C2PA Content Credentials erklärt: Was sie sind und wie man sie prüft

Da KI-generierte Bilder immer schwerer von Fotos zu unterscheiden sind, setzt die Tech-Branche auf eine gemeinsame Antwort auf die Frage „Woher stammt das?“ Sie heißt C2PA, und vielleicht haben Sie das kleine „CR“-Symbol der Content Credentials schon auf einem Bild gesehen.

Dieser Ratgeber erklärt, was C2PA ist, was darin steckt, wer es hinzufügt, wie Sie prüfen, ob eine Datei es enthält – und was es nicht leisten kann.

Was C2PA ist

C2PA steht für Coalition for Content Provenance and Authenticity, eine Branchengruppe, die 2021 unter anderem von Adobe, Microsoft, Intel und der BBC gegründet wurde und der sich seither Google, OpenAI, Meta, Sony, Samsung und viele andere angeschlossen haben. Die Koalition veröffentlicht einen offenen technischen Standard, um die Herkunft digitaler Medien festzuhalten – wie ein Inhalt erstellt und verändert wurde.

Content Credentials ist der verbraucherfreundliche Name für C2PA-Daten, gefördert von der Adobe-geführten Content Authenticity Initiative (CAI).

Was in einem C2PA-Manifest steckt

C2PA-Daten werden als Manifest in der Datei gespeichert. Ein Manifest enthält typischerweise:

Claim Generator – die App oder das Gerät, das den Eintrag erstellt hat, etwa ein Kameramodell, eine Bearbeitungs-App oder ein KI-Bilddienst.
Aktionen – was mit dem Inhalt geschehen ist: erstellt, geöffnet, bearbeitet, zugeschnitten, platziert und ob ein generatives KI-Werkzeug verwendet wurde.
Digital Source Type – etwa, dass der Inhalt von einem trainierten Algorithmus (KI) erstellt wurde.
Zutaten (Ingredients) – frühere Versionen oder andere Dateien, die in diese eingeflossen sind, jeweils mit eigener Historie.
Hash – ein Fingerabdruck der Bilddaten, damit jede Änderung nach dem Signieren erkannt werden kann.
Signatur – eine kryptografische Signatur mit dem Zertifikat des Signierenden, die belegt, welche Organisation oder welches Gerät die Angabe gemacht hat und dass das Manifest nicht verändert wurde.

In JPEG-Dateien steht das Manifest in APP11-Segmenten im Containerformat JUMBF. PNG-Dateien speichern es in einem caBX-Chunk, WebP in einem C2PA-Chunk.

Wer C2PA zu Bildern hinzufügt

KI-Bildgeneratoren

Mehrere große KI-Dienste versehen ihre Bilder mit Content Credentials, darunter die Bildwerkzeuge von OpenAI und Adobe Firefly. Andere halten KI-Nutzung über IPTC-Felder oder unsichtbare Wasserzeichen fest – Google etwa nutzt neben Metadaten SynthID-Wasserzeichen.

Kameras und Smartphones

Google Pixel 10 (2025) signiert Fotos standardmäßig bei der Aufnahme mit Content Credentials.
Samsung Galaxy S25 fügt Credentials zu Bildern hinzu, die mit seinen generativen KI-Funktionen erstellt oder bearbeitet wurden.
Kamerahersteller wie Leica, Nikon, Canon, Sony, Fujifilm und Panasonic haben C2PA-fähige Kameras herausgebracht, vor allem für Fotojournalisten.

Bearbeitungssoftware

Adobe Photoshop und Lightroom können Content Credentials anhängen, und die Nutzung generativer Funktionen kann vermerken, dass KI im Spiel war.

Welche Plattformen es anzeigen

LinkedIn zeigt bei Bildern mit gültigen Credentials ein Content-Credentials-Symbol; ein Klick zeigt eine Zusammenfassung.
TikTok nutzt Content Credentials, um KI-generierte Inhalte zu kennzeichnen.
Meta (Instagram, Facebook, Threads) liest C2PA- und IPTC-Signale im Rahmen seines „KI-Info“-Hinweises – siehe warum Instagram „KI-Info“ bei echten Fotos zeigt.
Manche Redaktionen und Bildagenturen nutzen es zur Verifizierung von Bildern.

