So aktualisieren Sie Docker-Container 2026 automatisch mit Watchtower (und warum Sie das vielleicht gar nicht wollen)

Watchtower funktioniert 2026 nach wie vor für die automatische Aktualisierung von Docker-Containern, aber das ursprüngliche Projekt containrrr/watchtower wurde am 17. Dezember 2025 archiviert und erhält keine Sicherheitspatches mehr. Sie können es heute noch betreiben, und diese Anleitung zeigt Ihnen den sicheren Weg dazu, aber für alles, was Ihnen wirklich am Herzen liegt, sollten Sie einen gepflegten Fork verwenden, zu einem reinen Benachrichtigungstool wie Diun wechseln oder auf eine Plattform umsteigen, die die Updates für Sie übernimmt. Nachfolgend finden Sie das ehrliche Setup, die Risiken, die die Tutorials auslassen, und die Alternativen, die Ihre Zeit wert sind.

Was Watchtower macht (und warum die Leute es nutzen)

Watchtower ist ein kleiner Container, der Ihre anderen laufenden Container überwacht, deren Image-Registries nach einem Zeitplan prüft und, sobald ein neuerer Image-Tag erscheint, dieses lädt, den alten Container stoppt und ihn mit genau denselben Flags, Volumes und Netzwerkeinstellungen neu startet. Er kommuniziert über den gemounteten Socket mit dem Docker-Daemon, weshalb bei jedem Setup /var/run/docker.sock eingebunden wird. Der Reiz liegt in der mühelosen Wartung: Ein neues Image landet stromaufwärts, und Ihre laufende App folgt ihm automatisch, ohne manuelles docker pull und docker compose up -d. Für ein Homelab oder ein risikoarmes Nebenprojekt, bei dem ein paar Sekunden Ausfallzeit beim Neustart keine Rolle spielen, ist dieser Komfort echt, und genau deshalb hat die offizielle Dokumentation eine Anhängerschaft aufgebaut. Die Probleme beginnen, wenn man es auf Dinge richtet, die sich nicht selbst aktualisieren sollten.

Wird Watchtower 2026 noch gepflegt?

Nein. Das GitHub-Repository containrrr/watchtower wurde am 17. Dezember 2025 von seinem Eigentümer archiviert und ist nun schreibgeschützt, mit einem Banner, das lautet: „This project is no longer maintained." Das letzte getaggte Release, v1.7.1, erschien im November 2023, das Image hat also seit über zwei Jahren keine Updates mehr erhalten, Sicherheitsfixes eingeschlossen. „Archiviert" bedeutet nicht „kaputt": Das Image lässt sich weiterhin von Docker Hub laden und läuft, und nichts hört über Nacht auf zu funktionieren. Es bedeutet, dass niemand mehr Fixes für neue Docker-API-Versionen, Abhängigkeits-CVEs oder Registry-Änderungen einpflegt. Für ein Tool, das root-äquivalenten Zugriff auf Ihren Docker-Socket besitzt, ist der dauerhafte Betrieb einer ungepflegten Binärdatei ein echtes Risiko, kein hypothetisches. Wenn Sie es jetzt einsetzen, behandeln Sie es als Übergangslösung, nicht als dauerhafte Einrichtung.

So richten Sie Watchtower auf die sichere Art ein

Der Fehler, den die meisten Tutorials machen, ist der direkte Sprung zum vollautomatischen Update über jeden Container hinweg. Beginnen Sie stattdessen im reinen Überwachungsmodus, sodass Watchtower meldet, was sich ändern würde, ohne etwas anzurühren:

services:
  watchtower:
    image: containrrr/watchtower:1.7.1
    container_name: watchtower
    restart: unless-stopped
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    environment:
      WATCHTOWER_MONITOR_ONLY: "true"
      WATCHTOWER_SCHEDULE: "0 0 4 * * *"   # 4am daily (6-field cron)
      WATCHTOWER_NOTIFICATIONS: shoutrrr
      WATCHTOWER_NOTIFICATION_URL: "your-webhook-url"

