Vollständiger Leitfaden für Home Assistant-Backups - Die 3-2-1-Regel

Einleitung: Was Sie ein Backup nennen, ist wahrscheinlich keines

Eines Abends kommen Sie nach Hause und Home Assistant reagiert nicht mehr. Der Speicher hat den Geist aufgegeben. Ohne Vorwarnung, wie immer. Die Rollläden schließen nicht mehr, die Heizung macht, was sie will, und vor allem: Hunderte Stunden Konfiguration haben sich gerade in Luft aufgelöst.

An diesem Punkt beruhigen sich viele mit einem Satz, den ich sehr oft höre: „Keine Panik, ich habe ein RAID" oder „Alles ist mit meiner Cloud synchronisiert". Ich sage es direkt, auch wenn es ein wenig wehtut: In beiden Fällen ist das, was Sie ein Backup nennen, wahrscheinlich keines.

Die gute Nachricht: Es gibt eine einfache, bewährte Methode, die sich perfekt auf die Hausautomation übertragen lässt: die 3-2-1-Regel. Drei Kopien, zwei Datenträger, eine außer Haus. Jede Zahl stopft eine ganz bestimmte Lücke, und keine steht zufällig da.

Wir sehen uns also an, was wirklich auf dem Spiel steht, entlarven die beiden verbreitetsten Scheinsicherheiten und bauen dann gemeinsam ein Home Assistant Backup auf, das wirklich hält, bis hin zum Wiederherstellungstest. Denn ein Backup, das nie getestet wurde, ist kein richtiges Backup.

Das echte Risiko: Was RAID und Synchronisierung Ihnen nie sagen werden

Home Assistant ist keine Anwendung, die man in zehn Minuten neu installiert

Eine ausgereifte Smart-Home-Installation ist keine Software. Sie ist eine Ansammlung. Ihre Integrationen, Ihre Automationen, Ihre Dashboards, Ihre Szenen, Ihre Blueprints, Ihre einzeln umbenannten Entitäten, Ihr Energieverlauf über drei Jahre, Ihre API-Schlüssel, Ihre Zigbee-Kopplungen. Zählen Sie die Abende zusammen, die Sie darin investiert haben, Ihnen wird ein wenig anders werden.

Und das alles liegt auf einem einzigen Datenträger, in einem Gehäuse auf einem Regal, direkt neben dem Router.

eMMC, SSD, SD-Karte: der stille Countdown

Eine SSD kann von einem Tag auf den anderen sterben, ohne das geringste Vorzeichen. Der tückischste Fall ist aber der Home Assistant Green. Sein Speicher besteht aus 32 GB eMMC-Speicher, einem Flash-Chip, der direkt auf die Platine gelötet ist, genau wie in einem Smartphone. Nicht austauschbar. Und wie jeder Flash-Speicher nutzt er sich mit jedem Schreibvorgang ab.

Das ist keine theoretische Sorge. Im offiziellen Home-Assistant-Forum trifft man regelmäßig auf Green-Besitzer, die schon wenige Wochen nach dem Kauf eine Verschleißanzeige von bereits 10 % entdecken. Der Grund ist einfach: Home Assistant schreibt permanent. Jede Zustandsänderung, jeder Sensorwert landet in der Verlaufsdatenbank. Multiplizieren Sie das mit hundert Sensoren und mehreren Jahren.

Zwei nützliche Reflexe, unabhängig vom Backup. Reduzieren Sie die Aufbewahrungsdauer des Verlaufs mit der Option purge_keep_days des Recorders und schließen Sie die Entitäten aus, die Sie ohnehin nie ansehen. Und wenn Sie noch weiter gehen möchten, verlagern Sie die Datenpartition auf eine externe USB-SSD über Einstellungen, System, dann Speicher. Dieser letzte Schritt ist alles andere als harmlos, bei mehreren Nutzern ist die Installation nie wieder hochgekommen: Erstellen Sie ein vollständiges Backup und laden Sie es herunter, bevor Sie loslegen, niemals danach.

