Die mobile Klimaanlage Midea PortaSplit lässt sich laut einem Bericht von heise online per Bluetooth ohne Authentifizierung von Dritten steuern. Ein Angreifer in Funkreichweite kann das Gerät ein- und ausschalten, zwischen Kühlen und Heizen wechseln und die Temperatur verstellen – ohne die eigentlich vorgesehene PIN und Kopplung.
Wie die Lücke funktioniert
Der Fehler steckt in Mideas OEM-Bluetooth-SDK, das keine Geräte-PIN-Prüfung vornimmt. Die Steuerbefehle sind zwar AES-verschlüsselt, doch die passenden Schlüssel lassen sich aus Informationen berechnen, die das Gerät selbst per Bluetooth aussendet. Dadurch kann ein Angreifer gültige Befehle erzeugen und das Gerät übernehmen.
Wichtig: nur lokal, kein Internet-Zugriff
Zur Einordnung: Die Schwachstelle ist auf die Bluetooth-Reichweite von rund zehn Metern beschränkt. Eine Fernsteuerung über das Internet oder die Cloud ist ausdrücklich nicht möglich. Ein Angreifer müsste sich also in unmittelbarer Nähe des Geräts befinden – etwa in der Nachbarwohnung oder vor dem Fenster.
Entdeckung und Reaktion von Midea
Ein anonymer Hinweisgeber meldete das Problem Mitte August 2026 an heise; die Redaktion bestätigte es mit einer Proof-of-Concept-App und Python-Skripten. Midea reagierte zunächst abweisend, räumte die Lücke später aber ein und arbeitet nach eigenen Angaben an einem OTA-Firmware-Update, das sich derzeit in der Test- und Validierungsphase befindet. Betroffen sind dem Bericht zufolge offenbar alle PortaSplit-Geräte; ein CVE wurde bislang nicht vergeben.
Was Betroffene jetzt tun können
Solange kein Patch verfügbar ist, lässt sich die Bluetooth-Funktion deaktivieren – das schränkt allerdings die smarten Funktionen ein. Wer die PortaSplit im Alltag nutzt, findet weitere Infos zu Betrieb und Pflege in unserem Midea-PortaSplit-FAQ.
Quelle: heise online.
Die Midea PortaSplit bei Amazon.de:
