C2PA und SynthID: was die Markierung generierter Bilder für einen Herausgeber ändert

Ein 2026 von einer KI erzeugtes Bild ist keine anonyme Datei mehr. Je nach Anbieter trägt es signierte Metadaten, ein unsichtbares Wasserzeichen oder beides. Für einen Herausgeber, der seine Inhalte damit bebildert, stellen sich zwei Fragen: Überstehen diese Marken die Veröffentlichung, und befreien sie von irgendetwas? Die erste hängt von der Technik ab. Die zweite verlangt ein Nein ohne Abstufung.

Zwei Techniken, die nicht dasselbe leisten

Der C2PA-Standard, getragen von einer Koalition, der unter anderem Adobe, Microsoft, Google, OpenAI und die BBC angehören, definiert Content Credentials: ein kryptografisch signiertes Manifest, an die Datei angehängt, das die Herkunft des Inhalts und die daran vorgenommenen Bearbeitungen beschreibt. Ein kompatibles Anzeigeprogramm kann die Signatur prüfen und die Herkunft ausweisen. Die Stärke von C2PA ist seine Genauigkeit: Es sagt, wer das Bild erzeugt hat, mit welchem Werkzeug, und was seither verändert wurde. Seine Schwäche ist, dass es in den Metadaten lebt: ein Zuschnitt in einem nicht kompatiblen Werkzeug, ein Screenshot oder schlicht der Upload auf eine Plattform, die Dateien bereinigt, und das Manifest ist weg.

SynthID, entwickelt von Google DeepMind, geht anders vor: Das Wasserzeichen wird unmerklich in die Pixel selbst eingeschrieben und ist darauf ausgelegt, Kompression, Zuschnitt, Neukodierung und Screenshot zu überstehen. Es transportiert kein ausführliches Manifest: Es erlaubt einem Detektor die Aussage, dass der Inhalt von einem Werkzeug erzeugt wurde, das dieses Wasserzeichen setzt, und nichts darüber hinaus. Google wendet es auf seine Bilder, Videos und Audioinhalte an, und seit Ende 2024 auf Text. Es ist nicht mehr Google vorbehalten: OpenAI hat es im Mai 2026 für seine Bilder und Audioinhalte übernommen.

Wer 2026 was markiert

OpenAI kündigte bereits 2024 an, seinen Bildern C2PA Content Credentials beizugeben, in einem Beitrag mit dem Titel „Understanding the source of what we see and hear online“, in dem das Unternehmen die Grenze selbst einräumt: Die Metadaten lassen sich entfernen, absichtlich oder nicht. Genau diese Grenze hat sich seitdem verschoben: die Dokumentation von OpenAI gibt an, dass mit ChatGPT, Codex und der OpenAI-API erzeugte Bilder inzwischen sowohl C2PA-Metadaten als auch ein SynthID-Wasserzeichen tragen und dass die Audioinhalte ein unhörbares Wasserzeichen tragen. Die Metadaten zu entfernen genügt also nicht mehr, um die Herkunft eines OpenAI-Bildes zu löschen. Google markiert seine Erzeugnisse mit SynthID und ist C2PA beigetreten. Die übrigen großen Anbieter folgen ähnlichen Linien, getrieben von Artikel 50 der KI-Verordnung, der ihnen eine maschinenlesbare Markierung vorschreibt, mit einer auf den 2. Dezember 2026 verschobenen Frist für bereits im Einsatz befindliche Systeme, wie wir im Zeitplan der KI-Verordnung darlegen.

Die Bewegung läuft in eine einzige Richtung: Immer mehr erzeugte Bilder werden eine widerstandsfähige Marke tragen, und immer weniger werden nach einer bloßen Bereinigung der Metadaten als Fotografie durchgehen. Ein Herausgeber, der seine Strategie auf den Gedanken baut, „niemand kann es wissen“, irrt sich bei den Bildern schon heute.

Was die Markierung nicht ändert: die Kennzeichnungspflicht

Hier lasten zwei Pflichten auf zwei Akteuren, die man nicht verwechseln darf. Die maschinenlesbare Markierung ist die Pflicht des Modellanbieters. Die sichtbare Kennzeichnung, wo sie geschuldet ist, ist die Pflicht des veröffentlichenden Herausgebers. Ein SynthID-Wasserzeichen oder ein C2PA-Manifest in einem Bild befreit den Herausgeber nicht davon, einen Deepfake zu kennzeichnen, und ihr Fehlen entbindet ihn ebenso wenig. Die beiden Regelungen sind voneinander unabhängig.

Bei Bildern erfasst die Kennzeichnungspflicht des Herausgebers nur Deepfakes: ein erzeugtes oder manipuliertes Bild, das existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person fälschlich als echt erscheinen könnte. Alle fünf Kategorien zählen: Ein Produkt ist ein Gegenstand, eine Marke eine Einrichtung. Eine abstrakte Illustration, eine redaktionelle Collage, ein Schema, ein sichtlich stilisiertes Motiv fallen nicht darunter. Eine realistische Fotografie einer Baustelle, die es nie gab, eines Kunden, den es nicht gibt, oder eines Produkts in einer Verwendung, die es nicht zulässt, sehr wohl.

