Glossareintrag
Wir denken. KI tippt mit.
C2PA ist ein offener Industriestandard, der die Herkunft einer Datei kryptografisch beglaubigt. Er hängt an ein Bild, ein Video, eine Tonaufnahme oder ein Dokument einen signierten Herkunftsnachweis. Darin steht, wer die Datei erzeugt hat, mit welchem Gerät oder Programm, wann das geschah, welche Bearbeitungen folgten und ob eine KI beteiligt war. Diese signierten Angaben heißen Content Credentials. Seit Version 1.4 steht der Name auch über der Spezifikation selbst.
Ein kleines Symbol in Form einer Stecknadel mit den Buchstaben „cr“ weist auf vorhandene Angaben hin, ein Klick darauf öffnet die Historie. Jede Datei lässt sich außerdem kostenlos auf der offiziellen Prüfseite Content Credentials Verify der Content Authenticity Initiative nachschlagen.
Der C2PA-Standard unterscheidet sich vom KI-Wasserzeichen durch den Ort der Information. Ein Wasserzeichen steckt im Inhalt selbst, in der Wortwahl eines Textes oder in den Pixeln eines Bildes. Content Credentials hängen als Metadaten an der Datei. Ein Screenshot lässt sie deshalb verschwinden, und viele Plattformen werfen sie beim Hochladen weg.
Hinter dem Kürzel steht die Coalition for Content Provenance and Authenticity. Adobe, Arm, die BBC, Intel, Microsoft und Truepic haben sie im Februar 2021 gegründet, heute läuft sie als Projekt der Joint Development Foundation.
Ein Content Credential besteht aus wenigen Bausteinen, die aufeinander aufbauen.
Damit die Angaben nicht an eine beliebige Datei wandern, verknüpft der Standard sie fest mit dem Inhalt. Das Hard Binding ist eine Prüfsumme über die Bytes der Datei. Verändert jemand ein Pixel, passt der Hash nicht mehr und die Prüfung schlägt an. Das Soft Binding arbeitet gröber und dafür haltbarer. Es nutzt einen Fingerabdruck des Inhalts oder ein unsichtbares Wasserzeichen. Ein Soft Binding hält auch dann, wenn die Datei neu komprimiert oder in einer anderen Auflösung ausgespielt wird.
Der Manifest Store steckt meist direkt in der Datei, bei JPEG in einem eigenen Markersegment, bei PNG in einem privaten Datenblock. Möglich sind außerdem eine Begleitdatei mit der Endung .c2pa und ein Verweis auf ein Manifest im Netz. Die C2PA-Spezifikation in Version 2.4 listet dafür rund zwei Dutzend Formate auf, von JPEG, PNG, MP4 und WAV über PDF und EPUB bis zu HTML und Quelltextdateien. Die Signatur nutzt X.509-Zertifikate, also dieselbe Technik, die auch hinter dem Schloss-Symbol im Browser steckt. Welche Zertifikatsstellen anerkannt sind, regelt die C2PA Trust List.
Beim Prüfen einer Datei gibt es drei mögliche Ergebnisse.
Die C2PA warnt in ihrem Explainer zu Content Credentials selbst davor, Inhalte ohne solche Angaben pauschal für weniger vertrauenswürdig zu halten. Genauso wenig belegt eine gültige Signatur, dass eine Aussage stimmt. Sie belegt die Herkunft, nicht den Wahrheitsgehalt. Ein einwandfrei signiertes Foto kann eine irreführende Bildunterschrift tragen.
Die größte Schwäche steht im eigenen Dokument der C2PA zu den Sicherheitsüberlegungen. C2PA schützt nicht gegen das vollständige Entfernen eines Manifests. Metadaten zu löschen, gehört zum Alltagsrepertoire jedes Bildwerkzeugs. Auch OpenAI gesteht auf seiner Seite zu Herkunftssignalen in KI-Inhalten ein, dass Plattformen, Bearbeitungswerkzeuge und Dateikonvertierungen die Angaben entfernen. Bei einem Screenshot wandern nur die Pixel weiter, die Angaben bleiben zurück.
An dieser Stelle setzen die Durable Content Credentials an. Der Anbieter kombiniert das Manifest mit einem unsichtbaren Wasserzeichen und einem Fingerabdruck des Inhalts. Geht die Datei-Beilage verloren, findet ein Prüfdienst die Angaben über dieses Signal in einer Datenbank wieder. Adobe hat sein Wasserzeichenverfahren TrustMark dafür als Open Source veröffentlicht. Die Rettung funktioniert allerdings nur, wenn eine Kopie des Manifests in der Cloud liegt. Ohne diesen Eintrag ist nach dem Screenshot nichts mehr da.
