Logwatch löst eine Aufgabe, die sonst ungelöst bleibt: Es liest für Sie sämtliche Protokolle des Servers und schickt einen Auszug des vergangenen Tages. Niemand geht täglich auth.log und die Webserver-Protokolle durch, eine Mail am Morgen zu lesen ist dagegen machbar.

Das bekannte Problem: Die erste Nachricht kommt mit mehreren hundert Zeilen, die zweite wird überflogen, eine Woche später schiebt eine Mail-Regel sie in einen eigenen Ordner, und damit endet die Beobachtung. Die Ursache liegt fast immer in den Voreinstellungen, und die Behebung dauert zehn Minuten.

Installation und wo die Einstellungen hingehören

sudo apt install logwatch

Wichtig ist, wohin Sie Ihre Werte schreiben. Die Datei /usr/share/logwatch/default.conf/logwatch.conf darf nicht angefasst werden — sie wird bei einem Paket-Update überschrieben. Ihre Datei ist /etc/logwatch/conf/logwatch.conf. Sie darf leer sein; es genügt, nur das einzutragen, was Sie ändern.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Die Detailtiefe entscheidet alles

Detail nimmt Werte von 0 bis 10 oder die Wörter Low, Med, High. Der Unterschied ist gewaltig: Bei High enthält der Bericht jede Verbindung und jede Anfrage, bei Low nur Summen und Auffälligkeiten.

Die Praxis: insgesamt Low, und die Detailtiefe punktuell für die Dienste anheben, die Sie wirklich interessieren. Diensteinstellungen kommen nach /etc/logwatch/conf/services/ — etwa eine Datei sshd.conf mit der Zeile Detail = High.

Ein Maßstab zur Kontrolle: Der Bericht sollte auf einen bis anderthalb Bildschirme passen. Alles Längere wird nicht mehr gelesen — nicht aus Faulheit, sondern weil zwischen dreihundert Zeilen Routine eine Abweichung unsichtbar ist.

Um das Ergebnis zu sehen, ohne auf den Morgen zu warten:

sudo logwatch --detail Low --range today --output stdout

Ein leerer SSH-Abschnitt unter Debian 12

Eine eigene Falle neuerer Systeme. Logwatch liest Textdateien in /var/log, und Debian 12 sowie Ubuntu 24.04 installieren rsyslog nicht mehr standardmäßig — die Datei /var/log/auth.log existiert schlicht nicht, alles geht in das systemd-Journal. Der Bericht kommt trotzdem zuverlässig, aber der wichtigste Abschnitt — die SSH-Anmeldungen — bleibt leer oder fehlt.

Die Prüfung dauert eine Sekunde:

ls -l /var/log/auth.log

Fehlt die Datei, heißt es entweder rsyslog installieren oder hinnehmen, dass Logwatch auf dieser Maschine ein unvollständiges Bild zeigt. Ein leerer Abschnitt lässt sich leicht als „es ist nichts passiert“ lesen, und das ist die gefährlichste Folge.

Wohin die Mail geht

Die zweithäufigste Ursache für „die Berichte kommen nicht“: Auf dem Server ist kein Mailversand eingerichtet. Logwatch übergibt die Nachricht dem Systemagenten, der sie nirgendwohin sendet, und sie landet im lokalen Postfach von root, in das nie jemand hineinsieht:

sudo cat /var/mail/root | tail -50

Es gibt zwei Wege. Entweder den Versand über ein externes SMTP-Relay einrichten oder ganz auf Mail verzichten und den Bericht in eine Datei schreiben:

Output = file
Filename = /var/log/logwatch/report.txt

Der zweite Weg ist der ehrlichere: Eine Mail, die niemand zustellen kann, erzeugt die Illusion von Beobachtung, eine Datei auf der Platte lässt sich wenigstens öffnen.

Was im Bericht zu lesen ist

Nach abnehmendem Nutzen:

  • sshd. Erfolgreiche Anmeldungen — wer und woher. Ausdrücklich die erfolgreichen, nicht die tausend Fehlversuche: Fehlversuche sind Hintergrund, eine Anmeldung von einer unbekannten Adresse verlangt eine Erklärung;
  • sudo und pam_unix. Wer Rechte erhöht und wer Benutzer angelegt hat;
  • Disk Space. Eine Zeile, die vor einer volllaufenden Platte rechtzeitig warnt;
  • cron. Neu hinzugekommene und fehlgeschlagene Aufträge;
  • http. Ein Anstieg der 404-Antworten bedeutet meist das Abklappern von Pfaden, ein Anstieg der 500er, dass bei Ihnen etwas kaputt ist;
  • postfix, wenn der Server Mail versendet: eine wachsende ausgehende Warteschlange ist das typische Zeichen dafür, dass der Server als Spam-Relais benutzt wird.

Die Grenzen

Logwatch ist ein Auszug des vergangenen Tages, keine Alarmierung. Es weckt Sie nachts nicht und hinkt naturgemäß hinterher: Es läuft in den frühen Stunden aus einem Tagesauftrag und behandelt gestern. Für „gerade jetzt passiert etwas“ ist es weder geeignet noch gedacht.

Seine Stärke liegt woanders — es zeigt Ihnen die Form eines gewöhnlichen Tages. Nach einem Monat Lesen wissen Sie, wie viele Fehlanmeldungen normal sind, wie viele Anfragen die Website bekommt und wie viel Mail hinausgeht; und wenn sich eine dieser Zahlen verdoppelt, fällt das sofort auf, ganz ohne Schwellenwerte und Regeln. Deshalb lohnt es sich, den Bericht dort aufzubewahren, wo er ins Auge fällt, und nicht in einem Mail-Ordner. Wie das auf einer Seite aussieht, zeigt die Demo unten.