Gyazo gehackt: 23,6 Millionen Nutzerdaten und die Links zu 490 Millionen Screenshots abgeflossen

Der japanische Screenshot-Dienst Gyazo ist gehackt worden. Betreiber Helpfeel aus Kyoto bestätigt, dass Angreifer über eine Lücke im Upload-Server in die Datenbank gelangt sind und rund 23,62 Millionen Nutzerdatensätze mit E-Mail-Adressen und Passwort-Hashes abgezogen haben — dazu die Metadaten von etwa 490 Millionen Bildern, darunter die IDs, aus denen die Bildlinks bestehen. Genau diese IDs waren bisher der einzige Schutz für die meisten Aufnahmen.

Gyazo ist in Gamer- und Entwicklerkreisen verbreitet: ein Tastendruck, der Screenshot liegt auf dem Server, der Link ist in der Zwischenablage. Wer den Dienst je genutzt hat, sollte jetzt das Passwort ändern — und sich fragen, was auf den alten Screenshots zu sehen war.

Das Wichtigste in Kürze

• Einbruch am 11. September über eine Schwachstelle im Bild-Upload-Server; die Angreifer konnten beliebige Befehle ausführen und auf die Datenbank zugreifen. Welche Lücke, sagt Helpfeel nicht.
• 23,62 Millionen Nutzerdatensätze: Name oder Nickname, E-Mail, Passwort-Hash, Nutzer-, Geräte- und Session-IDs, X-Token, Google-SSO-Adresse, Profil, Registrierung, letzter Login, Tarif, Abrechnungsstatus. Keine Kreditkartendaten.
• 490 Millionen Bild-Metadaten, vor allem für Aufnahmen bis Januar 2019: Bild-ID, Upload-IP, User-Agent, EXIF-Standort, per OCR erkannter Text, Titel, Quell-URL, gehashte Passphrasen privater Bilder. Dazu 2,4 Millionen weitere Datensätze, „nach bestimmten Filterkriterien“ abgezogen.
• Die Bild-ID ist der Link. Gyazo-Aufnahmen sind nur dadurch geschützt, dass ihr 32-stelliger Link nicht zu erraten ist. Mit den IDs sind sie abrufbar. Helpfeel hat die Anzeige eines Teils der Bilder vorerst gesperrt.
• Die Angreifer erbeuteten auch eine Liste privater Bilder; Helpfeel kann nicht ausschließen, dass einige davon angesehen wurden.
• Helpfeel bittet alle Nutzer, das Passwort zu ändern, auch bei anderen Diensten mit gleichem Passwort, und vor Phishing zu warnen.

Was passiert ist

Am Abend des 11. September (Japan-Zeit) bemerkte Helpfeel verdächtige Aktivität. In den frühen Stunden des 12. September waren die identifizierten Zugangswege blockiert, die Verbindungen der Angreifer gekappt und die Lücke geschlossen. Am 14. September bestätigte das Unternehmen den Datenabfluss, meldete ihn am 15. an Japans Datenschutzbehörde und veröffentlichte am 16. eine Mitteilung.

In der Zwischenzeit sprachen Gyazos öffentliche Hinweise von „Wartungsarbeiten“: Als die Bildauslieferung am 14. September ausgesetzt wurde, hieß es auf der Update-Seite, einige Bilder seien „wegen Notfallwartung“ nicht verfügbar. Dass es sich um einen Einbruch handelte, erfuhren Nutzer erst zwei Tage später aus der offiziellen Mitteilung.

Warum die Bild-IDs das eigentliche Problem sind

Gyazo funktioniert nach dem Prinzip „geheimer Link“: Jede Aufnahme bekommt eine 32-stellige ID, aus der die URL gebildet wird. Die Hilfeseiten des Dienstes erklären, eine Aufnahme sei privat, bis man den Link teilt — und der Link lasse sich nicht erraten. Das stimmt, solange niemand die IDs hat. Jetzt hat sie jemand, für Hunderte Millionen Bilder.

Dazu kommt: Kostenlose Konten sehen auf Gyazos Website nur ihre zehn jüngsten Aufnahmen, ältere werden aber nicht gelöscht und bleiben unter ihrer URL erreichbar. Wer den Dienst 2015 für ein paar Spiel-Screenshots benutzt und dann vergessen hat, hat dort vermutlich mehr liegen, als er denkt — inklusive dessen, was zufällig im Bildausschnitt war: Chats, Browser-Tabs, Adressleisten, Dokumente.

