Gyazo-Datenleck September 2026: 23,6 Millionen Konten betroffen

Die schnelle Antwort: Der japanische Betreiber Helpfeel hat am 16. September 2026 einen Einbruch beim Screenshot-Dienst Gyazo bestätigt. Über eine Lücke im Bild-Upload-Server erreichte ein Dritter am 11. September die Datenbank. Betroffen sind rund 23,62 Millionen Nutzerdatensätze samt Passwort-Hashes und Sitzungskennungen sowie Metadaten zu etwa 490 Millionen Bildern, darunter der per Texterkennung ausgelesene Inhalt der Aufnahmen.

Was bei Gyazo passiert ist

Gyazo ist ein Werkzeug für Bildschirmaufnahmen: Tastenkombination drücken, Ausschnitt ziehen, fertig. Die Aufnahme wandert automatisch in die Cloud, und in der Zwischenablage liegt sofort ein Link, den man in einen Chat, ein Forum oder ein Ticket wirft. Genau diese Bequemlichkeit hat den Dienst in Gaming-Communities, in Support-Abteilungen und bei Entwicklerinnen und Entwicklern groß gemacht. Sie ist auch der Grund, warum die meisten Nutzer gar nicht mehr wissen, was sie über die Jahre alles hochgeladen haben.

Nach der offiziellen Mitteilung des Betreibers Helpfeel vom 16. September 2026 nutzte ein Dritter am 11. September eine Schwachstelle im Bild-Upload-Server aus, führte darüber eigene Befehle auf den Systemen des Unternehmens aus und gelangte so an die Gyazo-Datenbank. Auffällige Aktivität fiel noch am selben Abend auf. In den frühen Morgenstunden des 12. September waren die erkannten Zugangswege gesperrt, die Verbindungen des Angreifers gekappt und die ausgenutzte Lücke geschlossen. Welche Art von Schwachstelle es war, sagt Helpfeel nicht.

Danach folgte ein ungewöhnlich sichtbarer Schritt: Am 14. September stellte das Unternehmen die Auslieferung der Bilder vorsorglich ein, weshalb weltweit eingebettete Gyazo-Bilder in Foren und Dokumentationen plötzlich leer blieben. Am 15. September wurden zusätzliche Schutzmaßnahmen aktiv, neue Uploads liefen wieder, und der Vorfall ging an die japanische Datenschutzkommission. Erst am 16. September informierte Helpfeel die Öffentlichkeit. Zwischen dem Einbruch und der Mitteilung lagen damit fünf Tage, in denen Betroffene nichts von dem Vorfall wussten.

Bin ich betroffen? Die Prüfung in vier Fragen

Eine öffentliche Abfrageseite gibt es nicht, und Helpfeel veröffentlicht keine Aufstellung nach Ländern. Für den Kontoteil ist die Antwort deshalb unangenehm einfach: Mit rund 23,62 Millionen Datensätzen ist praktisch der gesamte Nutzerbestand erfasst, und wer je ein Konto angelegt hat, sollte sich als betroffen behandeln. Beim Bildteil lohnt eine genauere Prüfung, denn dort sind es rund 14,4 Prozent der Bilddaten, und die stammen überwiegend aus Uploads von Januar 2019 und früher. Die folgenden vier Fragen sortieren Ihren Fall.

Ein Punkt, der in den Meldungen untergeht: Viele Menschen haben ein Gyazo-Konto, ohne es präsent zu haben. Das Programm wird einmal für eine Supportanfrage oder einen Spielmoment installiert, läuft danach jahrelang im Hintergrund mit und sammelt weiter Aufnahmen ein. Wenn Sie unsicher sind, ob Sie überhaupt betroffen sein können, hilft eine systematische Bestandsaufnahme Ihrer Altkonten. Wie Sie vergessene Anmeldungen über Ihre Postfächer, Ihren Passwortspeicher und die Anmeldeliste Ihres Google-Kontos rekonstruieren, steht in unserer Anleitung zum Aufspüren alter Accounts im digitalen Fußabdruck.

Welche Daten abgeflossen sind und was daraus folgt

Die Liste zerfällt in zwei Hälften, die unterschiedlich wehtun. Die Kontohälfte ist die bekannte Gefahr, die Bildhälfte die ungewöhnliche.

