Was ist Docksentry, und welches Problem löst es?

Docksentry ist ein selbst hostbarer Update-Manager für Docker- und Podman-Container. Die Grundidee ist einfach, aber im Alltag oft vernachlässigt: Ein Container-Update ist erst dann wirklich abgeschlossen, wenn feststeht, dass der Dienst danach auch tatsächlich funktioniert. Werkzeuge wie Watchtower ziehen zwar automatisch neue Images, prüfen aber nicht systematisch nach, ob der neue Container überhaupt gesund startet – bleibt er hängen oder crasht er, bemerkt man das oft erst, wenn jemand den Dienst nutzen will. Docksentry setzt genau hier an: Es beobachtet laufende Container, erkennt neue Image-Versionen in der Registry, spielt sie ein und prüft anschließend über den in Docker eingebauten Healthcheck-Mechanismus, ob der neue Container wirklich läuft. Schlägt diese Prüfung fehl, stellt Docksentry automatisch die zuletzt funktionierende Version wieder her. Das Projekt richtet sich klar an Homelab- und Kleinserver-Betreiber, die genug Container laufen haben, dass manuelles Update-Management lästig wird, aber nicht bereit sind, die Kontrolle komplett aus der Hand zu geben.

Die Rollback-Mechanik im Detail

Der Ablauf eines Updates folgt bei Docksentry immer demselben Muster. Zunächst vergleicht Docksentry in einem konfigurierbaren Intervall – standardmäßig einmal täglich über eine Cron-Angabe – die lokal laufenden Image-Digests mit dem, was die Registry aktuell anbietet, egal ob Docker Hub oder GitHub Container Registry. Erkennt es eine neue Version, sichert es zunächst die aktuelle Konfiguration und das aktuelle Image als Rücksprungpunkt. Danach zieht es das neue Image, stoppt den laufenden Container und startet einen neuen mit identischer Konfiguration – Umgebungsvariablen, Volumes und Netzwerkeinstellungen bleiben unverändert. Anschließend wartet Docksentry innerhalb eines Timeouts auf ein positives Ergebnis des Docker- oder Podman-Healthchecks. Meldet der Container in dieser Zeit einen Crash, einen Out-of-Memory-Abbruch oder besteht der Healthcheck nicht, spielt Docksentry automatisch die zuvor gesicherte Version zurück – Image und Konfiguration inklusive. Wichtig dabei: Das Rollback bezieht sich ausschließlich auf den Container selbst, nicht auf Datenbankinhalte oder persistente Volumes. Wer an einem Update auch ein Datenbank-Schema ändert, braucht weiterhin ein eigenes Backup-Konzept – Docksentry ersetzt das nicht, sondern ergänzt es um die Container-Ebene.

Installation: Docker, Compose und Podman

Der schnellste Einstieg ist ein einzelner Docker-Befehl, der ausschließlich das Web-UI aktiviert: docker run -d --name docksentry --restart unless-stopped -e WEB_UI=true -e WEB_PORT=8080 -p 8080:8080 -v /var/run/docker.sock:/var/run/docker.sock amayer1983/docksentry:latest. Für den Dauerbetrieb empfiehlt das Projekt Docker Compose, unter anderem weil sich darüber Telegram- oder Discord-Zugangsdaten sauber als Umgebungsvariablen pflegen lassen – zentrale Einträge sind dabei image: amayer1983/docksentry:latest, BOT_TOKEN und CHAT_ID für den Telegram-Bot, CRON_SCHEDULE für den Update-Rhythmus sowie ein gemountetes Docker-Socket-Volume (/var/run/docker.sock:/var/run/docker.sock) und no-new-privileges:true als zusätzliche Absicherung. Unter Podman läuft Docksentry grundsätzlich genauso, allerdings wird statt des Docker-Sockets der Podman-Socket gemountet (/run/podman/podman.sock:/var/run/docker.sock), und für den Bare-Metal-Betrieb außerhalb eines Containers wird zusätzlich eine lokale Python-3-Installation vorausgesetzt. Bei der Ersteinrichtung verlangt Docksentry seit Version 2.8.0 mindestens einen Steuerweg: Web-UI, Telegram-Bot-Token samt Chat-ID, einen Discord-Webhook oder einen generischen Webhook. Ohne mindestens eine dieser Optionen startet der Container gar nicht erst.

