Suno-Datenleck: Persönliche Daten von 55 Millionen Nutzern betroffen ♪ Musica Blog

Die Musik KI Suno wurde gehackt – Das Suno-Datenleck

Das Suno-Datenleck hat die persönlichen Daten von mehr als 55,3 Millionen Menschen offengelegt. Dieser Cyberangriff ereignete sich bereits im vorigen Jahr, im November 2025, doch die Öffentlichkeit erfuhr erst jetzt, Monate später davon. Was macht diesen Fall besonders brisant? Suno gehackt bedeutet nicht nur gestohlene E-Mail-Adressen. Die Suno AI Datenbank enthielt tatsächlich auch Namen, Telefonnummern und teilweise Kreditkartendaten. Beunruhigend ist: Das Unternehmen schwieg acht Monate lang über den Vorfall und informierte die Betroffenen nicht. Wir zeigen dir, was genau passiert ist, welche Suno AI Data gestohlen wurde und warum du handeln solltest, falls du einen Account bei der Musik KI Suno hast, bzw. voriges Jahr schon hattest.

Was wurde beim Suno-Datenleck gestohlen?

Bei dem Suno hacked Vorfall erbeuteten Angreifer mehr als nur E-Mail-Adressen. Die Suno KI Datenbank enthielt 55,3 Millionen eindeutige E-Mail-Adressen. Telefonnummern waren ebenfalls betroffen, sofern Nutzer sie bei der Registrierung angegeben hatten.

Besonders sensibel wird es bei den Zahlungsdaten. Zehntausende Stripe-Einträge fielen in die Hände der Hacker. Diese Datensätze enthielten Namen, Anschriften und Kaufbeträge. Kreditkarteninformationen waren nur teilweise dabei: Kartentyp, Ablaufdatum und die letzten vier Ziffern. Suno betont, dass keine vollständigen Kreditkartennummern gespeichert waren, was auch glaubwürdig ist, da diese sensiblen Daten grundsätzlich bei Stripe, dem Zahlungsanbieter verbleiben.

Dieser Angriff legte jedoch noch mehr offen. Geleakte Quellcode-Ausschnitte und interne technische Dokumentation gelangten ebenfalls nach außen. Diese Dateien enthüllen, wie Suno seine KI-Modelle trainiert hatte. In den Dokumenten ist von mehr als zwei Millionen verarbeiteten YouTube-Music-Clips die Rede. Die Aufzeichnungen nennen zudem Plattformen wie Deezer, Genius, Freesound, Jamendo und weitere Quellen.

Diese Kombination aus persönlichen Kontaktdaten, Zahlungsinformationen und technischen Details macht das Suno Datenleck besonders problematisch. Selbst ohne vollständige Kreditkartennummern reichen die gestohlenen Informationen für gezielte Phishing-Angriffe und Identitätsdiebstahl aus.

Wie gelang der Angriff auf die Suno AI Database?

Ein Angreifer namens ellie.191 nutzte einen Supply-Chain-Angriff, um in die Suno AI Database einzudringen. Zunächst setzte er dabei auf eine Schadsoftware namens Shai-Hulud. Diese speziell entwickelte Malware funktioniert wie ein digitaler Wurm, der gezielt Zugangsdaten sammelt.

Der Wurm kompromittierte einen Suno-Mitarbeiter und erbeutete dessen Login-Informationen für GitHub und Cloud-Dienste. Mit diesen gestohlenen Zugangsdaten verschaffte sich der Hacker Zugang zu internen Systemen des Unternehmens. Dort fand er nicht nur Quellcode aus den Jahren 2023 und 2024, sondern auch konkrete Belege für Sunos Datensammlung.

Die erbeuteten Dateien zeigten recht detailliert, wie Suno Inhalte von YouTube, Deezer, Genius, Stockmusik-Bibliotheken und Podcast-Feeds abgriff. Der Angreifer erhielt außerdem Zugriff auf Kundenlisten mit E-Mail-Adressen, Telefonnummern und Stripe-Zahlungsdetails.

Suno bestätigte den Vorfall aus dem November 2025, bezeichnete ihn jedoch lediglich als „begrenzten Sicherheitsvorfall“. Das Unternehmen gibt an, die Situation sei schnell eingedämmt worden. Betroffen sei hauptsächlich veralteter Quellcode gewesen, der nicht mehr genutzt werde. Sensible persönliche Daten seien nicht kompromittiert worden.

