Letzten Monat berichteten wir über die Bluetooth-Sicherheitslücke in der Midea PortaSplit, mit der jemand innerhalb weniger Meter Entfernung Deine mobile Klimaanlage übernehmen konnte, ganz ohne Kopplung, App-Login oder PIN. Midea kündigte damals ein Update an. Dieses Update ist jetzt tatsächlich unterwegs. Die Fortsetzung der Geschichte ist interessanter als „Problem gelöst.“
Kurz zur Erinnerung: Was war das Problem?
Die PortaSplit steuerst Du normalerweise über die Tasten am Gerät, die Infrarot-Fernbedienung oder die App per WLAN mit optionaler PIN. Daneben existierte eine OEM-Schnittstelle für Bluetooth Low Energy, ursprünglich für Entwickler und Werkspartner gedacht, nicht für den Heimgebrauch. Diese Schnittstelle verlangte zwar AES-verschlüsselte Befehle, doch die Daten, die zur Berechnung dieses Verschlüsselungsschlüssels nötig sind, sendete die PortaSplit einfach ungeschützt per Bluetooth-Broadcast in die Umgebung. Wer in Reichweite war und die passende Software hatte, konnte damit ohne jede Autorisierung die Temperatur ändern, zwischen Kühlen und Heizen umschalten oder das Gerät einfach ausschalten. Die normale Bedienung über die App funktionierte dabei weiterhin einwandfrei, was es besonders tückisch machte: Du hättest nie bemerkt, dass auch jemand anderes mitsteuert.
Mideas Reaktion: Das ist eigentlich kein Leck
Hier wird die Geschichte bemerkenswert. Als dieses Problem erstmals gemeldet wurde, wiegelte Midea zunächst ab. In der eigenen Risikoeinschätzung des Unternehmens kam ein unautorisierter Zugriff über Bluetooth Low Energy damals schlicht nicht als Szenario vor. Erst nach anhaltendem Druck versprach der Hersteller, ein Update zu entwickeln.
Dieses Update gibt es jetzt, doch der Ton hat sich nicht geändert. Midea hat das Problem nie offiziell als Sicherheitslücke umklassifiziert, keine Kennnummer vergeben und nirgends erklärt, warum die eigene Risikoanalyse dieses Szenario damals übersehen hat. Was sich ändert, ist rein technisch: Das Authentifizierungsmodul wird angepasst, sodass der unautorisierte BLE-Zugriff über die API nicht mehr funktioniert. Eine öffentliche Erklärung für diese Änderung bleibt aus.
Der Rollout läuft gestaffelt, und ist damit unvollständig
Das Update erscheint per OTA (Over-the-Air) und soll in den kommenden Tagen bis Wochen alle Geräteversionen erreichen, unter der Versionsnummer V.012634_0000_4000_8000_5006_1012. Midea entscheidet sich bewusst für einen gestaffelten Rollout, damit ein möglicher Fehler in der Firmware nicht sofort die gesamte Geräteflotte lahmlegt. Das ist an sich eine vernünftige Vorgehensweise, bedeutet aber auch: Ein Teil der PortaSplits bleibt noch wochenlang verwundbar, während andere bereits abgesichert sind.
Noch auffälliger: Die Partei, die das Leck damals meldete und selbst mit einem eigenen Testgerät recherchierte, konnte die Wirksamkeit des Fixes bislang nicht bestätigen, einfach weil das Update auf diesem konkreten Gerät noch nicht angekommen war. Mit anderen Worten: Zum Zeitpunkt dieses Artikels konnte niemand unabhängig feststellen, ob dieses Update das Problem tatsächlich und vollständig löst. Hast Du eine PortaSplit, lohnt es sich also zu prüfen, ob das Update bereits angekommen ist – gehe aber nicht blind davon aus, dass Dein Gerät ab heute automatisch sicher ist.
Die Ironie für Smart-Home-Bastler
Es steckt noch eine Ebene in dieser Geschichte, die die meisten kurzen News-Meldungen übersehen. Früher in diesem Jahr schränkte Midea bereits den Zugriff auf die eigene Token-API ein, was es für Smart-Home-Enthusiasten gerade schwieriger machte, die PortaSplit lokal ohne Midea-Cloud einzubinden. Genau diese Bluetooth-Hintertür, die jetzt geschlossen wird, war für einen Teil dieser Gruppe inzwischen zu einer beliebten Notlösung geworden: Ein chinesischer Entwickler veröffentlichte sogar Open-Source-Code für ein Kommandozeilen-Tool und eine Android-App, um die PortaSplit über diesen BLE-Weg lokal anzusteuern, ganz ohne Cloud und ohne offizielle App.
Für die durchschnittliche Besitzerin oder den durchschnittlichen Besitzer ist das Schließen dieser Lücke einfach eine gute Nachricht. Für alle, die die PortaSplit über diesen Umweg bereits in eine eigene Smart-Home-Umgebung eingebunden hatten, bedeutet dieses Update dagegen: Dieser spezielle Weg verschwindet wahrscheinlich, ohne dass ein offizieller Ersatz dafür kommt.
Was Du jetzt tun kannst
Hast Du eine PortaSplit, musst Du selbst nichts tun: Das Update kommt automatisch per OTA. Prüfe in der App, ob das Update bereits angewendet wurde, und rechne damit, dass das bei manchen Geräten noch etwas länger dauern kann. Wie wir bereits berichtet haben, bringt Midea 2027 außerdem eine neue PortaSplit-Generation mit Propan als Kältemittel und Matter-Unterstützung. Ob diese neue Hardware dieses konkrete Bluetooth-Problem auch grundsätzlich anders löst, ist noch nicht bekannt – das ließen wir bereits offen in unserem Artikel über diesen Nachfolger.
Möchtest Du unabhängig von solchen herstellerspezifischen Problemen eine Klimaanlage smart steuern? Die tado° Smarte Klimaanlagen-Steuerung V3+ funktioniert per Infrarot mit so gut wie jeder Marke, auch mit einer bestehenden PortaSplit, ohne von der Bluetooth- oder Cloud-Implementierung des Herstellers selbst abhängig zu sein.
![Jetzt bei Licht und Sicherheit bis zu 50% sparen - zum tink Shop](https://www.tink.de/blog/wp-content/uploads/2026/10/300x250_DAT_wm-deals_Announcement-1.jpg")
