Omarchy: Das opiniated Linux von DHH – Installation, Sicherheit und Setup

Die konkrete Frage, die dieser Artikel beantwortet: Lohnt sich der Umstieg auf Omarchy für dich, und wie installierst und sicherst du das System korrekt? Die kurze Antwort vorab: Omarchy ist ein ernstzunehmender, klar opiniated Linux-Desktop für Leute, die ein tiling-basiertes, terminalnahes System mit starken Sicherheits-Defaults wollen und bereit sind, Secure Boot abzuschalten und Konfigurationsdateien von Hand anzufassen. Wer ein möglichst vertrautes Windows- oder macOS-Gefühl sucht oder auf proprietäre Software mit geschlossenen Treibern angewiesen ist, sollte erst prüfen, ob seine Anforderungen überhaupt laufen.

Titelbild: Bildquelle: omacom/omarchy

Kurzantwort

Omarchy ist DHHs Arch-basiertes Linux mit Hyprland, Vollverschlüsselung und Agenten-Integration. So installierst, sicherst und rollst du es zurück. Kurz gesagt: omacom/omarchy: beautiful, modern & opinionated linux ist vor allem dann relevant, wenn du schnell verstehen willst, was konkret dahinter steckt, welche Grenzen es gibt und welche Entscheidung daraus folgt. Die Details, Quellen und Einschränkungen stehen in den folgenden Abschnitten.

Was Omarchy ist

Omarchy ist eine Linux-Distribution von DHH, also David Heinemeier Hansson, dem Schöpfer von Ruby on Rails und HEY. Die Projektseite beschreibt sie als „Beautiful, fun & agentic Linux by DHH" 1; im GitHub-Repository lautet die Beschreibung „Beautiful, Modern & Opinionated Linux" 2. Der Name kommt von „Omakase", dem japanischen Prinzip „der Koch wählt aus": Das Projekt trifft die Auswahl- und Tuning-Entscheidungen für dich, damit du direkt arbeiten kannst, statt erst ein System zusammenzubauen 1.

Technisch ist Omarchy eine Distribution auf Basis von Arch Linux, mit dem Tiling-Window-Manager Hyprland und dem Desktop-Baukasten Quickshell als Oberfläche 3. Der aktuelle Hauptzweig des Repositories heißt „quattro", und die Projektseite bewirbt die aktuelle Generation als „Omarchy Quattro" 2, 1. Die Versionsnummer 4 passt dazu: Die jüngsten Releases tragen die Tags v4.0.0 bis v4.0.3.

Die Metadaten des Repositories sind bemerkenswert, aber genau das – Metadaten, kein Qualitätsurteil. Stand 13. September 2026 verzeichnet das Repository rund 40.635 Sterne, 4.520 Forks und 1.821 offene Issues, bei MIT-Lizenz 2. Sterne auf GitHub sind ein Entdeckungssignal: Sie zeigen, dass ein Projekt viel Aufmerksamkeit bekommt, nicht, dass es für deinen Einsatzzweck das richtige Werkzeug ist. Ein Repository mit rund 1.800 offenen Issues ist zugleich ein Hinweis darauf, dass hier viel Bewegung und auch offene Baustellen existieren – ein aktives Projekt, kein abgeschlossenes Produkt.

Für wen Omarchy passt – und für wen nicht

Bevor du ein Image herunterlädst, hilft eine ehrliche Selbstprüfung. Omarchy ist kein System, das möglichst vertraut wirken will. Das Handbuch sagt es selbst: „Omarchy isn’t like Windows and it’s not like macOS either. It’s not trying to be as familiar as possible." 3 Du bewegst dich viel im Terminal, bearbeitest Konfigurationsdateien von Hand und arbeitest mit einem Tiling-Window-Manager.

