Home Assistant Fernzugriff ohne VPN - 5 Methoden im Vergleich (2026)

TL;DR - welche Methode für wen#

Keine Lust, 1500 Wörter zu lesen? Hier die Kurzfassung:

Jetzt die Details jeder Methode - was, wie, wann, und wo Sie aufpassen müssen.

Das Problem: Home Assistant funktioniert zu Hause, draußen tot#

Sie haben Home Assistant eingerichtet. Raspberry Pi 4 im Regal, HACS mit Integrationen, Automatisierungen für die Beleuchtung, Alarm mit Kameras. Zu Hause - Paradies.

Sie gehen zur Arbeit. Sie wollen prüfen, ob Ihre Partnerin den Ofen ausgeschaltet hat. Sie öffnen HA Companion - Verbindungsfehler. Sie haben vergessen, dass homeassistant.local:8123 nur innerhalb des Netzwerks funktioniert.

Das ist der klassische Moment, in dem HA-Nutzer beginnen, nach Fernzugriff zu suchen. Zur Auswahl stehen 5 realistische Methoden. Jede hat ihre Stärken und Schwächen.

Methode 1: Router-Port-Forwarding#

Wie es funktioniert#

Sie öffnen Port 8123 am Router (oder 443 + nginx Reverse Proxy) und machen Home Assistant öffentlich zugänglich. Von nun an erreicht http://ihre-öffentliche-ip:8123 HA aus dem Internet.

Vorteile#

• Kostenlos
• Keine zusätzliche Software
• Funktioniert mit jeder App, jedem Browser

Nachteile#

• Sicherheit: Ihr HA ist öffentlich sichtbar. Automatische Portscanner finden ihn innerhalb von Stunden. Jede neue Schwachstelle in HA, Supervisor oder einem Add-on = Weg in Ihr Heimnetzwerk.
• Kein HTTPS standardmäßig: Sie müssen selbst ein Let's-Encrypt-Zertifikat einrichten, was eine öffentliche Domain und DDNS erfordert.
• CG-NAT blockiert: Mobilfunkanbieter und einige Kabelanbieter nutzen CG-NAT - Sie haben keine öffentliche IP, Port-Forwarding funktioniert nicht.
• Dynamische IP: wenn Ihr Provider die IP ändert, müssen Sie DNS aktualisieren.

Wann wählen#

Praktisch nie. Das einzige sinnvolle Szenario: ein temporäres Testsetup in einem bewusst isolierten Netzwerk. Für ein produktives Home-HA - ein unverhältnismäßiges Risiko.

Methode 2: WireGuard oder OpenVPN#

Wie es funktioniert#

Sie richten einen VPN-Server ein (WireGuard auf einem pfSense/OPNsense-Router oder WireGuard in einem Docker-Container auf HA). Sie installieren einen VPN-Client auf jedem Gerät - Handy, Laptop. Mit aktivem VPN sind Sie „im Heimnetzwerk" und HA ist wie lokal erreichbar.

Vorteile#

• Vollständige Verschlüsselung: WireGuard nutzt moderne Algorithmen (ChaCha20, Poly1305, Curve25519).
• Self-hosted: nichts geht über einen fremden Server.
• Kostenlos (Open-Source-Software).
• Zugriff auf das ganze Netzwerk: nicht nur HA, sondern auch NAS, Drucker, alles.

Nachteile#

• Schwierige Konfiguration: Schlüsselgenerierung, Router-Einstellungen, MTU-Debugging, DNS-Split-Tunneling. Nichts für Anfänger.
• Client auf jedem Gerät: WireGuard-App auf jedem Familien-Handy/Laptop installieren. Großeltern werden es nicht schaffen.
• Akkuverbrauch am Handy: VPN rund um die Uhr verbraucht Akku und trennt manchmal beim Wechsel WLAN↔LTE.
• CG-NAT-Problem: der VPN-Server benötigt ebenfalls eine öffentliche IP oder einen bezahlten VPS als Relay.

Wann wählen#

Sie sind technisch versiert, vertrauen der Cloud nicht, haben eine öffentliche IP, wollen Zugriff auf Ihr GESAMTES Heimnetz (nicht nur HA). Ideal für r/selfhosted-Perfektionisten.

Methode 3: Tailscale (oder Headscale für Self-Host)#

Wie es funktioniert#

Tailscale ist eine verwaltete Schicht auf WireGuard. Sie erstellen ein Konto, installieren den Tailscale-Client auf HA und auf jedem Gerät, und alle sehen sich in einem privaten Netzwerk. Keine Port-Konfiguration, keine Schlüsselverwaltung.

Headscale ist das Self-hosted-Open-Source-Backend für Tailscale - gleiches Protokoll, aber mit Koordinator auf Ihrem VPS.

