Unsichtbare Wasserzeichen: was Bilddateien 2026 mitführen

Zuletzt aktualisiert: 27. August 2026

Am 24. August veröffentlichte ein Entwickler die Analyse von Watermarker.dll, jener Bibliothek, die Microsoft Paint lädt, sobald Sie seine KI-Bildfunktionen benutzen. Der Befund: Jedes von Paint erzeugte Bild trägt eine 16 Byte lange Kennung, die Sie nicht sehen, ausgestellt von einem Microsoft-Server und in rund drei Viertel der Pixel geschrieben. Der Hacker-News-Thread erreichte an einem Tag 853 Punkte und 433 Kommentare. Die meisten Folgeberichte pressten anschließend ein Detail in eine Schlagzeile, die die Untersuchung nicht hergibt, und diese Korrektur wiegt schwerer als die Meldung selbst.

Kurzantwort: was steckt 2026 in einer Bilddatei?

Ein unsichtbares Wasserzeichen ist ein Signal, das in die Pixelwerte selbst codiert wird: von Software lesbar, für das Auge nicht wahrnehmbar.

Nutze ein Zweischichtenmodell, um das zu sortieren. Ein Bild kann dieses Wasserzeichen im Pixelbereich tragen, verteilt über die Bilddaten, und es übersteht Zuschnitt, Skalierung und Neucodierung. Es kann außerdem ein Metadaten-Manifest tragen - C2PA Content Credentials, EXIF, IPTC, XMP -, das nur ein kleiner, an die Datei geklebter Byte-Block ist und von praktisch jedem Export zerstört wird.

Paint schreibt beide Schichten. Soziale Netzwerke entfernen die zweite beim Hochladen. Eine gewöhnliche Formatkonvertierung tut dasselbe, ohne Warnung: Ich habe das Titelbild dieses Artikels durch cwebp -q 80 geschickt und nachgemessen, alle 749 Byte Metadaten waren verschwunden, übrig blieb ein einziger VP8-Chunk. Das Pixel-Wasserzeichen hätte dieselbe Reise unbeschadet überstanden.

Was hat Microsoft tatsächlich in ein Paint-Bild geschrieben?

Der Mechanismus ist konkret genug, um ihn schlicht zu benennen. Paint schickt Ihren Prompt an einen Moderations-Endpunkt von Microsoft. Die Antwort enthält mehrere Felder, eines davon watermarkId: eine GUID. Paint nimmt diese 16 Byte, setzt ein Markerbyte davor und eine Prüfsumme dahinter, formt daraus eine 18-Byte-Nachricht, expandiert sie auf 144 Bit und schreibt sie mit einem inhaltsadaptiven Blockverfahren ins Bild. Bei einem Bild mit 512x512 Pixeln betrifft das etwa 193.376 von 262.144 Pixeln, also rund 74 Prozent.

Dieselbe GUID wird ein zweites Mal geschrieben, als Metadatum. In der PNG-Ausgabe landet sie im caBX-Chunk als signiertes C2PA-Manifest, ausgewiesen als Soft Binding mit dem Algorithmusnamen com.microsoft.invismark.1. Deshalb speichert Paint KI-Ausgaben ausschließlich in C2PA-fähigen Formaten. BMP fällt heraus, weil es in einer BMP-Datei keinen Ort für das Manifest gibt.

Drei Verhaltensdetails übersieht man leicht:

• In Paint ist die Markierung Pflicht. Schlägt sie fehl, scheitert die gesamte Generierung und Sie bekommen kein Bild.
• In Fotos läuft derselbe GUID-Mechanismus, ein Fehler wird aber nur protokolliert und das unmarkierte Bild trotzdem zurückgegeben.
• Auf einem Copilot+-PC läuft das Diffusionsmodell lokal auf der NPU, und der Prompt reist dennoch zu Microsoft, um die GUID abzuholen. Lokal erzeugt heißt nicht lokal verarbeitet.

Hier ging die Berichterstattung weiter als die Belege. Mehrere Medien rahmten die Sache als Wasserzeichen, die „mit Nutzer-IDs verknüpft" seien. Die ursprüngliche Untersuchung zeigt eine GUID, die an eine promptGenerationId gebunden ist, plus ein Feld lastPromptGenerationId, mit dem sich aufeinanderfolgende Prompts einer Sitzung verketten lassen. Eine Zuordnung von GUID zu Microsoft-Konto belegt sie nicht. Korrelation innerhalb einer Sitzung ist keine Identifizierung. Die Datenschutzfrage wiegt auch ohne Aufblasen schwer genug, und genau diese Präzision trennt eine nützliche Warnung von Panikmache.

Warum interessiert sich plötzlich jedes Bildwerkzeug für Herkunft?

