Thought Leadership
Eine Sicherheitslücke bei der Streaming-Plattform SoundCloud hat zum Abfluss von Nutzerdaten im großen Stil geführt. Betroffen sind rund 20 Prozent der Accounts. Die Angreifer versuchten anschließend, das Unternehmen unter Druck zu setzen.
Bei einem Sicherheitsvorfall im Dezember 2025 sind persönliche Informationen von 29,8 Millionen SoundCloud-Nutzern in die Hände von Cyberkriminellen gelangt. Das geht aus Angaben des Datenleck-Meldedienstes “Have I Been Pwned” hervor, der am Montag Details zum Umfang der Datenpanne veröffentlichte.
Die 2007 gegründete Audio-Plattform hatte den Vorfall Mitte Dezember zunächst nur vage kommuniziert. Auslöser waren Meldungen zahlreicher Anwender, die beim Zugriff auf SoundCloud über VPN-Verbindungen Fehlermeldungen erhielten.
Daten von einem Fünftel aller Konten gestohlen
In einer ersten Stellungnahme sprach SoundCloud von “unbefugtem Zugriff auf ein Dashboard eines Zusatzdienstes”. Eine interne Untersuchung habe ergeben, dass ausschließlich E-Mail-Adressen sowie bereits öffentlich einsehbare Profilinformationen kompromittiert wurden. Sensible Daten wie Zahlungsinformationen oder Passwörter seien nicht betroffen.
Das Ausmaß wurde später präzisiert: Die nun von Have I Been Pwned veröffentlichten Zahlen bestätigen dies: 29,8 Millionen E-Mail-Adressen waren Teil des Datensatzes, ergänzt um Nutzernamen, geografische Angaben, Profilbilder und Account-Statistiken wie Follower-Zahlen. In einzelnen Fällen wurden auch Länderangaben erfasst: “Durch diesen Vorfall konnte ein Angreifer öffentlich zugängliche SoundCloud-Profildaten etwa 20 % der Nutzer mit deren E-Mail-Adressen verknüpfen”, schreibt der Datenleck-Melde-Service.
Erpressungsversuch und E-Mail-Bombardement
Hinter dem Angriff steht offenbar die Hackergruppe ShinyHunters, die bereits in der Vergangenheit durch Datendiebstähle und Erpressungsversuche aufgefallen ist. SoundCloud bestätigte Mitte Januar, dass die Täter Forderungen stellten und mit massenhaften E-Mail-Attacken Nutzer, Mitarbeiter und Geschäftspartner belästigten. Nachdem die Erpressung offenbar scheiterte, wurden die erbeuteten Daten im Januar öffentlich gemacht.
Der Mechanismus des Angriffs ermöglichte es den Tätern, öffentlich zugängliche Profilinformationen mit den dazugehörigen E-Mail-Adressen zu verknüpfen, was wiederum für Phishing-Kampagnen oder weitere Angriffe genutzt werden könnte.