RAID und Synchronisierung: zwei Scheinsicherheiten

Ein RAID besteht aus mehreren Festplatten, die zusammenarbeiten, als wären sie eine einzige. In seiner einfachsten Form wird alles, was Sie schreiben, in Echtzeit auf eine zweite, identische Festplatte kopiert. Stellen Sie sich zwei Sekretäre vor, die nebeneinandersitzen: Sie diktieren, beide schreiben im selben Moment dasselbe mit. Fällt einer aus, hat der andere das vollständige Dokument. Diktieren Sie aber Unsinn, haben Sie am Ende zwei Kopien dieses Unsinns.

Das ist sehr clever und löst genau ein Problem: die ausgefallene Festplatte. Löschen Sie versehentlich einen Ordner, verschwindet die Kopie in derselben Sekunde. Verschlüsselt eine Ransomware Ihre Dateien, verschlüsselt das RAID die Zweitfassung getreulich mit. RAID bedeutet Betriebskontinuität, nicht Backup.

Dieselbe Falle bei einer Synchronisierung à la Google Drive oder Dropbox. Was auf der einen Seite verschwindet, verschwindet auch auf der anderen: Das ist das Prinzip der Synchronisierung, sie spiegelt den aktuellen Zustand wider und bewahrt nicht den vergangenen. Verwechseln Sie deshalb niemals Cloud-Synchronisierung und Backup in der Cloud, dieser Unterschied wird Sie vielleicht eines Tages retten.

Was ist also ein echtes Backup?

Ein echtes Backup ist eine in der Zeit eingefrorene Kopie, getrennt vom Original, die nachträglich von nichts mehr verändert wird. Eine Momentaufnahme Ihres Systems zu einem bestimmten Zeitpunkt, kein Spiegel seines aktuellen Zustands. Genau darin liegt der ganze Unterschied, und diese Definition rechtfertigt jede der folgenden Zahlen.

Die 3-2-1-Regel: fünf Bedrohungen, drei Zahlen

Die fünf Bedrohungen, gegen die Sie sich schützen

Die Regel ist kein aus dem Nichts entstandenes Dogma. Sie stammt nicht einmal aus der IT: Der amerikanische Fotograf Peter Krogh hat sie in The DAM Book formuliert, erschienen 2005, um seine Bildkataloge zu schützen. Zwanzig Jahre später wird sie von der ANSSI und von den meisten Cybersicherheits-Frameworks übernommen. Sie beantwortet fünf sehr konkrete Szenarien.

1. Der menschliche Fehler, der am meisten unterschätzte und dennoch häufigste: eine überschriebene Automation, ein Update, das alles zerstört, ein Klick zu viel um Mitternacht.
2. Der Hardwaredefekt: die SSD oder der eMMC-Chip, der den Geist aufgibt.
3. Die stille Datenkorruption: die Datenbank, die sich lautlos beschädigt und die Sie erst drei Wochen später entdecken.
4. Die Ransomware: eine Schadsoftware, die alles verschlüsselt, was sie in Ihrem Netzwerk erreichen kann, Backups inklusive, sofern sie zugänglich bleiben.
5. Der physische Schadensfall: Brand, Wasserschaden, Einbruch, Blitzschlag.

Drei Zahlen, drei gestopfte Lücken

3 Kopien Ihrer Daten. Ist ein Backup beschädigt oder unbemerkt fehlgeschlagen, bleiben immer noch zwei weitere.

2 verschiedene Datenträger. Brennt ein Gerät durch, ist das andere immer noch da.

1 Kopie außer Haus, also außerhalb Ihrer eigenen vier Wände. Brennt die Wohnung, wird sie überflutet oder ausgeraubt, oder fegt eine Ransomware das gesamte lokale Netzwerk leer, überlebt die externe Kopie.

3-2-1-1-0, die moderne Fassung

In der Profiwelt hat die Regel zwei weitere Zahlen bekommen. Die vollständige Formulierung, populär gemacht vom Hersteller Veeam, lautet 3-2-1-1-0. Ihnen wird auch die verkürzte Variante 3-2-1-0 begegnen: Es ist dieselbe Idee.

