Home Assistant Cloud vs. eigener Fernzugriff: Vor- und Nachteile

Home Assistant läuft lokal, und das ist gut so. Aber was, wenn du von unterwegs auf dein Smart Home zugreifen willst? Heizung einschalten, bevor du heimkommst. Kamera checken, wenn der Paketbote klingelt. Oder einfach nachsehen, ob alle Lichter aus sind.

Dafür brauchst du einen Fernzugriff. Und hier wird es spannend: Es gibt vier grundlegend verschiedene Ansätze, jeder mit eigenen Vor- und Nachteilen. In diesem Vergleich erkläre ich alle vier und helfe dir, die richtige Wahl zu treffen.

Die vier Methoden im Überblick

Option 1: Home Assistant Cloud (Nabu Casa)

Nabu Casa ist der offizielle Cloud-Dienst von Home Assistant. Für 7,50 Euro im Monat (oder 75 Euro im Jahr) bekommst du:

• Fernzugriff per Browser und App: Einfach einloggen, fertig. Kein Port-Forwarding, kein DynDNS, keine Zertifikate.
• Sprachsteuerung: Google Home und Amazon Alexa Integration ohne manuelle Konfiguration.
• Remote-Webhooks: Für IFTTT und andere Dienste, die eine öffentlich erreichbare URL brauchen.
• Backups in der Cloud: Automatische Sicherung deiner Home-Assistant-Konfiguration.

Einrichtung

Die Einrichtung dauert unter 5 Minuten:

1. Gehe zu Einstellungen > Home Assistant Cloud.
2. Erstelle ein Nabu-Casa-Konto oder melde dich an.
3. Aktiviere den Fernzugriff mit einem Klick.
4. Fertig. Du erreichst dein Home Assistant jetzt über https://deine-id.ui.nabu.casa.

Vorteile

• Einfachste Einrichtung (5 Minuten)
• Kein technisches Wissen noetig
• Alexa und Google Home inklusive
• Verschluesselung und Sicherheit von Nabu Casa verwaltet
• Unterstuetzt das Open-Source-Projekt

Nachteile

• Monatliche Kosten (7,50 €)
• Abhängigkeit von einem externen Dienst
• Latenz kann bei schwacher Internetverbindung spürbar sein
• Kein Zugriff auf andere lokale Dienste (nur Home Assistant)

Option 2: WireGuard VPN

WireGuard ist ein modernes VPN-Protokoll, das dein Smartphone oder Laptop in dein Heimnetzwerk tunnelt. Du greifst dann auf Home Assistant zu, als wärst du zuhause, über die lokale IP-Adresse.

Einrichtung mit dem WireGuard Add-on

1. Installiere das WireGuard Add-on über den Add-on Store in Home Assistant.
2. Konfiguriere einen DynDNS-Dienst (z.B. DuckDNS), damit dein Router von aussen erreichbar ist.
3. Richte Port-Forwarding für den WireGuard-Port (Standard: 51820/UDP) im Router ein.
4. Generiere Client-Konfigurationen und importiere sie in die WireGuard-App auf deinem Smartphone.

Vorteile

• Kostenlos und Open Source
• Höchste Sicherheit (moderne Kryptografie)
• Zugriff auf das gesamte Heimnetzwerk (nicht nur Home Assistant)
• Sehr schnell und ressourcenschonend

Nachteile

• Port-Forwarding im Router noetig
• Einrichtung erfordert Netzwerkkenntnisse
• VPN-App muss manuell gestartet werden (oder „Always-On" konfiguriert sein)
• Manche Mobilfunknetze blockieren UDP-Traffic

Option 3: Nginx Reverse Proxy mit Let's Encrypt

Ein Reverse Proxy macht dein Home Assistant über eine öffentliche Domain erreichbar (z.B. https://ha.meinedomain.de). Der Proxy leitet eingehende HTTPS-Anfragen an deinen lokalen Home-Assistant-Server weiter.

