Maschinenlesbare Kennzeichnung von KI-Bildern und KI-Videos: Welches Verfahren erfüllt die gesetzlichen Anforderungen?

Kein einzelnes Verfahren zur maschinenlesbaren Kennzeichnung von KI-Bildern und KI-Videos erfüllt heute alle vier Anforderungen des AI Act, der KI-Verordnung der EU. Jedes Verfahren hat eine Lücke, die ein anderes schließt; die EU-Kommission verlangt deshalb eine Gesamtlösung. Wir legen die vier Anforderungen als Prüfraster über fünf Verfahren und zeigen, worauf du bei der Auswahl achtest.

Maschinenlesbare Kennzeichnung von KI-Inhalten: Was das Gesetz verlangt

Der AI Act verlangt vom Anbieter eines generativen KI-Systems zweierlei zugleich: eine Markierung, die Software auslesen kann, und ein Mittel, mit dem sich diese Markierung tatsächlich feststellen lässt. Das gilt für Bilder, Videos, Audio und Text gleichermaßen.

Die Vorschrift ist Art. 50 Abs. 2 AI Act:

„Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, stellen sicher, dass die Ausgaben des KI-Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die Anbieter sorgen dafür, dass — soweit technisch möglich — ihre technischen Lösungen wirksam, interoperabel, belastbar und zuverlässig sind …“

„Gekennzeichnet“ und „erkennbar“: Die Leitlinien der EU-Kommission zu den Transparenzpflichten vom Juli 2026, an denen sich die Aufsichtsbehörden orientieren, lesen darin zwei Elemente. Für jede Markierung muss ein Erkennungsmittel verfügbar sein, und wer nur markiert, erfüllt die Pflicht nicht.

Maschinenlesbar ist eine Kennzeichnung nach den Leitlinien, wenn Software sie ohne menschliches Zutun erkennen und auslesen kann. Ein sichtbares Label erfüllt das nicht, es richtet sich an Menschen. Beides zusammen ist erlaubt und aus Betreibersicht sinnvoll.

Als Beispiele für maschinenlesbare Markierungen nennt der AI Act unter anderem Metadaten, also unsichtbare Zusatzinformationen, die in der Bild- oder Videodatei mitgespeichert werden (Menschen sehen davon nichts, Prüfsoftware kann sie auslesen), und Wasserzeichen.

Adressat ist der Anbieter, der das KI-System entwickelt oder in Verkehr bringt. Wer ein KI-System in eigener Verantwortung nutzt und den Inhalt beruflich einsetzt, ist Betreiber, schuldet für Deepfakes die sichtbare Offenlegung nach Art. 50 Abs. 4 AI Act und darf sich dafür nicht auf die Markierung des Anbieters stützen (Wer muss KI-Bilder kennzeichnen?). Die Verfahrensfrage betrifft ihn trotzdem: Was das Werkzeug in die Datei schreibt, lesen Plattformen und Prüfwerkzeuge, und darauf ruht im Streitfall sein Nachweis (Überblick zur KI-Kennzeichnungspflicht).

Die vier Anforderungen als Prüfraster

Wirksam, interoperabel, belastbar, zuverlässig: Die Leitlinien der EU-Kommission machen aus den vier Adjektiven des Gesetzes vier Prüffragen. Der Code of Practice on Transparency of AI-Generated Content, der Praxisleitfaden der EU zu diesen Pflichten, legt für seine Unterzeichner fest, was die vier Anforderungen konkret bedeuten.

So definieren die Leitlinien die vier Begriffe, und das verlangt der Praxisleitfaden dafür:

Gemessen wird nach den Leitlinien die Gesamtlösung aus Markierung und Erkennung; der Praxisleitfaden bewertet sie ausdrücklich über alle eingesetzten Techniken zusammen, nicht für jede einzeln. Unterzeichner müssen ihre Lösung außerdem vor der Markteinführung und danach regelmäßig unter realen Bedingungen testen und dokumentieren, wie sie jede Anforderung umsetzen. Mit diesen vier Fragen lässt sich jedes Verfahren prüfen.

Fünf Kennzeichnungsverfahren im Vergleich

Signierte Metadaten, unsichtbares Wasserzeichen, Fingerprint, sichtbares Label und forensische Detektion beantworten die vier Prüffragen unterschiedlich, und keines beantwortet alle mit Ja. Das sind die fünf Verfahrensklassen:

Signierte Metadaten nach C2PA (Content Credentials): Die KI-Herkunft steht in den Metadaten, signiert nach C2PA, einem offenen Standard für Herkunftsangaben direkt in der Datei; die Signatur bindet die Metadaten an den exakten Dateiinhalt, jede Änderung an den signierten Teilen der Datei bricht die Bindung und wird so erkennbar. Unsignierte Metadaten kann jeder ändern, verglichen wird deshalb die signierte Form (C2PA erklärt).

