Fernzugriff auf Home Assistant vom iPhone: die Möglichkeiten im Vergleich

Wie die App von unterwegs nach Hause kommt

Die Home Assistant-App nutzt die „Interne URL“ nur in den WLANs, die für deinen Server eingetragen sind. Überall sonst nutzt sie Home Assistant Cloud, wenn der Schalter dafür an ist, und sonst die „Externe URL“. Fernzugriff heißt also immer, der App eine zweite Adresse zu geben, über Home Assistant Cloud oder als „Externe URL“, unter Einstellungen > Companion-App > dein Server. iOS lässt die App dein Zuhause nur am WLAN-Namen erkennen, ein VPN zählt also nie als Zuhause. Die Felder unter Einstellungen > System > Netzwerk > Home-Assistant-URL in Home Assistant sagen anderen Geräten, wo Home Assistant zu finden ist; die App richten sie nicht ein.

Die Möglichkeiten im Vergleich

Alle fünf funktionieren mit der offiziellen App und mit anderen Apps, die eine interne und eine externe Adresse nehmen. Die Wege, die von deinem Zuhause aus nach draußen verbinden, funktionieren auch, wenn dein Anbieter dir keine öffentliche IPv4-Adresse gibt (CGNAT oder DS-Lite, siehe unten).

Home Assistant Cloud: nichts am Router einrichten

Home Assistant Cloud ist ein Abo von Nabu Casa, der Firma, die die Entwicklung von Home Assistant finanziert. Die Fernverbindung läuft von deinem Zuhause aus nach draußen, es wird also kein Port geöffnet, und sie funktioniert an jedem Internetanschluss. Im Euroraum kostet sie 7,50 € im Monat oder 75 € im Jahr inklusive Steuer, nach 31 Tagen Testzeit ohne Zahlungsdaten. Am 2. Dezember 2026 wird daraus Home Assistant Link; laut Nabu Casa bleibt das Abo dasselbe, und du musst nichts tun.

• In Home Assistant: Melde dich unter Einstellungen > Home Assistant Cloud an, öffne „Fernzugriff“ und schalte die „Fernverbindung“ ein.
• In der App: Öffne in „Server-Details“ die „Externe URL“ und schalte Home Assistant Cloud ein. Der Schalter erscheint dort erst, wenn die „Fernverbindung“ an ist. Eine andere „Externe URL“ brauchst du nicht: Solange der Schalter an ist, nutzt die App keine.
• Auf dem iPhone: Du musst nichts weiter installieren. Unterwegs laufen auch Standort- und Sensor-Updates über Nabu Casa.
• Wenn es nicht verbindet: Prüfe, ob das Abo aktiv und die „Fernverbindung“ an ist. Ein Home Assistant-Benutzer mit „Nur lokaler Zugriff“ unter Einstellungen > Personen kann sich von draußen nicht anmelden.

Tailscale: kostenlos, ohne offenen Port am Router

Tailscale verbindet deine Geräte in einem eigenen privaten Netz. Home Assistant tritt ihm über die Tailscale-App unter Einstellungen > Apps bei, das iPhone über die Tailscale-App aus dem App Store. Der private Tarif ist für bis zu sechs Nutzer kostenlos, und beide Seiten verbinden sich nach draußen, deshalb klappt es auch hinter CGNAT.

