Herr Bergmann aus einem Reihenhaus in Ratingen hat im März 2026 seine Frau überredet, das Smart Home nicht mehr über sein Handy zu bedienen. Fünf Jahre lang war er der einzige mit Home-Assistant-Zugang, jedes Rollo, jede Deckenlampe und die Heizungsprogrammierung liefen über seinen Account, was regelmäßig zu der Situation führte, dass seine Frau ihn beim Kochen um die Aktivierung der Küchenbeleuchtung bat, während er zwei Zimmer weiter am Rechner saß. Er hat sich einen freien Sonntagnachmittag genommen, um seiner Frau, seinen beiden Kindern und dem gelegentlichen Babysitter jeweils eigene Zugänge einzurichten, mit sinnvollen Rechten und einer Oberfläche, die nicht wie das Cockpit eines Airbus wirkt. Was er nach drei Stunden gelernt hat: Home Assistant hat keine Rechteverwaltung im Sinne von SAP oder einem Windows-Netzwerk, aber es hat genau die Bausteine, die für eine praktische Familien-Nutzung ausreichen. Man muss nur wissen, welche Bausteine für welchen Anwender die richtigen sind.
Dieser Artikel geht die Home-Assistant-Benutzerverwaltung im Ist-Zustand August 2026 durch, erklärt den Unterschied zwischen Personen und Benutzern, benennt die drei Berechtigungsstufen Owner, Administrator und Nicht-Administrator, zeigt die Konfiguration eines Nur-Lese-Zugangs für Wandtablets, den Besucher-Modus mit einem eingeschränkten Dashboard und die Aktivierung der Multi-Faktor-Authentifizierung für Konten mit Fernzugriff. Er ist geschrieben für Home-Assistant-Betreiber, die eine echte Mehrbenutzer-Situation aufbauen wollen, ohne die vorhandene Konfiguration zu zerstören.
Personen und Benutzer sind zwei unterschiedliche Dinge
Home Assistant unterscheidet klar zwischen dem Konzept einer Person und dem Konzept eines Benutzers. Diese Unterscheidung ist der wichtigste Baustein, den viele Neueinsteiger übersehen und der zu wiederkehrender Verwirrung führt. Eine Person ist die Repräsentation eines echten Menschen in der Anlage. Sie wird für die Anwesenheitserkennung genutzt, kann auf der Karte angezeigt werden und in Automatisierungen darauf hinweisen, wer gerade zuhause ist und wer nicht. Eine Person allein kann sich nicht in Home Assistant einloggen, sie ist ein Objekt in der Konfiguration, kein Zugang.
Ein Benutzer ist demgegenüber ein Login-Konto. Er hat einen Benutzernamen, ein Passwort und Berechtigungen und wird in der Weboberfläche und der Companion-App verwendet, um Zugriff auf das System zu bekommen. Ein Benutzer kann mit einer Person verknüpft sein oder auch nicht. Wenn beide verknüpft sind, ist ein und dieselbe Identität gemeint, sichtbar auf der Karte und einloggbar. Wenn nur eine Person vorhanden ist, kann sie zwar getrackt werden, aber sich nicht einloggen. Wenn nur ein Benutzer vorhanden ist, kann er sich einloggen, ist aber nicht Teil der Anwesenheitserkennung und taucht in Präsenz-Automatisierungen nicht auf.
Für Herrn Bergmann bedeutet das folgendes Setup: Er selbst ist Owner-Person mit Login, seine Frau ist Person mit Login als Administrator, weil sie im Alltag auch mal ein Gerät hinzufügen können soll, die beiden Kinder bekommen jeweils eine Person mit einem eingeschränkten Login als Nicht-Administrator, die Babysitterin bekommt ausschließlich einen Benutzer ohne verknüpfte Person, weil sie zwar Zugriff auf ein reduziertes Dashboard braucht, aber nicht in der Anwesenheitserkennung auftauchen soll. Das Wandtablet in der Küche bekommt einen weiteren Benutzer ohne Person und ohne Administratorrechte, der lokal am Tablet dauerhaft eingeloggt bleibt und ausschließlich das Kiosk-Dashboard sieht.
