GTA 6 Leak: Woher hat Cyberleek das Material?

Über den Inhalt der geleakten Clips ist inzwischen viel geschrieben worden, auch bei uns. Die Frage davor stellt fast niemand: Wie kommt jemand an ein spielbares GTA 6? Rockstar hat sich am 26. August erstmals geäußert, zur Herkunft des Materials aber kein Wort gesagt. Take-Two löscht und schweigt ebenfalls. Damit bleibt die wichtigste Angabe des ganzen Vorgangs offen.

Fest steht nur der Befund. Eine Clip-Serie, eine Karte, eine Zwischensequenz. Dazu die DMCA-Löschungen von Take-Two, die als stärkstes Echtheitsindiz gelten. Seit dem fünften Clip kommt eine Stufe dazu: Jason schießt darin das Wort LEEK in eine Wand, und das entsteht nur im laufenden Spiel. Insider Gaming, Eurogamer und Push Square lesen es gleich. Der ganze Ablauf steht in unserem Artikel zum Leak vom 18. August.

2022 war die Frage nach einem Tag beantwortet

Der Vergleich zeigt, was diesmal fehlt. Nach dem Leak vom September 2022 bestätigte Rockstar den Einbruch schon am Folgetag selbst und sprach von einem unbefugten Zugriff auf das eigene Netzwerk. Später war auch der Täter bekannt: Arion Kurtaj aus der Gruppe Lapsus$, der Rockstar aus einem Hotelzimmer heraus über einen Amazon Fire Stick am Fernseher angriff. Die ganze Geschichte steht in unserem Artikel zum großen Leak von 2022.

Diesmal gibt es nichts davon. Keine Bestätigung, keine Festnahme, keine Angabe zur Quelle. Der Fall von damals ist übrigens nicht erledigt. Kurtaj wurde im Juli 2026 aus der gesicherten Klinik in ein normales Gefängnis verlegt, sein Prozess ist laut PC Gamer für November angesetzt. Das ist derselbe Monat, in dem GTA 6 erscheint.

Vier Erklärungen, keine davon belegt

Die dritte Zeile ist die interessanteste, weil sie nicht theoretisch ist. Im April 2026 kam die Gruppe ShinyHunters über den Analyse-Dienstleister Anodot an Zugangsdaten und darüber an ein angeschlossenes Snowflake-Konto von Rockstar. Help Net Security und Hackread haben den Weg beschrieben. Rockstar bestätigte den Vorfall und sprach von einer begrenzten Menge nicht wesentlicher Firmeninformationen, Spielmaterial und Quellcode waren nicht dabei. Der Fall zeigt trotzdem, wie so etwas heute läuft: nicht durch die Vordertür, sondern über eine Firma, der die Vordertür offensteht.

Der erste konkrete Hinweis, und er heißt Phishing

Am 21. August kam ein Fall dazu, der genau in diese Zeile passt. Insider Gaming berichtet über einen zweiten Leak, der nicht von Cyberleek stammt: eine Xbox-Capture-Datei mit 3D-Modellen, Kartentexturen und Maßen, aus der sich ein Bauplan der Karte rekonstruieren lässt. Zur Herkunft heißt es dort, die Datei sei aufgetaucht, nachdem ein Rockstar-Mitarbeiter mit einer gefälschten Mail hereingelegt wurde.

Belegt ist das nicht, es trägt bisher eine einzige Redaktion, und wir behandeln es entsprechend. Bemerkenswert ist es trotzdem aus zwei Gründen. Erstens beschreibt es keinen Einbruch in ein Netzwerk, sondern den Weg über einen Menschen, also die zweite und dritte Zeile der Tabelle. Zweitens zeigt es, dass mehr als eine Quelle offen ist: Zwei Leaks in einer Woche aus unterschiedlichen Richtungen sind kein Zufall mehr, sondern ein Muster.

Ein Detail aus der Kryptospur passt ebenfalls hierher. Der Forennutzer Vice Cit hat mit den Mitteln der digitalen Forensik nachgewiesen, dass der öffentliche Solana-Schlüssel zum Signaturschlüssel der Arweave-Uploads passt, IGN hat es aufgegriffen. Die Infrastruktur hängt also an einer Hand, und die ist über eine Börse mit Ausweispflicht bezahlt worden. Mehr dazu in unserem Artikel dazu, wie Take-Two den Leaker jagt.

