Standort-Tracking mit Datenhoheit: OwnTracks, Dawarich und Home Assistant

Standort- und Anwesenheitserkennung ist bequem: Das Licht geht an, wenn jemand heimkommt, die Heizung reagiert auf Abwesenheit. Der Haken ist, dass die üblichen Wege dafür laufende Bewegungsprofile an einen fremden Anbieter schicken. Das wollte ich nicht. Also habe ich die Kette so gebaut, dass die Daten mir gehören.

Die Idee dahinter ist einfach: Das Handy meldet über die OwnTracks-App seinen Standort, ein öffentlich erreichbarer Broker reicht die Nachricht nur durch, und alles, was Historie und Auswertung ausmacht, läuft zu Hause hinter dem VPN. Ich gehe die Kette hier in der Reihenfolge durch, in der die Daten sie durchlaufen: vom öffentlichen Puffer über die Fallen beim Einrichten bis zur Frage, wie im Betrieb kein Punkt verloren geht.

Der öffentliche Server puffert nur

Das Handy sendet seinen Standort über die OwnTracks-App. Es braucht dafür einen von außen erreichbaren Empfänger, denn unterwegs ist man nicht im Heimnetz. Dieser öffentliche Punkt ist bewusst so dumm wie möglich: ein reiner MQTT-Puffer, der die Nachrichten nur durchreicht und nichts speichert. Historie und Auswertung passieren zu Hause, hinter dem bestehenden VPN, wie die Grafik oben zeigt.

So liegt an der einzigen öffentlich erreichbaren Stelle nie ein Bewegungsprofil, sondern immer nur die gerade durchlaufende Nachricht. Selbst wenn dieser Server kompromittiert würde, gäbe es dort keine Historie zu holen. Zu Hause übernimmt dann Dawarich die Speicherung und Auswertung der Spur, und Home Assistant zieht sich über MQTT die Anwesenheit für seine Automationen.

Vier Fallen aus der Praxis

Beim Einrichten haben mich vor allem vier Punkte Zeit gekostet. Ich notiere sie hier, weil keiner davon sich von selbst erklärt.

• OwnTracks sendet kein TLS-SNI. Deshalb lässt sich der Empfänger nicht über den normalen Namens-basierten Weg des Reverse Proxy routen. Er braucht einen eigenen Port, an dem der MQTT-Broker das TLS selbst terminiert.
• Der Verbindungstest scheitert leise an der TLS-Version. Die Verbindung zu diesem Listener kam erst zustande, als ich TLS 1.3 erzwang. Ohne das gab es nur eine wenig hilfreiche Fehlermeldung über ein unbekanntes Zertifikat.
• Die Auswertung wehrt fremde Hosts ab. Dawarich läuft auf einem Framework, das Zugriffe über eine nicht freigegebene Adresse mit einem 403 blockt. Die lokale Adresse muss ausdrücklich in die erlaubten Hosts.
• Die echte Quell-IP verschwindet. Durch das rootless-Port-Publishing sieht der Broker nicht die echte Absender-IP, eine IP-basierte Abwehr am Broker läuft also ins Leere. Der Schutz trägt hier über Verschlüsselung, Authentifizierung und Zugriffsregeln, nicht über die Adresse.

Kein Punkt geht verloren

Steht die Verbindung, geht es im Betrieb um Zuverlässigkeit. Damit unterwegs keine Position verloren geht, ist der Weg mehrstufig gepuffert: Die App hält Nachrichten vor, die Bridge zum Heim-Broker läuft mit gesicherter Sitzung und Bestätigung, und der Verbraucher zu Hause quittiert erst, wenn die Position wirklich gespeichert ist. Das Ergebnis ist eine Zustellung nach dem Prinzip mindestens einmal: lieber eine Position doppelt als eine verloren.

Ehrlich: Komfort mit Verantwortung

Ein eigenes Standort-Tracking ist mächtig und heikel zugleich. Bewegungsdaten sind mit das Sensibelste, was man erfassen kann. Der ganze Aufwand mit dem reinen Puffer und der lokalen Auswertung dient genau dem Zweck, diese Daten nicht aus der Hand zu geben. Wer so etwas baut, übernimmt Verantwortung für die Daten der Menschen, deren Geräte mitlaufen. Das gehört offen besprochen, nicht stillschweigend eingerichtet.

Sie wollen Automatisierung, die auf Anwesenheit reagiert, ohne die Standortdaten wegzugeben? Ich baue solche Ketten so, dass die sensiblen Daten bei Ihnen bleiben und nur das Nötigste überhaupt nach außen geht. Mehr unter Private Cloud, das Erstgespräch ist unverbindlich.