Wenn Sie Home Assistant im Alltag nutzen, wird der Fernzugriff sehr schnell unverzichtbar. Konsultieren Sie einen Sensor, überprüfen Sie, ob eine Tür geschlossen ist, erhalten Sie eine Warnung oder steuern Sie ein Gerät von Ihrem Telefon aus: Dies sind einfache Anwendungen, die aber die Art und Weise, wie Sie Ihre Hausautomation verwenden, wirklich verändern.

Sobald aber von einem Zugang von außen die Rede ist, stellt sich sofort die Frage: Wie kann ich auf den Home Assistant zugreifen, ohne die Installation und das Heimnetzwerk unnötig zu gefährden?

Genau darum geht es in diesem Artikel. Ich erkläre Ihnen, was ich aktiviert habe, was ich freiwillig abgelehnt habe und warum ich mich letztendlich für eine einfache, sichere Lösung entschieden habe, die ich ruhig beibehalten kann.

🔐 Das Problem: Zugriff auf Home Assistant, ohne das Haus zu öffnen

Home Assistant bietet Zugriff auf viele Dinge: Sensorzustände, Automatisierungen, Kameras, Steuerungen, historische und manchmal sensible Informationen über das Haus.

Daher ist es praktisch, es von außen zugänglich zu machen, aber es muss über die Sicherheit nachgedacht werden. Es geht nicht nur um das Passwort, sondern auch um die Netzwerkarchitektur.

Meine Regel ist einfach: Ich möchte auf den Home Assistant zugreifen können, aber ich möchte nicht, dass der Home Assistant direkt über das Internet erreichbar ist.

Ich möchte auch meine Box, meinen Server oder mein Heimnetzwerk nicht in ein potenzielles Ziel verwandeln, weil ich einen Port geöffnet hätte, ohne die Folgen wirklich zu beherrschen.

☁⇐ Ich habe Home Assistant Link aktiviert

Für den Remote-Zugriff habe ich Home Assistant Link, früher bekannt als Home Assistant für die Cloud und vorgeschlagen von Nabu Casa.

Dies ist die Lösung, die ich gewählt habe, weil sie einfach zu implementieren, einfach zu bedienen und vor allem einfach im Laufe der Zeit zu leben ist. Nach der Aktivierung stellt mir Home Assistant eine sichere URL zur Verfügung, die ich über die mobile App oder einen Browser verwenden kann.

Ich muss keinen Domainnamen, kein SSL-Zertifikat oder eine komplexe Reverse-Proxy-Konfiguration verwalten. Der Fernzugriff erfolgt verschlüsselt über den Nabu-Casa-Dienst, ohne dass meine Home Assistant-Installation direkt über das Internet erreichbar ist.

💰 Ein kostenpflichtiger Dienst, aber nicht nur Remote-Zugriff

Es muss klar sein: Home Assistant Link ist ein Service zahlend. Bei mir kostet das Abonnement 75 € pro Jahr.

Dabei handelt es sich jedoch nicht nur um einen Fernzugriff. Das Paket umfasst auch:

• Offsite-Backups.
• Sprachsteuerung mit Alexa und Google Home.
• Sprachverarbeitung, mit Spracherkennung und -synthese.
• Verbessertes Streaming für Kameras und Medien.
• Eine spezielle Unterstützung für Link-Funktionen.
• Die Möglichkeit, einen eigenen privaten Sprachassistenten zu bauen.

Ursprünglich hatte ich es hauptsächlich für die Verbindung zu Alexa gehalten. Schließlich nutze ich auch die anderen Funktionen: Offsite-Backups, Backups, Streaming und die praktische Seite des sicheren Fernzugriffs.

Im Laufe der Zeit sehe ich es auch als meinen Beitrag zur Finanzierung von Home Assistant und seiner Unabhängigkeit.

Nabu Casa weist darauf hin, dass der größte Teil seines Gewinns an die Stiftung, die hinter Home Assistant, der Open Home Foundation, stehe, gespendet werde. Der Service wird durch Abonnements finanziert, ohne Risikokapital oder Werbung.

Dank Menschen wie uns, Nabu Casa-Abonnenten, kann das Team ein Hausautomationserlebnis bieten, das für alle zugänglich ist. Mit jedem Link-Abonnement wird die Open Home Foundation finanziert, die Vollzeit-Entwickler dafür bezahlt, das Projekt „Home Assistant“ voranzubringen und seine Unabhängigkeit zu wahren. Keine privaten Investitionen, keine Werbung, keine Datenerhebung.

