Gehackte Suno-Daten enthüllen Millionen von Songs, die von YouTube Music, Deezer und mehr gescraped wurden
Ein Sicherheitsleck beim KI-Musikgenerator legte internen Code frei, der zeigt, dass das Unternehmen über zwei Millionen Clips von Streaming-Plattformen bezog – und einige Kunden sagen, dass ihnen nie mitgeteilt wurde, dass auf ihre Daten zugegriffen wurde.
Wichtigste Punkte
- Ein Hacker verschaffte sich im November 2025 Zugang zu Sunos internen Systemen und teilte Code mit Journalisten von The Verge AI, der offenbarte, wie das Unternehmen seine Trainingsdaten aufbaute.
- Sunos gescrapte Daten umfassten mindestens 2.013.545 Clips von YouTube Music sowie Hunderttausende Stunden von Deezer, Genius und anderen Plattformen.
- Die Recording Industry Association of America (RIAA), der Branchenverband der großen Plattenlabels, hatte Suno bereits verklagt und behauptet, dass das Unternehmen „Stream-Ripping" betrieb, indem es Youtubes Urheberrechtsschutz umging.
- Kundendaten, auf die bei dem Hack zugegriffen wurde, umfassten E-Mail-Adressen, Telefonnummern und Zahlungsdaten, die an den Abrechnungsdienst Stripe gebunden waren.
- Suno teilte Reportern mit, dass das Leck schnell eingedämmt wurde und dass einzelne Kundenmitteilungen nicht rechtlich erforderlich waren.
Suno, das Startup hinter einem KI-Musikgenerator, der Benutzern ermöglicht, Originalklang-Songs durch Eingabe einer Textaufforderung zu erstellen, baute seine KI auf, indem es Millionen von Tracks von Streaming-Plattformen wie YouTube Music, Deezer und der Lyrics-Website Genius scrapte. Dies ist das Bild, das sich aus internem Unternehmens-Code ergibt, der bei einem Hack freigelegt und von The Verge AI berichtet wurde.
Die durchgesickerten Dateien enthalten Scraping-Anweisungen, Listen von Datenquellen und ein Protokoll, das zeigt, dass Suno mehr als zwei Millionen YouTube Music-Clips verbraucht hatte, bis die entsprechende Datei zuletzt aktualisiert wurde. Andere Datensätze umfassten Hunderttausende Stunden Audio von YouTube Music, Tausende Stunden von Deezer und Genius sowie etwa eine Million Stunden Podcasts, die über ein Tool namens PodcastIndex bezogen wurden.
Ein Abschnitt des Codes deutet darauf hin, dass Suno ein Drittanbieter-Datunternehmen namens Bright Data nutzte, um Audio von YouTube zu beziehen. Ein anderer zeigt offenbar, dass das Unternehmen gezielt nach A-Cappella-Aufnahmen suchte, d. h. Gesang ohne Musik, um Gesang von Hintergrundmusik zu trennen.
Bedeutet das, dass Suno das Gesetz gebrochen hat?
Diese Frage wird derzeit vor Gericht verhandelt. Die RIAA reichte eine Klage gegen Suno ein und warf dem Unternehmen vor, urheberrechtlich geschützte Aufnahmen ohne Genehmigung genutzt zu haben. Suno hat sich öffentlich dazu bekannt, mit urheberrechtlich geschütztem Material zu trainieren, argumentiert aber, dass dies unter Fair Use legal ist – ein US-Rechtsprinzip, das die begrenzte Nutzung geschützter Inhalte unter bestimmten Bedingungen erlaubt. Eine spätere Änderung der Klage kam mit der spezifischeren Behauptung hinzu, dass Suno Youtubes eigene Kopiergeschutzssysteme umging – etwas, das der neu durchgesickerte Code offenbar zu unterstützen scheint.
Ein Sprecher von Suno sagte, das Unternehmen habe immer zugegeben, dass es auf „öffentlich verfügbaren Musikdateien und zugehörigen Metadaten trainiert, auf die im offenen Internet über Websites von Drittanbietern zugegriffen werden kann".
Das Leck betraf auch Kundendatensätze. Der Hacker verschaffte sich Zugang zu E-Mail-Adressen, Telefonnummern und Stripe-Zahlungsdaten einiger Benutzer. Mehrere Kunden bestätigten gegenüber Reportern, dass sie sich bei Suno registriert hatten, sagten aber, dass das Unternehmen ihnen nie von dem Hack berichtete.
Sunos Stellungnahme besagte, dass das Unternehmen den Zwischenfall im November 2025 entdeckte, ihn schnell eindämmte und feststellte, dass die beteiligten Daten begrenzt genug waren, damit Datenschutzgesetze keine einzelnen Benachrichtigungen erforderten. Das Unternehmen sagte auch, dass es nie vollständige Kreditkartennummern von Kunden speichert.
Für aktuelle Suno-Benutzer ist der praktische Rat einfach: Überprüfen Sie, ob Ihre E-Mail-Adresse in öffentlichen Datenleck-Tracking-Services auftaucht, erwägen Sie, Ihr Passwort zu aktualisieren, und achten Sie auf unerwartete Belastungen auf das Zahlungsmittel, das Sie für Ihr Abonnement verwendet haben.
