Die Midea Portasplit ist eine beliebte mobile Klimaanlage mit Smart-Home-Funktionalität. Eine neu entdeckte Sicherheitslücke zeigte jedoch erhebliche Risiken: Angreifer konnten die Anlage über Bluetooth-Verbindung ferngesteuert werden, ohne sich authentifizieren zu müssen.
Das bedeutet in der Praxis, dass jemand mit Bluetooth-Zugriff die Klimaanlage aus der Ferne ein- und ausschalten, die Temperatureinstellungen ändern oder andere Funktionen steuern konnte. Die Reichweite von Bluetooth ist begrenzt, aber für einen Angreifer in unmittelbarer Nähe oder in einem Bürogebäude potentiell ausreichend.
Besonders problematisch ist das Fehlen jeglicher Authentifizierung. Häufig haben Smart-Home-Geräte wenigstens PIN-Schutz oder erfordern ein gekoppeltes Smartphone. Bei der Portasplit fehlten solche Massnahmen komplett.
Midea hat ein Firmware-Update bereitgestellt, das diese Lücke schliesst. Nutzer sollten dieses Update so schnell wie möglich einspielen.
Für KMU hat dies mehrere Implikationen: Erstens zeigt es, dass auch vermeintlich "einfache" Geräte wie Klimaanlagen heute mit Vernetzung kommen und Cybersecurity-Risiken bergen. Zweitens sollte beim Kauf von Smart-Home- oder IoT-Geräten explizit auf Sicherheitsmerksmale geachtet werden. Drittens sollte im Büro überprüft werden, welche Bluetooth-Geräte vorhanden sind und ob diese regelmässig aktualisiert werden. IT-Verantwortliche sollten eine Inventur aller IoT-Geräte durchführen und Update-Prozesse etablieren.