Einleitung
Im November 2025 wurde der KI‑gestützte Musikgenerator Suno Opfer eines groß angelegten Cyberangriffs. Laut dem Daten‑Leak‑Dienst Have I Been Pwned wurden mehr als 55,3 Millionen persönliche Datensätze kompromittiert – ein Ausmaß, das bislang kaum Beachtung fand. Der Vorfall wirft nicht nur Fragen zur Sicherheit von Start‑ups im KI‑Umfeld auf, sondern beleuchtet auch die rechtlichen Grauzonen beim massenhaften Scraping von Musik‑ und Textinhalten.
Was wurde gestohlen?
Die erbeuteten Informationen umfassen Namen, physische Adressen, E‑Mail‑Adressen, Telefonnummern sowie Details zu getätigten Käufen. Zusätzlich gelang es den Angreifern, teilweise Kreditkartendaten aus Sunos Stripe‑Konto zu extrahieren, darunter die letzten vier Ziffern und das Ablaufdatum. Neben den Nutzerdaten wurde auch Sunos Quellcode offengelegt, der Aufschluss darüber gibt, wie das Unternehmen Millionen von Songs und Lyrics von Plattformen wie Deezer, Genius und YouTube gesammelt hat, um seine KI‑Modelle zu trainieren.
Rechtliche Konsequenzen
Die Offenlegung des Quellcodes hat bereits mehrere große Plattenlabels dazu veranlasst, Suno zu verklagen. Sie argumentieren, dass das massenhafte Scraping urheberrechtlich geschützten Materials ohne Lizenz eine klare Rechtsverletzung darstellt. Der Rechtsstreit könnte nicht nur finanzielle Strafen nach sich ziehen, sondern auch die gesamte Praxis des datenintensiven Trainings von KI‑Modellen in der Musikindustrie infrage stellen.
Unternehmensreaktion
Bislang hat Suno weder öffentlich über den Angriff berichtet noch die betroffenen Nutzer informiert. Der Mitgründer Mikey Shulman reagierte nicht auf Anfragen von TechCrunch, und ein offizielles Statement blieb aus. Erst nach der Veröffentlichung des Artikels bestätigte Sunos Sprecherin Rachel Racusen, dass ein Sicherheitsvorfall im November 2025 stattgefunden habe, weigerte sich jedoch, Details zu den Kommunikationsmaßnahmen an die Nutzer zu nennen.
Warum die Verzögerung?
Die späte Bekanntgabe lässt sich teilweise auf die Rolle von 404 Media zurückführen, einem unabhängigen Nachrichtenportal, das den Vorfall zuerst aufdeckte. Experten vermuten, dass Suno intern Zeit benötigte, um das Ausmaß des Schadens zu bewerten, bevor es eine offizielle Mitteilung formulierte. Kritiker sehen darin jedoch ein Zeichen mangelnder Transparenz und ein potenzielles Risiko für das Vertrauen der Nutzer.
Folgen für die Nutzer
Betroffene sollten ihre Konten bei allen Diensten, die dieselben Anmeldedaten verwenden, überprüfen und nach Möglichkeit Passwörter ändern. Da teilweise Kreditkartendaten kompromittiert wurden, empfiehlt es sich, die Karten bei der Bank zu sperren und auf verdächtige Transaktionen zu achten. Dienste wie Have I Been Pwned können helfen, festzustellen, ob persönliche Daten bereits in anderen Lecks auftauchen.
Ausblick
Der Suno‑Fall verdeutlicht, dass selbst innovative KI‑Start‑ups nicht immun gegen groß angelegte Cyberangriffe sind. Unternehmen müssen künftig stärker in Sicherheitsarchitekturen investieren und klare Kommunikationsstrategien für den Ernstfall entwickeln. Für die Musikindustrie könnte das Ereignis ein Wendepunkt sein, der zu strengeren Regelungen für das Training von KI‑Modellen mit urheberrechtlich geschützten Inhalten führt.