Der Kalender. Die Transparenzpflichten der EU-KI-Verordnung, Artikel 50, sind seit dem 2. August 2026 durchsetzbar. Anbieter generativer Systeme müssen synthetische Inhalte maschinenlesbar kennzeichnen und diese Kennzeichnung erkennbar machen. Die Bußgelder reichen bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Systeme, die vor diesem Datum auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit.

Das Gesetz nimmt Werkzeuge aus, die eine unterstützende Bearbeitungsfunktion erfüllen und die Eingabe nicht wesentlich verändern. Ein Freisteller oder ein Skalierer fällt unter diese Ausnahme. Ein Generator nicht.

Beachten Sie die Lücke zwischen dem, was die Regel verlangt, und dem, was Paint ausliefert. Artikel 50 fordert eine erkennbare Markierung, die sagt: das hat eine Maschine gemacht. Eine pro Generierung vom Server ausgestellte Kennung sagt erheblich mehr, und nichts in der Verordnung verlangte diese zusätzliche Genauigkeit.

Was übersteht einen Upload, und was wird entfernt?

Dieser Teil untergräbt das gesamte Herkunftsprojekt, und er ist messbar statt theoretisch. Das Entfernen von Metadaten auf großen Plattformen ist praktisch vollständig. Sobald Instagram, X, LinkedIn, TikTok oder Facebook Ihren Upload neu codieren, geht das C2PA-Manifest mit dem EXIF verloren.

Meine eigenen Zahlen, für eine Datei: Das Quell-JPEG hatte 349.276 Byte und trug drei Metadatensegmente, 190 Byte EXIF, 470 Byte XMP, 89 Byte IPTC. Nach der Konvertierung hatte die WebP-Datei 127.818 Byte, einen einzigen VP8-Chunk und weder EXIF noch XMP oder ICC. Gewarnt hat mich nichts. Hätte diese Datei ein Content Credential getragen, hätte die Konvertierung es ebenso lautlos zerstört. Jeder Bildkonverter und jeder Bildkompressor verhält sich standardmäßig so: gut für den Datenschutz, tödlich für die Herkunft.

Die Antwort der Branche heißt Durable Content Credentials: das Manifest zusätzlich in einem Cloud-Register veröffentlichen, damit sich die Datei auch dann zuordnen lässt, wenn die eingebettete Kopie fort ist. Das funktioniert, und es bedeutet zugleich, dass die Prüfung nun davon abhängt, dass ein Dritter online bleibt.

Wo scheitert Bildbearbeitung 2026 weiterhin?

Herkunft ist die neue Debatte. Die alten Beschwerden sind geblieben, wo sie waren.

Haar, Fell und feine Kanten. Ein früherer Batch-Vergleich hier im Blog schickte einen Satz von 240 Produktfotos durch drei Werkzeuge, und der schnellste Weg brauchte trotzdem bei rund 8 % der Bilder manuelle Kantenkorrekturen. Genau beim Haar ballt sich diese Nacharbeit, und der Grund ist struktureller Natur, kein fauler Modellcode. Ein Randpixel ist ein Mischpixel: In ihm können gleichzeitig eine Strähne, ein Schatten und ein JPEG-Block stecken, also gibt ein Hintergrund-Entferner eine Wahrscheinlichkeit aus, und der Schwellwert entscheidet, ob die Strähne bleibt oder abgeschnitten wird. Sichtbar wird das als blasser Farbsaum, den niemand bemerkt, bis der Freisteller auf einer hellen Folie liegt.

Hochskalierer, die etwas erfinden. Der Fehlermodus ist nicht Unschärfe, sondern Selbstsicherheit. Richten Sie einen Bild-Hochskalierer auf eine weiche Vorlage, und er fabriziert Poren, Wimpern, Gewebestruktur, Holzmaserung und Gebäudekanten, die auf den ersten Blick überzeugen. Gesichter trifft es am härtesten, weil die Gesichts-Priors stark sind: Augen werden symmetrischer, ein Nasenflügel ändert die Form, eine Lippenkontur schärft sich zu einem anderen Mund. Für ein Familienalbum ist das ärgerlich. Für jedes Bild, das Wirklichkeit dokumentieren soll, ist es ein Problem.

Wie prüfen Sie, was Ihre eigenen Bilder mitführen?

Ein Labor brauchen Sie nicht. Fünf Minuten mit den Dateien, die Sie veröffentlichen wollen:

1. Öffnen Sie die Datei in einem beliebigen EXIF-Betrachter oder führen Sie exiftool -G1 -a IhreDatei.jpg aus und lesen Sie, was wirklich drinsteht.
2. Suchen Sie gezielt nach GPS-Koordinaten. Handyfotos tragen sie, und der Screenshot einer Karte ist nicht der einzige Leckweg.
3. Stammt das Bild aus einem Generator, prüfen Sie, ob es als PNG oder JPEG statt als BMP gespeichert wurde. Die Formatwahl verrät, dass ein Manifest geschrieben wird.
4. Konvertieren Sie eine Kopie und vergleichen Sie die Byte-Zahlen. Eine Datei, die stärker schrumpft, als die Pixeldaten erklären, hat Metadaten verloren.
5. Entscheiden Sie bewusst, welche Schicht bleiben soll, und wählen Sie den passenden Export.

