In der zunehmend vernetzten Welt von Smart-Home-Geräten ist ein Sicherheitsvorfalls entdeckt worden, der exemplarisch zeigt, wie nachlässig Hersteller manchmal mit Benutzer-Sicherheit umgehen. Die mobile Klimaanlage Midea PortaSplit weist eine kritische Schwachstelle auf: Das Gerät verbindet sich per Bluetooth mit Endgeräten und erlaubt die vollständige Fernsteuerung ohne jegliche Authentifizierungsmechanismen.
Das bedeutet praktisch, dass jede Person mit einem Smartphone oder Tablet in Reichweite der Bluetooth-Verbindung (typischerweise 10 bis 100 Meter) das Gerät komplett kontrollieren kann. Nachbarn könnten die Anlage ausschalten, die Temperatureinstellung verändern oder sogar das Gerät völlig lahmlegen. Ein Passwort, eine PIN oder eine Kopplungszertifizierung fehlt vollständig.
Midea hat auf diese Sicherheitslücke bislang zurückhaltend reagiert. Das Unternehmen stuft das Problem nicht als kritische Sicherheitsverletzung ein und hat keine unmittelbaren Massnahmen zur Schliesssung der Lücke angekündigt. Dies ist aus mehreren Gründen problematisch: Erstens schadet es der Verfügbarkeit des Geräts. Zweitens könnte ein Angreifer theoretisch systematisch Smart-Home-Geräte in einem Wohnblock lahmlegen.
Für kleine und mittlere Betriebe, die solche Geräte in Büros oder Betriebsstätten einsetzen, ist dies ein Warnsignal. Es unterstreicht die Bedeutung, bei der Auswahl von IoT-Geräten auf Sicherheitsaspekte zu achten. Fragen sollten sein: Unterstützt das Gerät moderne Verschlüsselung? Gibt es Authentifizierungsmechanismen? Bietet der Hersteller regelmässige Sicherheits-Updates?
Dieser Fall zeigt auch, dass nicht alle Gerätehersteller den gleichen Sicherheitsstandard befolgen. Während professionelle IT-Systeme ausgefeilte Schutzkonzepte haben, werden Consumer-IoT-Produkte oft mit minimalen Sicherheitsmassnahmen auf den Markt gebracht. Unternehmen sollten daher bei der Beschaffung solcher Geräte erhöhte Aufmerksamkeit walten lassen und gegebenenfalls auf sicherere Alternativen ausweichen.