Suno AI-Datenleck: 55 Millionen Konten nach acht Monaten Stille offengelegt

Die KI-Musikplattform Suno erlitt im November 2025 einen Datendiebstahl, der acht Monate lang nicht offengelegt wurde. Am 20. Juli 2026 fügte Have I Been Pwned mehr als 55 Millionen eindeutige E-Mail-Adressen zu seiner Datenbank hinzu.haveibeenpwned+1

Der Vorfall

Die Kompromittierung kam am 14. Juli ans Licht, als 404 Media einen investigativen Bericht veröffentlichte, der auf Daten eines Hackers mit dem Pseudonym "ellie.191" basierte. Dieser hatte sich durch einen Supply-Chain-Angriff auf Mitarbeiterzugangsdaten Zugriff auf die Systeme von Suno verschafft. Der Angreifer nutzte Berichten zufolge den Shai-Hulud-Wurm, eine selbstreplizierende Schadsoftware, die ab September 2025 das npm-Ökosystem angriff, Entwicklerdaten stahl und sich über Hunderte von Softwarepaketen verbreitete.podcastvideos+4

Laut Have I Been Pwned umfassten die gestohlenen Daten über 55,3 Millionen eindeutige E-Mail-Adressen, bei der Registrierung verwendete Telefonnummern sowie Zehntausende Stripe-Kaufdatensätze, die Namen, physische Adressen, Kaufbeträge und teilweise Kreditkartendaten enthielten, darunter Kartentyp, Ablaufdatum und die letzten vier Ziffern. Suno erklärte, dass es "keinen Zugriff auf die vollständigen Kreditkartennummern der Kunden in Stripe" habe.haveibeenpwned

Acht Monate des Schweigens

Suno informierte die betroffenen Nutzer nicht über den Vorfall. Das Unternehmen bezeichnete das Ereignis als "begrenztes Sicherheitsereignis", das "veralteten Quellcode" betraf, und behauptete, dass keine "sensiblen persönlichen Informationen" kompromittiert worden seien. Sunos Standpunkt, dass Benachrichtigungen "nach geltendem Datenschutzrecht nicht gerechtfertigt" seien, stieß auf Kritik, da typische US-Gesetze zur Meldung von Datenschutzverletzungen eine Offenlegung verlangen, wenn persönliche Daten offengelegt werden.podcastvideos

Troy Hunt, der Betreiber von Have I Been Pwned, bestätigte am 19. Juli, dass Daten aus dem Vorfall vom November 2025 in der Vorwoche öffentlich aufgetaucht waren.linkedin

Breitere Auswirkungen

Über die Kundendaten hinaus legte der Vorfall internen Quellcode offen, der die Praktiken von Suno bei Trainingsdaten enthüllte – einschließlich des Scrapings von mehr als zwei Millionen Musikclips von YouTube Music, Zehntausenden Stunden von Deezer und Genius sowie Inhalten aus Stock-Musikbibliotheken und Podcast-Feeds. Die Offenlegung hat laufende Urheberrechtsklagen gegen Suno durch große Plattenlabels, darunter Universal Music Group ↘ 0.08% und Sony Music, weiter verstärkt.youtube+1

Der Shai-Hulud-Wurm, der den Vorfall ermöglichte, hatte zuvor eine hochgradige Warnung des indischen Computer Emergency Response Team ausgelöst, das davor warnte, dass der Angriff Risiken für Startups, Fintech-Plattformen und E-Government-Anwendungen darstelle, die auf npm-basierter Software beruhen.linkedin