Bild & Video31. August 20264 Minuten Lesezeit
KI-Bilder müssen seit 2. August eine maschinenlesbare Marke tragen, die sie als künstlich erzeugt ausweist. Ich habe nachgemessen, wie viel davon einen gewöhnlichen Arbeitstag übersteht. Bei sechs von acht Handgriffen blieb nichts übrig. Wer ein solches Bild neu abspeichert, verkleinert, zuschneidet oder abfotografiert, hält danach eine Datei in der Hand, der niemand mehr ansieht, woher sie stammt.
Die Pflicht steht in Artikel 50 Absatz 2 der KI-Verordnung. Sie trifft nicht dich, sondern den Anbieter des Bildgenerators. Der muss dafür sorgen, dass seine technische Lösung, wörtlich, wirksam, interoperabel, belastbar und zuverlässig ist. Belastbar ist das Wort, an dem sich meine Messung aufhängt.
Das Testbild trug dieselbe Marke wie ein Bild aus einem KI-Dienst
Ich habe ein Bild mit der offiziellen Programmbibliothek der Content Authenticity Initiative signiert, Version 0.90.15, mit einer Zertifikatskette nach ES256. Im Manifest steht die Angabe, auf die es ankommt: erzeugt von einem trainierten Algorithmus. Genau diese Marke hängt ein Anbieter an sein Bild. Die Datei wuchs dabei von 716.910 auf 927.157 Byte. Die Kennzeichnung wiegt also gut 205 Kilobyte, mehr als ein Viertel der Datei.
Danach kamen acht Behandlungen, wie sie jeden Tag millionenfach passieren. Bei einer unveränderten Datei und bei einer schlichten Kopie las das Prüfwerkzeug die Marke sauber aus, Zustand gültig. Beim neuen Abspeichern als JPEG in Qualität 80 war sie weg. Beim Verkleinern auf 1080 Pixel weg. Beim Zuschneiden, beim Bildschirmfoto, beim Umwandeln in PNG, beim Entfernen der Metadaten: jedes Mal dieselbe Meldung, keine Daten gefunden. Kein Werkzeug, kein Wissen, keine Absicht nötig.
Der Standard nennt die Lücke in seinem eigenen Text
Das ist kein Fehler in der Umsetzung, sondern eine Eigenschaft des Verfahrens. Die Sicherheitsbetrachtung der C2PA-Spezifikation sagt in ihrer Fassung 2.4 selbst, dass der Standard keinerlei Schutz gegen die vollständige Entfernung eines Manifests aus einer Datei bietet. Als Bedrohungsszenario steht dort ausdrücklich der Fall, dass jemand ein Bild von einer Plattform lädt, die Kennzeichnung abstreift und es neu veröffentlicht.
Der Standard schützt davor, dass jemand ein gekennzeichnetes Bild unbemerkt verändert. Er schützt nicht davor, dass die Kennzeichnung ganz verschwindet.
Ein Teil der Messung zeigt die starke Seite. Ich habe in der signierten Datei ein paar Bildbytes verändert und das Manifest drin gelassen. Das Prüfwerkzeug fand die Marke und meldete sie als ungültig. Solange das Manifest also in der Datei bleibt, fällt jede Manipulation am Bild auf. Nur überlebt es eben kaum etwas.
Neben der Marke liegt bei manchen Anbietern ein Wasserzeichen
Was ich gemessen habe, ist die sichtbare Hälfte der Kennzeichnung, also jene, die in der Datei steht und die jeder mit einem freien Werkzeug nachlesen kann. Daneben setzen einige Anbieter ein unsichtbares Wasserzeichen in die Bildpunkte selbst, das Kompression und Zuschnitt eine Weile übersteht. Ob dieses Wasserzeichen Kompression und Zuschnitt übersteht, lässt sich nur mit Bildern aus den Diensten selbst messen und deren eigene Prüfwerkzeuge. Nur ist dieses Wasserzeichen kein gemeinsamer Standard, nicht jeder Anbieter setzt es, und nachlesen kann es außerhalb des jeweiligen Hauses ohnehin niemand.
Für den Alltag heißt das etwas Unbequemes. Wenn dir jemand ein Bild schickt und dein Prüfwerkzeug keine Kennzeichnung findet, hast du damit nichts erfahren. Das Bild kann echt sein, es kann aus einer KI stammen und sechsmal weitergereicht worden sein. Die Abwesenheit einer Marke ist kein Beleg. Verlassen kannst du dich nur auf den umgekehrten Fall: Wenn eine gültige Kennzeichnung da ist, stimmt sie auch. Das ist weniger, als die Verordnung verspricht, und mehr als gar nichts.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 50 Absatz 2, Amtsblatt der EU · abgerufen am 31.08.2026
- C2PA Specification 2.4, Security Considerations, Abschnitt 4.3.1.1 Stripping C2PA Manifests · abgerufen am 31.08.2026
- Eigene Messung mit c2pa-python 0.90.15, Protokoll in der Redaktion · abgerufen am 31.08.2026
Selbst getestet und geprüft von Phil zuletzt am 31. August 2026
