Thermomix von Lidl: Monsieur Cuisine Connect ist katastrophal unsicher

Für nur 359 Euro quasi einen Thermomix kaufen, der sonst 1.299 Euro kostet? Da sagen viele Kunden nicht Nein. Die zweite Generation des Monsieur Cuisine Connect hat einen 7 Zoll großen Touchscreen und ist deutlich moderner als die erste. Grund Genug für die beiden Franzosen Alexis Viguie und Adrien Albisetti, der smarten Küchenmaschine mal genauer auf den Zahn zu fühlen. Beim Auseinandernehmen staunten die beiden Bastler nicht schlecht: Der günstige Thermomix-Klon von Lidl hat ein Mikrofon hinter einem kleinen Loch an der Vorderseite. Das wird weder in der Anleitung erwähnt noch überhaupt benötigt, denn der Thermomix von Lidl hat keine Sprachsteuerung. Warum also so ein Mikrofon, mit dem sich die Küchenmaschine leicht zur Spionage missbrauchen lässt? Eines ist klar: Das versteckte Mikrofon ist vorhanden und lässt sich über Umwege auch benutzen.

Lidl betont in einer Stellungnahme gegenüber französischen Medien, dass das Mikrofon des Monsieur Cuisine Connect nicht aktiv sei. Das lässt sich erstens nicht so einfach nachprüfen, und zweitens ist es natürlich trotzdem vorhanden. Die Aktivierung über die Software des Thermomix-Klons von Lidl ist ziemlich einfach -  Alexis Viguie und Adrien Albisetti haben es schließlich auch geschafft. Da das Gerät in das heimische WLAN eingebunden wird, lässt sich mit so einer Mikrofon und dem dahinter liegenden, nicht besonders gut geschützten Android-System einiges an Schindluder treiben,

Wer sich selbst anschauen möchte, was die beiden Bastler mit dem Thermomix von Lidl und seiner Software alles anstellen konnten, sollte sich das folgende Video anschauen. Es ist zwar auf Französisch gehalten, aber auch ohne Sprachkenntnisse durchaus imposant.

Auch ohne Mikrofon ist der günstige Thermomix ein Sicherheitsrisiko

Doch auch abseits des Mikrofons gibt es Grund genug, an der Verlässlichkeit des Thermomix-Klons von Lidl zu zweifeln. Der Monsieur Cuisine Connect verwendet intern Android als Betriebssystem, allerdings nur mit der Version Android 6 Marshmallow. Diese Version des Google-Betriebssystems wurde 2015 vorgestellt und ist damit für eine Software schon ziemlich betagt. Das allein wäre noch zu verkraften, allerdings kommen die von Lidl zugesicherten Sicherheitspatches für Android alles andere als zuverlässig. Auf dem Thermomix-Klon befindet sich laut dem Bericht von Numerama das Patch von März 2017. Bereits als das Küchengerät vor rund einem Jahr in Deutschland verkauft wurde, war dessen Sicherheit gegenüber Angriffen also nicht mehr gegeben, ein Jahr später noch viel weniger. Für ein Gerät, das im heimischen WLAN hängt, ist das brandgefährlich.

Wie das Video zeigt, lässt sich mit dem Thermomix-Klon von Lidl alles mögliche anstellen, denn die Android-Plattform im Herzen ist alles andere als sicher. Sogar das Kultspiel Doom läuft nach ein wenig Bastelei auf der Küchenmaschine. Damit wird es beim Kochen zwar nicht langweilig, so richtig vertrauenserweckend ist das Gesamtpaket des günstigen Lidl-Thermomix aber nicht.

This Thermomix clone? It runs Doom.

Made with @Sinuso on his own device pic.twitter.com/D2D9rqKxHq

— octodon.social/@Siphonay (@Siphonay) 8. Juni 2019

Das Beispiel des Monsieur Cuisine Connect zeigt deutlich das Gefahrenpotenzial, das all diese Geräte, die heutzutage mit dem Internet verbunden sind, besitzen. Viele der Hersteller dieser Gerätschaften sind klassische Hersteller von erschwinglichen Allerwelts-Geräten, die häufig wenig Augenmerk auf eine gut funktionierende und vor allem sichere Software legen. Ein System ist jedoch nur so sicher wie sein schwächstes Glied. Wenn ein so schlecht gesichertes Gerät wie der Thermomix-Klon von Lidl, der auch noch über ein Mikrofon verfügt, offen wie ein Scheunentor im heimischen WLAN hängt, ist der Rest des Netzes Angreifern unter Umständen schutzlos ausgeliefert. Das darf auch bei einem so verlockendem Preis wie dem des Monsieur Cuisine Connect nicht sein.

• So bekommt jeder (einen) Android Pie

Quelle: Numerama (1), (2)