(Nicht-)KI-Bilder kennzeichnen bzw. erkennen: Content Credentials, SynthID & EU-AI-Icons

Wie muss man (oder sollte man) KI-generierten (oder durch KI veränderten) Content kennzeichnen?

Woran erkennt man als Laie, ob bspw. ein Bild KI-generiert ist – oder ob es ein echtes Foto ist?

Als Laie, auf den ersten Blick, erkennt man KI-Assets fast gar nicht, auch weil die Bild-/Videogeneratoren immer besser werden. Auch als Profi wird es schwer, denken wir nur an Fraud durch KI-manipulierte Fotos und Videos.

Was es gibt: Es gibt Technologien, die für Transparenz sorgt – auf freiwilliger Basis und per EU AI Act-Regularien.

Da sind wir beim Thema „Wir als Firma markieren unsere (Nicht-)KI-Bilder (halbwegs) freiwillig, weil unsere Marke für Transparenz und Fairness steht.“

In diesem Artikel geht es um drei Ansätze:

• Sichtbare „baked in“ Overlays, wie die EU-AI-Icons, also einfach Icons bzw. Text, der gut sichtbar in bspw. Bilder und Videos integriert wird. Dieser Low-Tech-Ansatz ist pragmatisch und sinnvoll, denn nur diese Kennzeichnung ist nicht einfach entfernbar (außer durch Cropping).
• Ins Asset eingebettete Informationen wie „cr“ (vgl. Artikelbild), also „Content Credentials“, die dann von einer Anzeigesoftware ausgelesen und als Overlay eingeblendet werden. „cr“-Daten werden von Fremdsoftware überschrieben, was noch nicht mal böse Absicht ist.
• SynthID von Google (ist aber Open Source), als verstecktes Wasserzeichen, was allerdings nicht robust funktioniert.

Die EU-KI-Icons

Die EU favorisiert eine banale und deswegen robuste Lösung, nämlich das „Einbrennen“ von Icons.

Hier findest du die „offiziellen“ KI-Icons (PNG & SVG) der EU mit Anleitung: https://digital-strategy.ec.europa.eu/en/policies/eu-icons-labelling-ai-generated-content

Das Basis-Element ist „AI“, als eine von vier Varianten als weißer Text in einem schwarzen Kreis. Das ist clever, denn diese Variante „steht“ auf jedem Hintergrund.

Man muss die EU-Icons nicht nutzen, man kann auch was Eigenes designen. Mit dem Kürzel „AI“ bist du safe. Es ist denkbar, dass „KI“ im deutschsprachigen Raum, „IA“ im frankophonen Raum, „ΤΝ“ in den griechischsprachigen Ländern oder „ИИ“ in Bulgarien nicht beanstandet wird, aber garantieren wird dir das niemand. In diesem Artikel gibt’s ohnehin keine Rechtsberatung, denn dafür gibt es (Fach-)Juristen. Der „gesunde Menschenverstand“ (Wie würde ein Richter entscheiden?) ist allerdings erstmal kein ganz schlechter Frühindikator.
Eigentlich haben wir in der EU ungefähr 28 Sprachen (in denen auch fast alle Richtlinien etc. veröffentlicht werden, damit sie in nationale Gesetzgebung überführt werden können), aber die KI-Abteilung der EU ist bei den Icons „English-only“ und denkt nicht über die Folgen auf Otto Normalverbraucher bzw. John Doe oder Jean Dupont nach.

Das Basis-Element reicht aber nicht! Du musst es ergänzen um:

• „generated“, also „AI generated„, wenn das komplette Asset KI-generiert wurde
• „modified“, also „AI modified„, wenn ein Teil verändert wurde, also bspw. ein Face Swap (den man auch mit Photoshop machen könnte) oder ein KI-Hintergrund
• „{element} generated by AI“ um Deep Fakes zu kennzeichnen, also bspw. „Voice generated by AI“
• Dran denken: Die AI-Kennzeichnung auch in den ALT-Text bzw. in Aria-Label packen!
• Das Icon draufknallen entbindet einen nicht von (anderen) rechtlichen Pflichten.
• Und zur Sicherheit: Die EU-Icons sind keine Vorschrift! Du kannst machen was du willst. Beispiel: Aldi Süd schreibt in Prospektbildern einfach in der Hausschriftart „Hintergrund KI-generiert“ rein, was a) sehr gut verständlich ist (Deutsch! Natürliche Sprache!) und b) nicht übermäßig stört. Und ehrlich gesagt: Mich als Verbraucher stört es null, wenn eine generische Küchenarbeitsplatte nicht aus dem Studio kommt, sondern aus der Bildgenerierungs-KI.

