Handbuch · Kapitel 4.2

KI-Kennzeichnung in WordPress: Mediathek, Blockeditor und REST-API

Was WordPress ist: Das mit Abstand verbreitetste Content-Management-System. Inhalte werden im Browser gepflegt, Medien liegen in einer zentralen Mediathek, und das Aussehen kommt aus einem Theme. Ein großer Teil der Websites, die unter Artikel 50 fallen, läuft darauf.

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung. Wer eine WordPress-Seite betreut, auf der KI-generierte Bilder oder Videos liegen, muss diese unter bestimmten Voraussetzungen kennzeichnen. Eine eigene Funktion dafür bringt WordPress nicht mit: Es gibt kein Feld „KI-generiert” an Medien und keinen Filter in der Mediathek.

WordPress ist der Fall, in dem die Kennzeichnung am wenigsten Technik braucht und am meisten Disziplin. Eine Bildunterschrift setzen kann jeder, der einen Beitrag schreiben kann – dafür gibt es keine zentrale Stelle, an der man festhalten könnte, welches Bild wie entstanden ist. Und je länger eine Website läuft, desto mehr Medien liegen in einer Mediathek, die niemand mehr überblickt.

Genau deshalb lohnt es sich hier besonders, die Frage „welche Bilder sind überhaupt betroffen?” nicht dem Gedächtnis zu überlassen.

Was bei WordPress besonders ist

Die Mediathek kennt keine Ordner. Was in anderen Systemen die naheliegende Ordnung wäre – „alle Bilder aus dem Ordner Team” –, gibt es in WordPress ohne Zusatzsoftware nicht. Die Mediathek ist eine lange, flache Liste, sortiert nach Datum. Als Ersatz bieten sich zwei andere Größen an: der Beitragstyp, an dem ein Medium hängt (Beitrag, Seite, Produkt), und wer es hochgeladen hat.

Es gibt zwei Editoren. Der Blockeditor ist seit Jahren Standard, der klassische Editor läuft auf vielen älteren Installationen weiter. Die Handarbeit unterscheidet sich; der automatisierte Weg nicht.

Ein Teil der Bilder läuft am Theme vorbei. Seitenbaukästen wie Elementor, Divi oder WPBakery bauen ihre Bilder selbst zusammen, statt sie über die WordPress-eigene Bildfunktion auszugeben. Für die Handarbeit heißt das: Was Sie zentral einstellen, greift dort nicht – Sie müssen es im Baukasten noch einmal setzen.

Was vorher geklärt sein muss

Bevor Sie irgendetwas einbauen, muss feststehen, welche Medien betroffen sind. Die Pflicht greift nicht bei allem, was mit KI zu tun hatte, sondern bei Deepfakes – siehe Was gekennzeichnet werden muss und Deepfake, KI-generiert, KI-bearbeitet. Wer pauschal alles markiert, produziert Arbeit ohne Nutzen und entwertet die Kennzeichnung dort, wo sie zählt.

Ein fotorealistisches Bild von Menschen, die es nicht gibt, fällt darunter. Das generierte Hintergrundmuster im Header, ein Icon-Set oder eine erkennbar gezeichnete Illustration im Blogbeitrag in aller Regel nicht.

Für eine erste Einordnung genügen ein paar Fragen im Kennzeichnungs-Check.

Was die Kennzeichnung leisten muss

WordPress bringt für den Hinweis bereits ein Feld mit – wie er am Ende aussieht, entscheidet trotzdem das Theme. Der Maßstab dafür steht in Artikel 50 Absatz 5: Die Angabe muss spätestens dann bereitstehen, wenn jemand den Inhalt zum ersten Mal sieht, sie muss klar und eindeutig sein und den Barrierefreiheitsanforderungen genügen. Der Verhaltenskodex der EU-Kommission beschreibt die Platzierung genauer – gut erkennbar, nichts darüber, im Inhalt selbst statt daneben, und nach Möglichkeit auch dann noch sichtbar, wenn jemand das Bild weitergibt. Unterzeichnen muss den Kodex niemand; Artikel 50 gilt trotzdem.

