Home Assistant VPN Setup: Sichere Remote-Zugriffe ohne Port-Forwarding

💡 Warum dein Home Assistant nicht nackt ins Internet gehört

Du hast dein Smart Home liebevoll aufgebaut: Zigbee-Lampen, Shelly-Aktoren, ein paar ESPHome-Sensoren, automations bis der Arzt kommt – und jetzt willst du von der Arbeit, aus den Ferien oder vom Gspänli-Café in Zürich-Oerlikon drauf zugreifen. Klar, Port 8123 aufmachen, DynDNS einrichten, Let’s Encrypt Zertifikat – fertig.

Bitte nicht.

Das ist 2015-Denken. Heute scannen Bots rund um die Uhr nach offenen Home Assistant Instanzen. Shodan zeigt tausende exponierte UIs – viele ohne 2FA, manche noch mit Standard-Passwörtern. Ein offener Port ist eine Einladung. Und nein, „ich habe ein starkes Passwort“ reicht nicht. Brute-Force, Credential Stuffing, Exploits in alten HA-Versionen – das Risiko ist real.

Die bessere Lösung: VPN. Kein offener Port, kein DynDNS-Gefrickel, kein Zertifikats-Stress. Du verbindest dich in dein Heimnetz, als wärst du daheim. Ende.

In der Schweiz, wo Swisscom, Sunrise, Salt & Co. oft CGNAT (Carrier Grade NAT) nutzen, ist klassisches Port-Forwarding eh oft unmöglich. VPN umgeht das elegant. Ob WireGuard auf der Fritz!Box, Tailscale auf dem HA-Add-on oder ein kommerzieller Anbieter wie NordVPN mit Meshnet – wir schauen uns die Optionen an, die hier funktionieren.

Ich nutze seit Jahren WireGuard direkt auf meiner Fritz!Box 7590 – stabil, schnell, zero maintenance. Aber ich kenne genug Leute, die mit Tailscale in 5 Minuten glücklich waren. Es gibt keine eine Lösung – aber es gibt deine Lösung. Lass uns finden, welche das ist.

📊 VPN-Lösungen für Home Assistant im Vergleich – Was in der Schweiz wirklich funktioniert

Die Tabelle zeigt deutlich: Tailscale ist für 90 % der Schweizer Nutzer die pragmatischste Wahl. Warum? Weil fast alle günstigen Anbieter (Salt, Sunrise, Quickline, Yallo, Wingo, Digital Republic) CGNAT nutzen – öffentliche IPv4 gibt’s nur noch bei Swisscom (auf Anfrage), Sunrise Business oder teuren Business-Tarifen. Ohne öffentliche IP ist klassisches WireGuard auf Router/Pi nicht direkt erreichbar. Tailscale und NordVPN Meshnet lösen das via NAT-Traversal (DERP-Relays / Koordinationsserver).

Wer bereits eine Fritz!Box hat und öffentliche IPv4 (Swisscom «Internet L/M/XL» mit fester IP oder Sunrise Business) – der fährt mit nativem WireGuard auf der Box am besten: schnellste Latenz, null Abhängigkeiten, läuft seit Jahren bei mir ohne Neustart.

Nabu Casa ist bequem, aber: 7.50 $/Monat für nur Remote-Zugriff? Wenn du eh schon einen VPN-Anbieter für Streaming/Privacy nutzt (z. B. NordVPN), ist Meshnet gratis dabei. Und Tailscale ist für Privatnutzer kostenlos.

Ein oft übersehener Punkt: Lokale Geschwindigkeit. Wenn du per VPN auf HA zugreifst, willst du Dashboards sofort sehen – keine 3 Sek. Ladezeit. WireGuard (Kernel) und NordLynx (Userland, aber optimiert) sind hier unschlagbar. Tailscale nutzt auch WireGuard, aber der DERP-Relay bei schwierigen NATs kann Latenz bringen. In der Praxis: im selben LAN/WiFi < 1 ms, über Mobile Data (Salt 5G) ca. 20–40 ms – kaum spürbar.