(Leichte) Ausnahmen für die Kennzeichnungspflicht gibt’s auch, bspw. für Satire-Content, bei dem der Fake so drüber ist, dass er offensichtlich ist. Aber es ist eine Wischi-Waschi-Regel, und die schafft Rechtsunsicherheit.

Content Credentials: Komplex

Mit „cr“ kann man KI-Bilder, NICHT-KI-Bilder und Composings aus Beidem markieren. Da die Kennzeichnung „verlierbar“ ist, eignet sie sich aktuell nur bedingt.

Das „cr“ Logo sagt übrigens nicht, woher das Medium kommt. Es sagt nur, dass man auf das Logo klicken kann, um in die Metadaten zu schauen.
Verwirrend:
Bei LinkedIn sieht man „cr“ meist an KI-generierten Bildern.
Meta hingegen macht bald einen Roll-out auf Instagram, wo das cr-Logo „echte Fotos“ kennzeichnen wird (die bspw. mit einem Google Pixel 10 aufgenommen wurden. Andere Anbieter werden sofort nachziehen müssen).

Was ist „cr“ eigentlich? „cr“ sind Daten, die verschlüsselt in Medien eingebettet werden. Manche (= wenige) Kameras bauen cr-Daten in Bilder ein, u.a. Nikon, Leica und Google Pixel. Nach einer Bearbeitung eines Bildes können die Daten verschwinden, weswegen das bspw. Bild nach der Bearbeitung neu „signiert“ werden muss; Photoshop kann das und mit etwas Coding kann es jede App (was aber ein kostenpflichtiges Zertifikat erfordert.
SynthID ist hingegen eine Art „Wasserzeichen“, das so robust ist, dass es angeblich auch Resizing oder Screenshots „überlebt“. Google nutzt neben „cr“ zusätzlich SynthID, um KI-generierte Bilder (oder Videos oder Sprache oder sogar Texte) unsichtbar zu taggen. OpenAI und andere werden’s wohl auch bald nutzen. Zur Erkennnung gibt’s von Google eine „AI Content Detection API.

tl;dr:

• „cr“ kann man als Kamera- und Softwarehersteller, als Medium und als User nutzen um bspw.:
  • „Echte“ Fotos zu signieren und damit zu erkennen
  • KI-generierte Medien zu signieren und damit zu erkennen
  • Bearbeitungsschritte und Bildbestandteile nachzuvollziehen, wie ein Composing aus einem echten Foto mit einem KI-Hintergrund (inklusive Informationen zu den Urhebern)
  • Nachteil: „cr“-Daten sind i.d.R. löschbar, sie können (wenn sie nur in der Datei eingebettet sind) wie andere Meta-Daten auch „gestrippt“ werden.
• SynthID kann man nutzen, um KI-Bilder dauerhaft als solche unsichtbar zu taggen. Das werden natürlich nur seriöse Anbieter machen. Richtig robust funktioniert es indes nicht.
• Perspektivisch: Wenn Bilder (oder Videos) KEINE cr-Daten und KEIN Wasserzeichen haben, werden die Plattformen (Google, Meta, LinkedIn, News-Seiten…) Zweifel an der Herkunft der Bilder (oder Videos) haben. Diese Zweifel können dazu führen, dass die Inhalte unter KI-Verdacht geraten.

Das ist cr

„cr“ ist eine Kennzeichnung für visuellen Content. contentcredentials.org der Organisation „Content Authenticity Initiative“ bietet das an, und u.a. das KI-Bildgenerierungs-Tool Bria nutzt es, OpenAI (ChatGPT) auch, oder Adobe Firefly (und sogar wenn du innerhalb von Photoshop „Bild generieren“ mittels Firefly nutzt).
Google (Nano Banana) ist nicht dabei.
Adobe macht mit allen Tools mit, bei den Kameraherstellern sind Leica (M11-P) und Nikon (Z9) am Start, zusammen mit Google Pixel (10).

