Loxone: Die Cloud-freie Entscheidung, die beim Cyberangriff half

Das oberösterreichische Technologieunternehmen Loxone wurde am Sonntag, dem 18. Oktober 2026, Opfer eines Cyberangriffs auf seine internen Unternehmenssysteme. Nach eigenen Angaben blieben Kundeninstallationen und Online-Dienste davon unberührt. Möglich wurde das laut Unternehmen durch eine Grundsatzentscheidung aus der Produktentwicklung: ein Cloud-free-Prinzip, bei dem die zentralen Steuergeräte unabhängig vom Internet arbeiten.

Cyberangriffe auf Unternehmen sind in Österreich keine Ausnahme. Laut Bundeskriminalamt werden im Land durchschnittlich mehr als 1.200 Cyberattacken pro Woche angezeigt. Vor diesem Hintergrund zeigt der Fall Loxone, wie eine technische Grundsatzentscheidung im Ernstfall über das Ausmaß eines Schadens entscheiden kann.

Wie konnte der Angriff die Kunden verschonen?

Loxone setzt bei seinen sogenannten Miniservern auf ein Cloud-free-Prinzip. Diese Geräte steuern bei Kunden Gebäudetechnik wie Licht, Heizung oder Beschattung lokal vor Ort und arbeiten unabhängig von zentralen Servern. Für den laufenden Betrieb benötigen sie laut Unternehmen weder eine Verbindung zu Loxone-Servern noch zum Internet.

Diese technische Trennung zwischen interner Unternehmens-IT und den bei Kunden installierten Geräten wirkte sich beim Angriff aus: Er richtete sich gegen interne Systeme, nicht gegen die Steuerungstechnik in Gebäuden. Nutzer können ihre Systeme nach Angaben des Unternehmens uneingeschränkt weiterverwenden.

Was unternimmt Loxone jetzt?

Nach Bekanntwerden des Angriffs reagierte das Unternehmen umgehend und leitete mehrere Schritte ein, die es wie folgt bestätigt hat:

• Betroffene Systeme wurden isoliert, um eine weitere Ausbreitung zu verhindern.
• Die zuständigen Behörden wurden über den Vorfall informiert.
• Interne IT-Spezialisten arbeiten gemeinsam mit externen Cybersecurity-Experten und IT-Forensikern an der Aufklärung.
• Personen mit nachweislich betroffenen Daten sollen gemäß den gesetzlichen Vorgaben benachrichtigt werden.

Eine abschließende Bewertung des Angriffs steht noch aus. Das Unternehmen hat angekündigt, betroffene Personen entsprechend den gesetzlichen Vorgaben zu informieren, sobald die Auswertung weiter fortgeschritten ist.