Smart-Home-Geräte überwachen: Ungewöhnlichen Netzwerkverkehr erkennen
Eine smarte Steckdose sollte eigentlich nur gelegentlich mit ihrem Herstellerdienst kommunizieren. Trotzdem überträgt sie plötzlich ständig Daten. Eine Kamera baut Verbindungen zu unbekannten Servern auf oder ein Gerät fragt innerhalb weniger Minuten hunderte verschiedene Internetadressen ab.
Solche Auffälligkeiten müssen nicht automatisch bedeuten, dass ein Smart-Home-Gerät kompromittiert wurde. Firmware-Updates, Cloud-Dienste, Zeitserver oder fehlerhafte Verbindungen können ebenfalls für ungewöhnlichen Netzwerkverkehr sorgen.
Trotzdem lohnt sich ein Blick darauf, was die eigenen IoT-Geräte eigentlich im Netzwerk machen. Gerade Smart-Home-Hardware läuft oft rund um die Uhr und bekommt nicht immer über viele Jahre Sicherheitsupdates.
In diesem Artikel zeige ich, wie ich verdächtigen Netzwerkverkehr Schritt für Schritt eingrenzen würde und welche Rolle Home Assistant dabei übernehmen kann.
Was bedeutet ungewöhnlicher Netzwerkverkehr überhaupt?
Es gibt keinen festen Wert, ab dem ein Smart-Home-Gerät plötzlich verdächtig ist.
Eine Überwachungskamera überträgt naturgemäß deutlich mehr Daten als ein Temperaturfühler. Auch ein Sprachassistent verhält sich völlig anders als eine Zigbee-Steckdose mit WLAN-Gateway.
Interessant sind deshalb vor allem Veränderungen.
Wenn ein Gerät normalerweise nur wenige Verbindungen aufbaut und plötzlich rund um die Uhr Daten überträgt, würde ich genauer hinsehen. Gleiches gilt, wenn ein Gerät nach Monaten plötzlich neue Domains kontaktiert oder ungewöhnlich viele DNS-Anfragen erzeugt.
Typische Auffälligkeiten sind beispielsweise ungewöhnlich viele Verbindungen, dauerhaft hohe Datenmengen, ständig wechselnde Zielserver oder Kommunikation zu Diensten, die für die Funktion des Geräts schwer nachvollziehbar sind.
Home Assistant sieht nicht automatisch den gesamten Netzwerkverkehr
Hier ist eine wichtige Abgrenzung nötig.
Home Assistant ist keine Firewall und kein Netzwerk-Sniffer. Nur weil ein Gerät in Home Assistant eingebunden ist, sieht Home Assistant nicht automatisch jede Internetverbindung dieses Geräts.
Für die eigentliche Analyse benötigt man Informationen aus dem Netzwerk. Die können beispielsweise vom Router, einem eigenen DNS-Server wie Pi-hole oder AdGuard Home oder einer Firewall kommen.
Home Assistant kommt anschließend ins Spiel. Dort können wir prüfen, ob Geräte erreichbar sind, Netzwerkstatus anzeigen und bei auffälligen Zuständen automatische Warnungen verschicken.
Schritt 1: Erst einmal wissen, welche Geräte im Netzwerk sind
Bevor ich Netzwerkverkehr untersuche, würde ich zunächst eine einfache Bestandsaufnahme machen.
Öffne die Netzwerkübersicht deines Routers und schau dir die verbundenen Geräte an. Bei einer FRITZ!Box findest du sie unter anderem im Bereich Heimnetz → Netzwerk.
Ich vergebe für Smart-Home-Geräte möglichst eindeutige Namen. Aus einem kryptischen Eintrag wie ESP_42A91F wird beispielsweise esp32-luftsensor-arbeitszimmer.
Das hilft später enorm. Wenn in einem DNS-Protokoll eine bestimmte IP-Adresse auffällt, weißt du sofort, welches Gerät dahintersteckt.
Die FRITZ!Box lässt sich auch direkt mit Home Assistant verbinden. Dadurch können unter anderem Netzwerkgeräte und der Routerstatus in Home Assistant auftauchen. Die Einrichtung zeige ich in FRITZ!Box mit Home Assistant verbinden.