Zu SynthID kommt später mehr.

Die Technik hinter cr

Mit cr werden kryptographisch gehashte / signierte Informationen bzw. Meta-Daten in die Bilddatei eingebettet (oder in die [Adobe-]Cloud hochgeladen [inklusive URL – diese wird in die Datei integriert] oder als .c2pa Zusatzdatei „beigelegt“):
Mit diesen Informationen kann man erkennen, ob das Bild von einer KI kommt (oder mit KI bearbeitet wurde), oder ob es ein echtes Foto ist, mit einem (oder mehreren) zu nennenden Urheber(n) – oder beides.

In der Welt der Content Authenticity Initiative nennen sich diese Meta-Daten „Manifest“, die in der Mediendatei gesammelt (oder in einer externen Datei) in einem „Manifest Store“ abgelegt werden.

Das Konzept ähnelt ein wenig den bekannten EXIF-Daten, die in Digitalfotos stecken, allerdings massiv aufgebohrt.

• EXIF-Daten sind einfach einseh- und manipulierbar
• Content Credentials hingegen sind kryptographisch verschlüsselt, und nicht so einfach auslesbar
• cr ersetzt die guten alten EXIF-Daten nicht; cr sind zusätzliche Daten mit wenig Daten-Überschneidungen.

Das größte Problem an cr – und die simple Lösung:

• Der Support der Bildanzeigesoftware-Anbieter bzw. Plattformen ist außerhalb der Adobe-Welt mau
• cr-Daten werden im Rahmen der Bildbearbeitung oft gelöscht, bspw. wenn man ein KI-Bild in Canva reinlädt und exportiert, oder mit einem Bildbetrachter umspeichert, oder wenn ein Web-CMS (oder ein Social-Media-Anbieter) ein hochgeladenes PNG in webp konvertiert. Das wird sich künftig garantiert ändern, aber Altsoftware wird es nie beherrschen. Technisch gesehen muss nämlich das Bild quasi „neu signiert“ werden, dazu gleich mehr.
• Die banalste Methode ist und bleibt also aktuell: den Bildurhebernamen hart ins Bild reinphotoshoppen. Beispiel. Schau mal ins Aldi-Prospekt, da findest du einige Bilder mit „KI-generiert“ Beschriftung. Oder du nimmst die EU-Icons.
• Zusätzlich empfiehlt es sich, KI-generierte „Originalbilder“ zu archivieren. Wenn irgendwann irgendwer mal dumm fragt, was es mit dem Bild auf sich hat, kann man das Original rauskramen und hat die (Meta-)Daten parat.
  Denke dabei auch an künftige Gesetzes- und/oder Technologieänderungen. Sollten die Tools und Plattformen durchgängig cr-Daten durchreichen, kann es sein, dass ein Re-Upload deiner Assets nötig wird. Das ist natürlich ein Horrorszenario das nicht eintreten muss.

Mit cr Bilder überprüfen

Die Verifikation eines Bildes ist einfach, entweder über die Website oder über ein Anhängsel an die URL, wie in diesem Beispiel – hinter source= kommt die URL des prüfenden Mediums.

https://contentcredentials.org/verify?source=https://www.testwebsite.com/test.jpg

Von Adobe gibt es ein (Chromium-)Plugin für den Chrome-Browser: Adobe Content Authenticity

So sieht ein cr-Prüfergebnis aus:

So funktioniert’s:

• Der KI-Bild-Generator (bzw. die Kamera oder die Bildbearbeitungssoftware) baut
  a) ein signiertes Code-Snippet in die Bilddatei ein (oder lädt es in eine Cloud hoch) (oder beides) (oder legt es bei). Im Sonderfall Video werden zusätzlich Anfangs- und Endframe definiert.
  b) einen – wenn es das Anzeigeprogramm unterstützt – klickbaren Button ins Bild ein, den siehst du oben (und hast ihn vielleicht schon mal bei LinkedIn-Posts gesehen): Das ist das „cr“ Signet („Content Credentials pin“). Es „gehört“ der Coalition for Content Provenance and Authenticity (C2PA) .
• Das Bildformat ist „relativ“ egal: Bria und ChatGPT bauen das cr in PNG-Dateien ein, Adobe Lightroom kann es nur in JPGs integrieren. Photoshop beherrscht PNG und JPG. Adobe Premiere Pro bietet cr für Audio- und Videodateien an (u.a. MP3, MP4, MOV, AVI), und zusätzlich für TIFFs. Das Dateiformat ist also erstmal kein Indikator.
• Beim Klick auf den Pin öffnet sich die Website contentcredentials.org. Allerdings muss die Website die Anzeige des Pins unterstützen (da wird es dünn; bspw. LinkedIn – da hab ich es selbst schon gesehen – und Behance können es schon; es werden sicher noch viele Websites dazukommmen).
• Auch wenn du das Original-Bild bei contentcredentials.org hochlädst, werden die Daten ausgelesen.
• Dort werden die weiteren Informationen zum KI-Bild aufgerufen:
  • „Dieses Bild wurde mit einem KI-Tool generiert“
  • Verwendete Applikation: Bria Ai
  • Verwendetes KI-Tool: Bria AI
  • Aktion: „Erstellt“ (also nicht bearbeitet)
  • Eine Bearbeitungs-History wird ebenfalls angelegt
  • In diesen Daten können auch Urheber drinstehen, was zum Tracking der Urheberschaft natürlich genial ist
• Wenn du Fotograf oder Digital Artist bist, kannst du bspw. mit Lightroom natürlich für dich relevante Infos ins Bild einbetten, bspw.:
  • „Producer“, also dein Name.
  • Social-Media-Accounts verlinken: bspw. Behance, Instagram, LinkedIn, X
  • Welche Software(s) daran beteiligt waren
  • GGf. Herkunft von Bildbestandteilen
  • GGf. Bearbeitungsschritte
  • GGf. Kameramodell
  • KI-Opt-out: „Dieses Foto darf nicht zum Training von KIs verwendet werden“
• Allerdings gehen die Credentials verloren, wenn:
  • Du die Datei mit einem anderen Programmm umspeicherst / neu abspeicherst
  • Dein Content Management System hochgeladene Bilder (bspw. PNGs) in bspw. WebP umwandelt, bspw. wie hier WordPress
  • Wer möchte, dass Credentials „unverlierbar“ in der Datei gespeichert werden, als „Durable Content Credentials“, muss zusätzlich digitale Wasserzeichen (bspw. von Anbietern wie Digimarc, ATSC, Adobe Trustmark etc.) oder Fingerprinting (bspw. von Adobe pder Digicaps) nutzen.
    Das nennt sich dann „Soft Binding“. Dabei bekommt das Asset erstens ein Wasserzeichen (das auch bei Screenshots, Konvertierungen und Metadaten-Löschungen bestehen bleibt) und zweitens eine zugehörige Metadaten-Datei, die auf einem Server liegt. Über eine API kann dann abgeglichen werden, ob es zum Wasserzeichen oder Fingerprint eine cr-Datei gibt (und was drinsteht).
    Hier klicken für mehr Infos.
• Und die Credentials werden auch für banale Bearbeitungen hinzugefügt. Beispiel: Du lässt dir ein Bild von der KI freistellen. Der KI-Anbieter kann dann ein CR-Snippet ins Bild einfügen. Dein Bild gilt damit als KI-bearbeitet. Über Sinn und Unsinn kann man streiten.

Achtung: Ganz robust funktioniert das alles nicht

Beispiel: Ich habe ein mit ChatGPT generiertes Bild bei Bria hochgeladen und dort bearbeitet. Das ChatGPT-Bild hatte Credentials. Bria hat bei der Bearbeitung – Inpainting, also das zusätzliche hinzufügen von Bildinhalten – die Credentials gelöscht und mit eigenen Bria-Credentials überschrieben. Die Credential-Implementierungen bei den Anbietern sind also nicht kompatibel.

Beim umgekehrten Weg – ein Bild von Bria mit ChatGPT bearbeiten – werden die Credentials ebenfalls überschrieben.