Vorteile#

• Sehr einfache Einrichtung: curl -fsSL https://tailscale.com/install.sh | sh + OAuth-Login. 5 Minuten.
• Free-Tier: unbegrenzt Geräte, bis zu 6 Nutzer - kostenlos.
• Funktioniert hinter CG-NAT: Tailscale nutzt DERP-Relay, wenn P2P scheitert.
• Magic DNS: Verbindung über ha-raspberry.tailnet-name.ts.net statt IP.

Nachteile#

• Client erforderlich: jedes Gerät, das auf HA zugreifen will, braucht Tailscale. Für die Familie = 4 Handys × Installation + Login.
• Keine öffentliche URL: Sie können Oma keinen Link schicken - sie muss auch den Client installieren.
• Geschlossenes Ökosystem: Ihre Subdomain in tailnet-*.ts.net ist nicht öffentlich (Funnel Beta ändert das, aber mit eigenen Grenzen).

Wann wählen#

Sie haben mehrere eigene Geräte (Arbeits-Laptop, Heim-NAS, HA, zweiter Raspberry) und wollen sie alle verbinden. Perfekt für einen Solo-Self-Hoster. Schwach, wenn Sie HA mit jemandem ohne technischen Hintergrund teilen wollen.

Methode 4: Nabu Casa (Home Assistant Cloud)#

Wie es funktioniert#

Der offizielle Cloud-Dienst vom HA-Team. Sie zahlen ~7,50 €/Mo., aktivieren in HA (wörtlich ein Klick), erhalten eine URL wie https://abcd1234.ui.nabu.casa, die überall funktioniert.

Vorteile#

• Null Konfiguration: ein Klick in der HA-UI, fertig.
• Google Assistant + Alexa: Cloud-Integration mit Sprachassistenten inklusive - Sie sagen „OK Google, mach das Wohnzimmerlicht aus" und es funktioniert ohne weitere Konfiguration.
• Sie finanzieren das HA-Projekt: Nabu Casa gehört zur Open Home Foundation - Ihr Geld fließt in die HA-Entwicklung.
• Offizieller Support: Forenanfragen werden priorisiert.

Nachteile#

• Nur Home Assistant: hilft nicht bei Domoticz, Node-RED, Jellyfin oder Grafana.
• Lange, zufällige URL: abcd1234.ui.nabu.casa - unmöglich zu merken. Oma wird das nicht tippen.
• Nur Abo: kein Pay-as-you-go für den Urlaub.
• US/GCP-Infrastruktur: für manche Nutzer ein DSGVO-Thema.

Wann wählen#

Sie nutzen NUR Home Assistant, Sie wollen Google Assistant/Alexa-Cloud, Sie schätzen die finanzielle Unterstützung des HA-Projekts. Eine sehr gute Wahl für normale Nutzer.

Methode 5: Reverse-SSH-Tunnel (SmartHomeEntry und Alternativen)#

Wie es funktioniert#

Ein Agent auf Ihrem HA öffnet eine ausgehende Verbindung (Outbound-SSH) zu einem Relay-Server. Das Relay gibt Ihnen eine öffentliche HTTPS-Subdomain (z.B. ihr-zuhause.smarthomeentry.com). Auf dem Gerät des Betrachters wird nichts installiert - sie nutzen einfach einen Browser.

Dasselbe Modell nutzen ngrok, Cloudflare Tunnel, Tailscale Funnel (Beta) und SmartHomeEntry.

Vorteile#

• Öffentliche URL: Link an Familie/Kunden senden, im Browser öffnen. Null Installation beim Empfänger.
• Kurze Subdomain: ihr-zuhause.smarthomeentry.com ist einfacher zu merken als ein Nabu-Casa-Token.
• Multi-Service: derselbe Agent kann HA + Domoticz + Jellyfin + Nextcloud + NAS tunneln (jeder eigene Subdomain).
• Funktioniert hinter CG-NAT: der Agent baut nur ausgehende Verbindungen auf, keine öffentliche IP nötig.
• Pay-as-you-go: SmartHomeEntry hat Urlaubszugang (3 € / 7 Tage, 8 € / 30 Tage, 18 € / 90 Tage) - ideal für eine einzelne Reise.
• Installateur-Pläne: 5-20 Installationen in einem Panel mit Alarmen und SLA-PDF-Berichten.

Nachteile#

• Managed Service: Verkehr geht über einen fremden Server. Wenn Sie paranoid sind - nichts für Sie (Alternative: Self-Hosted Cloudflare Tunnel oder eigener Reverse-Tunnel auf VPS, aber deutlich komplizierter).
• Zusätzliche Latenz: der Tunnel fügt ~15-25 ms Round-Trip hinzu. Für UI nicht spürbar, aber für große Dateitransfers (> 1 GB) ist natives WireGuard P2P schneller.
• Kein SSH/RDP: SmartHomeEntry tunnelt nur HTTP/HTTPS, keine anderen Ports.

