Das Wasserzeichen, das zum Prompt zurückführt

Ein Wasserzeichen soll sagen: Dieses Bild kommt von einer KI. Was Microsoft in Paint und Fotos einbaut, sagt mehr. Es sagt, welche Erzeugung es war.

Xusheng Li, Entwickler bei Vector 35, hat die Funktion auseinandergenommen und am 20.08.2026 veröffentlicht. Seine Zusammenfassung, zitiert bei The Register: "Your prompt is sent to Microsoft for moderation, and the returned GUID is encoded into the pixels."

Wie es abläuft

Der Ablauf ist unspektakulär und genau deshalb aufschlussreich.

flowchart TB
  A["Prompt eingeben"] --> B["Moderationsdienst<br/>bei Microsoft"]
  B --> C["Antwort enthält<br/>watermarkId (GUID)"]
  C --> D["Bild wird lokal erzeugt"]
  D --> E["Watermarker.dll schreibt die<br/>GUID in die Pixel"]
  D --> F["Dieselbe GUID landet<br/>in den C2PA-Metadaten"]
  class C decision
  classDef decision fill:#1A3A4A,stroke:#F59E0B,color:#FDE68A

Die Antwort des Moderationsdienstes enthält neben dem überarbeiteten Prompt die Felder promptGenerationId und watermarkId. Die watermarkId ist eine GUID, also 16 Byte. Watermarker.dll schreibt sie über die Funktion WmkWriteWatermark() steganografisch in die Bildpunkte. Wie tief das geht, zeigt Lis Test an einem 512 mal 512 Pixel großen Bild: 193.376 von 262.144 Bildpunkten sind danach verändert. In den C2PA-Metadaten steht dieselbe GUID noch einmal, als Soft-Binding mit dem Algorithmusnamen com.microsoft.invismark.1.

Der Punkt, der aus einer Kennzeichnung eine Kennung macht, steckt in der Anfrage. Paint schickt beim nächsten Aufruf die vorherige promptGenerationId als lastPromptGenerationId mit. Aufeinanderfolgende Generierungen sind damit ausdrücklich verkettet. Li weist darauf hin, dass Microsoft jeden Prompt dem Konto zuordnet, das ihn abgeschickt hat. Wer das Wasserzeichen ausliest und Zugriff auf diese Zuordnung hat, kommt vom Bild zur Person.

The Register zieht den naheliegenden Vergleich: "Long ago, manufacturers of laser printers implemented this sort of tracking and the practice alarmed privacy advocates when it came to light." Microsoft hat auf Anfragen bis zur Veröffentlichung nicht reagiert.

Was es nicht ist

Die Meldung wird gerade breiter erzählt, als sie ist. Drei Abgrenzungen:

Es betrifft nicht jedes Bild. Nur die KI-Funktionen in Paint und Fotos: Image Creator, Cocreator und Restyle Image. Ein normal gemaltes oder bearbeitetes Bild bekommt nichts.

"Lokal erzeugt" heißt nicht offline. Auch der Weg über die NPU im eigenen Rechner braucht vorher die Verbindung zum Moderationsdienst. Ohne Server gibt es keine GUID, und ohne GUID bricht Paint die Erzeugung ab.

Metadaten löschen hilft nur halb. Die C2PA-Einträge überleben in PNG, JPEG, GIF und .paint, in BMP nicht. Das Wasserzeichen in den Pixeln überlebt dagegen auch das Entfernen der Metadaten. Es sitzt im Bild, nicht daneben.

Warum das mehr ist als eine Datenschutzfußnote

Seit dem 02.08.2026 verlangt die KI-Verordnung eine maschinenlesbare Kennzeichnung für KI-erzeugte Inhalte. Microsoft erfüllt das und geht darüber hinaus: Die Kennzeichnung ist nicht generisch, sondern eindeutig. Der Unterschied ist der zwischen "das war eine KI" und "das war diese Erzeugung von diesem Konto".

Das ist genau die Sorte Nebenwirkung, die bei der Kennzeichnungsdebatte selten mitdiskutiert wird. Wir haben im August zweimal beschrieben, wie fragil das Konzept auf der anderen Seite ist: Anthropics Textwasserzeichen verschwindet, sobald jemand den Text ordentlich überarbeitet, und im Grundsatzartikel Warum die KI-Kennzeichnung sich selbst entwertet haben wir das eingeordnet. Bei Bildern ist es umgekehrt: Das Wasserzeichen hält, und genau das ist das Problem, wenn es mehr trägt als nötig.

Was das für eure Arbeit heißt

Wer Paint-KI-Bilder in Kundenmaterial, Präsentationen oder Dokumentation einsetzt, sollte drei Dinge wissen:

1. Das Bild trägt eine Kennung, die ihr nicht sehen könnt. Sie steht in den Metadaten und zusätzlich in den Pixeln. Ein Screenshot oder eine starke Neukomprimierung schwächt sie, aber verlasst euch nicht darauf.
2. Prüfen könnt ihr nur den einfachen Teil selbst. Das C2PA-Manifest lässt sich mit den offenen C2PA-Werkzeugen auslesen, dort taucht com.microsoft.invismark.1 samt Wert auf. Was in den Pixeln steckt, seht ihr ohne Microsofts Leser nicht.
3. Für vertrauliche Zusammenhänge ist das die falsche Quelle. Wenn ein Bild aus einem Projekt stammt, über das nicht geredet werden soll, ist ein Werkzeug, das jede Erzeugung serverseitig registriert und verkettet, keine gute Wahl. Dann lieber ein Modell, das ohne Moderationsaufruf auskommt.

Nichts davon setzt böse Absicht voraus. Es reicht, dass die Daten existieren und zusammenführbar sind.