Smart Home per Satz: Vier KI-Wege im Vergleich – und wer die Haustür öffnen darf

Darum geht es

„Wenn es dunkel wird und jemand nach Hause kommt, mach das Flurlicht warmweiß an.“ So einen Satz verwandeln inzwischen vier ganz verschiedene Systeme in eine fertige Automation, also eine Regel nach dem Muster „Wenn das passiert, tu jenes“. Philips Hue hat das Ende Oktober eingeführt. Google bietet es mit Gemini for Home an, Amazon mit Alexa+. Bastler binden ihren Home-Assistant-Server über MCP an Claude, Codex oder ChatGPT an. MCP (Model Context Protocol) ist eine Art Universalstecker, über den ein Sprachmodell Werkzeuge fremder Programme bedienen kann.

Bisher erscheinen dazu nur Einzelmeldungen. Wir stellen die vier Wege nebeneinander. Den Komfort schauen wir uns dabei weniger genau an als die eine Frage, die im Winterumbau gern untergeht: Was passiert, wenn die KI das Falsche tut – und darf sie die Haustür aufschließen?

Die vier Wege im Überblick

Hue: einfach, aber eine Einbahnstraße

Die Custom AI Behaviors findet man in der Hue-App hinter dem KI-Symbol, unter Automationen und in den Einstellungen von Schaltern und Sensoren. Laut hueblog.com verknüpft die KI Auslöser, Bedingungen und Aktionen, etwa einen Dimmschalter, der am Wochenende tagsüber eine andere Szene aufruft als abends. Die ersten Tests fallen gemischt aus. Hueblog wollte zum Sonnenuntergang zwei Lampen einschalten lassen, die KI schaltete aber alle Lampen im Raum mit. Auf die Bitte um Korrektur kam nur eine Fehlermeldung. Techboys erstellte drei Automationen, eine davon scheiterte. Kommentatoren berichten, dass die KI beim Belegen einer Taste auf dem Tap Dial die übrigen Tasten zurücksetzt. Smartlights stellte fest, dass sich Automationen nicht miteinander verketten lassen.

Am schwersten wiegt die fehlende Handarbeit. Hueblog-Autor Fabian schreibt dazu:

„Manuelle Anpassungen sind nicht möglich.“

Versteht die KI etwas falsch, hilft nur ein neuer Chat. Fabian würde „Custom Behaviors ohne AI deutlich vorziehen“. Dazu kommt ein altes Problem: Die Bridge Pro hat bis heute keine Backup-Funktion. Das zeigte sich im Sommer, als ein Firmware-Update einige Geräte unbrauchbar machte. Wer die Bridge verliert, richtet alles neu ein.

Gemini und Alexa+: bequem, aber hinter Abo und Cloud

Google beschreibt die Funktion „Hilf mir beim Erstellen“ in der Google-Home-Hilfe: Man beschreibt die Automation, Gemini legt einen Entwurf an, den man anschließend im Automationen-Tab frei bearbeiten kann. Dafür braucht man ein Premium-Abo und muss volljähriger Admin des Zuhauses sein. Deutschland und Österreich sind mit Deutsch dabei. Der Praxistest auf tink.de schränkt das ein: Per Sprachbefehl lege Gemini keine Automation an, sondern führe Schritt für Schritt durch die App. Eine per Text erstellte Anwesenheitssimulation schaltete nur einzelne Lampen und war für den Tester unbrauchbar. Auch zeitversetzte Befehle scheiterten: Ein Ventilator, der „in einer Stunde“ ausgehen sollte, ging sofort aus.

Alexa+ läuft in Deutschland seit dem 7. Mai 2026 im Early Access. Ein Enddatum nennt Amazon laut heise bisher nicht. Laut PC Games Hardware lassen sich Routinen per Sprache anlegen, an die Stimme einer Person binden und ohne Smartphone-App ansehen und anpassen. Wie zuverlässig das bei verschachtelten Routinen klappt, haben die deutschen Tests kaum geprüft. Computerbase listet vor allem Fehler außerhalb des Smart Home auf.

Home Assistant mit Claude oder Codex: volle Macht, volle Verantwortung

Home Assistant bringt seit Version 2025.2 einen eigenen MCP-Server mit zwei Werkzeugsätzen. „Device control“ sieht nur die Geräte, die man für Sprachassistenten freigegeben hat (die sogenannten exposed entities). Der Satz „Home Assistant“ darf alles lesen und jede Aktion ausführen, er verlangt deshalb ein Administratorkonto. Ein Nur-Lese-Schalter ist vorhanden, aber ab Werk ausgeschaltet. Cloud-Agenten wie Claude im Browser brauchen außerdem ein Home Assistant, das aus dem Internet erreichbar ist.

Deutlich weiter geht ha-mcp. Das Projekt bietet 87 Werkzeuge für Automationen, Skripte, Dashboards, Verlauf, Traces und Backups. Laut eigener FAQ sind es beim offiziellen Server etwa 15. Die Projekt-FAQ fasst den Unterschied so zusammen:

„Eingebaut = Geräte bedienen. ha-mcp = das System administrieren.“

Unterstützt werden Claude Desktop und Claude Code, ChatGPT, Codex, Gemini CLI und lokale Modelle über Ollama. Für Letztere empfiehlt das Projekt einen Suchmodus für Werkzeuge und ein größeres Kontextfenster. Version 9.0 vom 28. Oktober brachte strengere Voreinstellungen. Fern- und Netzwerkzugriff starten ausgeschaltet, ein „Access“-Schalter gibt den Zugang frei oder entzieht ihn, und die Einrichtung empfiehlt ein eigenes Admin-Konto statt des persönlichen Logins. Schnappschuss-Backups landen dort, wo Home Assistant seine eigenen Backups ablegt.

