Qubes OS im Jahr 2026: Wie das sicherste Desktop-Betriebssystem tatsächlich funktioniert

Die meisten sicherheitsorientierten Betriebssysteme behandeln Bedrohungsisolation als Funktion. Qubes OS behandelt sie als die grundlegende Architektur. Das Ergebnis ist eine Desktop-Umgebung, die mit nichts anderem im Open-Source-Ökosystem vergleichbar ist — und eine, die Befürwortungen von Edward Snowden, der Freedom of the Press Foundation und von Sicherheitsforschern erhalten hat, die täglich mit gegnerischen Bedrohungsmodellen arbeiten.

Diese Rezension behandelt, was Qubes tatsächlich tut, wie es unter der Haube funktioniert, für wen es sinnvoll ist und wo es schwächelt. Wir behandeln die realen Hardwareanforderungen, nicht die theoretischen Mindestwerte.

Was ist Qubes OS?

Qubes OS ist ein Xen-basiertes Desktop-Betriebssystem, das um das Prinzip der Sicherheit durch Kompartimentierung aufgebaut ist. Statt deinen Browser, E-Mail-Client und deine Arbeitsdokumente innerhalb eines einzigen Betriebssystems auszuführen — wo eine Kompromittierung einer beliebigen Anwendung auf die anderen übergreifen kann — führt Qubes jede davon in isolierten virtuellen Maschinen aus, die Qubes (formaler: AppVMs) genannt werden.

Das Projekt wurde von Joanna Rutkowska gegründet, einer polnischen Sicherheitsforscherin und Gründerin von Invisible Things Lab. Rutkowska kündigte das Projekt 2010 an und veröffentlichte 2012 die erste öffentliche Version. Sie ist außerdem für ihre frühere Forschung zu Blue Pill (einem Hardware-Virtualisierungs-Rootkit) und zu Schwachstellen in Intel TXT bekannt — Arbeiten, die ihre Glaubwürdigkeit in der Low-Level-Systemsicherheit begründeten.

Qubes 4.2, die aktuelle stabile Release-Reihe ab Mitte 2026, brachte erhebliche Änderungen: eine Migration zu einer neuen Admin-API, verbesserte Geräteverwaltung und bessere Unterstützung für AMD IOMMU. Das vollständige Änderungsprotokoll wird unter qubes-os.org/doc/releases/4.2/ gepflegt.

Das Projekt wird seit mindestens 2016 von Snowden empfohlen und wird von einer Reihe von Journalisten und Forschern bei der Freedom of the Press Foundation als tägliches System genutzt. Es ist kostenlos und quelloffen, lizenziert unter der GPL.

Die Architektur: Wie Kompartimentierung tatsächlich funktioniert

Um Qubes zu verstehen, muss man drei verschiedene Schichten verstehen: den Hypervisor, die Verwaltungsdomäne und die Benutzer-Qubes.

Der Xen-Hypervisor

Qubes läuft nicht direkt auf Linux. Es läuft auf dem Xen-Hypervisor, einem Typ-1-Hypervisor (Bare-Metal), der vor jedem Betriebssystem startet. Das ist wichtig, weil es bedeutet, dass der Hypervisor direkte Kontrolle über die Hardware hat; kein einzelnes Gast-Betriebssystem kann die anderen kompromittieren, ohne zuerst Xen selbst zu kompromittieren.

Xen war Gegenstand anhaltender Sicherheitsforschung und hat ein dediziertes Sicherheitsteam, das XSAs (Xen Security Advisories) herausgibt. Qubes pflegt eine Seite, die verfolgt, welche XSAs Qubes-Installationen betreffen — das Sicherheitsmodell ist transparent hinsichtlich seiner Abhängigkeiten.

dom0: Die Verwaltungsdomäne

Qubes führt eine privilegierte virtuelle Maschine namens dom0 (Domäne Null) aus, die die Anzeigeausgabe, Eingabegeräte und die Administration handhabt. dom0 führt ein abgespecktes Fedora oder Debian Linux aus und ist bewusst vom Netzwerk isoliert. In dom0 ist standardmäßig keine Netzwerkanbindung erlaubt. Wenn dom0 kompromittiert wird, ist das System praktisch kompromittiert — weshalb Qubes erhebliche Anstrengungen unternimmt, dom0 von nicht vertrauenswürdigen Eingaben fernzuhalten.

