TycStation — Feldnotizen

Das Haus entscheidet, und keine Uhr

Tue, 08 Sep 2026 00:00:00 +0200

Das Smart Home dieser Wohnung hat keinen „Ich gehe“-Knopf und keine Schlafenszeit nach Wanduhr. Es leitet fünf Hauszustände aus einer Tür, einem Telefon und den Präsenzmeldern ab, und jedes weitere Verhalten hängt an dieser einen Variablen: das Willkommenslicht, wenn jemand nach Einbruch der Dunkelheit heimkommt, das Schloss, die Klimaanlage und die Kameras, wenn niemand mehr da ist, ein Sauger, der nur in der leeren Wohnung arbeitet, ein Badlüfter, der weiß, warum er läuft, eine Party, die weiterläuft, wenn die Zentrale ausfällt. Diese Notiz geht die Regeln durch und die Gründe — eine Uhr, die einen echten Tagschlaf abschnitt, eine Erinnerung, die das Schlafzimmer siebenmal um einen Schlafenden herum erhellte, ein Lüfter, der einen Tag auf Boost hing, weil ein Timer nie auslöste — und sie ist ehrlich darin, was noch nicht bewiesen ist: Schloss und Klimaanlage wurden nie dabei erwischt, wie sie auf einen echten Aufbruch reagieren, und eine Licht-Bridge fährt in zwei Räumen weiter ihre eigenen Abläufe neben der Zentrale. Stand 2026-09-08.

Das Ziel steht in einem Satz: Die Wohnung ist im richtigen Zustand, ohne bedient zu werden. Hell, wenn jemand nach Einbruch der Dunkelheit heimkommt, dunkel und still, während jemand schläft, alles aus und abgeschlossen, wenn niemand mehr da ist. Das Haus leitet all das aus Sensoren und dem Telefon ab. Taster gibt es nur für Absichten, die sich nicht messen lassen — jetzt schlafen gehen, Kameras an oder aus. Nichts läuft nach Wanduhr außer den beiden Dingen, bei denen es wirklich um die Tageszeit geht: Sonnenuntergang, und wie warm ein Willkommenslicht sein soll.

Zwei Tatsachen, keine Uhr

Im Alltag gesprochenDas Haus rät nicht aus der Uhrzeit, ob man aus dem Haus ist. Es wartet auf die Wohnungstür, dann darauf, dass das Telefon sich entfernt, und prüft dann, dass sich zehn Minuten lang niemand mehr geregt hat — so, wie ein Mitbewohner merken würde, dass man wirklich gegangen ist und nicht nur in der Küche steht.

Die Ableitung. Vier Eingänge, zwei Tatsachen, drei Ausgänge — und nirgends eine Uhr.

Zwei Tatsachen werden unabhängig voneinander abgeleitet, und keine davon ist ein Timer.

Ich bin gegangen heißt: Das Telefon verlässt die Heimzone oder fällt aus der Bluetooth-Reichweite der Wohnung, während die Wohnungstür seit zwei Minuten geschlossen ist. Es ist noch jemand da ist jeder Raum-Präsenzmelder, der in den letzten zehn Minuten ausgelöst hat. Beides zusammen ergibt eine Tabelle:

Ich bin gegangen	Noch jemand da	Das Haus
ja	nein	Abwesend: Licht aus, Klimaanlage aus, Tür verschlossen, Kameras scharf
ja	ja	Zuhause ohne mich: Nichts ändert sich global
nein	—	Tag, Abend oder Schlaf

Keiner der beiden Eingänge würde allein genügen. Die Tür geht auch für einen Gast oder ein Paket auf, und das Telefon verlässt die Zone auch bei einem Spaziergang von zweihundert Metern; beides zusammen, in dieser Reihenfolge, beschreibt einen Menschen, der geht. Und Anwesenheit wird über zehn Minuten geprüft statt sofort, weil die Raummelder einen Menschen unterschiedlich schnell loslassen: die Infrarotmelder nach rund zehn Sekunden, die Radare nach ein paar Minuten. Ein Mensch, der still im Wohnzimmer sitzt, kann für sie alle eine Weile unsichtbar sein.

Ein Radar steht bewusst nicht auf dieser Liste. Sein Bewegungskanal flatterte in der leeren Wohnung zigtausendfach am Tag, was „letzte Bewegung“ dauerhaft unter zehn Minuten hielt und Abwesend unerreichbar machte. Es flog aus den Anwesenheitseingängen, statt mit einem Schwellwert gebändigt zu werden — sein Ruhekanal lässt sich ohnehin nicht über einen Schwellwert bändigen.

Der Kalender speist dieselbe Entscheidung. Ein ganztägiger Urlaubseintrag ist ein weiteres Aufbruchssignal; ein laufender Homeoffice-Termin verweigert Abwesend ganz, damit ein stiller Nachmittag am Schreibtisch nicht die Tür verriegelt und die Klimaanlage hinter jemandem abschaltet, der noch da ist.

Die fünf Zustände und jedes Ereignis, das zwischen ihnen wechselt. Party ist der eine ohne Ausgang — die offene Entscheidung am Ende dieser Notiz.

Ankommen

Die Tür, die sich zur leeren Wohnung öffnet, oder das Telefon, dessen Zone auf zuhause springt, lösen das Willkommen aus — aber nur, wenn es dunkel ist, nach Sonnenstand oder nach Helligkeitssensor. Das Willkommen ist nach Tageszeit gestuft: warm bis einundzwanzig Uhr, gedimmt bis dreiundzwanzig, danach Nachtlicht. Schläft das Schlafzimmer schon, läuft nur die Flur-Nachtszene. Ein neustartfester Dreißig-Minuten-Timer verhindert, dass ein zweiter Türzyklus alles noch einmal auslöst.

Die erste Fassung hat die ganze Wohnung um ein Uhr nachts auf volle Helligkeit gestellt. Ursache war eine Bluetooth-Meldung „nicht zuhause“, die sich als falsch herausstellte — das Telefon war nie weg —, und die Korrektur war kein besserer Bluetooth-Schwellwert, sondern eine andere Frage: War irgendein Präsenzmelder die letzten zehn Minuten still? Bluetooth ist ein Bein von Ankunft und Aufbruch; entscheiden darf es allein nichts.

Die Klimaanlage kommt auf dem Rückweg dazu: Betritt das Telefon die Heimzone, während das Haus auf Abwesend steht und das Wohnzimmer über einer Schwelle liegt, beginnt die Kühlung, bevor die Tür aufgeht. Das ist bei einem echten Heimweg schon beobachtet worden.

Schlaf hat einen Ausgang

Im Alltag gesprochenEin Schalter fürs Zubettgehen ist leicht. Schwierig ist, wer ihn wieder zurückstellt — denn tut es niemand, bleibt das Bewegungslicht im Schlafzimmer den ganzen Tag tot.

Schlaf ist der eine Zustand, den kein Sensor ableiten kann, also hat er Taster: Ein langer Druck auf den Taster am Bett legt das Schlafzimmer schlafen, während das Wohnzimmer wach bleibt. Ein Knopf auf dem Wandpad legt das ganze Haus schlafen. Das Schlafzimmer hat eine eigene Übersteuerung — schlafend, wach oder dem Haus folgend —, damit einer schlafen kann, während jemand anderes auf ist.

Was der Modus tatsächlich tut, ist bewusst schmal. Genau eine Automation leitet ein einziges Flag daraus ab, und dieses Flag ist die einzige Nachtsperre des Bewegungslichts im Schlafzimmer: Tagsüber macht Bewegung Licht, nachts nicht. Die Regel daneben lautet, dass dieses Flag immer genau einen Schreiber haben muss — hat es keinen, ist die Funktion stillschweigend tot.

Am Ausgang zeigt sich der Entwurf. Schlaf endet, wenn das Schlafzimmer fünfundvierzig Minuten leer steht, oder fünf Minuten, nachdem der Wecker des Telefons geklingelt hat. Es gibt keinen Uhrzeit-Ausgang, denn ein Mittags-Reset hat am 2026-08-25 einen echten Tagschlaf abgeschnitten. Und der Wecker schaltet den Ausgang nur scharf, er vollzieht ihn nicht. Ein klingelnder Wecker heißt, dass ein Wecker geklingelt hat, nicht dass jemand aufgestanden ist. Eine wiederkehrende Abenderinnerung auf dem Telefon löschte das Flag jede Nacht. Am 2026-09-06 hat das Radar daraufhin das ganze Schlafzimmer zwischen etwa halb sechs und Viertel vor neun siebenmal erhellt — um einen Körper herum, der das Bett nie verlassen hatte. Seither hält ein Körper, den das Radar kurz verliert, den Raum schlafend; entscheiden darf nur ein leeres Schlafzimmer.

Was Abwesend bedeutet

Im Alltag gesprochenAbschließen ist die leichte Hälfte. Die schwere ist, sicher zu sein, dass die Wohnung wirklich leer ist, bevor es passiert — und hinterher zu wissen, ob das Schloss wirklich zugedreht hat oder ohnehin schon zu war.

Abwesend schaltet das Licht aus, die Klimaanlage aus, verriegelt die Tür und schaltet die Kameras scharf. Zwei dieser Beine wurden nie in Aktion erwischt: Beim ersten echten Aufbruch war die Tür schon verriegelt und die Klimaanlage schon aus, die Automation hatte also nichts zu tun. Die Ableitung ist aus dem Verlauf bewiesen — ein echter Aufbruch hat Abwesend korrekt erzeugt, und kein falsches Abwesend ist gefolgt —, aber die Stellglieder sind, während dies geschrieben wird, an einem echten Abend ungetestet.

Was Abwesend tatsächlich antreibt. Die beiden gestrichelten Beine sind die, die nie in Aktion erwischt wurden.

Der Sauger reinigt bei Abwesend, einmal am Tag, nur bei Tageslicht und nur, wenn er angedockt ist und beide eigenen Fehlersensoren sauber melden — eine Störung ist nie ein Grund, ihn erneut loszuschicken. Kommt jemand heim oder geht das Haus schlafen, wird er zurück zur Station geschickt, egal wo er gerade ist. Sein Ruhefenster ist auch das des Hauses: Beim Einschlafen sichert die Automation die geräteeigenen Anfangs- und Endzeiten, zieht das Fenster auf jetzt und stellt beim Aufwachen die gesicherten Zeiten wieder her. Der Schalter des Herstellers schaltet nur einen Zeitplan scharf — er bringt die Station nicht zum Schweigen, die sich nachts laut selbst entleert. Störungen erreichen das Telefon einmal je Klasse, still während Abwesend und einmal nachgereicht beim Heimkommen, wenn sie die ganze Abwesenheit überdauert haben.

Die Kameras sind die Aufteilung, die schon der Rundgang beschreibt: Der Rekorder auf der Speicherbox nimmt weiter auf, eine Objekterkennung in einem eigenen Gast schaut auf dieselben Bilder, und die Zentrale entscheidet, was eine Erkennung bedeutet. Diese entscheidende Hälfte ist klein und hat drei Regeln.

Eine Kamera, deren Steckdose gleich stromlos wird, wird vorher in der Erkennung abgeschaltet und zwei Minuten nach dem Wiedereinschalten wieder aktiviert, damit ein Stromzyklus nie als verlorener Stream gelesen wird. Welche Steckdose welche Kamera speist, wurde gemessen, nicht aus den Namen gelesen — eine Steckdose, die in der Oberfläche „Küche“ heißt, sitzt unter einer Kamera am Esstisch. Eine Kamera hat gar keine Steckdose und lässt sich deshalb nie in die Verriegelung einbeziehen.
Ein Mensch, der erkannt wird, während das Haus auf Abwesend steht, erzeugt eine Push-Nachricht und eine Mail mit dem Standbild des Rekorders, und wo die Erkennung ein Gesicht zuordnen konnte, steht der Name vorn im Text. Der Alarm hängt am rohen Ereignisstrom der Erkennung, nicht an ihren aufbereiteten Meldungen — die entstehen nur für Kameras, die die Erkennung selbst aufzeichnet, und sie zeichnet hier nichts auf. Genau eine Meldung je verfolgtem Objekt fällt aus den Daten selbst heraus: Die Liste der Zonen, die ein Objekt betreten hat, wächst nur, also hat die Bedingung genau eine Flanke.
Die Balkonkamera meldet nur einen Menschen innerhalb einer gezeichneten Zone entlang der Brüstung; die Straße dahinter ist maskiert. Vor dieser Neuausrichtung erzeugte sie drei Viertel aller Erkennungen der ganzen Anlage, die meisten davon ein Fingernagel Bildfläche über acht Sekunden. Danach: eine Handvoll am Tag, und ein Gang auf den Balkon erzeugt genau eine Meldung.

Der Home Mode des Rekorders bleibt unangetastet. Er schaltet auf dieser Installation gar nichts scharf, und der Schreiber, mit dem die Zentrale konkurrierte, war der Geofence der Hersteller-App auf demselben Telefon, der jeden Wechsel um Minuten gewann. Den Hauszustand darauf zu spiegeln brachte nichts, also wurde die Spiegelung fallengelassen statt verteidigt.

Der Saugroboter wird übrigens nie als Mensch erkannt und wurde es nie. Über eine Stunde Reinigung erzeugten die Kameras rund siebzig Ereignisse, und jedes einzelne war höher als breit — Menschen. Eine Scheibe auf dem Boden ist das nicht.

Luft

Im Alltag gesprochenDer Badlüfter war früher zwei Lichtschalter, die eine App zufällig steuern konnte. Jetzt ist er ein Lüfter, der weiß, warum er läuft und wie lange noch.

Der zweistufige Abluftventilator im Bad hängt an zwei Relais. Der Funkstack hatte sie als Lichter angelegt, weil das Relais sich als eines ausgibt. Sie sind jetzt zu Schaltern übersteuert und in eine einzige Lüfter-Entität mit zwei Stufen gefasst — Grundlüftung, die immer laufen soll, und Boost. Boost hat benannte Ursachen: der Trockner unter Last, das Badlicht an oder der Feuchtesensor über einer Schwelle. Ein Dreißig-Minuten-Timer gibt ihn wieder frei, alle fünf Minuten nachgespannt, solange eine Ursache anliegt, und der Timer übersteht einen Neustart der Zentrale — ein Duschlauf, der über einen Neustart reicht, nimmt seinen Countdown wieder auf, statt ihn zu verlieren.

Genau diese Eigenschaft ist der Grund für das Paket. Am 2026-09-06 fand sich Boost seit dem Neustart der Vornacht eingeschaltet, ohne jeden Anlass. Die in der Oberfläche gebaute Automation, die ihn freigab, benutzte einen Auslöser der Form „Bedingung dreißig Minuten lang wahr“ — und der löst nie aus, wenn die Bedingung beim Start schon wahr ist. Jeder Neustart mitten in der Ruhe ließ Boost also für immer an. Die Zentrale startet etwa zweimal am Tag neu, wenn sie ihre eigene Konfiguration holt; jeder Timer im Haus muss das überstehen, sonst ist er keiner.

Zwei weitere Relais, die „Lichter“ waren, gingen denselben Weg: das Netzrelais einer Endstufe und ein Tastrelais, das den Einschaltknopf eines PCs antippt — jetzt ein Taster statt eines Lichts, das sich nach einer Sekunde selbst ausschaltet.

Der Rest der Luftgeschichte ist Messen vor Handeln. Kohlendioxid, Feinstaub und Feuchte jedes Raums stehen auf einem Grundriss-Dashboard. Zwei Luftreiniger laufen mit hier geschriebener Firmware, nachdem die Server des Herstellers abgeschaltet wurden; einer steht auf dem Balkon und bläst durch die Wand, ist also die Zuluft des Schlafzimmers und der einzige mechanische Luftwechsel, den die Wohnung hat. Der Feuchtekanal der selbstgebauten Sensorknoten wird von keiner Regel gelesen: Im Parallelvergleich weicht er deutlich von einer Referenz im selben Raum ab, und bis das verstanden ist, liest Feuchtelogik die anderen Geräte. Die Zuluft nach dem Kohlendioxid des Schlafzimmers zu regeln ist der nächste Schritt, und er ist nicht gebaut.

