Unsichtbare GUID steckt direkt in den Bildpixeln
Microsoft Paint und Microsoft Photos versehen KI-generierte Bilder mit einer unsichtbaren Kennung. Eine Analyse des Sicherheitsforschers Xusheng Li von Vector 35 zeigt, dass diese Kennung nicht allein der allgemeinen Markierung als KI-Inhalt dient. Sie ist mit dem jeweiligen Prompt und der dazugehörigen Moderationsanfrage verknüpft.
Bei der Bilderstellung sendet die Anwendung den Prompt zunächst an Microsoft. Dort wird die Eingabe moderiert und eine eindeutige 16 Byte große GUID erzeugt. Eine GUID ist eine global eindeutige Identifikationsnummer. Paint oder Photos codiert diese Kennung anschließend direkt in die Pixel des lokal erzeugten Bildes.
„Microsoft Paint und Photos betten eine vom Server ausgegebene GUID als unsichtbares Wasserzeichen in lokal generierte KI-Bilder ein. Der Prompt wird zur Moderation an Microsoft gesendet und die zurückgegebene GUID in die Pixel codiert.“
Bekannt wurde die technische Analyse am 25. August 2026. Eine Stellungnahme von Microsoft lag zu diesem Zeitpunkt nicht vor.
Folgeanfragen werden ausdrücklich miteinander verknüpft
Besonders relevant ist das Verhalten bei weiteren Bildanfragen. Paint übermittelt die Kennung der vorherigen Generierung bei der nächsten Moderationsanfrage als lastPromptGenerationId. Damit kann Microsoft mehrere aufeinanderfolgende Prompts technisch als zusammengehörige Sequenz erkennen.
| Merkmal | Umsetzung | Praktische Bedeutung |
|---|---|---|
| Kennung | 16 Byte große GUID | Eindeutige Identifikation einer Generierungsanfrage |
| Speicherort | Direkt in den Bildpixeln | Nicht mit dem optionalen sichtbaren Wasserzeichen identisch |
| Prompt-Prüfung | Moderation auf Microsoft-Servern | Auch eine lokale Bilderzeugung bleibt an einen Cloud-Dienst gekoppelt |
| Verkettung | Übermittlung der vorherigen Generierungs-ID | Aufeinanderfolgende Anfragen lassen sich ausdrücklich verbinden |
Ob Microsoft die GUID dauerhaft einem konkreten Microsoft-Konto oder einer Benutzer-ID zuordnet, ist nicht belegt. Ebenfalls offen ist, wie lange entsprechende Zuordnungen gespeichert werden und ob Dritte darauf zugreifen könnten. Die technische Möglichkeit zur Verknüpfung von Prompts ist dagegen dokumentiert.
Mehr als eine Kennzeichnung als KI-Inhalt
Microsoft verbindet die Umsetzung mit europäischen Transparenzregeln und C2PA. C2PA ist ein technischer Standard, mit dem Herkunft und Bearbeitung digitaler Inhalte maschinenlesbar dokumentiert werden können. Laut Anthropic haben sich mindestens 190 KI-Anbieter den europäischen Transparenzregeln verpflichtet.
Die Regeln verlangen eine maschinenlesbare Kennzeichnung KI-generierter oder KI-bearbeiteter Inhalte. Eine promptbezogene Identifikationsnummer ist dafür jedoch nicht zwingend erforderlich. Microsoft geht mit der GUID und der Verkettung aufeinanderfolgender Anfragen über eine reine Herkunftsangabe hinaus.
Das Verfahren unterscheidet sich auch von den optionalen sichtbaren Wasserzeichen in Paint und Microsoft 365. Vergleichbare Diskussionen gibt es bei Textmodellen. So versieht auch Anthropic Claude-Texte mit einem unsichtbaren Wasserzeichen, allerdings über statistische Muster bei der Wortwahl.
Parallele zu Tracking-Punkten bei Farblaserdruckern
Das Vorgehen erinnert an sogenannte Machine Identification Codes klassischer Farblaserdrucker. Dabei wurden kaum sichtbare gelbe Punkte auf Ausdrucke gesetzt, über die sich unter anderem ein Drucker identifizieren ließ. Der Microsoft-Ansatz arbeitet digital und promptbezogen, folgt aber einem ähnlichen Prinzip: Ein gewöhnlich nicht sichtbarer Identifikator begleitet den erzeugten Inhalt.
Für Unternehmen im DACH-Raum ist deshalb nicht nur entscheidend, ob ein Bild als KI-generiert markiert wird. Relevant ist auch, welche Kennungen in Dateien verbleiben, welche Daten an den Anbieter fließen und ob daraus Prompt-Verläufe rekonstruiert werden können. Das betrifft insbesondere Bilder in öffentlichen Dokumenten, Kundenmaterialien und internen Unterlagen.
Konsequenzen für Datenschutz und Beschaffung
Die Analyse zeigt ein typisches Problem proprietärer KI-Funktionen in Standardsoftware. Eine auf dem Gerät erscheinende Funktion kann im Hintergrund weiterhin von Moderation, Identifikatoren und Cloud-Diensten des Anbieters abhängen. Für Datenschutz-Folgenabschätzungen und interne Freigaben reicht es daher nicht, nur den Speicherort der fertigen Datei zu betrachten.
Unternehmen sollten prüfen, ob Microsoft die Datenverarbeitung, Speicherdauer und Zuordnung der GUIDs in Verträgen oder Produktdokumentationen ausreichend beschreibt. Anbieteroptionen zur reduzierten Speicherung, wie Zero Data Retention bei OpenAI, zeigen grundsätzlich, dass Aufbewahrung und Protokollierung gesondert bewertet werden müssen. Für Paint und Photos bleiben die entscheidenden Details zur serverseitigen Speicherung bislang offen.
Wer serverseitige Moderation und promptbezogene Identifikatoren vermeiden will, kann lokal betriebene Werkzeuge auf Basis offener Modelle wie Stable Diffusion prüfen. Solche Installationen lassen sich ohne Microsoft-Server und ohne serverseitig vergebene GUID betreiben. Dafür entstehen eigener Betriebsaufwand sowie Verantwortung für Sicherheit, Modellpflege und interne Inhaltsregeln.