Home Assistant mit Cloudflare Tunnel – Fernzugriff ohne Portfreigabe

Home Assistant von unterwegs erreichen, ohne einen Port im Router zu öffnen und ohne Abo: Genau das macht ein Cloudflare Tunnel. Ich nutze ihn seit Langem als Add-on direkt in Home Assistant – darüber laufen nicht nur Home Assistant selbst, sondern auch ein paar andere Dienste aus meinem Heimnetz. Hier zeige ich die Einrichtung Schritt für Schritt, die Stolperfalle mit der configuration.yaml und was du für die Sicherheit tun solltest.

Kurzantwort

1. Eigene Domain bei Cloudflare verwalten lassen (kostenloser Tarif reicht).
2. In Home Assistant das Add-on „Cloudflared“ installieren und den gewünschten Hostnamen eintragen, z. B. ha.deine-domain.de.
3. In der configuration.yaml den Proxy erlauben (use_x_forwarded_for und trusted_proxies).
4. Add-on starten, einmal per Link bei Cloudflare anmelden – fertig.

Wie funktioniert ein Cloudflare Tunnel?

Statt dass das Internet zu dir nach Hause hereinkommt (Portfreigabe), baut Home Assistant selbst eine ausgehende Verbindung zu Cloudflare auf. Ruft jemand ha.deine-domain.de auf, landet die Anfrage bei Cloudflare und wird durch diesen Tunnel zu deinem Home Assistant geschickt. Das hat drei Vorteile:

• Kein offener Port am Router, deine IP-Adresse bleibt verborgen.
• Funktioniert auch ohne öffentliche IPv4, also bei DS-Lite, Glasfaser- und vielen Kabelanschlüssen, wo Portfreigaben gar nicht gehen.
• HTTPS automatisch: Das Zertifikat kommt von Cloudflare, du musst dich nicht um Let’s Encrypt kümmern.

Der Haken: Der Datenverkehr läuft über Cloudflare und wird dort entschlüsselt. Wer das nicht möchte, nimmt ein VPN (WireGuard, FRITZ!Box-VPN) oder Home Assistant Cloud von Nabu Casa. Einen Vergleich aller Wege findest du in Home Assistant aufrufen – Adresse, App und Zugriff von unterwegs.

Voraussetzungen

• Home Assistant OS (oder Supervised) – nur dort gibt es Add-ons.
• Eine eigene Domain, deren Nameserver auf Cloudflare zeigen. Eine .de-Domain kostet wenige Euro im Jahr; bei Cloudflare legst du ein kostenloses Konto an, fügst die Domain hinzu und trägst beim Anbieter der Domain die beiden Cloudflare-Nameserver ein.

Schritt 1: Add-on installieren

Das Add-on ist nicht im offiziellen Store, sondern in einem Community-Repository. In Home Assistant:

1. Einstellungen → Add-ons → Add-on Store, oben rechts die drei Punkte → Repositories.
2. Diese Adresse hinzufügen: https://github.com/brenner-tobias/ha-addons
3. Seite neu laden, „Cloudflared“ suchen und installieren.

Schritt 2: configuration.yaml anpassen

Das ist der Schritt, an dem die meisten hängen: Ohne ihn zeigt der Aufruf von außen nur „400: Bad Request“. Home Assistant lehnt Anfragen über einen Proxy ab, solange man ihm nicht sagt, dass er dem Add-on vertrauen darf. Öffne die configuration.yaml (z. B. mit dem Add-on „File editor“ oder „Studio Code Server“) und ergänze:

http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 172.30.33.0/24

172.30.33.0/24 ist das interne Netz, in dem Add-ons laufen. Gibt es bei dir schon einen http:-Abschnitt, ergänzt du nur die beiden Zeilen darin – ein zweites http: führt zu einem Fehler. Danach unter Entwicklerwerkzeuge → YAML → Konfiguration prüfen und Home Assistant neu starten.

Schritt 3: Add-on konfigurieren und starten

Im Add-on unter Konfiguration trägst du bei „External Home Assistant Hostname“ deine Wunschadresse ein, z. B. ha.deine-domain.de. Speichern, Add-on starten und in den Protokoll-Tab wechseln.

Beim ersten Start erscheint dort ein Link zu Cloudflare. Öffne ihn, melde dich an und wähle deine Domain aus. Das Add-on legt danach selbst den Tunnel und den DNS-Eintrag an. Nach etwa einer Minute ist Home Assistant unter https://ha.deine-domain.de erreichbar.

Aktiviere im Add-on noch „Beim Booten starten“ und den „Watchdog“, damit der Tunnel nach einem Neustart oder Absturz von selbst wiederkommt.

Schritt 4: Companion-App einrichten

In der Home-Assistant-App unter Einstellungen → Companion App → Server trägst du https://ha.deine-domain.de als externe URL ein. Als interne URL bleibt die Adresse im Heimnetz, und unter „Heimnetzwerk-WLAN“ dein WLAN-Name. Dann nutzt die App zu Hause den direkten Weg und unterwegs den Tunnel.

Bonus: weitere Dienste über denselben Tunnel

Das Add-on kann nicht nur Home Assistant veröffentlichen. Über die Option „Additional Hosts“ erreichst du auch andere Geräte im Heimnetz, zum Beispiel:

additional_hosts:
  - hostname: dienst.deine-domain.de
    service: http://192.168.178.20:8080

So läuft bei mir der Zugriff von außen auf mehrere Web-Anwendungen aus dem Heimnetz – ohne extra Reverse Proxy. Bedenke aber: Alles, was du hier einträgst, steht öffentlich im Internet. Veröffentliche nur Dienste, die eine eigene, gute Anmeldung haben.

Sicherheit: das solltest du zusätzlich tun

• Zwei-Faktor-Anmeldung in Home Assistant einschalten: Profil → Sicherheit → Multi-Faktor-Authentifizierung. Ab jetzt kann jeder im Internet deine Login-Seite sehen.
• Starke Passwörter für alle Benutzer, keine Konten ohne Passwort.
• In Cloudflare „Always Use HTTPS“ aktivieren (SSL/TLS → Edge-Zertifikate).
• Optional Länder sperren: Mit einer kostenlosen WAF-Regel kannst du Zugriffe von außerhalb Deutschlands blockieren. Achtung im Urlaub im Ausland.
• Vorsicht mit Cloudflare Access (zusätzliche Login-Seite davor): Das ist sehr sicher, aber die Companion-App kommt damit nicht klar. Für reine Browser-Dienste ist es eine gute Wahl.

Häufige Fehler

• 400: Bad Request – der http:-Abschnitt in der configuration.yaml fehlt oder Home Assistant wurde danach nicht neu gestartet.
• Fehler 1033 von Cloudflare – der Tunnel ist nicht verbunden. Läuft das Add-on? Im Protokoll nach Fehlern schauen.
• App verbindet sich unterwegs nicht – externe URL in der App prüfen, und ob Cloudflare Access davor hängt.

Fazit

Für mich ist der Cloudflare Tunnel der bequemste Weg, Home Assistant von unterwegs zu nutzen: einmal eingerichtet, läuft er unauffällig, braucht keine Portfreigabe und kostet nichts außer der Domain. Wer Cloudflare nicht in die Verbindung lassen will, ist mit einem VPN oder Nabu Casa besser bedient – für alle anderen ist das Add-on in zehn Minuten erledigt.