Das Haus entscheidet, und keine Uhr

2026-09-08 · Tiefe: Vertiefung · 15 Min. · Entscheidung und Vorfall

Das Smart Home dieser Wohnung hat keinen „Ich gehe“-Knopf und keine Schlafenszeit nach Wanduhr. Es leitet fünf Hauszustände aus einer Tür, einem Telefon und den Präsenzmeldern ab, und jedes weitere Verhalten hängt an dieser einen Variablen: das Willkommenslicht, wenn jemand nach Einbruch der Dunkelheit heimkommt, das Schloss, die Klimaanlage und die Kameras, wenn niemand mehr da ist, ein Sauger, der nur in der leeren Wohnung arbeitet, ein Badlüfter, der weiß, warum er läuft, eine Party, die weiterläuft, wenn die Zentrale ausfällt. Diese Notiz geht die Regeln durch und die Gründe — eine Uhr, die einen echten Tagschlaf abschnitt, eine Erinnerung, die das Schlafzimmer siebenmal um einen Schlafenden herum erhellte, ein Lüfter, der einen Tag auf Boost hing, weil ein Timer nie auslöste — und sie ist ehrlich darin, was noch nicht bewiesen ist: Schloss und Klimaanlage wurden nie dabei erwischt, wie sie auf einen echten Aufbruch reagieren, und eine Licht-Bridge fährt in zwei Räumen weiter ihre eigenen Abläufe neben der Zentrale. Stand 2026-09-08.

Das Ziel steht in einem Satz: Die Wohnung ist im richtigen Zustand, ohne bedient zu werden. Hell, wenn jemand nach Einbruch der Dunkelheit heimkommt, dunkel und still, während jemand schläft, alles aus und abgeschlossen, wenn niemand mehr da ist. Das Haus leitet all das aus Sensoren und dem Telefon ab. Taster gibt es nur für Absichten, die sich nicht messen lassen — jetzt schlafen gehen, Kameras an oder aus. Nichts läuft nach Wanduhr außer den beiden Dingen, bei denen es wirklich um die Tageszeit geht: Sonnenuntergang, und wie warm ein Willkommenslicht sein soll.

Zwei Tatsachen, keine Uhr

Die Ableitung. Vier Eingänge, zwei Tatsachen, drei Ausgänge — und nirgends eine Uhr.

Zwei Tatsachen werden unabhängig voneinander abgeleitet, und keine davon ist ein Timer.

Ich bin gegangen heißt: Das Telefon verlässt die Heimzone oder fällt aus der Bluetooth-Reichweite der Wohnung, während die Wohnungstür seit zwei Minuten geschlossen ist. Es ist noch jemand da ist jeder Raum-Präsenzmelder, der in den letzten zehn Minuten ausgelöst hat. Beides zusammen ergibt eine Tabelle:

Keiner der beiden Eingänge würde allein genügen. Die Tür geht auch für einen Gast oder ein Paket auf, und das Telefon verlässt die Zone auch bei einem Spaziergang von zweihundert Metern; beides zusammen, in dieser Reihenfolge, beschreibt einen Menschen, der geht. Und Anwesenheit wird über zehn Minuten geprüft statt sofort, weil die Raummelder einen Menschen unterschiedlich schnell loslassen: die Infrarotmelder nach rund zehn Sekunden, die Radare nach ein paar Minuten. Ein Mensch, der still im Wohnzimmer sitzt, kann für sie alle eine Weile unsichtbar sein.

Ein Radar steht bewusst nicht auf dieser Liste. Sein Bewegungskanal flatterte in der leeren Wohnung zigtausendfach am Tag, was „letzte Bewegung“ dauerhaft unter zehn Minuten hielt und Abwesend unerreichbar machte. Es flog aus den Anwesenheitseingängen, statt mit einem Schwellwert gebändigt zu werden — sein Ruhekanal lässt sich ohnehin nicht über einen Schwellwert bändigen.

