Smarte Küchenmaschinen erfreuen sich einer steigenden Beliebtheit. Neben dem Thermomix von Vorwerk oder Krups Prep & Cook, sind auch Discounter wie Aldi und Lidl auf den Zug aufgesprungen. Im folgenden Test haben wir den Silvercrest Monsieur Cuisine Connect aus dem Hause Lidl einmal auf den Sicherheitsprüfstand gestellt.
Der aus Deutschland stammende Discounterkonzern Lidl hat mit dem Monsieur Cuisine Connect ein Produkt ins Rennen geschickt, das mit anderen Küchenmaschinen wie dem Thermomix in Konkurrenz tritt. Neben einem 7“ Touch-Display verfügt er auch über WLAN, über das neue Rezepte automatisch heruntergeladen werden. Die „Cooking-Pilot“ genannte Funktion zeigt Rezeptschritte nacheinander an und steuert das Gerät nahezu automatisch.
Technische Daten
Der Monsieur Cuisine Connect ist mit einem 800 Watt Motor und 1000 Watt Heizleistung ausgestattet. Ein 4,5 Liter fassender Edelstahl-Mixbehälter, die integrierte Waage bis 5kG und ein möglicher Temperaturbereich von 37-130°C runden das Paket ab. Der Motor dreht von 120 bis 5200 Umdrehungen/min, das verbaute Messer dient im Linkslauf dem Umrühren, im Rechtslauf dem Zerkleinern der Zutaten. Die Geschwindigkeit kann in 10 Stufen eingestellt werden, weiterhin sind drei Automatikprogramme für Kneten, Dampfgaren und Anbraten einprogrammiert.
Software/Firmware
Neben den Antriebs- und Heizelementen, besteht der Monsieur Cuisine Connect hauptsächlich aus einer Steuereinheit und einem angepassten 7“ Android Tablet. Auf dem mit einem Mediatek MT6580 Quadcore Prozessor angetriebenen Tablet ist Android 6.0 vorinstalliert. Dies ist ab Werk allerdings gut abgeschottet. So ist beispielsweise über Netzwerk kein Zugriff auf das Gerät möglich, alle Ports sind geschlossen. Beim Start des Geräts lädt die vorinstallierte „MCLauncher“ App – die Benutzeroberfläche. Über diese kann das Gerät an sich komplett gesteuert, WLAN eingerichtet und das Gerät aktualisiert werden, sofern Updates zur Verfügung stehen. Weiterhin vorinstalliert ist die „MCUpdater“ App, die zum Zweck der Aktualisierung von dem Launcher aufgerufen wird. Beide Apps stammen aus einem Hamburger Unternehmen, Silpion IT-Solutions GmbH.
Die „MCLauncher“ App übernimmt die serielle Kommunikation, sendet also beispielsweise die im jeweiligen Rezept integrierten Steuerbefehle für Heizen, Waage tarieren/messen, Motor-drehrichtung bzw. -drehzahl etc. an die Hardware.
An die Innereien des Android-Systems zu gelangen, ist zwar nicht unbedingt trivial, aber inzwischen hinreichend dokumentiert. (Github, Blog) Die Sicherheit des Geräts wird allerdings hierdurch kompromittiert, da neben dem Rooten des Geräts auch weitere Apps installiert werden können, die aufgrund des veralteten Android-Systems ein hohes Risiko mit sich bringen.
Apps
Über den Apple App Store bzw. Google PlayStore wird von Lidl auch eine App zur Verfügung gestellt.
Diese hat allerdings nur denselben Funktionsumfang wie die Monsieur Cuisine Webseite. Beide ermöglichen dem Nutzer, sich von Lidl kuratierte oder von anderen Nutzern veröffentlichte Rezepte anzusehen oder selbst einzustellen. Rezepte können weiterhin auch als Favoriten markiert werden. Diese werden, vorausgesetzt, die Kochanweisungen sind von Lidl bereitgestellt, mit dem Monsieur Cuisine Connect synchronisiert.