Feste Adressen machen die Überwachung leichter
Ich würde wichtigen Smart-Home-Geräten im Router eine feste DHCP-Zuordnung geben.
Das Gerät selbst bleibt dabei normalerweise auf DHCP eingestellt. Der Router sorgt lediglich dafür, dass es immer wieder dieselbe IP-Adresse bekommt.
Das hat zwei Vorteile. Zum einen lässt sich das Gerät leichter in Netzwerkprotokollen wiederfinden. Zum anderen funktionieren Überwachungen per Ping oder IP-Adresse zuverlässiger.
Geräte mit Home Assistant per Ping überwachen
Home Assistant kann Netzwerkgeräte direkt auf ihre Erreichbarkeit prüfen. Dafür gibt es die Integration Ping (ICMP).
Du findest sie unter:
Einstellungen → Geräte & Dienste → Integration hinzufügen → Ping
Dort gibst du die IP-Adresse oder den Hostnamen des Geräts an.
Anschließend erhältst du unter anderem einen Sensor, der anzeigt, ob das Gerät erreichbar ist. Zusätzlich können Werte wie Paketverlust oder Antwortzeiten aktiviert werden.
Das erkennt noch keinen ungewöhnlichen Internetverkehr. Es schafft aber eine wichtige Grundlage. Wenn ein Gerät plötzlich nicht erreichbar ist oder die Netzwerkverbindung instabil wird, kann Home Assistant darauf reagieren.
Falls ein Gerät bereits in Home Assistant auf „Nicht verfügbar“ steht, findest du eine ausführliche Fehlersuche in Home Assistant erkennt Gerät als nicht verfügbar: Ursachen und Lösungen.
DNS-Anfragen verraten erstaunlich viel
Für den Einstieg in die Netzwerküberwachung finde ich DNS besonders interessant.
Bevor ein Gerät beispielsweise eine Verbindung zu example-cloud.com herstellt, muss es normalerweise zuerst herausfinden, welche IP-Adresse zu diesem Namen gehört. Dafür wird eine DNS-Anfrage gestellt.
Wenn alle Geräte im Heimnetz einen zentralen DNS-Server verwenden, lässt sich dadurch recht gut beobachten, welche Dienste sie kontaktieren.
Pi-hole oder AdGuard Home für die Analyse nutzen
Ein Pi-hole oder AdGuard Home kann deshalb mehr als nur Werbung und Tracking blockieren.
Beide Systeme können DNS-Anfragen protokollieren. Dadurch lässt sich beispielsweise erkennen, dass eine smarte Steckdose regelmäßig bestimmte Cloud-Server kontaktiert.
Bei einem Pi-hole kann die Abfrageliste beispielsweise ungefähr so aussehen:
192.168.178.42 → api.hersteller.example
192.168.178.42 → time.example.net
192.168.178.42 → update.example.comWenn du anhand der IP-Adresse weißt, dass 192.168.178.42 deine WLAN-Steckdose ist, bekommst du schnell ein Gefühl dafür, mit welchen Servern sie normalerweise kommuniziert.
Erst eine normale Ausgangslage kennenlernen
Das ist für mich wichtiger als sofort irgendwelche Domains zu blockieren.
Lass das Gerät zunächst einige Tage normal laufen und beobachte die typischen Verbindungen. Viele Geräte kontaktieren regelmäßig Zeitserver, Update-Server, Cloud-APIs oder andere Dienste des Herstellers.
Wenn du diesen normalen Zustand kennst, fallen spätere Veränderungen deutlich schneller auf.
Eine einzelne unbekannte Domain ist dagegen noch kein Grund zur Panik. Cloud-Dienste verwenden häufig verschiedene Server, CDNs und Dienstleister.
Auffällig: Extrem viele DNS-Anfragen
Interessanter als der Name einer einzelnen Domain ist manchmal die Menge der Anfragen.
Wenn eine smarte Steckdose innerhalb kurzer Zeit tausende DNS-Anfragen erzeugt, würde ich genauer hinschauen.
Das muss allerdings weiterhin kein Angriff sein. Denkbar sind beispielsweise:
- ein nicht erreichbarer Herstellerdienst,
- eine fehlerhafte Firmware,
- ein falsch konfigurierter DNS-Server,
- ständige Verbindungsversuche nach einem Internetausfall.
