Ein neuer Mini-PC, ein Backup einspielen und danach eine App, die nicht mehr starten will: Dieses Szenario kann Home Assistant-Nutzern ab Dezember häufiger begegnen. Home Assistant gibt seinen Apps künftig weniger Linux-Rechte mit, und das spürst Du vor allem beim Umzug auf ein neues System.
An einer Installation, die heute einfach läuft, ändert sich vorerst nichts. Wer ein frisches System aufsetzt oder Apps nutzt, die selbst am Netzwerk drehen, sollte die Details trotzdem kennen.
Was ändert sich für Dein Home Assistant?
Läuft Dein Home Assistant als Container oder Core, hast Du keine Apps, und das Thema geht komplett an Dir vorbei. Mit Home Assistant OS oder Supervised gilt eine feste Reihenfolge. Heute ändert sich nichts. Mit Supervisor 2026.12 bekommen neue Installationen die strengeren Regeln, und spätestens mit Supervisor 2027.05 ziehen alle bestehenden Installationen nach. Das Team lässt sich die Option offen, den Schritt früher zu gehen, und kündigt ihn dann in den Release-Notes an.
Eine bestehende Installation behält ihr altes Verhalten also zunächst bei. Willst Du schon jetzt wissen, wie sich Deine Apps unter den neuen Regeln schlagen, kannst Du sie vorab einschalten, wie weiter unten beschrieben. Davon getrennt zu sehen ist Home Assistant 2026.11, das Anfang November mit Matter-Kameras und einem Marketplace erschienen ist. Der Supervisor ist die Ebene darunter, die die Apps verwaltet, und hat eigene Versionsnummern. Was die neue Version sonst bringt, steht im Artikel zu Home Assistant 2026.11.
Welche Rechte fallen bei Home-Assistant-Apps weg?
Apps, früher Add-ons genannt, sind die einzelnen Programme neben Home Assistant selbst: der MQTT-Broker Mosquitto, der Matter Server, ein VPN oder ein Code-Editor. Jede App läuft in einem eigenen Container und bekam bisher den kompletten Standard-Schlüsselbund des darunterliegenden Containersystems, auch wenn sie nur zwei oder drei Schlüssel davon braucht.
Vier Schlüssel fliegen jetzt vom Bund: NET_RAW, MKNOD, AUDIT_WRITE und SETFCAP. In der Praxis zählt nur der erste. NET_RAW gibt einer App Zugriff auf rohe Netzwerkpakete, auf denen etwa ein Netzwerkscanner oder ein DHCP-Server aufbaut. Eine gekaperte App könnte damit aber auch mitlesen oder Deinen Datenverkehr stören. Die anderen drei tauchen bei den geprüften Apps nicht auf: MKNOD legt Gerätedateien an, AUDIT_WRITE schreibt ins Systemprotokoll, und SETFCAP setzt Dateirechte, was manchmal beim Installieren von Paketen passiert.
Braucht eine App doch einen davon, trägt sie das Recht in die Liste privileged ihrer Konfiguration ein. Was dort steht, wird nie entzogen, auch nicht bei Apps mit vollem Zugriff. Der Gedanke dahinter ist einfach: Je weniger eine App darf, desto weniger Schaden kann eine defekte oder gekaperte App anrichten.
Welche Apps merken etwas davon?
Das Team hat rund neunzig Apps aus dem offiziellen und dem Community-Store durchgesehen. Eine kleine Gruppe braucht etwas, und das ist immer NET_RAW. Für Matter und Thread sind es zwei Apps: der Matter Server und der OpenThread Border Router. Sie tragen alles, was Du über Matter und Thread steuerst, vom Eve Thermo Matter bis zum Bewegungsmelder. Der Matter Server nutzt das Recht, um neue Geräte per Bluetooth einzubinden, und bei beiden Apps ist es bereits hinterlegt oder wird ergänzt. Mehr zu diesem Duo steht im Artikel zu Home Assistant und Matter.
Bei den Community-Apps betrifft es unter anderem AdGuard Home, das über Netzwerkpakete IP-Adressen vergibt, außerdem Tailscale und die Terminal- und Code-Editor-Apps mit Netzwerkwerkzeugen. Auch sie fordern das Recht schon an oder bekommen ein Update. VPN-Apps wie WireGuard und ZeroTier merken nichts, weil sie mit anderen Rechten auskommen.
Ping funktioniert weiter
Ein einfacher Ping braucht NET_RAW nicht mehr und läuft deshalb weiter. Werkzeuge wie nmap, tcpdump, mtr oder arping können dagegen kaputtgehen, ebenso Programme mit einer eigenen Ping-Methode. Siehst Du beim Installieren zusätzlicher Pakete eine Warnung zu Dateirechten, etwa in den Terminal- und Code-Editor-Apps oder in AppDaemon, läuft die Installation trotzdem durch. Dafür musst Du nichts ergänzen.
So spielst Du ein Backup sicher auf eine neue Installation zurück
In diesem Moment kannst Du im Alltag etwas merken. Die Schalter, die die neuen Regeln einschalten, stecken nicht im Backup. Spielst Du nach dem Dezember ein Backup auf eine frische Installation ein, gelten die neuen Standardrechte deshalb auch für die zurückgespielten Apps. Eine App, die stillschweigend auf NET_RAW gesetzt hat, tut dann nicht mehr, was sie vorher tat.
- Spiel das Backup ein und lass Home Assistant zuerst zur Ruhe kommen.
- Starte Deine Apps nacheinander, netzwerknahe wie AdGuard Home oder Tailscale zuerst.
- Such im Protokoll der App nach Operation not permitted. Eine solche Meldung zeigt die Richtung, beweist aber noch nicht, welches Recht fehlt.
- Aktualisiere die App, denn oft hat der Entwickler das Recht dann schon ergänzt.
- Hilft das nicht, schalte die neuen Regeln vorübergehend ab, wie unten beschrieben. Das geht, solange die Schalter existieren.
Wählst Du für den Umzug eine neue Maschine, hilft die Hardware-Übersicht bei der Entscheidung.
Vorab testen ohne Risiko
Willst Du wissen, ob Deine Apps für den Wechsel bereit sind, schaltest Du die neuen Regeln schon jetzt ein. Aktualisiere den Supervisor auf 2026.09.3 oder neuer und nutze die ha-Kommandozeile ab Version 5.1.0 mit diesem Befehl: ha supervisor options --feature-flag app_drop_net_raw=true --feature-flag app_reduced_capabilities=true. Starte danach die Apps neu, die Du ausprobieren willst, denn die Rechte stehen fest, sobald der Container erzeugt wird. Zurück zum alten Zustand? Setz beide Schalter auf false und starte die Apps neu.
Wer eine neue Installation aufbaut, beginnt oft mit den Matter- und Thread-Geräten, die über den Matter Server und den Border Router laufen. Bei tink findest Du sie alle, von Sensoren und Thermostaten von Eve bis zu smarten Steckdosen, um Dein Home Assistant zu erweitern.
![Jetzt bei Licht und Sicherheit bis zu 50% sparen - zum tink Shop](https://www.tink.de/blog/wp-content/uploads/2026/10/300x250_DAT_wm-deals_Announcement-1.jpg")