• Passwort-Hashes: Ein Hash ist die verschlüsselte Ableitung Ihres Passworts, also nicht das Passwort selbst. Entscheidend ist, mit welchem Verfahren gerechnet wurde, und genau das nennt Helpfeel nicht. Bei modernen, absichtlich langsamen Verfahren ist das Zurückrechnen teuer, bei älteren geht es auf handelsüblicher Hardware erstaunlich schnell. Solange die Angabe fehlt, gilt der vorsichtige Fall. Das BSI empfiehlt aus genau diesem Grund, für jeden Dienst ein eigenes Passwort zu verwenden.
• Sitzungskennungen und Verknüpfungs-Tokens: Eine Sitzungskennung ist der Ausweis, den Ihr Browser vorzeigt, damit Sie sich nicht bei jedem Aufruf neu anmelden müssen. Wer sie besitzt, braucht kein Passwort mehr. Gleiches gilt für die Tokens, mit denen Gyazo an X und an Google-SSO angebunden war. Helpfeel gibt an, diese Daten für ungültig erklärt oder eingeschränkt zu haben. Verlassen sollten Sie sich darauf nicht, denn welche Elemente konkret invalidiert wurden, steht in der Mitteilung nicht.
• Upload-IP-Adressen und EXIF-Standortdaten: Zu jeder Aufnahme ist gespeichert, von welcher IP-Adresse und mit welchem Browser sie hochgeladen wurde. Bei Bildern, die nicht vom Bildschirm stammen, sondern aus der Kamera, kommen die EXIF-Daten hinzu, also die technischen Zusatzinformationen der Aufnahme einschließlich Koordinaten. In Kombination mit dem Zeitstempel ergibt das ein grobes Bewegungs- und Wohnortprofil.
• Name, E-Mail-Adresse, Abo- und Abrechnungsstatus: Zahlungsdaten sind nach Angaben des Betreibers nicht dabei, die Information, ob Sie zahlender Kunde sind, hingegen schon. Für Angreifer ist das eine Sortierhilfe: Zahlende Konten sind dieselben, in denen die Texterkennung aktiv war und in denen sich entsprechend mehr auswertbarer Inhalt findet. Mit Namen und E-Mail-Adresse lässt sich daraus eine sehr glaubwürdige Phishing-Mail bauen, die den echten Vorfall als Aufhänger nutzt.

Was Sie an diesem Punkt selbst in der Hand haben, ist der zweite Schritt der Angreifer, nicht der erste. Gestohlene Zugangsdaten werden zusammengeführt, mit Adressen und Telefonnummern aus anderen Quellen angereichert und dann gezielt eingesetzt. Je weniger dieser anderen Quellen Sie führen, desto dünner bleibt das Profil. Löschanfragen an über 100 Datenbroker stellen lassen und die Zahl der Stellen verringern, an denen Ihr Name und Ihre Adresse zum Abgleich bereitliegen.

Der unterschätzte Teil: der erkannte Text auf Ihren Aufnahmen

Gyazo liest den Text in hochgeladenen Aufnahmen maschinell aus. Die Technik dahinter heißt Texterkennung oder OCR, und sie hat einen völlig legitimen Zweck: Sie macht den eigenen Bilderverlauf durchsuchbar, sodass man den Screenshot mit der Fehlermeldung über ein Stichwort wiederfindet, statt Hunderte Vorschaubilder durchzublättern. Dieser ausgelesene Text steht in der Mitteilung von Helpfeel ausdrücklich auf der Liste der abgeflossenen Metadaten.

Damit kippt die Bewertung des gesamten Vorfalls. Ein Bilderverlauf ist als Bilderstapel mühsam auszuwerten, jemand müsste sich Hunderte Millionen Aufnahmen ansehen. Als Textdatenbank ist derselbe Bestand in Sekunden durchsuchbar. Wer eine solche Sammlung besitzt, sucht nicht nach Bildern, sondern nach Zeichenfolgen: nach dem Wort Rechnung, nach Mustern, die wie eine IBAN aussehen, nach Bestellnummern, nach Kundennummern, nach allem, was wie ein Zugangscode geformt ist.

Überlegen Sie kurz, was Sie in den vergangenen Jahren abfotografiert haben. Erfahrungsgemäß landen in solchen Verläufen Bestellbestätigungen mit Adresse, Buchungsnummern von Flügen und Hotels, Chatverläufe mit Klarnamen und Telefonnummern, Überweisungsmasken, Bildschirmfotos von Ausweisen zur Weitergabe an eine Behörde, Fehlermeldungen mit der eigenen E-Mail-Adresse im Klartext. Nichts davon wirkt für sich genommen dramatisch. Als durchsuchbarer Textbestand neben Ihrem Namen und Ihrer E-Mail-Adresse ergibt es ein Dossier, das kein Datenbroker je zusammengetragen hätte.