Der Luftreiniger, dessen Hersteller abgeschaltet wurde, mit in der Wohnung gebauter Firmware. Die Werte auf seinem Display sind die, die er an den Haus-Broker veröffentlicht.

Alarme, die man nicht verpassen darf

Im Alltag gesprochenEin Sensor, der verstummt ist, und ein Sensor, der nichts Neues zu sagen hat, sehen von außen gleich aus. Die Wohnung merkt sich, wann jeder zuletzt gesprochen hat, nicht nur was er zuletzt sagte — so geht eine leere Batterie nicht als gesunde Pflanze durch.

Zwei Lecksensoren sitzen dort, wo ein Leck am teuersten ist: unter der Spüle und unter einem wassergekühlten PC. Ein Leck spricht auf dem Telefon in Alarmlautstärke durch den Stummmodus hindurch, hinterlässt eine angeheftete Meldung, wird auf dem Sprachsatelliten angesagt und geht als Mail ins Protokoll. Es wiederholt sich alle zwei Minuten, bis der Sensor trocken ist, höchstens etwa eine Stunde lang, und räumt dann seine eigene Meldung weg. Ein Sensor, der aufhört zu melden, ist sein eigener Alarm. Der Strom des PCs wird bewusst nicht gekappt: Eine erzwungene Abschaltung einer laufenden Maschine ist die Entscheidung eines Menschen.

Zwei Bodensonden bewachen zwei Pflanzen. Ein trockener Messwert muss eine Stunde halten, bevor er meldet — ein niedriger Einzelwert nach dem Gießen darf eine frische Messung nicht entwerten —, und erinnert dann einmal täglich. Die Sonden schlafen und melden nur bei nennenswerter Änderung, ein Wert kann also tagelang stehen bleiben. Der Veraltungsalarm hängt deshalb daran, wann die Sonde zuletzt gemeldet hat, nicht daran, wann sich der Wert zuletzt geändert hat — dass das zweierlei ist, hat ein erzwungenes Nachsenden gezeigt. Eine Sonde brauchte eine Korrektur an der Gerätebibliothek, die es noch nicht ins Upstream geschafft hat; sie wird lokal mitgeführt.

Die Gesundheit der Entitäten wird genauso gezählt: nur nicht verfügbare, nie „unbekannt“, je Integration statt als eine flache Zahl, weil eine flache Zahl taub dafür ist, dass eine mittelgroße Integration ausfällt. Und das nächtliche Backup außer Haus meldet sein Ergebnis aus den beiden Entitäten, die die Zentrale selbst dafür führt, nie daraus, dass „der Aufruf zurückkam“ — die dreizehn stillen Tage, aus denen diese Regel stammt, stehen in der Backup-Notiz.

Eine Party, die ohne die Zentrale läuft

Im Alltag gesprochenDie Disco wird hier nicht vom Laptop aus gesteuert. Jede Lampe hört selbst auf den Raum, so wie ein Mensch mit dem Fuß mitwippt — und deshalb hört nichts auf, wenn der Rechner im Schrank aufhört.

Der fünfte Hauszustand hatte wochenlang einen Knopf und kein Verhalten. Was er heute tut, ruht auf einer aus den Geräten gelesenen Tatsache: Jede Lampe im Raum, die auf Klang reagieren kann, hat ihr eigenes Mikrofon. Die Dodekaeder-Lampen und die Mondlampe fahren einen klangreaktiven Effekt aus eigener Kraft; der Lichtervorhang hat sieben eigene Mikrofonmodi; die beiden Skulpturlampen stehen in einem Modus, in dem Musiksync fest an ist. Eine Party zu starten heißt, jedes Gerät auf seinen eigenen klangreaktiven Modus zu setzen und es dann in Ruhe zu lassen. Es wird kein Ton irgendwohin gestreamt, nichts analysiert den Raum zentral, und die Party läuft weiter, wenn die Zentrale mitten im Lied ausfällt.

Die eine Geräteklasse, die nicht hören kann, ist die Licht-Bridge, und die steuert die Zentrale — mit Bedacht. Die Bridge hält den Raum, sie hält nicht den Takt: ein tiefes, gedimmtes Flächenlicht über das ganze Wohnzimmer, das sich nie ändert, und Farbe, die mit Überblendungen über sechs Akzentleuchten wandert. Die erste Fassung schaltete jedes Deckenlicht im Raum alle anderthalb Sekunden auf eine neue satte Farbe und sah aus wie billiges Blink-RGB; der Takt gehört den Geräten, die ihn wirklich hören. Die „dynamischen“ Szenen der Bridge wurden live nachgemessen und bewegen sich nicht, also werden sie nicht benutzt.

Drumherum laufen vier Dinge. Jedes angefasste Licht wird beim Starten gesichert und beim Beenden wiederhergestellt, je Lampe statt je Gruppe. Der Tür-Alarm und die Gerätemelder werden still, weil Gäste ein und aus gehen. Die Sync-Box des Fernsehers geht aus: Die Bridge streamt nur eine Sitzung gleichzeitig, und die Party gewinnt. Und die Nebelmaschine bekommt Strom mit einer harten Zwei-Stunden-Grenze — die Zentrale kann sie einschalten, zum Nebeln bringen kann sie sie nicht.

Ein Keep-alive steigt jede halbe Stunde neu in die Farbschleife ein, weil die Zentrale eine Schleife nach zehntausend Durchläufen abbricht — im Party-Takt sind das keine drei Stunden, also ein ganz gewöhnlicher Abend.

Party hat keinen automatischen Ausgang, und das steht als offene Entscheidung des Hauses da, nicht als Fehler. Jeder andere Modus hier hat einen bestimmten Weg hinaus, und die eigene Regel dieses Hauses lautet, dass ein Modus einen braucht. Ob der Ausgang „Wohnung eine halbe Stunde leer“ oder „Sonnenaufgang“ heißt, ist eine Entscheidung über das Haus, nicht über den Code.

Taster, die sagen, wenn sie falsch stehen

Die zweimodigen Funktaster und Drehknöpfe der Wohnung können je zwei Firmware-Modi fahren, und ein verstecktes Dreifach-Klicken kippt sie. Im falschen Modus schickt ein Drehknopf alle anderthalb Sekunden ein Ereignis statt eines Befehls in einer Viertelsekunde. Befehlsmodus ist der Standard. Ein Melder überwacht den Ereignis-Verkehr von allen sechs Geräten, Reservestücke eingeschlossen, und sagt es laut an — ein Drehknopf, der in der Schublade umgeschaltet wurde, meldet sich also selbst, statt sich eine Woche lang kaputt anzufühlen.

Der Drehknopf am Schreibtisch ist die Lautstärke des Audioprozessors des Raums: eine skalierte Stufe je Rastung auf einen Zielwert, ein sofortiger erster Schreibvorgang und ein Nachlauf im Viertelsekundentakt, damit ein schnelles Drehen nicht auf eine Stufe zusammenfällt. Druck ist Wiedergabe/Pause, Doppeldruck ist stumm.

Was nicht bewiesen ist, und was geplant

Das Stellglied-Bein von Abwesend — Schloss und Klimaanlage, die auf einen echten Aufbruch reagieren. Beide waren bei den bisher protokollierten Aufbrüchen schon im Zielzustand.
Eine späte Ankunft, die die Wohnung erhellt, bevor die Tür zufällt, an einem echten Abend; die eine protokollierte Ankunft fand das Licht bereits an.
Die Bluetooth-Begehung, die raumgenaue Anwesenheit zu mehr als einem bestätigenden Eingang machen würde.
Die Bridge-eigenen Lichtabläufe fahren in Flur und Bad weiter nach Wanduhr, während die Zentrale dieselben Lampen bei der Ankunft steuert — genau die eine Anordnung, die dieses Haus ausschließt. Sie abzuschalten ist ein Schritt in der App des Herstellers, gebunden an einen Durchgang über jeden Taster, jeden Drehknopf und jedes Pad.
Ein Stromzyklus jeder Kamerasteckdose unter Beobachtung, um die gemessene Zuordnung von Steckdose zu Kamera gegen die Verriegelung zu bestätigen.
Der Ausgang aus Party, siehe oben.
Das eigene Schlafsignal der Zentrale von der Armbanduhr, für das eine Berechtigung auf dem Telefon erteilt werden muss.

Was diese Punkte gemeinsam haben, ist der Abstand zwischen einer Regel und einer Beobachtung. Die Ableitung selbst ist an einem echten Aufbruch bewiesen. Das meiste, was daran hängt, ist bisher nur durchdacht — und ein Haus, das im Verlauf recht hat, ist noch kein Haus, das man hat recht haben sehen.

Jede hier genannte Automation wurde am 2026-09-08 aus der laufenden Zentrale gelesen und ihre Regeln am selben Tag aus dem Konfigurations-Repository des Smart Home; die Vorfälle tragen das Datum, das neben den Regeln vermerkt ist, die sie geändert haben. Geplante Punkte sind als geplant markiert.

45 von 132, und was die Note wert war

Tue, 08 Sep 2026 00:00:00 +0200

Im September wurde diese Umgebung gegen ein Enterprise-Raster geprüft: jedes Repository, jede Pipeline, der Live-Zustand beider Knoten, der Firewalls, der Speicherbox, der Smart-Home-Zentrale und jeder veröffentlichten Seite. Das Ergebnis waren 45 von 132 Punkten, ein Median von 1 und fünf von neun kritischen Zeilen durchgefallen. Diese Notiz handelt von der Methode, von den Kosten — zweiundsiebzigeinhalb Millionen gemessene Token über 358 Agentenläufe, plus zwei Durchgänge, deren Abrechnung schlicht fehlt — und von dem Teil, der mehr wert ist als die Zahl: worin die Prüfung über sich selbst falsch lag. Jeder achte Befund des ersten Durchgangs überlebte das erneute Lesen nicht. Von 86 kritischen Befunden, die gegen den Live-Zustand nachgeprüft wurden, war einer schlicht falsch. Und das Urteil in der Überschrift war ein Artefakt des Rasters, das einen zweiten Prüfer und eine Rufbereitschaft verlangt — woran ein Ein-Personen-Haushalt konstruktionsbedingt scheitert. Stand 2026-09-08.

Alles andere auf dieser Seite ist von innen geschrieben. Dieses hier hat etwas geschrieben, dem aufgetragen war, nichts davon für wahr zu halten.

Was benotet wurde. Alles in dieser Notiz handelt von den Maschinen auf diesem Foto und den Repositories, die sie beschreiben.

Was gelesen wurde

Im Alltag gesprochenKeine Führung und kein Fragebogen. Jede Datei in jedem Repository, die Historie hinter diesen Dateien, und dann die Maschinen selbst — gefragt, was sie tatsächlich tun, nicht, was in den Dateien steht.

Sieben Repositories, dazu der Plugin-Marktplatz und die Konfiguration der Arbeitsstation selbst. Die Git-Historie von jedem. Jede CI-Datei. Alle fünfundsechzig Alarmregeln. Jede veröffentlichte Seite.

Dann die laufende Umgebung, nur lesend: beide Proxmox-Knoten, das Firewall-Paar, die Speicherbox, die Smart-Home-Zentrale, der Metrik- und der Log-Speicher und die Forge. Wo eine Aussage in einer Datei gegen eine Live-Schnittstelle entschieden werden konnte, wurde sie gegen die Live-Schnittstelle entschieden — die stehende Anweisung der Prüfung lautete, dass ein Dokument eine Behauptung ist und kein Beleg.

Wie sie lief

Jede Stufe ist ein eigener Lauf von Agenten, darunter steht, was sie gekostet hat. Zwei spätere Durchgänge stehen in der Kostentabelle und nicht im Bild.

Vor jeder Prüfung wurden zwei Vorarbeiten gebaut. Die Dokumentation der Hersteller je Technologiefeld wurde in 14 Recherche-Checklisten gesammelt, damit „Best Practice“ eine geholte Seite bedeutet und keine Erinnerung. Und 264 der eigenen Prompts dieses Haushalts — jedes Mal, wenn der Betreiber etwas korrigiert hatte — wurden zu 63 Prüfperspektiven verdichtet, daraus zu 14 Verhaltensregeln und 57 stehenden Entscheidungen, und daraus zu einem Prüfagenten. Die Umgebung wurde zum Teil gegen die früheren Einwände ihres eigenen Betreibers benotet.

Das Raster selbst bewertet 33 Kriterien von 0 bis 4; die Obergrenze liegt also bei 132.

Die eigentliche Prüfung erzeugte 109 verifizierte Berichte: 38 zu Komponenten, 36 zu Dokumenten, 17 über die Perspektiven, 8 zur Git-Historie, 4 zur Plan-Drift und 6 zu den Wächter- und Lint-Regeln. Weitere 11 Domänen-Zusammenführungen sitzen darauf. Darunter liegt ein Register aus 2.415 Datensätzen, 2.154 davon kanonisch, nachdem Dubletten zusammengelegt wurden.

Was nicht überlebt hat

Im Alltag gesprochenDie interessante Zahl ist nicht, wie viel die Prüfung gefunden hat. Sie ist, wie viel davon falsch war — und ob jemand noch einmal nachgesehen hat.

Jeder der 109 Berichte wurde von einem anderen Durchgang erneut gelesen, und das Ergebnis nach einer Regel gezählt: Innerhalb eines Abschnitts ist eine Überschrift oder eine Tabellenzeile ein Posten.

2.269 Posten gingen in die Verifikation. 275 kamen als nicht real wieder heraus.

Danach wurden die 86 Befunde, die das Register als kritisch führte, einzeln gegen Code und Live-Zustand nachgeprüft. Siebenundsechzig wurden bestätigt, zwölf bestätigt, aber schwächer als zuerst geschrieben, und sechs gehörten in eine andere Schwere. Einer war falsch: Die Prüfung hatte die Wiederherstellung des Tresors als nie ausgeführt vermerkt, und sie war am 2026-08-20 erfolgreich gelaufen — ein Datum, das hier ohnehin steht. Die Jobnummer kam an die Stelle des Befunds ins Protokoll.

Die Prüfung stellte auch Befunde gegen ihre eigenen Eingangsberichte aus. Eine Mustersuche mit einem nicht maskierten Alternativzeichen, die eine Empfehlung bis auf hohe Schwere getragen hatte. Ein Bericht, benotet gegen einen Repository-Stand, der schon zwei Commits alt war. Prüfungen, die als „führe das aus“ zurückgereicht statt ausgeführt wurden. Und eine Schweregrad-Schublade „niedrig“ in mindestens 14 der 36 Dokumentations-Eingänge — entgegen der stehenden Regel, die aus den Korrekturen des Betreibers stammt und die die Prüfung übernommen hatte: Nichts wird als geringfügig abgelegt.

Die letzte Prüfung galt der Sprache des Berichts selbst. Eine Suche nach dem Vokabular des Aufschiebens — der Bericht ist englisch, gesucht wurde also nach minor, nit, later, non-blocking, out of scope, consider, might — lief gegen den fertigen Text. Sie fand 76 Treffer auf 42 Zeilen, und jeder einzelne ist im Bericht nach Fundort verbucht: eine zitierte Codezeile, die selbst aufschiebt, ein Versionsschema-Begriff, ein gemessener Zeitabstand, oder das Protokoll der Suche selbst. Eine Weichspül-Prüfung ist nur dann ein Beleg, wenn ihr Ergebnis gelesen und nicht bloß gemeldet wird.

