Gebäudeautomatisierungsanbieter Loxone ist Opfer eines Cyberangriffs

Hacker haben sich in die IT-Systeme der Martin-Luther-Universität Halle-Wittenberg eingebrochen und Zugang zu Daten von etwa 51.000 Anwendungen erhalten. Die betroffenen Anträge betreffen das Sommersemester 2026 und das Wintersemester 2026/2027. Laut der Universität haben die Angreifer wahrscheinlich Zugriff auf die Daten. Der Verstoß beinhaltet Namen, Adressen, Telefonnummern, private E-Mail-Adressen, Geburtsdaten, Studienprogramm-Informationen, Zulassungsstatus und Details zum Bewerbungsprozess. Die Universität erklärte, dass die Bewerber möglicherweise Dokumente mit ihren Bewerbungen hochgeladen hätten, auf die auch zugegriffen werden konnte.

Es wird derzeit geprüft, ob und in welchem Umfang diese Daten online veröffentlicht wurden. Die Universität wurde am Mittwoch auf den Vorfall aufmerksam und richtete ein Krisenteam ein. Betroffene Personen werden ständig informiert. Die zuständigen Behörden wurden benachrichtigt und strafrechtliche Anklage erhoben. Details zur Art des Angriffs wurden zunächst nicht bekannt gegeben. Ein ähnlicher Cyberangriff wurde Mitte September an der Ludwig-Maximilian-Universität München festgestellt. Berichte deuten darauf hin, dass bis zu 600.000 Datensätze aus den letzten 50 Jahren betroffen sein könnten, möglicherweise einschließlich der Bankdaten von Studenten. Es ist jedoch unklar, ob die beiden Angriffe miteinander verbunden sind.

Das österreichische Unternehmen für Gebäudeautomation Loxone wurde am Wochenende einem Cyberangriff zum Opfer gefallen. Kriminelle haben Zugang zu internen Servern und kopierten Daten. Die Ermittlungen laufen, aber die Systeme der Kunden sind nicht betroffen. Loxone hat die zuständigen Behörden informiert und arbeitet mit externen IT-Forensik-Experten zusammen, um den Vorfall zu untersuchen. Loxone hat Informationen über den IT-Vorfall auf seiner Unternehmenswebsite veröffentlicht. Das Unternehmen versicherte den Nutzern, dass Login- und Zugriffsdaten lokal auf dem Miniserver und nicht bei Loxone gespeichert werden. Systeme wie Miniserver, Remote Connect und Exosphere sind nicht betroffen.

Loxone stellte klar, dass es keine Datenbank mit Zugangsdaten zur Kundeninstallation hostet, was bedeutet, dass die Angreifer nicht auf diese Informationen zugreifen konnten. Darüber hinaus wurden Kreditkartendaten, andere Zahlungsdaten, Quellcode und vertrauliche Produktinformationen nicht gefährdet. Laut Loxone wurden das interne CRM-System und die Website-Datenbank beschädigt. Alle betroffenen Systeme wurden isoliert und werden nach einer Inspektion schrittweise wiederhergestellt. Die von den Angreifern kopierten Daten bestehen in erster Linie aus Kontaktinformationen für Partnerunternehmen, insbesondere für Elektroinstallationsunternehmen, zusammen mit Supportanfragen und Bewerberdaten.

Einige dieser Daten sind veraltet, darunter Unternehmenspostfächer, Eingangsbeispiele und Gehaltsscheine. Eine Verzerrung der Loxone-Website am Wochenende zeigte, dass eine Gruppe namens "Samurai" den Angriff durchgeführt und angeblich rund 200 Gigabyte an Daten kopiert hat. Loxone kommentierte weder die Lösegeldforderungen noch die von den Angreifern verwendete Methode, obwohl IT-Teams den Zugangspunkt identifiziert und versiegelt haben. Die Kundenbetriebe bleiben unberührt, obwohl die Website und der Online-Shop noch offline sind. Screenshots der Verunstaltung sind noch auf dem Loxforum zu sehen. Die Auflistung enthält Confluence-Daten, die Loxone erklärte, nicht von ihnen betrieben werden und nicht auf einer ihrer Domänen laufen.

Sie verwenden Confluence auch nicht intern. Die Auflistung der offenbar kopierten Daten ist dort detaillierter, einschließlich Informationen über Microsoft 365-Konten, SSO-Anmeldedaten und ein Register von Miniservern mit 300.000 Seriennummern und Projektnamen. Betroffene Personen aus dem Datenleck werden direkt per E-Mail von Loxone kontaktiert. Anfang dieses Wochenendes verursachte ein Cyberangriff auf das Konsortium FLC Störungen bei den Bauarbeiten am Fehmarn-Gürtel-Tunnel.