Die drei Berechtigungsstufen und was sie können
Home Assistant kennt drei Berechtigungsstufen für Benutzer. Die höchste Stufe ist der Owner, der bei der Ersteinrichtung automatisch erzeugt wird und einmalig in der gesamten Anlage vorkommt. Der Owner kann alles, einschließlich das Löschen aller anderen Benutzer, das Ändern von Systemeinstellungen, die Neuinstallation von Betriebssystem-Komponenten und die Rücksetzung von Passwörtern anderer Konten. Der Owner-Account sollte gut abgesichert sein, mit Multi-Faktor-Authentifizierung und einem starken Passwort, und sollte nicht für den Alltagsbetrieb verwendet werden, wenn Home Assistant von außen erreichbar ist.
Die mittlere Stufe ist der Administrator. Ein Administrator kann Integrationen, Geräte und Systemeinstellungen konfigurieren und andere Benutzer verwalten, mit Ausnahme des Owner-Kontos. Er kann Automatisierungen anlegen, Skripte schreiben und die YAML-Konfiguration bearbeiten. Für die typische Alltagsnutzung durch technisch interessierte Familienmitglieder ist Administrator die richtige Stufe, weil sie den vollen Funktionsumfang bietet, ohne das Owner-Konto zu gefährden.
Die niedrigste Stufe ist der Nicht-Administrator. Ein Nicht-Administrator kann Home Assistant bedienen, die eigenen Dashboards sehen, Automatisierungen ausführen, aber nicht die Konfiguration der Anlage ändern. Er hat keinen Zugriff auf Einstellungen, Integrationen oder das System-Menü. Das ist die richtige Stufe für Kinder, Gäste, für ein Wandtablet und für den mobilen Zugriff von unterwegs, weil sie im Falle eines kompromittierten Handys keinen dauerhaften Schaden an der Anlage anrichten kann.
Was Home Assistant nicht kann, ist eine feingranulare Rechteverwaltung nach dem Muster von SAP oder Windows-Netzwerken. Es gibt keine Möglichkeit, einem Benutzer zu erlauben, nur bestimmte Entitäten zu bedienen und andere nicht. Es gibt kein Rollenkonzept mit definierten Berechtigungsklassen für einzelne Automatisierungen. Wer eine solche Rechtefeinsteuerung braucht, muss über die Sichtbarkeit von Dashboards, über eigene Ansichten pro Benutzer und über den Kiosk-Mode arbeiten, das ist Handarbeit, aber sie funktioniert für den Alltag.
Personen und Benutzer anlegen, Schritt für Schritt
Die Grundeinrichtung neuer Personen und Benutzer erfolgt in Home Assistant unter Einstellungen und dem Menüpunkt Personen. Dort gibt es zwei Reiter, einen für Personen und einen für Benutzer, die getrennt geführt werden. Wer eine echte Familienperson mit Login anlegen möchte, geht am einfachsten über den Personen-Reiter. Dort klickt man auf Person hinzufügen, gibt einen Anzeigenamen ein und aktiviert unten den Schalter Login erlauben. Home Assistant fragt dann nach dem Benutzernamen, dem Anfangspasswort und optional nach der Rolle Administrator. Bestätigt man diesen Dialog, wird die Person angelegt und automatisch mit einem passenden Benutzerkonto verknüpft.
Für einen Benutzer ohne Personenverknüpfung, etwa für ein Wandtablet oder ein Service-Konto einer Drittanwendung, geht man den Weg über den Benutzer-Reiter. Dort klickt man auf Benutzer hinzufügen, gibt Anzeigename, Benutzername und Passwort ein und wählt die Rolle. Die Option Nur lokal aktiv gibt es in aktuellen Home-Assistant-Versionen unter dem Namen Nur lokal, sie schränkt den Login auf das lokale Netzwerk ein und verhindert den Zugriff über Nabu Casa Cloud oder eine externe URL. Für Wandtablets, Service-Konten und Gastzugänge ist diese Einstellung dringend zu empfehlen, weil sie im Fall eines kompromittierten Passworts den Schadensradius auf das eigene Netzwerk begrenzt.