Sobald Sie dem vertrauen, was es meldet, wechseln Sie zu echten Updates, beschränken diese aber auf Container, die Sie ausdrücklich per Label freigeben, und lassen es die abgelösten Images aufräumen:

    environment:
      WATCHTOWER_LABEL_ENABLE: "true"
      WATCHTOWER_CLEANUP: "true"
      WATCHTOWER_SCHEDULE: "0 0 4 * * *"

Mit gesetztem WATCHTOWER_LABEL_ENABLE ignoriert Watchtower alles, sofern Sie einen Container nicht mit com.centurylinklabs.watchtower.enable=true markieren, was weitaus sicherer ist, als es Ihre Datenbank überraschend aktualisieren zu lassen. Das DigitalOcean-Tutorial geht dieselben Flags ausführlicher durch. Legen Sie den Zeitplan auf eine verkehrsarme Stunde, richten Sie ein Benachrichtigungs-Backend ein, damit Sie von jedem Update erfahren, und betreiben Sie es niemals ohne den Label-Filter auf einem Host, auf dem auch zustandsbehaftete Dienste laufen.

Sollten Sie Container überhaupt automatisch aktualisieren?

Dies ist die Frage, die die Einrichtungsanleitungen auslassen, und sie ist wichtiger als jedes Flag. Automatische Updates sind für zustandslose, leicht ersetzbare Dienste in Ordnung: ein Dashboard, eine statische Website, ein zustandsloses Proxy-Frontend. Riskant sind sie für alles mit Zustand oder einem fragilen Upgrade-Pfad, also für Datenbanken, Apps mit umbruchsträchtigen Schema-Migrationen oder einen Stack, dessen Dienste sich im Gleichschritt bewegen müssen. Watchtower lädt genau das, worauf der Tag verweist, wenn Sie also :latest verfolgen, kann eine Hauptversion mit umbruchsträchtigen Änderungen unangekündigt um 4 Uhr morgens landen, und es gibt kein automatisches Rollback. Zwei Regeln bewahren Sie vor Ärger. Erstens: Aktualisieren Sie zustandsbehaftete Dienste niemals automatisch; fixieren Sie sie auf einen bestimmten Versions-Tag oder Image-Digest und aktualisieren Sie sie manuell, nachdem Sie die Release Notes gelesen haben. Zweitens: Halten Sie wiederherstellbare Backups bereit, bevor Sie irgendetwas davon aktivieren, denn ein nächtliches Auto-Update ist genau der Moment, in dem Sie sich wünschen werden, es getan zu haben. Wenn Sie auf einem VPS selbst hosten, deckt unsere Anleitung zum Sichern von Docker-Volumes das wiederherstellungserprobte Setup ab, das Sie zuerst einrichten sollten.

Watchtower-Alternativen im Jahr 2026

Seit der Archivierung hat sich der Großteil der Selfhosting-Community weiterbewegt, und die gepflegten Optionen teilen sich in zwei Lager: reine Benachrichtigungstools, die Ihnen mitteilen, dass ein Update existiert, und es Sie bewusst anwenden lassen, sowie Auto-Updater mit mehr Kontrolle, als Watchtower sie je hatte.

Tool	Typ	Auto-Updates	Web-UI	Gepflegt	Am besten für
Watchtower (containrrr)	Auto-Updater	Ja	Nein	Nein – archiviert Dez. 2025	Nur Altinstallationen
nicholas-fedor/watchtower	Auto-Updater (Fork)	Ja	Nein	Ja	Nahtloser Austausch, gleiche Konfiguration
WUD (What's Up Docker)	Checker + Updater	Optional	Ja	Ja	Dashboard + Semver-Kontrolle
Diun	Nur Benachrichtiger	Nein	Nein	Ja	„Sag mir Bescheid, ich entscheide"
Coolify / PaaS	Plattform	Verwaltet	Ja	Ja	Deploy + Updates für den gesamten Stack

