Cyberangriff auf LOXONE: Interne Systeme betroffen, Miniserver laut Hersteller nicht
Der Gebäudeautomations-Hersteller LOXONE meldet einen Cyberangriff auf interne Unternehmenssysteme, festgestellt am 18. Oktober 2026. Miniserver, Remote Connect und Exosphere sind laut LOXONE nicht betroffen. Art des Angriffs und möglicher Datenabfluss sind noch unklar.
Der österreichische Hersteller für Haus- und Gebäudeautomation LOXONE hat einen Cyberangriff auf seine internen Unternehmenssysteme gemeldet. Laut einer Mitteilung auf der eigenen Website hat das Unternehmen den Angriff am 18. Oktober 2026 festgestellt. Nach Angaben von LOXONE sind die Miniserver in Kundeninstallationen sowie die Dienste Remote Connect und Exosphere nicht betroffen, die Installationen laufen demnach uneingeschränkt weiter.
Betroffen sind nach aktuellem Stand also die internen IT-Systeme des Herstellers, nicht die Gebäudesteuerung vor Ort. Welche Systeme genau angegriffen wurden, welche Art von Angriff vorliegt und ob Daten abgeflossen sind, hat LOXONE bisher nicht mitgeteilt. Eine konkrete Handlungsaufforderung an Kunden oder Partner enthält die Mitteilung nicht. Betreiber und Integratoren müssen daher heute nicht hektisch eingreifen, sollten aber einige allgemeine Vorsichtsmaßnahmen prüfen.
Was LOXONE mitteilt
Die Startseite von loxone.com zeigt derzeit statt des üblichen Webauftritts eine Seite mit dem Titel „Wichtige Information zu einem Cyberangriff auf LOXONE“. Die Mitteilung liegt in mehreren Sprachen vor, unter anderem auf Deutsch und Englisch. Inhaltlich enthält sie vier Punkte:
- Zeitpunkt: Der Cyberangriff auf interne Unternehmenssysteme wurde am 18. Oktober 2026 festgestellt.
- Nicht betroffen: Miniserver, Remote Connect, Exosphere und „andere Services“. LOXONE Installationen laufen laut Hersteller uneingeschränkt weiter.
- Maßnahmen: Die betroffenen Systeme wurden laut LOXONE umgehend isoliert, forensische Analysen wurden eingeleitet. Externe IT-Sicherheitsexperten und IT-Forensiker unterstützen bei der Aufarbeitung.
- Behörden: Die zuständigen Behörden sind nach Angaben des Unternehmens informiert.
Für Fragen nennt LOXONE die Adresse support@loxone.com, die rund um die Uhr erreichbar sein soll. Weitere Informationen kündigt das Unternehmen an: Man werde „offen und transparent auf dem Laufenden“ halten.
Wer ist betroffen?
Nach Darstellung des Herstellers trifft der Vorfall LOXONE selbst, nicht die Gebäude der Kunden. LOXONE begründet das mit der Architektur: Miniserver arbeiten lokal und unabhängig von LOXONE Services, mit eigenen Zugangsdaten, und steuern die Gebäudetechnik eigenständig vor Ort. Die Miniserver-Architektur setze von Anfang an auf lokale Benutzer ohne zentralen Angriffspunkt.
Günter Born berichtet in Borns IT- und Windows-Blog am 19. Oktober 2026 ebenfalls über den Vorfall. Er verweist darauf, dass LOXONE die Meldung auch über seinen Facebook-Kanal verbreitet hat, und interpretiert sie so, dass Automatisierungssysteme, Miniserver und die Cloud-Dienste des Herstellers nicht betroffen sind. Über die genauen Folgen gebe es noch keine Informationen. Weitere Berichte großer Fachmedien lagen bei Redaktionsschluss nicht vor.
Was noch unklar ist
Die Mitteilung ist bewusst knapp gehalten. Zu mehreren Fragen, die für Partner und Kunden wichtig sind, gibt es bislang keine Angaben:
- Art des Angriffs: ob es sich um Ransomware, einen Datendiebstahl oder einen anderen Angriff handelt, ist nicht bekannt.
- Datenabfluss: ob Kunden-, Partner- oder Mitarbeiterdaten abgeflossen sind, hat LOXONE nicht mitgeteilt.
