Die kurze Antwort
Beim Gebäudeautomations-Hersteller Loxone aus Kollerschlag (Oberösterreich) haben Angreifer in der Nacht auf den 18. Oktober 2026 über einen Webserver interne Systeme kompromittiert und nach eigener Darstellung rund 201,6 GB Daten kopiert. Loxone bestätigt den Abfluss von CRM-Daten mit Kontaktdaten von Geschäftspartnern, von Supportanfragen und von Bewerberdaten. Miniserver, Remote Connect und Exosphere sind laut Hersteller nicht betroffen, Kundenanlagen laufen ohne Einschränkung weiter.
Für Unternehmen, die selbst vernetzte Geräte oder Partnerportale betreiben, ist das eine Lehrstunde in Architektur: Weil die Steuerungen ihre Zugangsdaten lokal halten, blieb das Produkt verschont. Die Schwachstelle lag in der klassischen Unternehmens-IT. Wer diese Grenze bewusst zieht und regelmäßig über Penetrationstests und Sicherheitsaudits prüft, begrenzt den Schaden, bevor ein Erpresser die Frist setzt.
Wie lief der Angriff ab?
Die Alarme schlugen laut den Oberösterreichischen Nachrichten in der Nacht von Samstag auf Sonntag gegen drei Uhr an. Am Wochenende veränderten die Angreifer zudem die Loxone-Website und platzierten dort ihre Botschaft. „Der Angriff kam über einen unserer Webserver“, sagte Florian Wöss aus der Geschäftsführung dem ORF Oberösterreich. Das Unternehmen fuhr alle Systeme herunter, isolierte die betroffenen Bereiche, informierte die zuständigen Behörden und zog externe Forensiker hinzu.
Am Montag, dem 19. Oktober, wurden Belegschaft und Öffentlichkeit informiert. Website und Onlineshop blieben vorsorglich offline, ab dem 20. Oktober begann laut Borns IT-Blog die schrittweise Wiederherstellung der Website. Die Gruppe „Samurai“ droht auf ihrer Erpresserseite mit der Veröffentlichung der Daten, falls keine Verhandlungen zustande kommen. Den finanziellen Schaden konnte Loxone zum Zeitpunkt der ersten Berichte noch nicht beziffern.
Welche Daten sind betroffen und welche nicht?
Wichtig ist die Trennung zwischen dem, was Loxone bestätigt, und dem, was die Angreifer behaupten:
| Kategorie | Status | Quelle |
|---|---|---|
| CRM: Kontaktdaten von Geschäftspartnern, vor allem Elektroinstallationsbetrieben | betroffen | Loxone |
| Supportanfragen | betroffen | Loxone |
| Bewerberdaten | betroffen | Loxone |
| Register mit rund 300.000 Miniserver-Seriennummern und Projektnamen | behauptet | Liste der Angreifer, laut heise |
| Angaben zu Microsoft-365-Konten und SSO-Logins | behauptet | Liste der Angreifer, laut heise |
| Firmenpostfächer, Gehaltsabrechnungen | teils veraltet | Loxone |
| Zugangsdaten von Kundeninstallationen | nicht betroffen | Loxone |
| Kreditkarten- und Zahlungsdaten, Quellcode, sensible Produktinformationen | nicht betroffen | Loxone |
Der zentrale Satz des Herstellers lautet: Loxone führt keine zentrale Datenbank mit Zugangsdaten von Kundeninstallationen. Benutzer und Passwörter liegen ausschließlich lokal auf dem jeweiligen Miniserver. Genau diese Architekturentscheidung verhindert, dass aus einem Einbruch in die Unternehmens-IT ein Zugriff auf Tausende Gebäude wird.
Was bedeutet das für Elektro-Partner?
Für Elektroinstallateure im DACH-Raum ist der Vorfall kein abstraktes Risiko. Wer Projektnamen, Ansprechpartner und offene Supportfälle kennt, kann sehr glaubwürdige Phishing-Mails schreiben: eine angebliche Rechnung zu einem echten Projekt, eine „dringende Firmware-Aktion“ oder eine Bitte um neue Bankverbindung. Loxone kündigte an, Betroffene direkt per E-Mail zu informieren. Sinnvoll sind jetzt diese Schritte:
- Rückfragen verifizieren: Zahlungs- oder Kontoänderungen nur über bekannte Telefonnummern bestätigen, nie über Links in der Mail.
