Der Sicherheitsdienst Have I Been Pwned hat den bereits im November 2025 begonnenen Datendiebstahl beim KI-Musikdienst Suno am 20. Juli 2026 in seine Datenbank aufgenommen. Demnach sind 55,3 Millionen eindeutige E-Mail-Adressen betroffen, deutlich mehr als bislang bekannt. Suno bezeichnet den Vorfall als begrenzt und bestreitet gegenüber Medien, dass sensible Daten offengelegt wurden.
Datenbank von Have I Been Pwned nennt deutlich höhere Opferzahl
Have I Been Pwned listet den Vorfall seit dem 20. Juli 2026 in seiner öffentlichen Datenbank und macht ihn damit erstmals in vollem Umfang nachprüfbar. Der Datensatz enthält nach Angaben des Dienstes mehr als 55,3 Millionen eindeutige E-Mail-Adressen sowie zehntausende Datensätze aus dem Zahlungsdienstleister Stripe mit Namen, Anschriften, Kaufbeträgen und Teilen der Kartendaten – Kartentyp, Ablaufdatum und letzte vier Ziffern. Vollständige Kartennummern liegen laut Have I Been Pwned nicht vor, da Suno selbst keinen Zugriff auf diese Daten bei Stripe habe. Die neue Zahl übertrifft die zuvor bekannten Angaben zu betroffenen Kundinnen und Kunden um ein Vielfaches.
Der zugrunde liegende Einbruch reicht bis November 2025 zurück und ist derselbe Vorfall, über den Beckmann.ai bereits im Zusammenhang mit geleaktem Suno-Quellcode berichtete. Neu ist die über das Portal von Have I Been Pwned öffentlich einsehbare Gesamtzahl der betroffenen Konten, die das tatsächliche Ausmaß des Lecks erstmals konkret beziffert und weit über frühere Schätzungen von mehreren hunderttausend Betroffenen hinausgeht. Wer prüfen möchte, ob die eigene Adresse betroffen ist, kann dies direkt über die Suchfunktion des Dienstes tun.
Suno bestreitet das tatsächliche Ausmaß
Suno erklärte gegenüber 404 Media, man habe den Sicherheitsvorfall im November 2025 erkannt und rasch eingedämmt. Das Unternehmen betont, es seien keine sensiblen personenbezogenen Daten kompromittiert worden, weshalb nach geltendem Datenschutzrecht keine individuellen Benachrichtigungen der Nutzer erforderlich gewesen seien. Suno verweist zudem darauf, dass der Angriff veralteten, nicht mehr genutzten Quellcode betroffen habe und stuft den Vorfall insgesamt als begrenzt ein.
Diese Darstellung steht in deutlichem Widerspruch zu den von Have I Been Pwned gelisteten Datenklassen: Namen, Anschriften, Telefonnummern, Kaufhistorien und Teile von Zahlungsdaten gelten üblicherweise als schutzwürdige personenbezogene Informationen. Eine öffentliche Stellungnahme, die diesen Widerspruch zwischen eigener Einordnung und den von Have I Been Pwned bestätigten Datenklassen auflöst, hat Suno bislang nicht abgegeben. Wer ein Suno-Konto besitzt, kann über die Website von Have I Been Pwned prüfen, ob die eigene E-Mail-Adresse in dem Datensatz enthalten ist, und sollte vorsorglich das Passwort ändern sowie auf ungewöhnliche Anmeldeversuche oder Phishing-Mails achten, die sich auf die erbeuteten Kontaktdaten stützen könnten.
Vorfall reicht bis in den Shai-Hulud-Angriff vom November zurück
Zugriff auf die Systeme erhielt eine Person mit dem Pseudonym „ellie.191” nach eigenen Angaben über die Schadsoftware Shai-Hulud, die sich über kompromittierte npm-Pakete verbreitet und in den vergangenen Monaten bereits mehrere Technologieunternehmen getroffen hat. Über denselben Zugriff gelangte bereits Mitte Juli öffentlich gewordener Quellcode an die Öffentlichkeit, der laut 404 Media zeigte, wie Suno Millionen Clips von YouTube Music, Deezer und weiteren Plattformen für das Training seiner KI-Modelle gesammelt haben soll – darüber berichtete Beckmann.ai bereits ausführlich.
Der Fall dürfte auch die laufenden Urheberrechtsklagen von Universal Music Group, Sony Music und dem Label Jamendo gegen Suno berühren, in denen der geleakte Code bereits als mögliches Beweismittel diskutiert wird. Wie viele der nun bestätigten 55,3 Millionen Konten auf Nutzerinnen und Nutzer in der Europäischen Union entfallen, teilte Suno nicht mit. Damit bleibt auch unklar, in welchem Umfang europäische Datenschutzbehörden mit dem Fall befasst werden könnten und ob eine grenzüberschreitende Prüfung nach EU-Recht überhaupt eingeleitet wird.
Offen bleibt, ob Aufsichtsbehörden in der EU angesichts der nun öffentlich bestätigten Zahlen eine Meldepflicht nach der Datenschutz-Grundverordnung als versäumt einstufen, sollten in nennenswertem Umfang europäische Konten betroffen sein. Entscheidend wird zudem, ob Suno auf den Widerspruch zwischen der eigenen Einordnung als begrenzten Vorfall und der von Have I Been Pwned bestätigten Datenmenge noch öffentlich reagiert.