Nach der Anlage lohnt sich ein Blick in das Profil des jeweiligen Benutzers. Dort können Theme, Standard-Dashboard, Zeitzone und Sprache pro Benutzer festgelegt werden. Das ist praktisch für ein Familiensetup, in dem der Ehepartner die englischsprachige Weltzeituhr im Dashboard sehen soll und die Kinder die deutschsprachige Version. Auch die Reihenfolge und Sichtbarkeit der Menüpunkte in der Seitenleiste kann pro Benutzer angepasst werden, was den Weg zur Nicht-Administrator-Erfahrung deutlich vereinfacht.
Multi-Faktor-Authentifizierung aktivieren
Für alle Benutzer mit administrativen Rechten und für alle Benutzer, die von außerhalb des Heimnetzwerks erreichbar sind, ist die Multi-Faktor-Authentifizierung ein Muss. Home Assistant unterstützt TOTP, das Time-based One-Time Password nach RFC 6238, das mit gängigen Authenticator-Apps wie Google Authenticator, Authy, Bitwarden oder dem in iOS und macOS eingebauten Passwörter-Manager kompatibel ist. Die Einrichtung erfolgt im eigenen Profil unter dem Reiter Sicherheit, in dem die Option Multi-Faktor-Authentifizierung eingerichtet werden kann.
Beim Einrichten zeigt Home Assistant einen QR-Code an, der mit der Authenticator-App gescannt wird. Die App generiert dann alle 30 Sekunden ein sechsstelliges Passwort, das beim nächsten Login zusätzlich zum normalen Passwort abgefragt wird. Wichtig ist, den QR-Code oder den textuellen Recovery-Code sicher zu speichern, damit bei Verlust des Handys ein Wiedereinrichten möglich ist. Wer sich mit aktiver MFA und verlorenem Recovery-Code ausgesperrt hat, kann per SSH-Zugang zum Home-Assistant-Host die auth-Datei bearbeiten und die MFA für den betroffenen Benutzer deaktivieren, was in der offiziellen Doku unter der Rubrik Locked out beschrieben ist.
Für Herrn Bergmann bedeutet das, dass er, seine Frau und die beiden Kinder MFA aktiviert haben, weil ihre Konten über die Nabu-Casa-Cloud auch von unterwegs erreichbar sind. Die Babysitterin hat MFA nicht aktiviert, weil ihr Konto ausschließlich lokal nutzbar ist und die Sicherheit über die Nur-lokal-Beschränkung ausreichend ist. Das Wandtablet-Konto hat kein MFA, aber ist Nur-lokal und Nicht-Administrator, was das Risiko im Fall eines Diebstahls des Tablets auf ein akzeptables Maß begrenzt.
Nur-Lese-Zugang und Kiosk-Mode für Wandtablets
Der Kiosk-Mode ist die Home-Assistant-Antwort auf die Wandtablet-Anforderung. Er wird nicht mitgeliefert, sondern über das Home Assistant Community Store System HACS installiert und dann per YAML-Konfiguration aktiviert. Nach der HACS-Installation legt man im Konfigurationseditor unter der Sektion frontend einen kiosk_mode-Block an und definiert, für welche Benutzer welche UI-Elemente ausgeblendet werden sollen.
Ein typisches Setup für ein Küchentablet sieht wie folgt aus. Der Benutzer heißt kueche_tablet, ist Nicht-Administrator und Nur-lokal. Für diesen Benutzer werden im Kiosk-Mode die Seitenleiste, der Header, die Suche und das Overflow-Menü ausgeblendet. Sichtbar bleibt ausschließlich die Standard-Ansicht, die eigens für die Küche gestaltet wurde, mit den Küchenlampen, dem Herd-Status, der Kaffeemaschine, dem Ofentimer und einem Wetter-Widget. Das Tablet ist an der Wand fixiert, das Home-Assistant-Konto ist dauerhaft eingeloggt, die Ansicht kann nicht verlassen werden. Sollte jemand versehentlich auf die Seitenleiste tippen wollen, passiert nichts, weil sie ausgeblendet ist.
