Loxone-Angriff traf CRM und Bewerberdaten – der Umfang bleibt offen

Loxone entdeckte am 18. Oktober 2026 einen Cyberangriff auf interne Systeme am Unternehmenssitz in Kollerschlag. Laut der aktualisierten Mitteilung von Loxone sind insbesondere das CRM mit Daten von Partnerbetrieben und das Bewerbermanagement betroffen. Das Unternehmen geht davon aus, dass Daten aus diesen Systemen kopiert wurden. Welche Datensätze und Personen konkret betroffen sind, wird noch untersucht.

Für Geschäftspartner und Bewerber steht damit vor allem die Frage im Raum, ob ihre eigenen Angaben unter den kopierten Daten sind. Im ORF-Bericht vom 19. Oktober sagte Florian Wöss aus der Geschäftsführung: „Wir wissen, dass der Angriff über einen unserer Webserver gekommen ist“; der Sender nannte zudem die Hackergruppe „Samurai“ und hielt fest, dass sich die Schadenshöhe noch nicht beziffern ließ. Kundeninstallationen laufen nach den Angaben des Unternehmens weiter.

Welche Angaben aus CRM und Bewerbermanagement betroffen sein können

Als mögliche Inhalte der kopierten Daten nennt Loxone Kontaktdaten von Geschäftspartnern, Support-Anfragen und Bewerberdaten. Für Partner geht es damit um Informationen aus der laufenden Geschäftsbeziehung und aus Anfragen an den Support; für Bewerber um Angaben, die im Bewerbungsverfahren gespeichert wurden. Die betroffenen Systeme sind benannt, doch eine Zuordnung einzelner kopierter Datensätze zu Personen liegt öffentlich noch nicht vor.

Diese Unterscheidung ist für Betroffene entscheidend. Ein Eintrag im CRM oder eine frühere Bewerbung bedeutet für sich genommen noch nicht, dass die zugehörigen Daten tatsächlich kopiert wurden. Umgekehrt lässt sich aus dem bisherigen Stand auch keine Entwarnung für einen bestimmten Partner oder Bewerber ableiten. Erst die forensische Untersuchung kann klären, welche Inhalte die Angreifer erlangt haben und wen Loxone deshalb individuell informieren muss.

Kreditkarten- und Bankdaten gehören nach dem veröffentlichten Ermittlungsstand nicht zu den betroffenen Daten. Für LOXONE.com-Konten und deren Passwörter gibt es bislang keine Hinweise auf eine Kompromittierung; die Authentifizierungsinfrastruktur wird getrennt von den angegriffenen internen Systemen betrieben. Auch die Zugangsdaten für das Partner Portal werden auf separater Infrastruktur verwaltet. Diese Aussagen betreffen jeweils bestimmte Daten und Dienste und ersetzen keine Feststellung zum noch offenen Umfang der kopierten CRM- und Bewerberdaten.

Vom Alarm zur schrittweisen Wiederherstellung

Nach der Entdeckung des Angriffs wurden die betroffenen internen Systeme isoliert und der Angriffsweg untersucht. Ein Bericht von brutkasten vom 19. Oktober beschreibt die Arbeit interner IT-Fachleute mit externen Sicherheits- und Forensikexperten sowie die Information der zuständigen Behörden. Loxone nimmt Dienste erst nach Sicherheitsprüfungen wieder in Betrieb; der Wiederanlauf betrifft daher einzelne Systeme und Geschäftsabläufe zu unterschiedlichen Zeitpunkten.

Am Unternehmenssitz werden Bestellungen wieder bearbeitet und versendet. Die Logistikstandorte in den USA, Großbritannien und der Schweiz sind ebenfalls wieder in Betrieb. Partner können Bestellungen vorerst weiter an [email protected] schicken. Der technische Support ist unter [email protected] und über die üblichen Telefonkanäle erreichbar. Damit sind Bestellung, Versand und Support wieder möglich, auch während andere digitale Zugänge noch auf ihre öffentliche Freischaltung warten.

