# Content Credentials (C2PA): Der Herkunftsnachweis erklärt

> Content Credentials sind signierte Herkunftsdaten nach dem offenen Standard C2PA. Sie reisen mit Bild oder Video und halten fest, welches Gerät oder welche App die Datei erzeugt hat und was danach verändert wurde. Ein gültiger Nachweis belegt die Herkunft. Ein fehlender belegt gar nichts, weil viele Plattformen Metadaten beim Hochladen entfernen.

- URL: https://fake-ai.com/de/bilder-und-video/content-credentials-c2pa/
- Sprache: de
- Aktualisiert: 2026-10-19
- Herausgeber: Fake AI (OnlineBuilders LLC, https://onlinebuilders.biz)

Öffne ein beliebiges Nachrichtenfoto in einem sozialen Netzwerk und such nach einem kleinen „CR"-Symbol. Du wirst es selten finden. Dabei gibt es die Technik, Bilder mit einem Herkunftsnachweis zu versehen, seit Jahren. Adobe, Google, Microsoft und OpenAI stehen dahinter, ebenso Meta und die BBC, und Smartphones signieren Fotos inzwischen standardmäßig. Trotzdem geht der Nachweis meist irgendwo zwischen Kamera und Bildschirm verloren.

Dieser Widerspruch erklärt fast alle Missverständnisse rund um das Thema, von der Hoffnung, man könne damit jede Fälschung im Netz entlarven, bis zur Enttäuschung, wenn das kleine Symbol bei einem echten Pressefoto einfach fehlt. Das System ist stark darin, die Echtheit einer Datei zu belegen, solange der Nachweis überlebt. Es taugt nicht dazu, eine Fälschung zu beweisen, wenn er fehlt.

## Was Content Credentials sind

C2PA steht für Coalition for Content Provenance and Authenticity. Die Koalition veröffentlicht einen offenen technischen Standard, aktuell Version 2.3, mit dem sich eine signierte Herkunftsgeschichte an digitale Medien hängen lässt. Content Credentials heißt das Ergebnis für Endnutzer, und die Koalition vergleicht es mit einer Nährwerttabelle für digitale Inhalte ([C2PA](https://c2pa.org/)).

Herzstück ist ein sogenanntes Manifest in der Datei. Es enthält Angaben wie das erzeugende Gerät oder Programm, den Zeitpunkt, die Bearbeitungsschritte und ob ein generatives KI-Werkzeug beteiligt war. Signiert wird das Manifest mit einem Zertifikat, und über einen kryptografischen Hashwert ist es an den genauen Inhalt gebunden. Ändert jemand ein einziges Pixel, ohne das Manifest zu aktualisieren, schlägt die Prüfung fehl.

**So wächst ein Herkunftsnachweis mit der Datei**

1. **Aufnahme** Kamera oder Handy-App signiert das Original: Geräteklasse, Zeit, eventuell Ort.
2. **Bearbeitung** Ein C2PA-fähiges Programm hängt ein neues Manifest mit den Änderungen an und verknüpft es mit dem alten.
3. **KI-Erzeugung** KI-Werkzeuge, die den Standard unterstützen, vermerken, dass ein Modell Inhalte erzeugt oder verändert hat.
4. **Veröffentlichung** Plattformen, die Metadaten behalten, zeigen das CR-Symbol. Viele entfernen es an dieser Stelle.
5. **Prüfung** Jeder kann die Datei in ein Prüftool laden und die ganze Kette lesen.

## Welche Geräte und Apps heute signieren

Im Lenkungsausschuss sitzen Adobe, Amazon, die BBC, Google, Meta, Microsoft, OpenAI, Publicis, Sony, TikTok und Truepic. Mitgliedschaft heißt nicht, dass jedes Produkt signiert. Prüf deshalb das konkrete Werkzeug.

Die Masse kommt über Smartphones. Google bezeichnet die Pixel-10-Reihe als erste mit Content Credentials für jedes Foto aus der Pixel-Kamera-App. Die App erreichte laut Google Assurance Level 2, die höchste Sicherheitsstufe, die das C2PA-Konformitätsprogramm derzeit kennt. Google Fotos zeigt die Nachweise für JPEG-Dateien an und hängt sie an Bilder, die mit den KI-Werkzeugen der App bearbeitet wurden ([Google](https://blog.google/security/pixel-android-trusted-images-c2pa-content-credentials/)).

