Architektur- und Sicherheitskonzept

1. Ziel des Dienstes

Home Assistant Remote ermöglicht den sicheren Fernzugriff auf eine lokale Home-Assistant-Instanz, ohne dass am heimischen Router eingehende Ports freigegeben werden müssen.

Der Dienst stellt dafür eine verschlüsselte Tunnelverbindung zwischen der lokalen Home-Assistant-Instanz und der öffentlichen Remote-Adresse des Nutzers bereit.

2. Grundprinzip der Architektur

Die Verbindung wird nicht von außen in das Heimnetzwerk aufgebaut. Stattdessen startet das Home Assistant Add-on innerhalb der lokalen Home-Assistant-Umgebung eine ausgehende Verbindung zum HA Remote Server.

Dadurch bleibt das Heimnetzwerk von außen nicht direkt erreichbar.

3. Komponenten

3.1 Browser oder mobile App

Der Nutzer greift über eine persönliche Remote-Adresse auf Home Assistant zu, zum Beispiel:

https://deinname.home.ctech.media

Die Verbindung zwischen Browser und HA Remote Server erfolgt verschlüsselt über HTTPS/TLS.

3.2 HA Remote Server

Der HA Remote Server übernimmt die Vermittlung der Verbindung. Er ist zuständig für:

• Benutzerkonten
• Subdomain-Zuordnung
• Pairing-Codes
• Tunnel-Sitzungen
• Weiterleitung von HTTP- und WebSocket-Verkehr
• technische Fehler- und Statusprotokolle
• Bandbreiten- und Nutzungsstatistiken

Der Server speichert die übertragenen Home-Assistant-Inhalte nicht dauerhaft, sondern leitet sie nur zwischen Browser und Add-on weiter.

3.3 HA Remote Add-on

Das Add-on läuft lokal in der Home-Assistant-Umgebung des Nutzers. Es stellt eine ausgehende Verbindung zum HA Remote Server her und leitet eingehende Tunnel-Anfragen lokal an Home Assistant weiter.

Die lokale Weiterleitung erfolgt innerhalb der Home-Assistant-Umgebung, zum Beispiel an:

http://homeassistant:8123

3.4 Home Assistant

Home Assistant bleibt weiterhin im lokalen Netzwerk bzw. innerhalb der lokalen Home-Assistant-Umgebung des Nutzers. Es muss nicht direkt aus dem Internet erreichbar sein.

4. Verbindungsaufbau

4.1 Registrierung und Instanzerstellung

Der Nutzer erstellt ein Benutzerkonto und legt eine Home-Assistant-Instanz mit gewünschter Subdomain an. Dabei wird ein zeitlich begrenzter Pairing-Code erzeugt.

4.2 Pairing des Add-ons

Der Pairing-Code wird im HA Remote Add-on eingetragen. Das Add-on verwendet diesen Code, um sich einmalig mit dem Server zu koppeln. Danach erhält es eigene Tunnel-Zugangsdaten.

4.3 Tunnelbetrieb

Nach erfolgreichem Pairing baut das Add-on eine ausgehende, verschlüsselte Verbindung zum HA Remote Server auf. Wenn ein Nutzer seine Remote-Adresse aufruft, wird die Anfrage vom Server der passenden Instanz zugeordnet und über den bestehenden Tunnel an das Add-on weitergeleitet.

5. Datenfluss

5.1 HTTP-Verkehr

Normale HTTP-Anfragen, zum Beispiel Dashboard-Seiten, API-Aufrufe oder statische Dateien, werden vom Browser an den HA Remote Server gesendet und von dort über den Tunnel an das Add-on weitergeleitet. Das Add-on gibt die Anfrage lokal an Home Assistant weiter und sendet die Antwort über denselben Weg zurück.

5.2 WebSocket-Verkehr

Home Assistant nutzt WebSockets für Live-Updates, Statusänderungen und interaktive Dashboards. Diese WebSocket-Verbindungen werden ebenfalls über den Tunnel vermittelt.

5.3 Streaming und größere Dateien

Statische Frontend-Dateien, Add-on-Oberflächen, HACS-Dateien, Medien- und Streaming-Endpunkte werden über einen Streaming-Pfad übertragen. Dadurch müssen größere Antworten nicht vollständig zwischengespeichert werden, bevor sie an den Browser gesendet werden.

6. Verschlüsselung

6.1 Browser zum HA Remote Server

Die Verbindung zwischen Browser und Server erfolgt über HTTPS/TLS. Dadurch sind Daten während der Übertragung gegen Mitlesen und Manipulation geschützt.

