C2PA

C2PA steht für die Coalition for Content Provenance and Authenticity, einen Zusammenschluss von Technologie- und Medienunternehmen, und zugleich für den offenen Standard, den sie herausgibt. Gegründet wurde die Initiative im Februar 2021 von Adobe, Arm, BBC, Intel, Microsoft und Truepic als Projekt der Joint Development Foundation (C2PA, 2021). Die erste Fassung der Spezifikation erschien im Januar 2022, seither wird sie laufend weiterentwickelt.

Technisch wird einer Datei ein sogenanntes Manifest beigefügt. Es besteht aus mehreren Angaben, den Assertions: etwa mit welchem Gerät oder Programm der Inhalt entstanden ist, welche Bearbeitungsschritte folgten und aus welchen Ausgangsdateien er zusammengesetzt wurde. Diese Angaben werden in einem Claim gebündelt und mit dem privaten Schlüssel des Unterzeichners digital signiert; zulässig sind dafür X.509-Zertifikate. Ein kryptografischer Hashwert verbindet das Manifest fest mit dem Inhalt. Wird die Datei verändert, ohne dass das Manifest fortgeschrieben wird, lässt sich das erkennen. Für Nutzer sichtbar wird das als „Content Credentials“, etwa als kleines Symbol neben einem Bild, hinter dem sich die Herkunftsangaben aufrufen lassen.

Warum Herkunftsnachweise für die Führung zählen

Art. 50 Abs. 2 der KI-Verordnung verpflichtet Anbieter generativer KI-Systeme, deren Bilder, Videos, Audio und Texte maschinenlesbar als künstlich erzeugt oder verändert zu markieren. Die Vorschrift gilt seit dem 2. August 2026. Für Systeme, die schon vor diesem Datum auf dem Markt waren, hat die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) eine Übergangsfrist von vier Monaten eingeführt, also bis zum 2. Dezember 2026. Die Verordnung schreibt keine bestimmte Technik vor; C2PA ist einer der Wege, solche Markierungen umzusetzen.

Für Unternehmen geht es aber um mehr als die Pflicht der KI-Anbieter. Wer eigene Bilder, Videos und Mitteilungen mit Herkunftsnachweis veröffentlicht, macht Fälschungen im eigenen Namen leichter erkennbar. Damit wird der Herkunftsnachweis zur Frage des Markenschutzes, der Krisenkommunikation und der Beweisführung: Wer im Streitfall belegen kann, welche Fassung eines Dokuments oder Videos tatsächlich aus dem eigenen Haus stammt, ist handlungsfähiger als ein Unternehmen, das erst nachträglich recherchieren muss. Hinzu kommt eine Kostenfrage. Herkunftsnachweise lassen sich am günstigsten dort einführen, wo Inhalte ohnehin entstehen, also in Kamera, Bearbeitungsprogramm und Redaktionssystem, und nicht als nachträgliche Prüfung.

Wie ein Herkunftsnachweis in der Praxis entsteht

Der Nachweis entsteht schrittweise. Eine Kamera oder ein Programm, das den Standard unterstützt, legt beim Erstellen das erste Manifest an. Jedes weitere Werkzeug, das die Datei bearbeitet, ergänzt einen eigenen Eintrag und verweist auf den vorherigen. So entsteht eine Kette, die sich später mit einem Prüfprogramm nachvollziehen lässt. Bricht die Kette ab, weil ein Werkzeug den Standard nicht unterstützt, endet auch der Nachweis an dieser Stelle.

Ein denkbares Szenario: Ein gefälschtes Video zeigt den Vorstand bei einer angeblichen Ankündigung zu Stellenabbau. Es verbreitet sich in sozialen Netzwerken, Journalisten fragen nach. Hat das Unternehmen seine offiziellen Videos durchgängig signiert, kann es schnell zeigen, welche Fassung echt ist und dass die kursierende Datei keinen gültigen Nachweis trägt. Das wirkt allerdings nur, wenn Redaktionen und Plattformen die Nachweise auch prüfen und wenn das Unternehmen vorher kommuniziert hat, dass es seine Inhalte signiert.

Wo die Grenzen liegen

Ein Herkunftsnachweis belegt, woher eine Datei stammt und wie sie bearbeitet wurde, nicht, ob ihr Inhalt wahr ist. Die Spezifikation sagt das selbst: Sie trifft keine Wertung darüber, ob Herkunftsdaten „gut“ oder „schlecht“ sind, sondern prüft nur, ob die Angaben gültig mit dem Inhalt verbunden sind. Der Nachweis hilft zudem nur, solange er erhalten bleibt. Viele Plattformen entfernen Metadaten beim Hochladen, und ein Bildschirmfoto trägt kein Manifest mehr. Ein fehlender Nachweis beweist daher keine Fälschung.

Um dieses Problem zu verringern, sieht der Standard neben der festen Bindung per Hashwert auch eine weiche Bindung vor: unsichtbare Wasserzeichen oder Fingerabdrücke, über die sich ein abgelöstes Manifest wiederfinden lässt. Die Spezifikation stellt aber klar, dass eine weiche Bindung die feste nicht ersetzt.

Abgrenzung zu verwandten Verfahren

Worauf es bei der Einführung ankommt

• Eigene Kanäle zuerst: Offizielle Bilder, Videos und Pressemitteilungen mit Herkunftsnachweis versehen, bevor fremde Inhalte geprüft werden.
• Werkzeugkette prüfen: Bleiben die Nachweise vom Erstellen über das Bearbeiten bis zur Veröffentlichung erhalten, auch im eigenen Redaktionssystem und auf der Website?
• Schlüssel und Zertifikate verwalten: Signaturen sind nur so vertrauenswürdig wie der Umgang mit den Signaturschlüsseln. Wer darf im Namen des Unternehmens signieren, und wo liegen die Schlüssel?
• Rolle nach der KI-Verordnung klären: Wer eigene generative KI-Systeme anbietet, hat Markierungspflichten; wer KI-Inhalte nur veröffentlicht, hat Offenlegungspflichten als Betreiber.
• Erwartungen realistisch halten: Herkunftsnachweise ergänzen Faktenprüfung und Krisenkommunikation, sie ersetzen sie nicht.

Quellen

• C2PA: Gründungsmitteilung der Coalition for Content Provenance and Authenticity, Februar 2021
• C2PA: Veröffentlichung der Spezifikation 1.0, Januar 2022
• C2PA: Content Credentials – Technical Specification 2.0
• EU: Verordnung (EU) 2024/1689 über künstliche Intelligenz, Juni 2024
• EU: Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), Juli 2026

*** Keine Rechtsberatung. Dieser Eintrag ordnet rechtliche Rahmenbedingungen strategisch ein und ersetzt keine Rechtsberatung im Einzelfall.