Wann wählen#

Die meisten realen Szenarien:

• Familie soll HA remote nutzen (und will kein VPN installieren)
• Sie haben mehrere Dienste auf demselben Server (HA, Jellyfin, NAS)
• Sie wollen Pay-as-you-go für den Urlaub statt Dauerabo
• Sie sind Smart-Home-Installateur mit 5-20 Kunden
• Sie wollen einem Geschäftskunden ein Grafana-Dashboard teilen

Entscheidungsmatrix - Wahl in 30 Sekunden#

Beantworten Sie 3 Fragen:

1. Brauchen auch andere Personen (Familie, Kunden) Zugriff?

• Ja → SmartHomeEntry oder Nabu Casa (öffentliche URL, null Installation beim Empfänger)
• Nein, nur ich → Tailscale (Free-Tier)

2. Nutzen Sie nur Home Assistant oder auch andere Dienste (Jellyfin, NAS, Grafana)?

• Nur HA → Nabu Casa (wenn Sie auch Google Assistant wollen) oder SmartHomeEntry (wenn Sie kürzere URL / niedrigeren Preis bevorzugen)
• Mehrere Dienste → SmartHomeEntry (Multi-Service in einem Abo) oder Tailscale (wenn nur für Sie)

3. Was ist Ihr Budget und Nutzungshorizont?

• Gelegentlich (Reise) → SmartHomeEntry Urlaubszugang (3-18 €)
• Dauerhaft, ein Zuhause → SmartHomeEntry Home (7 €/Mo.) oder Nabu Casa (~7,50 €/Mo.)
• Dauerhaft, viele Kunden (Installateur) → SmartHomeEntry Pro/Business (25-60 €/Mo.)
• Kostenlos, nur für sich → Tailscale Free-Tier

FAQ#

Kann man zwei Methoden parallel nutzen?#

Ja. Häufiges Setup: Tailscale für eigene Geräte + SmartHomeEntry für öffentliches HA-Sharing mit der Familie. Oder: Nabu Casa für Google Assistant + SmartHomeEntry für günstigeren Fernzugriff. Kein Konflikt auf HA-Ebene.

Welche Methode ist am sichersten?#

Tailscale und WireGuard sind am wenigsten „öffentlich sichtbar" (erfordern Client + Auth auf jedem Gerät). SmartHomeEntry und Nabu Casa geben eine öffentliche URL, geschützt durch Ihr HA-Passwort - Sicherheit hängt von Passwort-Qualität und MFA ab. Port-Forwarding ist am schwächsten.

Funktioniert Home Assistant Companion App (Android/iOS) mit jeder Methode?#

Ja - Sie geben die Serveradresse in der App ein, der Rest funktioniert identisch. Mit Tailscale die Tailnet-IP, mit Nabu Casa die lange URL, mit SmartHomeEntry die kurze Subdomain, mit VPN die lokale IP (nach VPN-Start).

Funktionieren Sprachbefehle (Google Assistant / Alexa) mit SmartHomeEntry?#

Nicht direkt. SmartHomeEntry ist ein Tunnel zum Web-Panel - keine Sprachassistenten-Bridge. Wenn Sie Google/Alexa brauchen, nutzen Sie Nabu Casa parallel (beide funktionieren konfliktfrei) oder HA Voice (lokal, Open-Source-Alternative in HA 2024+).

Welche Methoden funktionieren hinter CG-NAT bei Mobilfunkanbietern?#

• Port-Forwarding: funktioniert nicht (keine öffentliche IP).
• WireGuard / OpenVPN Self-Host: funktioniert nicht (VPN-Server braucht öffentliche IP).
• Tailscale: funktioniert (DERP-Relay).
• Nabu Casa: funktioniert (Cloud-Relay).
• SmartHomeEntry: funktioniert (Outbound-only-Agent).

Was ist mit DSGVO / Datenstandort?#

Tailscale: Koordinator in den USA (Self-Host via Headscale möglich). Nabu Casa: überwiegend US/GCP. SmartHomeEntry: Server in der EU (OVH Warschau). WireGuard Self-Host: bei Ihnen. Die Wahl hängt von Ihren Compliance-Anforderungen ab.

Zusammenfassung#

Es gibt keine einzelne „beste" Methode - es gibt die beste für Ihren Fall. Wenn Sie technischer Solo-Nutzer sind und volle Kontrolle wollen → Tailscale oder WireGuard. Wenn Sie Ruhe und Google Assistant wollen → Nabu Casa. Wenn Ihr Setup HA + Jellyfin + NAS + Familie ohne VPN-Verständnis ist - SmartHomeEntry.

Jede der beschriebenen Methoden ist eine reale Option - meiden Sie nur Port-Forwarding (ohne spezifischen Grund) und behalten Sie gesunden Skeptizismus gegenüber kostenlosen Tunneln (ngrok Free-Tier ändert die URL bei jedem Neustart).