Home Assistant absichern: Praktische und fortgeschrittene Anleitung

Die Absicherung eines Home Assistant-Servers ist ein grundlegender Schritt, insbesondere wenn das System für die Fernsteuerung von Leuchten, Schlössern, Thermostaten und Alarmanlagen nach außen freigegeben wird. Diese Anleitung beschreibt einen konservativen Ansatz zur Reduzierung von Angriffsvektoren, zur Verwaltung von Zugangsdaten, zur Konfiguration der Zwei-Faktor-Authentifizierung (MFA) und zur Einrichtung einer zuverlässigen Backup-Strategie. Wenden Sie sich bei komplexen Arbeiten an elektrischen Anlagen oder motorisierten Schlössern stets an einen qualifizierten Elektriker oder Techniker.

Voraussetzungen: Administratorzugriff auf Home Assistant Core, OS oder Supervised (aktuelle Version), Berechtigungen zur Änderung des lokalen Netzwerks und ein Router mit Unterstützung für VPN oder sicheren Reverse Proxy.

Einschränkungen und Kompatibilität: Die Menüpunkte der grafischen Benutzeroberfläche können zwischen den monatlichen Releases leicht variieren. Überprüfen Sie stets die offizielle Dokumentation für Ihren spezifischen Aktualisierungskanal (Stable, Beta, Dev).

1. Benutzerverwaltung und das Prinzip der geringsten Rechte

Der erste zu vermeidende Fehler ist die dauerhafte Nutzung des Eigentümer-Kontos (Owner) für den täglichen Gebrauch oder zur Verbindung mobiler Geräte. Jeder zu Home Assistant hinzugefügte Benutzer sollte nur die streng notwendigen Berechtigungen haben.

Rollentrennung

Erstellen Sie einen sekundären Administrator-Benutzer, der durch starke Zugangsdaten geschützt ist, und weisen Sie Familienmitgliedern oder fest installierten Wandgeräten (Tablet Dashboards) die Rolle eines Standardbenutzers zu (oder beschränken Sie die Berechtigungen über ACLs, falls Sie erweiterte Konfigurationen nutzen). Deaktivieren Sie den anfänglichen Onboarding-Benutzer, wenn er nicht mehr benötigt wird.

Passwort-Richtlinie

Erzwingen Sie komplexe und eindeutige Passwörter für jeden Benutzer. Home Assistant setzt nativ keine strenge Mindestkomplexität durch, weshalb die Wahl der Passphrase beim Administrator liegt.

2. Obligatorische Zwei-Faktor-Authentifizierung (MFA)

Die Zwei-Faktor-Authentifizierung (MFA) reduziert das Risiko einer Kontokompromittierung im Falle eines Passwortdiebstahls drastisch.

Rufen Sie das Benutzerprofil auf, indem Sie unten links in der Seitenleiste von Home Assistant auf Ihren Namen klicken. Scrollen Sie zum Bereich Zwei-Faktor-Authentifizierung. Wählen Sie das TOTP-Modul (Time-based One-Time Password), das mit Apps wie Google Authenticator, Authy oder Aegis kompatibel ist. Scannen Sie den QR-Code mit der Anwendung auf Ihrem Smartphone und geben Sie den generierten sechsstelligen numerischen Code ein, um die Aktivierung zu bestätigen. Bewahren Sie die Wiederherstellungscodes an einem sicheren Ort offline auf.

3. Sicherer Fernzugriff: VPN vs. Direkte Freigabe

Die direkte Freigabe des Ports 8123 im Internet über Portweiterleitung am Router wird dringend abgeraten, es sei denn, es wird eine robuste Schutzschicht wie ein Reverse Proxy mit SSL/TLS (z. B. Nabu Casa, Nginx Proxy Manager oder Cloudflare Tunnels) in Kombination mit einer Web Application Firewall oder Geoblocking verwendet.

Die empfohlene Wahl: Nabu Casa oder VPN

Die sicherste und am besten integrierte Methode für den Fernzugriff ohne manuelle Konfiguration von SSL-Zertifikaten ist das Abonnement von Home Assistant Cloud (Nabu Casa), das die Ende-zu-Ende-Verschlüsselung sicher verwaltet. Alternativ können Sie ein privates VPN (wie WireGuard oder OpenVPN) auf Ihrem Router oder einem dedizierten Server (z. B. einem separaten Raspberry Pi oder einer pfSense/OPNsense-Firewall) einrichten und sich mit dem Heimnetzwerk verbinden, bevor Sie die Benutzeroberfläche von Home Assistant öffnen.