Der Kalender speist dieselbe Entscheidung. Ein ganztägiger Urlaubseintrag ist ein weiteres Aufbruchssignal; ein laufender Homeoffice-Termin verweigert Abwesend ganz, damit ein stiller Nachmittag am Schreibtisch nicht die Tür verriegelt und die Klimaanlage hinter jemandem abschaltet, der noch da ist.

Die fünf Zustände und jedes Ereignis, das zwischen ihnen wechselt. Party ist der eine ohne Ausgang — die offene Entscheidung am Ende dieser Notiz.

Ankommen

Die Tür, die sich zur leeren Wohnung öffnet, oder das Telefon, dessen Zone auf zuhause springt, lösen das Willkommen aus — aber nur, wenn es dunkel ist, nach Sonnenstand oder nach Helligkeitssensor. Das Willkommen ist nach Tageszeit gestuft: warm bis einundzwanzig Uhr, gedimmt bis dreiundzwanzig, danach Nachtlicht. Schläft das Schlafzimmer schon, läuft nur die Flur-Nachtszene. Ein neustartfester Dreißig-Minuten-Timer verhindert, dass ein zweiter Türzyklus alles noch einmal auslöst.

Die erste Fassung hat die ganze Wohnung um ein Uhr nachts auf volle Helligkeit gestellt. Ursache war eine Bluetooth-Meldung „nicht zuhause“, die sich als falsch herausstellte — das Telefon war nie weg —, und die Korrektur war kein besserer Bluetooth-Schwellwert, sondern eine andere Frage: War irgendein Präsenzmelder die letzten zehn Minuten still? Bluetooth ist ein Bein von Ankunft und Aufbruch; entscheiden darf es allein nichts.

Die Klimaanlage kommt auf dem Rückweg dazu: Betritt das Telefon die Heimzone, während das Haus auf Abwesend steht und das Wohnzimmer über einer Schwelle liegt, beginnt die Kühlung, bevor die Tür aufgeht. Das ist bei einem echten Heimweg schon beobachtet worden.

Schlaf hat einen Ausgang

Schlaf ist der eine Zustand, den kein Sensor ableiten kann, also hat er Taster: Ein langer Druck auf den Taster am Bett legt das Schlafzimmer schlafen, während das Wohnzimmer wach bleibt. Ein Knopf auf dem Wandpad legt das ganze Haus schlafen. Das Schlafzimmer hat eine eigene Übersteuerung — schlafend, wach oder dem Haus folgend —, damit einer schlafen kann, während jemand anderes auf ist.

Was der Modus tatsächlich tut, ist bewusst schmal. Genau eine Automation leitet ein einziges Flag daraus ab, und dieses Flag ist die einzige Nachtsperre des Bewegungslichts im Schlafzimmer: Tagsüber macht Bewegung Licht, nachts nicht. Die Regel daneben lautet, dass dieses Flag immer genau einen Schreiber haben muss — hat es keinen, ist die Funktion stillschweigend tot.

Am Ausgang zeigt sich der Entwurf. Schlaf endet, wenn das Schlafzimmer fünfundvierzig Minuten leer steht, oder fünf Minuten, nachdem der Wecker des Telefons geklingelt hat. Es gibt keinen Uhrzeit-Ausgang, denn ein Mittags-Reset hat am 2026-08-25 einen echten Tagschlaf abgeschnitten. Und der Wecker schaltet den Ausgang nur scharf, er vollzieht ihn nicht. Ein klingelnder Wecker heißt, dass ein Wecker geklingelt hat, nicht dass jemand aufgestanden ist. Eine wiederkehrende Abenderinnerung auf dem Telefon löschte das Flag jede Nacht. Am 2026-09-06 hat das Radar daraufhin das ganze Schlafzimmer zwischen etwa halb sechs und Viertel vor neun siebenmal erhellt — um einen Körper herum, der das Bett nie verlassen hatte. Seither hält ein Körper, den das Radar kurz verliert, den Raum schlafend; entscheiden darf nur ein leeres Schlafzimmer.