Bei Kameras war die Leica M11-P vom Oktober 2023 das erste Modell mit eingebauten Content Credentials. Einige Gehäuse von Sony und Nikon folgten per Firmware oder Cloud-Dienst. Glatt lief das nicht. Nikon setzte seinen Dienst für die Z6III 2025 nach einem gemeldeten Sicherheitsproblem aus und widerrief die betroffenen Zertifikate. Die Episode zeigt, dass das Vertrauen in den Schlüsseln steckt und nicht im Logo.

## Warum der Nachweis meistens fehlt

Drei Dinge entfernen Content Credentials im Alltag. Keines davon ist böse Absicht.

- **Plattformen.** Viele soziale Netzwerke und Messenger kodieren Uploads neu und entfernen Metadaten, um Speicher zu sparen und die Privatsphäre zu schützen. Der Nachweis geht mit.
- **Screenshots.** Ein Screenshot ist eine neue Datei, die das Betriebssystem erzeugt. Die Geschichte des Originals trägt er nicht.
- **Alte Software.** Programme, die C2PA nicht kennen, speichern das Bild ohne Manifest oder mit einem kaputten.

Der Standard kennt dafür eine Antwort namens Soft Binding. Ein unsichtbares Wasserzeichen oder ein Fingerabdruck des Inhalts wird zusammen mit dem Manifest in einem Verzeichnis gespeichert. Findet ein Prüfprogramm das Wasserzeichen, kann es den Nachweis nachschlagen, auch wenn die Metadaten weg sind. Adobe nutzt diesen Weg für die eigenen Content Credentials. Der Preis: Du verlässt dich dann auf eine Abfrage, die sagt „so etwas wurde einmal signiert", nicht auf eine Signatur über genau diese Bytes.

**Eingebettetes Manifest oder Wasserzeichen-Abfrage**

| | Eingebettetes Manifest | Wasserzeichen oder Fingerabdruck |
|---|---|---|
| Übersteht einen Screenshot | nein | teilweise |
| Übersteht Neukodierung durch Plattformen | nein | teilweise |
| Belegt, dass genau diese Pixel signiert wurden | ja | nein |
| Braucht ein Online-Verzeichnis | nein | ja |
| Funktioniert offline | ja | nein |

## Wer heute am meisten davon hat

Wer durch einen Feed scrollt, bekommt von Content Credentials bislang wenig mit. Profitieren können vor allem Leute, die Originaldateien erhalten: Bildredaktionen, Faktenchecker, Versicherungen bei Schadensfotos, Kanzleien mit Beweismaterial, Personalabteilungen bei eingereichten Unterlagen. Sie können auf Originalen bestehen und alles ablehnen, was nur als Screenshot ankommt.

Fotografen profitieren ebenfalls. Wer bei der Aufnahme signiert, hat einen Nachweis, der älter ist als jede Kopie. Das hilft bei Streit um die Urheberschaft, auch wenn es Diebstahl nicht verhindert.

## So prüfst du eine Datei selbst

Du brauchst die Originaldatei, keinen Screenshot. Kam das Bild per WhatsApp, bitte um die Datei als Dokument oder als Download-Link.

1. Öffne contentcredentials.org/verify und lade die Datei hoch. Das Tool nimmt JPEG, PNG, WebP, HEIC, AVIF, TIFF und einige Video- und Audioformate an.
2. Lies die Zusammenfassung: Wer hat signiert, mit welchem Gerät oder Programm, und waren KI-Werkzeuge beteiligt?
3. Öffne den Verlauf und prüfe, ob die Daten zueinander passen.
4. Meldet das Tool „keine Content Credentials gefunden", ist das ein neutrales Ergebnis. Mach mit anderen Prüfungen weiter.

Auf der Kommandozeile liest ExifTool von Phil Harvey C2PA-Daten aus, dazu EXIF und IPTC sowie XMP. Der Befehl `exiftool -a -G foto.jpg` listet alle Felder nach Gruppen sortiert auf, was hilft, wenn eine Prüfseite die Datei ablehnt.

