Mobile Klimaanlage: Midea PortaSplit l\u00e4sst sich von jedermann fernsteuern<\/p>\n
close notice<\/p>\n
\n This article is also available in It was translated with technical assistance and editorially reviewed before publication.\n <\/p>\n \n Don\u2019t show this again.\n<\/p>\n PortaSplit-Klimager\u00e4te des chinesischen Herstellers Midea sind derzeit sehr beliebt und in immer mehr Haushalten zu finden. Sie lassen sich komfortabel per Hersteller-App fernsteuern \u2013 Unbefugte jedoch sollen freilich nicht die Kontrolle \u00fcber das Raumklima \u00fcbernehmen. Doch ein Blick hinter die Fassade zeigt: Per Bluetooth kann jeder die Ger\u00e4te steuern. Das funktioniert unabh\u00e4ngig von Ger\u00e4te-Pairing und App-Passwort. Analysiert hat das ein anonymer Hinweisgeber, der sich an unsere Redaktion gewandt hat. Der Hersteller hielt die Steuerung per Bluetooth auf Nachfrage zun\u00e4chst f\u00fcr unproblematisch.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Um die PortaSplit zu steuern, sieht Midea drei Wege vor: Mit der mitgelieferten Infrarot-Fernbedienung, per Tastenfeld am Ger\u00e4t oder mit der herstellereigenen App \u201eMidea Air\u201c. Letztere baut f\u00fcr die Einrichtung eine Verbindung per WLAN mit der PortaSplit auf, die der Besitzer daf\u00fcr zun\u00e4chst per Knopfdruck in den \u201eAccess-Point-Modus\u201c versetzen muss. Ist die Anlage mit dem Smartphone gekoppelt, kann der Zugriff zudem per PIN gesichert werden.<\/p>\n Hintenrum durch die Seitent\u00fcr<\/p>\n Doch es geht auch ganz ohne App-Kopplung, wie uns ein anonymer Hinweisgeber offenbarte. Er gab an, jedes PortaSplit-Ger\u00e4t per Bluetooth fernsteuern zu k\u00f6nnen \u2013 und zwar unabh\u00e4ngig von der App des Herstellers, dem Kopplungsstatus und ohne Kenntnis der Ger\u00e4te-PIN.<\/p>\n Dazu setzte der Hinweisgeber mit LLM-Hilfe an der Schnittstelle f\u00fcr Bluetooth Low Energy (BLE) an, doch nicht am offiziellen Endpunkt im msmart-SDK, sondern bei einer Programmierschnittstelle f\u00fcr OEMs (Original Equipment Manufacturer) namens com.midea.oem.iot.sdk.ble. Dieses SDK kennt keine Ger\u00e4te-PIN, nimmt Steuerbefehle allerdings nur AES-verschl\u00fcsselt entgegen. Ger\u00e4te schreien per Bluetooth-Broadcast jedoch genug Informationen in die Welt hinaus, um die AES-Schl\u00fcssel zu berechnen. So k\u00f6nnen Angreifer die Steuerbefehle korrekt verschl\u00fcsseln und an die PortaSplit schicken.<\/p>\n Das funktioniert jedoch nur in Bluetooth-Reichweite, also einem Radius von einigen Metern rund um die Klimaanlage. Ein Zugriff aus der Ferne, etwa \u00fcber das Internet oder die Midea-eigene Cloud, ist nicht m\u00f6glich.<\/p>\n In der Redaktion ausprobiert<\/p>\n Unser Hinweisgeber war sehr gut vorbereitet: Mit Unterst\u00fctzung k\u00fcnstlicher Intelligenz hatte er eine Android-App und einige Python-Skripte entwickelt, die als Beweis dienten. So taten wir uns leicht, den \u201eProof of Concept\u201c nachzuvollziehen. Auch die heise-Redaktion war vorbereitet: So hatten wir eine betriebsbereite PortaSplit als Testger\u00e4t und ein Android-Smartphone aufzutreiben, erwies sich ebenfalls als nicht weiter schwierig.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Empfohlener redaktioneller Inhalt<\/p>\n \n Mit Ihrer Zustimmung wird hier ein externes Video (TargetVideo GmbH) geladen.\n <\/p>\n Video jetzt laden\n <\/p>\n Die PortaSplit war per WLAN bereits mit der App des Kollegen Alexander Spier<\/a> verbunden und per PIN gesichert, sodass wir den Angriff nahezu unter Echtwelt-Bedingungen nachstellen konnten. Mit einem frisch installierten Smartphone, auf dem wir die Installation von APK-Dateien aus unsicheren Quellen erlaubten, r\u00fcckten wir der PortaSplit zu Leibe. Die prototypische App unseres Hinweisgebers horcht nach dem Start auf Bluetooth-Pakete von PortaSplit-Ger\u00e4ten und fand unser Testger\u00e4t nach wenigen Sekunden. Dieses konnten wir dann ein- und ausschalten, zwischen K\u00fchl- und Heizmodus wechseln und die Zieltemperatur \u00e4ndern.