Live-Patching und Performance-Tuning des Linux-Kernels: Einblick in TurboKernel

Managed Hosting | November 2026

Die meisten Hosting-Unternehmen verwenden den Linux-Kernel, der mit ihrer Distribution ausgeliefert wird. Dieser Kernel ist ein sorgfältig gewählter Kompromiss: Er muss auf einem zwanzig Jahre alten Laptop, einem Raspberry Pi und einem Gaming-PC starten und ist oft mehrere Jahre hinter der aktuellen Linux-Version zurück. Unsere Server sind weder für Laptops noch für Gaming gedacht. Deshalb verwenden wir keinen Kernel mehr, der dafür entwickelt wurde.

TurboKernel ist der Linux-Kernel, den wir für jeden Managed TurboStack-Server selbst erstellen, signieren und betreiben. Er basiert auf der neuesten stabilen Linux-Version, wird für die Server-CPUs kompiliert, die wir tatsächlich einsetzen, und ist auf eine Aufgabe optimiert: Webanwendungen, Datenbanken und APIs so schnell auszuliefern, wie es die Hardware ermöglicht. TurboKernel läuft mit Linux 7.3, der neuesten stabilen Version, während die Standardkernel derselben Distributionen auf Linux 5.14 bis 6.12 basieren.

Hier sind die fünf TurboKernel-Funktionen, auf die wir besonders stolz sind, und was sie für die darauf laufenden Anwendungen bedeuten.

Die Kurzfassung: TurboKernel holt mehr Leistung aus derselben Hardware heraus, hält auch unter hoher Last mehr Ihrer Daten im schnellen Speicher, liefert Seiten über Netzwerke unter realen Bedingungen schneller aus, verhält sich unter Debian und AlmaLinux identisch und kann wichtige Sicherheitsupdates einspielen, ohne Ihren Server neu zu starten.

In diesem Artikel

1. Live-Patching des Linux-Kernels: Sicherheitsupdates ohne Neustart
2. Ein für moderne Server-CPUs kompilierter Linux-Kernel
3. BBR-Staukontrolle: schnellere Auslieferung über Netzwerke unter realen Bedingungen
4. Linux-Speicherverwaltung, die auch unter hoher Last zuverlässig funktioniert
5. Ein Linux-Kernel für Debian und AlmaLinux
6. Bonus: Was Linux 7.2 und 7.3 für Server Neues bringen
7. Was TurboKernel nicht leistet
8. Häufig gestellte Fragen

1. Live-Patching des Linux-Kernels: Sicherheitsupdates ohne Neustart

Jeder Serverbetreiber kennt das Dilemma. Eine schwerwiegende Kernel-Sicherheitslücke wird veröffentlicht. Um sie zu beheben, muss ein neuer Kernel installiert werden, und dafür ist ein Neustart erforderlich. Ein Neustart bedeutet Ausfallzeit, ein Wartungsfenster und Abstimmungen mit allen Kunden auf diesem Server. In der Praxis wartet deshalb ein großer Teil der Branche auf den nächsten passenden Zeitpunkt, während der Server bis dahin angreifbar bleibt.

TurboKernel unterstützt Live-Patching des Kernels. Ein Live-Patch ist ein kleines, signiertes Modul, das eine anfällige Funktion im laufenden Kernel ersetzt, während der Server weiterhin Traffic ausliefert. Kein Neustart, kein Wartungsfenster, keine unterbrochenen Verbindungen. Solange kein Live-Patch benötigt wird, kostet die Funktion nichts: Ihre Bereitschaft hat keinerlei Leistungseinbußen zur Folge.

Live-Patching baut auf einer schnellen Bereitstellung auf, die wir bereits für jede Kernel-Version nutzen:

• An der Quelle verifiziert. Jede neue stabile Linux-Version wird anhand der Signaturschlüssel der Linux-Stable-Maintainer kryptografisch überprüft, bevor wir sie verwenden.
• Automatisch erstellt und auf den Start getestet. Unsere Pipeline erstellt den neuen TurboKernel, startet ihn auf Testmaschinen mit Debian und AlmaLinux und führt Funktionstests durch. Ein Kernel, der diese Tests nicht besteht, gelangt niemals auf einen Kundenserver.
• Von uns signiert. Jeder Kernel und jedes Kernelmodul wird mit unserem eigenen Hosted Power-Schlüssel signiert. So läuft auf Ihrem Server genau das, was wir erstellt haben.