Steuerung über Telegram, Discord und Web-UI

Was Docksentry von klassischen Update-Tools unterscheidet, ist die Bandbreite an Steuerwegen. Der Telegram-Bot bietet laut Projektbeschreibung mehr als zwanzig Befehle und erlaubt es, Updates direkt per Chat zu bestätigen, abzulehnen oder ein manuelles Rollback auszulösen. Der Discord-Bot bringt 27 Slash-Commands mit und kann laut Changelog inzwischen auch aktiv im Kanal Statusmeldungen posten, statt nur auf Befehle zu reagieren. Wer lieber eine grafische Oberfläche nutzt, bekommt seit Version 2.8.0 ein Web-UI mit eigener Login-Seite und gehashtem Passwort – zuvor ließ sich die Oberfläche laut Release Notes noch ohne Zugangsschutz erreichen, was inzwischen behoben wurde. Alle drei Wege lassen sich parallel betreiben; wer weder Chat-Bot noch Weboberfläche mag, kann Docksentry auch im reinen Headless-Modus mit Webhook-Benachrichtigungen laufen lassen. Das Projekt unterstützt zudem 16 Sprachen für die Bot- und UI-Texte.

Multi-Host-Betrieb und Container-Gruppen

Eine einzelne Docksentry-Instanz kann mehrere Docker- oder Podman-Hosts gleichzeitig verwalten, verbunden über SSH oder TCP. Das ist besonders für Homelabs mit mehreren physischen oder virtuellen Maschinen relevant, etwa einem separaten Datenbank-Server und einem Anwendungs-Server. Über die Umgebungsvariable DOCKER_HOSTS lassen sich beliebig viele Endpunkte hinterlegen, jeweils mit eigenem SSH-Schlüssel bei Podman-Hosts. Zusätzlich lassen sich Container zu Gruppen zusammenfassen, für die Docksentry eine feste Update-Reihenfolge einhält – etwa, dass eine Datenbank grundsätzlich vor der davon abhängigen Anwendung aktualisiert wird, und der jeweils nächste Schritt erst startet, wenn der vorherige den Healthcheck bestanden hat. Für verschachtelte Setups mit VPN-Sidecars wie Gluetun dokumentiert das Projekt laut aktuellem Commit-Verlauf inzwischen auch einen eigenen Sonderfall, damit Updates den VPN-Tunnel nicht versehentlich unterbrechen.

Sicherheit: Was der Docker-Socket-Zugriff bedeutet

Damit Docksentry Container stoppen, starten und deren Zustand prüfen kann, braucht es Zugriff auf den Docker- beziehungsweise Podman-Socket. Das ist technisch notwendig, hat aber eine Konsequenz, die sich viele Einsteiger nicht bewusst machen: Wer den Docker-Socket in einen Container mountet, gibt diesem Container faktisch Root-Rechte auf dem Host, da über den Socket beliebige weitere Container gestartet werden können. Das ist kein Docksentry-spezifisches Problem, sondern gilt für jedes Tool, das den Socket braucht, darunter auch Watchtower oder Portainer – es sollte aber bei der Platzierung im Netzwerk und bei der Vergabe von Zugangsdaten für Web-UI, Telegram und Discord berücksichtigt werden. Das Projekt selbst empfiehlt in der Compose-Konfiguration no-new-privileges:true und warnt in der README ausdrücklich vor Kopien außerhalb der offiziellen Quellen: Es kursieren laut Projektangabe gefälschte Windows-Installationsdateien, obwohl Docksentry ausschließlich als Linux-Container ausgeliefert wird. Ein guter Anlass, Images grundsätzlich nur aus dem offiziellen Repository beziehungsweise von amayer1983/docksentry auf Docker Hub oder GHCR zu beziehen.

Reifegrad, Entwicklungstempo und was das für den Einsatz heißt

Docksentry ist kein Projekt mit jahrelanger Historie, aber auch kein über Nacht hochgeladener Prototyp. Die Docker-Hub-Tags reichen mindestens bis zum 7. Mai 2026 zurück, das Changelog dokumentiert durchgehende Entwicklung mindestens seit dem 30. Juli, und das Repository zählt inzwischen rund 320 Commits. Auffällig ist vor allem das Tempo: Innerhalb weniger Tage sprang die Versionsnummer von 1.x auf 2.x, mit mehreren Releases pro Woche. Das spricht für ein Projekt, das aktiv auf Nutzer-Feedback reagiert – Version 2.8.0 etwa führte als Reaktion auf eine ungeschützte Weboberfläche eine Login-Pflicht ein –, bedeutet aber auch, dass sich Konfigurationsoptionen und Verhalten weiterhin ändern können. Wer Docksentry produktiv einsetzt, sollte Release Notes vor jedem Update kurz überfliegen und nicht blind auf latest vertrauen, wenn Stabilität wichtiger ist als die neueste Funktion.