Gerade deshalb lohnt es sich, die Entwicklung über einen längeren Zeitraum zu betrachten.
Auffällig: Das Gerät verbindet sich plötzlich mit neuen Servern
Spannend wird es auch, wenn ein Gerät nach Monaten plötzlich Ziele kontaktiert, die vorher nie aufgetaucht sind.
Dann würde ich zunächst prüfen, ob kurz zuvor ein Firmware-Update stattgefunden hat. Hersteller können ihre Cloud-Infrastruktur ändern, neue Dienste einführen oder auf andere Server umziehen.
Gibt es keine nachvollziehbare Erklärung, kann man die neue Domain genauer untersuchen und testweise beobachten, was passiert, wenn die Verbindung blockiert wird.
Domains nicht vorschnell blockieren
Hier würde ich vorsichtig vorgehen.
Wenn eine Domain unbekannt aussieht, heißt das nicht automatisch, dass sie gefährlich ist. Ein Hersteller kann beispielsweise Amazon Web Services, Microsoft Azure, Google Cloud oder ein Content Delivery Network verwenden.
Blockierst du eine benötigte Adresse, funktioniert möglicherweise anschließend die Hersteller-App, die Zeitsynchronisation oder sogar das komplette Gerät nicht mehr.
Deshalb würde ich zunächst beobachten, recherchieren und erst dann gezielt blockieren.
Was sieht man bei verschlüsselten Verbindungen?
Der größte Teil des heutigen Internetverkehrs ist verschlüsselt. Das ist natürlich sinnvoll, schränkt aber die Analyse ein.
Du kannst häufig erkennen, dass ein Gerät eine Verbindung zu einem bestimmten Server aufbaut. Den Inhalt einer HTTPS-Verbindung kannst du dadurch aber nicht einfach mitlesen.
Für die normale Smart-Home-Überwachung reicht das meistens aus. Mir geht es weniger darum, einzelne Datenpakete zu lesen. Interessanter ist die Frage, wann ein Gerät kommuniziert, mit wem und wie sich dieses Verhalten verändert.
DNS-Logs haben ebenfalls Grenzen
Auch ein Pi-hole sieht nicht zwingend jede Verbindung.
Ein Gerät kann direkt eine IP-Adresse verwenden oder einen eigenen DNS-Dienst ansprechen. Einige Geräte und Apps können außerdem verschlüsseltes DNS nutzen.
Für eine vollständige Kontrolle müsste der Netzwerkverkehr deshalb an einer zentralen Stelle wie Router oder Firewall ausgewertet werden.
Für den Heimgebrauch ist ein DNS-Protokoll trotzdem ein sehr guter Einstieg, weil es ohne komplizierte Paketanalysen bereits viele Informationen liefert.
Datenverbrauch im Router kontrollieren
Je nach Router oder Firewall lässt sich zusätzlich feststellen, wie viele Daten ein bestimmtes Gerät überträgt.
Gerade bei Geräten mit normalerweise sehr geringem Datenbedarf kann das interessant sein.
Eine WLAN-Steckdose muss normalerweise keine Gigabyte an Daten pro Tag übertragen. Bei einer Überwachungskamera wäre dieselbe Datenmenge dagegen völlig normal.
Deshalb sollte man Geräte immer innerhalb ihrer jeweiligen Funktion bewerten.
Kameras würde ich besonders beobachten
Bei Kameras und Video-Türklingeln schaue ich genauer hin als bei einem einfachen Temperatursensor.
Der Grund ist einfach: Diese Geräte verarbeiten deutlich sensiblere Daten und erzeugen außerdem erheblich mehr Netzwerkverkehr.
Wenn eine lokal betriebene Kamera ohne Cloud-Funktion ständig externe Server kontaktiert, würde ich wissen wollen, warum.
Wer solche Geräte möglichst lokal betreiben möchte, sollte bei der Auswahl bereits darauf achten, ob RTSP, ONVIF oder eine lokale Home-Assistant-Integration vorhanden ist.
Smart-Home-Geräte in ein eigenes Netzwerk packen
Eine der wirksamsten Maßnahmen ist für mich die Trennung von IoT-Geräten vom restlichen Heimnetz.
Je nach vorhandener Netzwerkhardware kann dafür ein separates VLAN oder ein eigenes IoT-WLAN verwendet werden.