Der Kiosk-Mode ist keine Rechteverwaltung im engeren Sinne, weil ein technisch versierter Nutzer mit einem separaten Browser und dem Benutzernamen und Passwort dieselben Rechte hätte, die das Tablet hat. Er ist eine Oberflächenbeschränkung, die den durchschnittlichen Nutzer, das Kind oder den Gast an der Nutzung der ihm zugedachten Funktionen hält. Für die typische Wohnsituation reicht das aus, weil der Einbruch in ein lokales Netzwerk, das Herausfinden eines Passworts und der Betrieb eines eigenen Browsers auf einem Kioskgerät die Realität einer Familie in Ratingen deutlich überschreiten.
Besucher-Dashboards und Ansichten pro Benutzer
Die zweite Ebene der Benutzerverwaltung sind die Ansichten pro Benutzer, ein Feature, das seit Home Assistant 2025.6 endlich pro Benutzer und nicht mehr nur pro Gerät gespeichert wird. Das bedeutet in der Praxis, dass Herr Bergmann für seine Frau eine eigene Dashboard-Ansicht anlegen kann, die die Rollläden, die Heizungsregler und die Musik-Steuerung enthält, ohne die Netzwerk-Diagnose, die Home-Assistant-Version und die YAML-Editor-Verknüpfung zu zeigen. Diese Ansicht ist für den Benutzer der Frau sichtbar, für die Kinder-Benutzer eine noch reduziertere Version mit nur Licht und Musik, für den Owner-Account das volle Cockpit mit allen Diagnose-Widgets.
Die Sichtbarkeit pro Benutzer wird im Dashboard-Editor unter dem Zahnrad-Symbol jeder Ansicht eingestellt. Dort gibt es eine Liste aller Benutzer, für die man einzeln aktivieren oder deaktivieren kann, ob die Ansicht sichtbar sein soll. Praktisch ist die Kombination aus einer allgemeinen Übersichtsansicht, die für alle sichtbar ist, und mehreren spezifischen Ansichten, die pro Benutzer freigeschaltet werden. So kann der Owner alle Ansichten sehen, die Kinder nur die für sie relevanten, das Wandtablet ausschließlich die Kiosk-Ansicht.
Für die Babysitterin hat Herr Bergmann eine Besucher-Ansicht gebaut, die nur die essentiellen Elemente enthält, das Licht in der Küche, im Wohnzimmer und im Kinderzimmer, den Rollladen-Master, der alle Rollläden auf einmal öffnet oder schließt, und ein Notruf-Widget mit der Handynummer der Eltern. Diese Ansicht ist ausschließlich für den Babysitter-Account sichtbar und ausschließlich lokal erreichbar. Sie ersetzt die endlosen Erklärungen am Anfang eines Abends und macht die Babysitter-Situation praktikabel.
Was auf keiner Dokumentation steht: die Fallstricke
Die Home-Assistant-Doku beschreibt die technischen Schritte akkurat, aber sie beschreibt nicht die drei Fallstricke, die im Alltag regelmäßig zu Verwirrung führen. Der erste Fallstrick ist die Verwechslung von Anzeigenamen und Benutzernamen. Der Anzeigename ist die menschenlesbare Bezeichnung, die im Dashboard und in Automatisierungen erscheint. Der Benutzername ist die technische Bezeichnung, die beim Login eingegeben wird und die kleinbuchstaben-only sein muss. Wer versehentlich den Anzeigenamen im Login-Feld eingibt, bekommt eine unklare Fehlermeldung. Best Practice ist, für Familienmitglieder den Vornamen als Anzeigenamen zu wählen und den Benutzernamen komplett in Kleinbuchstaben und ohne Umlaute anzulegen, also anna statt Anna oder juergen statt Jürgen.