Die erste Ergänzung ist eine Offline-Kopie oder eine unveränderliche Kopie, die eine Ransomware selbst dann nicht erreicht, wenn sie Ihr Netzwerk in der Hand hat. Konkret: eine Festplatte, die man nach der Kopie abzieht, ein gesperrter Snapshot auf dem NAS oder eine Cloud mit Versionierung, die frühere Versionen einer Datei aufbewahrt.

Die zweite Ergänzung, die Null, steht für null Fehler beim Wiederherstellungstest. Und genau die vergisst jeder, ich selbst jahrelang als Erster.

In der Praxis: die lokale Kopie und der zweite Datenträger

Eine Klarstellung vorab. Dieser Leitfaden geht von einer Home Assistant OS-Installation aus, dem häufigsten Fall und dem des Green wie des Yellow. Bei Home Assistant Container existiert das Backup-System zwar, unterstützt aber weder die Add-ons noch die Ordner des Supervisors. Sie benötigen außerdem ein NAS oder einen per Samba erreichbaren Netzwerkspeicher, ein Cloud-Konto für die Kopie außer Haus und vor allem einen sicheren Ort außerhalb von Home Assistant, um Ihren Verschlüsselungsschlüssel aufzubewahren.

Schritt 1: der Verschlüsselungsschlüssel, vor allem anderen

Seit Version 2025.1 von Home Assistant werden alle automatischen Backups mit AES-128 verschlüsselt, und der Verschlüsselungsschlüssel ist keine Option mehr. Bei der ersten Konfiguration erzeugt Home Assistant ihn für Sie und bietet an, ein Notfall-Kit herunterzuladen, das ihn enthält.

Laden Sie dieses Notfall-Kit herunter. Wirklich. Solange Ihre Instanz läuft, können Sie den Schlüssel jederzeit in den Einstellungen wieder einsehen. An dem Tag, an dem die Maschine nicht mehr startet, verschwindet diese Möglichkeit, und Ihre verschlüsselten Backups verwandeln sich in einen hübschen Haufen unlesbarer Bytes.

Schritt 2: die lokale Kopie, Zeitplan und Aufbewahrung

Klicken Sie weiterhin in den Backup-Einstellungen auf „Backups konfigurieren". Drei Einstellungen zählen wirklich:

• Der Zeitplan: Stellen Sie ihn ohne zu zögern auf täglich. Die Option „optimal für das System" passt sehr gut.
• Die Aufbewahrung: Lassen Sie sie auf keinen Fall auf „für immer" stehen, Ihr Speicher wäre in wenigen Wochen voll. Lokal reichen drei Backups.
• Der Inhalt: Die Home-Assistant-Einstellungen sind Pflicht. Fügen Sie die Add-ons und den Verlauf hinzu. Die Freigabe- und Medienordner nur dann, wenn Sie wissen, warum, denn sie lassen das Archiv sehr schnell anschwellen.

Diese erste Kopie liegt auf der Maschine selbst. Das ist offensichtlich der fragilste Speicherort, denn er verschwindet mit ihr. Es ist aber auch der, der Sie am häufigsten retten wird, mit drei Klicks und ohne etwas herunterzuladen, an dem Abend, an dem ein Update alles zerlegt.

Schritt 3: das NAS, Ihr zweiter Datenträger

Auf der NAS-Seite ist die Vorgehensweise bei allen Herstellern nahezu identisch. Legen Sie einen eigenen freigegebenen Ordner an, zum Beispiel ha_backups, und anschließend einen dedizierten Benutzer, der ausschließlich in diesen Ordner schreiben darf. Prüfen Sie zum Schluss, ob der Samba-Dateidienst wirklich aktiv ist.

Zurück in Home Assistant, auf zu Einstellungen, System, Speicher, dann „Netzwerkspeicher hinzufügen". Geben Sie die IP-Adresse des NAS ein, wählen Sie das Samba-Protokoll, tragen Sie den Namen des freigegebenen Ordners und die Zugangsdaten des zuvor angelegten Benutzers ein. Sobald der Netzwerkspeicher verbunden ist, erscheint er automatisch in der Liste der Backup-Speicherorte.