Und was nicht verifiziert werden konnte, ist eine Liste und kein Schweigen. Konsolen-Abfragen, die das nur lesende Werkzeug nicht erreicht. Werte, die der Sicherheitsklassifikator nicht herausgibt. Nur dem Betreiber zugängliche Flächen: wer welchen Schlüssel verwahrt, welches Konto Zwei-Faktor eingeschaltet hat, wer an einem bestimmten Tag etwas Bestimmtes getan hat. Und die Eingriffe, die eine Frage endgültig klären würden, dafür aber die Umgebung verändern müssten. Einundzwanzig Fragen unter den kritischen Befunden bleiben von diesem Standpunkt aus unbeantwortbar, und jede ist mit dem Befehl vermerkt, der sie klären würde, und mit der Zuständigkeit dafür.

Die Note, und warum sie am wenigsten geholfen hat

Die Zahl links ist echt. Sie ist auch ungefähr die einzige Zahl, die dieses Raster hier hervorbringen konnte.

45 von 132. Median 1. Fünf von neun kritischen Zeilen durchgefallen. Nicht Enterprise-Grade, und der Bericht sagt das in seiner ersten Zeile.

Die Bestehensgrenze des Rasters lautet: kein Kriterium unter 2, Median mindestens 3, keine kritische Zeile durchgefallen. Die erste dieser drei Bedingungen ist mit einem Betreiber unerreichbar, und der Bericht gibt das im selben Abschnitt zu, in dem er sie anlegt. Das Urteil stand also fest, bevor die erste Datei gelesen war. Schlimmer noch, es bläht die Zählung auf: Ein Bus-Faktor von eins, kein zweiter Prüfer und keine Rufbereitschaft werden alle als Mangel gewertet, und keines davon ist ein Mangel. Sie sind die Beschreibung eines Haushalts.

Eine Zahl machte das deutlich. Die Prüfung zählte Merge Requests, die von demselben Konto zusammengeführt wurden, das sie eröffnet hatte, und las das Verhältnis als fehlende Kontrolle. Die Zählung stimmt und ist nutzlos: Es gibt hier nur ein Konto, und es kann den Menschen nicht von dem Agenten unterscheiden, der in seinem Auftrag arbeitet. Gemessen wird, wie viele Personen in der Wohnung leben.

Danach folgte eine getrennte Durchsicht, über den Bericht und die laufende Umgebung zugleich, und sie benannte den Maßstab, der richtig gewesen wäre. Zwei Fragen: Kommt ein Außenstehender ohne Zugangsdaten herein? Und wenn ein Stück stirbt, lässt es sich aus Git, dem Tresor und einer Kopie außer Haus wieder aufbauen? So gemessen ist das Design tragfähig und die Löcher sind zählbar — die Durchsicht zählt vier, was ein anderer Satz ist als 45 von 132 und auch kein bequemer. Die Befunde unter der Rahmung hielten überwiegend ebenfalls: Token-Rechte, Runner-Mounts, Log-Inhalte und Firewall-Regeln wurden einzeln nachgelesen und standen in jedem Fall, den die Durchsicht noch einmal aufmachte. Falsch lag die Prüfung bei der Benotung, der Zuordnung und der Rahmung. Nicht die Fakten.

Was sie gekostet hat

Gemessen an der eigenen Abrechnung der Laufzeitumgebung, pro Lauf.

Durchgang	Token	Werkzeugaufrufe	Agentenläufe
Komponenten, Perspektiven, Dokumente, Historie, Regeln	36.290.808	11.200	98
Verifikation aller 109 Berichte	27.460.793	8.106	218
Befundregister und Inventar	3.872.917	388	13
Nachprüfung der 86 kritischen Befunde	3.326.489	1.164	23
Unabhängige dreifache Gegenprüfung	1.369.950	471	5
Redaktioneller Durchgang	230.887	51	1
Gemessene Summe	72.551.844	21.380	358

Zwei weitere Läufe melden keine Zahl und stehen außerhalb der Summe: der Grundlagen-Durchgang, der Checklisten, Perspektiven und Raster gebaut hat, und ein Verifikationslauf, der auf halbem Weg gestoppt wurde, um einen leichteren Modus nachzurüsten. Die Summe ist eine Untergrenze.

Was hier bewusst fehlt

Zwölf Befunde sind kanonisch kritisch. Drei davon sind inzwischen geschlossen; neun nicht. Was sie sind, auf welcher Maschine sie sitzen und was sie schließt, steht nicht auf dieser Seite und wird dort nicht stehen, solange sie offen sind — dasselbe gilt für die geordnete Liste der Wege hinein. Dieser Absatz steht hier, damit die Auslassung im Protokoll steht und nicht hinter einer fröhlichen Zusammenfassung verschwindet.

Was sie verändert hat, und was nicht

Stand 2026-09-08 sind siebenundzwanzig Befunde geschlossen. Bei einundsechzig ist eine Änderung geschrieben und wartet. Bei 2.327 ist gar nichts geschrieben.

Der Abstand zwischen diesen drei Zahlen ist das ehrliche Ergebnis. Ein zusammengeführter Fix ist kein angewendeter, ein angewendeter ist kein verifizierter, und keiner der drei ist ein geschlossener Befund. Das Aufräumen der liegengebliebenen Merge Requests am 2026-09-08 hat 77 Datensätze in einem Zug wieder auf offen gesetzt, weil die Änderung geschrieben war und nie gelandet ist.

Es ist dieselbe Lehre, zu der der Rest dieser Seite von der anderen Richtung her kommt. Eine Sache ist nicht erledigt, weil sie entschieden, geschrieben oder zusammengeführt wurde. Sie ist erledigt, wenn man sie hat laufen sehen.

Methode, Abdeckung, Kosten und die Ergebnisse der Nachprüfung aus den generierten Kennzahlen und dem Bericht der Prüfung selbst, gelesen am 2026-09-08; die Zahlen zu geschlossenen und offenen Befunden aus dem Befundregister vom selben Tag. Die Befunde selbst werden nicht veröffentlicht.

Vier Funknetze, und wo das Lokale endet

Thu, 03 Sep 2026 00:00:00 +0200

Vier Funknetze tragen die Geräte dieser Wohnung, und jedes taugt für etwas, wofür die anderen nicht taugen. Diese Notiz zählt sie durch: was jedes wirklich trägt, die Geräte, deren Firmware in der Wohnung gebaut wird — neun gebaute Knoten, zwei Luftreiniger und seit September der Leser am Stromzähler —, und was das Nachmessen eines Radars darüber lehrte, was es sehen kann und was nicht. Sie behandelt auch, wie der Strom des Haushalts gemessen wird — inzwischen an der optischen Schnittstelle des Zählers selbst, mit den Phasenklemmen als bloßem Gegencheck — und die geschriebene Regel dagegen, dasselbe Watt zweimal zu zählen. Und sie ist ehrlich zur Naht. Mehrere Brücken existieren nur dafür, gekaufte Hardware ohne die Cloud des Herstellers nutzbar zu halten, zwei davon mit hier geschriebener Firmware, nachdem die Server des Herstellers abgeschaltet wurden. Aber eine Licht-Bridge fährt neben der Zentrale weiter ihre eigenen Abläufe nach Wanduhr, und die Amazon-Echos in der Wohnung sind Cloud-Geräte, die den tatsächlichen täglichen Sprachverkehr des Haushalts tragen. Die lokale Sprachkette ist wirklich lokal. Das Haus als Ganzes ist es nicht. Stand 2026-09-08.

Eine Zählung ist noch keine Architektur. Zigbee trägt die Schalter, Thread fährt auf dem Border-Router des Zigbee-Koordinators selbst, Matter fällt dünner aus, als das Wort vermuten lässt, und Bluetooth LE bestätigt immer nur eine Entscheidung, die ein anderer Sensor schon getroffen hat. Diese Notiz geht sie der Reihe nach durch, dann die Geräte, deren Firmware in der Wohnung gebaut wird, und endet dort, wo es nicht gelungen ist, ein gekauftes Produkt lokal zu halten.

Vier Funknetze

Im Alltag gesprochenVier verschiedene Funknetze in einer Wohnung klingen nach Durcheinander, doch ein Haushalt fährt längst mehrere, ohne es zu bemerken: die Türklingel, den Autoschlüssel, die Kopfhörer. Jedes ist für seine eigene Aufgabe gebaut, und keines würde die der anderen erledigen.

Zigbee trägt die Schalter, Taster, Drehknöpfe und Messsteckdosen. Es läuft nativ in der Zentrale statt über einen eigenen Bridge-Dienst — ein eigenes Programm, das daneben läuft. Ein versioniertes Quirks-Verzeichnis deckt die Geräte ab, die die Upstream-Bibliothek schlecht modelliert: Eine Messklemme brauchte eines.

Thread läuft auf dem Border-Router des Zigbee/Thread-Koordinators selbst. Daneben läuft auf dem Host kein Border-Router-Container, und die Konfiguration des Hosts hält das so.

Matter ist hier dünner, als das Wort vermuten lässt. Die Licht-Bridge ist als Matter-Knoten eingebunden, und die Matter-Zwillinge dreier Bewegungsmelder tragen nur Batterie-Entitäten. Matter trägt das Haus nicht.

Bluetooth LE ist ein Bein der Anwesenheit. Der eigene Beacon des Telefons wird über acht Empfänger raumgenau verortet — allesamt selbstgebaute Sensorknoten in einer zweiten Rolle —, berechnet im LAN, ohne dass etwas nach draußen geht.

Firmware, die hier gebaut wird

Im Alltag gesprochenFirmware, die hier gebaut wird, ist ein Rezept, das von jeder Zutat die genaue Version nennt — denn dass ein Lieferant eine davon still austauscht, ist der Grund, warum ein Gericht vom letzten Monat plötzlich misslingt.

Neun Knoten laufen mit Firmware, die in der Wohnung gebaut wird, und acht davon sind gekaufte Hardware, die das veröffentlichte Firmware-Paket des Herstellers mit lokalen Überschreibungen fährt: vier Multisensor-Knoten mit mmWave-Präsenz pro Entfernungstor, Kohlendioxid, Helligkeit und Umgebung, und vier Luftqualitätsknoten mit Kohlendioxid, Feinstaub und Umgebung. Ein Entfernungstor ist ein Abstandsband vom Radar aus, und jedes Band wird einzeln gemeldet.

Der neunte ist von Hand geschrieben und kein Sensor. Er ist ein ESP32 am RS485-Bus der Klimaanlage; er macht aus beiden Innengeräten gewöhnliche Klima-Entitäten und veröffentlicht vom Außengerät Leistung, Energie, Strom, Spannung und Fehlercode. Seine externe Komponente hängt an einem Commit-Hash des Upstream-Hauptzweigs statt an einem Release-Tag, weil dort die Kompatibilitätskorrekturen liegen und das Projekt selbst warnt, dass sein getaggter Stand nicht mehr baut.

Drei weitere Geräte tragen Firmware, die hier geschrieben und nicht bloß hier konfiguriert wurde, und alle drei gibt es, weil ein Hersteller aufgehört hat. Zwei sind Luftreiniger, deren Backend abgeschaltet wurde; sie fahren jetzt eine Firmware, die in diesem Haushalt gebaut und unter dessen eigenem Namen veröffentlicht wurde. Das dritte ist der Leser am Stromzähler — ein Community-Projekt, hier mit einer Reihe lokaler Korrekturen gebaut, das mit dem Haus-Broker spricht und mit sonst nichts.

Die beiden Dodekaeder-Lampen im Wohnzimmer gehören ebenfalls auf die Liste. Ihr Hersteller liefert eine geschlossene Abwandlung, deren Effekte ohne Quelltext kommen; sie wurden aus dem Werksabbild zurückgelesen und auf der offenen Standard-Firmware neu umgesetzt — die Geschichte steht im Rundgang.

Nichts davon beweist, dass die Binärdatei auf einem Knoten aus der Datei daneben gebaut wurde. Diese Lücke gehört zur Notiz über die Konfiguration, die sich selbst ausrollt.

Was ein Sensor wirklich sieht

Im Alltag gesprochenSchritte, die durch eine Wand zu hören sind, beweisen, dass jemand im Haus ist, aber nicht, in welchem Raum. Deshalb darf nur das Gerät, das allein seinen eigenen Raum sieht, melden, dass jemand gekommen ist, und das Gerät, das durch Wände hört, darf nur melden, dass noch niemand gegangen ist.

Ein Radar sieht durch eine Wand, und es tat es: Menschen im Flur wurden als Bewohner des Nachbarraums gemeldet, während dessen Infrarotmelder aus blieb und das Licht einen leeren Raum beleuchtete. Kein Schwellwert trennt die beiden Fälle, weil ein Körper nahe am Sensor mehrere Entfernungstore gleichzeitig sättigt. Also darf nur der Infrarotmelder Anwesenheit starten, und das Radar darf sie nur halten — genau das, was ein regungsloser Mensch braucht.

Ein weiteres Radar flog ganz aus den Anwesenheitseingängen. Sein Bewegungskanal flatterte zu oft, um als Eingang tragfähig zu sein.

Raumgenaues Bluetooth läuft und wird bewusst nicht für sich allein als verlässlich behandelt: Es widerspricht den Präsenzmeldern oft genug, dass ein Bluetooth-Bereich niemals ein Licht schalten darf, ohne dass ein Präsenzmelder zustimmt, und die Begehung, die es bestätigen würde, ist nicht protokolliert.

Was das Haus mit der Anwesenheit dann anfängt — fünf Hauszustände, abgeleitet aus einer Tür, einem Telefon und diesen Sensoren —, steht in der Notiz über die Hauszustände.

Was das Haus misst

Im Alltag gesprochenWenn zwei Zähler dieselbe Waschmaschine sehen, wird die Ablesung nicht besser, wenn man beide auf die Rechnung setzt — die Wohnung sieht dann nur so aus, als verbrauchte sie doppelt so viel Strom.

Der Netzbezug wird an dem Zähler gelesen, gegen den der Versorger abrechnet. Ein kleiner Funkleser sitzt an dessen optischer Schnittstelle. Die drei Stromklemmen, die diese Aufgabe bis September trugen, sind jetzt ein Gegencheck, und sie verdienen ihn dadurch, dass sie abweichen: Sie lesen ein paar Prozent über dem Zähler. Genau daran merkt man, dass eine Klemme eine Klemme ist und ein Zähler ein Zähler. Die nennenswerten Verbraucher werden an der Steckdose oder am Stromkreis erfasst.

Die Regeln um dieses Dashboard herum drehen sich überwiegend darum, kein Watt zweimal zu zählen: nie ein abgeleiteter Zähler neben dem nativen, den er dupliziert, nie ein Kanal, der die Summe zweier anderer ist, und genau eine Zeile für einen Verbraucher, den zwei Zähler sehen können.

Die USV ist der Musterfall. Sie meldet überhaupt keine Wattzahl, also multipliziert ein abgeleiteter Sensor ihre gemeldete Auslastung mit der Nennleistung, in groben Stufen. Er ist eine Reserveanzeige, kein Messgerät, und im Dashboard verboten, weil eine Messsteckdose dieselbe Buchse ohnehin real misst. Er fällt auf „nicht verfügbar“ statt auf null, denn eine Null läse sich wie ein leerlaufendes Rack. Und selbst dedupliziert ergeben die gemessenen Zeilen nicht den ganzen Netzbezug — ein Teil der Last dieser Wohnung hängt schlicht an keinem Zähler.