Der zweite Fallstrick ist die Companion-App-Anmeldung, die für jedes Familienmitglied eine eigene Konfiguration braucht. Wenn die Ehefrau die Home-Assistant-App auf ihrem Handy installiert und sich mit dem eigenen Konto einloggt, sieht sie zunächst das Standard-Dashboard, nicht die für sie gebaute Ansicht. Die Zuweisung des Standard-Dashboards muss pro Benutzer im Profil eingestellt werden, entweder direkt in der Companion-App oder in der Weboberfläche unter dem eigenen Profil-Menü. Ohne diese Zuweisung landet die Frau immer wieder auf dem Owner-Dashboard, was den Zweck des eigenen Kontos zunichte macht.
Der dritte Fallstrick ist die Fernzugriffs-Freischaltung. Nabu Casa Cloud und externe URLs funktionieren standardmäßig für alle Benutzer, unabhängig von der Nur-lokal-Einstellung. Um einen Benutzer wirklich auf das lokale Netzwerk zu beschränken, muss die Option Nur lokal aktiviert werden, die im Benutzer-Profil zu finden ist. Ohne diese Aktivierung kann sich auch der Babysitter-Account mit der Nabu-Casa-URL von außerhalb einloggen, was die Sicherheitsüberlegung untergräbt. Bei einem kompromittierten Passwort führt das dann zu einer Situation, in der ein Angreifer von jedem Ort der Welt Zugriff auf ein Konto mit reduzierten, aber immer noch nicht unerheblichen Rechten hat.
Fazit, das Herr Bergmanns Sonntagnachmittag zusammenfasst
Home Assistant hat keine feingranulare Rechteverwaltung im klassischen Sinne, aber es hat die Bausteine, die für eine praktische Familien-Nutzung ausreichen. Personen und Benutzer sind getrennte Konzepte, die je nach Anwendungsfall separat oder verknüpft angelegt werden. Die drei Rollen Owner, Administrator und Nicht-Administrator decken den Alltag ab, wenn sie sinnvoll auf die Personen verteilt werden. Die Sichtbarkeit von Dashboards pro Benutzer, seit 2025.6 stabil, ermöglicht eine echte Personalisierung ohne komplizierte Konfiguration. Der Kiosk-Mode aus HACS erweitert das für Wandtablets und Kinderkonten. Die Multi-Faktor-Authentifizierung sichert die Konten mit Fernzugriff. Die Nur-lokal-Beschränkung schützt Konten, die ausschließlich im Heimnetzwerk relevant sind.
Für Herrn Bergmann war der Sonntagnachmittag gut investiert. Seine Frau hat seit April 2026 einen eigenen Zugang, kann die Rollläden im Wohnzimmer selbst steuern und die Heizung im Bad hochdrehen, ohne ihn zwei Zimmer weiter am Rechner zu stören. Die beiden Kinder haben Zugriff auf ihre Zimmerbeleuchtung, die Musik-Steuerung und die Küchenlampe, sind aber gesperrt für die Alarmanlage und die Systemeinstellungen. Die Babysitterin bekommt für jeden Einsatz die Login-Daten des Babysitter-Kontos, das ausschließlich lokal funktioniert und nach dem Einsatz sofort deaktiviert wird. Das Wandtablet in der Küche zeigt seit April die Kiosk-Ansicht mit den zehn wichtigsten Widgets und wird von allen Familienmitgliedern genutzt, weil es die einfachste Bedienoberfläche ist, die das Haus zu bieten hat.
Was Home Assistant nicht kann, muss ein Nutzer akzeptieren. Es gibt keine benutzerbasierte Sperre einzelner Entitäten, keine Rollen mit definierten Zugriffsrechten auf konkrete Automatisierungen, keine Audit-Logs, die zeigen, wer wann welche Aktion ausgelöst hat. Für die typische Familiennutzung ist das kein Problem, für Firmen-Installationen mit strengen Compliance-Anforderungen wäre es eines. Wer beruflich mit Compliance zu tun hat, sollte Home Assistant privat nutzen und den Vergleich mit den professionellen Building-Management-Systemen nicht ziehen. Für den Alltag im Reihenhaus in Ratingen reicht das, was da ist, und die Sonntagnachmittage der Home-Assistant-Besitzer werden mit jedem neuen Familienzugang produktiver.