So vergehen von „Linux hat einen Fix veröffentlicht“ bis „der Fix ist auf Ihrem Server“ nur Stunden statt Wochen. Und bei den geeigneten Fixes endet dieser Weg nicht mehr mit einem Neustart.

2. Ein für moderne Server-CPUs kompilierter Linux-Kernel

Der x86-64-Befehlssatz stammt aus dem Jahr 2003. Distributionskernel werden noch immer für diese ursprüngliche Basis kompiliert, weil sie auf praktisch jedem Gerät starten müssen. Dadurch bleiben Verbesserungen an CPUs aus einem ganzen Jahrzehnt ungenutzt: breitere Vektorbefehle, schnellere Bitmanipulation und kombinierte Rechenoperationen, die seit 2013 in jedem modernen Serverprozessor vorhanden sind.

TurboKernel wird für die moderne x86-64-v3-Befehlssatzstufe kompiliert, sodass der Compiler diese Befehle überall im Kernel nutzen kann. Darüber hinaus optimieren wir den Kernel beim Linken als ein vollständiges Programm, statt Tausende einzelne Dateien separat zu behandeln. Funktionen, die einander millionenfach pro Sekunde aufrufen, werden eingebettet, nicht benötigter Code wird entfernt und häufig genutzte Codepfade werden kürzer.

Außerdem treffen wir gezielte Entscheidungen für Server, die ein Kernel für allgemeine Zwecke nicht treffen kann:

• CPUs laufen standardmäßig mit voller Geschwindigkeit. Der Prozessor muss nicht erst hochtakten, wenn eine Anfragewelle eintrifft. Latenz ist uns wichtiger, als bei einem Server im Leerlauf ein paar Watt einzusparen.
• Ein auf Durchsatz optimiertes Scheduler-Profil. Desktop-Kernel bevorzugen flüssige Mausbewegungen. Unser Kernel priorisiert die Ausführung von Datenbankabfragen und PHP-Anfragen bei kurzen Antwortzeiten.
• Für leistungsstarke Server ausgelegt. TurboKernel skaliert auf Tausende CPU-Kerne. Derselbe Kernel läuft deshalb sowohl auf einem kleinen VPS als auch auf unseren größten EPYC-Servern mit mehreren Sockeln.

Dafür müssen Sie an Ihrer Anwendung nichts ändern. Derselbe Code läuft einfach auf einer leistungsfähigeren Grundlage.

3. BBR-Staukontrolle: schnellere Auslieferung über Netzwerke unter realen Bedingungen

Ihre Besucher haben keine perfekte Glasfaserverbindung. Sie nutzen das WLAN eines Hotels, sind mit 4G im Zug unterwegs oder befinden sich am anderen Ende der Welt. Die klassische TCP-Staukontrolle reagiert auf jedes verlorene Paket, indem sie abrupt abbremst. Bei einer Mobilfunkverbindung mit gelegentlichen Paketverlusten ist das genau die falsche Reaktion.

TurboKernel verwendet standardmäßig die BBR-Staukontrolle, einen modellbasierten Algorithmus, den Google für seine eigenen Dienste entwickelt hat. Statt bei Paketverlust in Panik zu geraten, misst BBR die tatsächliche Bandbreite und Round-Trip-Zeit jeder Verbindung und sendet mit der Geschwindigkeit, die der Übertragungsweg tatsächlich bewältigen kann. Google meldete nach der Umstellung in einigen Ländern zweistellige Durchsatzsteigerungen für YouTube. Die größten Vorteile zeigen sich genau dort, wo Ihre Kunden am schwersten zu erreichen sind.

Ergänzend setzen wir auf Paket-Taktung mit Fair Queueing, die Verkehrsspitzen ausgleicht, damit sich Pakete nicht in den Routern entlang des Übertragungswegs stauen. Diese Taktung ist auch für modernen HTTP/3- und QUIC-Traffic vorgesehen und steht unseren Webservern deshalb sofort zur Verfügung.

Da Geschwindigkeit ohne Ausfallsicherheit wertlos ist, ist der TCP-Stack außerdem gegen Fluten nutzloser Pakete gehärtet, die einen Server durch Verwaltungsaufwand auslasten sollen. In Kombination mit TurboShield auf Anwendungsebene muss ein Angriff deutlich mehr Aufwand betreiben, bevor Ihr Shop etwas davon bemerkt.

4. Linux-Speicherverwaltung, die auch unter hoher Last zuverlässig funktioniert

Wenn der Arbeitsspeicher eines Servers knapp wird, muss der Kernel entscheiden, welche Daten in Reichweite bleiben und welche ausgelagert werden. Eine falsche Entscheidung führt zu einer typischen Abwärtsspirale: Der Server entfernt ständig Daten, die er kurz darauf wieder benötigt.

TurboKernel nutzt einen neueren Algorithmus zur Seitenrückgewinnung, der Generationen berücksichtigt und erfasst, wie kürzlich und wie häufig Speicher tatsächlich genutzt wurde. Er hält den aktiven Arbeitssatz Ihrer Datenbank und Anwendung im RAM und entfernt tatsächlich selten genutzte Daten. Veröffentlichte Messungen auf großen Serverflotten zeigen, dass die CPU-Zeit für die Speicherbereinigung um rund 40 % sinkt. Diese CPU-Ressourcen stehen Ihrer Anwendung genau dann wieder zur Verfügung, wenn der Server am stärksten ausgelastet ist.

Da wir die neueste Linux-Version einsetzen, profitieren wir außerdem sofort von jeder Verbesserung dieses Algorithmus. Linux 7.2 hat die Rückgewinnung und Rückschreibung von Speicher überarbeitet. Das sorgt für bis zu 30 % mehr Durchsatz bei MongoDB unter Speicherdruck und reduziert deutlich die Fälle, in denen Daten entfernt und direkt wieder eingelesen werden. Linux 7.3 schützt außerdem ausführbaren Code: Die PHP-, Nginx- und Datenbank-Binärdateien, die Ihr Server jede Millisekunde ausführt, bleiben im Speicher, statt entfernt und von der Festplatte neu geladen zu werden.

Diese Speicherbereinigung arbeitet Hand in Hand mit TurboRAM, unserer komprimierten Speicherebene, die auf einem Produktivserver aus 32 GB physischem RAM 41 GB effektiv nutzbaren Speicher macht. Da der Kernel gezielt tatsächlich selten genutzte Speicherseiten zur Komprimierung auswählt, speichert TurboRAM ruhende Daten statt solcher, die sofort wieder abgerufen werden.

Und wenn der Speicher tatsächlich zur Neige geht, erfasst TurboKernel den Speicherdruck pro Dienst. Statt den gesamten Server auszubremsen, kann das System den einzelnen außer Kontrolle geratenen Prozess angehen, der den Speicherdruck verursacht, und Ihre Datenbank in Ruhe lassen.

5. Ein Linux-Kernel für Debian und AlmaLinux

Wir setzen sowohl Debian als auch AlmaLinux ein, weil verschiedene Anwendungen und Control Panels unterschiedliche Anforderungen haben. Mit Standardkerneln bedeutet das vier verschiedene Kernel für Debian 12, Debian 13, AlmaLinux 9 und AlmaLinux 10. Sie reichen von Linux 5.14 bis 6.12 und haben jeweils eigene Fehler, Eigenheiten und Patch-Zeitpläne.

TurboKernel ist auf allen vier Systemen derselbe Kernel. Dieselbe Linux-Version, dieselbe Optimierung, dieselben Sicherheitsupdates am selben Tag. Für Sie bedeutet das:

• Vorhersehbare Leistung. Ein Benchmark unter Debian zeigt Ihnen, was Sie unter AlmaLinux erwarten können. Ein Wechsel zwischen Distributionen bedeutet nicht, dass Sie erst wieder herausfinden müssen, wie sich der Server verhält.
• Modernes Linux auf stabilen Distributionen. Sie profitieren von der Stabilität und dem langen Support von Debian oder AlmaLinux sowie von einem Kernel, der deren ausgelieferten Versionen Jahre voraus ist.
• Schnellere Fixes für alle. Ein Kernel bedeutet eine Pipeline. Ein Fix erreicht deshalb alle Servertypen gleichzeitig, statt vier separate Warteschlangen zu durchlaufen.

