Wer darf deine Klimaanlage bedienen? Bei einer Midea PortaSplit lautete die Antwort bis vor Kurzem: jeder mit einem Android-Handy und der passenden App, sobald er näher als zehn Meter herankommt. Ohne Kopplung, ohne PIN, ohne dein WLAN-Passwort. Seit dem 11. September verteilt Midea ein Firmware-Update, das diese Bluetooth-Lücke schließt: automatisch, aber nicht bei allen Geräten gleichzeitig. Wie du siehst, ob deins schon dran war, und was das Update für Home Assistant bedeutet, steht hier.

Kurz gesagt: Jede PortaSplit ließ sich per Bluetooth ohne Anmeldung ein- und ausschalten, umschalten und verstellen, aus wenigen Metern, nicht übers Internet. Seit dem 11. September rollt Midea die Firmware V.012634… automatisch aus. Prüfen: Midea-App → Gerät → Menü oben rechts → „Firmware aktualisieren“. Steht dort noch V.012236…, ist die Lücke offen. Bluetooth-Werkzeuge für Home Assistant verlieren mit dem Update den Zugang; die WLAN-Integration bleibt.

Was an der PortaSplit offen stand

Im Alltag bedienst du die PortaSplit am Gerät, per Fernbedienung oder über WLAN mit der Midea-App, die sich mit einer PIN absichern lässt. Daneben hat sie eine Bluetooth-Schnittstelle, die du nie zu Gesicht bekommst: eine Programmierschnittstelle für OEM-Partner, also Firmen, die Midea-Technik unter eigenem Namen verkaufen. Und genau die fragt nach keiner PIN.

Sie läuft über Bluetooth Low Energy, kurz BLE, die Sparversion von Bluetooth: Geräte rufen in kurzen Abständen ihren Namen und ein paar Daten in die Umgebung, damit ein Handy sie findet, wie ein Marktschreier, den im Umkreis von zehn Metern jeder hört. Dieses Rufen ist das Problem. Steuerbefehle nimmt die Anlage nur verschlüsselt an, mit AES, so weit richtig gemacht. Aber die Daten, aus denen sich dieser Schlüssel berechnen lässt, sendet die PortaSplit selbst mit aus, an alle in Reichweite. Die Tür ist abgeschlossen, und der Schlüssel hängt außen am Haken. Wer beides zusammensetzt, schickt der Anlage Befehle, als wäre er die App: einschalten, ausschalten, zwischen Kühlen und Heizen wechseln, Zieltemperatur ändern.

Gefunden hat das ein anonymer Hinweisgeber, der die Sache mit einer selbst gebauten Android-App vorgeführt hat. Heise Security hat sie am 10. August an einer PortaSplit mit der damals aktuellen Firmware V.012236… nachgestellt. Das Gerät war per App mit PIN gesichert und im WLAN; geholfen hat beides nicht. Den Kontakt zu Midea übernahm die Redaktion, weil der Finder Ärger nach dem „Hackerparagraphen“ §202c StGB fürchtete. Dass jemand eine Lücke melden will und dafür einen Mittelsmann braucht, ist ein eigenes Thema. Aber es gehört in diese Geschichte.

Wie Midea reagiert hat

Die erste Antwort auf die Meldung kam von Midea an Heise und lautete so:

„Ein Szenario, in dem ein Unbefugter die PortaSplit aus der Ferne übernimmt oder zurücksetzt, lässt sich auf Basis der von uns geprüften Funktionen nicht nachvollziehen.“

Das stimmt sogar. Nur hatte das niemand behauptet: Es ging nie um Fernzugriff und nie ums Zurücksetzen, sondern darum, dass jemand aus dem Nachbarzimmer parallel zu dir an der Anlage dreht. Midea hatte die Frage beantwortet, die keiner gestellt hatte.

Beim zweiten Anlauf am 18. August kam die Zusage, an einem „OTA-Firmware-Update“ zu arbeiten, das „den gemeldeten Sachverhalt“ beheben soll. OTA heißt over the air: Das Gerät holt sich das Update selbst übers WLAN, du musst nichts anstoßen. Seit dem 11. September läuft die Verteilung laut Midea-Pressestelle für alle Geräterevisionen. Die neue Version heißt V.012634_0000_4000_8000_5006_1012 und ändert laut Hersteller das „Authentifizierungsmodul“, damit die Bluetooth-Schnittstelle Befehle ohne Anmeldung künftig ablehnt. Eine CVE-Nummer gibt es bis heute nicht; in den üblichen Schwachstellen-Datenbanken wirst du diese Lücke also nicht finden.