Docksentry im Vergleich: Watchtower, Diun und What's Up Docker

Im Umfeld der Docker-Update-Tools ist Docksentry nicht allein. Watchtower ist der bekannteste Vertreter und aktualisiert Container ebenfalls automatisch, prüft danach aber keinen Healthcheck und bietet keinen strukturierten Rollback-Pfad – ein fehlgeschlagenes Update bleibt fehlgeschlagen, bis jemand manuell eingreift. Diun geht den entgegengesetzten Weg: Es informiert lediglich über verfügbare Updates, führt sie aber nicht selbst aus – für alle, die Kontrolle über jeden einzelnen Schritt behalten wollen, aber ohne Interesse an Automatisierung. What's Up Docker (WUD) liegt näher an Docksentry, bringt ebenfalls ein Web-UI und Benachrichtigungen mit, aber laut eigener Dokumentation ohne die SSH-basierte Multi-Host-Orchestrierung und ohne die tiefe Chat-Bot-Integration, die Docksentry bietet. Wer nur einen einzelnen Host mit wenigen Containern betreibt, fährt mit dem schlankeren Watchtower oder Diun oft einfacher; sobald mehrere Hosts, abhängige Container-Gruppen oder eine Steuerung per Telegram und Discord gewünscht sind, deckt Docksentry mehr davon in einem einzigen Tool ab.

  • FAQ: siehe Fragen untenIst Docksentry sicher, wenn es Zugriff auf den Docker-Socket braucht? Der Socket-Zugriff ist technisch notwendig, bedeutet aber faktisch Root-Rechte auf dem Host – das gilt für jedes vergleichbare Update-Tool. Wichtig sind ein separates Netzwerksegment, starke Zugangsdaten für Web-UI und Bots sowie der Bezug der Images ausschließlich aus offiziellen Quellen.Funktioniert Docksentry auch mit Podman statt Docker? Ja, über einen gemounteten Podman-Socket und mit eigenen SSH-Schlüsseln pro Host für Podman-Verbindungen. Die Docker-Unterstützung ist laut Projekt aber der primäre, am besten getestete Weg.Was passiert, wenn ein Rollback selbst fehlschlägt? Dazu macht das Projekt in der öffentlichen Dokumentation keine expliziten Angaben; dieser Punkt bleibt hier als offene Frage markiert und sollte vor einem produktiven Einsatz in der eigenen Umgebung getestet werden.Brauche ich zwingend Telegram oder Discord, oder reicht die Web-UI? Die Web-UI allein genügt – seit Version 2.8.0 mit eigener Login-Seite. Chat-Bots sind optional und lassen sich zusätzlich oder alternativ aktivieren.Ersetzt Docksentry Werkzeuge wie Portainer oder Watchtower komplett? Nein. Portainer bleibt als allgemeine Verwaltungsoberfläche relevant, Docksentry konzentriert sich gezielt auf Updates mit Rollback-Netz. Gegenüber Watchtower ist der Mehrwert vor allem der Healthcheck-gestützte Rollback und die Multi-Host-Steuerung.Wie stabil ist die Konfiguration angesichts des schnellen Versionstempos? Angesichts mehrerer Releases pro Woche und des Sprungs von Version 1.x auf 2.x innerhalb weniger Tage sollte man Release Notes vor jedem Update lesen; für produktive Umgebungen empfiehlt sich, Versionen gezielt zu pinnen statt dauerhaft latest zu verwenden.
  • Fazit: Docksentry schließt eine reale Lücke zwischen manueller Update-Pflege und blinder Automatisierung: Es aktualisiert Container eigenständig, sichert sich aber über einen Healthcheck ab und macht Fehlschläge rückgängig, bevor sie zum Problem werden. Für Homelabs mit mehreren Hosts und abhängigen Diensten ist das ein handfester Vorteil gegenüber schlankeren Tools wie Watchtower. Der Preis dafür ist ein junges, sich schnell veränderndes Projekt, dessen Konfiguration noch nicht in Stein gemeißelt ist – wer damit leben kann, bekommt ein ungewöhnlich durchdachtes Sicherheitsnetz für die eigene Container-Flotte.
  • Quellen: Alle Angaben stammen aus dem GitHub-Repository amayer1983/docksentry (README, Releases, Changelog-Datei, Commit-Verlauf) sowie aus den Docker-Hub-Tags des offiziellen Images amayer1983/docksentry. Details siehe Tabelle im Abschnitt „Recherche und Quellen“.
  • Weiterführende Links: Docksentry auf GitHub · Docksentry auf Docker Hub · Watchtower zum Vergleich
Anzeige
#Self Hosting