Das spricht für Omarchy, wenn du diese Punkte bejahen kannst:

• Du willst ein System, das dir die Grundausstattung abnimmt – Neovim, Chromium, Obsidian, LibreOffice, Kdenlive und OBS Studio sind vorinstalliert, ebenso ein Winamp-artiger Musikplayer 3.
• Du willst einen Rechner, bei dem der Verlust eines Laptops kein Daten-Desaster ist. Vollverschlüsselung ist hier Standard und nicht optional 3.
• Du willst ein System, das mit KI-Agenten als Arbeitswerkzeug gedacht ist – die Release-Notes und das Sicherheitsmodell sind explizit auf agentische Nutzung ausgelegt 4, 3.
• Du hast einen älteren Rechner übrig und willst ihm eine zweite Nutzung geben. Die Projektseite bewirbt, dass selbst ein ThinkPad X220 von 2011 mit 2 GB RAM Omarchy fahren kann 1.

Das spricht dagegen – oder zumindest für eine Vorabprüfung:

• Du bist auf Windows- oder macOS-spezifische Software angewiesen. Ob deine Anwendung unter Arch läuft, musst du selbst klären; das ist kein Mangel von Omarchy, sondern die Realität jeder Nischen-Distribution.
• Du willst nichts im BIOS ändern. Die Installation verlangt, Secure Boot und/oder TPM auszuschalten 3 – mehr dazu im nächsten Abschnitt.
• Du scheust ein Rolling-Release-Modell, bei dem Updates laufend ankommen und gelegentlich manuelles Eingreifen erfordern können.

Bildquelle: omarchy.org

Installation Schritt für Schritt

Die Installation läuft über ein ISO, das du auf einen USB-Stick schreibst und davon bootest. Das Handbuch nennt für das Beschreiben des Sticks balenaEtcher auf macOS und Windows sowie caligula auf Linux 3.

Zwei Wahlmöglichkeiten gibt es: eine Full-Disk-Installation, die das gesamte Laufwerk übernimmt und löscht, oder eine Free-Space-Installation, die Omarchy in den freien, nicht zugewiesenen Speicher legt und sich damit für Dual-Boot eignet. Beides ist standardmäßig vollverschlüsselt mit LUKS 3. Wer dual bootet, muss vorher BitLocker in Windows ausschalten, weil BitLocker das gesamte Laufwerk und nicht nur eine Partition verschlüsselt 3.

Drei harte Voraussetzungen, die du nicht überspringen kannst:

1. Secure Boot und/oder TPM müssen im BIOS ausgeschaltet sein. Das Handbuch begründet das damit, dass es sich um Microsoft-Schemata handelt, die für Windows und mit Microsoft verbundene Distributionen gedacht sind 3. Praktisch heißt das: Du verlierst den Schutz, den Secure Boot gegen manipulierte Bootloader bietet, und gewinnst dafür ein System, das ohne signierte Bootkette installiert. Wer darauf angewiesen ist, dass sein Rechner eine verifizierte Bootkette erzwingt, sollte diesen Kompromiss bewusst treffen.
2. Du brauchst eine kabelgebundene oder 2,4-GHz-Funk-Tastatur. Eine Bluetooth-Tastatur kann beim Boot die LUKS-Passphrase nicht eingeben, weil der Bluetooth-Stack zu dem Zeitpunkt noch nicht läuft 3.
3. Bei einer Full-Disk-Installation wird das gewählte Laufwerk gelöscht. Ein Backup vorhandener Daten ist Pflicht, nicht Empfehlung 3.

Der eigentliche Ablauf ist dann kurz: Konfigurationsfragen beantworten, Laufwerk wählen, warten. Das Handbuch nennt „unter einer Minute auf den schnellsten modernen Maschinen" und „nicht mehr als fünf Minuten selbst auf einem älteren Computer" 3. Die Projektseite bewirbt auf der Startseite sogar „35 Sekunden" auf den schnellsten und „unter zwei Minuten" auf der Mehrheit der Rechner 1. Das sind zwei unterschiedliche Zahlen aus demselben Projekt – ich halte mich an die konservativere Angabe des Handbuchs und würde für die Planung fünf Minuten einrechnen.

Eine sinnvolle Option für Zweitgeräte: Beim allerersten Bildschirm der Tastaturauswahl kannst du mit Strg+C einen „Für einen anderen Besitzer"-Modus auslösen. Das System installiert sich sofort, aber die persönliche Einrichtung – Tastaturlayout, Benutzername, Passwort – wird auf den ersten Boot des neuen Besitzers verschoben. Die Verschlüsselung bleibt aktiv, und das Passwort, das der neue Besitzer beim ersten Start wählt, wird zugleich das Verschlüsselungspasswort 3.