Außerdem kennen unsere Engineers so einen Kernel in- und auswendig, statt vier Kernel nur oberflächlich. Wenn sich etwas ungewöhnlich verhält, ist die Antwort überall dieselbe.

Bonus: Was Linux 7.2 und 7.3 für Web- und Datenbankserver Neues bringen

Da TurboKernel der neuesten stabilen Linux-Version folgt, profitieren unsere Server von Verbesserungen, die erst Jahre später oder gar nicht in Distributionskerneln auftauchen. Hier eine Auswahl der Neuerungen in Linux 7.2 und 7.3 für Web- und Datenbankserver:

Scheduler: Arbeit und Daten nahe beieinander halten

• Cache-bewusstes Scheduling (7.2). Threads, die gemeinsam genutzte Daten verarbeiten, bleiben auf Kernen mit demselben CPU-Cache. Moderne EPYC-Prozessoren bestehen aus mehreren Chiplets mit jeweils eigenem Cache. Das bedeutet weniger langsame Zugriffe auf den Hauptspeicher bei stark ausgelasteten Datenbank- und Anwendungs-Workloads.
• Abgeflachtes Gruppen-Scheduling (7.3). Auf einem TurboStack-Server laufen jeder Dienst, jeder PHP-Pool und jede Datenbank in einer eigenen Control Group. Linux 7.3 plant diese Gruppen über eine einzige Warteschlange statt über einen Baum aus Warteschlangen ein. Das verringert den Overhead und die Latenz genau auf den Servern mit mehreren Diensten, die wir betreiben.
• Geringere Scheduling-Latenz (7.3) bei kurz laufenden Aufgaben wie Webanfragen sowie intelligentere Nutzung vollständig unbeschäftigter Kerne.

Speicher: mehr Leistung unter hoher Last

• Über 60 % weniger Warten auf Sperren bei der Speicherbereinigung (7.3), sodass ein ausgelasteter Server weniger Zeit mit internen Konflikten verbringt.
• Komprimierter Speicher lässt sich bis zu 1,8-mal schneller freigeben (7.3), was TurboRAM direkt zugutekommt.
• Schlankerer und schnellerer Swap (7.2 und 7.3). Weniger Speicherbedarf für die Swap-Verwaltung und gebündelte Swap-E/A sorgen dafür, dass das Sicherheitsnetz weniger kostet, wenn es gebraucht wird.
• Mehr große Speicherseiten (7.2). Der Kernel kann jetzt mehr Anwendungs- und Dateispeicher in großen Seiten zusammenfassen. Das verringert den Aufwand für die Adressübersetzung bei Datenbanken und Caches.

Speicher: mehr IOPS mit derselben NVMe

• Bis zu 14 % mehr IOPS bei kleinen direkten E/A-Operationen auf ext4 (7.3), dem Zugriffsmuster, auf das Datenbanken angewiesen sind: im Benchmark der Entwickler von 1,92 auf 2,19 Millionen IOPS.
• Parallele direkte Schreibvorgänge auf ext4 (7.3). Mehr Datenbank-Schreibvorgänge laufen gleichzeitig, statt hinter einer Sperre warten zu müssen.
• Etwa 5 % mehr IOPS bei zufälligen Lesevorgängen auf ext4 und XFS (7.2) mit NVMe sowie schnellere Commits des ext4-Journals.

Sicherheit: besser abgeschottete Sandboxes

• Signierte eBPF-Programme (7.3). Der Kernel überprüft eBPF-Loader, bevor er sie ausführt. Die vollständige eBPF-Unterstützung ermöglicht es TurboStack außerdem, auf jedem Server nahezu ohne Overhead in Echtzeit nach Eindringversuchen und verdächtigem Verhalten Ausschau zu halten.
• Stärkere Sandbox-Isolierung (7.2 und 7.3). Fein abgestufte Netzwerkregeln für isolierte Dienste, Schutz davor, dass Dienste dazu gebracht werden, Geräte oder Pipes statt Dateien zu öffnen, und eine Abschottung von Kernel-Threads gegenüber dem übrigen System.

