Babyphone-Fernzugriff mit Tailscale

Warum nicht einfach die Cloud des Kameraherstellers oder ein offener Port?

Es gibt drei Wege, eine Kamera zu Hause von einem Handy aus zu sehen, das nicht zu Hause ist.

• Die Cloud des Herstellers. Eine Kamera von Tapo, Nest oder Nanit streamt auf die Server der Firma, und deren App holt das Bild dort ab. Das funktioniert, sobald du dich anmeldest, und deshalb wählen es viele. Der Preis: Dein Kinderzimmer läuft über fremde Server und liegt dort oft auch, geschützt von einem Konto, bei dem ein wiederverwendetes Passwort reicht, damit ein Fremder hineinkommt. Der Ratgeber zur Sicherheit geht die dokumentierten Fälle durch.
• Portweiterleitung. Du sagst dem Router, er soll die Kamera ins Internet stellen. Das britische National Cyber Security Centre rät, Portweiterleitung und UPnP abzuschalten, gerade weil Kriminelle diese Techniken ausnutzen können, um an Geräte im Heimnetz wie smarte Kameras zu kommen. Die deutsche Tapo-Hilfe von TP-Link schreibt selbst, RTSP und ONVIF seien „nicht sehr sicher“, es sei „nicht ratsam“, die Kamera per Portweiterleitung längere Zeit einer öffentlichen IP-Adresse auszusetzen, und empfiehlt ein verschlüsseltes VPN. Lass diesen Weg aus.
• Ein VPN. Dein Handy tritt über einen verschlüsselten Tunnel deinem Heimnetz bei, und die Kamera merkt nie, dass es nicht zu Hause ist. Tailscale macht aus einem Abend mit dem Router-Handbuch zwei App-Installationen und eine Anmeldung.

Tailscale baut auf WireGuard auf und dokumentiert, dass seine Architektur alle Verbindungen Ende-zu-Ende verschlüsselt, ob die Geräte direkt verbunden sind oder über ein Relay. Wenn deine Handys sich nicht direkt erreichen, leiten die DERP-Relays von Tailscale die Pakete weiter; weil die privaten Schlüssel nie das Gerät verlassen, auf dem sie erzeugt wurden, kann ein DERP-Server den Verkehr laut Tailscale nicht entschlüsseln. Andere Lösungen, etwa WireGuard selbst auf dem Router eingerichtet oder ZeroTier (für 10 Geräte kostenlos), leisten dasselbe mit mehr oder anderem Aufwand; dieser Ratgeber bleibt bei Tailscale, weil Mamoon dich in seinen Einstellungen genau dadurch führt.

Variante 1: Die Kamera ist ein altes Handy

Das ist der häufigste Fall mit Mamoon, bei dem ein altes iPhone oder Android-Handy am Bettchen die Kamera ist, und der einfachste, weil ein Handy Tailscale selbst ausführen kann. Wie du das Handy beim Baby einrichtest, steht im Ratgeber altes Handy als Babyphone; hier kommt der Fernzugriff dazu.

1. Leg ein Tailscale-Konto an. Geh auf tailscale.com und melde dich mit einem Apple-, Google-, Microsoft- oder GitHub-Login an; eigene Passwörter hat Tailscale nicht. Der Personal-Plan ist kostenlos.
2. Installiere Tailscale auf dem Handy am Bettchen. Aus dem App Store auf dem iPhone (ab iOS 15) oder aus Google Play auf Android (ab Version 8). Öffne die App, erlaube die VPN-Konfiguration, wenn das Handy danach fragt, und melde dich mit demselben Konto an.
3. Installiere Tailscale auf deinem eigenen Handy genauso, mit demselben Konto. Beide Handys erscheinen jetzt in der Tailscale-App als Mitglieder eines privaten Netzes. Lass Tailscale auf beiden eingeschaltet.
4. Verbinde dich einmal zu Hause. Mit beiden Handys im WLAN öffnest du Mamoon auf dem Handy beim Baby, wählst „Am Bettchen“ und verbindest dich wie gewohnt von deinem Handy aus. Mamoon merkt sich die Tailscale-Adresse des Handys beim Baby für später.
5. Verlass das Haus. Zum Testen schalte auf deinem Handy das WLAN aus: Mamoon zeigt das Bettchen weiter über mobile Daten. Ab jetzt nutzt Mamoon zu Hause das WLAN und unterwegs Tailscale.