Sicherheit nach der Installation

Omarchy positioniert sich explizit als System, bei dem ein verlorener Laptop keine Sicherheitskatastrophe sein darf. Der relevante Teil ist nicht nur, dass Verschlüsselung dabei ist, sondern was standardmäßig aktiv ist und was du selbst einschalten musst 3:

• Vollverschlüsselung per LUKS ist Pflicht und Standard 3.
• Die Firewall ist standardmäßig aktiv und blockiert eingehenden Verkehr – mit einer Ausnahme: Port 53317 für LocalSend. SSH ist standardmäßig aus; du schaltest es über Setup > Security > SSHD ein, wobei Port 22 dann mit Ratenbegrenzung gegen Brute-Force geschützt wird 3.
• Docker-Zugriff wird über das ufw-docker-Setup abgesichert, damit Container nicht versehentlich ins Internet exportiert werden 3.
• Omarchy nutzt standardmäßig nur Pakete aus den Arch-Repositories core/extra/multilib und dem eigenen Omarchy-Paket-Repository. AUR-Software wird nur für einzelne optionale Installationen wie Drittanbieter-Browser herangezogen 3.
• Die Verteil-Infrastruktur – ISOs, Pakete, Arch-Mirror – liegt hinter Cloudflare-DDoS-Schutz 3.

Zwei Punkte, die du aktiv kennen solltest. Erstens: Passwortloses sudo lässt sich gezielt für 15 Minuten aktivieren, gedacht für den Fall, dass ein KI-Agent längere Systemarbeit erledigt; mit omarchy-sudo-passwordless 30 kannst du die Minuten selbst setzen, und ein Neustart entfernt die Regel wieder. Das Handbuch ist hier unmissverständlich: Solange das aktiv ist, kann alles, was als dein Benutzer läuft, alles als root tun 3. Das ist der Punkt, nicht der Nebeneffekt.

Zweitens: ISO-Signaturen und Pakete sind mit dem öffentlichen Schlüssel 40DFB630FF42BCFFB047046CF0134EE680CAC571 signiert, verifizierbar über openpgp.org. Zu jedem ISO-Release gibt es eine Signatur unter derselben URL mit der Endung .sig 3. Die SHA-256-Prüfsumme des aktuellen Release v4.0.3 lautet 03d60bc74306dca51f96e1a84b690871d8d606826b260edd0208962da8507d14 4. Wer ein System aufsetzt, das echte Arbeit erledigen soll, verifiziert ISO und Signatur, statt auf Vertrauen zu installieren.

Für die Weitergabe eines bereits benutzten Rechners gibt es einen Reset: Setup > Reset Computer, „reset" tippen, neu starten. Das löscht alle Benutzerkonten und alles unter /home, wirft nachinstallierte Pakete und Systemänderungen weg und setzt die Maschinenidentität – Netzwerkverbindungen, Host-Keys – zurück. Zurück bleibt der Einrichtungsassistent des ersten Boots. Der Reset funktioniert nur auf ISO-Installationen, und ohne Verschlüsselung ist er Löschen statt sicheres Überschreiben 3.

Updates und Rollback

Omarchy aktualisiert sich über Update > Omarchy im Menü (Super+Leertaste) beziehungsweise den Befehl omarchy-update. Dabei passieren drei Dinge gleichzeitig: die neueste Omarchy-Version wird installiert, ausstehende Migrationen werden ausgeführt, und alle Systempakete werden aus dem Omarchy-Arch-Mirror und – falls vorhanden – aus dem AUR aktualisiert 3.

Vier Kanäle stehen zur Wahl: stable, RC, edge und dev. Neuinstallationen starten auf stable, das den offiziellen Releases und einem Arch-Mirror folgt, der einen Monat hinter dem neuesten Stand liegt, um Inkompatibilitäten zu erkennen, bevor sie Schaden anrichten. edge liefert die aktuellsten Entwicklungspakete, RC dient der Freigabe-Prüfung vor Major-Releases, und dev verknüpft das System direkt mit einem Git-Checkout des Quellcodes. Der Kanalwechsel läuft über Update > Channel oder omarchy-channel-set 3.

