Wenn plötzlich ein fremder Song auf deinem Spotify-Profil erscheint

Von der KI generierter Song, echter Künstlername, echtes Spotify-Profil: Was wie ein schlechter Scherz klingt, ist inzwischen ein realer Angriff auf die Musikindustrie. Ein Experiment mit der Brooklyn-Band Lathe of Heaven hat gezeigt, wie einfach sich ein fremder Song über reguläre Vertriebswege im Profil eines echten Künstlers platzieren lässt.

Stell dir vor, du öffnest Spotify und siehst: Dein Lieblingskünstler hat eine neue Single veröffentlicht.

Der Name stimmt.
Das Künstlerprofil stimmt.
Das Cover ist da.
Der Song steht zwischen den echten Veröffentlichungen. Nur: Der Künstler hat den Song nie aufgenommen.

Genau das ist Anfang September 2026 der Punkband Lathe of Heaven aus Brooklyn passiert. Unter ihrem verifizierten Spotify-Profil tauchte die Single „Riding High“ auf. Die Band hatte den Song weder geschrieben noch aufgenommen noch veröffentlicht. Die Stimme stammte nicht von Sänger Gage Allison.

Der Song war mit einem KI-Musikgenerator erstellt worden. Noch beunruhigender: Der Vorgang war kein spektakulärer Hackerangriff. Es mussten keine Passwörter gestohlen und keine Accounts übernommen werden.

Ein Experiment von 404 Media zeigte, dass sich der Song über einen normalen digitalen Musikvertrieb in das bestehende Künstlerprofil einschleusen ließ. Der Reporter erzeugte den Song mit Udio und nutzte anschließend einen Musikvertriebsdienst, um ihn an Streamingplattformen auszuliefern. Bei der Zuordnung des Künstlers wurde das bestehende Profil von Lathe of Heaven ausgewählt. Anschließend musste lediglich bestätigt werden, dass man der betreffende Künstler sei.

Das Ergebnis war bemerkenswert: Der Fake-Song erschien nicht nur bei Spotify, sondern laut dem Experiment auch bei Apple Music, Tidal und Amazon Music.

Kein Hackerangriff – sondern ein Vertrauensproblem

Das macht den Fall so interessant. Man könnte zunächst vermuten, dass jemand den Spotify-Account der Band gehackt hat. Genau das ist aber offenbar nicht passiert.

Das Problem liegt vielmehr in der Lieferkette zwischen Künstler, Distributor und Streamingplattform. Digitale Musikvertriebe sind darauf ausgelegt, dass unabhängige Musiker ihre Songs möglichst unkompliziert veröffentlichen können. Ein Künstler lädt seine Musik hoch, gibt Metadaten an und bestimmt, unter welchem Künstlerprofil der Titel erscheinen soll.

Diese einfache Struktur wird zum Problem, wenn die Identität des Uploaders nicht zuverlässig überprüft wird. Im Experiment von 404 Media genügte es, falsche Angaben zur eigenen Identität und zu den Rechten an der Veröffentlichung zu machen. Die Plattformen gingen zunächst davon aus, dass diese Angaben korrekt waren. Innerhalb kurzer Zeit erschien der KI-Song auf dem Profil der echten Band.

Das System musste also nicht gehackt werden. Es wurde ausgetrickst.

Warum KI den Missbrauch besonders attraktiv macht

Die technische Hürde ist inzwischen extrem niedrig.

Ein Nutzer benötigt weder ein Tonstudio noch Musiker noch Produzenten. Mit Diensten wie Suno oder Udio lässt sich innerhalb weniger Minuten ein kompletter Song erzeugen. Auch Covergrafiken können mit generativen Bildmodellen erstellt werden.

Danach kommt der entscheidende Schritt: die Veröffentlichung über einen Musikvertrieb.

Das macht die Masche wirtschaftlich interessant. Ein unbekannter KI-Song hat normalerweise ein großes Problem: Niemand kennt den Künstler.

Ein Fake-Song unter dem Namen eines bekannten oder etablierten Musikers startet dagegen mit einer bereits vorhandenen Identität. Fans suchen nach dem Künstler, öffnen dessen Profil und können den fremden Song dort direkt vorfinden.

Und wenn der Song gestreamt wird, können Einnahmen entstehen.

Laut 404 Media flossen bei dem Experiment die daraus entstandenen Streaming-Erlöse nicht an Lathe of Heaven, sondern an denjenigen, der die Veröffentlichung eingereicht hatte. Damit entsteht ein ungewöhnliches Geschäftsmodell: Fremde Bekanntheit wird genutzt, um KI-Musik zu monetarisieren.

Kleine Künstler besonders gefährdet

Für einen Weltstar ist ein solcher Fake möglicherweise schnell zu entdecken. Ein großes Management-Team überwacht Streamingprofile, Social Media, Veröffentlichungen und Einnahmen. Ein unbekannter oder kleiner Künstler hat diese Ressourcen häufig nicht.

