Handbuch · Kapitel 7

Was in Ihren Bildern wirklich steht

Stand: 5. August 2026

Artikel 50 Absatz 2 der KI-Verordnung verpflichtet Anbieter generativer KI-Systeme, ihre Ausgaben in einem maschinenlesbaren Format zu kennzeichnen und als künstlich erzeugt oder manipuliert erkennbar zu machen. Der Verordnungstext verlangt, dass diese technischen Lösungen wirksam, interoperabel, belastbar und zuverlässig sind, soweit technisch möglich, und verweist auf den allgemein anerkannten Stand der Technik, wie er in einschlägigen technischen Normen zum Ausdruck kommen kann.

Der Standard, der dabei in der Praxis die größte Rolle spielt, heißt C2PA. Was er kann und was nicht, ist für jeden relevant, der Herkunft prüfen will.

Was C2PA ist

C2PA steht für Coalition for Content Provenance and Authenticity. Unter dem Namen Content Credentials wird der Standard von einer Reihe von Herstellern umgesetzt.

Technisch hängt C2PA an eine Datei ein kryptografisch signiertes Manifest. Dieses kann festhalten, welches Gerät oder welche Software eine Datei erzeugt hat, wann das geschah und ob KI beteiligt war.

Die Prüfung eines Manifests läuft nach Beschreibung mehrerer Fachquellen in vier Schritten ab: Das Manifest wird aus der Datei gelesen, die kryptografische Signatur validiert, der Inhalts-Hash neu berechnet und mit dem im Manifest deklarierten verglichen, und die Kette der Ingredient-Manifeste wird analysiert.

Der entscheidende Unterschied zu EXIF: Wird ein Byte einer C2PA-signierten Datei verändert, ist der kryptografische Hash ungültig. EXIF-Änderungen hinterlassen dagegen keine Spur.

Wo die Manifeste verlorengehen

Das ist die praktisch wichtigste Einschränkung, und sie ist gut dokumentiert.

Die C2PA-Spezifikation selbst beschreibt das Problem in ihren Szenarien zum Soft Binding: Eine Fotografin weiß, dass einige Distributionsplattformen C2PA-Manifeste entfernen, und fügt deshalb vor der Veröffentlichung ein unmerkliches Wasserzeichen hinzu.

Nach Darstellung mehrerer Fachquellen entfernen die großen sozialen Plattformen Manifeste beim Upload, weil sie die Dateien neu kodieren. Als Gründe werden genannt: Optimierung der Dateigröße und Entfernung von Metadaten aus Datenschutzgründen, da EXIF-Daten oft GPS-Koordinaten und Gerätekennungen enthalten.

Dasselbe passiert, wenn ein Werkzeug ohne C2PA-Unterstützung eine Datei neu speichert. Der entstandene Datei gibt dabei kein Signal, dass jemals Credentials vorhanden waren.

Als Antwort auf dieses Problem beschreibt die C2PA-Spezifikation Soft Bindings: unmerkliche Wasserzeichen, die in das Signal selbst eingebettet werden statt in Metadaten. Wird ein solches Wasserzeichen erkannt, kann darüber ein Manifest in einem Repository nachgeschlagen werden.

Was ein fehlendes Manifest bedeutet

Nichts über den Inhalt. Mehrere Quellen formulieren das übereinstimmend: Kein C2PA-Manifest bedeutet nicht, dass eine Datei gefälscht ist, es bedeutet nur, dass niemand sie signiert hat, und die meisten Dateien tragen bislang keines.

Auch OpenAI weist in der eigenen Dokumentation darauf hin: Wird kein Herkunftssignal gefunden, kann der Inhalt trotzdem mit ihren Werkzeugen erzeugt worden sein, etwa weil er vor Einführung der Signale entstand, aus einem nicht unterstützten Produkt oder Exportpfad stammt oder die Metadaten beim Upload entfernt wurden.

Was C2PA nicht leistet

Drei Grenzen werden in den Fachquellen übereinstimmend genannt:

Es beweist keine Wahrheit, sondern eine Historie. Ein technisch gültiges Manifest kann an manipulierten oder gestellten Inhalten hängen. Das kanonische Beispiel: Eine Kamera kann ein Foto von einem Bildschirm signieren, auf dem ein Deepfake läuft. Das Manifest ist kryptografisch gültig, der Inhalt trotzdem erfunden.