Wichtig für Arch-Umsteiger: ein direkter pacman -Syu oder yay -Syu wird von Omarchy gestoppt, weil du damit den Snapshot, die Migrationen und die Konfigurations-Updates überspringen würdest. Der Schutz weist dich auf omarchy update hin und lässt sich – für den, der genau weiß, was er tut – für eine einzelne Transaktion umgehen 3.

Der eigentliche Sicherheitsnetz-Mechanismus ist der automatische Snapshot vor jedem Update. Du bootest ihn über den Limine-Bootloader an, wählst den Snapshot nach Datum und Version, und kannst ihn mit omarchy-snapshot restore zurückspielen. Wichtig: Der Snapshot stellt nur das Root-Dateisystem wieder her, nicht /home – er repariert also ein kaputtes Systemupdate, rettet aber keine verlorenen persönlichen Dateien. Ebenso bleibt ~/.config unangetastet. Die Funktion gibt es nur auf Installationen mit Limine, dem Standard-Bootloader seit Omarchy 2.0; auf GRUB oder systemd-boot fehlt sie 3.

Zwei Wiederherstellungswege, die du kennen solltest: Wer den Boot-Menü-Zwischenschritt nie sieht, kann mit Setup > Direct Boot direkt in den Entschlüsselungsbildschirm booten – verliert dann aber den bequemen Weg zu den Snapshots, weil der nur über Limine im BIOS-Bootmenü erreichbar ist. Und bei korrumpierten Konfigurationsdateien setzt omarchy reinstall alle Standard-Pakete zurück, wechselt auf stable und überschreibt sämtliche eigenen Konfigurationsänderungen 3.

Unattended-Installation für VMs und Flotten

Für Homelab-Betreiber ist die unbeaufsichtigte Installation der praktischste Teil des Handbuchs. Findet der Installer ein zweites Laufwerk mit dem Label cidata, das die Konfigurationsdateien trägt, kopiert er sie, überspringt den Assistenten komplett und bootet selbstständig in das fertige System. cidata ist das cloud-init-NoCloud-Label, daher kennen gängige Virtualisierungs-Werkzeuge dieses Vorgehen bereits 3.

Die relevanten Dateien sind user_configuration.json (Laufwerk, Hostname, Zeitzone, Tastatur – Pflicht) und user_credentials.json (Benutzername und Passwort-Hash – Pflicht). Optional kommen user_full_name.txt, user_email_address.txt, user_encrypt_installation.txt, authorized_keys (SSH-Public-Keys, eine pro Zeile) und tailscale_authkey hinzu. Den Passwort-Hash erzeugt openssl passwd -6 “deinpasswort” 3.

Mit einer vorhandenen authorized_keys-Datei richtet die Installation die Keys als ~/.ssh/authorized_keys ein, aktiviert sshd und öffnet die Firewall dafür – ein Standard-Omarchy-System kommt mit deaktiviertem, geschlossenem SSH daher. Mit einem tailscale_authkey tritt die Maschine stattdessen beim ersten Boot deinem Tailnet bei, wobei ein Hintergrund-Job den Beitritt wiederholt, bis Netz vorhanden ist. Ein leerer defer-provisioning-Ersatz für user_credentials.json aktiviert denselben „Für einen anderen Besitzer"-Modus wie interaktiv – das ist der Modus für Imaging-Rigs, auf denen keine Zugangsdaten landen sollen 3.

Das cidata-Laufwerk baut man als winziges ISO, etwa mit genisoimage -output cidata.iso -volid cidata -joliet -rock cidata/. Das Handbuch liefert ein vollständiges Proxmox-Beispiel: eine VM mit ovmf-BIOS, q35, Host-CPU, vier Kernen, 8 GB RAM, dem Omarchy-ISO als ide2 und dem cidata-ISO als ide3, wobei die Boot-Reihenfolge bewusst zuerst auf die leere Disk und erst dann auf das ISO zeigt 3. Zwei Einschränkungen dazu: Verschlüsselte Unattended-Installationen sind nicht vollständig unattended, weil beim ersten Boot jemand die LUKS-Passphrase tippen muss; und der disk_encryption-Block trägt diese Passphrase im Klartext, also behandelt man ein solches cidata-Laufwerk wie das Geheimnis, das es ist 3.

