Microsofts KI-Wasserzeichen lassen sich Nutzern zuordnen
Paint und Fotos betten unsichtbare Server-IDs in lokal erzeugte KI-Bilder ein. Ein Forscher zeigt: Die Kennungen ließen sich mit Konten verknüpfen.
Symbolbild · KI-generiert (AI IN LIFE)
Auf einen Blick
- Analyse von Xusheng Li (Vector 35), veröffentlicht am 25. August 2026
- Paint und Fotos betten eine 16-Byte-GUID unsichtbar in die Pixel lokal erzeugter KI-Bilder ein
- Die GUID stammt vom Microsoft-Moderationsserver; Folgeanfragen verketten frühere Prompt-IDs
- Pixel-Wasserzeichen überstehen Screenshots — anders als entfernbare C2PA-Metadaten
- Microsoft ließ Anfragen des Forschers zunächst unbeantwortet
KI-Bilder aus Microsoft Paint und der Fotos-App tragen unsichtbare Wasserzeichen, die sich prinzipiell einzelnen Nutzern zuordnen lassen. Das zeigt eine am 25. August 2026 veröffentlichte Analyse des Sicherheitsforschers Xusheng Li vom Reverse-Engineering-Unternehmen Vector 35. Kern des Befunds: Auch lokal generierte Bilder erhalten eine vom Microsoft-Server vergebene Kennung.
Technisch funktioniert das so: Vor der Bildgenerierung schickt die App den Prompt zur Moderation an Microsoft-Server. "Der Prompt wird zur Moderation an Microsoft gesendet, und die zurückgelieferte GUID wird in die Pixel kodiert", schreibt Li in seiner Analyse. Die 16 Byte lange, global eindeutige Kennung landet unsichtbar im Bild — zusätzlich zu den C2PA-Herkunftsdaten in den Metadaten.
Brisant ist die Verkettung: Folgeanfragen übertragen laut der Analyse auch frühere Prompt-IDs, sodass sich Bildserien miteinander verknüpfen lassen. Speichert Microsoft die Zuordnung von Prompt-IDs zu Konten, ließe sich ein anonym verbreitetes Bild nachträglich einem Nutzer zuordnen — eine Tracking-Möglichkeit, die The Register mit den einst umstrittenen unsichtbaren Druckerpunkten vergleicht.
Herkunftskennzeichnung von KI-Bildern gilt eigentlich als wünschenswert und wird etwa durch die Transparenzregeln des EU-AI-Acts gefördert; C2PA-Metadaten lassen sich jedoch entfernen, während das Pixel-Wasserzeichen auch Screenshots übersteht. Genau diese Robustheit macht es zum Datenschutzthema: Die Kennzeichnung erfolgt ohne sichtbaren Hinweis an die Nutzer. Microsoft reagierte auf Anfragen des Forschers zunächst nicht.
Für Unternehmen heißt das: Wer mit Windows-Bordmitteln KI-Bilder erzeugt, muss davon ausgehen, dass jedes Bild eine serverseitig vergebene, potenziell rückverfolgbare Kennung trägt — ein Punkt, der in interne KI-Richtlinien gehört.
Häufige Fragen
Was hat der Forscher bei Microsoft Paint entdeckt?
Dass Paint und die Fotos-App eine vom Microsoft-Server vergebene 16-Byte-Kennung unsichtbar in die Pixel jedes lokal erzeugten KI-Bildes einbetten — zusätzlich zu den bekannten C2PA-Metadaten.
Kann Microsoft damit einzelne Nutzer identifizieren?
Prinzipiell ja: Der Prompt läuft über Microsofts Moderationsserver, der die Kennung vergibt. Speichert Microsoft die Zuordnung zu Konten, ließe sich ein Bild nachträglich einem Nutzer zuordnen. Ob das geschieht, ist nicht belegt; Microsoft äußerte sich zunächst nicht.
Wie unterscheidet sich das Wasserzeichen von C2PA-Metadaten?
C2PA-Daten liegen in den Metadaten und lassen sich entfernen. Das GUID-Wasserzeichen steckt in den Pixeln selbst und übersteht auch Screenshots und Formatwechsel.
