Loxone stellt Systeme wieder her und prüft geteilte Zugangsdaten

Was angekündigt wurde

Im offiziellen Update vom 21. Oktober 2026 um 12:02 MESZ teilte Loxone mit, dass Website, Webshop und Partnerportal technisch wiederhergestellt seien und interne sowie externe Penetrationstests bestanden hätten. Öffentlich erreichbar sind sie noch nicht: Das Unternehmen wartet auf ein Update für zwei am 20. Oktober bekannt gegebene kritische PHP-Schwachstellen und will es vor der erneuten Freigabe installieren. Der reguläre Betrieb sei weitgehend wiederhergestellt; die Logistik am Hauptsitz sowie in den USA, Großbritannien und der Schweiz versende wieder.

Laut Loxone ergab die vollständige Prüfung keine Kompromittierung des Quellcodes. Das Unternehmen berichtet, die von den Angreifern verschlüsselten Datenbanken für Analysezwecke entschlüsselt, die betroffene CRM-Middleware neu aufgebaut, Authentifizierungsmechanismen zurückgesetzt oder rotiert und Lieferantenverbindungen geprüft zu haben. Dies sind Angaben des Unternehmens und keine unabhängige Prüfung.

Für Hauseigentümer und Installateure ist die wichtigste neue Information eine Prüfung betroffener Daten und Kommunikationsverläufe auf Fälle, in denen Zugangsdaten zu Anlagen unverschlüsselt übermittelt wurden. Loxone erklärt, die betroffenen Partner bereits proaktiv informiert und Schutzmaßnahmen eingeleitet zu haben. Das bedeutet nicht, dass jedes Haus exponiert ist: Das Unternehmen hält daran fest, keinen Anlagenzugang zu besitzen, sofern ihm die Daten nicht mitgeteilt wurden.

Die frühere FAQ geht weiterhin von kopierten internen Daten aus, möglicherweise Partnerkontakten, Supportanfragen und Bewerberdaten. Der genaue Umfang wird noch untersucht. Loxone erklärt weiterhin, Miniserver, Remote Connect und Exosphere seien nicht betroffen; derzeit gebe es keine Hinweise auf kompromittierte LOXONE.com-Konten, und Bank- oder Kartendaten seien nicht betroffen.

Wer Zugangsdaten einer Anlage jemals an Support oder einen Partner gesendet hat, sollte auf eine direkte offizielle Mitteilung achten und sie im Zweifel gemeinsam mit dem Installateur ändern. Loxone erinnert daran, niemals per E-Mail, Telefon, SMS oder soziale Medien nach Passwörtern zu fragen. Links und Dateneingaben aus ungeprüften Nachrichten sollten vermieden werden, auch wenn sie echt aussehen.