Bewertete Sicherheitspraktiken¶

Diese Anleitung behandelt Sicherheitsaspekte für aiohomematic und die Homematic(IP) Local Integration.

Übersicht¶

aiohomematic kommuniziert mit dem Homematic-Backend (CCU/Homegear) über XML-RPC- und JSON-RPC-Protokolle. Die Absicherung dieser Kommunikation schützt das Smart Home vor unautorisiertem Zugriff.

CCU, OpenCCU (RaspberryMatic) und Homegear hatten in der Vergangenheit schwerwiegende Sicherheitslücken, einschließlich nicht authentifizierter Remote-Code-Ausführung. Das Backend niemals dem Internet aussetzen und die Firmware stets aktuell halten.

Bekannte Backend-Schwachstellen¶

Kritisch: Niemals dem Internet aussetzen¶

Homematic-Backends (CCU2, CCU3, OpenCCU, Homegear) sind nicht für den Internetzugang konzipiert. Historische Schwachstellen umfassen:

Erforderliche Maßnahmen¶

1. Firmware aktuell halten - Sicherheitspatches sofort installieren
2. CCU-Ports niemals per Portweiterleitung freigeben - VPN für Fernzugriff verwenden
3. In separatem VLAN isolieren - Auswirkungsradius einer möglichen Kompromittierung begrenzen
4. Authentifizierung aktivieren - Auch im internen Netzwerk
5. Nicht verwendete Add-ons entfernen - XML-API und CUxD hatten Schwachstellen

Version prüfen¶

CCU/OpenCCU:

1. CCU WebUI -> Einstellungen -> Systemsteuerung -> System
2. Firmware-Version prüfen
3. Mit dem neuesten OpenCCU-Release vergleichen

Homegear:

homegear -v

Sicherheitshinweise¶

Diese Quellen auf neue Schwachstellen überwachen:

• OpenCCU Security Advisories
• eQ-3 CVE-Liste
• Homegear GitHub

Authentifizierung¶

CCU-Authentifizierung¶

Immer die Authentifizierung auf der CCU aktivieren:

1. CCU WebUI -> Einstellungen -> Systemsteuerung -> Sicherheit
2. Authentifizierung aktivieren
3. Einen dedizierten Benutzer für Home Assistant erstellen

Benutzeranforderungen¶

Passwortanforderungen¶

Nur diese Zeichen werden in Passwörtern unterstützt:

A-Z  a-z  0-9  . ! $ ( ) : ; # -

Nicht unterstützt:

• Umlaute: Ae ae Oe oe Ue ue ss
• Andere Sonderzeichen: @ & * % ^ ~
• Unicode-Zeichen

Diese funktionieren in der CCU WebUI, schlagen aber über XML-RPC fehl.

TLS-Konfiguration¶

TLS aktivieren¶

1. TLS zuerst auf der CCU aktivieren:

2. CCU WebUI -> Einstellungen -> Systemsteuerung -> Sicherheit

3. HTTPS aktivieren

4. Integration konfigurieren:

5. "TLS verwenden" in den Integrationseinstellungen aktivieren
6. "TLS verifizieren" basierend auf dem Zertifikatstyp setzen

Zertifikatstypen¶

TLS-Ports¶

Netzwerksicherheit¶

Firewall-Konfiguration¶

Eingehend zur CCU (von Home Assistant):

Eingehend zu Home Assistant (von CCU):

Netzwerksegmentierung¶

Empfohlene Netzwerkarchitektur:

Internet
    |
    v
+-----------------+
|  Router/FW      |  <- Kein eingehender Verkehr aus dem Internet
+--------+--------+
         |
    +----+----+
    |         |
    v         v
+-------+  +-------+
|  IoT  |  | Haupt-|
| VLAN  |  |  LAN  |
|       |  |       |
| CCU   |  |  HA   |  <- Nur CCU <-> HA erlauben
|       |  |       |
+-------+  +-------+

Docker-Sicherheit¶

Für Docker-Installationen:

Empfohlen: network_mode: host verwenden

Alternative (Bridge-Netzwerk):

1. callback_host auf die Docker-Host-IP setzen
2. Nur den Callback-Port freigeben (nicht alle CCU-Ports)
3. Wo möglich internes Docker-Netzwerk verwenden

services:
  homeassistant:
    network_mode: host # Empfohlen für Callback-Unterstützung
    # ODER mit Bridge:
    ports:
      - "8123:8123" # HA UI
      - "43439:43439" # Nur Callback-Port

Verwaltung von Zugangsdaten¶

Zugangsdaten niemals committen¶

Von der Versionskontrolle ausschließen:

# .gitignore
*.env
secrets.yaml
credentials.json

Home Assistant Secrets¶

secrets.yaml verwenden:

# secrets.yaml (nicht in der Versionskontrolle)
ccu_password: your-secure-password

# configuration.yaml
homematic:
  password: !secret ccu_password

Umgebungsvariablen¶

Für die eigenständige Bibliotheksverwendung:

import os
from aiohomematic.api import HomematicAPI

async with HomematicAPI.connect(
    host=os.environ["CCU_HOST"],
    username=os.environ["CCU_USER"],
    password=os.environ["CCU_PASSWORD"],
) as api:
    ...

Zugriffskontrolle¶

Prinzip der geringsten Berechtigung¶

• Dedizierten CCU-Benutzer für Home Assistant erstellen
• Nicht das Hauptadministratorkonto verwenden
• CCU-Benutzer bei Nichtverwendung deaktivieren (Wartung)

Netzwerkzugriff¶

• CCU-Verwaltungsoberfläche auf vertrauenswürdige IPs beschränken
• VPN für Fernzugriff verwenden (keine Portweiterleitung)
• CCU-Zugriffsprotokolle überwachen

Sicherheitscheckliste¶

Häufige Sicherheitsprobleme¶

Problem: "Authentifizierung fehlgeschlagen"¶

Ursachen:

• Falscher Benutzername/falsches Passwort
• Passwort enthält nicht unterstützte Zeichen
• Benutzer hat keine Administratorrechte

Lösung:

1. Zugangsdaten in der CCU WebUI überprüfen
2. Passwort auf Sonderzeichen prüfen
3. Sicherstellen, dass die Benutzerrolle Administrator ist

Problem: Callbacks funktionieren nicht¶

Ursachen:

• Firewall blockiert CCU -> HA
• Falsche callback_host-Einstellung

Lösung:

1. Sicherstellen, dass die CCU Home Assistant über den Callback-Port erreichen kann
2. callback_host auf die IP von HA setzen (nicht localhost)
3. Docker-Netzwerkkonfiguration prüfen

Sicherheitsprobleme melden¶

Sicherheitslücken privat melden:

1. Keine öffentlichen GitHub Issues für Sicherheitsfehler eröffnen
2. Maintainer direkt über GitHub Security Advisories kontaktieren
3. Zeit für die Behebung vor der öffentlichen Bekanntgabe einräumen

Verwandte Dokumentation¶

• Fehlerbehebung - Verbindungsprobleme
• CUxD und CCU-Jack - MQTT-Sicherheit
• Benutzerhandbuch - Konfiguration