Loxone-Cyberangriff: Die Miniserver laufen. Die Adressliste der Installateure ist weg.

01 Was abgeflossen ist und was nicht

Bestätigt hat Loxone Folgendes: Betroffen sind vor allem das CRM mit Geschäftsdaten der Partner und das Bewerbermanagement. Aus diesen Systemen wurden Daten kopiert. Der genaue Umfang wird noch geprüft [ Loxone 2026 ] . Das CRM und die Datenbank der Website seien «korrumpiert», zitiert heise das Unternehmen. Den Angriffsweg hat Loxone nach eigenen Angaben mit externen Forensikern identifiziert und geschlossen, nennt ihn aber nicht.

Die Miniserver arbeiten lokal. Benutzer und Passwörter liegen auf dem Gerät im Gebäude, Loxone führt keine zentrale Datenbank mit Zugangsdaten von Kundenanlagen [ heise 2026 ] . Eine weltweite Überwachung fand bis zum 22. Oktober keine Vorfälle an Installationen. Am 21. Oktober waren Website, Webshop und Partnerportal nach Penetrationstests technisch wiederhergestellt. Die CRM-Middleware hat Loxone neu aufgebaut. Die Logistik in der Schweiz läuft wieder [ Loxone 2026 ] .

Weiter gehen Screenshots, die im Loxforum kursieren. Sie nennen Angaben zu Microsoft-365-Konten, SSO-Logins und ein Register mit 300’000 Miniserver-Seriennummern samt Projektnamen. Loxone hat diese Liste nicht bestätigt [ heise 2026 ] . Behandeln Sie sie als Behauptung der Täter, bis Loxone etwas anderes sagt.

02 Warum Partnerdaten Phishing-Rohmaterial sind

Eine Kontaktliste klingt harmlos. Name, Firma, Telefon, E-Mail. Für einen Betrüger ist sie der teuerste Teil der Vorbereitung. Er muss niemanden mehr raten. Er weiss zum Beispiel, dass ein Elektrobetrieb in Winterthur Loxone-Partner ist, wer dort die Bestellungen macht und dass der Betrieb zuletzt ein Supportticket zu einem Miniserver offen hatte.

Damit schreibt er eine Mail, die wie Tagesgeschäft aussieht. Eine «Aktualisierung Ihres Partnerkontos nach dem Sicherheitsvorfall». Eine «neue Bankverbindung für offene Rechnungen». Eine «Rückfrage zu Ihrem Ticket», mit Link auf ein falsches Partnerportal. Die Mail nennt den richtigen Namen und den richtigen Fall. Sie kommt in der Woche, in der alle ohnehin Post von Loxone zum Angriff erwarten.

Die Supportanfragen sind der heiklere Teil. Wer je ein Problem mit einer Kundenanlage gemeldet hat, hat oft mehr geschickt als eine Beschreibung: Projektname, Adresse des Objekts, Screenshots, im schlechtesten Fall ein Passwort, damit der Support schneller helfen kann. Loxone hat nach eigenen Angaben geprüft, ob Partner oder Kunden Zugangsdaten im Klartext geschickt haben, und die betroffenen Partner informiert [ Loxone 2026 ] . Ein Anruf von Loxone ist in diesem Fall ein Grund, sofort zu handeln.

Die Bewerberdaten treffen eine dritte Gruppe. Wer sich bei Loxone beworben hat, auch aus der Schweiz, bekommt womöglich bald ein «Jobangebot» mit Anhang. Gefälschte Rekrutierungsmails mit Schadsoftware sind ein bekanntes Muster. Die Bewerbungsunterlagen liefern dem Absender Lebenslauf und Wunschstelle gleich mit.

03 Woran Sie eine gefälschte Loxone-Mail erkennen

Die beiden genannten Domains zeigen, wie wenig fehlen muss. Bei «loxon.com» fehlt ein Buchstabe, bei «luxone.com» ist einer vertauscht. Auf dem Smartphone, zwischen zwei Baustellen, liest das niemand Buchstabe für Buchstabe. Deshalb helfen technische Prüfungen mehr als guter Wille:

• Antwortadresse prüfen. Der angezeigte Name lautet «Loxone Partner Support». Entscheidend ist die Adresse dahinter und die Adresse, an die Ihre Antwort geht. Beide müssen auf @loxone.com enden.
• Portal selbst ansteuern. Öffnen Sie das Partnerportal über ein eigenes Lesezeichen. Wer über den Link in einer Mail auf eine Login-Seite kommt, gibt sein Passwort im Zweifel dem Angreifer.
• Jede neue IBAN ist falsch. Loxone hat seine Bankdaten nicht geändert. Eine Mail, die das Gegenteil behauptet, ist Betrug, auch wenn Rechnungsnummer und Betrag stimmen.
• Zurückrufen, auf eine Nummer, die Sie schon kennen. Die Nummer in der Mail gehört dem Absender. Für dringende Bestellungen nennt Loxone orders@loxone.com, für den Support support@loxone.com.
• Lookalike-Domains sperren. Ihr IT-Partner kann loxon.com, luxone.com und ähnliche Schreibweisen im Mailfilter blockieren.

