|
18.08.2026
16:57 Uhr
|
Per Bluetooth können Nachbarn die mobile Klimaanlage fernbedienen oder abschalten, Midea sieht zunächst keine Sicherheitslücke darin.
PortaSplit-Klimageräte des chinesischen Herstellers Midea sind derzeit sehr beliebt und in immer mehr Haushalten zu finden. Sie lassen sich komfortabel per Hersteller-App fernsteuern – Unbefugte jedoch sollen freilich nicht die Kontrolle über das Raumklima übernehmen. Doch ein Blick hinter die Fassade zeigt: Per Bluetooth kann jeder die Geräte steuern. Das funktioniert unabhängig von Geräte-Pairing und App-Passwort. Analysiert hat das ein anonymer Hinweisgeber, der sich an unsere Redaktion gewandt hat. Der Hersteller hielt die Steuerung per Bluetooth auf Nachfrage zunächst für unproblematisch.
Um die PortaSplit zu steuern, sieht Midea drei Wege vor: Mit der mitgelieferten Infrarot-Fernbedienung, per Tastenfeld am Gerät oder mit der herstellereigenen App „Midea Air“. Letztere baut für die Einrichtung eine Verbindung per WLAN mit der PortaSplit auf, die der Besitzer dafür zunächst per Knopfdruck in den „Access-Point-Modus“ versetzen muss. Ist die Anlage mit dem Smartphone gekoppelt, kann der Zugriff zudem per PIN gesichert werden.
Doch es geht auch ganz ohne App-Kopplung, wie uns ein anonymer Hinweisgeber offenbarte. Er gab an, jedes PortaSplit-Gerät per Bluetooth fernsteuern zu können – und zwar unabhängig von der App des Herstellers, dem Kopplungsstatus und ohne Kenntnis der Geräte-PIN.
Dazu setzte der Hinweisgeber mit LLM-Hilfe an der Schnittstelle für Bluetooth Low Energy (BLE) an, doch nicht am offiziellen Endpunkt im msmart-SDK, sondern bei einer Programmierschnittstelle für OEMs (Original Equipment Manufacturer) namens com.midea.oem.iot.sdk.ble. Dieses SDK kennt keine Geräte-PIN, nimmt Steuerbefehle allerdings nur AES-verschlüsselt entgegen. Geräte schreien per Bluetooth-Broadcast jedoch genug Informationen in die Welt hinaus, um die AES-Schlüssel zu berechnen. So können Angreifer die Steuerbefehle korrekt verschlüsseln und an die PortaSplit schicken.
Das funktioniert jedoch nur in Bluetooth-Reichweite, also einem Radius von einigen Metern rund um die Klimaanlage. Ein Zugriff aus der Ferne, etwa über das Internet oder die Midea-eigene Cloud, ist nicht möglich.
Unser Hinweisgeber war sehr gut vorbereitet: Mit Unterstützung künstlicher Intelligenz hatte er eine Android-App und einige Python-Skripte entwickelt, die als Beweis dienten. So taten wir uns leicht, den „Proof of Concept“ nachzuvollziehen. Auch die heise-Redaktion war vorbereitet: So hatten wir eine betriebsbereite PortaSplit als Testgerät und ein Android-Smartphone aufzutreiben, erwies sich ebenfalls als nicht weiter schwierig.
Die PortaSplit war per WLAN bereits mit der App des Kollegen Alexander Spier verbunden und per PIN gesichert, sodass wir den Angriff nahezu unter Echtwelt-Bedingungen nachstellen konnten. Mit einem frisch installierten Smartphone, auf dem wir die Installation von APK-Dateien aus unsicheren Quellen erlaubten, rückten wir der PortaSplit zu Leibe. Die prototypische App unseres Hinweisgebers horcht nach dem Start auf Bluetooth-Pakete von PortaSplit-Geräten und fand unser Testgerät nach wenigen Sekunden. Dieses konnten wir dann ein- und ausschalten, zwischen Kühl- und Heizmodus wechseln und die Zieltemperatur ändern.
Bisweilen riss die BLE-Verbindung zwischen Gerät und App ab und wir mussten uns neu verbinden – das war allenfalls lästig, jedoch keine größere Hürde. Während des Tests konnte auch der Kollege mit Midea-App die PortaSplit weiter steuern.
Handelt es sich hier um eine Sicherheitslücke? Unserer Ansicht nach schon: Die vom Hersteller angebotenen Sicherheitsmaßnahmen für die Fernsteuerung per offizieller App werden ausgehebelt und Unbefugte können die Kontrolle über das Gerät übernehmen. So könnte ein vom Geräusch des Außengeräts genervter Nachbar die PortaSplit abschalten oder Scherzbolde könnten für Schweißausbrüche sorgen. Bluetooth Low Energy funktioniert zudem in Abständen von bis zu 10 Metern, womöglich gelingen Angriffe also sogar von der Straße aus. Diese Auswirkungen sind zwar eher nervig als lebensbedrohend, aber die Sicherheitstriade besteht nun einmal aus Vertraulichkeit, Integrität und Verfügbarkeit – und letztere wird durch den Bluetooth-Hack potenziell eingeschränkt.