Es erkennt keine KI-Inhalte. C2PA hält die Aussage eines Signierenden darüber fest, ob KI verwendet wurde. Ob diese Aussage stimmt, hängt an dessen Ehrlichkeit.

Alle Assertions sind optional. Ein gültiges Manifest kann minimale Angaben enthalten und damit wenig Verwertbares liefern.

Genannt wird außerdem eine Kostenschwelle: Signaturzertifikate werden derzeit nur von kommerziellen Zertifizierungsstellen ausgegeben, ein kostenloses Äquivalent existiert nach diesen Quellen nicht.

Die Asymmetrie, auf die es ankommt

Aus dem Gesagten folgt eine Faustregel, die man beim Prüfen im Kopf haben sollte:

Befund	Was er trägt
gültiges Manifest, das KI ausweist	belastbare Aussage über die Herkunftsangabe
gültiges Manifest, das eine Kamera ausweist	belastbare Aussage über die Herkunftsangabe
kein Manifest	keine Aussage
beschädigtes oder ungültiges Manifest	keine Aussage über den Inhalt

Ein Verfahren, das aus einem fehlenden Manifest ableitet, ein Bild sei wahrscheinlich nicht KI-generiert, kehrt die Beweisrichtung um. Der korrekte Befund lautet: keine Information.

Was das für die Kennzeichnungspflicht heißt

Die Verordnung fragt nicht nach dem Werkzeug. Artikel 50 Absatz 4 und Erwägungsgrund 134 stellen darauf ab, ob ein Inhalt wirklichen Personen, Orten oder Ereignissen merklich ähnelt und fälschlicherweise echt erscheinen würde.

Das ist eine Frage des Inhalts und seines Kontexts, nicht der Metadaten. Herkunftsangaben können die Prüfung erleichtern und in Zweifelsfällen Anhaltspunkte liefern, die Einordnung nach Artikel 50 nehmen sie niemandem ab.

Maschinenlesbar, ohne die Datei anzufassen

Es gibt einen Weg, eine Einstufung maschinenlesbar zu machen, ohne die Datei zu verändern: das Vokabular digitalSourceType des IPTC, ausgegeben als JSON-LD im Markup der Seite.

<script type="application/ld+json">
{
  "@context": {
    "@vocab": "https://schema.org/",
    "digitalSourceType": "http://cv.iptc.org/newscodes/digitalsourcetype/"
  },
  "@type": "ImageObject",
  "contentUrl": "https://beispiel.de/bilder/hero.jpg",
  "digitalSourceType":
    "http://cv.iptc.org/newscodes/digitalsourcetype/trainedAlgorithmicMedia"
}
</script>

Die wichtigsten Werte des Vokabulars:

Wert	Bedeutung
`digitalCapture`	mit einem Gerät aufgenommen
`trainedAlgorithmicMedia`	vollständig von einem trainierten Modell erzeugt
`compositeWithTrainedAlgorithmicMedia`	Mischung aus aufgenommenem und erzeugtem Material

Die Nähe zu den drei EU-Icons ist kein Zufall: Auch dort wird zwischen vollständig KI-generiert und teilweise KI-verändert unterschieden.

Was das rechtlich nicht ist. Die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 ist eine Pflicht der Anbieter generativer Systeme. Wer als Betreiber eine Einstufung maschinenlesbar ausgibt, erfüllt damit nicht diese Norm. Es ist eine freiwillige Zugabe, die die Auswertbarkeit verbessert.

Zum eigenen Vorgehen: wirklich.ai liest Metadaten und Herkunftsangaben aus und schreibt nichts in die Dateien zurück. Die maschinenlesbare Einstufung wird im Markup der Seite ausgegeben, nicht in der Bilddatei. Damit bleibt die Herkunftskette der Datei unberührt und die Angabe trotzdem auswertbar.

Dieser Beitrag gibt den Verordnungstext und die genannten technischen Quellen wieder. Er ist keine Rechtsberatung.

Dieser Text wurde mit Unterstützung von KI erstellt und redaktionell geprüft.

Quellen

Dieser Text wurde mit Unterstützung von KI erstellt und redaktionell geprüft.