Sicherheits-Setup: VPN oder Reverse Proxy

Das Problem mit dem direkten Remote-Zugriff

Die meisten Nutzer, die Home Assistant von unterwegs steuern wollen, stoßen auf dieselbe Versuchung: Port-Forwarding. Port 8123 im Router freigeben, und schon ist Home Assistant aus dem Internet erreichbar. Das ist einfach – und aus Sicherheitsperspektive eine schlechte Idee.

Ein offener Port im Internet ist ständig unter Beschuss. Bots scannen kontinuierlich alle IP-Adressen nach offenen Ports und versuchen, Zugangsdaten zu erraten. Wenn dein Home Assistant öffentlich erreichbar ist, brauchst du ein sehr starkes Passwort, Two-Factor-Authentication und regelmäßige Updates – und selbst dann bist du ein aktives Angriffsziel.

Die bessere Lösung: Kein Port direkt öffnen, sondern den Zugriff über VPN oder einen Reverse Proxy mit zusätzlichen Sicherheitsschichten tunneln.

Zwei sichere Lösungen

Option 1: VPN (Tailscale oder WireGuard)

Ein VPN verbindet dein Handy oder deinen Laptop direkt mit deinem Heimnetz – als ob du physisch zu Hause wärst. Du greifst auf Home Assistant über die interne IP-Adresse zu, kein Port muss nach außen geöffnet werden.

Option 2: Reverse Proxy (Caddy, Nginx, Cloudflare Tunnel)

Ein Reverse Proxy stellt einen einzelnen Dienst (Home Assistant) sicher ins Internet – mit eigenem Domain-Namen, HTTPS und optionalem MFA. Port 80 und 443 werden auf den Server weitergeleitet, der Reverse Proxy terminiert TLS und leitet den Traffic an HA weiter.

Pro-Tipp

Für Einzelpersonen und kleine Haushalte empfehle ich Tailscale VPN. Es ist in 10 Minuten eingerichtet, im Free-Plan für bis zu 3 Nutzer und 100 Geräte nutzbar und braucht keinen Selbst-gehosteten Server. Für Haushalte mit mehreren Personen oder wenn du eine eigene Domain nutzen willst, ist ein Reverse Proxy die bessere Wahl.

KI-generiert

Wann du welche Lösung nimmst

Die Entscheidung ist einfach:

• Nimm VPN wenn: Du alleine oder mit einer Person das Smart Home nutzt, du alle Geräte mit einer VPN-App ausstatten kannst, und du maximale Sicherheit willst ohne eigene Domain.
• Nimm Reverse Proxy wenn: Mehrere Personen ohne technischen Hintergrund Zugriff brauchen, du eine eigene Domain hast oder mieten willst, oder du mehrere Dienste exponieren möchtest.
• Nimm Cloudflare Tunnel wenn: Du keine statische IP hast, aber trotzdem einen Reverse Proxy willst – Cloudflare Tunnel funktioniert auch hinter NAT und ohne offene Ports. Hinweis für DSGVO-sensible Setups: Der gesamte Traffic läuft über US-amerikanische Cloudflare-Infrastruktur. Für personenbezogene Daten oder Home-Assistant-Konfigurationen mit Credentials ist Tailscale oder ein selbstgehosteter Reverse Proxy die datenschutzfreundlichere Wahl.

Tailscale: Die einfachste VPN-Lösung

Tailscale baut auf WireGuard auf und löst das größte Problem von WireGuard: die komplexe Schlüsselverwaltung. Mit Tailscale meldest du dich mit einem Google- oder GitHub-Konto an, installierst die App auf deinen Geräten und Home Assistant – und innerhalb von Minuten sind alle Geräte in einem privaten Mesh-Netz verbunden.

Du brauchst keine statische IP, keinen DynDNS und kein Port-Forwarding. Tailscale verwendet NAT-Traversal, um direkte Verbindungen zwischen Geräten herzustellen. Das funktioniert sogar hinter Carrier-grade NAT.

Wusstest du schon?

Tailscale Free umfasst bis zu 3 Nutzer und 100 Geräte – für die meisten Heimanwendungen ausreichend. MagicDNS (automatische Hostnamen) und HTTPS-Zertifikate für Tailscale-Adressen erfordern seit 2025 den Personal-Plan (~5 $/Monat). Für reine VPN-Funktionalität (Fernzugriff auf HA) reicht Free. Tailscale ist ein US-amerikanischer Anbieter. Für DSGVO-kritische Setups: der Open-Source-Fork Headscale ermöglicht einen selbstgehosteten Control-Server.

WireGuard selbst hosten

Wenn du lieber alles selbst kontrollierst, hostest du WireGuard direkt auf deinem Home Assistant (als Add-on) oder auf einem separaten Router wie dem GL.iNet Beryl AX🛒(öffnet in neuem Tab). Das ist die maximale Kontrolloption – du bist nicht von einem Cloud-Dienst abhängig, aber du musst selbst Schlüssel generieren, Peers konfigurieren und Updates einspielen.

WireGuard ist sehr performant und sicher – aber die manuelle Schlüsselverwaltung ist der Grund, warum die meisten Nutzer Tailscale bevorzugen.

Reverse Proxy absichern

Wenn du einen Reverse Proxy nutzt, gibt es zusätzliche Härtungsmaßnahmen, die du nicht überspringen solltest:

HTTPS erzwingen: HTTP-Anfragen auf Port 80 müssen automatisch auf HTTPS umgeleitet werden. Kein Nutzer oder Bot sollte dich jemals unverschlüsselt erreichen können. In Caddy ist das standardmäßig aktiv – in Nginx musst du es explizit konfigurieren.

Two-Factor-Authentication aktivieren: Aktiviere 2FA in Home Assistant (nicht nur im Reverse Proxy). Auch wenn jemand dein Passwort kennt, braucht er zusätzlich deinen zweiten Faktor. Ein YubiKey 5 NFC🛒(öffnet in neuem Tab) ist die sicherste Option – aber auch eine TOTP-App (Authy, Google Authenticator, 1Password) ist deutlich besser als kein zweiter Faktor.

Rate-Limiting und Geo-Blocking: Wenn du nur aus Deutschland auf Home Assistant zugreifst, blockiere alle anderen Länder. Das reduziert die Angriffsfläche massiv, weil 99 % der automatisierten Angriffe aus bestimmten IP-Blöcken kommen. Für selbstgehostete Geo-Listen empfiehlt sich MaxMind GeoLite2 (DSGVO-freundlicher als cloudbasierte Dienste).

HTTP Security Headers: Der Reverse Proxy setzt Header wie Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options und Referrer-Policy. Diese schützen gegen spezifische Angriffsvektoren: HSTS verhindert Downgrade-Angriffe, CSP schützt gegen XSS, X-Frame-Options verhindert Clickjacking.

Zugriffsprotokoll aktivieren: Alle Anfragen an den Reverse Proxy werden geloggt. Überprüfe das Log gelegentlich auf ungewöhnliche Aktivitäten: viele fehlgeschlagene Loginversuche, Anfragen aus unerwarteten Ländern, Zugriff zu unüblichen Zeiten.

Notfall-Plan: Was tun bei einem Sicherheitsvorfall?

Selbst mit perfekter Absicherung kann etwas passieren. Ein Notfall-Plan in drei Schritten:

1. Netz vom Internet trennen: Router ausschalten oder WAN-Kabel ziehen. Das stoppt jeden externen Zugriff sofort.
2. Passwörter ändern: Alle Passwörter für Smart-Home-Dienste, Router und E-Mail-Konto ändern – von einem sauberen Gerät aus.
3. Backup prüfen und wiederherstellen: Wenn Home Assistant kompromittiert ist, spiele ein sauberes Backup ein. Prüfe, ob das Backup selbst manipuliert wurde.

Pro-Tipp

Lege ein Offline-Backup an: Einmal pro Monat ein Home-Assistant-Backup auf einen USB-Stick ziehen und in die Schublade legen. Cloud-Backups sind bequem – aber wenn dein Cloud-Konto kompromittiert ist, ist auch das Backup weg.

Fazit: Kein Port-Forwarding, bitte

Port-Forwarding ist die bequeme, aber unsichere Abkürzung. VPN und Reverse Proxy sind die richtigen Lösungen – beide schützen dein Heimnetz deutlich besser und sind heute einfach genug einzurichten, dass es keine Ausreden mehr gibt.

Besonders kritisch bei Fernzugriff: Geräte, die Türen öffnen können. Wer ein smartes Schloss mit Cloud-Bridge nutzt, sollte den Remote-Zugriff über VPN absichern – nicht über einen offenen Port.

Pro-Tipp

Wenn du heute Port-Forwarding nutzt: Richte zuerst Tailscale ein (10 Minuten), teste es eine Woche lang, und schließe dann das Port-Forwarding. Du wirst merken, dass VPN genauso bequem ist – nur sicherer.