Bei Have I Been Pwned stehen seit dieser Woche 55,3 Millionen zusätzliche Konten. Sie stammen aus dem KI-Musikdienst Suno, über den ich gestern noch aus einem ganz anderen Grund geschrieben habe. Die bemerkenswerteste Zahl dieser Meldung ist aber keine der Millionen. Es ist ein Datum: Abgeflossen sind die Daten bereits im November 2025. Acht Monate lang war das Leck offen, ohne dass die Betroffenen etwas davon ahnten.
Genau daran zeigt sich, warum Nachprüfen allein nicht reicht. Wer kontrollieren will, was über ihn im Umlauf ist, muss früher ansetzen: bei der Frage, welche Konten überhaupt existieren.
Ein ungenutztes Konto ist nicht einfach aus
Auf den ersten Blick ist ein Account, den Du seit Jahren nicht mehr geöffnet hast, harmlos. Tatsächlich liegt er weiterhin vollständig auf einem fremden Server: E-Mail-Adresse, Passwort-Hash, oft Telefonnummer, bei Suno in einigen Fällen sogar Name, Anschrift und Fragmente der Kreditkartendaten. Dieser Datensatz wird gesichert, repliziert und bei jedem Backup mitgeschleppt. Er verbraucht Speicher und Strom, jeden Tag, ohne dass irgendjemand etwas davon hat.
Und er ist angreifbar. Meist mit einem Passwort, das Du vor Jahren vergeben und vielleicht anderswo wiederverwendet hast. Oder weil der Account wegen fehlender Updates nicht mehr sicher ist. Das ist der Kern des Problems: Nicht das Konto wird zum Einfallstor, sondern das Passwort dahinter, wenn es auch Dein Postfach oder Deinen Shop-Zugang öffnet.
Damit haben wir zwei Kosten für dieselbe Karteileiche. Die eine trägst Du selbst, in Form von Angriffsfläche. Die andere tragen wir alle. Das Umweltbundesamt beziffert die Emissionen gespeicherter Daten auf 166 bis 280 Kilogramm CO₂ pro Terabyte und Jahr, inklusive Hardware und Kühlung. Das entspricht pro Terabyte etwa einem Kurzstreckenflug Berlin nach München, Jahr für Jahr. Und das Ausmaß ist beachtlich: Je nach Studie werden 52 bis 66 Prozent aller gespeicherten Daten nie wieder genutzt. Deutschland liegt dabei an der Spitze.
Bemerkenswert ist, dass die Branche das Problem längst selbst erkannt hat. Google löscht persönliche Konten nach zwei Jahren Inaktivität und begründet das ausdrücklich mit dem Sicherheitsrisiko verwaister Zugänge. Nur handeln die wenigsten Dienste so. Für die meisten ist Dein totes Konto schlicht eine Nutzerzahl in der Statistik.
Was nicht erhoben wurde, kann nicht abfließen
Für mich ist das Suno-Leck deshalb vor allem ein Lehrstück in Datensparsamkeit. Wozu braucht ein Musikgenerator eine Telefonnummer? Jedes Feld, das ein Anbieter nicht erhebt, kann später nicht geleakt werden. Und jedes Konto, das Du nicht anlegst, kann Dich nicht treffen.
Das gilt auch andersherum, und hier wird es für Dich als Betreiber einer Website konkret. Auch Deine Seite sammelt Karteileichen an: Nutzerkonten aus einem Shop, den es nicht mehr gibt. Newsletter-Empfänger, die sich vor Jahren abgemeldet haben. Eine alte Testinstallation in einem Unterverzeichnis, die keiner mehr pflegt. Genau solche vergessenen Installationen werden gehackt, oft Jahre nach dem letzten Update. Und die DSGVO verlangt in Artikel 5 ohnehin Datenminimierung: Personenbezogene Daten dürfen nur so lange gespeichert werden, wie sie gebraucht werden. Löschen ist hier keine Kür, sondern Pflicht.
Ein Konto zu löschen fühlt sich nach nichts an. Es ist trotzdem die wirksamste Maßnahme, die Du heute ergreifen kannst: Sie senkt Deine Angriffsfläche und den Ressourcenverbrauch in derselben Bewegung. Denn ein Datensatz, den es nicht mehr gibt, kann weder gestohlen werden noch Strom verbrauchen. Das sicherste Konto bleibt das, das Du nie angelegt hast.
Quelle: heise: Suno-Datenleck - Have I Been Pwned ergänzt 55 Millionen Konten