<\/p>\n Bisweilen riss die BLE-Verbindung zwischen Ger\u00e4t und App ab und wir mussten uns neu verbinden \u2013 das war allenfalls l\u00e4stig, jedoch keine gr\u00f6\u00dfere H\u00fcrde. W\u00e4hrend des Tests konnte auch der Kollege mit Midea-App die PortaSplit weiter steuern.<\/p>\n Sicherheitsl\u00fccke oder ungeplantes Feature?<\/p>\n Handelt es sich hier um eine Sicherheitsl\u00fccke? Unserer Ansicht nach schon: Die vom Hersteller angebotenen Sicherheitsma\u00dfnahmen f\u00fcr die Fernsteuerung per offizieller App werden ausgehebelt und Unbefugte k\u00f6nnen die Kontrolle \u00fcber das Ger\u00e4t \u00fcbernehmen. So k\u00f6nnte ein vom Ger\u00e4usch des Au\u00dfenger\u00e4ts genervter Nachbar die PortaSplit abschalten oder Scherzbolde k\u00f6nnten f\u00fcr Schwei\u00dfausbr\u00fcche sorgen. Bluetooth Low Energy funktioniert zudem in Abst\u00e4nden von bis zu 10 Metern, wom\u00f6glich gelingen Angriffe also sogar von der Stra\u00dfe aus. Diese Auswirkungen sind zwar eher nervig als lebensbedrohend, aber die Sicherheitstriade besteht nun einmal aus Vertraulichkeit, Integrit\u00e4t und Verf\u00fcgbarkeit \u2013 und letztere wird durch den Bluetooth-Hack potenziell eingeschr\u00e4nkt.<\/p>\n \u00c4hnliche Fehler gab es vor Kurzem in Balkonkraftwerk-Wechselrichtern der chinesischen Marke Hoymiles \u2013 hier setzten Sicherheitsforscher hingegen an einer Funkschnittstelle mit h\u00f6herer Reichweite an und h\u00e4tten die Ger\u00e4te sogar zerst\u00f6ren<\/a> k\u00f6nnen. Und die indische Regierung sah sich unl\u00e4ngst gar gen\u00f6tigt, einige Apps zur Fernsteuerung von E-Rikscha-Akkus aus den Appstores f\u00fcr Android und iOS zu verbannen. Mit diesen hatten Tunichtgute per Bluetooth grausame und verkehrsgef\u00e4hrdende Scherze getrieben (mehr dazu in Folge 62 des Passwort-Podcasts<\/a> von heise security).<\/p>\n Midea sieht das Problem nicht – oder doch?<\/p>\n Mit diesen F\u00e4llen im Hinterkopf rieten wir dazu, den Trick an Midea zu melden. Unser Hinweisgeber scheute jedoch den direkten Kontakt zum Hersteller \u2013 er f\u00fcrchtete Konsequenzen nach dem \u201eHackerparagraphen\u201c \u00a7202c StGB. Den Kontakt \u00fcbernahmen also wir und f\u00fcllten zun\u00e4chst ein l\u00e4ngeres Word-Dokument mit Details zu der Sicherheitsl\u00fccke aus. Dass es sich um eine handele, war f\u00fcr uns unstrittig.<\/p>\n Doch Midea sah das zun\u00e4chst anders. Wenige Tage nach der automatischen Eingangsbest\u00e4tigung schrieb uns die deutsche PR-Stelle des Unternehmens, man habe die Meldung gepr\u00fcft. \u201eEin Szenario, in dem ein Unbefugter die PortaSplit aus der Ferne \u00fcbernimmt oder zur\u00fccksetzt, l\u00e4sst sich auf Basis der von uns gepr\u00fcften Funktionen nicht nachvollziehen\u201c, hei\u00dft es in der Mitteilung. Midea begr\u00fcndete das mit dem notwendigen physischen Zugriff, um das Ger\u00e4t vor einer neuen Kopplung zur\u00fcckzusetzen und die Nutzer-PIN auszuhebeln.