• In Home Assistant: Installiere Tailscale unter Einstellungen > Apps und melde dich an. Schalte in der Admin-Konsole von Tailscale den Schlüsselablauf für den Home Assistant-Rechner aus, sonst fällt er nach 180 Tagen heraus.
• HTTPS mit Serve: Schalte in der Admin-Konsole MagicDNS und HTTPS ein. Setz die Option share_homeassistant der Tailscale-App auf serve, schalte dann in Home Assistant unter Einstellungen > System > Netzwerk > HTTP-Server „X-Forwarded-For vertrauen“ ein und trag 127.0.0.1 unter „Vertrauenswürdige Proxys“ ein. Home Assistant antwortet dann unter https://homeassistant.<tailnet>.ts.net, ohne Port; der erste Teil ist der Name des Rechners in Tailscale.
• In der App: Trag diese Adresse als „Externe URL“ ein. Eine einfache Adresse wie http://100.101.102.103:8123 funktioniert dort auch, ebenso deine lokale IP über einen Subnet-Router. Es muss die „Externe URL“ sein, weil die App ein VPN nie als Zuhause behandelt.
• Auf dem iPhone: Die Tailscale-App muss unterwegs verbunden sein. „VPN On Demand“ in ihren Einstellungen verbindet sie im Mobilfunknetz und in jedem WLAN außer deinem Heimnetz. iOS betreibt immer nur ein VPN, ein Werbeblocker oder ein Firmen-VPN, das den VPN-Platz belegt, schaltet Tailscale also ab.
• Serve statt Funnel: Funnel stellt Home Assistant offen ins Internet. Serve hält es in deinem eigenen Tailscale-Netz.

Cloudflare Tunnel: kostenlos mit eigener Domain

Die Cloudflared-App baut einen Tunnel von Home Assistant nach draußen zu Cloudflare auf, das Home Assistant unter einem Namen deiner Domain veröffentlicht. Der Tunnel ist kostenlos; die Domain muss das DNS von Cloudflare nutzen. Cloudflare entschlüsselt den Verkehr auf seinen Servern, und die Anmeldeseite ist offen im Internet, solange nichts davorsteht.

• In Home Assistant: Installiere die Community-App Cloudflared, setz external_hostname auf den gewünschten Namen, etwa ha.example.com, und bestätige den Tunnel über den Link in ihrem Protokoll. Schalte danach unter Einstellungen > System > Netzwerk > HTTP-Server „X-Forwarded-For vertrauen“ ein und trag 172.30.33.0/24 unter „Vertrauenswürdige Proxys“ ein.
• In der App: Trag https://ha.example.com als „Externe URL“ ein, ohne Port.
• Fehler 400: Der vertrauenswürdige Proxy fehlt. Das Protokoll von Home Assistant nennt die Adresse, die es gesehen hat, in „A request from a reverse proxy was received from“ oder „Received X-Forwarded-For header from an untrusted proxy“.
• Standort aktualisiert sich nicht (503): Bot Fight Mode, Browser Integrity Check oder eine Firewall-Regel von Cloudflare blockiert die Anfragen der App, was das Ereignisprotokoll der App als Statuscode 503 zeigt. Leg eine eigene Regel an, die für deinen Home Assistant-Hostnamen die übrigen Sicherheitsregeln überspringt.
• Cloudflare Access: Die App schafft eine Anmeldung bei Access nicht zuverlässig, und Widgets und Standort-Updates können dessen Cookie nicht mitschicken. Nimm den Hostnamen von Home Assistant aus Access heraus oder schütze ihn mit einem Client-Zertifikat, das die App unter „Clientzertifikat“ in „Server-Details“ importiert.

WireGuard auf dem Router, etwa der FRITZ!Box

Viele Router betreiben selbst einen WireGuard-VPN-Server, die FRITZ!Box seit FRITZ!OS 7.50. Das iPhone verbindet sich mit der kostenlosen WireGuard-App nach Hause, und offen ist nur der VPN-Port des Routers, nicht Home Assistant. Der Router muss aus dem Internet erreichbar sein: mit einer öffentlichen IPv4-Adresse, oder bei DS-Lite nur über IPv6, aus Netzen, die ebenfalls IPv6 haben.

• An der FRITZ!Box: Füge unter Internet > Freigaben > VPN (WireGuard) eine Verbindung für ein einzelnes Gerät hinzu und scanne ihren QR-Code mit der WireGuard-App. Bewahre den QR-Code so sicher auf wie ein Passwort.
• In der App: Trag die Adresse, die du durch den Tunnel erreichst, als „Externe URL“ ein, meist die lokale IP, etwa http://192.168.178.20:8123. Namen auf homeassistant.local lösen sich durch den Tunnel nicht auf.
• Auf dem iPhone: Schalte in der WireGuard-App On-Demand für Mobilfunk und für WLAN außer deinem Heimnetz ein. Das Profil der FRITZ!Box schickt allen Verkehr über dein Zuhause; wenn du Allowed IPs auf dein Heimnetz begrenzt, läuft der Rest direkt.
• Gleicher Bereich anderswo: Jede FRITZ!Box nutzt ab Werk 192.168.178.x, in einem anderen FRITZ!Box-Netz erreicht der Tunnel also keine Adresse, die es dort auch gibt. Gib deinem Heimnetz einen anderen Bereich, wenn das passiert.