Grenzen und offene Punkte

Drei Dinge sollte man realistisch einordnen. Erstens ist die Quellenlage für eine unabhängige, kritische Bewertung dünn. Die Projektseite zeigt Zitate von Technik-Creatorn – NetworkChuck („You need to switch to Linux RIGHT NOW!!"), typecraft („They finally fixed linux"), LinuxBTW („I Didn’t Expect Omarchy 4 to Be This Good") und Alex Finn, dazu ein Lex-Fridman-Interview mit DHH 1. Das sind echte, unabhängige Stimmen, aber sie sind auf der offiziellen Seite kuratiert und als Begeisterung formuliert – ein Entdeckungs- und kein Prüfsignal. Eine kritische, reproduzierbare Einordnung eines Dritten, die über Testberichte mit gemessenen Ergebnissen verfügt, lag mir zum Schreibzeitpunkt nicht vor. Darum bleibt dieser Artikel bei dem, was Handbuch und Release-Notes belegen, statt Testurteile zu erfinden.

Zweitens ist der Preis des Sicherheitsmodells sichtbar: Secure Boot aus, ein Rolling-Release-Kern und eine große Zahl offener Issues. Die 1.821 offenen Issues 2 sind kein Qualitätsurteil – ein sehr aktives Projekt sammelt schnell Issues –, aber sie sind ein Hinweis, dass man bei einem Produktivsystem die Release-Notes und den eigenen Update-Kanal bewusst wählen sollte, statt einfach edge zu fahren. Das Handbuch sagt selbst, dass edge nur für erfahrene Linux-Nutzer gedacht ist, die ein kaputtes System wiederherstellen können 3.

Drittens ist „läuft auf fast allem" eine Projektaussage, keine Garantie für deine Hardware. Apple-Silicon-Rechner werden nur über einen Nutzer-Leitfaden auf Asahi-Basis unterstützt, Steam Deck über ein Community-Skript (deckarchy), NixOS-Nutzer über eine Community-Portierung (omarchy-nix), und VM-Betrieb in VirtualBox, VMware und Parallels ist möglich, aber das Handbuch dämpft bei VirtualBox die Performance-Erwartung 3, 5. Neuere Hardware wird durch das Team aktiv unterstützt – das aktuelle Release bringt unter anderem Panther-Lake-Kernel 7.2.3, verbesserte Fingerabdruck-Reader-Unterstützung und einen Broadcom-WLAN-DKMS-Treiber, nachdem Arch das vormontierte Modul fallen gelassen hat 4.

Das aktuelle Release v4.0.3 vom 8. September 2026 ist inhaltlich vor allem eine Agenten-Integration: Hermes und OpenClaw kommen als installierbare Desktop- und Standard-Agenten-Optionen hinzu, daneben T3 Code, die Perplexity-Desktop-App, Cursor CLI und Muse Code als wählbare Coding-Agenten. Dazu eine Reihe von Sicherheits-Härtungen – unter anderem für den mise-Command-Wrapper, den Zugriff von Plugins auf Authentifizierungsdienste, ein Ablaufdatum für temporäres passwortloses sudo und die Beschränkung von Kitty-Remote-Control auf lokale Sockets 4. Wer Omarchy als agentisches System nutzen will, findet hier die dokumentierte Basis, nicht nur ein Versprechen.

Fazit

Omarchy ist kein Projekt, das man wegen seiner Sternzahl installiert. Man installiert es, weil man genau das Setup will, das es verkörpert: Arch mit Hyprland und Quickshell, Vollverschlüsselung als Standard, eine aktiv blockierte Firewall, Snapshot-basierte Rollbacks und eine Paketauswahl, die einem die Grundausstattung abnimmt. Der Preis ist ein System, das Secure Boot ausschaltet, ein Rolling-Release-Modell fährt und Vertrautheit gegen Kontrolle tauscht.