- Betroffene Systeme: welche internen Systeme isoliert wurden, etwa Webshop, Partnerportal oder interne Verwaltung, ist offen.
- Täter: ein Bekennerschreiben oder eine Zuordnung zu einer Gruppe ist nicht bekannt.
- Kundenkonten: eine Aufforderung zum Ändern von Passwörtern gibt es in der Mitteilung nicht.
Bis LOXONE weitere Details veröffentlicht, sollten Spekulationen über das Ausmaß vermieden werden. Die Formulierung „interne Unternehmenssysteme“ lässt keinen Rückschluss darauf zu, ob personenbezogene Daten betroffen sind.
Was Admins jetzt tun sollten
Auch wenn die Installationen laut Hersteller nicht betroffen sind, ist ein Sicherheitsvorfall bei einem Lieferanten ein guter Anlass für eine Bestandsaufnahme. Die folgenden Punkte sind allgemeine Vorsichtsmaßnahmen und keine Empfehlungen von LOXONE:
- Inventar und Firmware prüfen: Erfassen, welche Miniserver in welchen Objekten laufen, welche Firmware-Version installiert ist und wer dafür zuständig ist. Das erleichtert die Reaktion, falls LOXONE später konkrete Hinweise veröffentlicht.
- Offizielle Kanäle verfolgen: Neue Informationen nur über die Website des Herstellers und bekannte Supportwege einholen, nicht über Links in unaufgeforderten Nachrichten.
- Phishing-Wachsamkeit: Bekannt gewordene Sicherheitsvorfälle werden häufig für gefälschte Mails genutzt. Nachrichten im Namen von LOXONE, die zu Passwortänderungen, Zahlungen, geänderten Bankverbindungen oder Firmware-Downloads auffordern, kritisch prüfen. Das BSI beschreibt typische Merkmale.
- Kundenkonto und Partnerportal absichern: Für das LOXONE-Konto ein eigenes, starkes Passwort verwenden, das nirgends sonst genutzt wird. Sollte LOXONE eine Passwortänderung empfehlen, diese über die bekannte Adresse direkt im Browser durchführen.
- Mehrfaktor-Anmeldung nutzen: Wo verfügbar, für Herstellerkonten, Fernwartungswerkzeuge und zugehörige Mailkonten eine Zwei-Faktor-Anmeldung aktivieren.
- Fernzugriff auf Miniserver prüfen: Nicht mehr benötigte Benutzer entfernen, Standard- oder Sammelkonten vermeiden und direkt ins Internet freigegebene Ports kritisch hinterfragen. Ein VPN als Zugang ist eine übliche Alternative.
- Update-Quellen kontrollieren: Firmware und Software ausschließlich aus offiziellen Quellen beziehen, keine Dateien aus Mailanhängen oder fremden Downloadseiten einspielen.
- Kunden informieren: Integratoren können Endkunden sachlich auf die Mitteilung hinweisen, damit diese bei verdächtigen Nachrichten nachfragen statt klicken.
Einordnung
Für Betreiber von Gebäudeautomation ist die wichtigste Aussage, dass die Steuerung vor Ort nach Angaben von LOXONE ohne Einschränkung weiterläuft. Die lokale Architektur mit eigenen Zugangsdaten pro Miniserver ist in diesem Fall ein Vorteil: Ein Angriff auf die Unternehmens-IT des Herstellers führt nicht automatisch zu einem Zugriff auf die Anlagen.
Offen bleibt, welche Folgen der Vorfall für Kundendaten, Partnerprozesse oder Lieferketten hat. Die Ankündigung, transparent zu informieren, ist ein positives Signal. Belastbar bewerten lässt sich der Vorfall erst, wenn LOXONE Details zu Art und Umfang des Angriffs nennt. S-EDV berichtet, sobald neue Angaben vorliegen.
Passende Anleitungen auf S-EDV
- WireGuard mit wg-easy per Docker einrichten: Fernzugriff per VPN statt offener Ports.
- 2FA-QR-Generator: TOTP-Secret als QR-Code für Authenticator-Apps
- ioBroker auf der Synology als Smart-Home-Zentrale
