Wer braucht Alexa? Chinesischer Thermomix-Klon mit Mikro!

Eigentlich wollten die Zwei das Ding nur aus Spaß hacken, fanden dabei aber Erstaunliches: Das Küchengerät von Lidl hat ein heimlich eingebautes Mikrofon. Wer hätte das gedacht.

Also alleine schon die Story ist unterhaltsamer als so mancher Bericht von Stiftung Warentest: Das französische Computermagazin Numerama hat veröffentlicht, dass der Thermomix-Klon „Monsieur Cuisine Connect“, den man bei Lidl kaufen kann, ein Datenschutzproblemfall ist.

Bei „Monsieur Cuisine Connect“ handelt es sich um einen sehr kostengünstigen chinesische Thermomix-Klon, der erst seit kurzer Zeit hier auf dem Markt in Deutschland, Frankreich, Belgien, der Schweiz und Großbritannien ist.

Ursprünglich war es nur ein Spaß der Franzosen Alexis Viguié (@Siphonay) und Adrien Albisetti (@Sinuso): Sie wollten das Gerät hacken und fanden dabei mehrere seltsame Elemente bei der Bedienung des Geräts. Mit ihrer Hilfe deckt Numerama die Existenz eines inaktiven Mikrogeheimnisses auf, das für Angriffe anfällig sein könnte.

Numerama entdeckte also mit Hilfe von zweien Franzosen, dass bestimmte Merkmale des Geräts Fragen aufwerfen. Die Untersuchung zeigt insbesondere, dass in „Monsieur Cuisine Connect“ ein Mikrofon installiert wurde, ohne dass dies angegeben wird oder irgendeine Funktion für die Nutzer hat. Es handelt sich um ein so weit inaktives, aber funktionales geheimes Mikrofon beschreibt Numerana.

Küchengerät ist online

„Monsieur Cuisine Connect“ ist über das WLAN mit dem Internet verbunden. Dadurch werden Rezepte und Einstellungen aus dem Netz geholt und auf dem Display dargestellt.

Einige Tage nachdem sie das Produkt bei Lidl gefunden hatten, beschlossen Viguié und Albisetti, das Gerät genauer zu analysieren und auf Herz und Nieren zu prüfen. Die Idee dahinter war eigentlich ein Scherz und als Challenge gedacht: Ein Freund forderte die Beiden heraus, auf dem Gerät das Spiel „Doom“ zu installieren.

This Thermomix clone? It runs Doom.

Made with @Sinuso on his own device pic.twitter.com/D2D9rqKxHq

— octodon.social/@Siphonay (@Siphonay) 8. Juni 2019

Doom ist ein Egoshooter Kult-Videospiel mit geringen Hardwareanforderungen und die Fangemeinde versucht häufiger, aus Spaß dieses Spiel auf diversen Geräten zu installieren.

Die beiden bemerkten recht schnell, dass „Monsieur Cuisine Connect“ auf Android läuft und konnten in das System eindringen. Dabei fanden sie auch das integrierte Mikro, welches sie aktivieren konnten. Nochmals: Offiziell hat das Teil jedoch kein Mikrofon. Es wird auch nirgends beschrieben, dass dieses Gerät ein Mikro hat. Für Numerana haben sie das Ganze aufgezeichnet und ein kurzes Video veröffentlicht:

Das Mikrofon scheint nach Angaben der Beiden standardmäßig ausgeschaltet zu sein.

L’application de base du firmware ne demande pas la permission Android pour utiliser le microphone », nous confirme Alexis Viguié

(„Die Basis-Firmware-Anwendung erfordert keine Android-Genehmigung, um das Mikrofon zu benutzen“, bestätigt Alexis Viguié)

Aber warum ist das Gerät dann damit ausgestattet? Numerana nahm mit Lidl Kontakt auf und hat eine Pressemitteilung bekommen.

Der Grund für das Mikro

Lidl bestätigte: In der neuesten Version von Monsieur Cuisine Connect vom 3. Juni 2019 ist tatsächlich ein Mikrofon vorhanden. Dieses ist nicht aktiv und kann nur durch den Kunden versehentlich aktiviert werden. So wie es eben bei Numerana zu lesen ist.

„Diese Mikrofonoption ist in der Maschine installiert, um zukünftige Entwicklungen wie die Sprachsteuerung zu ermöglichen. Die Aktivierung dieser wird aktualisiert und der Kunde kann diese Funktion wählen oder auch nicht. Die Marke LIDL möchte jedoch vorerst nicht über diese zukünftige Funktionalität informieren, da sie für diese am 3. Juni in Frankreich veröffentlichte „vernetzte“ Version von Monsieur Cuisine nicht aktuell ist“, so die Pressemitteilung weiter. „Lidl will und kann nicht aus der Ferne auf das Mikrofon zugreifen.“

Weitere Probleme: Veraltete Software!

Der Thermomix-Klon „Monsieur Cuisine Connect“ läuft auf Android 6.0. Hölle! Das ist hoffnungslos veraltet! Als Hardware dient dem Gerät zudem einfach ein Tablett, welches nicht weiter angepasst wurde.

Viguié und Albisetti stellten bei ihrer Analyse fest, dass der letzte Sicherheitspatch in „Monsieur Cuisine Connect“ im März 2017 installiert wurde. Man beachte: Der Artikel wurde erst im Mai 2019 in Deutschland verkauft. Da liegen 2 Jahre und Welten an Updates und Patches zwischen.

via Numera.com