Home Assistant speichert Token-Geheimnisse im Klartext – und Passwortänderungen sperren sie nicht aus
Home Assistant: the password is not the key – token secrets in cleartext
In zwei Millionen Haushalten steuert Home Assistant Schlösser, Alarmanlagen und Kameras. Eine Prüfung der Version 2026.11.0 zeigt: Die Secrets aller Refresh-Tokens liegen unverschlüsselt in config/.storage/auth, zwei von drei Token-Klassen laufen nie ab, und keine der vier Passwortänderungs-Routen widerruft auch nur ein Token. Wer einmal die Konfiguration oder ein Backup liest, behält dauerhaft Zugang zum Haus.
Was es zeigt, ist, dass jede solche Leseoperation – eine für den Support geteilte Backup-Datei, ein an der falschen Stelle synchronisierter Konfigurationsordner, eine einzige Dateioffenlegung irgendwo im Stack – zu dauerhaftem, passwortänderungsresistentem Zugang zum Haus wird, und die eine Gegenmaßnahme, zu der jeder Nutzer zuerst greift, das Ändern des Passworts, bewirkt nichts.