C2PA & Content Credentials: Der Herkunftsnachweis für KI-Inhalte, einfach erklärt

Wer heute ein Werbebild sieht, kann nicht erkennen, ob es fotografiert, montiert oder von einer KI erzeugt wurde. C2PA ist die Antwort der Industrie darauf: ein offener Standard, der Inhalten einen kryptografisch signierten Herkunftsnachweis mitgibt — eine Art digitalen Beipackzettel, der festhält, wie ein Bild entstanden ist.

Wie C2PA funktioniert

Hinter dem Kürzel steht die Coalition for Content Provenance and Authenticity, gegründet u. a. von Adobe, Microsoft, Intel und der BBC. Der Standard hängt jeder Datei ein Manifest an:

• Wer den Inhalt erstellt hat (Person, Organisation oder Werkzeug),
• womit er entstand — Kamera, Photoshop, oder ein KI-Modell,
• was verändert wurde, als signierte Bearbeitungshistorie.

Das Manifest ist kryptografisch signiert und über Hashes fest an die Pixel gebunden. Jede nachträgliche Manipulation bricht die Signatur — fälschen lässt sich die Historie also nicht unbemerkt. Sichtbar wird das Ganze als Content Credentials: das „CR“-Symbol, das Tools wie die Adobe-Suite oder Plattformen wie LinkedIn anzeigen — prüfbar für jeden unter verify.contentcredentials.org.

Wo der Standard schon läuft

C2PA ist kein Papiertiger mehr. Adobe signiert aus Photoshop und Firefox heraus, OpenAI stempelt Bildgenerate, Google ist dem Steuerungsgremium beigetreten und integriert Content Credentials in Pixel-Kameras und die Bildersuche, LinkedIn zeigt die Herkunft direkt im Feed. Für Marken heißt das: Der Herkunftsnachweis wird vom Nischenthema zur Erwartung.

Die ehrliche Grenze: Metadaten kann man entfernen

Ein C2PA-Manifest ist manipulationssicher — aber nicht entfernungssicher. Ein Screenshot, ein Re-Encode oder ein Upload über eine Plattform, die Metadaten strippt, und der Nachweis ist weg. Deshalb kombiniert belastbare Provenance drei Schichten:

• das C2PA-Manifest als offener, prüfbarer Standard,
• ein robustes unsichtbares Wasserzeichen, das Re-Encodes übersteht,
• ein extern hinterlegter SHA-Hash als unabhängiger Fingerabdruck.

Fehlt eine Schicht, lässt sich die Herkunft über die anderen rekonstruieren.

Warum KI-Werbung das braucht

Der EU AI Act macht Transparenz zur Pflicht: KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet und ihre Herkunft muss belegbar sein — die Details stehen im Ratgeber zur KI-Kennzeichnungspflicht. C2PA ist der Standard, auf den diese Pflicht praktisch hinausläuft.

Für Werbung mit Gesichtern kommt eine zweite Frage dazu, die C2PA allein nicht beantwortet: Durfte dieses Gesicht überhaupt verwendet werden? Ein Manifest belegt, womit ein Bild erzeugt wurde — nicht, dass die abgebildete Person eingewilligt hat.

Genau da setzt Komparserie an: Jedes lizenzierte Referenzbild wird provenance-gestempelt (C2PA-Manifest, unsichtbares Wasserzeichen, SHA-Hash) und mit der dokumentierten Einwilligungskette der realen Person verknüpft. Herkunft und Erlaubnis in einem Nachweis — das ist der Unterschied zwischen einem gekennzeichneten und einem rechtssicheren KI-Werbebild.