- Passwörter ändern: Zugänge zu Partner- und Herstellerportalen neu setzen, vor allem wenn dasselbe Passwort anderswo genutzt wird.
- Mehrfaktor aktivieren: für E-Mail, Portale und Fernwartungszugänge.
- Kunden vorwarnen: Endkunden auf mögliche Anrufe oder Mails mit Projektbezug hinweisen.
Bei Bewerberdaten greift zusätzlich die DSGVO-Meldepflicht gegenüber den Betroffenen, wenn ein hohes Risiko besteht. Unternehmen, die selbst Bewerber- oder Partnerdaten verarbeiten, sollten ihre Prozesse für solche Fälle vorab mit DSGVO-Beratung festlegen statt im Ernstfall zu improvisieren.
Welche Lehren ziehen Hersteller vernetzter Produkte?
Der Fall reiht sich in eine Serie ein: Laut unserer Auswertung erreichte Ransomware im DACH-Raum im ersten Halbjahr 2026 einen Rekord. Für Hersteller von Geräten, Maschinen und Gebäudetechnik lassen sich aus Loxone vier Punkte ableiten:
- Geräte-Vertrauen von Unternehmens-IT trennen. Zugangsdaten gehören auf das Gerät oder in einen separat gehärteten Dienst, nicht in dieselbe Umgebung wie CRM und Website. Das gilt bereits beim Design der Embedded- und Firmware-Entwicklung.
- Öffentliche Webserver als Hochrisikozone behandeln. Websites, Shops und Portale sind der häufigste Einstieg. Segmentierung, aktuelle Patches und regelmäßige externe Tests sind Pflicht, nicht Kür.
- Datenminimierung im CRM. Veraltete Postfächer und alte Gehaltsabrechnungen hätten gar nicht mehr erreichbar sein dürfen. Was gelöscht ist, kann nicht erpresst werden.
- Krisenkommunikation vorbereiten. Loxone hat früh klar kommuniziert, was nicht betroffen ist. Das hat Kunden beruhigt und Spekulationen gebremst. Mit dem Cyber Resilience Act steigen für Hersteller in der EU ohnehin die Pflichten bei Sicherheitsvorfällen.
Häufige Fragen
Was ist beim Cyberangriff auf Loxone passiert?
In der Nacht von Samstag auf Sonntag, dem 18. Oktober 2026, verschafften sich Angreifer laut Unternehmen über einen Webserver Zugang zu internen Systemen des Gebäudeautomations-Herstellers aus Kollerschlag in Oberösterreich. Die Gruppe „Samurai“ gibt an, rund 201,6 GB Daten kopiert und verschlüsselt zu haben.
Sind Loxone-Miniserver und Kundenanlagen betroffen?
Nein. Laut Loxone liegen Benutzer- und Zugangsdaten ausschließlich lokal auf dem Miniserver. Miniserver, Remote Connect und Exosphere sind nach Angaben des Herstellers nicht betroffen, Anlagen laufen ohne Einschränkungen weiter.
Welche Daten wurden kopiert?
Loxone bestätigt Daten aus dem CRM mit Kontaktdaten von Geschäftspartnern, vor allem Elektroinstallationsbetrieben, sowie Supportanfragen und Bewerberdaten. Kreditkarten- und Zahlungsdaten, Quellcode und sensible Produktinformationen sind laut Unternehmen nicht betroffen.
Was sollten Loxone-Partner jetzt tun?
Partnerbetriebe sollten mit gezielten Phishing-Mails rechnen, die echte Projekt- oder Supportdetails zitieren. Rückfragen zu Zahlungen oder Zugangsdaten nur über bekannte Kanäle verifizieren, Passwörter für Partnerportale ändern und Mehrfaktor-Authentifizierung aktivieren.
Quellen
heise online — Gebäudeautomatisierungsanbieter Loxone ist Opfer eines Cyberangriffs (19. Oktober 2026)
ORF Oberösterreich — Cyberattacke auf Smart-Home-Spezialist Loxone (19. Oktober 2026)
Oberösterreichische Nachrichten — Nach Cyberattacke auf Loxone in Kollerschlag (19. Oktober 2026)
Borns IT- und Windows-Blog — Sicherheitsvorfall bei Loxone (19. Oktober 2026)