Genau darin liegt eine der größten Gefahren. Berichte über den Fall weisen darauf hin, dass insbesondere kleinere Künstler und auch bereits verstorbene Musiker gefährdet sein können. Bei ihnen fällt eine ungewöhnliche Veröffentlichung möglicherweise nicht sofort auf.

Für einen Musiker kann der Schaden dabei über entgangene Einnahmen hinausgehen. Was passiert, wenn plötzlich ein schlechter oder völlig unpassender KI-Song unter deinem Namen veröffentlicht wird?

Fans könnten glauben, du hättest ihn tatsächlich produziert. Journalisten könnten darüber berichten. Der Song könnte in Playlists landen. Und im schlimmsten Fall könnte die Veröffentlichung den Ruf des echten Künstlers beschädigen.

Der Sänger von Lathe of Heaven beschrieb genau diese Sorge gegenüber 404 Media: Nicht nur der finanzielle Aspekt sei problematisch, sondern auch die Möglichkeit, dass jemand den Namen der Band mit einem fremden und qualitativ schlechten Song in Verbindung bringt.

Das Problem ist älter als generative KI

Interessant ist dabei: Die Sicherheitslücke selbst ist nicht erst mit Suno, Udio oder anderen KI-Musikgeneratoren entstanden. Das grundlegende Problem – dass Veröffentlichungen dem falschen Künstlerprofil zugeordnet werden können – existiert schon länger.

KI verändert jedoch die Größenordnung.

Früher musste jemand zumindest einen fertigen Song produzieren, Musiker bezahlen oder Audioaufnahmen besitzen. Heute kann ein einzelner Nutzer in wenigen Minuten hunderte Varianten eines Songs erzeugen.

Damit wird aus einem relativ kleinen Betrugsproblem potenziell ein Massengeschäft. Die Kombination ist entscheidend: KI senkt die Produktionskosten nahezu auf null + digitale Vertriebe vereinfachen die Veröffentlichung + Künstlerprofile liefern eine bestehende Identität + Streaming ermöglicht Monetarisierung. Genau diese Kombination macht das Problem neu.

Spotify kennt das Problem

Spotify ist sich der Problematik grundsätzlich bewusst.

Bereits im September 2025 kündigte Spotify verstärkte Maßnahmen gegen eine andere Form der Künstler-Impersonation an: Musik, die von einem Uploader absichtlich dem falschen Künstlerprofil zugeordnet wird. Spotify bezeichnete dies als „Content Mismatch“ und kündigte an, gemeinsam mit Musikvertrieben neue Präventionsmaßnahmen zu testen. Gleichzeitig sollte der Prozess verbessert werden, mit dem Künstler solche falschen Zuordnungen melden können. Die aktuellen Fälle zeigen allerdings, dass das Problem weiterhin relevant ist. 

Parallel baut Spotify seine Systeme zur Künstlerverifizierung aus.

Mit „Verified by Spotify“ sollen Signale darüber geliefert werden, ob hinter einem Künstlerprofil tatsächlich eine authentische Künstleridentität steht. Spotify berücksichtigt dabei unter anderem eine erkennbare Präsenz des Künstlers innerhalb und außerhalb der Plattform. Seit Mitte September 2026 führt Spotify außerdem ein „AI Persona“-Badge ein.

Dabei geht es allerdings um einen anderen Sachverhalt: Das Badge soll anzeigen, wenn die öffentliche Identität eines Artists selbst eine KI-generierte, fotorealistische Persona darstellt.

Das bedeutet ausdrücklich nicht, dass ein mit KI produzierter Song automatisch als „AI Persona“ gekennzeichnet wird. Ein realer Musiker, der KI als Werkzeug bei der Produktion einsetzt, fällt nicht automatisch darunter. Und genau hier wird die Sache kompliziert.

Drei verschiedene Dinge werden häufig verwechselt

In der Diskussion über KI-Musik werden derzeit mindestens drei völlig unterschiedliche Situationen miteinander vermischt:

1. Ein echter Künstler benutzt KI

Ein realer Musiker schreibt und produziert einen Song und verwendet dabei beispielsweise KI für Instrumente, Stimmen oder Sounddesign. Der Künstler ist real. Die Musik kann teilweise oder vollständig KI-generiert sein.

2. Ein Künstler ist selbst eine KI-Persona

Ein Projekt präsentiert sich als eigenständiger, künstlich erzeugter Künstler – inklusive Name, Bild und möglicherweise künstlicher Stimme. Die Identität ist künstlich.

3. Ein Betrüger gibt sich als echter Künstler aus

Ein realer Musiker existiert, hat den Song aber nicht veröffentlicht. Eine dritte Person lädt einen KI-generierten Titel unter dessen Namen hoch. Hier wird nicht nur KI zur Musikproduktion eingesetzt – hier wird die Identität eines realen Künstlers missbraucht. Der Fall Lathe of Heaven gehört in die dritte Kategorie.

Und genau diese Unterscheidung dürfte für die Musikbranche immer wichtiger werden.

Auch KI-Stimmen sind ein separates Problem

Noch eine Ebene kommt hinzu: die Stimme.

