/var — Variable Daten

Was ist /var?

/var (kurz für „variable") ist im FHS (Kapitel 5) klar abgegrenzt: alles, was sich zur Laufzeit verändert und für das System persistent bleiben muss, gehört hier hin. Die FHS-Definition betont drei Eigenschaften:

1. Variable Daten — wachsen, schrumpfen und ändern sich während des Betriebs.
2. System-weit relevant — keine User-spezifischen Daten (die liegen in /home).
3. Persistent über Reboots — anders als /tmp oder /run.

/var und /usr ergänzen sich konzeptionell:

In atomaren / image-basierten Distributionen (Fedora Silverblue, NixOS) ist /var der schreibbare Persistenz-Layer über dem read-only /usr. Auf Servern mit Container-Workload landet hier auch der Großteil des Daten-Volumens (z. B. /var/lib/docker oder /var/lib/containers).

Die wichtigsten Unterverzeichnisse

/var hat eine klar definierte interne Struktur — fast jeder Unterordner hat eine spezifische Rolle:

In der Praxis sind drei Unterordner für den Speicherplatz am kritischsten: /var/log, /var/cache und /var/lib. Beim Erstkontakt mit einem fremden System lohnt der Blick zuerst dort.

sudo du -sh /var/* 2>/dev/null | sort -hr | head -10
# 14G   /var/lib
# 4.2G  /var/log
# 2.1G  /var/cache
# 380M  /var/spool
# ...

# Tiefer in /var/lib reinschauen
sudo du -sh /var/lib/* 2>/dev/null | sort -hr | head -10
# 12G   /var/lib/docker
# 1.8G  /var/lib/postgresql
# 200M  /var/lib/dpkg
# ...

/var/log und Log-Rotation

/var/log ist das Sammelbecken aller Service- und System-Logs. Auf modernen systemd-Distributionen kommt das Journal (binäres Log-Format unter /var/log/journal/) als Zentralspeicher hinzu, parallel zu den klassischen Text-Logs.

Wichtige Dateien (Distributions-abhängig):

Logs wachsen unkontrolliert, deshalb ist Log-Rotation Pflicht. Auf den meisten Distributionen erledigt das logrotate (täglich via Cron), für das systemd-Journal existieren eigene Limits.

# logrotate-Konfiguration anschauen
cat /etc/logrotate.conf
ls /etc/logrotate.d/      # pro Service eine Drop-In-Konfiguration

# Trockenlauf, ohne tatsächlich zu rotieren
sudo logrotate -d /etc/logrotate.conf 2>&1 | head -40

# journald-Konfiguration
cat /etc/systemd/journald.conf
# SystemMaxUse=4G, SystemKeepFree=15%, MaxRetentionSec=2week, ...

# aktuelle Journal-Größe
journalctl --disk-usage
# Archived and active journals take up 1.4G in the file system.

# Journal manuell aufräumen (nach Größe oder Zeit)
sudo journalctl --vacuum-size=500M
sudo journalctl --vacuum-time=7d

Praxis-Tipp: bei akut vollem /var/log zuerst journalctl --disk-usage prüfen und ggf. mit --vacuum-time reduzieren — das geht meist schnell und ist rückwärtskompatibel.

/var/lib — der persistente Anwendungs-Zustand

Hier wird's spannend für Server-Workloads: /var/lib enthält den State aller Anwendungen, die persistente Daten halten. Eine PostgreSQL-Datenbank lebt unter /var/lib/postgresql/<version>/main/, MySQL/MariaDB unter /var/lib/mysql/, Docker mit allen Images, Containern und Volumes unter /var/lib/docker/.

Was du in /var/lib typischerweise findest:

Wichtig: /var/lib ist nicht zum manuellen Aufräumen geeignet. Wer dort Dateien löscht, beschädigt typischerweise eine laufende Datenbank oder einen Container-State. Das jeweilige Tool (docker system prune, apt clean, snap remove) ist immer der richtige Weg.

# Docker: ungenutzte Images, Container, Volumes, Netzwerke
sudo docker system df              # was wird wofür belegt?
sudo docker system prune -a        # alles ungenutzte weg
sudo docker volume prune           # ungenutzte Volumes (vorsichtig!)

# APT: Cache leeren
sudo apt clean                     # alle .deb-Files in /var/cache/apt
sudo apt autoremove                # nicht mehr benötigte Abhängigkeiten

# Logs des Journals
sudo journalctl --vacuum-size=200M

Backup-Strategie für /var

/var ist neben /etc und /home der wichtigste Backup-Pfad — hier liegen die Datenbanken, Mail-Spool und Server-Daten. Aber: nicht alles unter /var ist sinnvoll zu sichern.

Faustregel: für jede Anwendung in /var/lib gibt es einen anwendungs-spezifischen Backup-Mechanismus, der konsistente Snapshots liefert. Den verwenden — nicht das Verzeichnis selbst kopieren.

Praxis: Speicherprobleme in /var lösen

# Welche Top-Level-Unterordner verbrauchen am meisten?
sudo du -sh /var/* 2>/dev/null | sort -hr

# Welche einzelnen Dateien sind besonders groß?
sudo find /var -type f -size +500M 2>/dev/null -exec ls -lh {} \;

# Logs der letzten 7 Tage in MB
sudo find /var/log -type f -mtime -7 -name "*.log" \
    -exec du -h {} + | sort -hr | head -20

# Was wuchs in den letzten 24 Stunden?
sudo find /var -type f -mtime -1 \
    -exec du -h {} + 2>/dev/null | sort -hr | head -20

# 1. Kurzfristig: alte Logs aus dem Journal entfernen
sudo journalctl --vacuum-time=2d

# 2. APT-Cache leeren (ohne dauerhaften Schaden)
sudo apt clean

# 3. Bei Docker: Aufräumen
sudo docker system prune -af --volumes

# 4. Mit ncdu interaktiv durch /var navigieren
sudo ncdu /var

# 5. Logrotate manuell anstoßen
sudo logrotate -f /etc/logrotate.conf

Weiterführende Ressourcen

Externe Quellen

• Filesystem Hierarchy Standard 3.0 — /var
• systemd-journald.service Manpage
• logrotate Manpage
• Docker Storage Documentation
• Linux man-pages: hier(7) — Verzeichnisstruktur

Verwandte Artikel

• Verzeichnisstruktur — Übersicht
• /etc — Systemkonfiguration
• /usr — Unix System Resources
• /tmp — Temporäre Dateien
• Logging & Monitoring — Übersicht
• du — Disk-Usage prüfen