Ähnliche Fehler gab es vor Kurzem in Balkonkraftwerk-Wechselrichtern der chinesischen Marke Hoymiles – hier setzten Sicherheitsforscher hingegen an einer Funkschnittstelle mit höherer Reichweite an und hätten die Geräte sogar zerstören können. Und die indische Regierung sah sich unlängst gar genötigt, einige Apps zur Fernsteuerung von E-Rikscha-Akkus aus den Appstores für Android und iOS zu verbannen. Mit diesen hatten Tunichtgute per Bluetooth grausame und verkehrsgefährdende Scherze getrieben (mehr dazu in Folge 62 des Passwort-Podcasts von heise security).
Mit diesen Fällen im Hinterkopf rieten wir dazu, den Trick an Midea zu melden. Unser Hinweisgeber scheute jedoch den direkten Kontakt zum Hersteller – er fürchtete Konsequenzen nach dem „Hackerparagraphen“ §202c StGB. Den Kontakt übernahmen also wir und füllten zunächst ein längeres Word-Dokument mit Details zu der Sicherheitslücke aus. Dass es sich um eine handele, war für uns unstrittig.
Doch Midea sah das zunächst anders. Wenige Tage nach der automatischen Eingangsbestätigung schrieb uns die deutsche PR-Stelle des Unternehmens, man habe die Meldung geprüft. „Ein Szenario, in dem ein Unbefugter die PortaSplit aus der Ferne übernimmt oder zurücksetzt, lässt sich auf Basis der von uns geprüften Funktionen nicht nachvollziehen“, heißt es in der Mitteilung. Midea begründete das mit dem notwendigen physischen Zugriff, um das Gerät vor einer neuen Kopplung zurückzusetzen und die Nutzer-PIN auszuhebeln.
Doch mit dem von uns gemeldeten Trick war es weder nötig, das Gerät zurückzusetzen noch es zu übernehmen – stattdessen diente die Bluetooth-Fernsteuerung als zusätzliche unautorisierte Steuermöglichkeit neben der App. Wir wiesen die Midea-Pressestelle am 11. August auf dieses Missverständnis hin, der Konzern blieb uns eine Antwort jedoch bis kurz nach Veröffentlichung dieses Artikels schuldig. Am frühen Dienstagabend kündigte der chinesische Hersteller an, an einer Aktualisierung zu arbeiten. „Auf Grundlage der bisherigen Erkenntnisse arbeiten unsere technischen Teams an einem OTA-Firmware-Update, das darauf ausgerichtet ist, den gemeldeten Sachverhalt zu beheben. Das Update befindet sich derzeit in der erforderlichen Validierungs- und Testphase und wird bereitgestellt, sobald dieser Prozess erfolgreich abgeschlossen ist“, heißt es in der neuerlichen Stellungnahme.
Immerhin: Smarthome-Enthusiasten dürften vorerst frohlocken. Denn nachdem Midea den Zugriff auf sein Token-API vor wenigen Wochen einschränkte und Liebhabern der Heimautomatisierung so Knüppel zwischen die Beine warf, lassen die Geräte sich per BLE zunächst weiter fernsteuern. Und das ohne Cloudzwang oder proprietäre App – lediglich ein Bluetooth-Dongle in Reichweite der Klimaanlage ist vonnöten.
Ein chinesischer Tüftler hat auf GitHub Quellcode für ein Command-Line Interface (CLI) und eine Android-App zur Fernsteuerung veröffentlicht – laut unserem Hinweisgeber parallel zu dessen Nachforschungen. Bastelfreudige Midea-Besitzer können das Projekt als Ausgangspunkt für eigene Smarthome-Integrationen nutzen, es basiert auf demselben mangelhaft abgesicherten OEM-SDK wie dieser Artikel.
Ganz gleich, ob man die Fernsteuerung per Bluetooth Low Energy als Sicherheitsproblem oder praktisches Smarthome-Feature wahrnimmt: Die PortaSplit bleibt weiter begehrt. Noch immer zeigt die Übersichtsseite zum Midea-Splitgerät beim heise-Dienst „bestell.bar“ wenige lieferbare Angebote an, fast alle deutlich über der unverbindlichen Preisempfehlung des Herstellers. Immerhin: Wer dringend darauf angewiesen ist, bekommt ein Gerät – mit dem Ende der größten Sommerhitze dürfte derlei dringender Bedarf jedoch selten sein.
Lediglich beim Onlinehändler Joybuy sind immer wieder Kontingente des Geräts für knapp 900 Euro zu haben – oft abends oder frühmorgens. Wer bei eBay oder anderen Händlern bestellt, muss in der Regel an die 1.300 Euro für das Gerät berappen. Den bisherigen Tiefstpreis von knapp 700 Euro dürfte das Gerät – wenn überhaupt – erst im Spätherbst wieder erreichen. Ein im Jahr 2027 bevorstehender Kühlmittelwechsel könnte für weitere Verknappung aufgrund der Umstellung des Fertigungsprozesses sorgen. Interessenten mit etwas Geduld können sich einen Preiswarner bei geizhals.de einrichten, das wie bestell.bar zur heise-Gruppe gehört.
(Hinweis: Zur einfacheren Lesbarkeit verwenden wir ein männliches Pronomen für unsere/n anonyme/n Hinweisgeber/in. Das dient allein der Lesbarkeit, nicht als Hinweis auf deren/dessen Identität.)
Eine aktualisierte Stellungnahme von Midea erreichte uns. Wir haben einige Passagen im Text angepasst, um die neue Einschätzung des Unternehmens abzubilden sowie ein Zitat aus der Stellungnahme ergänzt.