Wo das Lokale endet

Manche Brücken existieren nur dafür, gekaufte Hardware ohne die Firma dahinter nutzbar zu halten. Der Präsenzmelder im Wohnzimmer ist über ein lokales Protokoll gekoppelt statt über ein Herstellerkonto. Die Klimaanlage spricht ihren eigenen Bus statt der App des Herstellers. Zwei Luftreiniger laufen mit hier geschriebener Ersatz-Firmware und veröffentlichen schlichte Ganzzahlen an den Haus-Broker, weil das Backend des Herstellers abgeschaltet wurde und es keinen anderen Weg gab, sie zu behalten — und die Konfiguration nennt den Preis: Ein Schalter läuft optimistisch, weil die Firmware diesen Zustand nie zurückmeldet. Einer der beiden steht inzwischen draußen auf dem Balkon und bläst durch die Wand ins Schlafzimmer, womit er der einzige mechanische Luftwechsel ist, den die Wohnung hat.

Dann die Naht. Die Licht-Bridge fährt in zwei Räumen weiter ihre eigenen Abläufe nach Wanduhr, während die Zentrale dieselben Lampen steuert — zwei Systeme auf einem Satz Lampen, und genau das ist die eine Anordnung, die dieses Haus ausschließt. Sie abzuschalten ist eine Handlung des Betreibers in der App des Herstellers; keine Konfigurationsänderung kann das leisten.

Die Naht bei der Sprache ist breiter. Die Amazon-Echos, die in der Wohnung stehen, sind Cloud-Geräte: Was man ihnen sagt, geht an die Server eines Unternehmens, und von dort kommt die Antwort zurück. Sie tragen den tatsächlichen täglichen Sprachverkehr des Haushalts — die gesprochenen Lichtbefehle. Die lokale Sprachkette ist wirklich lokal: Die Dienste für Spracherkennung und Sprachausgabe und der Satellit laufen alle in der Wohnung. Angesprochen wird sie im Alltag nicht. Das Haus als Ganzes ist nicht cloudfrei.

Was geplant ist

Ein Luftqualitätskanal bleibt ungenutzt. Ein Parallelvergleich zeigte, dass sein Feuchtewert deutlich von einer Referenz abweicht. Nichts liest ihn, bis er geprüft ist.
Das Abschalten der Bridge-eigenen Lichtabläufe, verknüpft mit einem Durchgang über jeden Taster, jeden Drehknopf und jedes Pad, damit sich beide nicht in die Quere kommen.

Wo das Lokale endet, ist hier kein Grundsatz, sondern eine Stellung, Gerät für Gerät gehalten. Sie verschiebt sich nur, wenn jemand sie verschiebt: Deshalb wartet der zweite Punkt auf einen Menschen in der App eines Herstellers und nicht auf einen Merge Request.

Funk- und Knotenkonfigurationen, Package-Dateien, der Energieplan und das Komponentenverzeichnis am 2026-09-08 im Konfigurations-Repository des Smart Home gelesen; die Sensormessungen stehen dort neben den Regeln, die sie gesetzt haben. Geplante Punkte sind als geplant markiert.

Die Konfiguration, die sich selbst ausrollt

Thu, 03 Sep 2026 00:00:00 +0200

Ein Dienst im Rechenzentrum in der Wohnung wird nicht von der CI ausgerollt. Die Smart-Home-Zentrale holt sich den geprüften Branch selbst, mergt ihn, fährt Home Assistants eigene Konfigurationsprüfung gegen den gemergten Baum und setzt auf den letzten funktionierenden Commit zurück, wenn die Prüfung fehlschlägt — oder wenn sie gar nicht erst laufen kann. Im Gegenzug darf die laufende Maschine ihre Änderungen aus der Oberfläche ungeprüft direkt auf diesen geschützten Branch committen. Diese Notiz handelt von diesem Tausch und den Kontrollen, die ihn überlebbar machen: ein Branch, den niemand umschreiben kann, ein Tor, das im Zweifel schließt, und ein Commit-Pfad, der eine geheimnisförmige Datei ablehnt, bevor der Commit existiert. Den letzten gibt es, weil Ignorieren allein nicht genügte. Und sie ist ehrlich darin, was die Pipeline nicht beweisen kann: Keine Automation ist getestet, keine Firmware wird kompiliert, und vieles an der laufenden Instanz liegt in einem Speicher, den Git nie sieht. Stand 2026-09-08.

Alles andere in dieser Flotte ändert sich auf dieselbe Weise: Ein Merge Request wird geprüft, eine Pipeline läuft, und ein Mensch drückt den Knopf, der den neuen Zustand anwendet. Das Smart Home läuft andersherum.

Holen statt schicken

Im Alltag gesprochenÜberall sonst in diesem Haus wird eine Änderung an die Maschine geliefert, so wie ein Paket. Hier holt die Maschine sie selbst ab, öffnet sie an der Tür und gibt sie zurück, wenn der Inhalt nicht stimmt.

Der Container der Zentrale trägt eine geforkte Deploy-Integration, die den geprüften Branch beobachtet, ihn alle fünf Minuten holt und in sein eigenes Konfigurationsverzeichnis mergt. Es gibt keinen Deploy-Job und keine Login-Naht: Nichts aus der CI erreicht die laufende Instanz.

Dashboards, Szenen und Skripte werden in der Oberfläche von Hand bearbeitet, und ein einseitiger Push aus der CI würde diese Arbeit bei jedem Deploy überschreiben. Deshalb läuft die Synchronisation in beide Richtungen, und alles Weitere existiert, um das sicher zu machen.

Mergen, prüfen, zurückrollen

Im Alltag gesprochenEine Lieferung wird an der Tür geprüft, bevor sie angenommen wird, und im Zweifel ganz zurückgewiesen. Fällt derjenige aus, der prüft, wird gar nichts angenommen — und genau das ist die Absicht.

Die Integration merkt sich den Commit, auf dem sie steht, mergt den eingehenden Branch und fährt erst dann Home Assistants eigene Konfigurationsprüfung gegen den gemergten Baum. Meldet die Prüfung Fehler, setzt sie hart auf den gemerkten Commit zurück. Nichts lädt neu; die Kiste bedient weiter den Baum, der funktioniert hat.

Der andere Zweig wiegt schwerer. Wirft der Prüfer selbst einen Fehler — eine Hilfsfunktion, deren Signatur sich verschoben hat, ein fehlgeschlagener Import —, dann winkt er den Baum nicht durch. Er blockiert, und der Kommentar im Code ist eine Zeile: Ein Tor, das nicht laufen kann, muss blockieren.

Ein Pull, der durchgeht, wirkt in die andere Richtung: Ein Event feuert, und eine in Git verwaltete Automation wendet es an — ein Reload, oder ein vollständiger Neustart, wenn sich die Kernkonfiguration oder der Code einer Integration geändert hat. Ein Merge auf den geprüften Branch kann das Haus neu starten, auf einem Baum, den die Prüfung bereits validiert hat.

Die Maschine schreibt zurück

Im Alltag gesprochenDas Haus darf in das Logbuch schreiben, das es regiert. Deshalb lässt sich das Logbuch nachträglich nicht ausradieren, und der Stift verweigert die Seite, wenn das, was geschrieben werden soll, wie ein Schlüssel aussieht.

Änderungen aus der Oberfläche werden auf der Kiste automatisch committet und direkt auf den geschützten Branch gepusht. Kein Merge Request, kein Review — und dies ist das einzige Repository der Flotte, in dem das erlaubt ist. Die CI läuft auf diesen Commits weiterhin, aber erst, wenn sie schon auf dem Branch sind; deshalb sind die unten beschriebenen Wächter die Tore auf diesem Weg, nicht die Pipeline.

Es ist als bewusst akzeptierte Abweichung festgehalten: Jede Dashboard-Änderung beim nächsten Pull zu verlieren wurde als das größere Übel bewertet. Die Kontrollen, die im selben Atemzug genannt werden, tragen das Gewicht; drei davon zählen hier.

Der Branch bleibt geschützt. Kein Force-Push, von niemandem. Ein Geheimnis, das in die Historie gelangt, lässt sich rotieren, aber nie wieder herausschreiben — deshalb muss der Wächter gegen Geheimnisse greifen, bevor ein Commit überhaupt existiert.

Das Tor vor dem Ausrollen schließt im Zweifel, siehe oben: Die Maschine, die auf den Branch schreiben darf, ist auch die, die sich weigert, einen Baum zu behalten, der nicht laden würde.

Der Commit-Pfad verweigert geheimnisförmige Pfade. Die Kiste nimmt alles in den Index auf, gleicht die aufgenommenen Pfade dann gegen eine Musterliste ab und setzt bei jedem Treffer den Index zurück und verweigert. Der Commit entsteht gar nicht erst.

Diesen Wächter gibt es, weil Ignorieren allein nicht genügte — ein unbeaufsichtigter Commit, der alles einsammelt, kann einen Pfad mitnehmen, den die Ignorier-Regeln übersehen, und die Sicherungskopie einer ignorierten Datei fällt nicht unter das Muster des Originals. Die Verweigerung ist bewusst total: Der automatische Pull legt zuerst seinen eigenen Sicherungs-Commit an, also blockiert ein blockierter Commit auch den Pull, und Merges erreichen das Haus nicht mehr, bis der störende Pfad verschwunden ist.

Was die Pipeline beweist — und was nicht

Im Alltag gesprochenDie Prüfungen lesen das Rezept und bestätigen, dass es ein Rezept ist: Mengen vorhanden, kein Schritt fehlt. Gekostet hat niemand.

Zwölf Jobs sind über zwei Stufen definiert, Lint und Validate. Eine Deploy-Stufe gibt es nicht.

Die Konfigurationsprüfung fährt Home Assistants eigene Prüfung im offiziellen Image, per Tag und Digest auf die Version gepinnt, die in Produktion läuft, und sie blockiert den Merge Request. Die Prüfung allein ist ein falsches Grün: Home Assistant protokolliert einen schemawidrigen Eintrag, deaktiviert genau diesen Eintrag und macht weiter, sodass nur ein Syntaxfehler oder ein Fehler im Kernblock einen Fehlercode liefert. Deshalb wird das mitgeschriebene Log zusätzlich nach den Fehlerzeichenketten durchsucht. Ein eigener Job durchsucht die gesamte Git-Historie nach Geheimnissen.

Die Pipeline beweist, dass die Konfiguration unter einem gepinnten Image geparst wird und lädt, und dass die lokalen Patches am eingebetteten Fremdcode noch an Ort und Stelle sind. Keine einzige Automation, keine Template- und keine Anwesenheitsregel hat einen Test.

Vieles an der laufenden Instanz steht nicht in Git und kann es auch nicht. In der Oberfläche angelegte Szenen und Skripte, Dashboards, jeder Konfigurationseintrag einer Integration und jede Zugangsinformation liegen im eigenen Speicher der Zentrale, bewusst ungetrackt. Für die Dateien, die Git führt, ist das Repository die laufende Konfiguration — außer solange ein Tor die Kiste auf einem älteren Baum hält, was genau der Sinn der Tore ist.

Kompiliert wird hier ebenfalls nichts: Neun Knotenkonfigurationen werden in der CI validiert, gebaut wird aber in einem Container auf dem Host, und ein Build, der nie läuft, ist für Git und CI gleichermaßen unsichtbar. Nichts beweist, dass die Firmware auf einem bestimmten Knoten aus der Konfiguration gebaut wurde, die Git dafür führt. Was diese Knoten tragen und welche von ihnen Firmware fahren, die hier geschrieben und nicht bloß hier konfiguriert wurde, steht in der Notiz über die Funknetze.

Noch etwas ändert den Baum ohne einen Menschen darin. Die auf der Zentrale installierten Fremd-Integrationen aktualisieren sich in einem wöchentlichen Fenster am Sonntagvormittag selbst, und der automatische Commit veröffentlicht die neuen Versionen anschließend auf dem Branch — eine ungeprüfte Änderung am laufenden Haus, mit Absicht, auf derselben akzeptierten Abweichung wie die Bearbeitungen in der Oberfläche. Das Fenster ist bewusst schmal. Es lässt Firmware jeder Art aus, denn ein Update über die Luft würde die hier geschriebene Lampen-Firmware überschreiben, die Zugangsdaten von den Sensorknoten löschen und einen Entwicklungsstand auf den Funk-Koordinator schieben. Es lässt ein Update aus, das die Speicherbox neu startet. Und es lässt die Handvoll Komponenten mit lokalen Patches aus, denn eine Installation darüber zerstört den Patch, und der Commit veröffentlicht die Zerstörung.

Ein einziger Druck zeigte, wie wenig das Repository steuert. Am 2026-08-24 wurde die Update-Entität des Herstellers gedrückt; sie flashte das Werksimage, das keinerlei Zugangsdaten trägt, mit denen irgendetwas die Hardware noch erreichen könnte, und alle vier Apollo-Multisensor-Knoten verschwanden auf einmal aus dem Netz. Diese Entität und der Firmware-Knopf des Herstellers sind auf allen acht Hersteller-Knoten inzwischen ausgeblendet — wer nur die Entität ausblendet, lässt denselben Flash nur einen Tastendruck entfernt, weil der Knopf ihn aufruft. Inzwischen gehen die Knoten weiter als Ausblenden: Der eigene Web-Updater der Firmware ist ganz abgeschaltet, und der Notfall-Access-Point, den jeder Knoten aufspannt, wenn er das Netz nicht findet, trägt jetzt ein Passwort — derselbe Flash ist über die Luft also gar nicht mehr erreichbar.

Was fehlt und was geplant ist

Die Sicherung außerhalb der Kiste wurde entschlüsselt und isoliert gestartet; ein Neuaufbau von null auf eine leere Maschine noch nicht. Der Bootstrap stellt den ungetrackten Zustand wieder her — aus der Sicherung außerhalb der Kiste, entschlüsselt mit dem dafür verwahrten Notfallschlüssel — und zwar auf ein leeres Konfigurationsverzeichnis; von dort übernimmt die Synchronisation. Die Backup-Notiz hat beide Hälften: die Wiederherstellung, die tatsächlich durchgeführt wurde, und den Beweis über die ganze Flotte, der weiter aussteht.
Geplant: ein Durchgang über die physischen Bedienelemente — jeden Knopf, jeden Drehregler und jedes Pad inventarisieren, dann die Zuordnung pro Raum entscheiden, gemeinsam mit dem Ausmustern der Lichtabläufe, die noch in einer Hersteller-Bridge laufen, damit nie zwei Systeme dieselben Lampen fahren.

Beide Punkte benennen dieselbe Lücke: Nichts davon ist dadurch bewiesen, dass man es hat arbeiten sehen. Die Tore beweisen, dass ein Baum lädt — nicht, dass das Haus, das darauf läuft, neu aufgebaut werden könnte, und nicht, dass seine physischen Bedienelemente mit ihm übereinstimmen.

Deploy-Integration, Pipeline und Knotenkonfigurationen am 2026-09-08 im Smart-Home-Konfigurationsrepository gelesen, die gepinnten Validierungs-Images in den geteilten CI-Vorlagen; datierte Vorfälle tragen das Datum, das mit ihnen festgehalten ist, und geplante Punkte sind als geplant markiert.

Was läuft, und warum

Sat, 22 Aug 2026 00:00:00 +0200

Ein Rundgang durch die Dienste des Rechenzentrums in der Wohnung, sortiert nach ihrem Zweck statt nach Hersteller — mit dem Grund, warum jeder da ist, und den Dingen, die bewusst weggelassen wurden. Das ist, was Stand 2026-09-08 läuft, keine Empfehlung; jeder hier genannte Gast wurde an diesem Datum in der Proxmox-API laufend gesehen, und jeder Container stammt aus einer Compose-Datei in Git.