Wer bereits auf einer verdächtigen Seite ein Passwort eingegeben hat, ändert es sofort [ Loxone 2026 ] . Und zwar überall dort, wo es auch verwendet wurde. Verdächtige Mails können Sie dem Bundesamt für Cybersicherheit BACS über dessen Meldeformular melden. Das hilft anderen Betrieben, die dieselbe Mail bekommen.

04 Was Installateure diese Woche prüfen

Die Miniserver Ihrer Kunden sind laut Loxone nicht betroffen. Die Zugänge dazu verwalten aber Sie. Wer bei Ihnen das Passwort eines Kunden kennt, kann dessen Gebäude steuern: Licht, Storen, Heizung, Zutritt. Ein Angreifer, der das Postfach eines Installateurs übernimmt, findet dort oft genau diese Zugänge. Loxone selbst empfiehlt für Miniserver persönliche Benutzerkonten, nur die nötigen Rechte, befristete Konten für Servicearbeiten und das Löschen nicht mehr gebrauchter Konten [ Loxone 2026 ] .

Der Punkt mit den Fernzugängen ist der unbequemste. In vielen Betrieben liegt dieses Wissen bei zwei, drei Technikern und in deren Mails. Ein Angreifer braucht keine Lücke im Miniserver, wenn er im Postfach eines Technikers eine Liste mit Projektnamen, Adressen und Logins findet. Loxone testet zudem eine Zwei-Faktor-Anmeldung mit der Config-Version 17.2.10.21 [ Loxone 2026 ] . Planen Sie die Umstellung für Ihre Anlagen ein, sobald sie freigegeben ist.

05 Was Bauherren und Facility-Manager fragen

Wer ein Bürogebäude, eine Wohnüberbauung oder ein Hotel mit Loxone betreibt, hat keinen direkten Draht zum Hersteller. Der Draht ist der Installateur. Seine Sicherheit ist Ihre Sicherheit. Drei Fragen genügen, um zu sehen, wo Sie stehen:

1. «Wer hat heute Zugang zu unserer Anlage, und mit welchem Konto?» Verlangen Sie eine Liste. Steht dort ein einziges Konto für den ganzen Betrieb, wissen Sie genug.
2. «Haben Sie unser Passwort je an den Loxone-Support geschickt?» Wenn ja oder unklar: ändern lassen, heute.
3. «Wie merken wir, wenn sich jemand von aussen anmeldet?» Ein Zugang, den niemand überwacht, fällt erst auf, wenn die Storen nachts hochfahren.

Für Verwaltungen kommt das Datenschutzrecht dazu. Wenn Ihr Installateur Daten Ihrer Mieter oder Mitarbeitenden, etwa Namen auf Zutrittsprofilen, in Supportanfragen weitergegeben hat, klären Sie mit ihm, was davon bei Loxone lag. Nach dem DSG bleiben Sie als Verantwortlicher für die Daten zuständig, auch wenn sie bei einem Dienstleister lagen. Den Rahmen dafür haben wir am Fall Publica beschrieben (unsere Publica-Analyse).

06 Die Lehre für jedes Partnernetzwerk

Loxone hat an der richtigen Stelle getrennt. Die Anlagen hängen nicht am CRM. Die Zugangsdaten der Partner lagen auf separater Infrastruktur. Das Unternehmen hat den Vorfall öffentlich gemacht, die Fälschungsdomains genannt und nach Klartext-Passwörtern in den eigenen Tickets gesucht. So sieht eine brauchbare Reaktion aus.

Trotzdem bleibt ein Rest, den keine Architektur löst. Jeder Hersteller mit Händlern, Installateuren oder Franchisenehmern führt eine Liste dieser Partner. Diese Liste ist für Angreifer ein Verzeichnis von Firmen, die dem Absender vertrauen. Für Sie als Schweizer Hersteller oder Grosshändler gelten deshalb drei Fragen:

• Was steht in Ihren Tickets? Supportsysteme sammeln über Jahre Passwörter, Konfigurationen und Kundenadressen. Suchen Sie gezielt nach Zugangsdaten im Klartext und löschen Sie sie.
• Wie erkennen Ihre Partner eine echte Mail von Ihnen? Legen Sie die Regel fest, bevor Sie sie im Ernstfall brauchen: eine Absenderdomain, keine Passwortanfragen, Bankwechsel nur schriftlich und mit Rückruf. Registrieren Sie die naheliegenden Tippfehler-Domains selbst.
• Was erreicht ein Angreifer von Ihrem CRM aus? Bei Loxone lief das Partnerportal auf einem betroffenen Server und musste offline. Prüfen Sie, welche Systeme bei Ihnen mitfallen.

Sie betreuen Dutzende Kundenanlagen mit Fernzugang, oder Sie führen selbst ein Partnernetz? Dann zeigt Ihnen unsere Threat Map, welche Zugänge ein Angreifer aus einem einzigen übernommenen Postfach erreicht und welche Sie zuerst schliessen. Ab CHF 5’000, in 14 Tagen.