Dann befinden sich beispielsweise Fernseher, Steckdosen, Kameras und günstige WLAN-Sensoren in einem eigenen Netz. Computer, NAS und andere wichtige Geräte bleiben davon getrennt.
Das bringt einen großen Vorteil: Selbst wenn eines der IoT-Geräte ein Sicherheitsproblem hat, kann es nicht automatisch auf alle anderen Geräte im Heimnetz zugreifen.
Auch beim sicheren Fernzugriff auf Home Assistant spielt die Netztrennung eine Rolle. Einige grundsätzliche Sicherheitsüberlegungen habe ich deshalb bereits in Home Assistant von überall sicher erreichen beschrieben.
Lokale Geräte brauchen oft gar keinen Internetzugang
Das ist einer der Punkte, die ich bei Home Assistant besonders interessant finde.
Viele Geräte können vollständig lokal arbeiten. Dazu gehören beispielsweise zahlreiche ESPHome-Geräte, Zigbee-Geräte oder lokal eingebundene Relais.
Ein ESP32 mit ESPHome muss für seine tägliche Kommunikation mit Home Assistant beispielsweise nicht dauerhaft auf irgendeinen Hersteller-Cloudserver zugreifen.
Solche Geräte lassen sich in einem sauber aufgebauten Netzwerk teilweise komplett vom Internet abschotten und funktionieren trotzdem weiter.
Wie ESPHome lokal mit Home Assistant verbunden wird, zeige ich unter ESPHome mit Home Assistant verbinden.
Cloud-Geräte testweise vom Internet trennen
Bei einem unbekannten Gerät kann ein einfacher Test interessant sein: Internetzugriff vorübergehend sperren und beobachten, was passiert.
Funktioniert das Gerät über Home Assistant weiterhin normal, ist die Cloud möglicherweise für den täglichen Betrieb gar nicht notwendig.
Fällt es sofort komplett aus, handelt es sich wahrscheinlich um eine stark cloudabhängige Integration.
Ich würde diese Tests allerdings immer einzeln durchführen. Werden mehrere Domains und Geräte gleichzeitig gesperrt, weiß man hinterher kaum noch, welche Änderung für welches Verhalten verantwortlich war.
Home Assistant als Kontrollzentrale nutzen
Home Assistant kann zwar nicht den gesamten Netzwerkverkehr analysieren, eignet sich aber hervorragend als zentrale Anzeige.
Ich würde beispielsweise ein kleines Netzwerk-Dashboard bauen mit:
- Status der Internetverbindung,
- Erreichbarkeit wichtiger Geräte,
- Routerstatus,
- Ping-Zeiten wichtiger Systeme,
- Paketverlust,
- Status von Access Points oder Switches,
- Warnung bei nicht verfügbaren Geräten.
Mit der FRITZ!Box-Integration und der Ping-Integration bekommt man dafür bereits einige nützliche Informationen zusammen.
Auch Home Assistant selbst überwachen
Nicht vergessen sollte man den Home-Assistant-Server selbst.
Home Assistant besitzt eine System-Monitor-Integration. Damit können unter anderem CPU-, Speicher-, Datenträger- und Netzwerkwerte des Systems überwacht werden, auf dem Home Assistant läuft.
Das zeigt zwar weiterhin nicht den Netzwerkverkehr einzelner Smart-Home-Geräte. Es hilft aber dabei, ungewöhnliches Verhalten der eigenen Home-Assistant-Installation zu erkennen.
Warnung senden, wenn ein wichtiges Gerät verschwindet
Ein sinnvoller erster Schritt ist eine Benachrichtigung, wenn ein wichtiges Netzwerkgerät länger nicht erreichbar ist.
Angenommen, die Ping-Integration stellt folgenden Binary Sensor bereit:
binary_sensor.kamera_garageDann könnte eine Automation beispielsweise so aussehen:
alias: Kamera Garage offline
triggers:
- trigger: state
entity_id:
- binary_sensor.kamera_garage
to: "off"
for:
minutes: 5
actions:
- action: notify.mobile_app_mein_handy
data:
title: "Netzwerk-Warnung"
message: "Die Kamera in der Garage ist seit 5 Minuten nicht mehr erreichbar."
mode: singleDie Verzögerung würde ich unbedingt einbauen. Ein einzelnes verlorenes Paket oder ein kurzer WLAN-Aussetzer soll schließlich noch keine Warnung auslösen.