Die Metadaten machen es schlimmer als ein reiner Link-Leak. Zu jedem Bild gibt es die Upload-IP, bei Fotos vom Handy die EXIF-Koordinaten, und für Nutzer der Bezahlfunktion den per OCR erkannten Text aller Bilder — ein Feature, von dem Gyazo schreibt, nur der Nutzer selbst könne die Ergebnisse sehen. Mit diesen Daten lassen sich Bilder nicht nur abrufen, sondern nach Inhalt durchsuchen und Personen zuordnen.

Was Nutzer jetzt tun sollten

1. Passwort ändern bei Gyazo. Die Hashes sind abgeflossen; welches Verfahren Helpfeel nutzt, sagt das Unternehmen nicht. Schwache Passwörter lassen sich aus Hashes rekonstruieren.
2. Dasselbe Passwort anderswo? Dort ebenfalls ändern. Das ist der eigentliche Schaden solcher Leaks: Credential Stuffing bei anderen Diensten.
3. Sessions und Verknüpfungen prüfen. Session-IDs und X-Token sind abgeflossen; Helpfeel spricht von „Invalidierung und Einschränkungen“, ohne zu sagen, was genau. Wer X mit Gyazo verbunden hatte, sollte die App-Berechtigung in den X-Einstellungen entziehen.
4. Alte Aufnahmen durchgehen und löschen, was nicht öffentlich sein sollte. Bei kostenlosen Konten geht das nur über die URLs, die man noch hat — ein Argument, den Account ganz zu löschen, wenn man ihn nicht mehr braucht.
5. Phishing erwarten. E-Mail-Adresse plus Wissen um die Gyazo-Nutzung ist alles, was eine glaubwürdige „Ihr Konto wurde kompromittiert“-Mail braucht. Wie solche Angriffe inzwischen aussehen, zeigt der Passkey-Phishing-Fall von letzter Woche.

Einordnung

Der Fall ist ein Lehrstück für „Security by Obscurity“: Ein nicht erratbarer Link ist ein brauchbarer Schutz, solange die Liste der Links nirgends liegt. Bei einem Dienst mit einer halben Milliarde Bildern liegt sie zwangsläufig in einer Datenbank — und eine Datenbank kann kopiert werden. Dass Helpfeel Bilder sperrt statt sie zu löschen, dass unklar ist, welche Bilder betroffen sind, und dass zwei Tage lang von Wartung die Rede war, macht die Sache nicht besser. Die Zahl der tatsächlich betroffenen Personen kennt das Unternehmen selbst noch nicht.

Für alle, die Screenshots teilen: Ein Dienst, der Bilder über geheime Links öffentlich macht, ist bequem, aber kein Ort für Aufnahmen, auf denen mehr zu sehen ist als beabsichtigt. Wer sensible Inhalte teilt, tut das über Dienste mit echter Zugriffskontrolle — oder gar nicht.

Häufige Fragen

Ich hatte nur ein kostenloses Konto ohne E-Mail. Bin ich betroffen?

Möglicherweise. Die 23,62 Millionen Datensätze umfassen auch anonyme Konten. Helpfeel will diese über Hinweise auf der Website informieren. Ohne E-Mail-Adresse ist das Risiko geringer, die Bilder bleiben aber über ihre IDs abrufbar.

Sind meine Bilder selbst gestohlen worden?

Helpfeel hat keinen Verlust von Bilddaten festgestellt. Abgeflossen sind die Metadaten und IDs — mit denen sich Bilder abrufen lassen, solange sie online sind.

Was ist mit bezahlten privaten Bildern?

Die gehashten Passphrasen sind abgeflossen, und die Angreifer hatten eine Liste privater Bilder. Helpfeel kann nicht ausschließen, dass einige angesehen wurden, und sagt nicht, welche Privatsphäre-Einstellung betroffen ist.

Woher weiß ich, ob meine Bilder gesperrt sind?

Das sagt Helpfeel bislang nicht. Betroffene Nutzer sollen per E-Mail informiert werden; Fragen nimmt das Unternehmen über das Support-Formular entgegen.

Quellen: Mitteilung von Helpfeel Inc. vom 16.09.2026 (japanisch und englisch), Berichterstattung von The Hacker News, Cybernews und MLex (17.09.2026). Abgerufen am 17.09.2026. Die Untersuchung läuft; Helpfeel kündigt weitere Informationen an.