Für WordPress folgt daraus:

• Sichtbar, nicht nur in der Datei. Eine Angabe, die nur in den Bild-Metadaten steckt, erfüllt „wahrnehmbar bei der ersten Aussetzung” nicht.
• Nicht überlagert. Galerie- und Lightbox-Plugins legen eine Bedienfläche über das Bild, sobald jemand daraufklickt. Sehen Sie sich das im geöffneten Zustand an, nicht nur in der Übersicht.
• Zugänglich ausgezeichnet. Hier ist WordPress im Vorteil: Eine Bildunterschrift landet als <figcaption> im Markup und wird vorgelesen. Ein Symbol dagegen braucht einen eigenen Alt-Text – als CSS-Hintergrund trägt es keinen.

Weg A: Bildunterschrift im Editor

Der einfachste Weg, ohne eine Zeile Code – sinnvoll bei überschaubaren Sites oder wenn nur einzelne Bilder betroffen sind.

1. Bestand sichten

Hier ist WordPress angenehmer als die meisten Baukästen: Die Mediathek lässt sich in der Listenansicht nach Datum sortieren und nach Monat filtern. Wenn Sie ungefähr wissen, ab wann bei Ihnen generierte Bilder dazukamen, haben Sie damit schon eine brauchbare Eingrenzung.

Als zweiten Filter bleiben die Dateinamen. Exporte tragen oft Muster wie DALL·E, Midjourney_, ChatGPT Image oder lange Hashes; die Suche in der Mediathek greift auf den Dateinamen zu. Verlassen Sie sich nicht darauf – wer eine Datei einmal umbenennt, hat kein Muster mehr.

Bei Stockmaterial ist die Herkunft oft gar nicht ersichtlich. Mehrere Anbieter haben KI-generiertes Material im Katalog, ohne es durchgängig auszuweisen.

2. Hinweis setzen

Im Blockeditor: Bild anklicken, unter dem Bild erscheint das Feld Bildunterschrift. Dort den Hinweis eintragen, zum Beispiel „Mit KI erstellt”. Der Text steht damit sichtbar am Inhalt und ist als Text lesbar – beides Anforderungen aus Absatz 5.

Im klassischen Editor: Beim Einfügen aus der Mediathek gibt es dasselbe Feld; nachträglich über das Stift-Symbol am Bild.

3. Symbol ergänzen

Wollen Sie zusätzlich das offizielle EU-Symbol zeigen, laden Sie es aus Die offiziellen EU-Icons herunter, legen es einmal in die Mediathek und fügen es neben dem Hinweis ein. Wichtig ist dabei der Alt-Text am Symbol, etwa EU-Symbol: KI-generiert.

Für das Symbol müssen Sie nichts entwerfen: Die EU-Kommission hat im Juni 2026 drei Zeichen veröffentlicht, die frei genutzt werden dürfen. Welches davon passt, hängt davon ab, wie stark KI beteiligt war:

Basissymbol

KI war an der Erstellung beteiligt.

Vollständig KI-generiert

Komplett von einer KI erzeugt, ohne von Menschen geschaffene Elemente.

Teilweise KI-verändert

Bestehender Inhalt wurde mit KI verändert, etwa ein ausgetauschtes Gesicht.

Es gibt sie in Schwarz, Weiß und je einer halbtransparenten Fassung. Alle zwölf Dateien und die Platzierungsregeln stehen in Die offiziellen EU-Icons.

Ein Hinweis, der oft untergeht: Die Verwendung dieser Symbole ist freiwillig, die Kennzeichnungspflicht ist es nicht. Und die Kommission hat getestet, dass die Zeichen deutlich besser verstanden werden, wenn ein kurzer Text danebensteht – das Symbol allein sagt vielen Menschen noch nichts.

4. Dokumentieren

Halten Sie fest, was Sie geprüft und wie Sie entschieden haben, mit Datum. Eine Tabelle ist besser als nichts. Was sie leistet und was nicht, steht in Dokumentation und Nachweis.

Was dieser Weg leistet: Er kostet nichts, braucht niemanden mit Code-Zugang und ist sofort wirksam.

Was er nicht leistet: Er wächst nicht mit. Sie müssen wissen, welches Bild betroffen ist, und daran denken, wenn jemand eines austauscht. Bei zwanzig Bildern geht das, bei zweihundert nicht mehr.