Zwei Rechner unter einem Schreibtisch in Köln betreiben das, was ein Haushalt sonst bei Google, Apple oder Amazon mietet. Nichts davon kam als Paket: Jeder Dienst auf der Liste steht dort, weil etwas in der Wohnung ihn gebraucht hat, und alles, was sich auf eine Version festpinnen, neu bauen und zurückrollen lässt, ist festgepinnt.

Die Form

Im Alltag gesprochenZwei Rechner tun die Arbeit, eine Speicherbox hält die Kopien und entscheidet bei Gleichstand, und jeder Dienst läuft in seinem eigenen kleinen Container — wie Mieter in einem Haus, jeder mit eigener Tür.

Zwei physische Proxmox-Knoten tragen alles. Ein Synology-NAS — jene Speicherbox — steht daneben für geteilten Speicher, Backups, die Stimme bei Gleichstand im Cluster und eine Handvoll eigener Dienste. Alles, was auf den Knoten läuft, ist ein Gast: eine virtuelle Maschine oder ein Container. Gäste kommen in zwei Arten: eine Handvoll Docker-VMs für Stacks, die zusammen komponiert sein wollen, und kleine LXC-Container für Einzweck-Dienste, die nichts brauchen außer einem Betriebssystem und einem Daemon.

Was wo läuft, nach Rolle — zuerst die Gästeliste mit Stand 2026-09-08, danach die eigenen Dienste des NAS:

Rolle	Was läuft
Edge	zwei OPNsense-VMs, eine pro Knoten — das Firewall-Paar, dem die WAN-Anschlüsse gehören
Smart Home	eine Docker-VM (`tychome`) mit Home Assistant und dem Sprach-Stack
Kameras	ein Erkennungsgast auf dem zweiten Knoten, neben dem Rekorder auf dem NAS
Websites und Ingress	eine Docker-VM (`tycfront`) für die Traefik-Eingangstür und die statischen Websites
Beobachtbarkeit + CI	eine Docker-VM (`tycdocker`) mit dem Grafana-Stack, dazu `tycops`, die VM, auf die der Stack umzieht
Geheimnisse	ein OpenBao-LXC (`tycbao`)
Medien	ein Plex-LXC
Netzdienste	der UniFi-Controller-LXC, ein mDNS-Reflektor-LXC, ein USV-Monitor-LXC
Backup	eine Backup-Server-VM, seit September das nächtliche Ziel für jeden Gast bis auf zwei
Entwicklung	eine VM für Entwicklungsarbeit
CI-Runner	zwei Allzweck-Runner auf dem Docker-Host, vier Runner-Container auf den Knoten, plus einer auf dem NAS als Wiederherstellungspfad
NAS-Dienste	die Fotobibliothek und die Dateisynchronisation des Haushalts, der Identitätsanbieter hinter dem Proxmox-Login, ein Netzboot-Container und die beiden Backup-Anwendungen — auf dem NAS selbst, nicht als Gäste

Ein Gast läuft noch doppelt: Der Host, der Beobachtbarkeit und Ingress zugleich trägt, steht neben den beiden neuen Gästen, die seine Hälften übernehmen. Das ist die Migration, kein Versehen: Jeder Ersatz läuft neben seinem Vorgänger, bis eine eigene, geprüfte Außerdienststellung folgt, und die Architekturnotiz erklärt, warum der Cutover so gestaffelt ist.

Das Zimmer, in dem all das läuft — echtes Licht, echte Hardware, kein Render.

August 2026: die Switches senkrecht montiert in der Lücke zwischen Schreibtisch und Lautsprecherturm; die endgültige Verkabelung steht noch aus.

Smart Home

Im Alltag gesprochenLicht, Heizung und Sensoren gehorchen einer Zentrale in der Wohnung, nicht den Servern einer Firma. Die Zentrale kann zuhören und antworten, ohne dass etwas das Haus verlässt — die Echo-Boxen, die weiter in den Zimmern stehen, können das nicht: Alles, was man ihnen sagt, geht zu Amazon und kommt zurück.

Home Assistant ist die Zentrale, und es läuft als schlichter Container statt als Home Assistant OS. Der Grund ist das Festpinnen: HAOS-Add-ons lassen sich nicht wie jeder andere Dienst auf eine Version pinnen, neu bauen und zurückrollen, und alles andere hier kann das. Der Preis ist, dass die „Add-ons“ als gewöhnliche Container daneben laufen müssen — was genau der Sprach-Stack ist.

Mosquitto — der Broker für MQTT, das kleine Nachrichtenprotokoll, mit dem Geräte ihre Messwerte veröffentlichen, damit alles Interessierte sie abonnieren kann. Nur eine Handvoll Geräte und Brücken hier braucht es; das Zigbee-Funkmodul und die selbstgebauten Sensoren sprechen direkt mit der Zentrale.
Matter-Server — das Matter-Fabric für die Geräte, die es sprechen.
Zigbee und Thread — das Zigbee-Funkmodul wird von der Zentrale selbst angesteuert, und Thread hat gar keinen eigenen Stack: Es läuft über den Border-Router, der im selben Koordinator steckt, und die Ausrollung weigert sich, einen zweiten daneben zu stellen. Ausführlich in der Notiz über die vier Funknetze im Haus.
ESPHome — der Firmware-Builder für die selbstgebauten Sensoren; sein Dashboard ist der Git-Checkout, Gerätekonfigurationen sind also versioniert wie alles andere.
tycwled — die eigene Firmware für die beiden Dodekaeder-Lampen auf dem Foto oben. Der Hersteller liefert eine geschlossene WLED-Abwandlung, deren Effekte ohne Quelltext kommen; sie wurden aus dem Werksabbild zurückgelesen und auf normalem WLED neu umgesetzt, veröffentlicht unter der MIT-Lizenz. Jede Änderung muss sich gegen eine zweite Lampe beweisen, die noch die Werksfirmware trägt.
Whisper und Piper — Sprache-zu-Text und Text-zu-Sprache, lokal. Was der lokale Assistent hört, verlässt die Maschine nicht. Angesprochen wird im Alltag aber etwas anderes: Die Amazon-Echo-Boxen in der Wohnung tragen die gesprochenen Befehle des Haushalts, und sie sind bauartbedingt Cloud-Geräte.
Music Assistant — die Multiroom-Audio-Schicht für die Lautsprecher.
govee2mqtt — die Brücke, die die Govee-Lampen am lokalen Broker hält statt an einer Cloud-App.

Was das Haus mit alledem tut, hängt an einer einzigen Variablen. Ein Hauszustand wird aus der Wohnungstür, dem Telefon und den Präsenzmeldern abgeleitet — nie aus einer Uhr —, und Willkommenslicht, Schloss, Klimaanlage, Kameras, Sauger und Badlüfter lesen ihn alle. Das hat eine eigene Notiz: Das Haus entscheidet, und keine Uhr.

Home Assistant ist auch der eine Dienst, der sich selbst ausrollt — und die eine Stelle im Haus, an der eine Änderung ohne Review auf den Branch kommt: Dashboards, die in der Oberfläche der Zentrale bearbeitet werden, werden direkt nach main zurück-committet, weil es schlimmer erschien, jede Änderung in der Oberfläche beim nächsten Abgleich zu verlieren, als auf das Review zu verzichten. Der Fail-closed-Check, den der Container fährt, bevor er einen Commit annimmt, steht an der Stelle des Reviewers. Der ganze Ablauf steht in der Notiz über Konfiguration, die sich selbst ausrollt.

Kameras und Erkennung

Im Alltag gesprochenDer Rekorder nimmt weiter auf. Der neue Teil schaut nur ins Bild und sagt „das ist ein Mensch“ — was daraus folgt, entscheidet die Zentrale in der Wohnung.

Die Kameras zeichnen wie bisher in der Überwachungssoftware auf dem NAS auf. Daneben läuft eine zweite, lokale Erkennungsebene: eine Objekterkennung in einem eigenen Gast auf dem zweiten Knoten, die die integrierte Grafikeinheit dieser Maschine für die Inferenz nutzt und selbst nichts aufzeichnet. Die Trennung ist gewollt. Die Erkennung erkennt, Home Assistant entscheidet, was eine Erkennung bedeutet, und die Überwachungssoftware nimmt weiter auf und alarmiert.

Inzwischen sind alle Kameras der Wohnung eingebunden, die Fischaugenkamera an der Wohnungstür eingeschlossen, und die Erkennung erkennt auf demselben Bildstrom auch Gesichter — ein Alarm aus der leeren Wohnung kann also sagen, wer es war, statt nur, dass jemand da war. Was die Zentrale aus einer Erkennung macht, und warum der Home Mode des Rekorders bewusst unangetastet bleibt, steht in Das Haus entscheidet.

Energie

Im Alltag gesprochenDie Wohnung misst ihren eigenen Strom dort, wo er hereinkommt, und an den Steckdosen — so ist die Rechnung nie die erste Nachricht davon, dass etwas angeblieben ist.

Der Hausverbrauch wird vom Stromzähler selbst gelesen: Ein kleiner Funkleser sitzt an der optischen Schnittstelle des Zählers, fährt in der Wohnung gebaute Firmware und veröffentlicht an den Haus-Broker, ohne Herstellerkonto irgendwo im Weg. Die drei Stromklemmen, die diese Rolle bisher trugen, sind nur noch ein Gegencheck. Die Verbraucher, auf die es ankommt, melden weiterhin pro Steckdose oder pro Stromkreis, alles innerhalb der Zentrale. Ehrlich bleibt das Bild durch die Regel, dass kein Verbraucher zweimal gezählt wird — die Messregeln, und was noch aussteht, stehen in der Notiz über die vier Funknetze im Haus. Die Zahlen selbst stehen nicht auf dieser Seite.

Medien

Plex liefert die Mediathek des Haushalts aus einem LXC; die Mediendateien bleiben auf dem NAS und werden eingebunden. Synology Photos läuft auf dem NAS selbst und hält die Fotobibliothek des Haushalts — die Bilder bleiben in der Wohnung statt auf den Servern eines Fotodienstes.

Websites und Ingress

Im Alltag gesprochenEine Eingangstür für alles Öffentliche, auch diese Seite. Dahinter ist jede Website ein versiegeltes Paket, das sich nur ändert, wenn das neue Paket schriftlich freigegeben wurde.

Traefik ist die öffentliche Web-Eingangstür. Es routet diese Website, eine zweite Hugo-Website und ein paar Pro-bono-Websites. Jede davon ist ein Container-Image, gepinnt per Tag und Digest — die zweite Website ist von einem kopierten Ordner auf denselben Image-Pfad umgezogen, sodass jetzt alle auf dieselbe Weise ausgeliefert werden. Was ausgeliefert wird, ändert sich nur, wenn sich der Pin in Git ändert und das gesicherte Apply läuft. Öffentlicher Ingress läuft ausschließlich über IPv4, und das ist inzwischen eine Entscheidung und keine Zwischenstufe: Diese Namen auch über IPv6 zu veröffentlichen wurde im September verworfen.

Homepage ist das interne Dashboard — die Seite, die „wo war das noch mal“ für den Haushalt beantwortet.

Die Eingangstür ist mitten in einem Umzug: tycfront ist die neue Ingress-VM in der veröffentlichten Zone. Während der Koexistenz werden die Websites von beiden ausgeliefert; die Kopien gehen außer Dienst, sobald der Umzug geprüft ist.

Identität und Geheimnisse

Im Alltag gesprochenKein Generalschlüssel am Haken neben der Tür: Jeder Auftrag bekommt einen Einmalschlüssel, der Minuten später abläuft und nur seinen eigenen Raum öffnet.

OpenBao hält jedes Zugangsgeheimnis, das die Flotte benutzt. Keine Merge-Request-Pipeline hält je ein langlebiges Token. Jeder Job weist sich mit einer OIDC-Identität aus — einer signierten Bestätigung von GitLab, dass dieser Job dieser Job ist — gegen eine nur lesende Rolle pro Repository und erhält ein kurzlebiges Zugangsgeheimnis, das genau auf diesen Job begrenzt ist. Plan-Material und Apply-Material sind getrennte Rollen. Die wenigen langlebigen Token, die bleiben — die, die mit der Forge und den Paket-Hosts sprechen statt mit einer Maschine — liegen im Tresor und werden Jobs auf geschützten Branches als maskierte Variablen übergeben, nie von Hand getippt. Der Tresor nimmt jede Nacht einen Snapshot auf das NAS, und sein Wiederherstellungsjob ist tatsächlich gelaufen; nur die Smart-Home-Zentrale kann dasselbe sagen, das meiste auf dieser Seite nicht.

Synology SSO Server auf dem NAS ist der Identitätsanbieter hinter dem Proxmox-Login: Der Cluster führt einen Realm, der die Administratorengruppe des NAS auf eine begrenzte Admin-Rolle abbildet, und diese Abbildung ist im Infrastruktur-Code deklariert wie der Rest des Clusters. Die Anwendung selbst wird von Hand in der Oberfläche des NAS eingerichtet — die Abbildung geht durch das Review, die Anwendung dahinter nicht.

Beobachtbarkeit

Im Alltag gesprochenJede Maschine schreibt an einer Stelle auf, was sie tut und wie es ihr geht — so wie auf einer Station am Fußende jedes Bettes eine Kurve hängt, damit niemand herumlaufen und fragen muss.

Grafana, Loki und Prometheus, mit Alloy, das Logs und Metriken von den Hosts verschickt, die die Konfigurationsverwaltung erreicht, plus die üblichen Exporter (Node, Proxmox). Die Firewalls, die Switches und das Modem haben keinen Agenten zum Installieren und schicken ihre Logs auf dem alten Weg. Die Grafana-Alarmregeln werden aus Git bereitgestellt wie alles andere. Die Abdeckung ist unvollständig: Die Abdeckung der Flotte ist ein verfolgtes Arbeitspaket, kein fertiger Zustand.

Netzdienste

Im Alltag gesprochenDas Netz hat seinen eigenen Pförtner und sein eigenes Telefonbuch: Der eine gibt jedem ankommenden Gerät seine Zimmernummer, das andere schlägt die Namen nach und verweigert die, die auf der Hausliste stehen. Beide wohnen in der Wohnung, also kann kein Gerät stillschweigend ein fremdes Telefonbuch fragen.

Der größte Teil des Netzes ist gar kein Dienst — es ist das RouterOS-Fabric und das OPNsense-Paar, beide aus Git gesteuert und in der Architekturnotiz beschrieben. Die Teile, die als eigene Dienste laufen:

Kea DHCP und Unbound DNS auf dem Edge-Paar — Kea vergibt die Adressen, Unbound beantwortet die Namensabfragen — je Zone ein Satz, mit dem Host-Register, das aus demselben Netzmodell generiert wird wie die Switch-Konfiguration. Der Resolver filtert für die Zonen, die das haben sollen, außerdem Werbe- und Schadsoftware-Domains. Filtern wirkt nur, wenn es sich nicht umgehen lässt: Die Firewall schickt diese Clients zum Resolver zurück, verweigert die verschlüsselten Abfrageprotokolle rundheraus, und der Resolver sperrt die öffentlichen Dienste, die sie beantworten. Ein Filter, um den ein Gerät herumgehen kann, ist Theater. Es gibt kein Pi-hole; der Resolver wohnt dort, wo die Policy wohnt.
Ein WireGuard-Tunnel — der eigene Fernzugang des Haushalts in die Wohnung endet auf dem Edge-Paar.
UniFi-Controller — ein LXC für das eine überlebende UniFi-Gerät, den Access Point.
mDNS-Reflektor — damit Casting und Geräteerkennung die Zonengrenze dort überqueren, wo es ausdrücklich erlaubt ist.
USV-Monitor — eine kleine Web-Oberfläche über NUT, dem Dienst, der die unterbrechungsfreie Stromversorgung ausliest; die Knoten lesen ihn ebenfalls, um bei Stromausfall sauber herunterzufahren.
netboot.xyz — Netzboot: Eine Maschine, die kein Installationsmedium zur Hand hat, holt sich eines über die Leitung. Es ist ein Container auf dem NAS statt ein Gast auf den Knoten, als Compose-Datei eingecheckt und von Hand im Container-Manager des NAS gestartet — dieselbe Form wie der Runner, der dort für die Wiederherstellung bereitsteht.
Cloudflare ist die DNS-Hoheit, als Code verwaltet; die Registrare sind nur Registrare.

