Loxone Sicherheitsupdate 17.3.11.10: Kritische Lücke im Miniserver – Folgeupdate für unsere Kunden kostenfrei

Stand: Mittwoch, 11. November 2026. Wir aktualisieren diesen Beitrag, sobald Loxone weitere Details veröffentlicht.

Am 10. November 2026 hat Loxone die Miniserver-Software Version 17.3.11.10 als kritisches Sicherheitsupdate veröffentlicht. Sie schließt eine Schwachstelle, über die sich der Miniserver über das Netzwerk zu wiederholten Neustarts zwingen lässt. Ein Miniserver, der ständig neu startet, steuert nichts mehr: kein Licht, keine Heizung, keine Beschattung, keinen Zutritt. Loxone empfiehlt, alle Anlagen umgehend zu aktualisieren.

Einige unserer Kunden haben in den letzten Wochen das Update auf 17.2.10.21 bekommen, damit Remote Connect ab 1. Dezember weiter funktioniert. Vor der neuen Lücke schützt laut Loxone aber erst 17.3.11.10. Deshalb gilt: Wer das Update auf 17.2.10.21 bereits über die SKAWINSKI GmbH erhalten hat, bekommt das Folgeupdate auf 17.3.11.10 kostenfrei.

Für unsere Kunden: Folgeupdate auf 17.3.11.10 kostenfrei

Ihre Anlage wurde nicht von uns aktualisiert? Wir übernehmen das Update auch für Sie. Der Aufwand hängt davon ab, wie alt die installierte Version ist; inklusive Sicherung und Funktionstest sind es erfahrungsgemäß 1–2 Stunden.

Was ist passiert? Die Lücke kurz erklärt

Laut Loxone wurde die Schwachstelle bei laufenden internen Sicherheitsanalysen entdeckt. Über das Netzwerk lassen sich wiederholte Neustarts des Miniservers auslösen, was den Betrieb beeinträchtigen kann. Fachleute nennen so etwas einen Denial-of-Service: Es werden keine Daten gestohlen, aber das System wird lahmgelegt.

Beim Miniserver ist das besonders unangenehm, weil an ihm das ganze Gebäude hängt. Während eines Neustarts reagieren Taster, Automatiken und App nicht. Wird der Neustart immer wieder ausgelöst, bleibt die Steuerung dauerhaft weg – im Einfamilienhaus genauso wie im Büro oder in der Gewerbeimmobilie.

Was Loxone bisher nicht gesagt hat (Stand 11. November 2026):

• ob die Lücke nur aus dem lokalen Netz oder auch aus dem Internet erreichbar ist,
• welche Miniserver-Generationen konkret betroffen sind,
• ob die Lücke bereits ausgenutzt wurde,
• eine CVE-Nummer oder weitere technische Details.

Mit dem Cyberangriff auf die Loxone-Unternehmensinfrastruktur im Herbst 2026 bringt Loxone die Lücke nicht in Verbindung; Miniserver und Remote Connect waren davon laut Loxone nicht betroffen.

17.2.10.21 reicht nicht: Warum Sie nicht bis Dezember warten sollten

Zur Einordnung: Mit Version 17.2.10.21 erfüllt Ihr Miniserver die Vorgabe, die Loxone ab 1. Dezember 2026 für den Fernzugriff über Remote Connect macht. Die neue Lücke schließt diese Version aber nicht – das tut erst 17.3.11.10.

Dazu kommt die 4-Wochen-Regel: Nach dem 1. Dezember setzt Remote Connect jeweils vier Wochen nach einem neuen Miniserver-Release diese Version voraus. Ob und ab wann das für 17.3.11.10 gilt, hat Loxone bisher nicht bestätigt. Für die Entscheidung spielt das keine Rolle: Ein kritisches Sicherheitsupdate spielt man ein, weil es kritisch ist, und nicht erst, wenn der Fernzugriff ausfällt.