Ein Spiel dieser Größe hat viele solcher Firmen: Entwicklungsstudios und Testfirmen, Übersetzer, Agenturen, Plattformpartner. Jede davon bekommt vertrauliches Material, und jede hat ihre eigene Sicherheitslage. Zur Infrastruktur der Gruppe passt das: Ihre Website lief laut pcgames.de über ein AR.IO-Gateway, also über dezentralen Speicher, bei dem eine Löschung nicht die Datei trifft, sondern nur den Wegweiser dorthin.

Was ein Insider dagegen einwendet

Am 25. August hat sich TezFunz2 im GTA-Forum geäußert, seit Jahren eine der verlässlicheren Stimmen zu Rockstar-Internas, und er räumt eine der vier Zeilen oben ab. Ein gestohlenes Entwickler-Kit sei kein plausibler Weg: Solche Geräte sind auf feste Adressen beschränkt, ein Entwicklungsstand läuft nicht auf den öffentlichen Servern von Sony und Microsoft, und Rockstar hätte die Kits nach dem 18. August ohnehin gesperrt.

Seine eigene Lesart ist unangenehmer. Er hält es für wahrscheinlich, dass der Leaker einen Entwickler bezahlt hat. Dafür spricht ein Detail, das in den Clips selbst steckt und über das sich die Community lustig macht: Wer auch immer spielt, spielt erkennbar ungeübt. Ein Entwickler, der Aufnahmen im Auftrag anfertigt, würde genau so aussehen.

TezFunz2 nennt außerdem einen zweiten Vorfall, der nicht Cyberleek ist. Eine Gruppe namens 808 Mafia soll den Rechner eines Rockstar-Entwicklers mit einem Datensammler infiziert und darüber Zugangsdaten zu internen Diensten samt Slack bekommen haben. Aus dieser Spur stamme eine Grafik-Aufnahme von einem Xbox-Series-X-Entwicklungskit, datiert auf den 21. Juli 2026. Das deckt sich mit dem zweiten Leak vom 21. August, den wir oben beschrieben haben.

Und er hat eine Prognose, die sich in den nächsten Tagen prüfen lässt: Der Leaker bekomme nichts Neues mehr, weil Rockstar seit dem 18. August alles dichtgemacht habe. Er schneide seine Clips aus einem längeren Mitschnitt und arbeite darauf zu, diesen Mitschnitt am Ende als Torrent zu verteilen. Ein Nutzer will im Quelltext der Leaker-Seite eine vorbereitete Funktion für Magnet-Links gefunden haben.

All das sind Forenbeiträge, keine Redaktionsmeldungen, und TezFunz2 schreibt selbst in Wahrscheinlichkeiten. Wir führen es entsprechend: als die bestinformierte Vermutung, die derzeit im Umlauf ist, nicht als Befund.

Was das Muster nahelegt

Bis zum 20. August sah alles nach einem endlichen Vorrat aus. Kuratierte Clips, sauber geschnitten, dazu eine Abstimmung über die Reihenfolge der Veröffentlichung. Kein Quellcode, keine internen Dokumente, keine Entwicklerdaten. Wer ein Firmennetz auseinandernimmt, kommt normalerweise nicht mit einer Handvoll Videos zurück.

Der fünfte Clip verschiebt das. Ein laufendes Spiel produziert neues Material auf Zuruf, damit ist die Menge nicht mehr die entscheidende Frage. Entscheidend ist, ob der Zugang noch besteht. Darin liegt für Rockstar der ganze Unterschied: Ein abgeschlossener Vorfall ist peinlich und teuer. Ein andauernder Zugriff heißt, dass auch die nächste Datei im Haus gefährdet ist.

Der Einwand, der in der Panik untergeht

Zwanzig Kanäle titeln, der Leaker habe das ganze Spiel. Dagegen steht eine Beobachtung, die niemand entkräftet hat. Matthew Judge, als DarkViperAU einer der bekanntesten GTA-Analysten, hat die Clips nebeneinandergelegt: In allen fünf steht Jason am Spielanfang, trägt dasselbe Hemd und hat null Dollar. Nach mehreren Tagen mit dem Spiel wären das rund 20 Minuten Fortschritt. In einem der frühen Clips ist außerdem ein Entwickler-Platzhalter zu sehen, ein Würfel, der eine Animation auslöst.

