Home Assistant von unterwegs: Tailscale oder Cloudflare

Zu Hause läuft Home Assistant perfekt, aber sobald Du das Haus verlässt, zeigt die App nur noch „Keine Verbindung“. Der klassische Rat lautet, einen Port im Router freizugeben. Das ist aus zwei Gründen keine gute Idee: Erstens steht Deine Smart-Home-Zentrale dann offen im Internet, und jeder Bot der Welt probiert dort Passwörter aus. Zweitens funktioniert es bei vielen Anschlüssen gar nicht, weil Glasfaser- und Kabelanbieter oft nur DS-Lite liefern. Dann hat Dein Anschluss keine eigene öffentliche IPv4-Adresse, und eine Portfreigabe läuft ins Leere.

Es gibt drei Wege, die ohne offenen Port und auch mit DS-Lite funktionieren. Dieser Artikel vergleicht sie, empfiehlt einen davon für die meisten Haushalte und zeigt die Einrichtung Schritt für Schritt. Stand ist Home Assistant 2026.11 mit Home Assistant OS.

Die drei Wege im Überblick

Tailscale baut ein verschlüsseltes Netz auf Basis von WireGuard zwischen Deinen eigenen Geräten auf. Home Assistant bleibt für das Internet unsichtbar, nur Dein iPhone, Dein Laptop und andere Geräte in Deinem Tailscale-Konto erreichen es. Der Personal-Tarif ist laut Preisübersicht von Tailscale dauerhaft kostenlos, mit bis zu sechs Benutzern und unbegrenzt vielen Geräten, solange Du ihn nicht geschäftlich nutzt.

Cloudflare Tunnel verbindet Home Assistant von innen nach außen mit Cloudflare. Cloudflare stellt dann eine öffentliche Adresse wie ha.deinedomain.de bereit. Das funktioniert in jedem Browser ohne zusätzliche App, setzt aber eine eigene Domain bei Cloudflare voraus, und die Anmeldeseite von Home Assistant steht wieder im Internet.

Nabu Casa ist der Bezahldienst der Firma hinter Home Assistant. Laut Preisseite von Nabu Casa kostet er 7,50 € im Monat oder 75 € im Jahr zuzüglich Steuern und heißt ab dem 2. Dezember 2026 „Home Assistant Link“. Der Fernzugriff ist mit einem Klick eingerichtet, dazu kommen die Anbindung an Alexa und Google Assistant sowie Backups in der Cloud, und das Geld finanziert die Entwicklung von Home Assistant mit.

Welchen Weg Du nehmen solltest

Für die meisten Haushalte ist Tailscale die beste Wahl. Es kostet nichts, es öffnet nichts nach außen, und es funktioniert mit DS-Lite genauso wie mit jedem anderen Anschluss. Der einzige Preis ist, dass auf jedem Handy der Familie die Tailscale-App laufen muss. Dafür kannst Du über dasselbe Netz auch andere Dienste zu Hause erreichen, etwa eine Fotocloud wie Immich oder den Router.

Nimm Nabu Casa, wenn Dir die Sprachsteuerung über Alexa oder Google wichtig ist, wenn Familienmitglieder keine zusätzliche App wollen oder wenn Du das Projekt ohnehin unterstützen möchtest. Für 75 € im Jahr bekommst Du den bequemsten Weg ohne jede Bastelei.

Cloudflare Tunnel lohnt sich vor allem, wenn Du schon eine Domain bei Cloudflare hast und Home Assistant auch auf fremden Geräten im Browser öffnen willst. Schütze die Adresse dann zusätzlich mit Cloudflare Access, damit vor der Anmeldeseite von Home Assistant noch eine zweite Prüfung steht.

Tailscale in Home Assistant einrichten

1. Konto anlegen

Erstelle auf tailscale.com ein kostenloses Konto. Die Anmeldung läuft über ein bestehendes Konto bei Apple, Google, Microsoft oder GitHub. Mit genau diesem Konto meldest Du später alle Geräte an.

2. Tailscale-App in Home Assistant installieren

Öffne in Home Assistant Einstellungen > Apps und suche im Store nach Tailscale. Die App stammt aus dem Repository der Home Assistant Community Add-ons, das standardmäßig eingebunden ist. Installiere sie, aktiviere Beim Booten starten und starte sie.

Öffne danach die Weboberfläche der App. Sie zeigt einen Link zur Anmeldung bei Tailscale. Melde Dich mit Deinem Konto an und bestätige, dass Home Assistant zu Deinem Netz hinzugefügt wird.

3. Schlüsselablauf abschalten

Tailscale meldet Geräte aus Sicherheitsgründen nach einiger Zeit ab, und dann müsstest Du Home Assistant neu anmelden. Für einen Server zu Hause ist das lästig. Öffne die Admin-Konsole von Tailscale, klicke beim Eintrag homeassistant auf das Menü mit den drei Punkten und wähle Disable key expiry. Das empfiehlt auch die Doku der App.