Der reibungsärmste Weg, wenn Sie bereits Watchtower betreiben, ist der Community-Fork nicholas-fedor/watchtower, der dasselbe Image und dieselbe Konfiguration beibehält, aber aktiv gepflegt wird. Für mehr Kontrolle bietet What's Up Docker (WUD) ein echtes Web-Dashboard, Registry-Versionsverfolgung mit Schwellenwerten nach semantischer Version und über 20 Benachrichtigungs-Backends; es kann entweder nur benachrichtigen oder per Trigger automatisch aktualisieren. Wenn Sie das sicherste Muster wollen, ist Diun von Haus aus reine Benachrichtigung: Es scannt Ihre Images nach einem Zeitplan und pingt Sie über eines von über 17 Backends (E-Mail, Discord, Telegram, ntfy) an, wenn sich ein Tag ändert, und überlässt die eigentliche Update-Entscheidung Ihnen. Und wenn das Update-Management selbst die lästige Pflicht ist, die Sie loswerden möchten, kümmert sich eine Plattform wie Coolify um Builds, Deploys und Updates über eine Oberfläche; siehe Apps mit Coolify bereitstellen für diesen Weg.

Häufig gestellte Fragen

Kann ich Watchtower 2026 noch verwenden? Ja. Das Image containrrr/watchtower lässt sich weiterhin laden und ausführen, sodass bestehende Installationen weiterhin funktionieren. Aber das Projekt ist seit Dezember 2025 archiviert und ungepatcht, für den fortlaufenden Einsatz sollten Sie daher zum gepflegten nicholas-fedor-Fork oder einem Tool wie WUD oder Diun wechseln, anstatt sich unbegrenzt darauf zu verlassen.

Was ist der Ersatz für Docker Watchtower? Der nächstliegende nahtlose Ersatz ist der Community-Fork nicholas-fedor/watchtower, der die ursprüngliche Konfiguration beibehält. Für mehr Funktionsumfang ergänzt WUD (What's Up Docker) ein Web-Dashboard und optionale Auto-Updates, während Diun die beliebte Wahl ist, wenn Sie nur Benachrichtigungen möchten und Updates lieber selbst anwenden.

Ist es sicher, Docker-Container automatisch zu aktualisieren? Für zustandslose Dienste ist es vertretbar, sofern Sie wiederherstellbare Backups behalten. Für Datenbanken und Apps mit umbruchsträchtigen Änderungen ist es das nicht: Fixieren Sie diese auf eine feste Version und aktualisieren Sie manuell. Das automatische Aktualisieren eines :latest-Tags bei zustandsbehafteten Diensten ist die häufigste Art, wie Leute ihren eigenen Stack lahmlegen.

Verursacht Watchtower Ausfallzeiten? Ja, kurz. Es stoppt jeden Container und erstellt ihn neu, um ein neues Image anzuwenden, sodass es pro Dienst eine kurze Neustartlücke gibt. Watchtower führt keine rollierenden oder ausfallfreien Deployments durch; wenn Sie diese benötigen, verwenden Sie eine Plattform oder einen Orchestrator, der rollierende Updates unterstützt.

Sources

• containrrr/watchtower — GitHub: am 17. Dezember 2025 archiviert, Banner „no longer maintained"; letztes Release v1.7.1 (Nov. 2023).
• Watchtower-Dokumentation — containrrr.dev: offizielles Verhalten, Flags und Benachrichtigungsoptionen.
• How to Automatically Update Docker Container Images with Watchtower — DigitalOcean: Compose- und Flag-Referenz für label-enable, cleanup, monitor-only.
• Watchtower Discontinued! Alternative Projects — Linux Handbook: gepflegte Forks und Alternativen, darunter nicholas-fedor/watchtower.
• What's Up Docker (WUD) — getwud.github.io: Web-Dashboard, Versionsverfolgung, Trigger, Benachrichtigungen.
• Diun — crazymax.dev: reiner Image-Update-Benachrichtiger mit über 17 Benachrichtigungs-Backends.