Weg B: ein Feld an der Mediathek, ausgewertet im Theme

Der Weg für alle, die Zugriff auf das Theme haben. Die Entscheidung wird einmal am Medium getroffen, nicht an jeder Einbaustelle – damit löst sich das Kopier-Problem aus Weg A.

Zwei Schritte. Erst ein Feld an der Mediathek anlegen:

// functions.php des Child-Themes
add_filter('attachment_fields_to_edit', function ($fields, $post) {
    $fields['ki_erzeugt'] = [
        'label' => 'Mit KI erstellt',
        'input' => 'html',
        'html'  => sprintf(
            '<input type="checkbox" name="attachments[%d][ki_erzeugt]" value="1" %s>',
            $post->ID,
            checked(get_post_meta($post->ID, 'ki_erzeugt', true), '1', false)
        ),
    ];
    return $fields;
}, 10, 2);

add_filter('attachment_fields_to_save', function ($post, $attachment) {
    update_post_meta($post['ID'], 'ki_erzeugt', empty($attachment['ki_erzeugt']) ? '' : '1');
    return $post;
}, 10, 2);

Das Häkchen erscheint danach in den Anhang-Details – also in der Mediathek, wenn Sie ein Bild anklicken. Rechnen Sie damit, dass es im Blockeditor kaum jemand findet: Dort steckt es hinter Ersetzen → Mediathek öffnen im Detailbereich und nicht in der Seitenleiste des Bild-Blocks. Wer das Feld pflegen soll, sollte es also in der Mediathek tun.

Dann den Hinweis beim Ausspielen anhängen – und zwar an der Stelle, an der WordPress jedes Bild rendert:

add_filter('wp_get_attachment_image', function ($html, $attachment_id) {
    if (get_post_meta($attachment_id, 'ki_erzeugt', true) !== '1') {
        return $html;
    }
    return $html . '<span class="ki-hinweis">Mit KI erstellt</span>';
}, 10, 2);

Der Vorteil: Die Angabe hängt am Medium, nicht am Beitrag. Wer sie einmal setzt, hat sie überall – auch in Beiträgen, die längst veröffentlicht sind.

Die Grenze ist ehrlicherweise deutlich: Der Filter greift nur dort, wo das Theme wp_get_attachment_image verwendet. Bilder, die ein Seitenbaukasten selbst zusammensetzt, laufen daran vorbei. Und Sie brauchen für jede weitere Frage – „zeigt es reale Personen?”, „wirkt es wie eine echte Aufnahme?” – ein weiteres Feld und einen weiteren Filter.

Weg C: automatisiert mit wirklich.ai

Ab ein paar hundert Medien wird Handarbeit unwirtschaftlich, spätestens beim zweiten Durchgang. Und anders als bei Weg A und B haben Sie hier am Ende einen Nachweis darüber, wer wann was entschieden hat.

Anbindung einrichten

In wirklich.ai wählen Sie beim Anlegen des Projekts WordPress und tragen die Adresse Ihrer Website ein. Mehr braucht es in der Regel nicht: Bei einer Standardinstallation lässt sich die Mediathek unter /wp-json/wp/v2/media ohne Zugangsdaten lesen. Kein Plugin, kein Schlüssel, nichts zu installieren.

Liegt WordPress in einem Unterverzeichnis, geben Sie es mit an – also https://beispiel.de/blog statt nur https://beispiel.de.

Regeln statt Einzelentscheidungen

Weil die Mediathek keine Ordner hat, stehen als Bezugsgrößen der Beitragstyp und der Uploader zur Verfügung. Damit lassen sich Aussagen treffen wie „alle Bilder an Produkten sind echte Produktfotos ohne KI” oder „alles, was die Agentur hochgeladen hat, ist erkennbar illustrativ”. Beim Prüfen bleibt dann pro Medium höchstens eine Frage übrig.