All das erfordert keine Änderungen Ihrerseits. Die Verbesserungen kommen einfach mit dem nächsten TurboKernel-Update.

Was TurboKernel nicht leistet

Wir möchten die Grenzen klar benennen.

Langsamen Code behebt es nicht. Ein fehlender Datenbankindex oder eine N+1-Abfrage bleibt langsam, wenn auch etwas weniger. Ein schnellerer Kernel ist eine Grundlage, kein Ersatz für eine Überprüfung der Leistung.

Er braucht eine moderne CPU. TurboKernel wird für Prozessoren ab etwa 2013 kompiliert. Unsere Hardware erfüllt diese Voraussetzungen schon seit Jahren. Für die seltenen älteren Geräte behalten wir den Standardkernel bei, statt ein Risiko einzugehen.

Nicht jeder Fix lässt sich live patchen. Live-Patching deckt die meisten wichtigen Sicherheitsupdates ab, doch manche Änderungen erfordern weiterhin einen neuen Kernel und einen Neustart. In diesen Fällen planen wir die Maßnahme wie jede andere Wartung und kündigen sie rechtzeitig an.

Möchten Sie wissen, was TurboKernel für Ihre Anwendung leisten könnte?

Bitten Sie uns, Ihre aktuelle Umgebung zu prüfen. Wir sagen Ihnen, was sich ab dem ersten Tag ändert und wo die tatsächlichen Engpässe liegen.

Infrastrukturanalyse anfordern

Häufig gestellte Fragen

Was ist Live-Patching des Linux-Kernels?

Beim Live-Patching wird eine anfällige Funktion im laufenden Linux-Kernel mithilfe eines kleinen signierten Kernelmoduls durch eine korrigierte Version ersetzt. Der Server läuft weiter und liefert Traffic aus, während der Fix eingespielt wird. Ein Neustart und Ausfallzeiten sind nicht erforderlich.

Bedeutet Live-Patching, dass ein Server nie neu gestartet werden muss?

Nein. Live-Patching deckt die meisten wichtigen Sicherheitsupdates ab, doch größere Kernel-Updates erfordern weiterhin einen Neustart. Der Unterschied: Wir können diese ruhig und mit Vorankündigung planen, statt wegen einer offenen Sicherheitslücke hastig neu zu starten.

Welche Linux-Kernelversion läuft auf Ihren Servern?

TurboKernel folgt der neuesten stabilen Linux-Version, derzeit Linux 7.3, unter Debian 12 und höher sowie AlmaLinux 9 und höher. Die Standardkernel derselben Distributionen basieren auf Linux 5.14 bis 6.12.

Ist ein eigener Linux-Kernel für den Produktiveinsatz sicher?

Das hängt ganz davon ab, wie er erstellt wird. Jeder TurboKernel basiert auf verifizierten Linux-Quellen aus dem Upstream, wird automatisch unter Debian und AlmaLinux erstellt und auf den Start getestet und mit unserem eigenen Schlüssel signiert, bevor er auf einen Kundenserver gelangt.

Muss ich meine Anwendung ändern, um davon zu profitieren?

Nein. TurboKernel liegt unterhalb Ihrer Anwendung. PHP, Node.js, Python, Datenbanken und Caches laufen unverändert, nur auf einer schnelleren und besser geschützten Grundlage.

Inklusive, kein Zusatzverkauf

TurboKernel läuft auf jedem Managed TurboStack-Server mit Debian 12 und 13 oder höher sowie AlmaLinux 9 und 10 oder höher. Wir verkaufen ihn nicht als Zusatzleistung, und Sie müssen ihn nicht anfordern. Die technische Arbeit steckt in der Entwicklung, dem Testen, Signieren und Betreiben, damit Sie sich nie selbst um den Kernel kümmern müssen.