Aktivieren Sie ihn und öffnen Sie dann seine Einstellungen, um ihm eine eigene Aufbewahrung zuzuweisen. Ihr NAS hat Platz: Stellen Sie 30 Backups ein. Bei einem Backup pro Tag verschafft Ihnen das einen Monat, um eine unbemerkt gebliebene Datenkorruption noch aufzufangen. Genau hier entscheidet sich der Unterschied zwischen einem Backup und einer simplen Kopie.

Die Kopie außer Haus: die richtige Cloud für Ihre Backups wählen

Der Überblick über die Ziele, Stand Juli 2026

Home Assistant hat seit der Überarbeitung seines Backup-Systems die Schleusen weit geöffnet. Während ich diese Zeilen schreibe, können Sie Ihre Archive nativ an Google Drive und OneDrive (seit Version 2025.2), an einen WebDAV-Server (2025.3), an Cloudflare R2 (2026.2), an AWS S3 oder auch an Dropbox senden, das mit 2026.7 dazugekommen ist. Ganz zu schweigen von Home Assistant Cloud.

Reden wir also genau darüber. Es ist die bequeme Lösung, sie finanziert die Entwicklung des Projekts, und ich habe nichts dagegen. Aber bleiben wir präzise: Rechnen Sie mit 7,50 Euro pro Monat oder 75 Euro pro Jahr in der Eurozone, und vor allem ist die offizielle Dokumentation sehr eindeutig, der Speicherplatz ist auf 5 GB begrenzt und es wird nur eine einzige Datei aufbewahrt, das zuletzt gesendete Backup. Das ist eine ausgezeichnete sofort verfügbare Notfallkopie. Es ist keine Historie.

Internxt: eine europäische Cloud, Open Source und Zero-Knowledge

Internxt ist eine spanische Cloud, also europäisch und der DSGVO unterworfen, deren Clients Open Source sind. Die Verschlüsselung erfolgt clientseitig, jede Datei wird in Stücke zerlegt, die auf mehrere Server verteilt werden, und das Modell ist Zero-Knowledge. Der Ultimate-Plan mit 5 TB ist derjenige, der das CLI und WebDAV freischaltet, und genau das brauchen wir hier.

Eine notwendige Klarstellung, die selten ausgesprochen wird: Seit 2025.1 verlassen Ihre Backups das Haus bereits mit AES-128 verschlüsselt. Selbst auf einem Consumer-Drive abgelegt, bleiben sie ohne Ihren Schlüssel unlesbar. Zero-Knowledge ist also kein Ausgleich für ein Defizit, sondern eine zusätzliche Schicht, bei der der Anbieter nicht einmal weiß, was er speichert. Deaktivieren Sie dagegen niemals die Verschlüsselung für einen Speicherort, der Ihr Zuhause verlässt: Home Assistant erlaubt es Ihnen für alle Ziele außer seiner eigenen Cloud, und es wäre eine sehr schlechte Idee.

Das Add-on installieren und Home Assistant anbinden

Das WebDAV von Internxt ist kein entfernter Server: Es ist ein lokaler Server, der von deren CLI gestartet wird und vor dem Versand verschlüsselt. Er musste also innerhalb von Home Assistant laufen. Ich habe das Ganze in ein Add-on verpackt, verfügbar in meinem Add-on-Repository, kompatibel mit amd64 und aarch64.