Was Abwesend bedeutet

Abwesend schaltet das Licht aus, die Klimaanlage aus, verriegelt die Tür und schaltet die Kameras scharf. Zwei dieser Beine wurden nie in Aktion erwischt: Beim ersten echten Aufbruch war die Tür schon verriegelt und die Klimaanlage schon aus, die Automation hatte also nichts zu tun. Die Ableitung ist aus dem Verlauf bewiesen — ein echter Aufbruch hat Abwesend korrekt erzeugt, und kein falsches Abwesend ist gefolgt —, aber die Stellglieder sind, während dies geschrieben wird, an einem echten Abend ungetestet.

Was Abwesend tatsächlich antreibt. Die beiden gestrichelten Beine sind die, die nie in Aktion erwischt wurden.

Der Sauger reinigt bei Abwesend, einmal am Tag, nur bei Tageslicht und nur, wenn er angedockt ist und beide eigenen Fehlersensoren sauber melden — eine Störung ist nie ein Grund, ihn erneut loszuschicken. Kommt jemand heim oder geht das Haus schlafen, wird er zurück zur Station geschickt, egal wo er gerade ist. Sein Ruhefenster ist auch das des Hauses: Beim Einschlafen sichert die Automation die geräteeigenen Anfangs- und Endzeiten, zieht das Fenster auf jetzt und stellt beim Aufwachen die gesicherten Zeiten wieder her. Der Schalter des Herstellers schaltet nur einen Zeitplan scharf — er bringt die Station nicht zum Schweigen, die sich nachts laut selbst entleert. Störungen erreichen das Telefon einmal je Klasse, still während Abwesend und einmal nachgereicht beim Heimkommen, wenn sie die ganze Abwesenheit überdauert haben.

Die Kameras sind die Aufteilung, die schon der Rundgang beschreibt: Der Rekorder auf der Speicherbox nimmt weiter auf, eine Objekterkennung in einem eigenen Gast schaut auf dieselben Bilder, und die Zentrale entscheidet, was eine Erkennung bedeutet. Diese entscheidende Hälfte ist klein und hat drei Regeln.

• Eine Kamera, deren Steckdose gleich stromlos wird, wird vorher in der Erkennung abgeschaltet und zwei Minuten nach dem Wiedereinschalten wieder aktiviert, damit ein Stromzyklus nie als verlorener Stream gelesen wird. Welche Steckdose welche Kamera speist, wurde gemessen, nicht aus den Namen gelesen — eine Steckdose, die in der Oberfläche „Küche“ heißt, sitzt unter einer Kamera am Esstisch. Eine Kamera hat gar keine Steckdose und lässt sich deshalb nie in die Verriegelung einbeziehen.
• Ein Mensch, der erkannt wird, während das Haus auf Abwesend steht, erzeugt eine Push-Nachricht und eine Mail mit dem Standbild des Rekorders, und wo die Erkennung ein Gesicht zuordnen konnte, steht der Name vorn im Text. Der Alarm hängt am rohen Ereignisstrom der Erkennung, nicht an ihren aufbereiteten Meldungen — die entstehen nur für Kameras, die die Erkennung selbst aufzeichnet, und sie zeichnet hier nichts auf. Genau eine Meldung je verfolgtem Objekt fällt aus den Daten selbst heraus: Die Liste der Zonen, die ein Objekt betreten hat, wächst nur, also hat die Bedingung genau eine Flanke.
• Die Balkonkamera meldet nur einen Menschen innerhalb einer gezeichneten Zone entlang der Brüstung; die Straße dahinter ist maskiert. Vor dieser Neuausrichtung erzeugte sie drei Viertel aller Erkennungen der ganzen Anlage, die meisten davon ein Fingernagel Bildfläche über acht Sekunden. Danach: eine Handvoll am Tag, und ein Gang auf den Balkon erzeugt genau eine Meldung.