Bild 1: Die Credentials von OpenAI – sieht gut aus (OpenAI legt sogar 2 Credentials an, für die Erstellung und fürs Editing)

Bild 2, nach der Bearbeitung mit Bria (oben im Bild hängt ein zusätzliches Bild an der Wand) – nur das Bria-Credential ist da

Content Credentials Support „nachrüsten“

Mal angenommen, du hast ein eigenes Bildbearbeitungs- oder Social-Media-Management-Tool, das Content Credentials nicht unterstützt. Kann man die Unterstützung nachrüsten? Ja.

Aber 1: Content Credentials müssen kryptografisch mit einem privaten Schlüssel signiert werden. Das geht u.a. mit der offiziellen Bibliothek c2pa-node. Mit dieser kann man für ein Asset ein neues „Manifest“ erstellen. Dieses wird mit einem (teuer zu kaufenden) Zertifikat (deiner Firma) signiert, womit es hart gecodet Teil der Datei wird.

Aber 2: Du willst natürlich die cr-Daten aller Assets eines Layouts durchreichen. Also müssen zuerst die Quell-Manifeste der Dateien ausgelesen werden, bspw mit c2pa-js. Diese Daten, also bspw. von KI-Bildern, sollte man dann in einer Datenbank speichern, mit Zuordnung zum Originalbild. Für Assets ohne cr-Daten muss man die Daten selbst erfassen („Self Assertion“). Beim Export eines Layouts, das aus mehreren (KI-)Bildern besteht, wird dann ein neues Manifest generiert. Es werden also nicht die „alten“ cr-Daten zusammengepuzzelt, sondern es wird eine aktualisierte Historie mit „Stammbaum“ in die Datei geschrieben.

Also: Content Credentials in Dateien lassen sich extrem einfach kaputtmachen und extrem schwer sichern und erweitern. Aber: Es geht. Trotzdem bleibt das Problem, dass die weitere Nutzungskette der Assets immer noch die cr-Daten löschen kann, wie bspw. WordPress-Plugins, CDNs bzw. DAMs mit Resizing-Tools, Plattformen etc.. Hinzu kommt der menschliche Faktor: Wenn ein Kollege ein Bild mit cr nimmt und es mit bspw. MS Paint „bearbeitet“ und es dann wieder auf dem Server ablegt, sind die Daten auch futsch.

Für die Signierung gibt es kommerzielle Full-Service-Anbieter, bspw. DigiCert Content Trust Manager oder EZDRM für Videos.
Ein Zertifikatanbieter ist u.a. GlobalSign, wo man ein „PersonalSign 2 Department“ Zertifikat für ca. 200 Euro im Jahr zzgl. USt. abonnieren kann; das ist eine Empfehlung (2025) der IPCT aus einem PDF. Für „gratis“ gibt’s (aktuell) nix.

KI-Bild-Erkennung mit Gemini

Gemini „kann“ KI-Bilder „erkennen“. Über ein Angebot namens „Verify AI“. Also manche. Also nur die, die ein eindeutiges „SynthID“ Wasserzeichen und/oder cr-Daten enthalten.

Beides lässt sich umgehen!

Zuerst kommt ein „Geht-nicht“-Beispiel, danach ein „Funktioniert“-Beispiel.

Hier ist ein Geht-nicht-Beispiel:

Ich habe ein mit Bria erstelltes „Ölgemälde“ in Gemini hochgeladen, mit der Frage „Is this AI-generated“. Das Bild hat im Original cr-Daten. Ich habe das Bild aber vorher um alle Metadaten gestrippt (was Bildbearbeitungstools so machen; ich habe ein „Eigenes“ auf React-Konva-Basis).

Die Antwort von Gemini: „Keine Ahnung ob das Bild KI ist, aber“.

Wenn man das „Original“-Bild von Bria nimmt – es enthält C2PA-Metadaten – erkennt Gemini diese zwar, kann sie aber (noch) nicht ordentlich auslesen.

Das „offizielle“ Tool der Content Authority (https://verify.contentauthenticity.org/) erkennt natürlich die C2PA-Daten im Originalbild (im „gestrippten“ Bild wird nichts erkannt):

Hier ist nun das „Funktioniert teilweise“-Beispiel.