Du interagierst mit dom0 über den Qubes Manager und das Terminal, aber du surfst dort nicht im Web und öffnest dort keine E-Mail-Anhänge.

AppVMs: Deine tatsächlichen Arbeitsumgebungen

Deine alltäglichen Anwendungen laufen in AppVMs (auch Qubes genannt). Ein typisches Setup könnte umfassen:

• Ein work-Qube mit deinen Büro-Werkzeugen und VPN
• Ein personal-Qube für persönliches Surfen
• Ein banking-Qube, das nur für Finanzseiten verwendet wird
• Ein untrusted-Qube für beliebige Downloads und Links, denen du nicht vollständig vertraust

Jedes Qube erscheint auf deinem Desktop als normales Fenster, farbcodiert nach Domäne (rot für nicht vertrauenswürdig, grün für vertrauenswürdig, gelb für mittel). Die Fenster sind nahtlos über Qubes’ X-Window-Compositing integriert — du siehst einen einheitlichen Desktop, aber jedes Fenster wird tatsächlich innerhalb seiner eigenen VM gerendert.

Templates

AppVMs tragen nicht jeweils eine vollständige Betriebssysteminstallation. Stattdessen teilen sie sich schreibgeschützte Template-VMs. Eine TemplateVM könnte eine vollständige Fedora- oder Debian-Installation sein; mehrere AppVMs können darauf basieren. Innerhalb einer AppVM vorgenommene Änderungen bleiben in einer dünnen privaten Speicherschicht bestehen, nicht im Template. Das bedeutet, dass du Software im Template aktualisieren kannst und alle darauf basierenden AppVMs das Update erben — aber eine kompromittierte AppVM kann das Template nicht verändern.

Disposable Qubes

DisposableVMs (oder Disposables) sind kurzlebige Qubes, die vollständig verschwinden, wenn du sie schließt. Öffne einen verdächtigen PDF-Anhang in einem Disposable — wenn du den Betrachter schließt, ist alles, was das PDF dieser VM angetan haben könnte, weg. Dies ist eine der praktischsten Sicherheitsfunktionen von Qubes für den Alltag.

Hardwareanforderungen: Was du tatsächlich brauchst

Die offiziellen Mindestspezifikationen sind technisch korrekt, aber praktisch unzureichend für eine komfortable Nutzung.

RAM ist der Hauptengpass. Jedes laufende Qube verbraucht unabhängig Speicher. Ein Setup mit dom0, einem sys-net, einem sys-firewall, einem sys-usb und drei gleichzeitig geöffneten AppVMs verbraucht unter normaler Last 10 bis 14 GB. Der Betrieb mit unter 8 GB ist technisch möglich, führt aber zu häufigem Swapping und einer spürbar verschlechterten Erfahrung.

IOMMU-Unterstützung (VT-d bei Intel, AMD-Vi bei AMD) ist obligatorisch. Ohne sie kann Qubes keine hardwarebasierte Isolation für Geräte wie Netzwerkkarten und USB-Controller erzwingen, was einen Großteil des Sicherheitsmodells zunichtemacht. Die meisten nach 2018 hergestellten Verbraucher-Laptops unterstützen dies, aber prüfe die Qubes Hardware Compatibility List (HCL), bevor du Hardware speziell für Qubes kaufst.

Die HCL wird von der Community gepflegt und listet Modelle mit bekannten funktionierenden Konfigurationen auf. Lenovo ThinkPads (X1 Carbon, T-Serie) und Purism-Librem-Laptops erscheinen häufig als gut getestete Optionen. System76-Maschinen haben je nach Modell und Firmware-Version gemischte Ergebnisse.

Qubes vs. das Ausführen von VMs in einem Standard-Linux-Setup

Eine häufige Frage: Warum nicht einfach VirtualBox oder KVM auf Ubuntu ausführen? Die Antwort ist, dass die Sicherheitseigenschaften grundlegend verschieden sind.

Das Ausführen einer VM innerhalb eines herkömmlichen Betriebssystems fügt eine Isolationsschicht hinzu, aber das Host-Betriebssystem bleibt ein einzelner Ausfallpunkt. Ein auf dem Host installierter Keylogger sieht alles. Qubes entfernt das vertrauenswürdige Host-Betriebssystem vollständig — der Hypervisor ist die vertrauenswürdige Komponente, und er ist weit kleiner.