Der Home Mode des Rekorders bleibt unangetastet. Er schaltet auf dieser Installation gar nichts scharf, und der Schreiber, mit dem die Zentrale konkurrierte, war der Geofence der Hersteller-App auf demselben Telefon, der jeden Wechsel um Minuten gewann. Den Hauszustand darauf zu spiegeln brachte nichts, also wurde die Spiegelung fallengelassen statt verteidigt.

Der Saugroboter wird übrigens nie als Mensch erkannt und wurde es nie. Über eine Stunde Reinigung erzeugten die Kameras rund siebzig Ereignisse, und jedes einzelne war höher als breit — Menschen. Eine Scheibe auf dem Boden ist das nicht.

Luft

Der zweistufige Abluftventilator im Bad hängt an zwei Relais. Der Funkstack hatte sie als Lichter angelegt, weil das Relais sich als eines ausgibt. Sie sind jetzt zu Schaltern übersteuert und in eine einzige Lüfter-Entität mit zwei Stufen gefasst — Grundlüftung, die immer laufen soll, und Boost. Boost hat benannte Ursachen: der Trockner unter Last, das Badlicht an oder der Feuchtesensor über einer Schwelle. Ein Dreißig-Minuten-Timer gibt ihn wieder frei, alle fünf Minuten nachgespannt, solange eine Ursache anliegt, und der Timer übersteht einen Neustart der Zentrale — ein Duschlauf, der über einen Neustart reicht, nimmt seinen Countdown wieder auf, statt ihn zu verlieren.

Genau diese Eigenschaft ist der Grund für das Paket. Am 2026-09-06 fand sich Boost seit dem Neustart der Vornacht eingeschaltet, ohne jeden Anlass. Die in der Oberfläche gebaute Automation, die ihn freigab, benutzte einen Auslöser der Form „Bedingung dreißig Minuten lang wahr“ — und der löst nie aus, wenn die Bedingung beim Start schon wahr ist. Jeder Neustart mitten in der Ruhe ließ Boost also für immer an. Die Zentrale startet etwa zweimal am Tag neu, wenn sie ihre eigene Konfiguration holt; jeder Timer im Haus muss das überstehen, sonst ist er keiner.

Zwei weitere Relais, die „Lichter“ waren, gingen denselben Weg: das Netzrelais einer Endstufe und ein Tastrelais, das den Einschaltknopf eines PCs antippt — jetzt ein Taster statt eines Lichts, das sich nach einer Sekunde selbst ausschaltet.

Der Rest der Luftgeschichte ist Messen vor Handeln. Kohlendioxid, Feinstaub und Feuchte jedes Raums stehen auf einem Grundriss-Dashboard. Zwei Luftreiniger laufen mit hier geschriebener Firmware, nachdem die Server des Herstellers abgeschaltet wurden; einer steht auf dem Balkon und bläst durch die Wand, ist also die Zuluft des Schlafzimmers und der einzige mechanische Luftwechsel, den die Wohnung hat. Der Feuchtekanal der selbstgebauten Sensorknoten wird von keiner Regel gelesen: Im Parallelvergleich weicht er deutlich von einer Referenz im selben Raum ab, und bis das verstanden ist, liest Feuchtelogik die anderen Geräte. Die Zuluft nach dem Kohlendioxid des Schlafzimmers zu regeln ist der nächste Schritt, und er ist nicht gebaut.

Der Luftreiniger, dessen Hersteller abgeschaltet wurde, mit in der Wohnung gebauter Firmware. Die Werte auf seinem Display sind die, die er an den Haus-Broker veröffentlicht.

Alarme, die man nicht verpassen darf

Zwei Lecksensoren sitzen dort, wo ein Leck am teuersten ist: unter der Spüle und unter einem wassergekühlten PC. Ein Leck spricht auf dem Telefon in Alarmlautstärke durch den Stummmodus hindurch, hinterlässt eine angeheftete Meldung, wird auf dem Sprachsatelliten angesagt und geht als Mail ins Protokoll. Es wiederholt sich alle zwei Minuten, bis der Sensor trocken ist, höchstens etwa eine Stunde lang, und räumt dann seine eigene Meldung weg. Ein Sensor, der aufhört zu melden, ist sein eigener Alarm. Der Strom des PCs wird bewusst nicht gekappt: Eine erzwungene Abschaltung einer laufenden Maschine ist die Entscheidung eines Menschen.