Ich habe also nicht nur einen Remote-Zugriff erworben, sondern unterstütze auch ein Open-Source-Projekt, dem ich vertraue und das ich täglich nutze.

🚫 Ich stelle Home Assistant nicht mit einer Portweiterleitung aus

nach den Regeln meines Servers, Keine Portweiterleitung schiebt eingehende Anfragen an den Home Assistant.

Daher habe ich Port 8123 meiner Box nicht für Home Assistant geöffnet. Ich habe auch keine NAT-Regel geschaffen, die meine Schnittstelle direkt von außen zugänglich machen würde.

Dies ist eine freiwillige Entscheidung. Beim Öffnen eines Ports zu Home Assistant wird die Seite für die Internetverbindung angezeigt. Selbst mit einem soliden Passwort vergrößert sich die Angriffsfläche: Roboter scannen die exponierten Dienste ständig und versuchen automatisierte Verbindungen.

Und nicht nur Home Assistant sei betroffen. Eine schlecht durchdachte Portweiterleitung kann auch einen Teil des Heimnetzwerks freilegen, je nachdem, wie der Server, die Box und die Firewall-Regeln konfiguriert sind.

Ich würde lieber nichts direkt aussetzen. Mit Home Assistant Link baut meine Installation eine ausgehende Verbindung zum Nabu Casa Relais auf. Wenn ich mich von außen anmelde, erfolgt die Kommunikation über dieses Relais und nicht über eine Weiterleitungsregel an meine Box.

🧠 Was sich konkret ändert

Konkret bedeutet dies:

• Ich habe keinen eingehenden Port, der zu Home Assistant weitergeleitet wird.
• Ich habe keine öffentliche IP-Adresse, die direkt durch eine Weiterleitungsregel offengelegt wird.
• Ich habe keine manuell zu erneuernde Bescheinigung.
• Ich muss keinen Reverse Proxy beibehalten.
• Mein Home Assistant-Interface ist nicht direkt im Internet sichtbar.

🌐 Ich habe das umgekehrte DNS auf meine feste IP-Adresse aufgegeben

Bevor ich Home Assistant Link wählte, hatte ich eine Lösung mit einem Reverse DNS zu meiner festen IP-Adresse. Mein Provider erlaubte mir die Festnetz-IP und das Reverse-DNS.

Die Idee war, einen Domainnamen zu haben, der auf meine feste IP-Adresse verweist, und dann einen Reverse Proxy mit HTTPS einzurichten, um sicher auf den Home Assistant zuzugreifen.

Dies ist ein durchaus gültiger Ansatz und wird häufig von Personen verwendet, die eine personalisierte URL wünschen, wie z. B. home.mondomain.de Zum Beispiel.

Aber ehrlich gesagt vertraute mir diese Lösung nicht.

⚠⇐ Warum ich diese Spur aufgegeben habe

Zwischen dem Domänennamen, dem Let’s Encrypt-Zertifikat, dem Reverse Proxy und den Headern X-Forwarded-For, vertrauenswürdige proxies und updates zu folgen, fühlte ich nicht die schultern, um alles richtig im laufe der zeit zu halten.

Ich sage nicht, dass dies eine schlechte Lösung ist. Vielmehr kann sie sehr interessant sein, wenn man sich mit der Verwaltung eines Servers, eines Reverse Proxy und der Netzwerksicherheit wohlfühlt.

Aber zu Hause wollte ich eine Lösung, die ich gut verstehe, die ich stressfrei pflegen kann und die mich nicht dazu auffordert, ständig eine Internet-Exposition zu überwachen.

Daher habe ich es vorgezogen, diese Strecke aufzugeben, anstatt eine Konfiguration beizubehalten, die ich nicht ausreichend beherrschen würde.

🔑 Die Einstellungen, die ich an Ort und Stelle behalte

Auch wenn der Remote-Zugriff über Home Assistant Link erfolgt, ist die Sicherheit des Kontos nach wie vor von entscheidender Bedeutung.