Was du brauchst

• Eigene Domain (ca. 10–15 €/Jahr)
• DynDNS-Dienst oder feste IP
• Port-Forwarding für Port 443 (HTTPS)
• Nginx Proxy Manager Add-on oder manuell konfigurierter Nginx
• Let's Encrypt für kostenlose SSL-Zertifikate

Einrichtung mit Nginx Proxy Manager

1. Installiere das Nginx Proxy Manager Add-on.
2. Erstelle ein SSL-Zertifikat über Let's Encrypt (im Add-on integriert).
3. Lege einen Proxy Host an: Domain → lokale IP von Home Assistant (Port 8123).
4. Richte Port-Forwarding für Port 443 im Router ein.
5. Trage die Domain in der configuration.yaml als trusted_proxy ein.

Vorteile

• Direkter Zugriff per Browser ohne VPN-App
• Schnelle Verbindung (kein VPN-Overhead)
• Webhooks und externe Dienste funktionieren sofort

Nachteile

• Home Assistant direkt im Internet exponiert
• Port-Forwarding und SSL-Zertifikate nötig
• Regelmässige Wartung (Zertifikats-Erneuerung, Updates)
• Höheres Angriffsrisiko bei falscher Konfiguration

Option 4: Cloudflare Tunnel

Ein Cloudflare Tunnel (früher Argo Tunnel) verbindet dein Heimnetzwerk mit Cloudflare, ohne Port-Forwarding. Cloudflare stellt die öffentliche URL bereit und leitet den Traffic über einen verschlüsselten Tunnel an deinen lokalen Server weiter.

Warum ist das interessant?

Kein Port-Forwarding bedeutet: Dein Router bleibt geschlossen. Keine offenen Ports, kein Angriffsvektor. Das ist ein erheblicher Sicherheitsvorteil gegenüber VPN und Reverse Proxy.

Einrichtung

1. Erstelle ein kostenloses Cloudflare-Konto und füge deine Domain hinzu.
2. Installiere das Cloudflared Add-on in Home Assistant.
3. Erstelle einen Tunnel im Cloudflare Dashboard und kopiere das Token.
4. Trage das Token im Add-on ein und starte es.
5. Konfiguriere die DNS-Einträge im Cloudflare Dashboard.

Vorteile

• Kein Port-Forwarding nötig
• DDoS-Schutz und CDN von Cloudflare inklusive
• Kostenlos (Free-Tier reicht für Home-Nutzung)
• SSL-Zertifikate automatisch verwaltet

Nachteile

• Abhängigkeit von Cloudflare als Mittelsmann
• Traffic läuft über Cloudflare-Server (Datenschutz-Bedenken)
• Eigene Domain nötig
• Einrichtung erfordert Cloudflare-Kenntnisse

Welche Methode passt zu dir?

Empfehlung nach Nutzertyp

• Einsteiger: Nabu Casa Cloud. Einrichten und vergessen. Der Preis ist fair und unterstützt das Projekt.
• Technik-affine Nutzer: WireGuard VPN. Maximale Sicherheit, voller Netzwerkzugriff, einmalige Einrichtung.
• Datenschutz-bewusste Nutzer: WireGuard VPN. Kein Drittanbieter im Spiel, alles bleibt in deinem Netzwerk.
• Nutzer mit eigener Domain: Cloudflare Tunnel. Komfortabel, sicher und kostenlos.

Sicherheitstipps für jeden Fernzugriff

Egal welche Methode du wählst, diese Sicherheitsmassnahmen gelten immer:

1. Zwei-Faktor-Authentifizierung (2FA): Aktiviere TOTP in Home Assistant unter Profil > Multi-Faktor-Authentifizierung.
2. Starke Passwörter: Mindestens 16 Zeichen, Passwort-Manager verwenden.
3. Login-Versuche begrenzen: Die ip_bans-Funktion in Home Assistant sperrt IP-Adressen nach mehreren fehlgeschlagenen Logins.
4. Updates zeitnah einspielen: Halte Home Assistant, Add-ons und den Router auf dem neuesten Stand.
5. Nie Port 8123 direkt freigeben: Der Home-Assistant-Port gehört nicht direkt ins Internet. Immer einen Proxy oder VPN davor schalten.