Zur Fairness gehört die Einordnung: Betroffen sind nach Angaben des Betreibers rund 14,4 Prozent der Bilddaten, überwiegend ältere Uploads. Die Mehrheit der neueren Aufnahmen ist nach heutigem Stand nicht im abgeflossenen Metadatenbestand. Was das für Ihr Konto bedeutet, lässt sich von außen nicht sagen, und Helpfeel stellt dafür keine Abfrage bereit.

Warum die Bild-IDs so heikel sind

Jede Gyazo-Aufnahme trägt eine Kennung, und diese Kennung ist zugleich die Adresse, unter der das Bild abrufbar ist. Genau diese Bild-IDs stehen in den abgeflossenen Metadaten. Wer sie besitzt, kann daraus die zugehörigen Links zusammensetzen und sie aufrufen, ohne raten zu müssen.

Das trifft ein Konzept, auf das sich viele Nutzer verlassen, ohne es je hinterfragt zu haben: den unauffindbaren Link. Ein Bild, das nirgends verlinkt ist und dessen Adresse aus einer langen Zufallsfolge besteht, gilt im Alltag als privat, weil es niemand findet. Diese Annahme trägt genau so lange, wie die Adressliste geheim bleibt. Sie ist jetzt nicht mehr geheim. Helpfeel erklärt zudem, der Angreifer habe eine Aufstellung erhalten, welche Bilder als privat markiert sind, und könne nicht ausschließen, dass einzelne private Aufnahmen eingesehen wurden. Die Passphrasen passwortgeschützter Bilder lagen immerhin nur als Hashwert vor.

Der Betreiber hat reagiert und betroffene Dateien vorsorglich für den Abruf gesperrt. Das erklärt die leeren Bildrahmen, die seit dem 14. September in Foren und Dokumentationen auftauchen. Für Sie heißt das: Alte Gyazo-Links, die Sie irgendwann in öffentliche Foren gestellt haben, sollten Sie als dauerhaft offen betrachten, auch wenn der Beitrag längst im Archiv liegt.

Was Sie jetzt konkret tun sollten

Die Reihenfolge ist hier wichtiger als bei den meisten Vorfällen, weil Passwort, Sitzung und Verknüpfung drei getrennte Türen sind. Wer nur das Passwort wechselt, lässt zwei davon offen.

• Schritt 1, das Passwort überall wechseln, wo es doppelt liegt: Beginnen Sie nicht bei Gyazo, sondern bei den Diensten, die dasselbe oder ein ähnliches Passwort nutzen, und dort bei den wichtigsten zuerst: E-Mail-Postfach, Bank, Cloud-Speicher. Ob eine Ihrer Kombinationen bereits aus früheren Vorfällen bekannt ist, zeigt unser Passwort-Checker, der den Abgleich anonym über das k-Anonymity-Verfahren vornimmt, ohne dass Ihr Passwort unser System erreicht. Danach wechseln Sie das Gyazo-Passwort selbst, in den Kontoeinstellungen unter dem Punkt für Sicherheit und Privatsphäre.
• Schritt 2, die Verknüpfungen zu X und Google trennen: Das erledigen Sie nicht bei Gyazo, sondern beim jeweiligen Dienst, denn nur dort wird der Zugriff wirklich entzogen. Bei X finden Sie die Liste in den Einstellungen unter den verbundenen Apps, bei Google in den Sicherheitseinstellungen unter den Verbindungen zu Drittanbieter-Apps und -Diensten. Entfernen Sie Gyazo dort und verbinden Sie es später neu, falls Sie den Dienst weiter nutzen.
• Schritt 3, aktive Sitzungen beenden und den zweiten Faktor prüfen: Melden Sie sich nach dem Passwortwechsel auf allen Geräten neu an, damit alte Sitzungskennungen ins Leere laufen. Wo ein Dienst es anbietet, stellen Sie die Anmeldung auf einen Passkey um, der nicht wiederverwendbar ist und bei einem Datenbankleck nichts hergibt. Welche großen Anbieter das inzwischen unterstützen und welche Stolperstellen es gibt, geht unsere Anleitung zum Einrichten von Passkeys Dienst für Dienst durch.
• Schritt 4, den eigenen Bilderverlauf durchsehen: Gehen Sie Ihren Gyazo-Verlauf durch, vor allem die ältesten Aufnahmen, und löschen Sie alles, was Kontodaten, Adressen, Ausweise, Buchungsnummern oder Chatverläufe zeigt. Mehrere Aufnahmen lassen sich mit gedrückter Umschalttaste zusammen auswählen. Beachten Sie dabei: Die Löschung entfernt das Bild aus dem Dienst, sie macht die bereits abgeflossenen Metadaten nicht rückgängig. Sie verhindert den künftigen Abruf, nicht den vergangenen.
• Schritt 5, die Nachwelle erkennen: Nach jedem öffentlich gewordenen Vorfall folgen Mails, die genau diesen Vorfall als Aufhänger nehmen: angebliche Sicherheitsüberprüfungen, ein Link zur Bestätigung Ihres Kontos, eine Frist von 24 Stunden. Der Absender kennt Ihren Namen und Ihre Adresse, weil beides im Leck stand. Geben Sie Zugangsdaten nur nach einem selbst getippten Aufruf der Seite ein, niemals über einen Link aus einer Nachricht.
• Schritt 6, das Konto löschen, wenn Sie den Dienst nicht mehr brauchen: Die Kontolöschung entfernt nach Angaben von Gyazo alle hochgeladenen Aufnahmen dauerhaft und ist der sauberste Abschluss für ein Konto, das Sie ohnehin nur noch als Altlast mitschleppen. Wechseln Sie vorher das Passwort und trennen Sie die Verknüpfungen, sonst bleiben diese Türen offen, obwohl das Konto weg ist.