Der pragmatische Einstieg ist die Free-Space- oder VM-Variante: erst in einer virtuellen Maschine oder auf einem Altgerät testen, das ISO samt SHA-256 und Signatur verifizieren, den stable-Kanal behalten und Updates über omarchy-update statt über pacman laufen lassen. Wer danach auf Produktivbetrieb geht, hat mit den Snapshots und dem Reset-Werkzeug die beiden Rückwege, die den Unterschied zwischen Experiment und Dauerlösung ausmachen.

Passende Produktrecherchen

Wenn du die praktische Seite vertiefen möchtest, findest du hier passende Suchpfade zum Vergleichen. Keine Kaufpflicht, keine Rangliste, sondern thematisch passende Produktrecherchen:

• FIDO2-Security-Keys für passwortlose Anmeldung vergleichen
• USB-C-Sticks für lokale Smartphone-Backups recherchieren
• YubiKey und FIDO2-Security-Keys vergleichen
• LiFePO4-Speicher für Balkonkraftwerke ansehen
• GL.iNet Router für Testnetze und Reise-VPNs ansehen
• Starlink-Verfügbarkeit und Konditionen prüfen

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Bildquelle: omarchy.org

Hinweis: Dieser Link ist ein Starlink-Empfehlungslink. Wenn du darüber bestellst, können für dich und kalika.de Vorteile nach den jeweils geltenden Starlink-Bedingungen entstehen.

Weiterführende Artikel

• OpenLogi: Native Alternative zu Logitech Options+ ohne Konto und Telemetrie
• KI-Tools Praxis: Prime Agent installieren, nutzen und absichern
• Open-Source-Streamdeck selbst gebaut: Decky auf dem Elecrow CrowPanel 7 Zoll
• Bitchat (permissionlesstech/bitchat): Bluetooth-Mesh-Chat mit IRC-Vibes – Einrichtung, Sicherheit und Grenzen
• Google Chrome für Arm64-Linux: Installation und Test auf dem Raspberry Pi 5

Häufige Fragen

Was beantwortet dieser Beitrag zu Omarchy: Das opiniated Linux von DHH – Installation, Sicherheit und Setup?

Er ordnet die genannten Quellen ein und übersetzt sie in Prüfpunkte für die eigene Entscheidung. Er ersetzt keine individuelle Planung, Beratung oder Wirtschaftlichkeitsrechnung.

Welche Angaben sollte ich vor einer Entscheidung selbst prüfen?

Entscheidend sind die eigenen Verbrauchs- und Nutzungsdaten, Kosten, technische Voraussetzungen und die aktuell geltenden Regeln. Die Quellen am Ende zeigen, welche Aussagen aus der Meldung stammen und wo die Grenzen der Einordnung liegen.

Sind die genannten Zahlen auf jeden Haushalt übertragbar?

Nein. Umfrage- und Marktwerte beschreiben Gruppen oder Zeitpunkte. Ob eine Maßnahme im Einzelfall passt, hängt von den konkreten Voraussetzungen vor Ort ab.

Transparenzhinweis

Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt und automatisiert auf Quellen, Fakten und Qualitätskriterien geprüft.

Quellen

[1] Omarchy – offizielle Projektseite – Produktbeschreibung, Installations-Hinweise, Hardware-Angaben, Creator-Zitate, DigitalOcean-Patronat, Plugin-Übersicht.

[2] omacom/omarchy – GitHub-Repository – README, Lizenz (MIT), Stern-/Fork-/Issue-Zahlen, Default-Branch, Metadaten.

[3] The Omarchy Manual – das aktuelle Handbuch zur Omarchy-Quattro-Generation (v4), Kapitel Getting Started, Security, Updates, System Snapshots, Unattended Installs, Omarchy on…, Dual Boot Install, GUIs, AI.

[4] omacom/omarchy – Releases: v4.0.3 – Changelog, SHA-256-Prüfsumme, Download-URL.

[5] Community-Portierungen: deckarchy (Steam Deck), omarchy-nix (NixOS), omarchy-mac (Apple M1/M2).