😎 MaTitie SHOW TIME

Hi, ich bin MaTitie – Autor dieses Posts, VPN-Tester aus Leidenschaft und jemand, der schon mehr „geblockte“ Ecken des Internets gesehen hat, als er zugeben mag.
Mal ehrlich – worauf es ankommt 👇

Zugriff auf Plattformen wie Phub*, OnlyFans oder TikTok in der Schweiz wird immer kniffliger – und dein Lieblingsdienst könnte der nächste sein. Wenn du Speed, Privatsphäre und echten Streaming-Zugriff willst – spar dir das Raten.
👉 🔐 NordVPN jetzt testen – 30 Tage risikofrei. 💥 🎁 Funktioniert in der Schweiz einwandfrei, und wenn’s nicht passt: volle Rückerstattung.
Kein Risiko. Kein Drama. Einfach Zugriff. Dieser Post enthält Affiliate-Links. Wenn du darüber kaufst, verdient MaTitie eine kleine Provision.
(Danke, Bruder – Geld ist wichtig. Merci im Voraus! Much love ❤️)

💡 Praxis-Tipps: So machst du’s richtig – ohne Schmerzen

Du hast dich entschieden? Super. Hier sind die Fallstricke, in die fast alle mal tappen – und wie du sie vermeidest.

1. Tailscale + Home Assistant Add-on = 3 Minuten Setup
Installiere das offizielle „Tailscale“ Add-on im HA Supervisor. Starte es, logge dich mit GitHub/Google/Microsoft ein (kein Passwort nötig), und fertig. Dein HA ist jetzt unter http://homeassistant.local:8123 oder http://<tailscale-ip>:8123 von jedem Gerät im Tailnet erreichbar – Handy, Laptop, Tablet. Kein Port, kein Zertifikat, kein DNS.

Pro-Tipp: Aktiviere in Tailscale „MagicDNS“ – dann erreichst du HA einfach via http://ha:8123 von überall. Funktioniert sogar auf dem Handy im 5G-Netz von Salt in der SBB-Bahn. Getestet. Läuft.

2. WireGuard auf Fritz!Box: Nicht vergessen – „DNS-Server setzen“
In der Fritz!Box unter Internet > Freigaben > VPN > WireGuard einrichten. Wichtig: DNS-Server auf deine lokale IP (z. B. 192.168.178.1 oder Pi-hole/AdGuard Home IP) setzen. Sonst löst dein Handy homeassistant.local nicht auf – und du rätselst, warum die App „Verbinden…“ zeigt.

3. Split Tunneling: Nur HA-Traffic durch den Tunnel
Auf dem Handy (Android/iOS) in der WireGuard/Tailscale/NordVPN App: Split Tunneling aktivieren → nur 192.168.x.x / 10.x.x.x / homeassistant.local durch den VPN schicken. Dein YouTube, Spotify, Surfen läuft direkt – spart Akku, Latenz, und dein VPN-Anbieter sieht nicht deinen ganzen Traffic.

4. 2FA in Home Assistant – immer, auch per VPN
VPN schützt den Zugang, aber nicht die Anmeldung. Wenn dein Handy geklaut wird und Tailscale/WireGuard läuft: HA ist offen. Also: 2FA (TOTP) in HA Pflicht. Am besten noch: „Trusted Networks“ in configuration.yaml so setzen, dass nur VPN-IP-Ranges als vertrauenswürdig gelten – dann sparst du dir 2FA im VPN, hast es aber ausserhalb.

http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 100.64.0.0/10  # Tailscale CGNAT Range
    - 10.0.0.0/8     # Typisches WireGuard Subnetz
  ip_ban_enabled: true
  login_attempts_threshold: 5

5. Backup-Zugriff planen
Was, wenn Tailscale down ist? (Kam 2023 vor – 2h Ausfall). Oder Fritz!Box crasht? Richte einen zweiten Weg ein: z. B. Nabu Casa nur als Backup (kann man monatlich kündigen) oder einen zweiten VPN-Anbieter (Mullvad, ProtonVPN) mit WireGuard Config auf dem Handy. Kostet fast nix, schläft ruhiger.

Ich hab’s gemacht: Primär Tailscale (gratis, CGNAT-sicher), Backup NordVPN Meshnet (inkl. im Abo), Notfall Nabu Casa (1 Monat gratis testen). Drei Wege, null Stress.

🙋 Frequently Asked Questions

❓ Brauche ich wirklich ein VPN für Home Assistant, wenn ich Nabu Casa nutze?

