Flatpak-Berechtigungen legen fest, auf welche Dateien, Geräte und Desktop-Dienste eine abgeschottete App zugreifen darf. Für dauerhafte Sandbox-Vorgaben eignet sich Flatseal; Portal-Freigaben lassen sich mit Flatseal und unter KDE auch mit dem KDE Flatpak KCM verwalten. Für gespeicherte App-Daten kommen Warehouse oder Flatpak-Befehle infrage.
Entscheidend ist, ob eine App einen bestimmten Zugriff benötigt oder ob nach einer Deinstallation noch persönliche Daten übrig sind. Das sind unterschiedliche Aufgaben und verlangen unterschiedliche Einstellungen oder Befehle.
Geben Sie einer App nur den Ordner oder die Funktion frei, die sie tatsächlich benötigt. Der pauschale Zugriff auf das Home-Verzeichnis reicht deutlich weiter.
Overrides und Portal-Berechtigungen unterscheiden
Ein Override ist eine feste Sandbox-Vorgabe. Sie kann etwa den Zugriff auf Dateisystempfade, Geräte, Netzwerk oder Sockets erlauben. Flatseal verwaltet solche Vorgaben grafisch; die entsprechenden Flatpak-Einstellungen lassen sich auch mit flatpak override bearbeiten. Die Flatseal-Dokumentation unterscheidet diese statischen Einstellungen von dynamischen Berechtigungen.
Eine Portal-Berechtigung entsteht dagegen, wenn eine App zur Laufzeit über ein Desktop-Portal um Zugriff bittet, etwa auf eine ausgewählte Datei. Solche dynamischen Freigaben werden im Berechtigungsspeicher verwaltet. Flatseal kann neben Overrides auch bestimmte Portal-Berechtigungen bearbeiten.
Für gespeicherte Portal-Freigaben in KDE bietet das KDE Flatpak KCM eine passende Oberfläche in den Systemeinstellungen. Das Modul verwaltet Portal-Interaktionen und gemerkte Freigaben, darunter Bildschirmübertragung und Remotedesktop-Sitzungen. Sein Schwerpunkt liegt auf diesen Portal-Einstellungen; Flatseal deckt zusätzlich statische Overrides ab. Die beiden Werkzeuge überschneiden sich bei bestimmten Portal-Berechtigungen. KDE beschreibt den Umfang des Moduls.
Nur den benötigten Zugriff freigeben
Der Zugriff auf einen einzelnen Ordner ist enger begrenzt als die Freigabe des gesamten Home-Verzeichnisses. Wenn eine App nur eine bestimmte Datei benötigt, kann ein Datei-Auswahlportal den Zugriff auf die ausgewählte Datei vermitteln. Für einen dauerhaften Zugriff auf einen Ordner lässt sich stattdessen ein gezielter Dateisystempfad freigeben. Reicht Lesen aus, sollte der Zugriff entsprechend schreibgeschützt bleiben.
Die Flatpak-Berechtigung home umfasst das Home-Verzeichnis, ausgenommen ~/.var/app. Dort liegen die persistenten Daten der einzelnen Apps. Flatpak empfiehlt, nach Möglichkeit Portale oder eng begrenzte Dateisystemfreigaben statt eines pauschalen Zugriffs zu verwenden. Die Dokumentation zu Sandbox-Berechtigungen beschreibt diese Zugriffsmöglichkeiten.
Welches Werkzeug passt zur Aufgabe?
Flatseal ist die naheliegende Wahl, wenn Sie statische Zugriffe einer App anpassen wollen, etwa auf einen benötigten Pfad oder ein Gerät. Geht es um gemerkte Portal-Freigaben in KDE, bietet das KDE Flatpak KCM die passende Integration in die Systemeinstellungen. Warehouse kümmert sich dagegen um App-Daten und weitere Flatpak-Verwaltungsaufgaben.
| Aufgabe | Geeignetes Werkzeug oder Kommando | Was es verwaltet |
| Einer App einen bestimmten Dateisystem- oder Gerätezugriff geben | Flatseal oder flatpak override | Statische Sandbox-Vorgaben |
| Portal-Freigaben verwalten | Flatseal oder KDE Flatpak KCM | Dynamische Berechtigungen; das KDE-Modul verwaltet Portal-Interaktionen und gemerkte Sitzungen |
| App-Daten ansehen oder löschen | Warehouse oder flatpak uninstall --delete-data APP_ID | Persönliche Daten einer App unter ~/.var/app |
| Ungenutzte Runtimes und andere Referenzen entfernen | flatpak uninstall --unused | Nicht mehr verwendete Flatpak-Referenzen |
| Eine Flatpak-Installation reparieren | flatpak repair | Fehlerhafte oder fehlende Repository-Objekte und Referenzen |
Warehouse kann App-Daten prüfen und löschen sowie unter anderem Snapshots und Remotes verwalten. Das Projekt geht vom Standardverzeichnis ~/.var/app aus. Die Warehouse-Dokumentation beschreibt diese Funktionen und den Standardpfad.
App-Daten löschen oder Runtimes aufräumen?
Flatpak speichert persistente Daten einer App in ~/.var/app/$FLATPAK_ID. Bei einer gewöhnlichen Deinstallation können diese Daten erhalten bleiben, damit sie bei einer späteren Neuinstallation noch verfügbar sind.
Soll die Deinstallation auch die App-Daten entfernen, verwenden Sie flatpak uninstall --delete-data APP_ID. Der Befehl löscht zusätzlich die mit der App verbundenen Berechtigungen. Prüfen Sie deshalb vor dem Ausführen, ob Sie diese Daten behalten möchten.
flatpak uninstall --unused erledigt etwas anderes: Der Befehl entfernt ungenutzte Referenzen, etwa Runtimes, löscht aber nicht gezielt die persönlichen Daten einer App. flatpak repair wiederum behebt Probleme mit fehlenden oder ungültigen Objekten und Referenzen in der Flatpak-Installation. Es ist kein Befehl zum Aufräumen übrig gebliebener App-Daten. Flatpak und Flathub beschreiben die unterschiedlichen Lösch- und Reparaturfunktionen in ihrer Befehlsreferenz und der Anleitung zur Deinstallation.
