Suno Wurde Im November Gehackt. Die Nutzer Erfuhren Es Erst Im Juli, Von Einem Journalisten.

Was hat der Hack wirklich offengelegt?

Im November 2025 nutzte ein Hacker Shai-Hulud, einen Wurm, der sich über kompromittierte npm-Pakete verbreitet, um die Zugangsdaten eines Mitarbeiters von Suno zu stehlen und sich Zugang zu GitHub und der Cloud des Unternehmens zu verschaffen. Damit erhielt er Zugriff auf Quellcode und interne Protokolle aus den Jahren 2023 und 2024, jener Zeit, in der Suno die Datensätze aufbaute, mit denen seine musikgenerierenden Modelle trainiert wurden.

Diese Protokolle, die 404 Media vorliegen und am 15. Juli 2026 veröffentlicht wurden, lesen sich wie eine Einkaufsliste. Allein YouTube Music macht 2.013.545 einzelne Clips und 113.879 Stunden verarbeitetes Audiomaterial aus, dazu weitere 152.162 Stunden, die separat in einer «getaggten» Pipeline erfasst wurden. Genius steuert 17.615 Stunden bei, Deezer 12.287 Stunden, und die Stock-Bibliothek Pond5 sage und schreibe 62.117 Stunden. Jamendo, Freesound, das International Music Score Library Project und RSS-Feeds von Podcasts vervollständigen die Liste. Laut Berichten über den Quellcode soll Suno einen Teil des YouTube-Scrapings über das Proxy-Netzwerk von Bright Data geleitet und dabei IP-Adressen rotiert haben, um die Anti-Scraping-Schutzmaßnahmen von YouTube zu umgehen, genau die Art von Umgehung, die die RIAA in ihrer geänderten Klage vom September 2025 anführte.

„Praktisch alle Musikdateien angemessener Qualität, die im offenen Internet zugänglich sind"

So beschrieb Suno selbst seine Trainingsmethode in einem früheren Gerichtsdokument und gab zu, Dutzende Millionen Aufnahmen verarbeitet zu haben. Die durchgesickerten Pipeline-Statistiken zeigen erstmals außerhalb des Unternehmens, worauf dieses Eingeständnis tatsächlich hinausläuft, Quelle für Quelle.

Warum hat Suno seine Kunden nicht informiert?

Derselbe Einbruch legte Kontodaten von Hunderttausenden Suno-Nutzern offen: E-Mail-Adressen, Telefonnummern und teilweise Zahlungsinformationen über Stripe. Suno erklärt, kurz nach dem Vorfall davon erfahren zu haben, nannte ihn «einen begrenzten, schnell eingedämmten Sicherheitsvorfall» und beteuert, nie vollständige Kartennummern oder andere sensible personenbezogene Daten gespeichert zu haben. Was das Unternehmen laut Kunden, die mit 404 Media sprachen, nicht getan hat: sie informieren. Zwischen dem Einbruch und der ersten öffentlichen Bestätigung vergingen acht Monate, und diese Bestätigung kam von einem Journalisten, nicht von Suno.

Was ändert das an Sunos rechtlichem Kampf?

Suno verteidigt sich weiterhin gegen die 2024 von den Major-Labels eingereichte Urheberrechtsklage; Warner Music Group zog seine eigene Klage zurück, nachdem es später im selben Jahr einen Lizenzvertrag geschlossen hatte, während Universal und Sony weiter Druck machen. In Deutschland führt die Verwertungsgesellschaft GEMA ein separates Verfahren, dessen Urteil am 31. Juli 2026 in München erwartet wird, nur zwei Wochen nach Bekanntwerden des Lecks. Das US-Verfahren hat mehr Luft: Ein Gericht in Massachusetts verschob die entscheidenden Anträge auf April 2027. Für Rechteinhaber sind die durchgesickerten Pipeline-Protokolle weniger eine Überraschung als ein Beweisstück: operativer Nachweis, in Sunos eigenen Zahlen, für genau das, was eine Fair-Use-Verteidigung nun erklären muss.