Für wen Qubes gedacht ist

Qubes ist sinnvoll, wenn dein Bedrohungsmodell gezielte Angriffe gegen deine Workstation umfasst — Journalisten, die mit Quellen in feindlichen Rechtsordnungen kommunizieren, Anwälte, die sensible Mandantenkommunikation handhaben, Sicherheitsforscher, die Malware analysieren, oder Aktivisten, die unter Überwachung operieren.

Es ist auch sinnvoll für technisch versierte Nutzer, die eine starke Kompartimentierung als allgemeine Hygiene-Praxis wollen, selbst ohne einen spezifischen Gegner im Sinn.

Es ist nicht sinnvoll als erste Linux-Erfahrung. Die Lernkurve ist real. Das Verständnis von Templates, AppVMs und der sys-*-Infrastruktur erfordert Vertrautheit damit, wie Virtualisierung und Netzwerke funktionieren. Die Qubes-Dokumentation ist gründlich und gut gepflegt, aber sie ist umfangreich.

Die Qubes-Gemeinschaft war historisch auf Entwickler-Mailinglisten und in Foren aktiv. Die Secure-Desktops-Mailingliste, die 2015 auf dieser Domain gehostet wurde, umfasste die Beteiligung von Rutkowska und Qubes-Kernmitwirkenden — siehe unsere Heritage-Seite für diese Geschichte. Die Projektcharta, die aus diesen Diskussionen hervorging, prägt noch immer, wie wir über kompartimentierungsbasierte Systeme berichten.

Installationsüberblick

Die Installation folgt einem standardmäßigen Fedora/Anaconda-Installer-Ablauf. Lade das ISO von qubes-os.org herunter, überprüfe die Signatur gegen den Qubes Master Signing Key (die Dokumentation führt dies mit GPG durch) und boote von USB.

Der Installer richtet dom0 ein, erstellt die Standard-Template-VMs (standardmäßig Fedora und Debian) und konfiguriert die sys-*-Dienst-VMs. Der erste Bootvorgang dauert länger als eine Standard-Linux-Installation, weil die Templates befüllt werden. Die Gesamtinstallationszeit beträgt typischerweise 30 bis 60 Minuten, abhängig von der Speichergeschwindigkeit.

Nach der Installation bietet der Qubes Manager eine GUI zum Erstellen und Verwalten von Qubes. Die fortgeschrittene Konfiguration erfolgt in dom0 über das Terminal mit qvm-*-Befehlen.

Erwähnenswerte Einschränkungen

GPU-Passthrough ist schwierig. Das Ausführen GPU-beschleunigter Anwendungen innerhalb von AppVMs ist nicht unkompliziert. Gaming auf Qubes ist als gängiger Anwendungsfall im Wesentlichen nicht unterstützt. Videobearbeitung mit GPU-Beschleunigung ist ähnlich eingeschränkt. Dies ist eine bekannte architektonische Einschränkung — das Problem der GPU-Isolation ist schwer zu lösen, ohne neue Angriffsflächen einzuführen.

Der Performance-Mehraufwand ist real. Das Ausführen mehrerer VMs bedeutet, dass Speicher und CPU unter ihnen geteilt werden. Auf angemessener Hardware (32 GB RAM, moderne CPU mit vielen Kernen) ist dies handhabbar. Auf einer 16-GB-Maschine mit vielen geöffneten Qubes wirst du es bemerken.

Ruhezustand und Fortsetzen können unzuverlässig sein. Das Suspend/Resume-Verhalten hängt stark von der Hardwareunterstützung für Xen ab. Manche Maschinen funktionieren gut; andere nicht. Prüfe die HCL, bevor du annimmst, dass dein Laptop normal in den Ruhezustand geht.

Die Bedienung ist eigenwillig. Das Kopieren von Dateien zwischen Qubes erfordert eine explizite Inter-Qube-Übertragung. Die Zwischenablage-Freigabe ist bewusst eingeschränkt — du fügst absichtlich in ein Ziel-Qube ein, nicht automatisch. Aus Sicherheitssicht sind dies Funktionen, aber sie erzeugen Reibung, die Nutzer, die an Standard-Desktops gewöhnt sind, bemerken werden.