Zwei Bodensonden bewachen zwei Pflanzen. Ein trockener Messwert muss eine Stunde halten, bevor er meldet — ein niedriger Einzelwert nach dem Gießen darf eine frische Messung nicht entwerten —, und erinnert dann einmal täglich. Die Sonden schlafen und melden nur bei nennenswerter Änderung, ein Wert kann also tagelang stehen bleiben. Der Veraltungsalarm hängt deshalb daran, wann die Sonde zuletzt gemeldet hat, nicht daran, wann sich der Wert zuletzt geändert hat — dass das zweierlei ist, hat ein erzwungenes Nachsenden gezeigt. Eine Sonde brauchte eine Korrektur an der Gerätebibliothek, die es noch nicht ins Upstream geschafft hat; sie wird lokal mitgeführt.

Die Gesundheit der Entitäten wird genauso gezählt: nur nicht verfügbare, nie „unbekannt“, je Integration statt als eine flache Zahl, weil eine flache Zahl taub dafür ist, dass eine mittelgroße Integration ausfällt. Und das nächtliche Backup außer Haus meldet sein Ergebnis aus den beiden Entitäten, die die Zentrale selbst dafür führt, nie daraus, dass „der Aufruf zurückkam“ — die dreizehn stillen Tage, aus denen diese Regel stammt, stehen in der Backup-Notiz.

Eine Party, die ohne die Zentrale läuft

Der fünfte Hauszustand hatte wochenlang einen Knopf und kein Verhalten. Was er heute tut, ruht auf einer aus den Geräten gelesenen Tatsache: Jede Lampe im Raum, die auf Klang reagieren kann, hat ihr eigenes Mikrofon. Die Dodekaeder-Lampen und die Mondlampe fahren einen klangreaktiven Effekt aus eigener Kraft; der Lichtervorhang hat sieben eigene Mikrofonmodi; die beiden Skulpturlampen stehen in einem Modus, in dem Musiksync fest an ist. Eine Party zu starten heißt, jedes Gerät auf seinen eigenen klangreaktiven Modus zu setzen und es dann in Ruhe zu lassen. Es wird kein Ton irgendwohin gestreamt, nichts analysiert den Raum zentral, und die Party läuft weiter, wenn die Zentrale mitten im Lied ausfällt.

Die eine Geräteklasse, die nicht hören kann, ist die Licht-Bridge, und die steuert die Zentrale — mit Bedacht. Die Bridge hält den Raum, sie hält nicht den Takt: ein tiefes, gedimmtes Flächenlicht über das ganze Wohnzimmer, das sich nie ändert, und Farbe, die mit Überblendungen über sechs Akzentleuchten wandert. Die erste Fassung schaltete jedes Deckenlicht im Raum alle anderthalb Sekunden auf eine neue satte Farbe und sah aus wie billiges Blink-RGB; der Takt gehört den Geräten, die ihn wirklich hören. Die „dynamischen“ Szenen der Bridge wurden live nachgemessen und bewegen sich nicht, also werden sie nicht benutzt.

Drumherum laufen vier Dinge. Jedes angefasste Licht wird beim Starten gesichert und beim Beenden wiederhergestellt, je Lampe statt je Gruppe. Der Tür-Alarm und die Gerätemelder werden still, weil Gäste ein und aus gehen. Die Sync-Box des Fernsehers geht aus: Die Bridge streamt nur eine Sitzung gleichzeitig, und die Party gewinnt. Und die Nebelmaschine bekommt Strom mit einer harten Zwei-Stunden-Grenze — die Zentrale kann sie einschalten, zum Nebeln bringen kann sie sie nicht.

