. Er sammelt Meldungen von Kernel, Systemdiensten, der Startphase und von Programmen und speichert sie zusammen mit Metadaten wie Prozess, Benutzer und systemd-Unit in einem eigenen Binärformat. Gedacht ist das Journal für Administratoren zur Fehlersuche und Überwachung des Systems.

Aus digitalforensischer Sicht belegt ein Eintrag, dass der angegebene Prozess zum angegebenen Zeitpunkt die jeweilige Meldung an das Journal übergeben hat. Was eine Meldung über eine Nutzeraktion aussagt, hängt von der einzelnen Meldung ab. Nicht belegt ist dagegen, dass ein Vorgang nicht stattfand, wenn kein Eintrag vorhanden ist.

Spezifische Kurzinformation¶

Je nach Distribution und Konfiguration wird nur flüchtig unter /run/log/journal gespeichert; diese Einträge sind nach einem Neustart verloren
Aufbewahrung nach Größe, standardmäßig höchstens 10 % des Dateisystems (maximal 4 GB); keine zeitbasierte Löschung, Dateien werden spätestens nach einem Monat rotiert
system.journal enthält die Systemmeldungen, user-{UID}.journal die Meldungen je Benutzer; rotierte Dateien tragen ein @ im Namen, Dateien mit Endung .journal~ wurden nach unsauberem Beenden oder Beschädigung umbenannt
Zeitstempel: Echtzeit in Mikrosekunden seit 1970-01-01 (UTC), zusätzlich monotone Zeit, die nur zusammen mit der Boot-ID eindeutig ist
Felder mit führendem Unterstrich (z.B. _PID, _UID, _SYSTEMD_UNIT) setzt journald selbst; der protokollierende Prozess kann sie nicht vorgeben, den Meldungstext dagegen schon
Manipulationsschutz (Forward Secure Sealing) nur, wenn dafür ein Schlüssel eingerichtet wurde
Binärformat, teils komprimiert; die Dateien sind nicht direkt lesbar und müssen mit journalctl oder einem Parser dekodiert werden
Ablageort:
/var/log/journal/{MACHINE_ID}/
/run/log/journal/{MACHINE_ID}/