Raspberry Pi OS: Logging mit journald

Geprüft mit Raspberry Pi OS Trixie.

Das Logging unter Linux wie Raspberry Pi OS ist zentral organisiert und sammelt System- und Anwendungsprotokolle in der Regel über „systemd-journald“. Zusätzlich werden viele Logdateien klassisch in Dateien gespeichert.
Dadurch lassen sich Systemereignisse nachverfolgen, Fehler analysieren und Sicherheitsvorfälle untersuchen.

Auf vielen älteren Systemen werden System-nahe Ereignisse zusätzlich in der klassischen Logdatei im Verzeichnis „/var/log/“ gespeichert. Die werden hier nicht berücksichtigt.

journalctl

„journalctl“ ist ein Kommandozeilen-Werkzeug zur strukturierten Log-Analyse unter Linux. Besonders auf einem Raspberry Pi eignet es sich hervorragend zur Überwachung von:

im Hintergrund arbeitende Programme
Verfügbarkeit von Netzwerkdiensten
aufgezeichnete Daten

Mit journalctl kannst man diese Logs komfortabel anzeigen, filtern, durchsuchen und analysieren. Für das gesamte System als auch gezielt für einzelne Dienste und Anwendungen.

Beispiel: Gesamtes Journal anzeigen

Ein einfaches „journalctl“ zeigt alle gespeicherten Log-Einträge an. In der Ansicht kann man mit den Pfeiltasten nach unten und oben scrollen und mit „q“ beenden.

journalctl

Weil das ganz schön viele Einträge sein können, möchte man sich vielleicht nicht alle, sondern nur ein paar oder ganz bestimmte anzeigen lassen.

Neueste Log-Einträge anzeigen

Das folgende Kommando zeigt die letzten 50 Einträge an. Ohne Zahlenangabe werden standardmäßig nur die letzten 10 angezeigt.

journalctl -n 50

Journal live verfolgen

Das folgende Kommando zeigt die letzten Einträge an und ergänzt dann automatisch neue Einträge. Man kann damit dem Log live zuschauen. Mit Strg + C kann man die Ansicht beenden.

journalctl -f

Log-Einträge eines bestimmten Dienstes anzeigen

Das folgende Kommando zeigt nur die Einträge für den Dienst „ssh“ an.

journalctl -u ssh

Das folgende Kommando zeigt nur die Einträge für den Dienst „wpa_supplicant“ an.

journalctl -u wpa_supplicant

Log-Einträge seit einem bestimmten Zeitpunkt

Das folgende Kommando zeigt nur die Einträge ab dem angegebenen Zeitpunkt (Datum und Uhrzeit) an.

journalctl --since "2026-03-01 10:00"
journalctl --since "1 hour ago"

Log-Einträge bis zu einem bestimmten Zeitpunkt

Das folgende Kommando zeigt nur die Einträge bis zum angegebenen Zeitpunkt (Datum und Uhrzeit) an.

journalctl --until "2026-03-01 12:00"
journalctl --until "1 hour ago"

Log-Einträge nach Priorität filtern (z. B. nur Fehler)

Das folgende Kommando zeigt nur Einträge mit der Priorität „Error“ oder höher an.

journalctl -p err

Es gibt folgende Prioritätsstufen:

emerg
alert
crit
err
warning
notice
info
debug

Log-Einträge vom aktuellen Systemstart anzeigen

Das folgende Kommando zeigt die Einträge vom aktuellen Systemstart an.

journalctl -b

Das folgende Kommando gilt für den vorherigen Systemstart.

journalctl -b -1

Kernel-Log-Einträge anzeigen

Das folgende Kommando zeigt nur Kernel-Meldungen (vergleichbar mit dmesg) an.

journalctl -k

Tipps und Tricks

Tipp: Ausgabe ohne Pager (direkt im Terminal)

Der Parameter „--no-pager“ gibt die Einträge direkt im Terminal an.

journalctl --no-pager

Tipp: Filter kombinieren

Man kann mehrere Filter auch miteinander kombinieren. Beispielsweise: Die Fehler (err) von „wpa_supplicant“ seit dem letzten Systemstart.

journalctl -u wpa_supplicant -b -p err

Tipp: Zusätzlicher Filter mit „grep“

Das folgende Kommando zeigt Anmeldungen mit Passwort am System über SSH an:

journalctl -u ssh | grep "password"

Erfolgreiche Anmeldungen:

journalctl -u ssh | grep "Accepted"

Fehlerhafte Anmeldungen:

journalctl -u ssh | grep "Failed"

Authentifizierungen prüfen

Die Sicherheit eines Raspberry Pi wird oft unterschätzt. Dabei ist gerade dieses kompakte System in vielen Projekten dauerhaft mit dem Netzwerk oder sogar dem Internet verbunden. Ein zentraler Bestandteil der Absicherung besteht darin, Authentifizierungen genau im Blick zu behalten.