Version 2.4 der Spezifikation stammt von April 2026 und bringt unter anderem eine eigene Assertion für KI‑Transparenz. Version 2.3 hatte Ende 2025 Live-Video ergänzt. Eine ISO-Norm entsteht parallel unter der Nummer ISO 22144 Authenticity of information, Content credentials. Das Dokument steckt aber noch im Entwurfsstadium. Wer wissen will, ob ein Produkt den Standard korrekt umsetzt, findet über das Konformitätsprogramm der C2PA die Liste der geprüften Programme und Geräte. Am 11. September 2026 standen dort 201 Einträge. Im Lenkungsgremium sitzen elf Organisationen, darunter Adobe, Amazon, die BBC, Google, Meta, Microsoft, OpenAI, Sony und TikTok.
Wie viel eine Signatur wert ist, entscheidet die Umsetzung. Der Fall der Nikon Z6 III führt das vor. Am 27. August 2025 lieferte Nikon die C2PA-Funktion per Firmware aus. Wenige Tage später schleuste der Fotograf Adam Horshack über den Mehrfachbelichtungs-Modus ein fremdes, KI-erzeugtes Bild ein und ließ es von der Kamera gültig signieren. Nikon schaltete die Funktion am 5. September ab und kündigte am 21. September an, alle bis dahin ausgestellten Zertifikate zu widerrufen. PetaPixel arbeitete am Nikon-Fall heraus, dass der Hersteller das Problem nicht allein lösen kann, weil auch die Prüfprogramme widerrufene Zertifikate erkennen müssten.
Eine Sicherheitsanalyse von Forschern der Universität Maryland, Baltimore County, von Hacker Factor und der NSA vom April 2026 nennt weitere Lücken. Der Zeitstempel wird von den signierten Daten nicht mitgeschützt und lässt sich austauschen. Die Prüfung auf widerrufene Zertifikate ist im Standard ausdrücklich freiwillig, weshalb Adobes Prüfwerkzeug ein widerrufenes Nikon-Zertifikat noch Monate später akzeptierte. Verschiedene Prüfprogramme bewerten dieselbe Datei unterschiedlich. Teile einer Datei lassen sich zudem unbemerkt ändern, weil die Prüfsumme Bereiche aussparen darf. Das Team führt das an einer nachträglich verschobenen Standortangabe eines Pixel 10 Pro vor. Es hält den Standard für Anwendungen mit hohem Einsatz wie Journalismus, Finanzangaben oder Gerichtsbeweise bisher nicht für belastbar. Die Analyse deckt die Versionen 2.2 bis 2.4 ab, und die aktuelle Fassung vom April 2026 geht laut den Autoren auf keinen ihrer Kritikpunkte ein.
Die C2PA benennt die Kehrseite in ihrem Dokument zu möglichen Schäden selbst. Programme können automatisch Angaben ins Manifest schreiben, die sensibel sind, und das Verfahren lässt sich zur Überwachung missbrauchen. Personenbezogene Angaben sind deshalb optional, der Kern der Spezifikation ordnet Inhalte keiner Person zu.
Artikel 50 des EU AI Act verlangt seit dem 2. August 2026 von den Anbietern generativer KI, ihre Ausgaben maschinenlesbar zu kennzeichnen. Für Systeme, die vor diesem Stichtag auf dem Markt waren, läuft die Frist bis zum 2. Dezember 2026. C2PA wird in den EU-Dokumenten nirgends beim Namen genannt, weder in den Leitlinien der Kommission noch im Verhaltenskodex. Der Verhaltenskodex zur Transparenz KI-erzeugter Inhalte beschreibt die Technik aber so, wie C2PA sie umsetzt, nämlich als digital signierte und mit Zeitstempel versehene Metadaten, ergänzt um ein unsichtbares Wasserzeichen. Rund 190 Unternehmen und Organisationen hatten ihn bis Ende Juli 2026 unterzeichnet.
