Gyazo-Datenleck: 23,6 Millionen Nutzerdaten betroffen

Falls du den Namen Gyazo kennst, dann vermutlich als schnelles Werkzeug für Screenshots. Der Dienst des japanischen Unternehmens Helpfeel hat jetzt einen der größeren Vorfälle des Jahres bestätigt: 23,62 Millionen Nutzerdatensätze und 490 Millionen Bild-Metadaten-Einträge wurden bei einem Angriff kopiert.

DIE ZEITLEISTE: VON ENTDECKUNG BIS OFFENLEGUNG

Helpfeel bemerkte am Abend des 11. September Ortszeit verdächtige Aktivitäten. In den frühen Morgenstunden des 12. September wurden die Zugriffswege blockiert und die Verbindung des Angreifers gekappt, die ausgenutzte Schwachstelle behoben. Am 14. September bestätigte das Unternehmen, dass tatsächlich Daten abgeflossen waren, meldete den Vorfall am 15. September an Japans Datenschutzbehörde und veröffentlichte die offizielle Mitteilung am 16. September 2026.

WIE DER ANGRIFF ABLIEF

Der Angreifer nutzte eine Schwachstelle im Bild-Upload-Server von Gyazo aus, um beliebige Befehle auf Helpfeels Systemen auszuführen — und verschaffte sich darüber Zugriff auf die Datenbank hinter dem Dienst. Ein klassischer Weg vom kleinen technischen Einstiegspunkt bis zum großen Datenabfluss.

WAS GENAU GEKLAUT WURDE

Zu den erbeuteten Daten zählen Namen, E-Mail-Adressen, Passwort-Hashes, Geräte-IDs, Login-Sitzungen und teilweise Tokens verknüpfter Konten — also Zugänge, über die sich Nutzer bei Gyazo per Drittanbieter-Login angemeldet hatten. Dazu kommen 490 Millionen Bild-Metadaten-Einträge, größtenteils zu Bildern von 2019 oder früher. Darunter befinden sich auch die IDs, aus denen sich Gyazo-Bildlinks zusammensetzen — und genau die sind das eigentliche Risiko: Wer diese IDs kennt, kann theoretisch Bilder aufrufen, die eigentlich privat bleiben sollten. Helpfeel hat den Zugriff auf einen Teil dieser Bilder deshalb vorübergehend gesperrt.

WARUM PASSWORT-HASHES KEIN FREIFAHRTSCHEIN SIND

Passwort-Hashes sind kein Klartext-Passwort, aber auch kein sicherer Hafen: Mit genug Rechenleistung lassen sich vor allem schwache oder wiederverwendete Passwörter aus Hashes zurückrechnen. Genau deshalb ist die Empfehlung von Helpfeel eindeutig: Passwort ändern — und zwar nicht nur bei Gyazo, sondern überall, wo dasselbe oder ein ähnliches Passwort im Einsatz ist.

DEINE DREI SCHRITTE JETZT

Gyazo-Passwort sofort ändern — idealerweise durch ein neues, einzigartiges Passwort aus einem Passwort-Manager.
Passwort-Wiederverwendung prüfen: Falls du das Gyazo-Passwort auch anderswo nutzt, dort ebenfalls ändern.
Phishing-Vorsicht walten lassen: Mit den geklauten E-Mail-Adressen sind gezielte Phishing-Mails im Namen von Gyazo oder Helpfeel wahrscheinlich — Links in solchen Mails besser nicht direkt anklicken.

FAZIT: Ein Dienst, den man vergisst — bis er einen erinnert

Gyazo ist für viele ein Werkzeug, das man einmal installiert und dann jahrelang nicht mehr bewusst wahrnimmt — bis zu einem Tag wie diesem. Der Vorfall ist ein guter Anlass, generell durchzugehen, welche alten Konten mit welchen Passwörtern noch aktiv sind, und spätestens jetzt auf einzigartige Passwörter pro Dienst umzusteigen.

Häufige Fragen

Wurden auch die eigentlichen Screenshot-Bilder gestohlen?

Helpfeel spricht von Bild-Metadaten-Einträgen, nicht ausdrücklich von den Bilddateien selbst. Das Risiko liegt vor allem darin, dass die geleakten Bildlink-IDs es ermöglichen könnten, eigentlich private Bilder aufzurufen, wenn man diese IDs kennt. Genau deshalb hat Helpfeel den Zugriff auf einen Teil der betroffenen Bilder vorübergehend gesperrt.

Wie erfahre ich, ob mein Konto betroffen ist?

Helpfeel hat die betroffenen Nutzer über die offizielle Mitteilung informiert und empfiehlt allen Gyazo-Nutzern vorsorglich, das Passwort zu ändern, unabhängig davon, ob eine individuelle Benachrichtigung vorliegt. Bei Unsicherheit lohnt sich ein Blick in die eigenen E-Mails nach einer Nachricht von Helpfeel oder Gyazo aus der Woche um den 16. September 2026.

Reicht es, nur das Gyazo-Passwort zu ändern?

Das allein reicht nur, wenn du für Gyazo bereits ein einzigartiges Passwort verwendet hast. Falls du dasselbe oder ein ähnliches Passwort auch für andere Dienste nutzt, solltest du es überall ändern, da Angreifer geleakte Passwort-Hashes gezielt gegen andere Konten mit derselben E-Mail-Adresse testen.

Was bedeuten die verknüpften Konto-Token, die auch abgeflossen sind?

Damit sind Zugangs-Tokens gemeint, über die Nutzer sich bei Gyazo per Drittanbieter-Login angemeldet hatten. Sie könnten theoretisch für einen unautorisierten Zugriff auf verbundene Dienste missbraucht werden, weshalb Helpfeel betroffenen Nutzern empfiehlt, auch dort sicherheitshalber die Verbindung zu prüfen oder neu zu autorisieren.

MILLIONEN-LECK! Screenshot-Dienst Gyazo verliert 23 Millionen Nutzerdaten — das musst du jetzt tun