Portfreigabe: kostenlos, aber offen

Eine Portfreigabe im Router zu Home Assistant, mit einem kostenlosen DuckDNS-Namen und einem Zertifikat von Let's Encrypt, kostet nichts, stellt aber die Anmeldung von Home Assistant offen ins Internet. Über IPv4 funktioniert sie hinter CGNAT oder DS-Lite nicht.

• Name und Zertifikat: Die offizielle DuckDNS-App hält den Namen auf dein Zuhause gerichtet und holt das Zertifikat. Seit Home Assistant 2026.8 trägst du die Zertifikatsdateien unter Einstellungen > System > Netzwerk > HTTP-Server im Abschnitt SSL/TLS ein.
• Router: Gib einen Port von außen auf den Port von Home Assistant frei und nutze nur https. Die Alternative ist ein Reverse-Proxy wie NGINX auf Port 443; er braucht die oben beschriebene Einstellung für vertrauenswürdige Proxys.
• In der App: Nimm https://name.duckdns.org:8123 oder den Namen deines Proxys als „Externe URL“. Liegt das Zertifikat auf Home Assistant selbst, klappt einfaches http auch zu Hause nicht mehr, die App braucht dort also ebenfalls den öffentlichen Namen, was nur geht, wenn der Router ihn zurück ins Heimnetz leitet.
• Absichern: Nutze ein langes Passwort und Zwei-Faktor-Authentifizierung, schalte in den Einstellungen des HTTP-Servers die IP-Sperre ein und halte Home Assistant aktuell.

Hast du eine öffentliche IPv4-Adresse?

Vergleiche die IPv4-Adresse, die dein Router für seine Internetverbindung zeigt, mit der, die eine Website zum Anzeigen der eigenen IP nennt. Weichen sie ab, oder ist die Adresse des Routers privat oder liegt zwischen 100.64 und 100.127, teilst du dir eine Adresse mit anderen Kunden, und über IPv4 erreicht dich von draußen nichts. Eine FRITZ!Box zeigt einen DS-Lite-Tunnel unter Internet > Online-Monitor. Home Assistant Cloud, Tailscale und Cloudflare Tunnel funktionieren trotzdem, weil sie nach draußen verbinden. Portfreigabe und ein VPN auf dem Router brauchen dann IPv6 oder eine öffentliche IPv4-Adresse von deinem Anbieter, oft gegen Aufpreis.

Mitteilungen kommen so oder so an

Mitteilungen erreichen das iPhone über den kostenlosen Push-Dienst von Home Assistant und Apple, egal welchen Fernzugriff du nutzt, solange Home Assistant selbst online ist; der Dienst erlaubt 500 pro Tag und Gerät. Einen Weg zurück nach Hause brauchen Aktionsschaltflächen und Bilder, die per Adresse angehängt sind. Mit Home Assistant Cloud laufen sie über Nabu Casa, sonst über die „Externe URL“; ist ein VPN aus, schlägt eine Aktionsschaltfläche fehl.

Wo Vulpo passt

Vulpo ist eine native Home Assistant-App für iPhone, iPad, Mac und Apple Watch. Vulpo nimmt dieselben zwei Adressen, eine „Interne URL“ für deine WLANs und eine „Externe URL“ für überall sonst, jeder Weg oben funktioniert also auch damit. Mit Home Assistant Cloud kann Vulpo die Fernadresse selbst übernehmen, und antwortet eine Adresse nicht mehr, versucht Vulpo die andere. Vulpo verbindet sich direkt mit deinem Home Assistant, ohne eigene Server dazwischen. Vulpo braucht iOS 26 oder neuer. Vulpo stammt vom Herausgeber dieser Website.