Geschichtslektion: Was ist eine .wmf-Datei? Warum ClipArt als leeres Feld erscheint

Was ist eine .wmf-Datei?

Eine .wmf-Datei ist eine Windows-Metadatei: ein 16-Bit-Format, das eine Folge von Datensätzen mit Zeichenbefehlen des Windows GDI speichert. Ein Betrachter „dekodiert kein Foto“ wie bei einem JPG – er spielt diese Befehle in einen Gerätekontext ab, ähnlich wie RFC 7903 das Abspielen von Metadateien mit der Ausführung von PostScript zur Ausgabe vergleicht. WMF kann Vektor- und Rastergrafik gemeinsam enthalten.

Microsoft brachte WMF mit Windows 3.0 heraus; RFC 7903 nennt 1990 als Erscheinungsjahr des Formats. Frühe öffentliche Dokumentation findet sich laut diesem RFC im Windows 3.1 SDK (1992). Für eine ganze Generation von ClipArts, Logos und Diagrammen in Office und Windows – dazu Zwischenablage, Druck und Einbettung in Dokumente – war WMF das native Vektorformat. RFC 7903 merkt außerdem an, dass WMF in OOXML nicht normativ referenziert wird – ein Grund, warum die Interoperabilität weiterhin eine Rolle spielt.

WMF vs. EMF (und EMF+)

EMF (Enhanced Metafile) kam 1992 mit Windows NT 3.1. Es ist 32-Bit- und Win32-basiert und wurde als geräteunabhängiger Nachfolger der eher geräteabhängigen WMF entworfen. Koordinaten und Datensatzaufbau wachsen mit Win32; das Abspielmodell bleibt „GDI erneut abspielen“, aber in einem saubereren, auflösungsfreundlicheren Container.

EMF+ kam mit Windows XP / GDI+: GDI+-Datensätze, eingebettet in EMF-Kommentardatensätze. Microsofts GDI+-Dokumentation beschreibt die Varianten EMF+ Only und EMF+ Dual. Wichtige Aufzeichnungsregel: GDI+ kann WMF, EMF und EMF+ anzeigen, aber nur EMF / EMF+ aufzeichnen – nicht WMF. Halten wir die Namensfolge fest: WMF (klassisch, 16 Bit) → EMF (erweitert, 32 Bit) → EMF+ (GDI+-Erweiterungen).

Warum erscheint alte ClipArt als leeres Feld?

Ein leeres Feld in einer modernen Anwendung bedeutet meist gescheitertes oder verweigertes Abspielen, keine leere Datei. Ende Dezember 2005 beschrieb CVE-2005-4560 manipulierte WMF-Dateien, die über META_ESCAPE / den Pfad GDI Escape SETABORTPROC nutzten, um Code auszuführen – die Lücke Metafile Image Code Execution (MICE). Microsoft lieferte MS06-001 am 5. Januar 2006 aus. Ein MSRC-Blogbeitrag erklärte die Herkunft aus dem Druckabbruch-Callback SetAbortProc; der Internet Explorer übersprang META_ESCAPE, aber ein Weg über IFRAME → Shell → Windows-Bild- und Faxanzeige war ein bekannter Angriffsvektor. RFC 7903 merkt an, dass MICE 2007 Pwnie-Awards für „Mass 0wnage“ und „Breaking the Internet“ gewann.

RFC 7903 stellt zudem fest, dass EMF von dieser speziellen MICE-Lücke nicht betroffen war. Dennoch haben nach 2005–2006 viele Produkte ihre GDI-Metadatei-Pipelines abgesichert, in eine Sandbox verlegt oder schlicht aufgegeben. Im Jahr 2026 bedeutet ein leeres Feld oft Sicherheitsrichtlinie plus fehlende Abspielunterstützung – nicht „die ClipArt ist verschwunden“.

Wie die Bytes funktionieren (Header von platzierbarer WMF und EMF)

Viele .wmf-Dateien beginnen mit einem optionalen Header Aldus Placeable Metafile: 22 Byte vor dem standardmäßigen META_HEADER. Der Schlüssel muss 0x9AC6CDD7 lauten – Little-Endian-Bytes D7 CD C6 9A. Der platzierbare Header enthält außerdem ein umschließendes Rechteck, ein Feld inch (Einheiten pro Zoll) und eine Prüfsumme. Das klassische PlayMetaFile von Windows akzeptiert den platzierbaren Header nicht; entfernen Sie die ersten 22 Byte und spielen Sie dann die verbleibende WMF ab. Platzierbare und nicht platzierbare .wmf sind beide legitime Varianten – bedenken Sie das, wenn ein Hexdump „nicht zum SDK-Beispiel passt“.

Für EMF beschreibt RFC 7903 den einleitenden EMR_HEADER: Type ist das Little-Endian-DWORD 0x00000001, und Size sollte mindestens 88 betragen. Nach dem Header folgen Datensätze der erweiterten Metadatei, die ein Win32-Abspielpfad interpretiert. Spezifikationen sind für die Interoperabilität wichtig: Microsoft veröffentlichte [MS-WMF], [MS-EMF] und [MS-EMF+] unter dem Open Specification Promise (RFC 7903: seit 2007). Die Medientypen image/wmf und image/emf sind in RFC 7903 (September 2016) registriert.

Warum .wmf- und .emf-Altdateien 2026 noch auf Festplatten liegen

Alte ClipArt-Bibliotheken aus Office und Publisher, Logos und Diagramme verwenden diese Formate noch immer. Die Dateien werden aus alten Dokumenten extrahiert oder liegen neben ihnen – Ordner, Markenpakete und Projektverzeichnisse aus der Metadatei-Ära. Die riesige Menge bereits ausgelieferter ClipArts ist der Grund, warum WMF / EMF immer wieder auftauchen, auch wenn alltägliche Anwendungen sie leer darstellen.

Sie brauchen kein spezielles Forensik-Werkzeug, nur um die Grafik wieder zu sehen. Die praktische Anleitung finden Sie unter Wenn alte WMF-/EMF-ClipArts nicht angezeigt werden. Legacy File Converter konvertiert .wmf / .emf offline auf diesem PC in PNG, JPG oder PDF.