Die PortaSplit-Sicherheitslücke klingt erst mal nach einem Scherz aus dem Mehrfamilienhaus: Der Nachbar vom Balkon nebenan kann deine Klimaanlage ausschalten, auf Heizen stellen oder die Zieltemperatur verdrehen. Per Bluetooth, ohne App-Kopplung, ohne die Geräte-PIN zu kennen. heise hat das Ganze mit einem Testgerät nachgestellt, Midea hat es zunächst nicht als Lücke gesehen und arbeitet inzwischen doch an einem Firmware-Update. Nach der Cloud-Token-Geschichte vom Juli ist das die zweite PortaSplit-Meldung in einem Sommer, die PortaSplit-Besitzer direkt betrifft.
- PortaSplit-Geräte lassen sich in Bluetooth-Reichweite (bis etwa zehn Meter) ein- und ausschalten, zwischen Kühlen und Heizen umstellen und in der Zieltemperatur ändern, ohne Kopplung und ohne PIN
- Der Weg führt über eine Hersteller-Schnittstelle für Gerätebauer, die keine PIN kennt; die nötigen Verschlüsselungsschlüssel lassen sich aus dem Bluetooth-Funksignal des Geräts berechnen
- Über Internet oder Midea-Cloud ist der Angriff nicht möglich, wer nicht in Funkreichweite steht, kann nichts tun
- Midea hielt die Meldung zunächst für nicht nachvollziehbar und kündigte am 18. August ein OTA-Firmware-Update an, das noch in der Testphase steckt, ein Termin fehlt
- Die App-Steuerung per WLAN und PIN funktioniert parallel weiter, das Update soll per OTA auf die Geräte kommen, sobald Midea es freigibt
Was heise nachgestellt hat: Die Seitentür heißt OEM-SDK
Midea sieht für die PortaSplit drei Bedienwege vor: Infrarot-Fernbedienung, Tastenfeld am Gerät und die App Midea Air, die sich per WLAN koppelt und mit einer PIN absichern lässt. Ein anonymer Hinweisgeber hat gegenüber heise einen vierten Weg gezeigt: die Bluetooth-Schnittstelle, und zwar nicht die offizielle aus dem Midea-SDK, sondern eine Programmierschnittstelle namens com.midea.oem.iot.sdk.ble, die dem Namen nach für OEM-Partner gedacht ist. Diese Schnittstelle kennt keine Geräte-PIN. Sie nimmt Befehle zwar nur verschlüsselt an, aber die PortaSplit funkt per Bluetooth genug Informationen in die Gegend, um den Schlüssel daraus zu berechnen.
Die heise-Redaktion hat den Nachweis am 10. August mit einer PortaSplit auf der damals aktuellen Firmware V.012236_0000_4000_8000_5006_1012 nachgestellt, während das Gerät regulär per App gekoppelt und mit PIN gesichert war. Ergebnis: Ein frisch aufgesetztes Android-Smartphone mit der Prototyp-App des Hinweisgebers fand die Anlage nach Sekunden, konnte sie ein- und ausschalten, zwischen Kühlen und Heizen wechseln und die Zieltemperatur verstellen. Die reguläre App lief parallel weiter, heise berichtet lediglich von gelegentlichen Abbrüchen der Bluetooth-Verbindung, die sich neu aufbauen ließ.
Mideas Antwort, erster Versuch: keine Lücke. Zweiter Versuch: ein Update
Der Hinweisgeber wollte sich aus Sorge vor dem Hackerparagrafen nicht selbst an Midea wenden, also übernahm heise die Meldung samt ausführlicher Dokumentation. Die deutsche Pressestelle antwortete nach Prüfung, ein Szenario, in dem ein Unbefugter die PortaSplit aus der Ferne übernimmt oder zurücksetzt, lasse sich nicht nachvollziehen. Das Problem dabei: Genau darum ging es nie. Niemand muss das Gerät zurücksetzen oder übernehmen, die Bluetooth-Steuerung läuft als zusätzlicher Bedienweg einfach neben der App her. heise wies am 11. August auf das Missverständnis hin und bekam bis zur Veröffentlichung am 18. August keine Antwort mehr.
Am Abend desselben Tages kam dann die Kehrtwende: Die technischen Teams arbeiteten an einem OTA-Firmware-Update, das sich in der Validierungs- und Testphase befinde und bereitgestellt werde, sobald dieser Prozess abgeschlossen sei. Einen Termin nennt Midea bis heute nicht. Ich finde die Reihenfolge bemerkenswert: Erst wird die Meldung an der eigentlichen Aussage vorbei geprüft, dann eine Woche geschwiegen, und die Zusage kommt erst, als der Artikel online ist. Wer sich an die Cloud-Token-Abschaltung für Home Assistant erinnert, bei der eine über ein Jahr alte Warnung plötzlich als Neuigkeit durch die Blogs lief, weiß, dass Midea-Themen gern erst Aufmerksamkeit bekommen, wenn es unbequem wird. Diesmal lag das allerdings nicht an den Blogs, sondern an der ersten Antwort des Herstellers.