Für Techniker: Update auf 17.3.11.10 Schritt für Schritt

1. Bestand erfassen. Alle Miniserver der Anlage auflisten, auch zusätzliche Miniserver in Client-Gateway-Konstellationen. Loxone empfiehlt ausdrücklich, alle betreuten Miniserver zu aktualisieren.
2. Version prüfen. In der Loxone App oder in Loxone Config die installierte Version ablesen. Alles unter 17.3.11.10 ist zu aktualisieren.
3. Loxone Config aktualisieren. Loxone Config 17.3.11.10 steht auf der Loxone-Downloadseite bereit. Config und Miniserver sollten auf demselben Versionsstand sein.
4. Sichern. Das aktuelle Programm speichern und ein Backup der SD-Karte anlegen, damit Sie im Fehlerfall zurückkönnen.
5. Update einspielen. Über die Loxone App (Benutzer mit Vollzugriff, ein bereitstehendes Update wird dort angezeigt) oder über Loxone Config, siehe die Loxone-Anleitung „Miniserver Update durchführen“. Der Miniserver startet dabei neu; planen Sie das außerhalb der Hauptnutzungszeit.
6. Nach dem Update prüfen. Version kontrollieren und warten, bis alle Extensions und Tree- bzw. Air-Geräte wieder online sind. Danach Funktionstest: Beschattung, Heizung, Zutritt, Alarm, Benachrichtigungen und die App über mobile Daten.
7. Dokumentieren. Version, Datum und Auffälligkeiten festhalten. Spätestens bei der nächsten 4-Wochen-Frist zahlt sich das aus.

Zusätzlich empfehlenswert, weil die Lücke über das Netzwerk ausgenutzt wird:

• Den Miniserver nicht per Portfreigabe direkt ins Internet stellen; für den Fernzugriff Remote Connect oder ein VPN nutzen.
• Die Gebäudetechnik in ein eigenes Netzsegment (VLAN) legen, getrennt von Gäste-WLAN und Büro-PCs.
• Zugriffe auf den Miniserver auf die Geräte beschränken, die ihn wirklich brauchen.
• Den Miniserver ins IT-Monitoring aufnehmen, damit gehäufte Neustarts sofort auffallen.

Für Eigentümer und Entscheider: Was das für Sie bedeutet

Kurz gesagt: Ein kleiner Eingriff schützt vor einem großen Ausfall.

• Das Risiko: Fällt der Miniserver aus, steht die Gebäudesteuerung – Licht, Heizung, Beschattung, Zutritt, Alarm. Im Betrieb kann das heißen: Türen öffnen nicht, Räume bleiben kalt, Alarmmeldungen kommen nicht an.
• Der Aufwand: Die Software ist kostenlos, das Update dauert je nach Anlage von wenigen Minuten bis zu 1–2 Stunden. Für unsere Kunden mit 17.2.10.21-Update von uns entstehen keine Kosten.
• Die Entscheidung: Jetzt aktualisieren lassen. Warten bringt keinen Vorteil: Die Lücke ist öffentlich bekannt, und öffentlich bekannte Lücken werden erfahrungsgemäß schnell angegriffen.
• Auf Dauer: Loxone knüpft den Fernzugriff an aktuelle Software, und Sicherheitsupdates wie dieses kommen nicht nach Plan. Wer das nicht selbst im Kalender haben will, gibt die Pflege ab. Genau das ist Patchmanagement, bei uns mit so viel IT-Automatisierung wie möglich.

→ Zum kostenfreien Folgeupdate für unsere Kunden

Häufige Fragen (FAQ)

Fazit

Loxone hat eine kritische Lücke selbst gefunden und schnell ein Update bereitgestellt – das ist die gute Nachricht. Geschlossen ist die Lücke aber erst, wenn das Update auch auf Ihrem Miniserver läuft, und 17.2.10.21 reicht dafür nicht. Spielen Sie 17.3.11.10 jetzt ein oder lassen Sie es uns machen: Für Kunden, die das letzte Update von uns bekommen haben, ist das Folgeupdate kostenfrei.

So unterstützt Sie SKAWINSKI bei Loxone und Smart Home

Die SKAWINSKI GmbH aus Eichgraben betreut Loxone-Anlagen in Wien, Wien Umgebung und Niederösterreich – vom einzelnen Einfamilienhaus bis zur Gewerbeimmobilie. Wir bringen Ihren Miniserver auf den aktuellen Stand und sorgen dafür, dass er dort bleibt.

Sie haben das Update auf 17.2.10.21 von uns bekommen? Dann melden Sie sich – das Folgeupdate auf 17.3.11.10 geht auf uns. Ihre Anlage wurde noch gar nicht aktualisiert? Auch dann prüfen wir die Version und bringen Ihren Miniserver auf den sicheren Stand.

„Wir fangen da an, wo andere aufhören.“

– Robert Skawinski · SKAWINSKI GmbH

Quellen: LOXONE, Partner-Information „Kritisches Sicherheitsupdate für LOXONE Miniserver“, 10.11.2026; LOXONE Blog „Critical security update for the Miniserver“ (englisch); LOXONE Blog „Remote Connect: Warum wir aktuelle Software voraussetzen“, 25.10.2026; LOXONE Dokumentation Miniserver Update durchführen und Downloads; Caschys Blog und smarthomeassistent.de, 11.11.2026. Stand der Angaben: 11. November 2026.

Dieser Beitrag wurde mit KI-Unterstützung durch die SKAWINSKI GmbH erstellt und redaktionell geprüft.