Spotify hat inzwischen ausdrücklich eine Richtlinie gegen nicht autorisierte Stimm-Imitationen. Songs, die ohne Zustimmung die Stimme eines echten Künstlers klonen oder imitieren, können nach einer entsprechenden Beschwerde entfernt werden. SSpotify

Das ist allerdings etwas anderes als der Lathe-of-Heaven-Fall.

Für den Fake-Song musste die Stimme des echten Sängers nicht einmal perfekt imitiert werden. Es reichte, den Song unter dem Namen der echten Band zu veröffentlichen.

Das macht die Sache besonders interessant: Der Angriff richtet sich nicht zwingend gegen die Stimme. Er richtet sich gegen die Künstleridentität.

Die nächste große Frage: Wem gehört ein Künstlerprofil?

Damit kommt die Musikindustrie zu einer grundsätzlichen Frage, die durch KI immer dringlicher wird: Was bedeutet eigentlich „dieser Song stammt von diesem Künstler“?

Bisher war die Antwort relativ einfach. Ein Künstler oder sein Label veröffentlicht einen Song. Der Distributor liefert ihn an Spotify & Co. Die Plattform ordnet ihn dem entsprechenden Künstlerprofil zu.

Doch dieser Prozess basiert zu einem erheblichen Teil auf Metadaten und Angaben des Uploaders. Wenn generative KI nun die Produktion eines Songs praktisch jedem ermöglicht, wird die Identitätsprüfung zum entscheidenden Punkt.

Die Streamingplattform muss künftig also nicht nur feststellen: „Ist dieser Song legal?“

Sondern möglicherweise auch: „Wer hat ihn tatsächlich veröffentlicht?“

Und: „Ist diese Person berechtigt, ihn unter diesem Künstlernamen zu veröffentlichen?“

Das sind völlig andere Prüfungen.

Der vielleicht wichtigste Wandel der KI-Musik

Bisher wurde die große KI-Debatte vor allem unter einer Frage geführt: Ist dieser Song von einem Menschen oder von einer KI? Die aktuellen Fälle verschieben die Fragestellung. Vielleicht lautet die wichtigere Frage künftig:

Ist der Künstler, unter dessen Namen dieser Song erscheint, tatsächlich derjenige, der ihn veröffentlicht hat?

Das ist ein fundamentaler Unterschied.

Denn ein vollständig von einer KI erzeugter Song ist nicht automatisch ein Problem. Ein Künstler kann KI bewusst und transparent als kreatives Werkzeug einsetzen. Spotify selbst unterscheidet deshalb zwischen KI-generierter Musik und KI-generierten Künstleridentitäten. Problematisch wird es dort, wo die Technologie genutzt wird, um eine fremde Identität vorzutäuschen.

Was jetzt passieren müsste

Für die Musikbranche dürfte deshalb die nächste Entwicklungsstufe nicht nur bessere KI-Erkennung sein. Sie braucht bessere Identitätsprüfung.

Mögliche Ansätze wären beispielsweise:

• Veröffentlichungen müssten eindeutig einem verifizierten Künstlerkonto zugeordnet werden.

• Neue Releases könnten vor der Veröffentlichung vom Künstler bestätigt werden.

• Künstler könnten automatisch benachrichtigt werden, wenn ein neuer Song unter ihrem Namen eingereicht wird.

• Distributoren könnten auffällige Zuordnungen vor der Auslieferung prüfen.

• Streamingdienste könnten bessere Möglichkeiten schaffen, falsche Veröffentlichungen unmittelbar zu melden.

• Einnahmen könnten bei verdächtigen Veröffentlichungen zunächst zurückgehalten werden.

• Künstler könnten ihre Kataloge und Profile mit zusätzlichen Identitätsnachweisen absichern.

Spotify hat mit „Verified by Spotify“, SongDNA, KI-Informationen und seinem Artist-Profile-Schutz bereits mehrere Bausteine angekündigt bzw. eingeführt. Die entscheidende Frage wird jedoch sein, ob diese Systeme schnell genug mit der Geschwindigkeit generativer Musik mithalten können. Denn einen Song zu erzeugen dauert heute Minuten. Eine menschliche Prüfung kann deutlich länger dauern.

Fazit: Die neue Front im KI-Musikstreit

Der Fall Lathe of Heaven ist deshalb mehr als eine kuriose Geschichte über einen schlechten KI-Song auf Spotify. Er zeigt eine Schwachstelle im Fundament des digitalen Musikgeschäfts. Streamingplattformen müssen nicht nur Millionen Songs verwalten. Sie müssen auch Millionen Identitäten verwalten. Und KI macht es immer einfacher, diese Identitäten zu imitieren.

Für Musiker bedeutet das möglicherweise eine neue Form der digitalen Selbstverteidigung: Nicht nur die eigene Musik muss geschützt werden – sondern auch das eigene Künstlerprofil. Die entscheidende Frage der kommenden Jahre könnte deshalb lauten: Wer darf unter wessen Namen Musik veröffentlichen?

Und wer stellt sicher, dass die Antwort darauf tatsächlich stimmt?