Einbau des Scripts

Am saubersten über die functions.php Ihres Child-Themes:

add_action('wp_enqueue_scripts', function () {
    wp_enqueue_script('wirklich-label', 'https://cdn.wirklich.ai/label.js', [], null, false);
});

// wp_script_add_data() kennt nur 'strategy' – eigene Attribute wie
// data-wirklich-site gehen ausschliesslich ueber diesen Filter.
add_filter('script_loader_tag', function ($tag, $handle, $src) {
    if ('wirklich-label' !== $handle) {
        return $tag;
    }
    return sprintf(
        '<script src="%s" data-wirklich-site="%s" async></script>' . "\n",
        esc_url($src),
        esc_attr('IHRE-SITE-ID')
    );
}, 10, 3);

Der Filter sieht nach mehr aus, als er ist, aber er ist nötig: wp_enqueue_script allein bringt das Script in die Seite, ohne die Site-ID – und ohne die weiß es nicht, welchen Bestand es kennzeichnen soll.

Wer nicht an der functions.php arbeiten möchte, kann stattdessen ein Header-und-Footer-Plugin verwenden und dort einfügen:

<!-- wirklich.ai · KI-Kennzeichnung -->
<script src="https://cdn.wirklich.ai/label.js"
        data-wirklich-site="IHRE-SITE-ID" async></script>

Unter 10 kB, lädt asynchron, setzt keine Cookies und braucht keine Consent-Anpassung.

Nicht ins Eltern-Theme schreiben. Beim nächsten Theme-Update wäre die Änderung weg – und niemand würde bemerken, dass die Kennzeichnung nicht mehr läuft. Ein Child-Theme ist an dieser Stelle keine Formsache.

Transparenz-Protokoll. Kommt auf eine Unterseite, verlinkt aus Footer oder Impressum. Legen Sie dafür eine Seite an und setzen Sie einen Custom-HTML-Block hinein:

<!-- wirklich.ai · KI-Transparenz-Protokoll -->
<div id="wirklich-protokoll"></div>
<script src="https://cdn.wirklich.ai/protokoll.js"
        data-wirklich-site="IHRE-SITE-ID" async></script>

Trust-Badge. Optional, siehe Das wirklich.ai Signet – und den Abschnitt am Ende dieses Kapitels.

Die Site-ID finden Sie in der wirklich.ai App. Dort hinterlegen Sie auch die Domains, auf denen die Scripte laufen dürfen – auf allen anderen bleiben sie stumm. Bei WordPress ist das besonders nützlich, weil neben der Live-Site oft noch eine Staging-Kopie existiert.

Was der Abgleich nicht sieht

Zwei Dinge, die nicht in der Mediathek stehen und deshalb unsichtbar bleiben:

Bilder von fremden Servern. Was per URL aus einem externen Dienst eingebunden ist, liegt nicht in Ihrer Mediathek.

Bilder als CSS-Hintergrund. Was das Theme als Hintergrund setzt statt als Bild-Element, taucht im Markup nicht als Bild auf.

Beides lässt sich in der wirklich.ai App von Hand über die Adresse ergänzen. Die Kennzeichnung greift danach genauso automatisch wie bei allen anderen.

Die Basisnutzung der wirklich.ai App ist dauerhaft kostenlos – kostenloses Konto erstellen.

WordPress-spezifische Fallstricke

Was in der Mediathek liegt, ist nicht das, was der Browser lädt. WordPress erzeugt beim Hochladen mehrere Größen – Thumbnail, Medium, Large, dazu die Formate, die Ihr Theme anmeldet – und liefert sie über srcset aus. Je nach Bildschirmbreite kommt eine andere Datei an. Wer von Hand kennzeichnet, prüft deshalb am fertigen Bild auf der Seite, nicht in der Mediathek.

Verlassen Sie sich nicht auf Metadaten. WordPress entfernt beim Erzeugen der skalierten Kopien standardmäßig sämtliche eingebetteten Angaben – seit Version 4.5 unabhängig davon, ob GD oder ImageMagick im Einsatz ist. Nur die hochgeladene Datei behält, was sie mitbrachte.

Wir haben das an fünfzehn Bildern aus drei großen WordPress-Sites gegengeprüft: Fünf Originale trugen noch EXIF-, IPTC- oder ICC-Angaben. In den generierten Größen war es kein einziges. Einen Herkunftsnachweis nach C2PA enthielt keine der Dateien. Die Stichprobe ist klein – die Richtung ist eindeutig, und sie deckt sich mit dem, was WordPress selbst dokumentiert.