CI

Im Alltag gesprochenDie Roboter, die freigegebene Änderungen ausführen, wohnen in der Wohnung; einer wohnt in der Speicherbox, damit noch etwas funktioniert, wenn beide Server ausgefallen sind.

CI ist die Pipeline, die eine Änderung prüft und sie dann ausführt; GitLab-Runner sind die Maschinen, auf denen sie läuft, und sie sitzen dort, wo die Arbeit ist. Allzweck-Runner übernehmen Merge-Request- und Build-Arbeit. Eigene Runner laufen als Container auf den Knoten: einer für die Infrastruktur-Applies, einer für das Smart-Home-Repository und je einer pro Edge-Knoten, weil die eigene Identität jeder Firewall — ihre Schnittstellen, ihre Adressen, ihre Einwahlsitzung — von dem Knoten aus geschrieben werden muss, auf dem sie läuft. Ein weiterer ist ein Container auf dem NAS, für einen einzigen Zweck behalten — der Pfad zu sein, der noch funktioniert, wenn beide Knoten ausgefallen sind. Apply-Jobs sind manuell, umgebungsgebunden und pro OpenTofu-State serialisiert; Merge-Request-Pipelines sind nur lesend.

Speicher und Backup

Im Alltag gesprochenEin Schrank in der Wohnung hält, worauf jede Maschine zugreifen muss, und jede Maschine hält ein eigenes kleines Regal für das, was man braucht, um diesen Schrank wieder aufzustellen. Was den Schrank rettet, darf nicht im Schrank liegen.

Das NAS teilt Speicher auf zwei Wegen über das Netz: NFS, das die Gäste für geteilten Speicher einhängen, und SMB, über das die Home-Assistant-Backups geschrieben werden. Die Knoten halten die Gäste des Reparaturpfads stattdessen auf eigenen Platten, auf ZFS — einem Dateisystem, das prüfsummt, was es speichert —, damit das NAS nicht auf dem Pfad liegt, das NAS wiederherzustellen.

Auf dem NAS liegen auch die eigenen Dateien des Haushalts. Synology Drive hält sie auf allen Maschinen, die sie benutzen, auf demselben Stand. Active Backup for Business sichert den Arbeitsplatzrechner des Haushalts, und Hyper Backup repliziert vom NAS auf ein Ziel in einem anderen Gebäude — die Kopie außer Haus. Alle drei werden von Hand in der Oberfläche des NAS eingerichtet, nicht über die geprüfte Pipeline, auf der der Rest dieser Seite läuft. Was diese Kopien abdecken und was noch aussteht, ist die Frage der Backup-Notiz und nicht die dieser Seite: Backups: drei Kopien, ein fehlender Beweis.

Was bewusst weggelassen wurde

Kubernetes. Keine Workload hier braucht es; es kommt an dem Tag zurück, an dem eine es tut.
Home Assistant OS. Siehe oben — Festpinnen schlägt Bequemlichkeit.
Ein Cloud-Backup-Ziel. Noch nicht, und nicht, bevor eine Wiederherstellung gegen die vorhandenen Kopien bewiesen wurde.
Sponsoring. Nichts auf dieser Seite ist bezahlt oder steht zum Verkauf.

Das sind vier Entscheidungen, keine Lücken, und die meisten nennen die Bedingung, unter der sie fallen. Nichts auf dieser Seite läuft, weil es erwartet wurde: Es läuft, weil etwas in der Wohnung es gebraucht hat — und an dem Tag, an dem das nicht mehr stimmt, verschwindet es von der Liste.

Gästeinventar, Speicher und die nächtlichen Backup-Jobs am 2026-09-08 aus der Proxmox-API gelesen, die Haushaltsautomationen am selben Tag aus der laufenden Zentrale; die Container gegen die Compose-Dateien in Git und die Runner-Liste gegen die Deklarationen, die sie registrieren. Der Realm des Identitätsanbieters auf dem Cluster ist im Infrastruktur-Code deklariert und dort nachlesbar; die übrigen Anwendungen des NAS sind so, wie der Betreiber sie am 2026-09-09 angegeben hat, und wurden weder vom NAS noch aus dem Code gelesen. Geplante Punkte sind als geplant markiert.

Backups: drei Kopien, ein fehlender Beweis

Sat, 22 Aug 2026 00:00:00 +0200

Das Rechenzentrum in der Wohnung, gemessen an 3-2-1: was gesichert wird, wo es landet, was darüber wacht, und die Lücke — eine vollständige Wiederherstellungsübung, die noch nicht stattgefunden hat. Das Backup, das dreizehn Tage lang still stehen blieb, ist der Grund, warum es das Monitoring gibt. Seit September gehen die Archive an einen eigenen Backup-Server, der sie dedupliziert, sie erneut liest, um zu beweisen, dass sie noch lesbar sind, und sie verschlüsselt entgegennimmt — die Speicherbox darunter hält also Kopien, die sie nicht öffnen kann, was die schwierigste offene Frage vom Geheimtext auf die Verwahrung des Schlüssels verschiebt. Stand 2026-09-08.

Die Regel, die jeder zitiert, ist 3-2-1: drei Kopien der Daten, auf zwei Arten von Medien, eine davon woanders. Jede Zahl beantwortet einen anderen Weg, die Daten zu verlieren — die Kopie, die verdirbt, das Regal, das als ganze Charge ausfällt, das Gebäude, das brennt. Die Regel zählt Kopien, keine Beweise: Ob eine der drei je wieder geöffnet wurde, ist die Frage, mit der diese Notiz endet.

Was gesichert wird

Im Alltag gesprochenDie Regel verlangt drei Kopien, auf zwei Arten von Regal, eine davon in einem anderen Gebäude. In diesem anderen Gebäude liegt inzwischen etwas — und noch immer hat niemand es zurückgeholt, um nachzusehen, ob es sich öffnen lässt.

Fast jeder Gast, jede Nacht. Seit September gehen die Archive nicht mehr direkt auf eine Netzfreigabe. Sie gehen an einen eigenen Backup-Server, der neben dem Rest der Flotte läuft, sie dedupliziert, je Gast die letzten fünf behält und das Gehaltene nach eigenem Zeitplan erneut liest und prüfsummt — womit „die Kopie existiert“ und „die Kopie ist lesbar“ aufgehört haben, dieselbe Behauptung zu sein. Die Bytes landen weiterhin auf der Speicherbox darunter — dem NAS, denn dort ist der Platz. Geändert hat sich, dass sie auf dem Knoten verschlüsselt werden, bevor sie ihn verlassen: Das NAS hält Archive, die es nicht lesen kann.

Der Backup-Server ist der eine Gast, der das nicht nutzen kann: Ein Archiv des Backup-Servers, gespeichert im Backup-Server, ist kein Backup. Er schreibt seine eigene nächtliche Kopie direkt auf die Freigabe, und dieses eine Archiv ist die deklarierte Ausnahme, kein Versehen.

Eine Maschine bleibt ganz außerhalb des nächtlichen Laufs. Sie bleibt so lange draußen, bis ihr Umgang mit Geheimnissen dem Rest der Flotte entspricht, denn die Regel hier lautet, dass kein Backup-Speicher ein Geheimnis im Klartext hält.

Der nächtliche Lauf besteht aus fünf Jobs, nicht aus einem. Sie starten nacheinander in den frühen Morgenstunden, damit nie zwei Dumps gleichzeitig auf dieselbe Freigabe schreiben. Jedes Zeitfenster ist so breit wie der langsamste Lauf, der über eine jüngere Reihe von Nächten gemessen wurde, zuzüglich Puffer — nicht so breit wie eine gute Nacht. Jeder Job läuft im Snapshot-Modus, auf Speicher, der Snapshots beherrscht — das ist die Abhilfe für etwas, das auf die harte Tour gelernt wurde: Ein Gast, den die HA-Schicht des Clusters übernommen hatte, hörte an dem Tag still auf, gesichert zu werden, an dem er aufgenommen wurde, während sein Nachbar im selben Job weiterlief. Zwei der fünf sind an einen Knoten geheftet und drei nicht, und auch das ist eine Lehre: Ein ungehefteter Job feuert auf jedem Knoten gleichzeitig, und genau diese Gleichzeitigkeit sollen die gestaffelten Zeitfenster verhindern.

Die Backup-Jobs leben in Git. Ein Backup-Zeitplan, der nur in der Proxmox-Oberfläche existiert, ist ein Zeitplan, ohne den ein neu gebauter Knoten hochkommt — und nichts schlägt fehl, die Backups hören einfach auf. Deshalb ist die Job-Liste im Hub-Repository deklariert und wird bei jedem Deploy konvergiert, wobei die von der Oberfläche erzeugten Job-IDs wörtlich übernommen werden, damit kein Gast je doppelt gesichert wird. Trägt der Cluster einen Job, den Git nicht kennt, schlägt der Deploy laut fehl, statt ihn zu löschen: Ein nicht deklarierter Job könnte das einzige Backup von irgendetwas sein.

Home Assistant sichert sich selbst auf eine eigene Freigabe auf dem NAS, und der Container bindet diese Freigabe ein, sodass eine Wiederherstellung ein nativer Vorgang ist und kein Upload. Bevor die Zentrale auf eine andere Maschine umziehen durfte, wurde eines dieser Backups außerhalb der Kiste entschlüsselt und isoliert gestartet — eine Wiederherstellung, die tatsächlich durchgeführt wurde. Es ist zugleich die Hälfte eines Wiederaufbaus, die Git nicht liefern kann: Der eigene Deploy-Weg der Zentrale trägt die geprüfte Konfiguration, dieses Backup trägt alles, was dieser Weg nie sieht.

Der Geheimnis-Tresor nimmt jede Nacht einen Snapshot auf das NAS, auf dem immer scharfen Zeitplan, der auch die Drift-Prüfung fährt. Auch sein Wiederherstellungsjob ist tatsächlich gelaufen, zuletzt am 2026-08-20.

Zwei weitere Sicherungswege gibt es auf dem NAS selbst. Hyper Backup repliziert vom NAS auf ein Ziel in einem anderen Gebäude; Active Backup for Business sichert die Arbeitsstation des Haushalts auf das NAS. Keiner von beiden ist im Repository deklariert oder wird von einem Deploy konvergiert — beide sind in der Oberfläche des NAS von Hand eingerichtet, was sie in dieselbe Klasse stellt wie einen Backup-Zeitplan, der nur in einer GUI lebt, mit demselben Risiko. Wie weit der Job außer Haus reicht, ist hier nicht festgestellt: Die dritte Kopie zählt als dritte Kopie, noch nicht als Deckung für irgendetwas Bestimmtes.

Die Firewalls und Switches sind Code, ihr Backup ist also das Repository plus das generierte Netzmodell.

Was darüber wacht

Im Alltag gesprochenEs war nichts schiefgegangen, also beschwerte sich nichts — passiert war aber auch nichts. Geprüft wird jetzt das Datum auf der neuesten Kopie, so wie man das Datum auf der Milch liest, statt sich darauf zu verlassen, dass der Kühlschrank kalt ist.

Der Ausfall, der diesen Abschnitt geformt hat: Zwischen 2026-07-13 und 2026-07-26 lief das nächtliche Backup nicht, und nichts sagte es. Proxmox schickt bei Fehlschlag eine Mail, aber ein Job, der nie startet, schlägt nicht fehl. Eine gesunde Flotte und eine Flotte ohne Backups sahen auf jedem Dashboard identisch aus.

Deshalb veröffentlicht jetzt jeder Knoten das Alter des neuesten Archivs pro Gast als Metrik, gelesen aus der Proxmox-API gegen denselben geteilten Speicher. Ein Gast ganz ohne Archiv wird als unendlich alt veröffentlicht — „nie gesichert“ alarmiert genau wie „veraltet“, was bedeutet, dass ein neuer Gast alarmiert, bis der Lauf der nächsten Nacht durch ist. Das ist Absicht; ein ungesicherter Gast ist der Zustand. Der Collector weigert sich, eine Teildatei zu schreiben: Wirft die API einen Fehler, veraltet die vorherige Datei und der Frische-Alarm feuert, statt dass ein Gast still aus der Liste verschwindet.

Die Smart-Home-Zentrale wendet dieselbe Regel auf sich selbst an: Gemessen wird ihre eigene nächtliche Kopie an den Entitäten, die sie über das Ergebnis führt, nie daran, dass der Aufruf zurückkam.

Ehrlich gezählt

3-2-1 verlangt	Was existiert
Drei Kopien	Drei, soweit der Job außer Haus reicht: die eigene Platte des Gastes, das nächtliche Archiv auf dem NAS und die Kopie, die Hyper Backup in ein anderes Gebäude schreibt
Zwei Arten von Medien	Ja: SSDs der Knoten auf der einen Seite, das NAS-Array auf der anderen
Eine Kopie außer Haus	Ja: Hyper Backup repliziert vom NAS auf ein Ziel in einem anderen Gebäude — auf dem NAS von Hand eingerichtet statt im Repository deklariert, und keine Wiederherstellung daraus ist verzeichnet
Eine bewiesene Wiederherstellung	Teilweise — der Tresor, die Smart-Home-Zentrale und ein Gast, der aus dem verschlüsselten Speicher zurückgeholt wurde; die Übung über die ganze Flotte fehlt weiter

Die letzte Zeile ist die, die den Plan bestimmt. Ein Backup, das nie zurückgespielt wurde, ist eine hoffnungsvolle Kopie, deshalb bleibt der Wiederherstellungsbeweis über die ganze Flotte ein offenes Tor. Ein Gast wurde inzwischen aus dem verschlüsselten Speicher zurückgeholt, was die Verschlüsselung und das Werkzeug beweist; für die Flotte beweist es nichts.

Die Zeile außer Haus hat sich zuletzt geändert, die Zeile zur Wiederherstellung nicht. Eine Kopie in einem anderen Gebäude hebt die Zahl an dem Tag, an dem sie geschrieben wird; die Zuversicht hebt sie erst an dem Tag, an dem etwas daraus zurückgeholt wird.

Die Tabelle fragt nach Kopien, Medien und Entfernung und sagt überhaupt nichts über Verschlüsselung — die Zeile, in der dieser Aufbau inzwischen am besten abschnitte, und die, in der die verbleibende Arbeit nicht der Geheimtext ist, sondern die Verwahrung. Der Schlüssel, der diese Archive öffnet, liegt im Geheimnis-Tresor der Flotte selbst. Eine Kopie auf Papier, außerhalb der Flotte, fehlt: Ein Schlüssel, der nur in dem liegt, was er aufschließt, ist noch keiner, den man hat.

Was geplant ist

Im Alltag gesprochenDie Archive sind verschlossen, und der einzige Schlüssel hängt an einem Haken im selben Gebäude. Eine Kopie davon woanders ist das, was noch fehlt.

