TUXEDO OS vollzieht Kurswechsel: Debian Testing ersetzt Ubuntu‑LTS-Basis

Guten Tag

Mein Name ist Samuel Rüegger, ich betreibe den Tech-Blog rueegger.me und schreibe regelmässig über Linux-Themen, unter anderem auch für gnulinux.ch.

Ihre Ankündigung, TUXEDO OS künftig auf Debian Testing aufzubauen, hat in der Linux-Community viel Beachtung gefunden - auch bei mir. Aktuell arbeite ich an einem Artikel zu diesem Wechsel, in dem ich insbesondere die Frage der Sicherheitsupdates beleuchten möchte. Debian garantiert für den Testing-Zweig bekanntlich keinen offiziellen Security-Support, und in Ihrer Ankündigung wird dieses Thema nicht angesprochen. Ich möchte Ihnen die Gelegenheit geben, Ihre Sichtweise und Ihr Konzept dazu darzulegen, bevor der Artikel erscheint.

Dazu habe ich folgende Fragen:

1. Debian garantiert für den Testing-Zweig offiziell keine Sicherheitsupdates, und das Debian-Wiki attestiert Testing verglichen mit Stable und Unstable die schlechteste Geschwindigkeit bei Sicherheitsaktualisierungen. Wie geht TUXEDO mit dieser dokumentierten Schwäche der neuen Basis um?

2. In der Ankündigung wird das Thema Schwachstellen-Management nicht erwähnt - Btrfs mit Snapper betrifft die Ausfallsicherheit, nicht den Schutz vor Sicherheitslücken. War das Sicherheitskonzept zum Zeitpunkt der Ankündigung noch nicht fertig, oder ist ein eigener Beitrag dazu geplant?

3. Sicherheitsfixes erreichen Testing (in der Regel) nur über die reguläre Migration aus Unstable, die je nach Urgency zwei bis zehn Tage dauert und durch Transitions oder Release-Critical-Bugs zusätzlich blockiert werden kann. Wird TUXEDO bei kritischen Lücken aktiv eingreifen, etwa indem gepatchte Pakete aus Unstable in die eigenen Repositories übernommen werden?

4. Gibt es definierte Reaktionszeiten für kritische Schwachstellen, zum Beispiel bei einer Lücke wie der sudo-Schwachstelle CVE-2025-32463, über deren schnelle Behebung TUXEDO letztes Jahr noch unter Verweis auf die stabile Ubuntu-Grundlage informiert hat?

5. Bei embargoed Vulnerabilities erhalten koordinierte Distributoren wie Canonical vorab Zugang zu vertraulichen Informationen und können Fixes zum Disclosure-Zeitpunkt bereitstellen. Hat TUXEDO Zugang zu koordinierten Disclosure-Prozessen, oder erfahren TUXEDO-Nutzer von kritischen Lücken künftig erst mit der öffentlichen Bekanntgabe?

6. Wird TUXEDO ein eigenes Security-Monitoring betreiben, also den Debian Security Tracker aktiv auf offene CVEs in Testing auswerten, und werden Nutzer über offene, noch nicht behobene Lücken transparent informiert, etwa über eigene Advisories?

7. TUXEDO OS wird auf kommerziell verkauften Geräten vorinstalliert und soll gemäss angekündigter Beitragsserie auch im Unternehmensumfeld positioniert werden. Welche Zusagen zur Sicherheitsversorgung kann TUXEDO Geschäftskunden geben, die bisher von der Ubuntu-LTS-Basis mit garantiertem Security-Support profitiert haben?

8. In der Ankündigung wird als ein Wechselgrund genannt, dass Sicherheitsupdates bei Ubuntu in einzelnen Fällen länger dauerten als notwendig. Wie passt diese Kritik damit zusammen, dass die neue Basis über keinen garantierten Sicherheitskanal verfügt?

9. Besonders in den Monaten nach einem Debian-Stable-Release hinken Sicherheitsfixes in Testing laut Debian-Dokumentation deutlich hinterher. Wie bereitet sich TUXEDO auf diese wiederkehrenden Phasen vor, etwa rund um das Release von Debian 14?

10. Kernel, Browser und Grafik-Stack pflegt TUXEDO bereits heute selbst. Gilt für diese Komponenten weiterhin eine kontinuierliche, von Debian unabhängige Versorgung - und wie gross schätzen Sie den Anteil der verbleibenden Pakete ein, bei denen man künftig allein von der Testing-Migration abhängig ist?

Über eine Rückmeldung bis am 15.07.2025 würde ich mich sehr freuen. Selbstverständlich zitiere ich Ihre Antworten korrekt und im Zusammenhang. Falls ein Gespräch (Video-Call oder Telefon) für Sie einfacher ist, bin ich dafür ebenfalls offen.

Freundliche Grüsse aus Basel

Samuel Rüegger