Das Gebäudeautomatisierungsunternehmen Loxone aus Österreich wurde am Wochenende Opfer eines Cyberangriffs. Eine kriminelle Bande konnte sich Zugriff auf interne Server verschaffen und Daten kopieren. Die Untersuchungen laufen noch, Kundensysteme sollen jedoch nicht betroffen sein. Loxone hat nach eigenen Angaben die zuständigen Behörden informiert und arbeitet mit externen IT-Forensikern an der Aufklärung.

Inzwischen liefert Loxone auch Informationen zu dem IT-Vorfall auf der Unternehmenswebseite. Zur Entwarnung schreibt der Hersteller: „Benutzer- und Zugangsdaten liegen ausschließlich lokal am Miniserver, nicht bei Loxone. Miniserver, Remote Connect und Exosphere sind nicht betroffen.“ Auf Anfrage von heise online konkretisierte Loxone, dass das Unternehmen keine Datenbank mit Zugangsdaten von Kundeninstallationen hoste, weshalb die Täter darauf keinen Zugriff hätten erhalten können. Zudem seien sie nicht an Kreditkartendaten oder sonstige Zahlungsdaten, Quellcode und sensible Produktinformationen gelangt.

„Betroffen ist das interne CRM-System sowie unser Bewerbermanagement“, erklärt Loxone, Gebäude mit Loxone-Technik funktionierten demnach uneingeschränkt weiter. Zudem wurden demnach Systeme beschädigt: „Unser internes CRM sowie die Datenbank der Website sind korrumpiert. Wir haben alle betroffenen Systeme vorsorglich isoliert und fahren sie jetzt Schritt für Schritt und geprüft wieder hoch.“ Bezüglich der von den Angreifern kopierten Daten teilte Loxone mit: „Es handelt sich insbesondere um Daten aus unseren CRM-Systemen – also Kontaktdaten unserer Partnerbetriebe, vor allem Elektroinstallationsunternehmen – sowie um Support-Anfragen und Bewerberdaten.“ Außerdem sind „einige dieser Daten veraltet, siehe zum Beispiel die Corporate Mailboxes, Inbox Samples, Payslips“, ergänzte das Unternehmen.

Laut dem Defacement der Loxone-Webseite am Wochenende hat eine Gruppierung namens „Samurai“ den Angriff ausgeführt und will dabei rund 200 GByte an Daten kopiert haben. Zu einer Lösegeldforderung möchte Loxone keine Auskunft erteilen, ebenso nicht dazu, welchen Angriffsweg die bösartigen Akteure ausgenutzt haben – diesen haben die IT-Teams jedoch identifiziert und abgedichtet. Einschränkungen im Tagesgeschäft gebe es bei den Kunden nicht, jedoch will Loxone die Webseite und den Onlineshop noch offline lassen.

Screenshots vom Defacement lassen sich noch im Loxforum einsehen. Die Auflistung zeigt Confluence-Daten, wozu Loxone erklärt: „Die Plattform loxwiki wird nicht von Loxone betrieben und läuft nicht auf einer unserer Domains. Auch setzen wir Confluence bei Loxone nicht ein. Es handelt sich hier um ein Community Projekt, welches nicht von Loxone betrieben wird.“ Die Auflistung der offenbar kopierten Daten ist dort noch etwas ausführlicher, so finden sich in den Beispieldaten Informationen zu Microsoft-365-Konten, SSO-Logininformationen und ein Register der Miniserver mit 300.000 Seriennummern und Projektnamen.

Von dem Datenleck Betroffene will Loxone direkt mittels E-Mail kontaktieren.

Zuletzt hatte zum Wochenende ein Cyberangriff auf das Konsortium FLC (Femern Link Contractors) zur Störung der Bauarbeiten am Fehmarnbelt-Tunnel geführt.

(dmk)