<\/p>\n Doch mit dem von uns gemeldeten Trick war es weder n\u00f6tig, das Ger\u00e4t zur\u00fcckzusetzen noch es zu \u00fcbernehmen \u2013 stattdessen diente die Bluetooth-Fernsteuerung als zus\u00e4tzliche unautorisierte Steuerm\u00f6glichkeit neben der App. Wir wiesen die Midea-Pressestelle am 11. August auf dieses Missverst\u00e4ndnis hin, der Konzern blieb uns eine Antwort jedoch bis kurz nach Ver\u00f6ffentlichung dieses Artikels schuldig. Am fr\u00fchen Dienstagabend k\u00fcndigte der chinesische Hersteller an, an einer Aktualisierung zu arbeiten. \u201eAuf Grundlage der bisherigen Erkenntnisse arbeiten unsere technischen Teams an einem OTA-Firmware-Update, das darauf ausgerichtet ist, den gemeldeten Sachverhalt zu beheben. Das Update befindet sich derzeit in der erforderlichen Validierungs- und Testphase und wird bereitgestellt, sobald dieser Prozess erfolgreich abgeschlossen ist\u201c, hei\u00dft es in der neuerlichen Stellungnahme.<\/p>\n PortaSplit bleibt smartifizierbar<\/p>\n Immerhin: Smarthome-Enthusiasten d\u00fcrften vorerst frohlocken. Denn nachdem Midea den Zugriff auf sein Token-API vor wenigen Wochen einschr\u00e4nkte<\/a> und Liebhabern der Heimautomatisierung so Kn\u00fcppel zwischen die Beine warf, lassen die Ger\u00e4te sich per BLE zun\u00e4chst weiter fernsteuern. Und das ohne Cloudzwang oder propriet\u00e4re App \u2013 lediglich ein Bluetooth-Dongle in Reichweite der Klimaanlage ist vonn\u00f6ten.<\/p>\n Ein chinesischer T\u00fcftler hat auf GitHub<\/a> Quellcode f\u00fcr ein Command-Line Interface (CLI) und eine Android-App zur Fernsteuerung ver\u00f6ffentlicht \u2013 laut unserem Hinweisgeber parallel zu dessen Nachforschungen. Bastelfreudige Midea-Besitzer k\u00f6nnen das Projekt als Ausgangspunkt f\u00fcr eigene Smarthome-Integrationen nutzen, es basiert auf demselben mangelhaft abgesicherten OEM-SDK wie dieser Artikel.<\/p>\n Verf\u00fcgbarkeit der PortaSplit entspannt sich<\/p>\n Ganz gleich, ob man die Fernsteuerung per Bluetooth Low Energy als Sicherheitsproblem oder praktisches Smarthome-Feature wahrnimmt: Die PortaSplit bleibt weiter begehrt. Noch immer zeigt die \u00dcbersichtsseite zum Midea-Splitger\u00e4t<\/a> beim heise-Dienst \u201ebestell.bar\u201c wenige lieferbare Angebote an, fast alle deutlich \u00fcber der unverbindlichen Preisempfehlung des Herstellers. Immerhin: Wer dringend darauf angewiesen ist, bekommt ein Ger\u00e4t \u2013 mit dem Ende der gr\u00f6\u00dften Sommerhitze d\u00fcrfte derlei dringender Bedarf jedoch selten sein.<\/p>\n Empfohlener redaktioneller Inhalt<\/p>\n \n Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.\n <\/p>\n Preisvergleich jetzt laden\n <\/p>\n Lediglich beim Onlineh\u00e4ndler Joybuy sind immer wieder Kontingente des Ger\u00e4ts f\u00fcr knapp 900 Euro zu haben \u2013 oft abends oder fr\u00fchmorgens. Wer bei eBay oder anderen H\u00e4ndlern bestellt, muss in der Regel an die 1.300 Euro f\u00fcr das Ger\u00e4t berappen. Den bisherigen Tiefstpreis von knapp 700 Euro d\u00fcrfte das Ger\u00e4t \u2013 wenn \u00fcberhaupt \u2013 erst im Sp\u00e4therbst wieder erreichen. Ein im Jahr 2027 bevorstehender K\u00fchlmittelwechsel k\u00f6nnte f\u00fcr weitere Verknappung aufgrund der Umstellung des Fertigungsprozesses sorgen. Interessenten mit etwas Geduld k\u00f6nnen sich einen Preiswarner bei geizhals.de<\/a> einrichten, das wie bestell.bar<\/a> zur heise-Gruppe geh\u00f6rt.<\/p>\n Empfohlener redaktioneller Inhalt<\/p>\n \n Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.\n <\/p>\n Preisvergleich jetzt laden\n <\/p>\n (Hinweis: Zur einfacheren Lesbarkeit verwenden wir ein m\u00e4nnliches Pronomen f\u00fcr unsere\/n anonyme\/n Hinweisgeber\/in. Das dient allein der Lesbarkeit, nicht als Hinweis auf deren\/dessen Identit\u00e4t.)<\/p>\n Update<\/p>\n 18.08.2026,<\/p>\n 20:26<\/p>\n Uhr<\/p>\n Eine aktualisierte Stellungnahme von Midea erreichte uns. Wir haben einige Passagen im Text angepasst, um die neue Einsch\u00e4tzung des Unternehmens abzubilden sowie ein Zitat aus der Stellungnahme erg\u00e4nzt.<\/p>\n
\n English<\/a>.<\/p>\n