Variante 2: Die Kamera läuft über Home Assistant oder go2rtc

Laufen deine Kameras schon über go2rtc, ob in Home Assistant oder Frigate, kommt der Server in Tailscale, nicht die Kamera. Für Home Assistant gibt es ein Tailscale-Add-on der Community: im Add-on-Store installieren, starten, die Weboberfläche öffnen und mit deinem Tailscale-Konto anmelden. Dein Handy, mit Tailscale wie in Variante 1, erreicht den go2rtc-Stream dann von überall; in Mamoon gibst du die Tailscale-Adresse des Servers statt der Heimadresse ein. Den Rest, Streamnamen und den nötigen G.711-Ton, erklärt der Ratgeber Home Assistant.

Erreichst du dein Home-Assistant-Dashboard schon über Tailscale, fährt Mamoon auf derselben Verbindung mit.

Variante 3: Eine WLAN-Kamera direkt (Tapo und Co.)

Eine Kamera von Tapo, Hikvision, Dahua oder Imou, die Mamoon per RTSP liest wie im Ratgeber IP-Kamera, kann Tailscale nicht installieren. Irgendetwas zu Hause muss ihr die Verbindung leihen. Tailscale nennt das einen Subnet-Router: ein Gerät in deinem Netz, das dein Tailscale-Netz um Geräte erweitert, die selbst kein Tailscale ausführen können. Ein Raspberry Pi, ein NAS, ein Rechner, der immer läuft, oder das Home-Assistant-Add-on (Option advertise_routes) können das; Tailscale nennt Linux, macOS, Windows, Android und Apple TV.

Im Kern: Auf diesem Gerät sagst du Tailscale, dass es dein Heimnetz ankündigen soll, etwa 192.168.1.0/24 (die ersten drei Zahlen der Adresse deines Routers), und bestätigst die Route einmal in der Admin-Konsole von Tailscale beim jeweiligen Gerät. Danach erreicht dein Handy unterwegs jede Adresse in deinem Heimnetz, auch die Kamera. Mamoon zeigt dafür in den Einstellungen eine Checkliste, die du Schritt für Schritt abhakst.

Was bekommst du unterwegs?

Dasselbe Babyphone, über mobile Daten. Ton und Bild vom Bettchen, die Zustände Ruhe, Unruhe und Weinen, den Weinalarm als normale Mitteilung und die Übersicht am Morgen. Die Weinerkennung läuft weiter auf dem Handy beim Baby, also geht kein Ton irgendwohin außer zu dir. Bricht die Verbindung ab, wird Mamoon nach etwa 20 Sekunden grau und sagt dir, dass es gerade nicht aufpasst; bei wackligem Mobilfunk ist genau das der Alarm, über den du froh bist.

Video kostet Datenvolumen, also ist bei einem kleinen Tarif die Ansicht „Nur Ton“ die sparsame Wahl. Und was zu Hause privat bleibt, bleibt es auch unterwegs: kein Mamoon-Konto, keine Mamoon-Cloud, nirgends ein gespeicherter Clip. Das einzige Konto im Spiel ist dein Tailscale-Login, also sichere es mit Zwei-Faktor-Authentifizierung, wie dein E-Mail-Konto.

Wann Tailscale nicht die Antwort ist

• Du willst Fernzugriff ganz ohne Einrichtung. Genau das verkauft die Cloud des Herstellers, und für eine Kamera, die du vor allem von der Arbeit aus nutzt, ist das ein fairer Tausch. Schalte nur die Zwei-Faktor-Authentifizierung ein.
• Die Kamera ist an der Steckdose aus. Ein VPN schaltet keine Kamera im Privatmodus von Tapo oder an einer smarten Steckdose ein; eine Automation in Home Assistant kann das, und der Ratgeber Home Assistant zeigt, wie Mamoon eine auslöst.
• Du brauchst Gegensprechen, Schlaflieder oder Aufnahmen. Nichts davon hat Mamoon, weder zu Hause noch unterwegs.
• Du willst zwei Zimmer gleichzeitig sehen. Mamoon zeigt eine Kamera pro Elternhandy.

Häufige Fragen