Der Dienst Have I Been Pwned hat in seine Datenbank Informationen aufgenommen, die beim Hack von Suno – einem beliebten KI-Musikgenerator – entwendet wurden. Nach Angaben von HIBP enthält der Dump 55,3 Millionen eindeutige E-Mail-Adressen, Telefonnummern und Zehntausende Datensätze aus dem Bezahlsystem Stripe, darunter teilweise Daten von Bankkarten. Allen Suno-Nutzern wird empfohlen, ihre Adressen über HIBP zu überprüfen und Maßnahmen zum Schutz der verknüpften Benutzerkonten und Zahlungsinstrumente zu ergreifen.
Umfang und Zusammensetzung des Datenlecks
Laut Eintrag auf der Website von Have I Been Pwned umfasst der kompromittierte Suno-Dump mehrere Kategorien personenbezogener Daten:
- 55,3 Mio. eindeutige E-Mail-Adressen – der Hauptbestandteil des Leaks;
- Telefonnummern – betroffen sind den Berichten zufolge nur diejenigen Nutzer, die bei der Registrierung statt einer E-Mail-Adresse ihre Telefonnummer verwendet haben;
- Stripe-Datensätze – Zehntausende Einträge, die mutmaßlich Kundennamen, Privatanschriften, Kaufbeträge und teilweise Bankkartendaten (Kartentyp, Ablaufdatum, letzte vier Ziffern der Kartennummer) enthalten.
Es ist wichtig zu betonen, dass die genaue Feldstruktur der Stripe-Datensätze und die exakten Bedingungen, unter denen Telefonnummern erfasst wurden, auf Berichten aus offenen Quellen beruhen und nicht durch eine unabhängige Verifizierung oder eine offizielle Erklärung von Suno bestätigt sind. Dennoch weist allein die Aufnahme des Leaks in die HIBP-Datenbank darauf hin, dass die Daten von Troy Hunt – dem Betreiber des Dienstes, der für seinen strengen Ansatz bei der Validierung von Dumps bekannt ist – überprüft wurden.
Widerspruch zur Darstellung des Unternehmens
Besondere Beachtung verdient die Diskrepanz zwischen den Ergebnissen der HIBP-Analyse und der ersten Reaktion von Suno auf den Vorfall. Nach vorliegenden Informationen erklärten Unternehmensvertreter nach dem Hack, dass das Leak keine personenbezogenen Daten von Nutzern betroffen habe. Das Vorhandensein von Dutzenden Millionen E-Mail-Adressen und Stripe-Zahlungsdatensätzen im Dump steht in klarem Widerspruch zu dieser Aussage.
Einschränkend ist anzumerken, dass die ursprüngliche Stellungnahme von Suno nicht in dem verifizierten Quellenpaket enthalten ist, sodass die genaue Formulierung und der Kontext der Unternehmensposition unbestätigt bleiben. Sollte der Widerspruch jedoch tatsächlich bestehen, wirft dies gravierende Fragen zur Transparenz der Reaktion von Suno auf den Vorfall und zur Einhaltung der Verpflichtungen zur Benachrichtigung betroffener Nutzer auf.
Chronologie und Kontext des Vorfalls
Den vorliegenden Informationen zufolge erfolgte der Hack von Suno im November 2025, doch wurden öffentliche Details dazu erst deutlich später bekannt. Den Berichten nach wurden die entwendeten Materialien den Journalisten des Magazins 404 Media übergeben und umfassten nicht nur Nutzerdaten, sondern auch den Quellcode der Plattform.
Die Analyse der gestohlenen Daten ergab außerdem, dass die Entwickler von Suno mutmaßlich in großem Umfang Inhalte von YouTube Music, Deezer, Genius und anderen Plattformen herunterluden, um ihre Modelle zu trainieren. Es wird berichtet, dass eine der Dateien Links zu mehr als 2 Millionen Clips von YouTube Music enthielt und die Gesamtdauer des gesammelten Audiomaterials sich auf mehrere Hunderttausend Stunden belief. Diese Angaben sind nicht durch unabhängige Quellen verifiziert, sie decken sich jedoch mit der bereits bekannten Position von Suno: Das Unternehmen räumte die Nutzung von Musik aus „offenen Quellen im Internet“ ein und berief sich auf die Anwendbarkeit der Fair-Use-Doktrin.
Dieser Aspekt des Vorfalls geht über die reine Cybersicherheit hinaus und berührt die zugespitzte Debatte um Urheberrechte beim Training generativer KI-Modelle. Das Leak des Quellcodes und interner Daten von Suno könnte zu einem gewichtigen Argument in Gerichtsverfahren von Rechteinhabern gegen das Unternehmen werden.
Bewertung der Auswirkungen
Der Umfang des Leaks – 55,3 Millionen eindeutige E-Mail-Adressen – reiht den Suno-Vorfall unter die größten Datenlecks des Jahres 2025 ein. Die wichtigsten Risiken für betroffene Nutzer sind:
- Phishing und Social Engineering – die kompromittierten E-Mail-Adressen können für gezielte Phishing-Kampagnen genutzt werden, insbesondere in Kombination mit Namen und Adressen aus den Stripe-Datensätzen;
- Credential stuffing – Nutzer, die dieselben Passwörter für mehrere Dienste verwenden, riskieren den Verlust des Zugriffs auf weitere Benutzerkonten;
- Finanzbetrug – die partiellen Bankkartendaten reichen für sich genommen nicht aus, um Transaktionen durchzuführen, können aber in Kombination mit anderen Leaks zur Identitätsprüfung bei Angriffen auf Bankdienste eingesetzt werden.
Empfehlungen für Suno-Nutzer
- Prüfen Sie Ihre E-Mail-Adresse über Have I Been Pwned – der Dienst zeigt an, ob Ihre Adresse im Suno-Dump enthalten ist;
- Ändern Sie Ihr Passwort bei Suno und bei allen Diensten, bei denen dasselbe Passwort verwendet wurde;
- Aktivieren Sie die Zwei-Faktor-Authentifizierung bei allen kritischen Diensten, die mit der kompromittierten E-Mail-Adresse verknüpft sind;
- Überprüfen Sie die Abrechnungen Ihrer Bankkarten, die Sie zur Bezahlung des Suno-Abonnements genutzt haben, auf verdächtige Transaktionen;
- Rechnen Sie mit Phishing-Versuchen – E-Mails, angeblich von Suno oder verbundenen Diensten, in denen Sie „Daten bestätigen“ oder „Zahlungsinformationen aktualisieren“ sollen, sind mit hoher Wahrscheinlichkeit betrügerisch.
Der Vorfall bei Suno verdeutlicht ein typisches Problem von KI-Start-ups: rasantes Wachstum der Nutzerbasis bei unzureichender Aufmerksamkeit für den Schutz der Infrastruktur und mangelnder Transparenz in der Kommunikation mit Nutzern nach Sicherheitsvorfällen. Jeder, der sich jemals bei Suno registriert hat, sollte seine E-Mail-Adresse jetzt sofort über HIBP prüfen und bei Bedarf die für den Dienst genutzte Bankkarte neu ausstellen lassen.