Wie groß das Risiko wirklich ist

Über das Internet oder die Midea-Cloud geht dieser Weg nicht. Wer deine Anlage steuern will, muss mit dem Handy in Bluetooth-Reichweite stehen, also innerhalb von etwa zehn Metern, und kommt darüber weder ins WLAN noch an deine App-Daten. Für die meisten ist das im schlimmsten Fall eine Klimaanlage, die nachts von allein anspringt: ärgerlich, kein Einbruch.

Als Schönheitsfehler würde ich es trotzdem nicht abtun. Die PortaSplit hängt mit ihrem Außenteil am Fenster; zehn Meter reichen von dort bis auf den Gehweg oder den Nachbarbalkon. Und eine Anlage, die auf Heizen umschaltet, während du zwei Wochen im Urlaub bist, bemerkst du erst an der Stromrechnung. Einen Handgriff, mit dem du dich bis zum Update selbst schützen könntest, nennt keine der Quellen. Bleibt: nachsehen, ob es schon da ist.

So prüfst du, ob dein Gerät das Update hat

Midea nennt keinen Termin, bis wann alle Geräte versorgt sind; die Verteilung läuft in Wellen. Nachsehen dauert eine Minute: In der Midea-App das Gerät antippen, dann oben rechts das Menü mit den drei Strichen, und ganz unten „Firmware aktualisieren“. Dort steht die installierte Version.

  • V.012236_…: die Firmware, mit der Heise die Lücke nachgestellt hat. Bluetooth ist noch offen.
  • V.012634_…: das Update. Nur die ersten sechs Ziffern nach dem „V.“ unterscheiden sich, der Rest der Nummer bleibt gleich.
Schaubild in drei Schritten: Midea-App öffnen und Firmware-Menü aufrufen, Versionsnummer V.012236 (offen) gegen V.012634 (geschlossen) vergleichen, Home-Assistant-Anbindung prüfen
Drei Schritte: App öffnen, sechs Ziffern lesen, Home-Assistant-Anbindung prüfen.

Steht bei dir noch die alte Nummer, hilft nur warten. Eine Bedingung nennt Midea nicht ausdrücklich, sie folgt aber aus dem Verfahren: Over the air braucht eine Verbindung. Eine PortaSplit, die nur per Fernbedienung läuft und nie in der App war, hängt nicht im WLAN und bekommt so auch kein Update. Dann ist jetzt der Moment, sie einmal einzubinden.

Home Assistant: was das Update ändert

Heise schreibt, das Update könne „auch die Steuerung der PortaSplit über Heimautomatisierungsplattformen wie Home Assistant beeinflussen“. Der Satz klingt für die meisten bedrohlicher, als er ist. Die verbreitete Integration midea-ac-py (in HACS als „Midea Smart AC“ zu finden) spricht laut ihrer Dokumentation über das lokale Netzwerk mit der Anlage, mit einem Token und einem Schlüssel, die du einmal aus dem Gerät ausliest. Von Bluetooth steht dort kein Wort. Wenn ich das richtig lese, bleibt dieser Weg vom Update unberührt, weil Midea nur das Bluetooth-Modul anfasst.

Anders sieht es bei den Bluetooth-Werkzeugen aus. Heise verweist auf ein GitHub-Projekt namens midea-ble-go, eine Bibliothek samt Kommandozeile, die Midea-Klimageräte direkt per BLE steuert, laut Heise über dieselbe ungesicherte OEM-Schnittstelle, die der Hinweisgeber genutzt hat. Wer damit seine PortaSplit ins Smart Home geholt hat, funkt nach dem Update ins Leere. Das ist bitter für die Bastler, und trotzdem richtig so: Eine Anbindung, die nur funktioniert, weil das Schloss kaputt ist, willst du nicht auf Dauer im Haus haben. Der WLAN-Weg läuft genauso lokal, im Betrieb ohne Cloud, und mit einem Zugang, den nur du hast.

Steht bei dir eine PortaSplit, und welche Nummer zeigt die App gerade an? Falls sie in Home Assistant hängt: über WLAN oder über Bluetooth? Schreib's in die Kommentare — mich interessiert vor allem, wie lange die Update-Welle bis zu dir braucht.

Wie es aussieht, wenn eine Hintertür gleich ab Werk eingebaut ist, liest du im Beitrag zu den ZBT-Routern mit drei Backdoors.

Quellen