find

Was find macht

find durchsucht ein oder mehrere Verzeichnisse rekursiv und gibt jene Einträge aus, die alle angegebenen Kriterien erfüllen. Im Unterschied zu ls, das nur den Inhalt einer Ebene zeigt, geht find beliebig tief — und im Unterschied zu locate, das eine vorgebaute Datenbank abfragt, läuft find immer live über das Dateisystem und sieht den aktuellen Stand.

Gesucht wird nicht nur nach Dateinamen: find versteht Dateityp (regulär, Verzeichnis, Symlink, Gerät), Größe, Modifikations-, Zugriffs- und Statuszeit, Berechtigungs-Bits, Eigentümer und Gruppe, Inode-Nummer und einiges mehr. Auf jeden Treffer lassen sich Aktionen anwenden — vom einfachen -print über -delete bis hin zu beliebigen externen Kommandos via -exec.

find . -name '*.md'

Syntax-Anatomie

Die Aufrufstruktur von find ist einfacher, als sie auf den ersten Blick wirkt:

find [Pfade] [Tests] [Aktionen]

Alle drei Teile sind optional — ein nacktes find ohne Argumente listet rekursiv alles ab dem aktuellen Verzeichnis. Werden keine Pfade angegeben, gilt .; wird keine Aktion angegeben, gilt -print. Die Reihenfolge ist allerdings entscheidend: Pfade stehen immer vor den Tests, und Tests werden in der Reihenfolge ausgewertet, in der sie auf der Kommandozeile stehen.

find /var/log -name 'syslog*' -print

/var/log ist der Pfad, -name 'syslog*' der Test, -print die Aktion. Die Reihenfolge der Tests beeinflusst die Performance: günstige Tests wie -type zuerst, teurere wie -name danach. find wertet die Ausdruckskette nämlich linkshändig aus — sobald ein AND-Glied falsch ist, brechen weitere Tests ab.

Wichtigste Tests

Tests sind die Filter, mit denen du den Suchraum einschränkst. Sie geben pro Eintrag wahr oder falsch zurück und werden mit logischen Operatoren verknüpft. Diese Tabelle deckt die im Alltag wichtigsten ab.

Bei den Zeit-Tests bedeutet +N „älter als”, -N „jünger als” und N ohne Vorzeichen exakt im N-ten Block. Bei -size analog: +10M heißt „größer als 10 MB”, -1k „kleiner als 1 KB”, 100c „genau 100 Bytes”. Das c-Suffix steht dabei für „characters” (Bytes), nicht für ein anderes Größenpräfix.

Logische Operatoren

Mehrere Tests werden standardmäßig per AND verknüpft — find . -type f -name '*.log' findet reguläre Dateien, deren Name auf .log endet. Für komplexere Bedingungen gibt es explizite Operatoren:

Klammern müssen vor der Shell maskiert werden — entweder als \( und \) oder in einfachen Quotes '('. Sonst interpretiert die Shell sie als Subshell-Syntax. Wichtig: AND bindet stärker als OR. Wer -type f -name a -o -name b schreibt, bekommt alle Dateien b zurück, nicht nur reguläre — gewollt ist meist \( -name a -o -name b \) -type f.

find . \( -name '*.log' -o -name '*.tmp' \) -type f

find . -type f ! -name '*.bak'

Aktionen

Aktionen sind das, was find mit jedem Treffer tun soll. Ohne explizite Aktion gilt -print. Die Aktion entscheidet auch über den Rückgabewert des Ausdrucks.

Der Platzhalter {} wird durch den aktuellen Pfad ersetzt. Das abschließende \; (oder ';') terminiert das -exec-Kommando — es muss von der Shell maskiert werden. Die Variante + statt \; ist fast immer schneller: find ... -exec rm {} + ruft rm einmal mit allen Treffern als Argumenten auf, während \; für jeden Treffer einen eigenen Prozess startet.

find . -type f -name '*.sh' -exec chmod +x {} \;

find . -type f -name '*.tmp' -exec rm {} +

find und xargs

Die klassische Pipeline für „finde X und tu Y damit” geht über xargs. Der Vorteil: xargs parallelisiert (-P), bündelt Argumente effizient und kann mit Argument-Position arbeiten. Die korrekte Form nutzt immer -print0 und -0:

find . -name '*.tmp' -print0 | xargs -0 rm

Warum nicht ohne -print0/-0? Weil Dateinamen Leerzeichen, Tabulatoren oder gar Newlines enthalten dürfen. xargs ohne -0 zerlegt die Eingabe an Whitespace und macht aus mein dokument.tmp zwei Argumente — rm versucht dann, mein und dokument.tmp zu löschen, beide nicht existent. Mit -print0/-0 werden Pfade per NUL-Byte getrennt, dem einzigen Zeichen, das in Dateinamen verboten ist.

find . -name '*.png' -print0 | xargs -0 -I FILE cp FILE backup/

-I FILE ersetzt das Token FILE im Kommando durch jedes einzelne Argument — nützlich, wenn der Treffer nicht ganz ans Ende der Argumentliste gehört. Für reine Bündelung ohne Position-Magic reicht xargs -0 oder die -exec ... +-Form direkt in find.

Praxis-Patterns

Eine Sammlung der Einzeiler, die im Alltag immer wieder gebraucht werden. Jeder davon ist eine Vorlage — anpassen und anwenden.

find / -type f -size +1G 2>/dev/null

2>/dev/null schluckt die „Permission denied”-Meldungen, die unprivilegierte Suchen unter / produzieren. Auf Servern mit voller Platte ist das der erste Reflex.

Praktisch nach einem Merge oder Crash, um zu sehen, was sich frisch verändert hat. -mtime -7 bedeutet „mtime jünger als 7 mal 24 Stunden” — Stolperfalle: das ist nicht „seit dem 7. Kalendertag rückwärts”, sondern rollierend in 24-Stunden-Blöcken (siehe Stolperfallen weiter unten).

find . -type f -mtime -7

find . -type d -empty

-empty matcht sowohl leere Dateien als auch leere Verzeichnisse — mit -type d schränkst du gezielt auf verwaiste Ordner ein. Klassischer Cleanup-Schritt nach Refactorings, in denen Verzeichnisse leer zurückbleiben und nicht mehr gebraucht werden.

find / -perm -4000 -type f 2>/dev/null

-perm -4000 matcht alle Dateien, bei denen das SUID-Bit gesetzt ist — egal welche anderen Bits. Das Minus vor dem Modus heißt „mindestens diese Bits”. Solche Dateien laufen mit den Rechten des Eigentümers und sind ein klassisches Audit-Ziel.

Klassischer Cron-Job zum Aufräumen alter Logfiles: +30 heißt „älter als 30 mal 24 Stunden”. -delete muss am Ende stehen, sonst werden auch geprunte Verzeichnisse mit gelöscht — und vor dem ersten Einsatz sicherheitshalber ohne -delete testen, um die Trefferliste zu prüfen.

find /var/log -type f -name '*.log' -mtime +30 -delete

find . -type f -name '*.sh' -exec chmod 755 {} +

Nach dem Auschecken eines Repos auf einem fremden System fehlen den Skripten oft die x-Bits. Das + am Ende sammelt alle Treffer und ruft chmod mit gebündelten Argumenten auf — deutlich schneller als \;, das pro Datei einen eigenen Prozess startet.

find . \( -name .git -o -name node_modules \) -prune -o -type f -print

-prune muss vor der eigentlichen Suchbedingung stehen und mit -o verbunden werden — sonst betritt find den Ordner trotzdem. Das Pattern liest sich als: „wenn der Eintrag .git oder node_modules heißt, beschneide; ansonsten gib reguläre Dateien aus”.

fd als moderne Alternative

Wer find zu sperrig findet, schaut sich fd an: ein in Rust geschriebener Such-Befehl mit sinnvollen Defaults. fd PATTERN durchsucht das aktuelle Verzeichnis nach Treffern, respektiert .gitignore, blendet Dotfiles aus und nutzt Regex statt Globs.

fd '\.log$'

fd ist deutlich schneller als find, hat farbige Ausgabe und parallelisiert von sich aus. Für interaktive Suchen am eigenen Rechner ist es ein klarer Gewinn. Aber: fd ist nicht überall installiert. Auf einem fremden Server, in Container-Images oder in portablen Skripten gibt es nur find — und genau deshalb gehört find ins Standard-Repertoire jedes Shell-Nutzers.

Weiterführende Ressourcen

Externe Quellen

• find(1) – Manpage (man7.org) — Vollständige Optionsreferenz von GNU-find
• GNU Findutils Manual — Ausführliches Handbuch mit Beispielen, inklusive xargs und locate
• Arch Wiki: Core utilities — Kurze Notizen zu find und verwandten Werkzeugen
• fd – GitHub-Repo — Moderne, schnellere Alternative zu find
• IBM Developer: Linux find command — Tutorial mit vielen Praxis-Beispielen

Verwandte Artikel

• ls – Verzeichnisinhalte auflisten — Einzeilige Übersicht statt rekursiver Suche
• locate – Dateien per Index finden — Schneller Datenbank-Lookup als Ergänzung zu find
• xargs – Argumente an Kommandos übergeben — Klassischer Partner für find -print0
• Berechtigungen — Modus-Bits für -perm verstehen
• Verzeichnisstruktur (FHS) — Wo welche Dateien liegen, bevor du sie suchst