Sicherheit

So funktioniert es

Der Agent auf Ihrem Rechner baut eine ausgehende Verbindung zu unserem Relay auf und hält sie offen. An Ihrem Router lauscht nichts, kein Port wird weitergeleitet, und Ihre IP-Adresse muss nicht öffentlich sein. Datenverkehr aus dem Internet erreicht zuerst uns, und wir reichen ihn über diese Verbindung an den einen Dienst weiter, den Sie angegeben haben.

Die HTTPS-Adresse Ihres Dienstes ist öffentlich: Wer sie kennt, sieht dessen Anmeldeseite. Den Zugang schützt das Login des Dienstes selbst, also wählen Sie ein starkes Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) - in Home Assistant finden Sie sie im Benutzerprofil.

Was der Agent auf Ihrem Server darf

• Sich mit einer lokalen Adresse verbinden, die Sie bei der Installation selbst angegeben haben (zum Beispiel localhost:8123).
• Auf unserer Seite einen lauschenden Port öffnen - ausschließlich den, der Ihrem Tunnel zugewiesen wurde.
• Melden, dass er läuft, sowie CPU- und Speicherauslastung, wenn Sie das Monitoring aktivieren.

Was der Agent nicht kann

Das sind keine Zusicherungen, sondern Grenzen, die die SSH-Serverkonfiguration erzwingt. Jede davon lässt sich im Quellcode des Agenten nachprüfen, der offen ist.

• Er verschafft weder Ihnen noch uns eine Shell auf Ihrem System. Das Konto des Tunnels hat /bin/false als Shell und einen erzwungenen Befehl - kein Kommando von außen wird ausgeführt.
• Er erreicht keine anderen Dienste auf Ihrem Rechner. Der SSH-Server erlaubt ausschließlich Remote-Weiterleitung, über den Tunnel lässt sich also weder Ihre Datenbank noch Ihr NAS noch sonst etwas in Ihrem Netz erreichen.
• Er nimmt keinen fremden Port. Jeder Schlüssel ist fest auf einen einzigen Port beschränkt, ein Kunde kann den Tunnel eines anderen nicht übernehmen.
• Er ändert die Zieladresse nicht. Die Fernsteuerung dieser Einstellung war implementiert und wurde bewusst entfernt: ein Einbruch in unsere Datenbank hätte sonst erlaubt, den Server eines Fremden ins Netz zu stellen.

Verschlüsselung

• SSH-Schlüssel: Ed25519, ein eigenes Paar pro Tunnel, erzeugt beim Anlegen.
• Privater Schlüssel in unserer Datenbank: verschlüsselt mit AES-256-GCM, Schlüssel abgeleitet über scrypt.
• Verkehr zu Ihnen: HTTPS vom Browser zu Cloudflare, das ihn an unser Relay weitergibt; vom Relay zu Ihrem Server - im SSH-Tunnel. HTTPS endet bei Cloudflare und am Relay, nicht auf Ihrem Server.
• Authentifizierung des Agenten: ausschließlich per Schlüssel. Passwort-Anmeldung ist deaktiviert.

Was wir über Sie speichern

Die vollständige Liste, ohne Auslassungen:

Wir speichern nicht den Inhalt des Verkehrs, der über uns läuft, und wir haben weder Ihr Home-Assistant-Passwort noch das eines anderen Dienstes - Sie melden sich dort direkt an. Eine Unterscheidung ist allerdings wichtig: nicht speichern heißt nicht nicht sehen. Die HTTPS-Verbindung endet an unserem Relay (und davor bei Cloudflare, das die Subdomains vor Angriffen schützt), technisch läuft der Verkehr dort also entschlüsselt durch. So arbeitet jeder Reverse Proxy, auch bei unseren Mitbewerbern. Wenn niemand auf dem Weg den Verkehr auch nur theoretisch lesen können soll, brauchen Sie Ende-zu-Ende-Verschlüsselung oberhalb der Tunnelschicht.

Was, wenn wir den Betrieb einstellen

Eine berechtigte Frage bei einem Dienst, von dem der Zugang zu Ihrem Zuhause abhängt. Die Antwort:

• Ihr Home Assistant, Ihr NAS oder was auch immer läuft lokal weiter. Der Tunnel ist ein Weg von außen hinein, keine Voraussetzung für den Betrieb.
• Sie verlieren keine Konfiguration - alles bleibt auf Ihrem Gerät.
• Den Agenten entfernen Sie wie jedes Programm: das Add-on in Home Assistant, den Container in Docker oder das Paket unter Linux. Er hinterlässt nur seine Konfigurationsdatei.
• Sie können zu Tailscale, WireGuard, Nabu Casa oder Portweiterleitung wechseln. Nichts bindet Sie an uns außer einem kündbaren Abonnement.

Eine Schwachstelle gefunden?

Schreiben Sie an [email protected]. Wir antworten innerhalb von 72 Stunden. Bitte melden Sie sich vor einer Veröffentlichung - wir beheben das Problem und halten Sie auf dem Laufenden.

Im Umfang: unsere Website, das Panel, das Relay und der Agent. Nicht im Umfang: Tunnel-Subdomains, denn dort laufen die Anwendungen unserer Kunden - fremde Server, für deren Test wir keine Erlaubnis erteilen können.