Se você fizer a recursiva du conforme sugerido e calcular todo o espaço para a árvore var inteira e ela não corresponder ao total usado, talvez você queira verificar se há um identificador de arquivo desvinculado que tenha sido deixado aberto. Isso pode acontecer com scripts incorretos de logrotate que excluem ou movem um log que ainda está sendo gravado ativamente. Você desvincula o arquivo (exclui o inode, portanto, ls não o informa mais), mas o processo ainda está gravando nele.
lsof não é tipicamente uma instalação padrão, então você terá que instalá-lo através dos meios que o OpenSuse usar, então execute:
lsof +L -a /var
Você verá a saída como
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NLINK NODE NAME
httpd 32287 apache 14w REG 253,7 3020256 1 121 /var/log/httpd/access_log
Haverá muitos arquivos sendo exibidos, mas o que você está procurando é um que tenha um valor grande na coluna de tamanho e um 0 na coluna NLINK (e não esteja marcado como excluído). Esse arquivo ainda está sendo gravado, mas não está mais vinculado.
Você pode corrigi-lo encerrando o processo que tem o identificador de arquivo desvinculado aberto.