1. Öffnen Sie unter Apps das Drei-Punkte-Menü, dann Repositories, und fügen Sie die Adresse des Repositorys ein.
2. Laden Sie die Seite neu, scrollen Sie ganz ans Ende der Liste und installieren Sie Internxt WebDAV.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung in Ihrem Internxt-Konto, notieren Sie sich das TOTP-Secret und legen Sie einen Zielordner an, zum Beispiel ha_backups.
4. Tragen Sie in der Konfiguration des Add-ons Ihre E-Mail-Adresse, Ihr Passwort und dieses TOTP-Secret ein und wählen Sie anschließend einen Benutzernamen und ein Passwort für den lokalen WebDAV-Server.
5. Starten Sie das Add-on, warten Sie im Protokoll auf die Startbestätigung und kopieren Sie dann die direkt darüber angezeigte Container-URL.
6. Fügen Sie schließlich unter Einstellungen, Geräte und Dienste die WebDAV-Integration hinzu: Fügen Sie die URL, die Zugangsdaten des lokalen Servers und den Pfad Ihres Ordners ein, hier /ha_backups.

Dieser neue Speicherort erscheint dann in der Backup-Konfiguration, genau wie das NAS. Aktivieren Sie ihn, setzen Sie seine Aufbewahrung auf 30, und Ihre 3-2-1-Regel ist komplett.

Sicherheitsüberlegungen: Ihr Backup ist ein Schlüsselbund

Und jetzt der Punkt, über den fast niemand spricht. Ihr Archiv ist keine harmlose Datei. Darin stecken Ihre Zugriffstoken, Ihre API-Schlüssel, Ihre Integrations-Zugangsdaten und sogar Ihr WLAN-Passwort. Home Assistant sagt es bei der Ankündigung seines neuen Backup-Systems selbst: Diese Archive enthalten die Schlüssel zu jedem Gerät Ihres Smart Homes. Mit anderen Worten, einen echten Schlüsselbund für Ihr Zuhause.

Wenn diese Datei nach außen gelangt, kann jemand Ihre Installation buchstäblich nachbauen und sich damit verbinden. Drei sehr konkrete Konsequenzen.

Erstens ist der Ort, an den Sie diese Datei senden, enorm wichtig. Genau darin liegt der Nutzen eines Anbieters, der nicht öffnen kann, was er speichert, und das ist der wahre Grund, eine Ende-zu-Ende-verschlüsselte Cloud einem Consumer-Drive vorzuziehen.

Zweitens: Bewahren Sie den Schlüssel woanders auf als in Home Assistant. Ein Passwortmanager ist dafür perfekt, mit einer amüsanten Nuance: Wenn Sie Ihr Vaultwarden ausgerechnet auf dem Home Assistant hosten, den Sie gerade wiederherstellen wollen, haben Sie sich soeben ausgesperrt. Sehen Sie eine Kopie außerhalb dieses Perimeters vor, auf Papier in einer Schublade oder in einem separaten Tresor. Das ist keine Paranoia, das ist gesunder Menschenverstand.

Drittens sollten Sie daran denken, dass eine Ransomware, die Ihr Netzwerk übernimmt, auch das NAS erreicht, denn Home Assistant darf dort schreiben. Genau hier ergibt die vierte Zahl der 3-2-1-1-0-Regel ihren vollen Sinn. Aktivieren Sie Snapshots mit Btrfs oder ZFS auf dem NAS, halten Sie eine externe Festplatte bereit, die Sie einmal im Monat anschließen, oder verlassen Sie sich auf die Versionierung der Cloud. Welche der drei, ist egal, aber mindestens eine.

Die Null der 3-2-1-1-0-Regel: testen, sonst bleibt es nur Hoffnung

Testen, ohne den Brandstifter zu spielen

Im Video zerstöre ich meine Installation vollständig, um zu beweisen, dass die Wiederherstellung funktioniert. Das ist spektakulär, aber nicht das, was ich Ihnen für einen Dienstagabend empfehle.

Die richtige Methode: Installieren Sie Home Assistant OS in einer virtuellen Maschine, auf einem alten Raspberry Pi oder in Proxmox. Laden Sie Ihr letztes Archiv aus der Cloud herunter, wählen Sie „Backup hochladen", haken Sie alles an und geben Sie Ihren Verschlüsselungsschlüssel ein. Gute Nachricht am Rande: Die Wiederherstellung funktioniert architekturübergreifend, ein Home Assistant Backup von einem Raspberry Pi lässt sich problemlos auf einem x86-Mini-PC einspielen.