Dieses Foto habe ich mit Nano Banana Pro erstellen lassen (Gemini 3 Pro Image Preview), also der „teuren“ Variante. Es soll ein Moodboard mit „stylischen Pressefotografen“ sein (in der Realität gibt es keine stylischen Pressefotografen, you know what I mean). Man sieht relativ schnell, dass es KI ist (der Typ links mit den zwei Kameras übereinander…).

Das Beispiel ist tricky, da Nano Banana a) Bilder generiert und b) diese zu einem Layout zusammenfügt.

Kollege Gemini ist sich hier sicher:

„Die Bilddatei enthält sichere Datensätze, die darauf hinweisen, dass diese Medieninhalte von Google LLC vollständig mit KI erstellt und mit KI-Tools von Google Media Processing Services bearbeitet wurden.

Diese Art von Datensätzen wird als C2PA-Herkunftsdaten (Content Credentials) bezeichnet, welche die Herkunft und den Verlauf des Inhalts sicher in der Datei einbetten.“

Heißt: Google erkennt hier C2PA-Daten, spricht aber nicht über SynthID. Verdächtig!

Auch das C2PA-Tool erkennt die Daten:

Und wie sieht es mit Bildausschnitten aus? Hier sind ja die C2PA-Daten entfernt. Nehmen wir mal den Mann mit der Batschkapp (bzw. eher Baskenmütze):

Ergebnis:

Das Google SynthID-Fingerprinting / Watermarking funktioniert NICHT. Es ist nicht robust genug für Bildausschnitte, oder in Nano Banana Pro nicht sauber implementiert.

Ein anderer Bildausschnitt wird ebenfalls nicht erkannt:

Hier sehe ich jedoch als Mensch, dass die Kamera sehr eigenartig aussieht; das Objektiv ist ein wenig unrund. „Verhauene“ Geometrien sind also Indikatoren für KI (oder andere Nachbearbeitungen; man kann sich ja auch per Photoshop, Gimp, Affinity & Co. was zusammenmurksen).

Heißt: Es gibt keine absolut sichere KI-Bild-Erkennung.

Fazit: Steht noch am Anfang

Rückverfolgbarkeit bzw. Herkunftsnachweise von Bildern sind eine super Sache. Man wird sich hier eventuell langfristig umstellen müssen:

• Zertifizierte Bilder können vom User (oder von Software, Browsern…) als „echt“ oder „KI-lastig“ verifiziert werden.
• Bilder ohne Zertifikat (oder Wasserzeichen) könnten automatisch Misstrauen wecken (oder von Software bzw. Browsern abgelehnt werden)
• Für EU-AI-Act-Compliance sind Overlays, also Icons o.ä., erste Wahl
• „Dunkle Mächte“ werden sich einen feuchten Kehrricht um das alles scheren und natürlich, wenn möglich, KI-generierte Fake News nicht kennzeichnen. Und ich würde auch ein oder zwei Euro darauf wetten, dass wir in Zukunft nicht von hirnerweichender KI-generierter Werbung für Nonsensprodukte auf YouTube und Zeitungswebsites verschont werden.

Man wird die weitere Entwicklung abwarten müssen. Grundsätzlich sind Kennzeichnungen eine sehr gute Idee. Letztlich wird es auf eine Kombination rauslaufen, da Gesetzgeber und Plattformen anders ticken.

Kontakt

Welche Dateiformate versteht Content Credentials?

cr lässt sich in die gängigen „für Endanwender sichtbaren“ Medien-Dateiformate für Bilder, Videos und Audio einbauen, die man im digitalen Alltag braucht. Nicht in die Liste reingeschafft haben es Traditionsformate wie GIF und BMP.

• Austauschformate:
  • PDF
• Bildformate:
  • JPEG (= .JPG)
  • PNG
  • WebP
  • TIFF
  • DNG
  • HEIC
  • HEIF
  • SVG
  • AVIF (AV1)
• Videoformate:
  • M4A (= .MP4)
  • MOV
  • AVI
• Audioformate:
  • MP3
  • WAV