Gehackter Quellcode: KI-Musikdienst Suno soll Millionen Songs abgegriffen haben

Der KI-Musikdienst Suno steht seit dem 15. Juli unter Druck: Ein Hacker hat nach eigenen Angaben Quellcode des Unternehmens erbeutet und dem Technikmagazin 404 Media übergeben. Der Code soll im Detail zeigen, woher Suno seine Trainingsdaten bezogen hat. Golem.de hat den Fall am 20. Juli für den deutschsprachigen Raum aufgegriffen.

Was in den Unterlagen stehen soll

Laut 404 Media enthält das Material Anweisungen für Scraping-Läufe gegen eine ganze Reihe von Plattformen: YouTube Music, Deezer, den Songtext-Dienst Genius, die Stock-Musikbibliotheken Pond5, Jamendo und Freesound, das Notenarchiv IMSLP sowie Podcasts über deren RSS-Feeds.

Die Größenordnungen, die aus den Unterlagen abgeleitet werden: mehrere Hunderttausend Stunden Material allein aus YouTube Music, jeweils mehrere Tausend Stunden aus Deezer, Genius, IMSLP und Pond5, dazu rund eine Million Stunden Podcast-Audio. Beim Abgriff von YouTube-Inhalten soll ein Dienstleister für Web-Datenerhebung eingebunden gewesen sein. Der Code selbst stammt den Berichten zufolge aus den Jahren 2023 und 2024.

Der Einbruch geht laut den Recherchen auf einen Supply-Chain-Angriff im November 2025 zurück, bei dem der Angreifer über einen Mitarbeiter an Zugangsdaten für Entwicklungs- und Cloud-Konten kam. Betroffen waren demnach auch Kundendaten — E-Mail-Adressen und Telefonnummern von mehreren Hunderttausend Nutzern.

Was Suno dazu sagt

Suno hat gegenüber 404 Media Stellung genommen, den Kern aber nicht bestritten. Ein Sprecher erklärte, die Modelle seien mit öffentlich zugänglichen Musikdateien und Metadaten trainiert worden; das Unternehmen hält die Praxis für rechtmäßig. Zum Sicherheitsvorfall teilte Suno mit, man habe im November 2025 einen begrenzten Vorfall festgestellt, der schnell eingedämmt worden sei; sensible personenbezogene Daten seien nicht kompromittiert worden.

Eine eigene Veröffentlichung im Suno-Newsroom zu den Trainingsdaten liegt nicht vor (Stand 21.07.2026). Das Unternehmen hatte allerdings schon zuvor eingeräumt, mit zig Millionen Aufnahmen trainiert zu haben.

Warum das juristisch zählt

Suno wird bereits von Rechteinhabern verklagt, angeführt von der US-Musikindustrie. Die Verteidigungslinie des Unternehmens stützt sich auf die US-Doktrin des Fair Use: Das Training sei eine transformative Nutzung. Die Kläger halten dagegen, dass eine kommerzielle Verwertung ohne Vergütung nicht unter die Ausnahme falle.

Genau deshalb ist das Leak brisant. Bisher mussten Kläger im Wesentlichen aus den Ergebnissen des Modells auf die Herkunft der Trainingsdaten zurückschließen. Konkreter Code, der Plattformen und Mengen benennt, wäre — sofern er sich im Verfahren verwerten lässt — ein deutlich direkterer Beleg. Rechtlich heikel bleibt, dass das Material aus einer Straftat stammt.

Der Fall reiht sich in die laufende Urheberrechtsdebatte ein, die derzeit an mehreren Fronten geführt wird — zuletzt etwa in der Klage von Verlagen gegen Google. Das Muster ist überall dasselbe: Anbieter berufen sich auf öffentlich zugängliche Inhalte, Rechteinhaber auf fehlende Lizenzen. Was Suno vom Rest unterscheidet, ist nur, dass die Beweismittel diesmal nicht im Zivilverfahren erstritten, sondern gestohlen wurden.