Die vom Bremer Unternehmen Appfarms entwickelte App kommuniziert stets TLS1.3-verschlüsselt mit Servern der Domain monsieur-cuisine.com. Die Website wird von CloudFlare geschützt, daher werden alle Anfragen über amerikanische Server des Anbieters geleitet. Da CloudFlare ebenfalls Zertifikatsaussteller ist, ist es diesem Dienst daher technisch möglich, sämtliche übertragenen Daten im Klartext einzusehen.
Die App speichert die Zugangsdaten des Benutzers in den Appdaten im Klartext ab. Dieser Speicherbereich ist im Standard nur von der App selbst einsehbar, also insoweit unbedenklich. Allerdings kann dies auf absichtlich oder durch Malware gerooteten Geräten dazu führen, dass diese Daten ausgespäht werden. Wir empfehlen die Implementation des Android KeyStores, um die Zugangsdaten zusätzlich verschlüsselt und gesichert abzulegen.
Online-Kommunikation
Da die Monsieur Cuisine App letztlich nur die Website anzeigt, konzentrieren wir uns in diesem Bereich ausschließlich auf die Kommunikation des Geräts an sich.
Zu Beginn und Ende jeder Aktion des Geräts (Kneten, Kochen, Zerkleinern etc.) wird „mc20.monsieur-cuisine.com“ TLS1.2-verschlüsselt angesprochen. Gesendete Informationen enthalten Informationen über die Nutzung des Geräts, beispielsweise auch der integrierten Programme (Dampfgaren, Braten, Kneten). Auch bei längerem Betrieb wurde aber insgesamt sehr wenig Internetkommunikation festgestellt.
Während des Tests kam es zum Ausfall der Kommunikation, da das von Let’s Encrypt ausgestellte Zertifikat der Domain abgelaufen war. Dies wurde allerdings zwischenzeitlich erneuert und das Problem zumindest bis zum 26.05.2020 vorerst behoben.
Datenschutz
Die Datenschutzerklärung von monsieur-cuisine.com bezieht sich hauptsächlich auf die Webseite bzw. die dazugehörige App. Der Monsieur Cuisine Connect wird nur in Nebensätzen erwähnt. Da im Standard auch Nutzungsdaten an die Cloud gesendet werden, vermissen wir einen Passus dazu, welche Daten hierin enthalten sind. Es gibt zwar in den Einstellungen des Geräts einen Punkt, wo das Senden von Nutzungsdaten deaktiviert werden kann – im Rahmen des Tests wurden aber dennoch bei Start und Ende jeder Aktion Daten gesendet.
Das Gerät ist abgesehen von dem Senden von Nutzungsdaten sehr datensparsam, außerdem muss kein Kundenkonto angelegt werden, um es in Betrieb zu nehmen. Dass die Website des Herstellers durch CloudFlare gegen Angriffe geschützt wird, findet in der Datenschutzerklärung keine Erwähnung und muss nachgetragen werden. Der nicht unumstrittene Dienstleister (in diesem Fall Auftragsverarbeiter) kann technisch gesehen alle über die Website übertragenen Daten mitlesen.
Vor einigen Wochen gab es diverse Artikel darüber, dass das Gerät ein verstecktes Mikrofon verbaut hat und „Hacker“ mitlauschen könnten. Dass Lidl hierüber unberechtigterweise Daten aufzeichnet, können wir nicht bestätigen. Beide vorinstallierten Lidl Anwendungen haben aktuell keinerlei Berechtigung, hierauf zuzugreifen. Dies wird durch das Berechtigungskonzept von Android abgesichert. Erst wenn sich der Nutzer mittels oben genannter Methoden dazu entschließt, das Android-System zu „öffnen“ und andere Apps zu installieren, besteht die theoretische Möglichkeit der Nutzung und somit die von vielen Nachrichtenagenturen propagierte Gefahr.
Fazit
Lidl hat unter der Marke Silvercrest mit dem Monsieur Cuisine Connect eine preislich attraktive, smarte Küchenmaschine auf den Markt gebracht. Die eingesetzte Android-Version ist veraltet, allerdings ab Werk gut abgeschottet. Im Bereich Datenschutz gibt es Beanstandungen, die dazu führen, dass wir in der Gesamtwertung einen Stern abziehen.
Previous article 