4. Schritt-für-Schritt-Anleitung zur Absicherung

1. Melden Sie sich mit dem Hauptadministrator-Konto bei Home Assistant an und überprüfen Sie, ob das SSL-Zertifikat für die lokale oder Remote-Domain aktiv ist.
2. Gehen Sie im Menü zu Einstellungen, wählen Sie Personen und entfernen oder deaktivieren Sie alle zuvor erstellten ungenutzten Konten oder Testkonten.
3. Rufen Sie das Profil Ihres Administrator-Benutzers auf, suchen Sie den Bereich MFA und aktivieren Sie das TOTP-Modul, indem Sie es mit einer Authentifizierungs-App auf Ihrem Smartphone verknüpfen.
4. Stellen Sie sicher, dass sensible Konfigurationsdateien die Datei secrets.yaml verwenden, um Tokens, Passwörter von IoT-Geräten, MQTT-Zugangsdaten und API-Schlüssel zu speichern.
5. Konfigurieren Sie das automatische Backup-System unter Einstellungen -> System -> Backups und planen Sie regelmäßige, verschlüsselte Sicherungen.
6. Verschieben Sie die erstellten Backup-Dateien von der SD-Karte oder Hauptfestplatte von Home Assistant weg und speichern Sie sie auf einem lokalen NAS oder in einem verschlüsselten Cloud-Speicher.
7. Deaktivieren Sie umgehend die direkte Portweiterleitung von Port 8123 auf Ihrem Heimrouter, falls Sie einen ungeschützten Zugriff ohne HTTPS oder VPN eingerichtet hatten.
8. Konfigurieren Sie Systembenachrichtigungen, um sofortige Warnungen bei fehlgeschlagenen Anmeldeversuchen oder kritischen Fehlern in den Sicherheitslogs zu erhalten.
9. Aktualisieren Sie Home Assistant Core, Supervisor und das Betriebssystem auf den neuesten verfügbaren stabilen Sicherheitspatch.

5. Geheimnisse, Logs und Updates

Die regelmäßige Sicherheitswartung erfordert besondere Aufmerksamkeit für fest codierte Daten, die Log-Bereinigung und rechtzeitige Updates.

Verwaltung von secrets.yaml-Dateien

Geben Sie Passwörter niemals im Klartext in Automatisierungsdateien oder in der Hauptkonfiguration (configuration.yaml) ein. Nutzen Sie die Syntax !secret schluessel_name, um geschützte Daten aus der entsprechenden Geheimnisdatei abzurufen.

Log-Analyse

Überwachen Sie regelmäßig das Systemprotokoll (home-assistant.log) oder den Bereich Protokolle unter Einstellungen -> System, um Brute-Force-Versuche von verdächtigen IP-Adressen, wiederholte Authentifizierungsfehler oder Anomalien in Add-ons zu erkennen.

Update-Richtlinie

Aktualisieren Sie das System regelmäßig. Viele Zero-Day-Schwachstellen werden in den monatlich von den Entwicklern veröffentlichten Sicherheitspatches behoben. Führen Sie vor jedem größeren Update immer ein vollständiges manuelles Backup durch.

6. Überprüfung des Ergebnisses

Um zu bestätigen, dass die Sicherheitskonfigurationen wirksam sind, führen Sie die folgenden Überprüfungen durch:

• Melden Sie sich von allen Clients ab und versuchen Sie sich anzumelden: Das System muss zwingend den von der Smartphone-App generierten TOTP-Code anfordern.
• Überprüfen Sie mit einem externen Portscanner (oder über das Mobilfunknetz bei deaktiviertem WLAN), dass Port 8123 nicht im Klartext (HTTP) antwortet, sondern unerreichbar oder durch HTTPS/VPN geschützt ist.
• Stellen Sie sicher, dass die automatischen Backups im Zielordner im Netzwerk/Remote vorhanden sind und dass das Wiederherstellungsverfahren mindestens einmal in einer Staging- oder Testumgebung getestet wurde.

7. Problemi comuni e risoluzione

8. Häufig gestellte Fragen (FAQ)

Ist es sicher, Home Assistant ohne Nabu Casa-Abonnement zu verwenden?

Ja, es ist absolut sicher, solange Sie ein privates VPN (wie WireGuard) oder einen korrekt konfigurierten Reverse Proxy mit gültigen SSL-Zertifikaten (Let's Encrypt) implementieren. Das Nabu Casa-Abonnement vereinfacht diesen Prozess erheblich, indem es eine fertige Lösung bietet und die Entwicklung des Projekts unterstützt.

Was tun bei Verdacht auf eine Systemkompromittierung?

Trennen Sie Home Assistant umgehend vom Internet (deaktivieren Sie die Netzwerkverbindung oder schalten Sie den Router nach außen ab), ändern Sie alle Passwörter der Administrator-Benutzer, widerrufen Sie langlebige Zugangstokens (Long-Lived Access Tokens), analysieren Sie die Log-Dateien auf auffällige IPs und stellen Sie ein sauberes Backup von vor dem Datum der vermuteten Kompromittierung wieder her.

Können Zusatzkomponenten (Add-ons) die Sicherheit beeinträchtigen?

Ja, die Installation von Add-ons aus inoffiziellen oder nicht verifizierten Repositories kann das System Sicherheitslücken aussetzen. Verwenden Sie ausschließlich offizielle Repositories oder verifizierte Community-Stores und halten Sie alle Add-ons auf dem neuesten Stand.

Wie schützt man Automatisierungen, die Schlösser oder Alarmanlagen steuern?

Implementieren Sie bei kritischen Geräten wie Smart Locks oder Alarmanlagen immer eine zusätzliche Konsistenzprüfung, fordern Sie verschlüsselte PIN-Codes in den Dashboards an und stellen Sie sicher, dass kritische Befehle nur für Benutzer mit erhöhten Rechten und aktiver MFA zugänglich sind.