💬 Nabu Casa ist super bequem und verschlüsselt – aber es geht über deren Cloud. Wenn du volle Kontrolle, null Abhängigkeit und maximale Privatsphäre willst, ist ein eigenes VPN (z. B. WireGuard auf dem Router) der Goldstandard. Besonders in der Schweiz, wo Datenschutz grossgeschrieben wird, schlafen viele ruhiger, wenn der Traffic nicht über US-Server läuft.

🛠️ Funktioniert WireGuard auf einer Fritz!Box oder Swisscom Router für Home Assistant?

💬 Auf der Fritz!Box: absolut, läuft stabil und ist in 10 Minuten eingerichtet. Bei Swisscom-Routern (Internet-Box) ist es komplizierter – die unterstützen kein natives WireGuard. Da hilft entweder ein separater Raspberry Pi / Mini-PC als VPN-Server im LAN oder ein GL.iNet Reise-Router im Client-Modus. Viele Schweizer Nutzer schwören auf die Fritz!Box 7590/7690 genau deshalb.

🧠 Was ist besser: Tailscale oder klassisches WireGuard für Home Assistant?

💬 Tailscale ist “WireGuard für Leute, die keine Config-Files schreiben wollen”. Funktioniert out-of-the-box, sogar durch CGNAT (häufig bei Salt, Sunrise, Quickline). Perfekt, wenn du schnell starten willst. Klassisches WireGuard gibt dir mehr Kontrolle, keine Abhängigkeit von Tailscale-Servern (Coordination Server), und läuft direkt auf deiner Hardware. Für Privacy-Maximalisten in der Schweiz: Self-hosted WireGuard + eigener DNS (z. B. AdGuard Home).

🧩 Final Thoughts…

Home Assistant per VPN erreichbar zu machen, ist kein Luxus mehr – es ist Hygiene. Wie Zähneputzen. Oder das Abschliessen der Haustür. In der Schweiz, wo CGNAT Standard ist und Datenschutz nicht nur Buzzword ist, hast du mit Tailscale den einfachsten, sichersten, kostenlosen Einstieg. Wer Hardware hat und öffentliche IP: WireGuard auf Fritz!Box ist der Performance-König. Und wer eh einen VPN für Streaming/Privacy braucht: NordVPN Meshnet killt zwei Fliegen mit einer Klappe.

Was du nicht brauchst: Offene Ports. DynDNS. Selbstsignierte Zertifikate. Hoffnung.

Such dir deinen Weg. Setz ihn um. Test ihn jetzt – nicht wenn du in den Ferien in Teneriffa stehst und die Heizung nicht runterfährt.

Und falls du noch keinen richtigen VPN hast: NordVPN läuft bei mir seit Jahren – schnell, auditiert, Schweizer Support, 30 Tage Geld-zurück. Probier’s. Schlimmstenfalls hast du 30 Tage gratis Premium-Privatsphäre. Bestenfalls: dein neues Standard-Tool.

📚 Further Reading

Hier sind 3 aktuelle Artikel, die mehr Kontext geben – alle aus verifizierten Quellen. Schau rein 👇

🔸 Don’t miss a second of the new 2026/27 Premier League season: Get a Surfshark VPN deal with huge 86% saving
🗞️ Source: FourFourTwo – 📅 2026-08-25
🔗 Read Article

🔸 BBC fights Trump’s $10 billion lawsuit over VPN jurisdiction limits
🗞️ Source: TechRadar – 📅 2026-08-25
🔗 Read Article

🔸 Best Free VPN for PC 2026: Top 6 Free VPNs for Windows 11
🗞️ Source: Gizmodo – 📅 2026-08-25
🔗 Read Article

😅 A Quick Shameless Plug (Hope You Don’t Mind)

Let’s be honest — most VPN review sites put NordVPN at the top for a reason.
It’s been our go-to pick at Top3VPN for years, and it consistently crushes our tests.

💡 It’s fast. It’s reliable. It works almost everywhere.

Yes, it’s a bit more expensive than others —
But if you care about privacy, speed, and real streaming access, this is the one to try.

🎁 Bonus: NordVPN offers a 30-day money-back guarantee.
You can install it, test it, and get a full refund if it’s not for you — no questions asked.

📌 Disclaimer

This post blends publicly available information with a touch of AI assistance. It’s meant for sharing and discussion purposes only — not all details are officially verified. Please take it with a grain of salt and double-check when needed. If anything weird pops up, blame the AI, not me—just ping me and I’ll fix it 😅.