Aus der Praxis kommen gemischte Berichte. Der Blogger Peyanski stieß bei Codex auf einen Fehler, bei dem über HTTP keine Werkzeuge geladen werden. Er wich auf eine lokale Verbindung aus. Im Home-Assistant-Forum klagen Nutzer über viele Neustarts und hohen Token-Verbrauch. Token sind die Texteinheiten, nach denen KI-Anbieter abrechnen. Ein Nutzer schreibt, das Ganze verbrauche „eine Menge Tokens für eine Handvoll kleiner Änderungen“.

Leitplanken für Schloss, Alarm und Heizung

Unsere Einschätzung: Google und Amazon schützen das Schloss mit Regeln, die ein Prompt nicht aushebeln kann, weil die Entriegeln-Aktion schlicht nicht existiert oder einen Code verlangt. Der klassische Alexa-Code wird allerdings laut ausgesprochen. Ob Alexa+ dasselbe Verfahren nutzt, konnten wir in keiner Quelle belegen.

Der Ernstfall: ein manipulierter Agent mit Admin-Schlüssel

Dass dieses Szenario real ist, zeigten Forscher der Universität Tel Aviv, des Technion und von SafeBreach auf der Black Hat 2025. Sie versteckten Anweisungen in Google-Kalendereinladungen. Als Nutzer Gemini nach ihren Terminen fragten, schaltete Gemini Licht, öffnete Rollläden und startete einen Boiler. Diese indirekte Prompt-Injection, bei der eingeschleuster Text die KI umsteuert, gilt als erster dokumentierter Fall mit physischen Folgen. Google hat nach eigenen Angaben Abwehrmaßnahmen eingeführt.

Bei ha-mcp landen Gerätenamen, Attribute und Kalendereinträge als Werkzeugantworten im Modell. Das Sicherheitsmodell des Projekts ist dazu eindeutig:

„Prompt-Injection, die einen MCP-Client erreicht, muss der Client selbst abwehren.“

Ein angemeldeter Client gilt als vertrauenswürdig. Injection, die nur über Rückgabewerte reiner Lese-Werkzeuge kommt, liegt ausdrücklich außerhalb des Schutzbereichs. Der „Enforce“-Modus, der Geräte ausblendet, sei keine Barriere gegen einen gezielten Angreifer. Als harte Grenze empfiehlt das Projekt, die Rechte des Tokens in Home Assistant einzuschränken. Die FAQ verlangt aber gleichzeitig ein Admin-Token, Nicht-Admin-Tokens werden nicht unterstützt.

Ein bekannter Umweg wurde am 8. November in Issue #2999 diskutiert: Ein Agent könnte ein Skript schreiben, das das Schloss indirekt entriegelt, und damit Regeln umgehen, die nur Werkzeugnamen prüfen. Der Maintainer verweist auf den Allow-Modus der Tool Security Policies. In diesem Modus läuft nur, was eine Regel ausdrücklich erlaubt, etwa reine Lichtbefehle. Alles andere wird angehalten, auch verschachtelte Zweige. Dieser Modus ist aber nicht voreingestellt, man muss ihn aktiv einschalten.

Unsere Einschätzung: Gefährlich wird die Kombination aus dauerhaftem Admin-Zugang, einem Agenten, der regelmäßig Kalender oder Gerätelisten liest, und Nutzern, die Rückfragen mit „immer erlauben“ abnicken. Einen echten Fall, in dem so ein Schloss geöffnet wurde, haben wir nicht gefunden. Konkrete Gegenmittel: - Schlösser, Alarmanlage, Garagentor und Wasserventile beim offiziellen Server gar nicht freigeben. Das raten auch ID.nl und Peyanski. - Für automatische Agenten den Nur-Lese-Endpunkt von ha-mcp nutzen. - Den Access-Schalter nach jeder Sitzung wieder abschalten. - Regeln im Allow-Modus anlegen. - Bei der Heizung wenigstens Grenzwerte in Home Assistant selbst festlegen.

Ausblick: Bixby und Siri

Samsung testet laut Sammobile für One UI 9.5 einen Bixby-Agenten, der wiederkehrende Aufgaben anlegt. Jede Aufgabe muss man bestätigen, sie erscheint in einer Übersicht mit Pausieren, Löschen und Protokoll. Erwartet wird das mit der Galaxy-S27-Reihe Anfang 2027. Apple baut Siri laut Mark Gurman ab iOS 27.3 schrittweise zum Agenten aus, bietet die neue Siri auf dem iPhone in der EU aber derzeit nicht an.

Unser Fazit

Wer nur Licht automatisieren will und schon eine Bridge Pro hat, kann die Hue-KI ausprobieren. Für mehr als einfache Szenen ist sie in diesem Zustand aber eine Einbahnstraße. Gemini und Alexa+ sind die bequemsten Wege und schützen Schlösser am strengsten, kosten aber ein Abo (Alexa+ spätestens nach dem Early Access, falls man kein Prime hat) und laufen komplett in der Cloud. Home Assistant mit ha-mcp kann mit Abstand am meisten, die Ergebnisse bleiben bearbeitbar und lassen sich zurückdrehen. Die Leitplanken muss man dort aber selbst bauen. Unsere Einschätzung: Für Licht und Dashboards ist ein KI-Agent am Home-Assistant-Server ein echter Gewinn. Haustür und Alarmanlage gehören aber nicht in seine Reichweite, solange das Projekt selbst sagt, dass es vor Prompt-Injection nicht schützt.