## Was ein Nachweis nicht verrät

Ein gültiger Nachweis sagt, dass die Datei von einem bestimmten Gerät oder Programm stammt und danach nicht verändert wurde. Er sagt nicht, dass die Szene wahr ist. Echte Kameras können inszenierte Ereignisse fotografieren, und ein Handy kann einen Bildschirm abfotografieren, auf dem ein KI-Bild läuft. Der Nachweis meldet dann ehrlich „aufgenommen mit diesem Handy".

Über Absichten sagt er ebenfalls nichts. Nachrichtenagenturen und Propagandakanäle können beide signieren. Gewonnen ist Verantwortlichkeit: Du weißt, wer hinter der Datei steht, und kannst diese Quelle bewerten. Für KI-Bilder ergänzen sich Nachweise und Wasserzeichen. Wie du beides mit dem genauen Hinsehen kombinierst, steht im Ratgeber [KI-Bilder erkennen](https://fake-ai.com/de/bilder-und-video/ki-bilder-erkennen/).

## Was die EU ab 2026 verlangt

Seit dem 2. August 2026 verpflichtet Artikel 50 Absatz 2 der KI-Verordnung die Anbieter generativer KI, Ausgaben maschinenlesbar zu kennzeichnen, soweit technisch machbar. Für Systeme, die schon vorher auf dem Markt waren, gilt eine Frist bis zum 2. Dezember 2026. Signierte Metadaten wie C2PA sind ein Weg, diese Pflicht zu erfüllen, meist zusammen mit Wasserzeichen, weil Metadaten allein zu leicht verloren gehen. Die Details samt Bußgeldern erklärt der Ratgeber zur [KI-Kennzeichnungspflicht](https://fake-ai.com/de/ki-texte/ki-kennzeichnungspflicht/).

Wer viele Bilder veröffentlicht, sollte die Nachweise in der eigenen Kette erhalten: bei Aufnahme oder Export signieren, keine Werkzeuge nutzen, die Metadaten löschen, und das CR-Symbol anzeigen, wo das CMS es kann. Teams, die Herkunftsnachweise in ein bestehendes System einbauen wollen, können mit [OnlineBuilders](https://onlinebuilders.biz/solutions/software-development) sprechen. Für einzelne Prüfungen reichen das Prüftool und danach eine [Bild-Rückwärtssuche](https://fake-ai.com/de/bilder-und-video/bild-rueckwaertssuche/).

## Häufige Fragen

### Ist C2PA dasselbe wie ein Wasserzeichen?

Nein. C2PA sind signierte Metadaten, die an der Datei hängen. Ein Wasserzeichen ist ein Signal, das in den Pixeln oder im Ton versteckt ist. Der Standard kann beides verknüpfen, sodass ein Wasserzeichen nach dem Entfernen der Metadaten auf eine gespeicherte Kopie des Nachweises verweist.

### Kann ich meine eigenen Fotos mit Content Credentials versehen?

Ja. Manche Kameras und Smartphones signieren direkt bei der Aufnahme, und Programme wie Adobe Photoshop können beim Export einen Nachweis anhängen. Schau in die Exporteinstellungen deines Werkzeugs.

### Verrät ein Content Credential meinen Namen oder Standort?

Nur wenn du das willst. Google gibt an, dass die Pixel-Umsetzung keine Verknüpfung von Bildern untereinander oder mit der Person erlaubt, die sie aufgenommen hat. Andere Programme lassen dich deinen Namen als Urheber eintragen.

### Lassen sich Content Credentials fälschen?

Die Signatur selbst ist schwer zu fälschen. Ein unehrliches Gerät kann aber falsche Angaben signieren, und mit einem gestohlenen Schlüssel lässt sich alles signieren. Deshalb bewertet die C2PA in einem Konformitätsprogramm, wie gut Umsetzungen ihre Schlüssel schützen.

Foto: James Sutton jamessutton_photography, CC0 (https://commons.wikimedia.org/wiki/File:Smartphone_photographer_(Unsplash).jpg)