Was Sie bei dieser vollständigen Wiederherstellung prüfen: Ihre Benutzer, Ihre Geräte, Ihre Add-ons, Ihre Automationen und die Backup-Konfiguration selbst. Ist alles da, haben Sie soeben eine Hoffnung in eine Gewissheit verwandelt. Rechnen Sie mit zehn Minuten, ein- bis zweimal pro Jahr.

Seine Backups automatisch überwachen

Ein Backup, das sechs Monate lang stillschweigend fehlschlägt, ist schlimmer als gar kein Backup, denn es gibt Ihnen ein falsches Sicherheitsgefühl. Die Backup-Integration liefert genau das, womit man sich davor schützt, mit der Entität event.backup_automatic_backup und mehreren Sensoren, darunter dem Datum des letzten erfolgreichen Backups.

Erste Automation, die sofortige Warnung bei einem Fehlschlag:

alias: Warnung automatisches Backup fehlgeschlagen
triggers:
  - trigger: state
    entity_id: event.backup_automatic_backup
conditions:
  - condition: state
    entity_id: event.backup_automatic_backup
    attribute: event_type
    state: failed
actions:
  - action: notify.persistent_notification
    data:
      title: Automatisches Backup fehlgeschlagen
      message: >-
        Das letzte Backup ist fehlgeschlagen:
        {{ state_attr('event.backup_automatic_backup', 'failed_reason') }}
mode: single

Zweite Automation, die ich sogar noch nützlicher finde. Ein Wachhund, der Sie benachrichtigt, wenn seit 48 Stunden kein Backup mehr erfolgreich war.

alias: Seit 48 Stunden kein erfolgreiches Backup
triggers:
  - trigger: time_pattern
    hours: "/6"
conditions:
  - condition: template
    value_template: >-
      {% set s = states('sensor.backup_last_successful_automatic_backup') %}
      {{ s not in ['unknown', 'unavailable']
         and (now() - (s | as_datetime)).total_seconds() > 172800 }}
actions:
  - action: notify.persistent_notification
    data:
      title: Home Assistant Backup
      message: Seit mehr als 48 Stunden war kein automatisches Backup erfolgreich.
mode: single

Fazit: zehn Minuten, um eine Hoffnung in eine Gewissheit zu verwandeln

Ziehen wir Bilanz. Ein tägliches, verschlüsseltes Backup auf der Maschine, erste Kopie. Eine Kopie auf dem NAS, zweiter Datenträger. Eine Kopie außer Haus in einer verschlüsselten Cloud. Drei Kopien, zwei Datenträger, eine außer Haus: Ihre 3-2-1-Regel ist komplett. Fügen Sie einen gesperrten Snapshot oder eine Festplatte hinzu, die Sie abziehen, und schon sind Sie bei 3-2-1-1-0.

Meine Empfehlung, ohne Umschweife. Wenn Sie bereits Home Assistant Cloud abonniert haben, aktivieren Sie die Cloud-Kopie noch heute Abend: Das dauert dreißig Sekunden und ist unendlich viel besser als nichts. Wenn nicht, oder wenn Sie eine echte Historie außer Haus statt eines einzigen Archivs möchten, ist eine Ende-zu-Ende-verschlüsselte Cloud mit einem Lifetime-Angebot auf Dauer deutlich interessanter. Und behalten Sie in jedem Fall das NAS: Es ist die Kopie, die sich am schnellsten wiederherstellen lässt, also die, die Sie am häufigsten retten wird.

Bleibt der wichtigste Rat, und er ist der einzige, der nichts kostet. Führen Sie halbjährlich eine echte Wiederherstellung durch und prüfen Sie, ob alles zurückkommt. Zehn Minuten Übung, und Ihr Home Assistant Backup hört auf, ein Glaube zu sein, und wird zur Gewissheit. Ihre Installation kann dann abbrennen, gestohlen werden oder ihren Speicher verlieren: Sie verlieren nichts mehr.