Die im Hitzesommer 2026 populäre mobile Klimaanlage Portasplit von Midea lässt sich über eine undokumentierte Bluetooth-Schnittstelle fernsteuern — ohne App-Kopplung und ohne Kenntnis der Geräte-PIN. Ein anonymer Hinweisgeber hat laut heise online, DER STANDARD und Golem eine separate Programmierschnittstelle für Zulieferer genutzt, die zwar verschlüsselte Befehle verlangt, deren Schlüssel sich aber aus unverschlüsselt per Bluetooth gesendeten Geräteinformationen berechnen lässt. Die heise-Redaktion hat den Angriff mit einem eigenen Testgerät nachgestellt. Eingeschränkt wird das Risiko dadurch, dass es nur innerhalb der Bluetooth-Reichweite von wenigen Metern funktioniert; ein Zugriff über das Internet besteht nicht.
Laut einem Bericht sah Midea auf Anfrage zunächst kein Sicherheitsproblem, kündigte in der Folge aber ein Firmware-Update an, das die Lücke schließen soll. Eine direkt eingesehene offizielle Stellungnahme des Herstellers liegt für diesen Artikel nicht vor. Offen bleiben unter anderem der Zeitplan für das Update, die Zahl betroffener Geräte und eine unabhängige Sicherheitsbewertung der Schwachstelle.
Was passiert ist
Die mobile Split-Klimaanlage Portasplit des chinesischen Herstellers Midea hat sich im diesjährigen Hitzesommer als Bestseller erwiesen — nicht zuletzt, weil sie sich bequem per Smartphone-App steuern lässt. Genau diese Vernetzung erweist sich nun als Sicherheitsrisiko: Wie DER STANDARD, heise online und Golem übereinstimmend berichten, besitzt das Gerät eine undokumentierte Bluetooth-Schnittstelle, über die sich jede Portasplit-Einheit fernsteuern lässt — unabhängig davon, ob sie mit der Hersteller-App gekoppelt ist, und ohne dass eine eingerichtete Geräte-PIN einen Schutz bietet.
Wie der Angriff funktioniert
Aufgedeckt hat die Lücke laut heise ein anonymer Hinweisgeber, der sich an die Redaktion gewandt hatte. Er setzte nicht am offiziellen Endpunkt der Steuer-App an, sondern an einer separaten Programmierschnittstelle für Original Equipment Manufacturer namens com.midea.oem.iot.sdk.ble. Diese Schnittstelle kennt keine Geräte-PIN und verlangt zwar AES-verschlüsselte Befehle, doch die Klimaanlage sendet die zur Schlüsselberechnung notwendigen Informationen unverschlüsselt per Bluetooth-Broadcast aus. Wer diese Broadcasts empfängt, kann daraus gültige Steuerbefehle berechnen und die Anlage ein- und ausschalten, die Temperatur ändern oder zwischen Kühlen und Heizen wechseln. Der Hinweisgeber hatte dafür mit KI-Unterstützung eine Android-App und Python-Skripte entwickelt; die heise-Redaktion hat den Angriff mit einem eigenen Testgerät nachgestellt und konnte ihn reproduzieren. Eingeschränkt wird das Risiko dadurch, dass die Attacke nur innerhalb der Bluetooth-Reichweite von einigen Metern rund um das Gerät funktioniert — ein Zugriff über das offene Internet oder die Midea-Cloud ist nach den vorliegenden Berichten nicht möglich.
Reaktion des Herstellers
Laut einem Bericht von heise online stufte Midea die Bluetooth-Steuerbarkeit auf Anfrage zunächst nicht als Sicherheitsproblem ein. Nach weiterer Rückfrage soll der Hersteller demnach mittlerweile angekündigt haben, an einem Firmware-Update über die Luftschnittstelle (OTA) zu arbeiten, um das gemeldete Problem zu beheben. Eine direkt eingesehene, offizielle Stellungnahme oder Presseaussendung von Midea selbst liegt für diesen Artikel nicht vor — die Angaben zur Herstellerreaktion stammen aus der Berichterstattung einer einzelnen Redaktion.
Was unklar bleibt
Offen ist, wann das angekündigte Firmware-Update tatsächlich erscheint und ob es die Schwachstelle vollständig schließt. Auch fehlen belastbare Angaben dazu, wie viele Portasplit-Geräte weltweit oder in Österreich im Umlauf und damit potenziell betroffen sind. Eine offizielle CVE-Nummer, eine CERT-Warnung oder eine unabhängige Einschätzung von IT-Sicherheitsexpertinnen und -experten zum tatsächlichen Alltagsrisiko liegen bislang nicht vor.
Einordnung
Der Fall reiht sich in eine wiederkehrende Problematik bei vernetzten Haushaltsgeräten ein: Komfortfunktionen wie eine Fernsteuerung per App bringen zusätzliche Funkschnittstellen mit sich, die nicht immer mit derselben Sorgfalt abgesichert sind wie der offizielle Nutzungsweg. Dass die Lücke von einem anonymen Hinweisgeber mit Unterstützung von KI-Werkzeugen aufgedeckt und von einer Redaktion technisch nachvollzogen wurde, spricht für die Stichhaltigkeit des Befunds — ersetzt aber keine unabhängige, systematische Sicherheitsprüfung des Geräts oder eine offizielle Einordnung durch den Hersteller.