6.2 Add-on zum HA Remote Server

Auch die Verbindung zwischen Add-on und Server erfolgt über eine verschlüsselte ausgehende Verbindung. Der Tunnel wird vom Add-on initiiert. Es ist keine eingehende Verbindung in das Heimnetzwerk erforderlich.

6.3 Lokale Verbindung zu Home Assistant

Die Verbindung zwischen Add-on und Home Assistant findet lokal innerhalb der Home-Assistant-Umgebung statt. Diese Verbindung verlässt das lokale System nicht direkt.

7. Sicherheitsmaßnahmen

7.1 Keine Portfreigabe erforderlich

Da der Tunnel vom Add-on nach außen aufgebaut wird, muss der Nutzer keine Ports am Router öffnen. Das reduziert die Angriffsfläche erheblich.

7.2 Zeitlich begrenzte Pairing-Codes

Pairing-Codes sind nur kurzzeitig gültig. Dadurch kann ein alter oder versehentlich weitergegebener Code nicht dauerhaft verwendet werden.

7.3 Instanzbezogene Tunnel-Zugangsdaten

Nach dem Pairing erhält jede Instanz eigene Zugangsdaten für den Tunnel. Diese Zugangsdaten werden verwendet, um die lokale Instanz eindeutig dem Benutzerkonto und der Subdomain zuzuordnen.

7.4 Subdomain-Zuordnung

Jede Remote-Adresse wird serverseitig einer bestimmten Home-Assistant-Instanz zugeordnet. Anfragen werden nur an die passende gekoppelte Instanz weitergeleitet.

7.5 Keine dauerhafte Speicherung von Home-Assistant-Inhalten

Home Assistant Remote speichert keine Inhalte der übertragenen Home-Assistant-Kommunikation dauerhaft. Insbesondere werden nicht gespeichert:

• Sensorwerte
• Gerätezustände
• Kamerabilder
• Dashboards
• Automationen
• Benutzeraktionen innerhalb von Home Assistant

7.6 Technische Logs

Zur Fehleranalyse und Systemsicherheit können technische Logs gespeichert werden. Diese können enthalten:

• Zeitpunkt
• Subdomain
• HTTP-Statuscode
• Fehlermeldung
• IP-Adresse
• Instanzbezug
• technische Metadaten

Die Logs dienen ausschließlich Betrieb, Fehleranalyse und Missbrauchserkennung.

7.7 Schutz vor Header-Spoofing

Vom Browser kommende sicherheitsrelevante Proxy-Header werden bereinigt bzw. kontrolliert gesetzt. Dadurch wird verhindert, dass ein Client gefälschte Weiterleitungsinformationen an Home Assistant übergibt.

7.8 Bandbreiten- und Verbindungsbegrenzung

Der Dienst kann Verbindungs- und Bandbreitenlimits anwenden, um Missbrauch zu verhindern und die Stabilität des Systems zu schützen.

8. Authentifizierung und Zugriff

Der Zugriff auf die Verwaltung von Home Assistant Remote erfolgt über ein Benutzerkonto. Benutzer können nur ihre eigenen Instanzen verwalten. Administrative Funktionen sind auf Super-Admin-Konten beschränkt.

Home Assistant selbst behält weiterhin seine eigene Benutzer- und Rechteverwaltung. Der Dienst ersetzt nicht die Home-Assistant-Authentifizierung, sondern stellt nur den sicheren Transportweg bereit.

9. Risiken und Schutzmaßnahmen

10. Datenschutzprinzip

Home Assistant Remote arbeitet nach dem Prinzip der Datenminimierung. Der Dienst verarbeitet nur die Daten, die für Betrieb, Sicherheit, Fehleranalyse und Benutzerverwaltung erforderlich sind.

Die eigentlichen Inhalte der Home-Assistant-Kommunikation werden nur vermittelt und nicht dauerhaft gespeichert oder ausgewertet.

11. Zusammenfassung

Home Assistant Remote stellt einen sicheren Remote-Zugriff auf lokale Home-Assistant-Instanzen bereit.

Die Architektur basiert auf einem ausgehenden, verschlüsselten Tunnel. Dadurch bleibt das Heimnetzwerk von außen nicht direkt erreichbar, und es sind keine Portfreigaben am Router erforderlich.

Der Server vermittelt Anfragen zwischen Browser und lokaler Instanz, speichert jedoch keine Home-Assistant-Inhalte dauerhaft. Sicherheitsmechanismen wie Pairing-Codes, instanzbezogene Tunnel-Zugangsdaten, HTTPS/TLS, Header-Bereinigung und technische Schutzlimits reduzieren die Angriffsfläche und erhöhen die Betriebssicherheit.