So prüfen Sie, ob ein Bild C2PA enthält

Öffnen Sie das Bild im TraceWipe-Metadaten-Viewer.
Ist C2PA vorhanden, zeigt der Bericht oben im Kasten der KI-Spuren „C2PA Content Credentials“, und die Gruppe Eingebettete Datenblöcke listet den JUMBF/C2PA-Block und seine Größe auf.
Wenn lesbar, zeigt der Viewer auch den Text des Claim Generators (zum Beispiel den Namen des KI-Dienstes).

Um ein Manifest kryptografisch zu verifizieren – Signatur und Zertifikat prüfen –, nutzen Sie das offizielle Verify-Tool der CAI unter contentcredentials.org/verify.

Datei auf Content Credentials prüfen

Privat, im Browser und kostenlos.

Metadaten-Viewer öffnen →

Die Grenzen von C2PA

C2PA ist nützlich, aber kein KI-Detektor und in der Praxis nicht manipulationssicher:

Es hält fest, was angegeben wurde, nicht was wahr ist. Ein Manifest sagt, was das signierende Werkzeug gemeldet hat. Pixel werden nicht analysiert.
Es ist leicht zu entfernen. Wie andere Metadaten lässt sich das Manifest durch erneutes Speichern, Screenshots oder einen Metadaten-Entferner löschen. Viele Upload-Prozesse entfernen es ebenfalls. Deshalb arbeitet die Branche an „dauerhaften“ Credentials, die Manifeste mit Wasserzeichen und Fingerabdrücken kombinieren.
Fehlende Credentials beweisen nichts. Die meisten Bilder im Umlauf haben gar keine C2PA-Daten; ihr Fehlen heißt also nicht, dass ein Bild echt oder gefälscht ist.
Die Verbreitung steht noch am Anfang. Branchenberichte aus 2026 schätzen, dass nur ein kleiner Teil veröffentlichter Nachrichtenbilder C2PA-Daten enthält.
Es kann übermäßig kennzeichnen. Eine winzige KI-gestützte Bearbeitung kann dasselbe „KI wurde verwendet“-Signal erzeugen wie ein vollständig generiertes Bild.

C2PA behalten oder entfernen?

Behalten Sie es, wenn die Herkunft Ihnen hilft: Sie sind Fotograf und wollen die Echtheit eines Bildes belegen, eine Redaktion, die Bearbeitungen dokumentiert, oder ein Creator, der KI-Nutzung offenlegen möchte.

Entfernen Sie es, wenn es mehr preisgibt als beabsichtigt oder ein echtes Foto falsch darstellt – etwa ein echtes Foto, das wegen einer kleinen KI-Retusche markiert wurde. Manifeste können auch Details zu Gerät, Software und Bearbeitungsschritten enthalten. Der TraceWipe-Metadaten-Entferner löscht C2PA-Blöcke zusammen mit EXIF, XMP und IPTC, ohne JPEG-, PNG- oder WebP-Bilder neu zu komprimieren.

Ist ein Bild überwiegend KI-generiert, legen Sie das beim Teilen offen – Plattformregeln und Gesetze wie der EU-AI-Act verlangen das zunehmend.

Häufige Fragen

Ist C2PA dasselbe wie ein Wasserzeichen?

Nein. C2PA sind Metadaten, die an der Datei hängen. Ein Wasserzeichen (sichtbar oder unsichtbar wie SynthID) ist Teil der Bildpixel. Das Entfernen von Metadaten entfernt kein Wasserzeichen.

Beschädigt das Entfernen von C2PA das Bild?

Nein. Das Manifest ist ein separater Block in der Datei. Wird es korrekt entfernt, bleiben die Bilddaten unberührt.

Kann C2PA gefälscht werden?

Die Signatur macht unbemerkte Änderungen an einem signierten Manifest sehr schwer, doch ein Manifest ist nur so vertrauenswürdig wie das Zertifikat, mit dem es signiert wurde – und es ganz zu entfernen ist einfach.