Sein Schluss: Das sieht nach einem frühen Testbuild aus, mit freiem Fahren und vielleicht einer einzelnen Mission, nicht nach dem fertigen Spiel. Testern wird üblicherweise nur ein Abschnitt gegeben. Hätte der Leaker mehr, würde er mehr zeigen, denn genau davon lebt die Aktion. Auch die Abstimmung passt dazu: Zur Wahl standen Auto, Motorrad und Flugzeug, also lauter Dinge, die man am Anfang jeder offenen Spielwelt tun kann.

Gamepro macht eine zweite Einschränkung, die sich damit verträgt. Bewiesen ist, dass jemand das Spiel steuert, nicht dass Cyberleek es selbst tut. Genauso möglich ist eine Person mit Zugang, die Aufnahmen zuspielt. Für die Frage nach der Quelle ist das kein Detail, sondern die Kernfrage.

Die Linie, ab der es ein anderer Vorfall wäre

Bisher ist alles Geleakte Spielinhalt. Sobald Quellcode, interne Dokumente oder Missionsskripte auftauchen, ändert sich die Bewertung sofort. Dann geht es nicht mehr um Marketing-Schaden. Dasselbe gilt, falls Cyberleek die Drohung gegen andere Publisher einlöst und Material einer fremden Firma zeigt. Diese Drohung steht im Manifest, Kotaku hat sie ausführlich zitiert. Aus dem GTA-Thema würde ein Sicherheitsthema der ganzen Branche.

Meine Einschätzung

Die naheliegendste Erklärung ist die langweiligste. Ein spektakulärer Einbruch bei einem Konzern mit eigener Sicherheitsabteilung, der ausgerechnet in einer Handvoll Gameplay-Videos endet, ergibt wenig Sinn. Legitimer Zugang irgendwo in der langen Kette ergibt mehr. Belegt ist das nicht, und ich schreibe es ausdrücklich als Vermutung. Sicher ist nur eines: Solange niemand weiß, ob der Zugang noch offen ist, endet die Sache auch am 27. August nicht.

Wurde Rockstar 2026 erneut gehackt? Bestätigt ist das nicht. Zum aktuellen Leak hat sich Rockstar nicht geäußert. Bestätigt ist ein anderer Vorfall vom April 2026, bei dem Angreifer über den Dienstleister Anodot an Firmenzahlen kamen, nicht an Spielmaterial.

Hat Cyberleek den Quellcode von GTA 6? Dafür gibt es keinen Hinweis. Aufgetaucht sind bisher nur Spielinhalte, also Videos, Kartenbilder und eine Zwischensequenz. Quellcode wäre eine andere Größenordnung.

Ist Cyberleek derselbe Täter wie 2022? Eine Verbindung ist nicht belegt. Arion Kurtaj wurde für den Leak von 2022 verurteilt, er sitzt seit Juli 2026 in einem regulären Gefängnis, und sein Prozess steht im November an.

Kann Rockstar herausfinden, woher die Dateien stammen? Im Prinzip ja. Große Firmen protokollieren, wer welche Datei wann geöffnet und heruntergeladen hat. Lässt sich ein geleaktes Video einer internen Datei zuordnen, führt die Spur zu den Konten, die Zugriff hatten. Seit dem 25. August gibt es zusätzlich eine Spur über Zeitstempel, mehr dazu im Artikel zur Jagd auf Cyberleek.

Warum sagt Rockstar nichts dazu? Jede Äußerung bestätigt Material, das offiziell nicht existiert, und macht den Namen des Leakers größer. Löschen ohne Kommentar ist die Antwort, die dem Leaker am wenigsten einbringt.

Hat ein Rockstar-Entwickler das Material weitergegeben? Belegt ist das nicht. Der Insider TezFunz2 hält einen bezahlten Entwickler für die wahrscheinlichste Erklärung, weil ein gestohlenes Entwicklungskit technisch schlecht passt. Es bleibt eine Vermutung, Rockstar sagt nichts dazu.