Eine kurze Richtlinie, die das meiste abdeckt:

• Private Fotos: alles entfernen. Ein Durchlauf nach WebP erledigt das nebenbei.
• Kunden- oder Pressearbeit: IPTC-Credit und Rechte behalten, GPS löschen.
• KI-gestützte Arbeiten für die EU: Manifest behalten und nicht über ein Werkzeug reexportieren, das es stillschweigend verwirft.
• Originale archivieren: die unangetastete Datei aufbewahren und nur an der Kopie bereinigen.
• Lieber eine sichtbare Marke: Platzierung und Deckkraft behandelt der Wasserzeichen-Leitfaden, was sich entfernen lässt und was nicht, steht im Leitfaden zum Entfernen.

Häufig gestellte Fragen

Versieht Microsoft Paint jedes erzeugte Bild mit einem Wasserzeichen?

Nur die mit den KI-Funktionen erzeugten. Ein Foto, das Sie öffnen, zuschneiden und speichern, wird nicht markiert. Beim Generieren ist die Markierung Pflicht: Scheitert sie, verwirft Paint die Generierung, statt Ihnen eine unmarkierte Datei zu geben. Windows Fotos nutzt denselben Mechanismus, liefert das Bild aber auch bei fehlgeschlagener Markierung aus.

Entfernt Skalieren oder Konvertieren ein unsichtbares Wasserzeichen?

Es entfernt die Metadatenschicht, nicht die Pixelschicht. Eine Konvertierung von JPEG nach WebP oder eine Skalierung fürs Web wirft EXIF, IPTC und jedes C2PA-Manifest weg, und genau so verschwindet Herkunft lautlos. Ein Wasserzeichen im Pixelbereich steckt in den Bilddaten selbst und übersteht Skalieren, Zuschneiden und Neucodieren in der Regel.

Woran erkenne ich, ob ein Foto von einer KI erzeugt wurde?

Zuverlässig gar nicht, und keine einzelne Prüfung klärt es. Ein vorhandenes C2PA-Manifest ist ein starker Beleg, fehlt aber bei fast allem, was in sozialen Netzen veröffentlicht wird, weil der Upload es entfernt. Sein Fehlen beweist also nichts. Detektoren schließen aus Artefakten und irren oft genug, um nicht als Beweis zu taugen.

Ist es legal, vor der Veröffentlichung Metadaten aus einem Foto zu löschen?

Bei eigenen Fotos in der Regel ja, und vor der Veröffentlichung privater Bilder ist es die vernünftige Voreinstellung, da EXIF GPS-Koordinaten enthalten kann. Die eigentliche Schranke ist vertraglich, nicht strafrechtlich: Presse-, Bildagentur- und Kundenverträge verlangen häufig, dass die IPTC-Felder für Credit und Rechte unangetastet bleiben, und die KI-Verordnung erwartet, dass generierte Inhalte ihre maschinenlesbare Kennzeichnung behalten.

Was Sie diesen Monat an Ihrem Ablauf ändern sollten

Drei Dinge, nach Aufwand sortiert.

Gehen Sie davon aus, dass Ihre Metadaten bereits weg sind. Wenn Herkunft für eine Arbeit zählt, ist das eingebettete Manifest nicht die Kopie, auf die Sie sich stützen. Behalten Sie das Original und den Cloud-Eintrag.

Trennen Sie die beiden Entscheidungen zum Entfernen. „Personenbezogene Daten vor der Veröffentlichung löschen" und „Credit und Herkunft bewahren" ziehen in entgegengesetzte Richtungen, und eine einzige Standardeinstellung im Export kann nicht beides bedienen. Entscheiden Sie pro Auftrag.

Behandeln Sie unsichtbare Markierungen nicht länger als Beweis, in keine Richtung. Eine fehlende Markierung heißt nicht, dass ein Bild echt ist, und eine vorhandene beweist nur, welches Werkzeug sie geschrieben hat. Wer verstehen will, was ein Segmentierungsmodell tatsächlich mit seinen Pixeln anstellt, bevor er über den Stempel darauf streitet, findet in der U2-Net-Erklärung die ehrliche Fassung.

Die Paint-Geschichte handelt nicht wirklich von Paint. Sie ist das erste breit gelesene Beispiel dafür, dass Bildwerkzeuge Daten in Ihre Dateien schreiben, um die Sie nicht gebeten haben, die Sie nicht sehen und von denen Ihnen niemand erzählt hat. Dieses Muster wird sich wiederholen, und die einzige dauerhafte Verteidigung ist, hinsehen zu können.