Verwahrung für den Archiv-Schlüssel, außerhalb der Flotte und auf Papier. NAS und Cluster gemeinsam zu verlieren, mit dem Schlüssel nur im Tresor, ließe jedes Archiv unlesbar zurück — genau der Ausfall, den die Verschlüsselung überlebbar machen sollte, nur von der anderen Seite.
Der verbleibende Klartext. Jeden Backup-Speicher dazu zu bringen, nur noch Geheimtext zu halten, ist weiterhin die größte offene Backup-Arbeit; die Gast-Archive sind fertig, andere Speicher nicht.
Die Wiederherstellungsübung selbst. Snapshot, Export, Löschen, Wiederherstellen, dann Zähl- und Wertprüfungen, gefahren von einem Pfad, der nicht vom NAS abhängt — denn die Übung muss an dem Tag funktionieren, an dem das NAS das Opfer ist.
Eine Kopie außer Haus des Tresor-Exports mit definiertem Auffrischungspunkt. Der Export-Job läuft; ihn außer Haus zu bringen ist eine menschliche Handlung, und eine menschliche Handlung ohne festgehaltenes Datum zählt als unbewiesen — und ob der Job außer Haus auf dem NAS ihn längst mitträgt, gehört zu dem, was nicht festgestellt ist.

Nichts davon wartet auf Hardware: Was der Liste fehlt, sind ausgeführte Handlungen und festgehaltene Zeitpunkte.

Job-Deklarationen, Monitoring und Plan geprüft gegen das Hub-Repository, die Proxmox-API und die Backup-Alter-Metrik am 2026-09-08; der Archivspeicher, seine Aufbewahrung und sein Verifikationsstand am selben Tag aus dem Cluster gelesen. Die beiden Backup-Jobs, die auf dem NAS selbst laufen — die Replikation außer Haus und das Backup der Arbeitsstation —, sind so, wie der Betreiber sie am 2026-09-09 angegeben hat; sie sind in der Oberfläche des NAS konfiguriert und wurden nicht aus dem Repository gelesen, und wie weit der Job außer Haus reicht, ist nicht festgestellt. Geplante Punkte sind als geplant markiert.

Das Rechenzentrum in der Wohnung

Fri, 21 Aug 2026 00:00:00 +0200

Wie eine Person ein privates Rechenzentrum betreibt: Git hält die Absicht fest, CI ist das Tor für jede Änderung an der Infrastruktur, KI-Agenten übernehmen das Tippen — und ein Mensch behält die Hoheit über Merge und Apply. Was läuft, was Ziel ist, und warum das Design so geworden ist. Geprüft gegen das laufende System am 2026-09-08; was geplant ist, heißt geplant.

TycStation hält Smart Home, Medien, Websites, Geheimnisse und einen großen Teil des Netzes einer Kölner Wohnung unter lokaler Kontrolle. Das Ungewöhnliche daran ist nicht die Hardware, sondern das Betriebsmodell. Die Live-Verifikation entscheidet, ob eine Änderung wirklich gewirkt hat, nicht der abgeschlossene Merge, und der Haushalt funktioniert weiter, wenn das Internet es nicht tut. Diese Notiz beantwortet drei Fragen: Was läuft wo, wer darf es ändern, und woher weiß man, dass eine Änderung gewirkt hat.

Was läuft

Im Alltag gesprochenDie Dienste, die ein Haushalt sonst mietet — hier laufen sie zu Hause.

Smart Home — Home Assistant und die Haushaltsautomationen laufen als Container auf einer eigenen VM; die Geräte erreichen sie über Zigbee, Thread, Matter und MQTT. Der eigene Sprachassistent der Zentrale läuft lokal; die Amazon-Echo-Boxen, die weiter in Benutzung sind, sind bauartbedingt Cloud-Geräte.
Medien — Plex liefert die Mediathek des Haushalts; die Mediendateien selbst bleiben auf dem NAS.
Websites und Ingress — Traefik liefert Websites (auch diese) und ausgewählte öffentliche Dienste aus. Öffentlicher Ingress ist gewollt und ausschließlich IPv4 — eine im September getroffene Entscheidung, keine Zwischenstufe, die noch auf die Adressplanung wartet.
Identität und Geheimnisse — OpenBao stellt kurzlebige, pro Repository begrenzte CI-Zugangsdaten über GitLab-OIDC aus: Der Job weist nach, für welches Repository er läuft, und bekommt genau dafür Zugangsdaten, statt ein hinterlegtes Passwort mitzuführen.
Speicher und Wiederherstellung — das Synology-NAS liefert geteilten Speicher, und ein eigener Backup-Server nimmt inzwischen die nächtlichen Archive auf und verschlüsselt sie, bevor sie den Knoten verlassen; eine bewiesene Wiederherstellungsübung über die ganze Flotte ist weiter ein Tor auf dem Weg.
Beobachtbarkeit — Grafana, Loki und Prometheus laufen. Die Abdeckung der Flotte wächst und ist noch nicht vollständig.

Der physische Fußabdruck ist ein senkrechtes Mini-Rack voll gewöhnlicher Geräte — der Hardware-Abschnitt unten listet es auf.

Die Hardware

Im Alltag gesprochenZwei Schuhkarton-Rechner, drei Switches, eine Speicherbox, ein WLAN-Puck — und ein Geräuschbudget, das der Lautsprecher daneben vorgibt.

Die Bedingung, die diese Liste geformt hat, ist die Geräuschgrenze. Dieser Aufbau ist in der Lücke zwischen Schreibtisch und Lautsprecherturm groß geworden, und eine Maschine, die sirrt, ist disqualifiziert, bevor ihr Datenblatt gelesen wird. Das schließt Rack-Gehäuse mit ihren 40-mm-Lüftern aus, was auch immer sie pro Kern kosten, und treibt den ganzen Aufbau zu kleinen, sparsamen Maschinen — Wärme ist es, die Lüfter erzwingt.

Gerät	Rolle	Das Entscheidende
2× MS-02 Mini-PC	Proxmox-Knoten	Je 24 Kerne und 48 GB; ein Aktiv/Standby-Bond aus zwei NICs ins Fabric, die dritte NIC direkt am Modem für das WAN, die vierte auf einem Kabel direkt zum anderen Knoten
MikroTik CRS317	Core-Switch	Das 10G-Rückgrat und die Wurzel des Schleifenschutz-Baums (RSTP); jeder Trunk endet hier
MikroTik CRS320	PoE-Switch	Strom über das Datenkabel in der höchsten Stufe (PoE++), ein Budget, das die frühere Consumer-Hardware nicht liefern konnte; es versorgt die verkabelte AV-Reihe, den KVM, die vorbereiteten Kameraplätze sowie den Schreibtisch und die übrigen verkabelten Geräte des Haushalts
MikroTik CRS310	Access-Switch	2,5G-Ports für den WLAN-Access-Point — über einen eingeschleiften PoE-Injektor, weil der PoE-Switch nur 1G-Kupfer hat — und für den Quorum-Anschluss des NAS; fünf Plätze bleiben für Wachstum frei
Synology DS1525+	NAS	Geteilter Speicher, Backup-Ziel und die Stimme bei Gleichstand im Cluster
UniFi U7 Pro Max	WLAN	Der einzige UniFi-Überlebende; die Funkmodule waren es wert, zu bleiben, die Switches nicht
Vigor 166	G.fast-Bridge-Modem	Absichtlich getrennt versorgt: Ein Firewall-Failover darf nie auf eine Modem-Neusynchronisation warten
USV	Strom	Zeit zum sauberen Herunterfahren, wenn die Steckdose ausfällt — keine Laufzeit-Heldentaten

Das Zimmer, in dem das Rack steht: Die Geräte stehen in der Lücke zwischen Schreibtisch und Lautsprecherturm.

Oktober 2025, vor dem Umbau: das ursprüngliche Mini-Rack in derselben Lücke.

Juli 2026: Die drei MikroTik-Switches kommen an und bekommen auf dem Schreibtisch ihre erste Verkabelung — der Core-Switch oben, PoE- und Access-Switch darunter.

Die Switches brachten dasselbe Problem im Kleinen mit: 40-mm-Lüfter, genau das Bauteil, das das Geräuschbudget auf Gehäuseebene schon ausgeschlossen hatte. Sie wurden an dem Tag, an dem sie aus den Kartons kamen, auf dem Tisch geöffnet und mit Noctua-Lüftern NF-A4x20 PWM bestückt — ein 40 × 20 mm großes Bauteil mit vierpoligem Anschluss —, bevor einer von ihnen verkabelt wurde.

Sauber passt es nicht überall, und genau das ist der Teil, den man wissen sollte. Die Serienlüfter haben nicht alle dieselbe Bautiefe: Die tieferen messen 40 × 28 mm, und dagegen ist der Noctua acht Millimeter flacher. Er sitzt auf demselben Rahmen und demselben Lochbild, füllt das Gehäuse aber nicht aus — dort ist es also ein teilweiser Sitz und kein glatter Tausch.

Juli 2026: beide Switches offen am Tag ihrer Ankunft. Die Lüfter sitzen am Rand der Platine, direkt neben dem Kühlkörper, den sie kühlen sollen.

23. August 2026, die Nacht, in der diese Seite überarbeitet wurde: Das Fabric ist drin, senkrecht in derselben Lücke montiert wie zuvor — und noch nicht fertig eingebaut. Verkabelung und die endgültige Halterung stehen noch aus.

Zwei Dinge, die diese Liste nicht hat. Erstens: keine Angabe zur Lautstärke — die wurde nie gemessen; der Stromverbrauch wird durchgehend gemessen, aber Leerlaufwerte je Gerät stehen hier nicht einzeln. Zweitens: Es gibt keine Kauflinks.

Warum es so geworden ist

Im Alltag gesprochenJede Schicht ist die Antwort auf etwas, das wirklich kaputtgegangen ist; nichts wurde zur Schau hinzugefügt.

Jede Schicht beantwortet einen Ausfall, eine Grenze oder eine Wiederherstellungslücke, die im früheren System beobachtet wurde.

Ein ausgefallenes Gateway nahm die Wohnung vom Netz. → Eine fest zugeordnete OPNsense-VM pro physischem Knoten. CARP und pfsync schützen den Dienst, von dem alles andere abhängt: Beide Firewalls antworten auf dieselbe Adresse, und jede führt eine Kopie der offenen Verbindungen der anderen. Die eine DSL-Leitung wählt sich trotzdem neu ein.
Das erste Segmentierungsmodell wurde brüchig und leckte auf Layer 2. → Acht geroutete Zonen mit Policy am Edge: weniger Risikoklassen, ein VLAN pro Zone, explizite Flüsse und generierte Invarianten über die Ebenen hinweg.
Die Steuerung von Consumer-Switches stritt mit der Regel „Git besitzt die Absicht“ und stieß an eine PoE-Grenze. → Ein RouterOS-Fabric; nur der UniFi-Access-Point bleibt. MikroTik ist vollständig codegesteuert und liefert das nötige PoE++; das WLAN bleibt bei der stärkeren Funkplattform.
Langlebige Automations-Zugangsdaten erzeugen stilles, flottenweites Risiko. → OpenBao plus GitLab-OIDC pro Repository. Jobs erhalten kurzlebige, eng begrenzte Tokens; Plan- und Apply-Material bleiben getrennt.
Add-ons von Home Assistant OS ließen sich nicht wie gewöhnliche Dienste festpinnen und neu bauen. → Home Assistant und seine Begleiter zogen in Container, versioniert als Code; die Instanz validiert und zieht main selbst.
Keine Wiederherstellung war je bewiesen. → Backup-Verifikation und ein vollständiger Wiederherstellungsbeweis sind Tore, nichts nachträglich Angebautes.

Komplexität wurde auch abgelehnt. Kein Kubernetes ohne auslösende Workload, keine Firewall-Konfigurationshoheit außerhalb von Git, keine Neuinstallation physischer Knoten und kein vorgetäuscht nahtloses WAN-Failover.

Sicht 01 — Systemkontext (Diagramme englisch beschriftet).

Die Betriebsprinzipien

Im Alltag gesprochenPrivat halten, weiterlaufen lassen, wenn das Internet weg ist, wiederherstellbar bleiben — und das so, wie ein professionelles Team es täte, nur kleiner.

Privatsphäre — lokale Verarbeitung als Standard. Widerstandsfähigkeit — Haushaltsdienste überstehen einen Ausfall des Providers. Eigentum — Daten und Konfiguration bleiben wiederherstellbar. Handwerk — professionelle Plattformpraxis im Maßstab einer Wohnung.

Keines dieser Muster ist in einer Cloud-Plattform ungewöhnlich: Jobs, die nachweisen, wer sie sind, statt ein Passwort mitzuführen; ein Grundriss aus öffentlichen, privaten und eingeschränkten Zonen; ein Firewall-Paar, das seinen Zustand teilt, sodass jede Hälfte übernehmen kann; Regeln, die in Git liegen statt in einer Konsole; eine Wiederherstellung, die wirklich durchgeführt wurde; und Telemetrie von allem. Vier der sechs sind da; die Full-Stack-Beobachtbarkeit läuft, aber noch nicht flottenweit, und ein bewiesener Wiederherstellungspfad steht noch aus. Das ganze Set hinter einem Wohnungsschreibtisch unterzubringen, ist das Ungewöhnliche.

Die Datumsangaben sagen, wann etwas zuletzt geprüft wurde.

Was wovon abhängt

Im Alltag gesprochenFundament, Leitungen, Werkzeuge, dann die Räume, die Menschen benutzen — dieselbe Reihenfolge wie bei einem Haus.

Sicht 02 — der Stack. Schichten zeigen Abhängigkeit, nicht Rollout-Status; geplante Elemente sagen es.

Ebenen

Die Werkzeuge sortieren sich in vier Spuren — welches Werkzeug welche Aufgabe besitzt. Diese Karte beantwortet „welche Technologien?“; sie sagt absichtlich nichts über die Platzierung — das tut die Deployment-Sicht.

Spur	Wofür	Werkzeuge
Nutzung	was Menschen benutzen	Home Assistant, Plex, die Websites, lokale Sprachsteuerung, Grafana
Plattformdienste	geteilte Fähigkeiten	OpenBao, Traefik, Prometheus, Loki, Alloy, MQTT; ein eigener Backup-Server nimmt die nächtlichen Archive auf, der Wiederherstellungsbeweis über die Flotte steht aus
Automatisierung	wie Veränderung passiert	GitLab CI, Runner im LAN, OpenTofu, Ansible, OIDC, Renovate, das Netzmodell
Fundament	worauf alles steht	Proxmox VE, Docker, OPNsense, RouterOS, Synology, Cloudflare

Heute gegenüber dem Plan

Im Alltag gesprochen„Läuft“ heißt: heute in Betrieb gesehen; „geplant“ heißt: aufgeschrieben und noch nicht gebaut — eine erteilte Baugenehmigung für einen Anbau, der noch nicht gegossen ist.

Deklarationen im Repository beweisen Absicht, nicht Rollout. Stand der Evidenz-Momentaufnahme vom 2026-09-08:

Was heute läuft

Zwei physische Proxmox-Knoten tragen die Flotte, und die dritte Cluster-Stimme ist ein Tie-Breaker-Dienst auf dem NAS; das kleine Hilfsmitglied, das sie früher hielt, ist außer Dienst.
Die zwei OPNsense-Edge-VMs laufen je eine pro physischem Knoten und besitzen die WAN-Anschlüsse. Sie sind ein CARP/pfsync-Paar: Beide halten jede Adresse, an die das Netz seinen Verkehr schickt, der Firewall-Zustand wird zwischen ihnen synchronisiert, und DHCP läuft im Hot-Standby — die zweite Kopie ist geladen und aktuell, sie startet nicht erst beim Ausfall der ersten. Am 2026-08-23 hat ein echter Wechsel mit Rückwechsel die Master-Rolle und die Einwahlsitzung mitgenommen.
Das Acht-Zonen-Switch-Fabric ist aktiv — die umnummerierten VLANs, die Zonen-Gateways und die Policy zwischen den Zonen sind das, was das Netz heute fährt.
Gäste ziehen nacheinander auf ihre Zonenadressen und Speicherstufen um; jeder Ersatz läuft neben seinem Vorgänger, bis eine eigene, geprüfte Außerdienststellung folgt.
Hochverfügbarkeit ist scharf geschaltet, zwölf Gäste stehen unter ihr. Beide Übungen sind am 2026-09-01 bestanden. Ein Knoten wurde planmäßig durchgestartet — seine Gäste zogen vorher auf den Partner — und kam mit seinen eigenen Gästen zurück; der andere wurde hart zum Absturz gebracht, und jeder eingetragene Gast lief rund zwei Minuten später auf dem überlebenden Knoten. Die Replikation spiegelt jeden Gast des Reparaturpfads zwischen den Knoten, die nächtlichen Drift-Prüfungen laufen, und gestaffelte Ziele sind erwartete Unterschiede, keine Fehler.
Die nächtlichen Archive gehen an einen eigenen Backup-Server, der sie dedupliziert, das Gehaltene durch erneutes Lesen verifiziert und sie schon auf dem Knoten verschlüsselt, bevor sie geschrieben werden. Die Speicherbox hält weiterhin die Bytes und kann sie nicht mehr lesen. Ein Gast wurde aus diesem verschlüsselten Speicher zurückgeholt; die Übung über die ganze Flotte steht aus.

