MQTT verschlüsseln: TLS für den Mosquitto-Broker in Home Assistant

Mit TLS gehen Kartennummern und Befehle nicht mehr im Klartext durch Ihr Netzwerk. Sie brauchen ein Zertifikat für den Broker, ein paar Einstellungen im Mosquitto-Add-on und Port 8883 in der Bridge.

Standardmäßig läuft MQTT unverschlüsselt über Port 1883. In einem gut geschützten Heimnetz ist das oft vertretbar, aber jedes Gerät im selben Netz könnte mitlesen. Bei Zutrittskontrolle lohnen sich die wenigen Minuten für die Verschlüsselung.

Was Sie brauchen

• Home Assistant mit dem Mosquitto-Broker-Add-on
• ein Zertifikat mit Schlüssel für den Broker im Ordner /ssl von Home Assistant, etwa vom Let’s-Encrypt-Add-on oder selbst signiert
• eine KLOKL Bridge mit Firmware v1.0.2

Schritt 1: TLS im Add-on einschalten

Öffnen Sie Einstellungen → Add-ons → Mosquitto broker → Konfiguration. Tragen Sie die Dateinamen von Zertifikat und Schlüssel ein, wie sie in /ssl liegen. Mit den üblichen Namen sieht die Konfiguration so aus:

1logins: []
2require_certificate: false
3certfile: fullchain.pem
4keyfile: privkey.pem
5customize:
6  active: false
7  folder: mosquitto
Copy

Speichern und das Add-on neu starten. Im Protokoll sollte nun stehen, dass es zusätzlich auf Port 8883 lauscht. Port 1883 bleibt für Geräte offen, die noch kein TLS können; ist alles umgestellt, können Sie ihn in den Netzwerk-Einstellungen des Add-ons schließen.

Schritt 2: die Bridge auf MQTTS umstellen

1. Öffnen Sie die Weboberfläche der Bridge.
2. Stellen Sie in den MQTT-Einstellungen den Port auf 8883 und schalten Sie TLS (MQTTS) ein.
3. Speichern. Die Bridge verbindet sich von selbst neu.
4. In Home Assistant sollte das Gerät nach wenigen Sekunden wieder online sein.

Wovor TLS schützt, und wovor nicht

Mit TLS ist der Verkehr zwischen Bridge und Broker verschlüsselt; wer im Netzwerk mithört, sieht keine Kartennummern. In Firmware v1.0.2 prüft die Bridge das Zertifikat des Brokers noch nicht gegen eine Zertifizierungsstelle. Das hält selbst signierte Zertifikate einfach, schützt aber nicht vor einem Angreifer im eigenen Netz, der sich aktiv als Broker ausgibt. Deshalb:

• nutzen Sie für die Bridge einen eigenen MQTT-Benutzer mit starkem Passwort
• halten Sie IoT-Geräte in einem eigenen Netzsegment, wenn Ihr Router das kann
• machen Sie den Broker nicht aus dem Internet erreichbar

Alle MQTT-Topics der Bridge stehen in der Dokumentation.