Wer heute mit KI ein Bild erzeugt, verschickt Content Credentials mit, ohne etwas dafür zu tun. ChatGPT hängt sie an erzeugte Bilder. Dazu kommt das unsichtbare Wasserzeichen SynthID von Google DeepMind. Adobe Firefly setzt sie automatisch, sobald ein Bild vollständig generiert ist. Microsoft schreibt sie in Bing Image Creator, Copilot und Azure OpenAI, Google bei Gemini-Bildern. Das Motiv für die Leistungsseite oder den Instagram-Beitrag bringt seinen Herkunftsnachweis also schon mit, bevor es auf Ihrem Rechner landet. Was OpenAI einbettet, steht in unserem Artikel zu ChatGPT Images 2.5.
Selbst signieren muss ein Betrieb nichts. Die Pflicht zur maschinenlesbaren Kennzeichnung aus Artikel 50 des EU AI Act trifft die Anbieter der KI-Systeme, also OpenAI, Adobe oder Google. Als Nutzer sind Sie Betreiber, und für Betreiber gilt eine andere, engere Pflicht. Offenlegen müssen Sie Deepfakes, also täuschend echt wirkende Darstellungen realer Personen, Gegenstände, Orte oder Ereignisse.
Die Leitlinien der EU-Kommission nennen Beispiele, die sich auf ein Unternehmen übertragen lassen. Ein KI-Video mit einem realistischen Avatar Ihres Chefs, der der Belegschaft zum Jahresergebnis gratuliert, ist ein Deepfake. Ein KI-Produktbild, das über Aussehen oder Eigenschaften des echten Produkts täuscht, ebenfalls. Eine erkennbar fantastische Bildidee dagegen nicht, und auch ein reales Produkt vor einem KI-Hintergrund bleibt draußen, solange niemand getäuscht wird. Die Einordnung der Handwerkskammer Trier zur Kennzeichnungspflicht nennt als typischen Fall das fotorealistische Bild einer Werkstatt, die es so gar nicht gibt. Die IHK Köln hält für die Form eine Bildunterschrift oder einen Hinweis in der Bildbeschreibung für ausreichend.
Content Credentials prüfen können Sie kostenlos, drei Wege reichen im Alltag.
Rechnen Sie beim Prüfen mit einem leeren Ergebnis. Eine Meldung ohne Fundstelle heißt nicht, dass ein Foto echt ist, und ein fehlender Nachweis ist kein Beweis für eine Fälschung. Nur der umgekehrte Fall ist belastbar, also vorhandene und gültige Angaben.
Auf der eigenen Website gehen die Daten meist verloren. WordPress liest beim Hochladen zwar EXIF- und IPTC-Felder, mit C2PA-Manifesten kann es aber nichts anfangen. Jede erzeugte Vorschaugröße, jede Umwandlung nach WebP und jeder Bilddienst, der Fotos unterwegs verkleinert, wirft den Herkunftsnachweis heraus. Cloudflare bietet dafür seit Anfang 2025 einen Schalter, der Content Credentials bei der Bildoptimierung erhält. Ohne ihn verwirft der Dienst sie. Planen Sie also nicht damit, dass der Nachweis bis zum Besucher übersteht.
Der Standard hilft trotzdem, und zwar in der Gegenrichtung. Prüfen Sie zugeliefertes Material, bevor Sie es veröffentlichen. Bei Fotos von Herstellern, Lieferanten oder einer Agentur zeigt das Manifest, ob eine Aufnahme aus der Kamera stammt oder aus einem Bildgenerator. Das entscheidet darüber, ob Sie ein Referenzfoto als eigene Arbeit zeigen dürfen oder es kennzeichnen müssen.
Bei den Kameras signieren bislang wenige Geräte ab Werk. Leica macht es seit der M11-P, Google seit dem Pixel 10 bei jedem Foto der Kamera-App. Sony verkauft die nötige Lizenz bislang nur an Nachrichtenorganisationen. Canon startete sein System im Mai 2026 zunächst für Redaktionen in Europa, Nahost und Afrika. Ein Handwerksbetrieb, der Baustellen- und Schadensfotos für Gutachten oder Versicherungen dokumentiert, bekommt mit einem Pixel-10-Telefon also einen signierten Zeitpunkt frei Haus. Der Nachweis hält aber nur, solange die Originaldatei den Weg geht. Sobald das Foto durch einen Messenger läuft oder jemand einen Screenshot davon macht, ist er weg. Verschicken Sie solche Belege deshalb als Dateianhang, nicht im Chat.
Für Texte ändert sich vorerst nichts. Content Credentials sind auf Dateien ausgelegt, ein Angebot oder ein Blogtext bekommen keine. Bei Texten arbeiten die Anbieter mit statistischen Wasserzeichen, wie sie unser Artikel Claude Wasserzeichen 2026 beschreibt.