Ein Keep-alive steigt jede halbe Stunde neu in die Farbschleife ein, weil die Zentrale eine Schleife nach zehntausend Durchläufen abbricht — im Party-Takt sind das keine drei Stunden, also ein ganz gewöhnlicher Abend.

Party hat keinen automatischen Ausgang, und das steht als offene Entscheidung des Hauses da, nicht als Fehler. Jeder andere Modus hier hat einen bestimmten Weg hinaus, und die eigene Regel dieses Hauses lautet, dass ein Modus einen braucht. Ob der Ausgang „Wohnung eine halbe Stunde leer“ oder „Sonnenaufgang“ heißt, ist eine Entscheidung über das Haus, nicht über den Code.

Taster, die sagen, wenn sie falsch stehen

Die zweimodigen Funktaster und Drehknöpfe der Wohnung können je zwei Firmware-Modi fahren, und ein verstecktes Dreifach-Klicken kippt sie. Im falschen Modus schickt ein Drehknopf alle anderthalb Sekunden ein Ereignis statt eines Befehls in einer Viertelsekunde. Befehlsmodus ist der Standard. Ein Melder überwacht den Ereignis-Verkehr von allen sechs Geräten, Reservestücke eingeschlossen, und sagt es laut an — ein Drehknopf, der in der Schublade umgeschaltet wurde, meldet sich also selbst, statt sich eine Woche lang kaputt anzufühlen.

Der Drehknopf am Schreibtisch ist die Lautstärke des Audioprozessors des Raums: eine skalierte Stufe je Rastung auf einen Zielwert, ein sofortiger erster Schreibvorgang und ein Nachlauf im Viertelsekundentakt, damit ein schnelles Drehen nicht auf eine Stufe zusammenfällt. Druck ist Wiedergabe/Pause, Doppeldruck ist stumm.

Was nicht bewiesen ist, und was geplant

• Das Stellglied-Bein von Abwesend — Schloss und Klimaanlage, die auf einen echten Aufbruch reagieren. Beide waren bei den bisher protokollierten Aufbrüchen schon im Zielzustand.
• Eine späte Ankunft, die die Wohnung erhellt, bevor die Tür zufällt, an einem echten Abend; die eine protokollierte Ankunft fand das Licht bereits an.
• Die Bluetooth-Begehung, die raumgenaue Anwesenheit zu mehr als einem bestätigenden Eingang machen würde.
• Die Bridge-eigenen Lichtabläufe fahren in Flur und Bad weiter nach Wanduhr, während die Zentrale dieselben Lampen bei der Ankunft steuert — genau die eine Anordnung, die dieses Haus ausschließt. Sie abzuschalten ist ein Schritt in der App des Herstellers, gebunden an einen Durchgang über jeden Taster, jeden Drehknopf und jedes Pad.
• Ein Stromzyklus jeder Kamerasteckdose unter Beobachtung, um die gemessene Zuordnung von Steckdose zu Kamera gegen die Verriegelung zu bestätigen.
• Der Ausgang aus Party, siehe oben.
• Das eigene Schlafsignal der Zentrale von der Armbanduhr, für das eine Berechtigung auf dem Telefon erteilt werden muss.

Was diese Punkte gemeinsam haben, ist der Abstand zwischen einer Regel und einer Beobachtung. Die Ableitung selbst ist an einem echten Aufbruch bewiesen. Das meiste, was daran hängt, ist bisher nur durchdacht — und ein Haus, das im Verlauf recht hat, ist noch kein Haus, das man hat recht haben sehen.

Jede hier genannte Automation wurde am 2026-09-08 aus der laufenden Zentrale gelesen und ihre Regeln am selben Tag aus dem Konfigurations-Repository des Smart Home; die Vorfälle tragen das Datum, das neben den Regeln vermerkt ist, die sie geändert haben. Geplante Punkte sind als geplant markiert.

Zusammenhang: die Architekturnotiz →