Wie schlimm ist das wirklich? Nachbar ja, Internet nein
Mein Stand nach der Lektüre: Das ist eine echte Sicherheitslücke, aber keine, wegen der du heute Nacht den Stecker ziehen musst. Angreifer brauchen Funkreichweite, also den Balkon nebenan, das Treppenhaus oder den Gehweg unter dem Fenster. Über das Internet oder die Midea-Cloud geht nichts, und um das Auslesen deiner Daten geht es in der Analyse nicht, sondern um die Kontrolle über das Gerät. Was ein Scherzbold anrichten kann, ist trotzdem ärgerlich genug: die Anlage mitten in der Hitzewelle abschalten oder nachts auf Heizen stellen, bis der Stromzähler leidet. heise ordnet das sauber als Verfügbarkeitsproblem ein, und genau so würde ich es auch lesen. Einen dokumentierten Weg, den Bluetooth-Funk am Gerät abzuschalten, nennen weder heise noch Midea.
Das WLAN zu trennen bringt nichts, die Lücke sitzt im Bluetooth-Funk, und einen dokumentierten Schalter dagegen gibt es bislang nicht. Die App-PIN schützt nur den App-Weg, nicht die Seitentür. Sinnvoll ist, die Anlage im WLAN und in der Midea-Air-App zu lassen, denn über diesen Weg dürfte das OTA-Update verteilt werden, und bei unerklärlichem Verhalten der Anlage erst mal an den Nachbarn zu denken statt an einen Defekt. Wer im Erdgeschoss zur Straße wohnt, ist exponierter als im vierten Stock.
Die Ironie: Für Home-Assistant-Bastler ist die Lücke gerade ein Feature
heise weist am Ende auf einen Nebeneffekt hin, den ich nicht unterschlagen will: Nachdem Midea vor wenigen Wochen den Zugriff auf seine Token-Schnittstelle einschränkte und damit die Home-Assistant-Anbindung erschwerte, ist die Bluetooth-Seitentür für Automatisierer vorübergehend der Weg, die PortaSplit lokal und ohne Cloud zu steuern. Ein Bluetooth-Dongle in Reichweite reicht, und heise erwähnt ein GitHub-Projekt eines chinesischen Entwicklers mit Kommandozeilen-Werkzeug und Android-App auf Basis desselben SDK. Ich würde darauf nichts aufbauen, denn genau diesen Weg wird das angekündigte Update sehr wahrscheinlich schließen. Aber es sagt viel über den Zustand der Midea-Integration, wenn eine Sicherheitslücke kurzzeitig die bessere Schnittstelle ist als die offizielle.
Was mich an dieser Geschichte wirklich beschäftigt, ist nicht der Nachbar mit dem Handy. Es ist, dass ich seit Mai versuche, genau dieses Gerät zu einem normalen Preis zu bekommen, während mein Klarstein-Monoblock in der Ecke lauwarme Luft schiebt, und jetzt lese, dass Fremde die PortaSplit bequemer steuern können als ihre Besitzer mit der App. Vielleicht ist das die Kehrseite davon, wenn ein Gerät so begehrt ist: Es lohnt sich plötzlich, hineinzuschauen. Und ein bisschen tröstet es den Warenkorb, der immer noch wartet.
Bleibt meine Einschätzung als jemand, der die PortaSplit in diesem Sommer von der Nachschub-Lotterie bis zur Zehn-Tage-Messung eines Lesers im iECO-Modus begleitet hat, ohne bislang selbst eine zu besitzen: Das Gerät ist nach wie vor die mobile Klimaanlage, die ich empfehlen würde. Die Firma dahinter hat mit ihrer ersten Antwort an heise gezeigt, dass sie Sicherheitsmeldungen genauer lesen sollte. Beim Update schaue ich auf den Kalender, und wenn es da ist, steht es hier als Nachtrag.
Die Fragen, die PortaSplit-Besitzer jetzt stellen
Kann jemand meine PortaSplit über das Internet steuern?
Nein. Die Lücke funktioniert nur über Bluetooth Low Energy in Funkreichweite von rund zehn Metern. Über das Internet oder die Midea-Cloud ist der Zugriff nicht möglich. Es geht um die Steuerung des Geräts, heise ordnet die Lücke als Verfügbarkeitsproblem ein.
Schützt mich die PIN in der Midea-Air-App?
Nur auf dem App-Weg. Die Bluetooth-Schnittstelle, die heise beschreibt, kennt die Geräte-PIN gar nicht und läuft parallel zur regulären App-Steuerung, die dabei ungestört weiterarbeitet.
Wann kommt das Firmware-Update für die PortaSplit?
Midea hat am 18. August 2026 ein OTA-Update angekündigt, das sich in der Validierungs- und Testphase befindet. Einen Termin gibt es nicht. Das Update wird per Funk auf die Geräte verteilt, die Midea-Air-App sollte dafür installiert bleiben.
Was kann ein Angreifer an der PortaSplit verändern?
Ein- und ausschalten, zwischen Kühl- und Heizmodus wechseln und die Zieltemperatur verstellen. Das Gerät zurücksetzen oder die App-Kopplung übernehmen gehört nicht zu dem, was heise nachgestellt hat, die reguläre App lief parallel weiter.