Wie du die Push-Nachrichten auf dem Smartphone einrichtest, findest du unter Home Assistant Benachrichtigung aufs Handy: Push-Nachrichten richtig einrichten.
Mehrere Ausfälle gleichzeitig sind besonders interessant
Wenn nur eine WLAN-Steckdose nicht mehr erreichbar ist, liegt wahrscheinlich ein Problem bei diesem Gerät vor.
Fallen dagegen gleichzeitig Kamera, ESP32 und WLAN-Steckdose in einem bestimmten Bereich aus, würde ich eher nach einem gemeinsamen Problem suchen.
Das kann ein Access Point, ein Switch, eine Stromversorgung oder ein kompletter Stromkreis sein.
Genau dieses Prinzip nutze ich auch im Artikel Home Assistant Stromausfall erkennen.
Ungewöhnliche Aktivität per Automation melden?
Wenn dein Router oder deine Firewall Netzwerkstatistiken als Sensoren an Home Assistant liefern kann, lässt sich daraus noch mehr machen.
Angenommen, für eine IoT-Steckdose steht ein Sensor mit dem aktuellen Netzwerkdurchsatz zur Verfügung. Dann könnte Home Assistant auf ungewöhnlich hohe Werte reagieren.
Ich würde dafür allerdings keinen starren universellen Grenzwert verwenden. Jede Geräteklasse hat ein anderes normales Verhalten.
Besser wäre es, zunächst einige Tage zu beobachten und anschließend einen Grenzwert festzulegen, der für genau dieses Gerät sinnvoll ist.
Beispiel: Steckdose sendet plötzlich dauerhaft Daten
Nehmen wir an, du bemerkst im Router, dass eine WLAN-Steckdose ungewöhnlich viel Datenverkehr erzeugt.
Ich würde dann folgendermaßen vorgehen.
- Prüfen, ob gerade ein Firmware-Update stattfindet.
- DNS-Protokoll des Geräts ansehen.
- Neue beziehungsweise ungewöhnliche Domains notieren.
- Gerät einmal neu starten.
- Prüfen, ob das Verhalten anschließend weiter auftritt.
- Wenn möglich den Internetzugang testweise sperren.
- Prüfen, ob die lokale Home-Assistant-Steuerung weiter funktioniert.
So bekommt man relativ schnell heraus, ob die Kommunikation für die eigentliche Funktion benötigt wird.
Wenn es wirklich verdächtig aussieht
Wenn ein Gerät plötzlich völlig ungewöhnliches Verhalten zeigt und es dafür keine plausible Erklärung gibt, würde ich es zunächst vom restlichen Netzwerk isolieren.
Danach kannst du prüfen, ob ein Firmware-Update verfügbar ist und ob andere Nutzer ähnliche Probleme berichten.
Bei sehr günstiger Hardware ohne Updates würde ich im Zweifel darüber nachdenken, das Gerät zu ersetzen. Gerade bei Kameras und anderen sensiblen Geräten möchte ich mich nicht dauerhaft auf veraltete Firmware verlassen.
Wireshark für die genauere Analyse
Wer tiefer einsteigen möchte, kann Netzwerkpakete mit einem Werkzeug wie Wireshark untersuchen.
Damit lassen sich beispielsweise Zieladressen, Ports, Protokolle und zeitliche Abläufe deutlich genauer untersuchen.
Der schwierigere Teil ist dabei häufig gar nicht Wireshark selbst. Du musst zunächst dafür sorgen, dass der Netzwerkverkehr des betreffenden Geräts überhaupt an einer Stelle mitgeschnitten werden kann.
Je nach Netzwerk benötigt man dafür beispielsweise Port-Mirroring am Switch oder eine Aufzeichnung direkt auf Router beziehungsweise Firewall.
Für die normale Fehlersuche würde ich deshalb zuerst Router- und DNS-Daten verwenden. Das ist wesentlich schneller und reicht in vielen Fällen völlig aus.
Datenschutz bei Netzwerkprotokollen beachten
Netzwerk- und DNS-Protokolle enthalten teilweise ziemlich detaillierte Informationen darüber, welche Geräte und Dienste im Haushalt genutzt werden.