Website, Webshop und Partner Portal sind nach dem jüngsten Unternehmensupdate technisch wiederhergestellt und nach internen sowie externen Penetrationstests intern zur Wiederinbetriebnahme freigegeben. Öffentlich zugänglich machen will Loxone sie erst nach weiteren Sicherheitsupdates. Für Partner besteht deshalb ein Unterschied zwischen der technischen Wiederherstellung des Portals und einem bereits nutzbaren Zugang. Die zeitliche Lücke kann die gewohnten Abläufe bei Bestellungen und Partneranfragen weiter beeinflussen.

Bei der Wiederherstellung wurden betroffene CRM-Schnittstellen neu eingerichtet und Authentifizierungsmechanismen erneuert oder rotiert. Loxone konnte außerdem von den Angreifern verschlüsselte Datenbanken für die Analyse entschlüsseln. Das ermöglicht weitere Untersuchungen und den Betrieb abgesicherter Systeme; eine Zahl der kopierten Datensätze oder eine bezifferte wirtschaftliche Schadenshöhe ergibt sich daraus noch nicht.

Warum Gebäudeinstallationen weiterlaufen

Die angegriffenen Geschäftssysteme und die Steuerung installierter Gebäude erfüllen unterschiedliche Aufgaben. Loxone Miniserver arbeiten lokal mit eigenen Zugangsdaten und steuern die Gebäudetechnik vor Ort. Remote Connect und Exosphere sind nach den bisherigen Prüfungen ebenfalls nicht betroffen und weiter verfügbar. Der Vorfall in der Unternehmens-IT führt damit nach dem bekannten Stand nicht zu einem Ausfall der bereits installierten Gebäudeautomation.

Eine gesonderte Vorsichtsmaßnahme betrifft Zugangsdaten zu Kundeninstallationen, die Kunden oder Partner Loxone früher möglicherweise im Klartext übermittelt haben. Das Unternehmen hat betroffene Datenbestände und Kommunikationsverläufe darauf geprüft, relevante Partner kontaktiert und Sicherheitsmaßnahmen eingeleitet. Diese Prüfung bezieht sich auf übermittelte Informationen. Sie ist keine Feststellung, dass lokal auf Miniservern gespeicherte Zugangsdaten abgeflossen sind.

Wie Partner und Bewerber informiert werden

Loxone will Personen, deren Daten nachweislich betroffen sind, gemäß den gesetzlichen Vorgaben direkt informieren; für Partner ist eine Benachrichtigung per E-Mail angekündigt. Eine allgemeine Nachricht zum Betriebsstand ist dabei von einer Mitteilung über konkrete eigene Daten und erforderliche Sicherheitsmaßnahmen zu unterscheiden. Auch Bewerber können aus dem Angriff auf das Bewerbermanagement allein noch nicht schließen, ob ihre Bewerbung zu den kopierten Datensätzen gehört.

• Partner können auf eine individuelle Mitteilung achten, die ihre Betroffenheit und gegebenenfalls konkrete Sicherheitsmaßnahmen nennt. Für Fragen zum Vorfall ist der technische Support unter [email protected] erreichbar.
• Bewerber können eine direkte Benachrichtigung zu ihren Daten abwarten. Der bisher bekannte Systembezug erlaubt keine verlässliche Aussage über eine einzelne Bewerbung.
• Eine Aufforderung, Passwörter per E-Mail, Telefon, SMS oder sozialen Medien preiszugeben, gehört nicht zu Loxones angekündigtem Informationsweg. Solche Anfragen sollten Betroffene nicht beantworten.

Die nächste für Partner und Bewerber wesentliche Erkenntnis ist die Zuordnung der kopierten Inhalte zu einzelnen Betroffenen. Davon hängt ab, wen Loxone gezielt benachrichtigt und welche Maßnahmen für diese Personen erforderlich sind. Auch die geschäftliche Schadenshöhe lässt sich erst mit fortschreitender Untersuchung und Wiederherstellung belastbarer einschätzen.

Lesen Sie auch:

• PaperCut unter aktiven Angriffen: Alle NG- und MF-Versionen betroffen
• Nvidia kauft Hugging Face – die offene Plattform soll offen bleiben
• DeepL Write oder Grammarly: Deutsch und Datenstandort trennen die Tools