Diese sechs Schritte schließen ab, was heute in Ihrer Reichweite liegt. Der Rest liegt bei Menschen, deren Zeitplan Sie nicht kennen: Wann und ob dieser Bestand weiterverkauft oder veröffentlicht wird, entscheiden sie. Darknet-Überwachung für Ihre E-Mail-Adresse einrichten und den Moment mitbekommen, in dem aus dem Vorfall ein Handel wird.

Was die DSGVO für Nutzer in Europa bedeutet

Helpfeel sitzt in Kyoto und hat den Vorfall am 15. September der japanischen Datenschutzkommission gemeldet. Für Nutzerinnen und Nutzer im deutschsprachigen Raum ändert das an der europäischen Rechtslage nichts: Wer Menschen in der EU einen Dienst anbietet, unterliegt nach Art. 3 Abs. 2 DSGVO auch dann der Verordnung, wenn das Unternehmen außerhalb Europas sitzt. Damit gilt die Pflicht aus Art. 34 DSGVO, betroffene Personen unverzüglich zu benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten zu erwarten ist. Bei Passwort-Hashes, Sitzungskennungen und Standortdaten ist diese Schwelle nach hiesigem Verständnis erreicht. Eine öffentliche Mitteilung auf der Unternehmensseite ist dafür nicht in jedem Fall ausreichend.

Zwei Hebel haben Sie als betroffene Person. Erstens das Auskunftsrecht nach Art. 15 DSGVO: Sie können verlangen, dass Ihnen mitgeteilt wird, welche Ihrer Daten konkret betroffen waren, insbesondere ob Ihre Bild-Metadaten in den rund 490 Millionen Sätzen enthalten sind. Die pauschale Prozentangabe ersetzt diese Auskunft nicht. Zweitens ein möglicher Anspruch auf Schadenersatz nach Art. 82 DSGVO, sofern Ihnen ein materieller oder immaterieller Schaden entstanden ist. Ob der Kontrollverlust über den Inhalt eigener Bildschirmaufnahmen dafür genügt, wäre im Einzelfall zu beurteilen. Welche Voraussetzungen die Gerichte bislang angelegt haben und was Sie dafür dokumentieren sollten, lesen Sie in unserem Überblick zur Entschädigung nach Datenlecks. Eine Beschwerde können Sie nach Art. 77 DSGVO bei der Aufsichtsbehörde Ihres Bundeslandes einreichen. Wir informieren hier über die Rechtslage und leisten keine Rechtsberatung.

Häufige Fragen zum Gyazo-Datenleck

Warum ein neues Passwort den Fall nicht abschließt

Wer den Bestand jetzt besitzt und was damit geschieht, weiß niemand, auch Helpfeel nicht. Erfahrungsgemäß landen solche Datenbanken nicht am Tag des Einbruchs frei im Darknet. Sie werden zunächst still ausgewertet oder im kleinen Kreis verkauft und tauchen erst Wochen oder Monate später breit gehandelt oder als Dump auf. Wer heute einmal prüft und nichts findet, kann also längst betroffen sein, ohne es zu merken. Unser Darknet-Radar beobachtet Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird, also genau dann, wenn die Daten tatsächlich in Umlauf kommen, und nicht erst nach der ersten fremden Anmeldung in Ihrem Postfach. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und auf mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können. Wir informieren über laufende Verfahren und leisten dabei keine eigene Rechtsberatung. Der Unterschied zum kostenlosen Check bleibt entscheidend: Er zeigt, was heute bereits veröffentlicht ist. Das dauerhafte Monitoring ist das, was Sie erreicht, wenn später etwas dazukommt.