4. Tailscale auf dem iPhone einrichten

Installiere die App Tailscale aus dem App Store, melde Dich mit demselben Konto an und erlaube die VPN-Konfiguration. In der App siehst Du jetzt Home Assistant mit einer Adresse, die mit 100. beginnt, und einem Namen wie homeassistant.

Öffne in Safari zum Test http://homeassistant:8123. Bei neueren Installationen von Home Assistant OS ist der Standardport seit Version 2026.8 der Port 80, dann reicht http://homeassistant. Erscheint die Anmeldeseite, während das iPhone im Mobilfunknetz und nicht im WLAN ist, funktioniert der Zugriff.

5. Die Home-Assistant-App anpassen

Die Companion-App muss wissen, dass sie unterwegs eine andere Adresse nutzen soll. Öffne in der App Einstellungen > Companion App, tippe auf Deinen Server und trag bei der Adresse für den Zugriff von außen den Tailscale-Namen ein, also http://homeassistant:8123 oder http://homeassistant. Im Heimnetz nutzt die App weiter die lokale Adresse, unterwegs wechselt sie automatisch, solange Tailscale auf dem iPhone verbunden ist.

Damit Du nicht daran denken musst, Tailscale einzuschalten, aktivierst Du in der Tailscale-App die Option, das VPN bei Bedarf automatisch zu verbinden. Unterwegs ist Home Assistant dann einfach da.

Optional: HTTPS mit gültigem Zertifikat

Die Tailscale-App in Home Assistant kann über Tailscale Serve eine Adresse wie https://homeassistant.tail1234.ts.net mit echtem Zertifikat bereitstellen, die nur in Deinem Tailscale-Netz erreichbar ist. Das ist schöner als die Warnungen bei http://. Laut Doku der App sind dafür drei Schritte nötig: In der Tailscale-Admin-Konsole aktivierst Du unter DNS sowohl MagicDNS als auch HTTPS-Zertifikate. In der Konfiguration der App stellst Du die Option share_homeassistant auf serve. Und in Home Assistant trägst Du unter Einstellungen > System > Netzwerk im Bereich des HTTP-Servers die Adresse 127.0.0.1 als vertrauenswürdigen Proxy ein und erlaubst den Header X-Forwarded-For. Ohne diesen letzten Schritt blockiert Home Assistant die Anfragen.

Cloudflare Tunnel in Kurzform

Wenn Du den Weg über Cloudflare gehen willst, brauchst Du eine Domain, deren DNS bei Cloudflare liegt. Im Dashboard von Cloudflare legst Du unter Zero Trust einen Tunnel an und bekommst ein Token. Den Tunnel-Client cloudflared betreibst Du als App in Home Assistant oder als Container auf einem anderen Gerät im Heimnetz. Im Tunnel ordnest Du dann einen öffentlichen Namen wie ha.deinedomain.de der internen Adresse von Home Assistant zu. Die Einzelheiten beschreibt die offizielle Dokumentation zu Cloudflare Tunnel.

Zwei Punkte entscheiden darüber, ob es klappt. Home Assistant akzeptiert Anfragen über einen Proxy nur, wenn Du unter Einstellungen > System > Netzwerk beim HTTP-Server X-Forwarded-For erlaubst und die IP-Adresse des Rechners mit cloudflared als vertrauenswürdigen Proxy einträgst. Läuft cloudflared als App direkt in Home Assistant, ist das ein Netz im Bereich 172.30.32.0/23. Und weil die Anmeldeseite danach öffentlich ist, solltest Du in Home Assistant für jedes Konto die Zwei-Faktor-Anmeldung einschalten und vor die Adresse eine Cloudflare-Access-Regel setzen, die nur Deine E-Mail-Adresse durchlässt.

Häufige Probleme

Die App verbindet sich unterwegs nicht, obwohl Safari die Seite öffnet. Dann steht in der Companion-App noch die alte oder gar keine externe Adresse. Prüfe die Servereinstellungen in der App und starte sie einmal komplett neu.

Nach ein paar Monaten ist Home Assistant nicht mehr erreichbar. Fast immer ist der Schlüssel abgelaufen, weil der Ablauf nicht abgeschaltet war. Melde die App in Home Assistant über ihre Weboberfläche neu an und schalte den Ablauf danach in der Admin-Konsole ab.

Nach dem Einrichten von Serve oder Cloudflare erscheint „400: Bad Request“. Das ist die Schutzfunktion von Home Assistant gegen unbekannte Proxys. Trag den Proxy wie oben beschrieben in den Netzwerkeinstellungen ein. Eine Änderung dort startet Home Assistant neu, und Du musst sie innerhalb von fünf Minuten bestätigen, sonst setzt Home Assistant sie zurück.

Alternative mit eigenem Server. Wer ohnehin einen VPS betreibt, kann statt Tailscale auch ein eigenes WireGuard-VPN aufsetzen. Wie das geht, zeigt WireGuard-VPN auf einem Ubuntu-Droplet einrichten. Tailscale nimmt Dir diese Arbeit allerdings komplett ab.