Praktisch heißt das: Was der Besucher lädt, ist fast immer eine generierte Größe, und die ist leer. Eine Kennzeichnung, die nur in der Datei steckt, trägt in WordPress also nicht – und sie würde die Sichtbarkeitsanforderung ohnehin nicht erfüllen.

Die Mediathek zeigt nicht, wo ein Bild überall verwendet wird. Die Listenansicht hat zwar eine Spalte Hochgeladen zu, aber die nennt nur den Beitrag, aus dem heraus die Datei hochgeladen wurde. Wird dasselbe Bild später in fünf weiteren Beiträgen eingesetzt, steht davon nirgends etwas. Es gibt also keine Stelle, an der Sie nachsehen könnten, welche Fundstellen noch offen sind.

Seitenbaukästen bringen eigene Bild-Ausgabe mit. Elementor etwa empfiehlt seinen Entwicklern eine eigene Hilfsfunktion statt der WordPress-eigenen. Ob ein Filter an wp_get_attachment_image dort greift, hängt vom Baukasten und vom verwendeten Widget ab – verlassen Sie sich nicht darauf, sondern sehen Sie auf einer fertigen Seite nach, ob der Hinweis erscheint. Weg B endet an dieser Grenze, Weg C nicht.

Das Eltern-Theme ist der falsche Ort. Jede Änderung daran ist beim nächsten Update weg, ohne dass es jemandem auffällt. Das gilt für den Filter aus Weg B genauso wie für das Script aus Weg C.

Neben der Live-Site steht oft eine Staging-Kopie. Was dort gekennzeichnet wurde, ist nach dem nächsten Überschreiben in eine Richtung weg – und in der anderen landet die Kopie samt Kennzeichnung live, obwohl sie nie geprüft wurde.

Was davon bei Weg C entfällt

Haltung zeigen: der wirklich.ai Transparenz-Pledge

Wer Aufwand in Transparenz steckt, muss das nicht im Hintergrund verstecken. Mit dem wirklich.ai Transparenz-Pledge setzen Sie ein Zeichen für ehrliche Kommunikation im Netz – unabhängig davon, ob Sie KI-Medien einsetzen und offen ausweisen oder vollständig auf echte Fotografie setzen.

Das Signet für Ihren Footer verlinkt direkt auf Ihr öffentliches Transparenz-Protokoll. Es zeigt Kundschaft, Partnern und Behörden auf einen Blick, dass auf Ihrer Website nicht nur behauptet, sondern geprüft wird:

Es behauptet bewusst wenig: keine Zertifizierung, keine Rechtskonformität, sondern nur, dass hier gekennzeichnet und darüber Buch geführt wird – nachprüfbar über das verlinkte Protokoll. Was es genau aussagt und was nicht, steht in Das wirklich.ai Signet.

Andere Systeme

Die Anforderungen sind überall dieselben, die Umsetzung nicht. Betreuen Sie weitere Websites, finden Sie hier die passende Anleitung:

Webflow Live Sanity Live Astro Live Statische Sites Live Framer Live Lovable Live Shopify Bald Wix Bald Strapi Bald

Dieser Beitrag gibt den Verordnungstext und benannte Quellen wieder. Er ist keine Rechtsberatung und ersetzt im Einzelfall keine anwaltliche Prüfung.

Angaben zur Rechtslage, zu deren Auslegung sowie zu Funktionen, Oberflächen und Schnittstellen fremder Systeme geben den Stand zum oben genannten Datum wieder. Beides kann sich jederzeit und ohne Ankündigung ändern. Für Aktualität, Richtigkeit und Vollständigkeit übernehmen wir keine Gewähr; eine Haftung für Schäden aus der Nutzung dieser Inhalte, der beschriebenen Anleitungen oder der Code-Beispiele ist ausgeschlossen, soweit gesetzlich zulässig. Genannte Produkt- und Firmennamen gehören ihren jeweiligen Inhabern; eine Verbindung zu ihnen besteht nicht.

Dieser Text wurde mit Unterstützung von KI erstellt und redaktionell geprüft.

Link kopieren