Tja, fragt sich nur, was im Zweifelsfall wichtiger ist - das genaue Datum der nächsten Veröffentlichung oder die verlässliche Pflege des Systems bis zu diesem Zeitpunkt.

Im Unterschied zu Ubuntu macht Debian eben keinen Unterschied zwischen einer kleinen Gruppe von Paketen die "offiziell" dazu gehören und einer übergroßen Mehrheit, die man zwar mit verbreitet, für die man aber jede Verantwortung ablehnt.

Im Grunde genommen müsste bei Ubuntu apt-get eine dicke Warnung mit Bitte um Einverständnis ausspucken, sobald etwas aus Universe/Multiverse installiert werden soll.

Bei Debian dagegen gibt es diesen Unterschied nicht. Was im offziellen Repository liegt, fällt in den Zuständigkeitsbereich des Debian-Security-Teams und wird mit Sicherheitsupdates versorgt, egal ob das nächste Release in 12, 18 oder 24 Monaten erscheinen soll. Ich würde mich schwer wundern, wenn das nicht im Zweifelsfall das gewichtigere Kriterium wäre. Im Übrigen fällt mir auch kein einziger Hersteller proprietärer Betriebssysteme ein, der eine Politik garantierter regelmäßiger Releases fährt. Die gehen alle nach dem Motto "It's ready when it's ready", und ich habe noch nie gehört, dass ausgerechnet dies die Kunden von Apple, Microsoft und Co. abwandern ließe.

Da sind 5 Jahre bzw. 3 Jahre kommt dem schon deutlich näher.

Das bezieht sich aber auf die Dauer des Supports. Und wie lange eine alte Debian-Version noch mit Sicherheitsupdates versorgt wird, das wird selbstverständlich auch frühzeitig bekannt gegeben, sodass man damit rechnen kann.