Hier sind die Regeln, die ich anwende:

• Jeder Benutzer hat sein eigenes Konto mit einem eindeutigen Passwort.
• Ich nutze die Doppelte Authentifizierung mit einer Authentifizierungsanwendung.
• Ich teile ein Administratorkonto nicht zwischen mehreren Personen.
• Ich beschränke die Rechte von Nutzern, die Home Assistant nicht verwalten müssen.
• Ich halte meine Installationen, Add-Ons und Integrationen auf dem neuesten Stand.
• Ich veröffentliche keine anderen Dienste aus meinem lokalen Netzwerk direkt im Internet.

🧩 Konten mit eingeschränkten Rechten

Ich gebe nicht jedem ein Administratorkonto. Jede Person hat ein dediziertes Konto mit nur den für ihre Nutzung erforderlichen Rechten.

Ich nutze dies, um die Rechte so gering wie möglich zu halten. Es gab zu viele Profile in der Gruppe Administratoren.

Wenn jemand nur einige Entitäten konsultieren muss, muss er nicht in der Lage sein, die Konfiguration zu ändern, Automatisierungen zu erstellen oder auf die Systemeinstellungen zuzugreifen.

Dies ist ein einfaches, aber sehr wirksames Prinzip: Geben Sie nicht mehr Rechte als nötig. Null-Trust-Prinzip.

Wenn sich ein Konto nicht remote anmelden muss, kreuze ich nur den lokalen Zugriff an.

🔐 Doppelte Authentifizierung ist unverzichtbar

Die doppelte Authentifizierung ist die Einstellung, die ich für unerlässlich halte. Sollte mein Passwort durchgesickert sein oder woanders wiederverwendet werden, könnte der Zugang ohne den von meiner Authentifizierungsanwendung generierten Code nicht validiert werden.

Gehen Sie in Home Assistant einfach zu Ihrem Benutzerprofil und dann zur Registerkarte Sicherheit. In dem Teil Modules d’authentification multi-facteur, je choisi Aktivieren in Authentifizierungsanwendung.

On scanne ensuite le QR code avec une application comme Microsoft Authentificator, Google Authenticator, 2FAS, … ou encore son gestionnaire de mot de passe s’il le fait, puis on valide avec le code à six chiffres.

C’est fait. L’écran n’est pas des plus intuitifs, mais la présence du bouton Désactiver confirme que la fonctionnalité est bien active.

Es ist wichtig, diese Operation zu tun, um jeder Benutzer Zugriff auf den Home Assistant. Ein Konto ohne doppelte Authentifizierung kann zum schwachen Glied in der gesamten Anlage werden.

Ich empfehle auch, die Wiederherstellungscodes in einem Passwort-Manager oder an einem sicheren Ort aufzubewahren. Sie sind unentbehrlich, wenn man sein Telefon verliert.

 

🎯 Mein Gefühl

Ehrlich gesagt bin ich sehr zufrieden mit dieser Entscheidung. Ich werde sogar beruhigt sagen.

Ich habe nicht versucht, so kompliziert wie möglich zu gestalten. Ich habe die Lösung gewählt, die mir für meinen Gebrauch am vernünftigsten erscheint: Home Assistant Link für Remotezugriff, keine Portweiterleitung zu Home Assistant und mehr Sicherheit auf Kontoebene.

Ich habe mich auch bereit erklärt, das umgekehrte DNS auf meine feste IP-Adresse zu übertragen. Das lag nicht daran, dass die Lösung schlecht war, sondern daran, dass ich mich nicht wohl genug fühlte, um sie zu verwalten und ruhig zu halten.

Für mich ist eine gute Sicherheit auch eine Lösung, die man versteht, die man aufrechterhalten kann und für die man keine Angst hat, sechs Monate später zu schauen.

🏁 Schlussfolgerung

Bei der Sicherung eines von außen zugänglichen Kontos geht es nicht nur darum, ein gutes Passwort zu wählen.

Es müssen mehrere Schutzmechanismen kombiniert werden: doppelte Authentifizierung, Zugriff über einen sicheren Dienst oder ein VPN, keine unnötige Portweiterleitung, regelmäßige Updates und das Prinzip des geringsten Privilegs.

In meinem Fall kreuzt Home Assistant Link alle diese Kästchen an. Es gibt mir einen einfachen, verschlüsselten und einfach zu wartenden Remote-Zugriff, ohne meine Installation direkt auszusetzen.

Und als Sahnehäubchen trägt das Abonnement auch zur Finanzierung des Home Assistant und seiner Unabhängigkeit bei. Für mich ist dies eine praktische, sichere und im Einklang mit meiner Vision der Hausautomation stehende Entscheidung.