Qubes und dein Datenschutz-Stack

Kompartimentierung löst die Workstation-Isolation. Sie löst nicht jedes Datenschutzproblem. Dein E-Mail-Anbieter sieht deine Nachrichten immer noch, bevor sie deinen Mail-Client erreichen, unabhängig davon, in welchem Qube er läuft.

Qubes löst auch nicht die Frage, wo deine Dokumente leben, wenn sie die Maschine verlassen. Sicherungen aus dom0 erfordern etwas Sorgfalt — das Werkzeug qvm-backup handhabt die Inter-Qube-Sicherung, aber die Speicherung außerhalb der Maschine ist ein separates Anliegen. Für den Inhalt eines Dokumenten-Qubes ist eine verschlüsselte Cloud-Lösung, die kein Vertrauen in die Host-Maschine erfordert, eine Überlegung wert.

Für einen breiteren Blick darauf, wie Qubes in einen mehrschichtigen Datenschutzansatz passt, behandelt die Qubes-Dokumentation die Kombination von Isolation auf Betriebssystemebene mit netzwerkbasierten Schutzmaßnahmen wie der oben beschriebenen Whonix-Integration.

Fazit

Qubes OS ist das am rigorosesten konzipierte Desktop-Betriebssystem, das für Nutzer mit ernsthaften Sicherheitsanforderungen verfügbar ist. Das Xen-basierte Kompartimentierungsmodell, das Template-System und die Disposable-VMs stellen eine kohärente Sicherheitsarchitektur dar — keine Sammlung von Härtungs-Patches, die auf ein herkömmliches Betriebssystem aufgesetzt wurden.

Die Kompromisse sind real: die Hardwareanforderungen sind hoch, die GPU-Unterstützung ist begrenzt, und die Lernkurve ist steil. Für Nutzer, deren Bedrohungsmodell diese Kompromisse rechtfertigt, ist Qubes unübertroffen.

Für Nutzer, die Alternativen erkunden, siehe unsere Berichterstattung über Tails OS (amnesisches Live-System, anderer Anwendungsfall) und unseren Vergleich der sichersten Linux-Distributionen. Diese Systeme adressieren überlappende, aber unterschiedliche Bedrohungsmodelle — die richtige Wahl hängt davon ab, wie du tatsächlich arbeitest und wovor du dich schützt.

Das Qubes-Projekt wird aktiv gepflegt, mit einem reaktionsschnellen Sicherheitsteam und einer Erfolgsbilanz transparenter Offenlegung. Wenn du zu einem kompartimentierten Arbeitsablauf wechselst, zahlt sich die Investition in das Erlernen von Qubes proportional zur Sensibilität dessen aus, was du schützt.

Häufig gestellte Fragen

Was ist Qubes OS in einfachen Worten?

Qubes OS ist ein sicherheitsorientiertes Betriebssystem, das deine Aktivitäten in separate virtuelle Maschinen namens „Qubes” isoliert — zum Beispiel eines für die Arbeit, eines für das Banking, eines für nicht vertrauenswürdiges Surfen. Wenn ein Qube kompromittiert wird, bleibt der Schaden eingedämmt und kann die anderen nicht erreichen. Es wird oft als „Sicherheit durch Kompartimentierung” beschrieben.

Ist Qubes OS schwer zu bedienen?

Es hat eine steilere Lernkurve als ein normaler Desktop und benötigt leistungsfähige Hardware (gutes RAM und Virtualisierungsunterstützung). Die tägliche Nutzung ist nach der Einrichtung handhabbar, erfordert aber, darüber nachzudenken, in welchem Qube man Dinge erledigt. Es belohnt Nutzer mit risikoreichen Bedrohungsmodellen; für Gelegenheitsnutzer ist es meist mehr, als sie brauchen.

Wer sollte Qubes OS verwenden?

Journalisten, Aktivisten, Forscher, Sicherheitsfachleute und alle, die gezielten Bedrohungen ausgesetzt sind und starke Isolation benötigen. Für Alltagsnutzer reicht ein gut gewartetes gängiges Betriebssystem mit vollständiger Festplattenverschlüsselung und guten Gewohnheiten meist aus — Qubes glänzt, wenn Kompartimentierung wirklich zählt.