Warum schwieg Suno acht Monate über den Hack?

Zwischen dem Angriff im November 2025 und der öffentlichen Bekanntmachung im Juli 2026 lagen acht Monate. Suno informierte die betroffenen Nutzer nach bisherigem Kenntnisstand nicht selbst. Wer darauf wartete, von Suno gewarnt zu werden, wartete womöglich vergeblich.

Gegenüber 404 Media bestätigte Suno einen Sicherheitsvorfall, bezeichnete diesen jedoch als begrenzt und schnell eingedämmt. Das Unternehmen betonte, dass hauptsächlich veralteter Quellcode betroffen gewesen sei. Sensible personenbezogene Daten seien nicht kompromittiert worden. Außerdem habe man keinen Zugriff auf vollständige Kreditkartennummern. Unter aktuellen Datenschutzgesetzen sah sich Suno nicht verpflichtet, einzelne Nutzer zu benachrichtigen.

Diese Einschätzung ist – unserer persönlichen Meinung nach – zumindest fragwürdig. Nach Art. 33 DSGVO muss ein Verantwortlicher unverzüglich und möglichst binnen 72 Stunden eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde melden. Nach Art. 34 DSGVO müssen Betroffene benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Verzögerungen zwischen Ereignis und öffentlicher Kommunikation erhöhen die Zeitspanne, in der Angreifer profitieren können. Ob und wie Suno dieser Pflicht nachkommt, wird wohl die zuständigen Aufsichtsbehörden noch beschäftigen.

Schlussfolgerung

Das Suno-Datenleck zeigt, wie gefährlich Supply-Chain-Angriffe sind. 55,3 Millionen Nutzer waren und sind noch betroffen, doch das Unternehmen schwieg acht Monate lang. Namen, E-Mail-Adressen, Telefonnummern und Zahlungsdaten befinden sich in falschen Händen. Du solltest unbedingt prüfen, ob deine Daten bei Have I Been Pwned auftauchen. Ändere deine Passwörter und bleibe wachsam gegenüber verdächtigen E-Mails. Deine Sicherheit liegt letztendlich in deinen eigenen Händen.

FAQs

Q1. Welche Daten wurden beim Suno-Datenleck gestohlen?
Bei dem Datenleck wurden 55,3 Millionen E-Mail-Adressen, Telefonnummern, Namen, physische Adressen und tlw. Zahlungsinformationen kompromittiert. Die Zahlungsdaten umfassten Stripe-Einträge mit Kartentyp, Ablaufdatum und den letzten vier Ziffern der Kreditkarte. Vollständige Kreditkartennummern waren nicht betroffen.

Q2. Wie können Betroffene prüfen, ob ihre Daten kompromittiert wurden?
Nutzer können auf der Website „Have I Been Pwned“ (haveibeenpwned.com) überprüfen, ob ihre E-Mail-Adresse vom Suno-Datenleck betroffen ist. Dort werden kompromittierte Datensätze aus verschiedenen Datenlecks gesammelt und zur Abfrage bereitgestellt.

Q3. Wie gelang es den Hackern, in die Suno-Systeme einzudringen?
Die Angreifer nutzten eine Schadsoftware namens Shai-Hulud, um die Zugangsdaten eines Suno-Mitarbeiters zu stehlen. Mit diesen kompromittierten Login-Informationen für GitHub und Cloud-Dienste verschafften sie sich Zugang zu internen Systemen, Quellcode und Kundendaten.

Q4. Warum wurden die betroffenen Nutzer nicht sofort informiert?
Suno informierte die betroffenen Nutzer nach dem Vorfall im November 2025 nicht direkt. Das Unternehmen stufte den Vorfall als begrenzt ein und sah sich nach eigener Einschätzung nicht verpflichtet, einzelne Nutzer zu benachrichtigen. Erst nun, acht Monate später wurde der Vorfall öffentlich bekannt.

Q5. Welche Risiken bestehen für betroffene Nutzer?
Das größte Risiko sind gezielte Phishing-Angriffe, da die Kombination aus persönlichen Kontaktdaten und Zahlungsinformationen für betrügerische E-Mails genutzt werden kann. In Verbindung mit anderen Datenlecks können die Informationen auch für Identitätsdiebstahl und personalisierte Betrugsversuche missbraucht werden.

~~~~~~~~~~~~~~~~