Was geplant ist

Die harten Ausfallübungen des Edge-Paars: WAN-Kabel des Masters gezogen, der Knoten mit dem Master ausgeschaltet, ein Trunk-Mitglied ausgefallen — jeweils mit gemessener Zeit bis zum Failover. Der sanfte Wechsel ist bewiesen; die harten Messwerte stehen aus.
Der vollständige Wiederherstellungsbeweis über die ganze Flotte und die Verwahrung des Schlüssels, der die Archive öffnet: Er liegt im Tresor der Flotte selbst, eine Kopie außerhalb der Flotte fehlt. Ein Schlüssel, der nur in dem liegt, was er aufschließt, ist noch kein Schlüssel, den man hat.
Die dritte Stimme des Clusters zieht von der Speicherbox auf den Access-Switch. Der Grund ist Konzentration, nicht Verfügbarkeit: Quorum, jede Speicherstufe und jede Backup-Bahn sind heute das eine Gerät, und die Stimme ist davon das am billigsten zu Verlegende. Am neuen Platz antwortet noch nichts, und der alte trägt sie, bis es so weit ist.
Die vorhandenen Knoten konvergieren an Ort und Stelle: keine Neuinstallation, keine Umbenennung.

Sicht 03 — Deployment; Edge-Paar, Fabric und die Stimme bei Gleichstand laufen. Die Cluster-Namen bleiben TYCPVE und Tyc2pve; die kleingeschriebenen Namen sind DNS-Rollen-Aliase.

Das WAN kreuzt nie einen Switch: Die zwei LAN-Anschlüsse des Modems sind direkt an die zwei Knoten verkabelt, in jedem eine Edge-VM. Die Knoten-Bonds tragen die LAN-Trunks; Speicher und die Stimme bei Gleichstand fahren über getrennte NAS-Anschlüsse.

Eine Landing Zone wie in der Cloud, in einer Wohnung

Im Alltag gesprochenAcht Räume, abgeschlossene Türen und eine geschriebene Regel für jede Tür, die aufgeht — ein Hotel-Grundriss für Geräte.

Sicht 04 — Netz und Landing Zone; Gäste-Umzüge laufen.

Eine Landing Zone ist ein Netz-Grundriss, der feststeht, bevor etwas einzieht: welche Zonen es gibt, was zwischen ihnen laufen darf und wer das ändern darf. Das ist dasselbe Muster aus öffentlich/privat/eingeschränkt, das die Varianten in der Cloud verwenden, heruntergebrochen auf ein physisches Fabric. Jeder Pfad zwischen Zonen kreuzt den Edge und wird verweigert, sofern kein expliziter Fluss ihn erlaubt. Die veröffentlichte Eingangstür wohnt in Z-DMZ (Traefik) — der einen Zone, die aus dem Internet erreichbar ist, abgetrennt gehalten, damit ein Einbruch dort nirgendwo sonst ankommt. Einige dokumentierte NAS-Resilienz-Ports umgehen diese Zone absichtlich. Plex sitzt in der Smart-Home- und AV-Zone bei den Geräten, die es bespielt. Die privaten Zonen trennen die vertrauenswürdigen Hosts des Haushalts, die Smart-Home-Geräte, die Gäste und ein Segment „ferne Seite, nicht unseres“, das Internet bekommt und nichts Laterales. Die eingeschränkten Zonen tragen den Geheimnis-Tresor und das Quorum, das Management von Switches, AP und KVM sowie eine Kamerazone. Stabile interne Identität fährt über ein privates ULA-/48-Präfix — einen IPv6-Bereich, der nur für dieses Netz erzeugt und im Internet nie geroutet wird. Das Präfix des Providers rotiert; Namen und Policy tun es nicht.

Ehrliche Grenzen: Verkehr innerhalb einer Zone wird nicht gefiltert, die vertrauenswürdige Zone bleibt breit, und Mikrosegmentierung pro Workload — eine Regel je Workload statt je Zone — ist absichtlich eine eigene Härtungsphase nach Abschluss der Migration.

Wie eine Änderung Wirklichkeit wird

Im Alltag gesprochenDas Bauantragsverfahren: Antrag, Plausibilitätsprüfung, Lesen, Stempel, Abnahme. Die KI schreibt die Anträge; der Stempel bleibt beim Menschen — der in einem Haushalt mit einer Person auch der ist, der die Zeichnung bestellt hat.

KI verändert die Tippkapazität, nicht die Autorität. Agenten erkunden, schlagen vor und prüfen. Ein Mensch genehmigt den Merge und die gesicherte Veränderung an der Infrastruktur. Die Verifikation beobachtet das entstandene System.

Sicht 05 — Auslieferung von Änderungen.

Auslieferung von Änderungen

Veränderungen an der Infrastruktur laufen nur über CI, abgesehen von dokumentierter Break-Glass-Wiederherstellung: einem im Voraus aufgeschriebenen Notweg für die Fälle, in denen die Pipeline an das Kaputte nicht herankommt. Ein sauberer Plan beweist die Absicht; die Abnahme gegen das laufende System beweist den Abschluss. Home Assistant ist die bewusste Ausnahme im Transport: Sein Container zieht und validiert main selbst, fail-closed — es gibt keinen CI-Push ins Smart Home.

Sicht 06 — Automatisierung. Fünf OpenTofu-States, je ein Lock.

Auslieferung und Automatisierung

Ein OpenTofu-State ist die Aufzeichnung dessen, was das Werkzeug gebaut zu haben glaubt. Fünf davon — der Virtualisierungs-Hub, das Netz-Fabric, das Edge-Paar, DNS und der WLAN-Controller — sind getrennte Lock-Domänen: Unabhängige Änderungen laufen parallel, während jeder State für sich serialisiert bleibt. Die States pro Edge-Knoten wurden am 2026-08-23 abgeschafft; die Pipeline verweigert die Arbeit gegen sie. Merge-Request-Pipelines sind nur lesend — nur Plan und Check. Ein Plan liest den geteilten State und die Geheimnisse der Plan-Seite; die Zugangsdaten, die etwas verändern können, hängen am geschützten Branch und erreichen nur den Apply-Job. Apply ist ein Mensch, der auf einem Runner im LAN einen Knopf drückt, mit kurzlebigen OpenBao-Zugangsdaten, die genau auf diesen Job begrenzt sind. Geteilte CI-Vorlagen liefern die Vorgaben, aber Review und geschützte Branches bleiben Teil der Kontrolle — eine Consumer-Pipeline kann eine geerbte Regel immer noch aufweichen, deshalb ist die Branch-Regel der Wächter, nicht die Vorlage.

Zwei Wächter laufen fail-closed. Der eine durchsucht die gesamte Git-Historie des Projekts nach Zugangsdaten, nicht nur die Änderung, die vor ihm liegt, und er läuft in jeder Pipeline und in jedem Repository; der andere liest jede Infrastruktur-Deklaration auf Fehlkonfiguration, in den Repositories, die welche tragen. Keiner von beiden darf warnen, statt zu scheitern.

Die Verifikation ist ein eigener, benoteter Durchlauf, kein Blick ins Protokoll. Elf Invarianten werden von den Switches selbst zurückgelesen und einzeln bewertet; eine zwölfte wird vor jedem Lauf gegen den Quelltext geprüft. Der Lauf druckt dann seine eigenen blinden Flecken neben die Ergebnisse. Wer die Switches nur über die Ebene erreicht, die er prüft, kann einen Bruch in genau dieser Ebene nicht sehen. Die Prüfer selbst laufen gegen ein synthetisches Netz, in dem für jede Invariante ein Fehler ausgesät ist — so fällt ein Prüfer auf, der nichts mehr merkt.

Drift wird in zwei Richtungen geprüft. Der eine Vergleich hält die laufende Welt gegen die Aufzeichnung und findet Änderungen, die an der Pipeline vorbei gemacht wurden; der andere hält die Aufzeichnung gegen sich selbst und findet Änderungen, die gemergt und dann nie angewendet wurden — ein anderer Fehler, der seinen eigenen Alarm braucht. Keiner der beiden darf weich scheitern: Eine Drift-Prüfung, die warnt, statt zu scheitern, ist ein falsches Grün.

Die Pipelines sind von Repository zu Repository unterschiedlich geschnitten, und keine von ihnen trägt jede Stufe — ein Repository fährt die, die sein Inhalt braucht. Die Arten von Prüfung und die Jobs, die sie tragen:

Was passiert	Was das heißt	Jobs
Wächter und Lint	geteilte Prüfungen, Schutz vor Repository-Drift und Fail-closed-Scans auf Zugangsdaten und Fehlkonfiguration	`lint:all` `lint:config-drift` `secrets:scan`
Modell und Plan	abgeleitete Netzkonsistenz plus Vorschau der Änderung	`model:check` `tofu:plan`
Apply	manuell, umgebungsgebunden und pro State serialisiert	`tofu:apply` `deploy:hosts`
Verifikation	Invarianten über die Ebenen hinweg und Dienstprüfungen	`net:verify` `validate:ha-config`
Drift erkennen	geplanter Vergleich in beide Richtungen: die Welt gegen die Aufzeichnung und die Aufzeichnung gegen sich selbst	`tofu:drift` `dns:delegation`
Wiederherstellen	expliziter Abgleich und zugangsdatensichere Wiederherstellungspfade	`edge:reconcile-import` `bao:snapshot`

Die Migration: das Ziel bauen, ohne die Knoten neu zu installieren

Im Alltag gesprochenRenovieren, während man im Haus wohnt: die neue Küche neben der alten bauen, umziehen und erst dann die alte herausreißen.

Die Abfolge ist bewusst gestaffelt und bis zur endgültigen Außerdienststellung umkehrbar, in vier Stufen: das neue Substrat aufbauen, die vorhandenen Knoten an Ort und Stelle konvergieren, Wiederherstellung und Failover beweisen, dann versiegeln.

Sicht 07 — die Migration; die Substrat-Stufe ist fertig und die Gäste-Umzüge laufen, die Hochverfügbarkeit ist scharf geschaltet und beide Cluster-Übungen sind bestanden, die Wiederherstellungsübung steht noch aus. Keine Neuinstallation physischer Knoten und keine Umbenennung.

Migrationsplan

Stand 2026-09-08 ist die Substrat-Stufe fertig: Konsolenzugang und Backups wurden bewiesen, bevor irgendetwas verändert wurde, die Umnummerierung des Fabrics ist aktiv, beide Ersatz-Firewalls laufen mit direkt an die Knoten verkabeltem WAN, und die geteilte Speicherebene existiert. Die Gäste ziehen in der Reihenfolge ihrer Wiederherstellungsstufe um. Dann wird jeder Knoten hinter seinem funktionierenden Firewall-Partner leergezogen und konvergiert — das Hilfsmitglied ist bereits außer Dienst und die Stimme bei Gleichstand läuft. Hochverfügbarkeit ist scharf geschaltet und beide Übungen sind bestanden; die flottenweite Wiederherstellungsübung steht noch aus. Rollback-Mittel werden erst nach einer Stabilitätsphase entfernt, und dieser Schritt ist der einzige unumkehrbare.

Die Entscheidungen, die die Plattform definieren

Im Alltag gesprochenDie Hausregeln, einmal aufgeschrieben, damit niemand sie um zwei Uhr nachts noch einmal ausdiskutieren muss.

Git hält die Absicht fest; die Beobachtung entscheidet über die Wahrheit. Pläne und Dokumentation ersetzen nie die Live-Abnahme.
Der Edge ist ein festes Paar, kein schwebender Gast. Eine OPNsense-VM pro Knoten; CARP und pfsync verschieben den Dienst, nicht die VM. Eine der beiden Firewalls ist die Konfigurationshoheit und schiebt jeden synchronisierten Abschnitt über den herstellereigenen Sync-Kanal zur Partnerin; Git ist der einzige Ursprung dieser Konfiguration, und auf der Standby-Firewall wird nichts verfasst.
Speicher folgt der Wiederherstellungsstufe. Gäste des Reparaturpfads bleiben NAS-unabhängig auf repliziertem lokalem ZFS; geeignete VMs nutzen geteiltes NFS.
ULA trägt Identität und Policy. Das Präfix des Providers rotiert; stabile interne Namen und Regeln nutzen ein privates ULA-/48-Präfix.
Die Quorum-Stimme ist eine Stimme, kein Rechenknoten. Zwei physische Mitglieder plus ein eigener Tie-Breaker-Dienst — heute auf der Speicherbox, im September zum Umzug auf den Access-Switch entschieden, der ihn in einem eigenen Container tragen wird.
Acht Zonen jetzt; Workload-Isolation später. Die Grenzen der Risikoklassen stehen fest, ohne so zu tun, als gäbe es schon Mikrosegmentierung innerhalb der Zonen.

Akzeptierte Restrisiken

Eine DSL-Leitung heißt: Ein Firewall-Failover wählt neu ein; es ist Knoten-Redundanz, keine Leitungs-Redundanz.
Gleichzeitiger Verlust von NAS und Knoten nimmt das Quorum und braucht Break-Glass mit bestätigt totem Partner.
Der Verlust des Core-Switch-Chassis isoliert den geswitchten Verkehr, aber nicht das Paar selbst: Zwei der drei internen Cluster-Verbindungen und der geteilte Firewall-Zustand fahren über Kabel, die direkt zwischen den Knoten liegen.
Verkehr innerhalb einer Zone wird nicht gefiltert, und die vertrauenswürdige Zone bleibt breit.
Default-Deny pro Workload ist eine eigene Härtungsphase nach Abschluss der Migration.

Drei Vorfälle, die das Design verändert haben

Ausfall des einzigen Edge — beförderte das Firewall-Paar von „später“ in den verbindlichen Plan.
Docker auf NFS — etablierte explizite Ausnahmen für lokales ZFS und Speicherstufen.
Layer-2-Leck — ersetzte die brüchige Segmentierung durch acht geroutete Risikozonen und abgeleitete Invarianten.

Von außen geprüft

Im September wurde die gesamte Umgebung von außen nach innen gegen ein Enterprise-Raster geprüft und kam auf 45 von 132. Die Methode, die Kosten und die Stellen, an denen die Prüfung über sich selbst falsch lag, stehen in 45 von 132; die Befunde selbst werden nicht veröffentlicht.

Alles oben wurde am 2026-09-08 geprüft. Was läuft, stammt aus der API des Clusters selbst und aus der Smart-Home-Zentrale; die Switch- und die Firewall-Ebene wurden aus den Deklarationen gelesen, die CI auf sie anwendet, nicht an diesem Tag von den Geräten selbst. Geplante Punkte sind als geplant markiert.