Deshalb würde ich solche Logs ebenfalls wie sensible Daten behandeln. Sie gehören nicht öffentlich ins Internet und sollten nur so lange gespeichert werden, wie sie tatsächlich benötigt werden.
Auch Pi-hole bietet verschiedene Datenschutzstufen, mit denen Domains und Clients in Statistiken teilweise oder vollständig anonymisiert werden können.
Meine Empfehlung für den Einstieg
Für den Anfang würde ich daraus kein großes Sicherheitsprojekt machen.
Beginne mit fünf oder zehn wichtigen Geräten. Gib ihnen eindeutige Namen und feste DHCP-Zuordnungen. Anschließend überwachst du ihre Erreichbarkeit und schaust gelegentlich im Router oder DNS-Protokoll nach, welche Verbindungen dort auftauchen.
Nach einigen Tagen kennt man das typische Verhalten erstaunlich gut.
Danach kannst du Smart-Home-Geräte schrittweise in ein separates IoT-Netz verschieben und bei lokal arbeitenden Geräten testen, ob sie überhaupt einen Zugang zum Internet benötigen.
Home Assistant übernimmt anschließend die komfortable Seite der Überwachung. Dort siehst du, welche wichtigen Systeme erreichbar sind, und bekommst bei Ausfällen automatisch eine Nachricht.
Häufige Fragen
Kann Home Assistant den Netzwerkverkehr von Geräten überwachen?
Home Assistant sieht den vollständigen Netzwerkverkehr eines Geräts nicht automatisch. Dafür benötigst du Daten aus Router, Firewall oder einem DNS-System. Home Assistant kann diese Informationen je nach vorhandener Integration anschließend darstellen und für Automationen verwenden.
Wie erkenne ich, welche Server ein Smart-Home-Gerät kontaktiert?
Ein zentraler DNS-Server wie Pi-hole oder AdGuard Home ist dafür ein guter Einstieg. Im Abfrageprotokoll lässt sich sehen, welche Domainnamen ein bestimmter Client angefragt hat.
Ist viel Netzwerkverkehr automatisch verdächtig?
Nein. Eine Kamera erzeugt naturgemäß deutlich mehr Daten als eine Steckdose. Interessant sind vor allem ungewöhnliche Veränderungen gegenüber dem normalen Verhalten eines bestimmten Geräts.
Kann ich Smart-Home-Geräten das Internet komplett sperren?
Bei vielen lokal arbeitenden Geräten ist das möglich. Cloudabhängige Geräte können dadurch allerdings teilweise oder vollständig ihre Funktion verlieren. Deshalb würde ich die Sperre zunächst für einzelne Geräte testen.
Warum sollte ich IoT-Geräte in ein eigenes Netzwerk setzen?
Durch ein separates IoT-Netz lässt sich der Zugriff auf Computer, NAS und andere sensible Geräte beschränken. Das reduziert die möglichen Auswirkungen, falls ein Smart-Home-Gerät Sicherheitsprobleme hat.
Fazit
Man muss nicht jedes Datenpaket analysieren, um einen guten Überblick über die eigenen Smart-Home-Geräte zu bekommen.
Für mich beginnt die Überwachung mit einer sauberen Geräteliste und eindeutigen IP-Adressen. Danach liefern Router und DNS-Protokolle bereits viele Informationen darüber, welche Geräte mit welchen Diensten kommunizieren.
Entscheidend ist dabei weniger eine einzelne unbekannte Verbindung. Viel interessanter sind Veränderungen: Ein Gerät erzeugt plötzlich wesentlich mehr Anfragen, kontaktiert neue Dienste oder verhält sich anders als in den Wochen zuvor.
Home Assistant ergänzt diese Netzwerküberwachung sehr gut. Wichtige Geräte lassen sich auf Erreichbarkeit prüfen, Ausfälle landen automatisch auf dem Smartphone und Routerinformationen können gemeinsam mit den übrigen Smart-Home-Daten auf einem Dashboard erscheinen.
Wer anschließend noch einen Schritt weiter gehen möchte, trennt IoT-Geräte in ein eigenes Netzwerk und beschränkt den Internetzugang dort, wo er für die eigentliche Funktion gar nicht benötigt wird.