Was ein Herausgeber selbst prüfen kann

Zwei Prüfungen liegen in Reichweite jedes Teams. Die erste besteht darin, ein erzeugtes Bild in einem Werkzeug zum Auslesen von Metadaten zu öffnen und nach einem C2PA-Manifest zu suchen: Ist es vorhanden, weiß man, was das Bild transportiert und was ein Dritter auslesen kann. Die zweite besteht darin, denselben Test zu wiederholen, nachdem das Bild die reale Publikationskette durchlaufen hat: Export aus dem Bildbearbeitungswerkzeug, Kompression durch das CMS, Upload in die sozialen Netzwerke. In den meisten Ketten übersteht das Manifest die zweite Stufe nicht. Dieser Befund hat nichts Beruhigendes, er muss die Produktion lenken: Was überlebt, ist das Wasserzeichen in den Pixeln, und genau dieses können die Erkennungswerkzeuge lesen. Die Herkunft eines erzeugten Bildes ist daher als dauerhaft nachweisbar anzusehen.

Die Produktionsregel statt des Etiketts

Nachträglich zu etikettieren ist brüchig: Die Kennzeichnung muss bei der ersten Wahrnehmung ankommen, und das Bild zirkuliert auf Kanälen, wo der Begleittext gekürzt ist oder fehlt. Soziale Netzwerke schneiden Bildunterschriften ab, Stories haben gar keine, geteilte Bilder lösen sich von ihrem Kontext. Die Frage auf jedem Kanal und bei jedem Zuschnitt zu regeln, ist eine Arbeit ohne Ende.

Der belastbare Weg liegt davor, in einer Produktionsregel aus drei Punkten:

1. Keinen täuschenden Realismus herstellen. Kein falsches Testimonial als Foto, keine falsche Kundenreferenz, keine Szene, die als reales Ereignis ausgegeben wird. Eine bewusst gewählte redaktionelle Bildsprache (Collage, Illustration, Symbol) ist zugleich unverwechselbarer und außerhalb des Deepfake-Bereichs.
2. Die Herkunft bewahren, wo sie vorhanden ist. Die C2PA-Metadaten beim Export nicht bereinigen; sie kosten nichts und dokumentieren die Gutgläubigkeit.
3. Die Entscheidung nachvollziehbar machen. Für jedes realistische Motiv, das dennoch entsteht, wird die Kennzeichnung bei der Erstellung entschieden und dort platziert, wo sie zuerst gesehen wird, statt bei der Veröffentlichung auf einem bestimmten Kanal ergänzt zu werden.

Die Entscheidung, die die Frage verschwinden lässt: nicht fotografieren

Es gibt einen Weg, nicht mehr Motiv für Motiv abwägen zu müssen: gar keine gegenständlichen Bilder produzieren. Eine ungegenständliche Komposition aus Formen, Rastern, Farbflächen und Überlagerungen kann schon bauartbedingt keinen existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln. Sie erfüllt damit die Definition des Deepfakes nicht, die genau diese Ähnlichkeit und diesen Anschein von Echtheit voraussetzt. Die Frage der Kennzeichnung stellt sich nicht mehr: Ihr Gegenstand existiert nicht.

Dieselbe Wahl deckt ein zweites Regime ab, das Wettbewerber sehr viel schneller in Gang setzen können. Das Recht gegen irreführende Werbung erfasst das Bild ebenso wie die Worte, und ein abstraktes Motiv behauptet nichts über das Produkt: Es zeigt kein Ergebnis, keine Baustelle, keinen Kunden. Eine einzige, einmal getroffene Produktionsentscheidung setzt beide Regime für sämtliche Motive eines Mediums außer Gefecht.

Das ist nicht umsonst zu haben. Eine inszenierte Fotografie ist unmittelbarer lesbar, und manche Themen eignen sich schlecht für die Abstraktion. Dafür muss ein Medium, das wöchentlich veröffentlicht, seine Bilder nicht mehr juristisch prüfen lassen, es gewinnt eine wiedererkennbare Bildsprache statt austauschbarer Stockbilder, und es hängt nicht mehr von der Wiedergabe von Gesichtern und Händen ab, die die Schwachstelle der Modelle bleibt.

Zwei Grenzen bleiben. Die Abstraktion sagt nichts über den Text: Eine falsche Behauptung in einem Artikel bleibt irreführend, und eine Umweltaussage bleibt zu belegen. Und sie entbindet nicht von der Regel zu Inhalten von öffentlichem Interesse, die den Text betrifft, nicht die Illustration. Sie regelt das Bild, sonst nichts, aber das regelt sie vollständig.

Das Werberecht greift vor dem AI Act

Ein letzter Punkt, den die Debatten über die Markierung vergessen lassen: Bei einem kommerziellen Motiv greift zuerst nicht Artikel 50, sondern das Recht gegen irreführende Werbung, das lange vor der KI bestand. Ein Bild, das ein Ergebnis zeigt, das das Produkt nicht halten kann, ist irreführend, ob es erzeugt oder fotografiert wurde. In manchen Ländern, Deutschland vorneweg, können Wettbewerber dieses Regime binnen weniger Tage in Gang setzen, ohne eine Behörde einzuschalten. Wir widmen dem einen eigenen Artikel: „Publizieren in Deutschland: das UWG schlägt vor dem AI Act zu“. Das ist der beste Grund, diese Produktionsregel einzuführen.