Unsichtbares Wasserzeichen: ein Muster in den Bildpunkten selbst, bei Videos in den Einzelbildern, für Menschen unsichtbar, für einen Detektor prüfbar. Das ist Steganografie, Information im Inhalt versteckt statt angehängt, während die Signatur der Metadaten Kryptografie ist und Unverändertheit belegt (KI-Wasserzeichen: was bleibt, wenn die Metadaten verschwinden).

Fingerprint (Perceptual Hash): ein Zahlenwert aus dem Bild- oder Tonsignal, der bei ähnlichen Inhalten ähnlich bleibt; so erkennt ein Musikdienst ein Lied an wenigen Sekunden. In den Inhalt wird nichts eingebettet; ein Register hält den Fingerprint samt Nachweis vor.

Sichtbares Label: Schriftzug oder Symbol im Bild, bei Videos als Einblendung, für Menschen ohne Werkzeug erkennbar. Es ist dein Instrument nach Art. 50 Abs. 4 AI Act, aber keine Markierung im Sinne von Abs. 2, weil Software es nicht ohne menschliches Zutun ausliest (Deepfakes kennzeichnen: was sichtbar sein muss).

Forensische Detektion: Ein trainiertes Modell sucht im Bild oder Video nach Spuren künstlicher Erzeugung, ohne vorherige Markierung; das Ergebnis ist eine Wahrscheinlichkeit (Deepfake-Erkennung und ihre Grenzen).

Die Tabelle bewertet mit „Ja“, „Eingeschränkt“, „Gering“ oder „Nicht anwendbar“, jeweils als Beitrag zur Gesamtlösung, die die Leitlinien an den vier Anforderungen messen. Die letzte Zeile zeigt, was die Kombination aus signierten Metadaten und Wasserzeichen leistet: Erst sie beantwortet alle vier Fragen mit Ja.

Der Praxisleitfaden nennt signierte Metadaten als einzigen Bereich, in dem es bereits Standards für die Interoperabilität gibt, und hält fest, dass jedes Wasserzeichenverfahren in der Regel einen eigenen Detektor braucht. Standardisiert ist immerhin der Weg vom Wasserzeichen zurück zum Pass: Die C2PA führt Wasserzeichen und Fingerprints als Soft Bindings, schreibt Algorithmen aus einer geführten Liste vor und beschreibt eine Schnittstelle, über die sich das zugehörige Manifest abrufen lässt, unabhängig vom eingesetzten Wasserzeichenverfahren. Forensische Detektion stufte der Praxisleitfaden bei seiner Veröffentlichung als noch nicht ausgereift genug ein. Die C2PA-Spezifikation bezeichnet den Fingerprint als statistisch nicht eindeutig. Das sichtbare Label liest keine Software ohne menschliches Zutun aus, deshalb ist es keine maschinenlesbare Markierung im Sinne der Leitlinien. Was „valid“ und „trusted“ bedeuten, erklärt Content Credentials prüfen und verstehen. Content Credentials belegen Herkunft und Unverändertheit, keinen Wahrheitsgehalt; welche Felder Plattformen davon auslesen, ist uneinheitlich, wie ein Plattformtest vom März 2026 zeigt (Plattform-Label und gesetzliche Pflicht).

Das ist die eigentliche Lehre aus der Tabelle: Signierte Metadaten allein überstehen den Weg durchs Netz oft nicht, das Wasserzeichen allein hat noch keinen Erkennungsstandard. Zusammen decken sie die Lücken des jeweils anderen, und erst diese Kombination erfüllt alle vier Anforderungen.

Wo jedes Verfahren an seine Grenze kommt

Metadaten scheitern am Upload, Wasserzeichen an gezielten Angriffen, Fingerprints an der Eindeutigkeit, Detektoren an neuen Generatoren; jede Grenze ist dokumentiert. Die C2PA, das Standardisierungsgremium hinter Content Credentials, schreibt in ihrer Umsetzungshilfe vom Juli 2026:

„No single technique is sufficient on its own: embedded information can be stripped, watermarks can be defeated, and fingerprint matching is probabilistic rather than exact.“

Sinngemäß: Keine Technik genügt allein; Metadaten lassen sich entfernen, Wasserzeichen überwinden, Fingerprints treffen nur ungefähr.

Signierte Metadaten können laut dem Grundlagenpapier der C2PA bei der Verbreitung über Plattformen ohne Content-Credentials-Unterstützung routinemäßig entfernt oder beschädigt werden, etwa wenn ein soziales Netzwerk Bildkopien ausspielt; NIST, die US-Normungsbehörde, bestätigt, dass Metadaten beim Teilen oft vollständig abgestreift werden.

Keine Wasserzeichenklasse ist gegen gezielte Angriffe nachweislich belastbar: Pixel-Wasserzeichen sind anfällig, wenn ein KI-Modell das Bild neu erzeugt; semantische Wasserzeichen ließen sich nach einer Studie der Ruhr-Universität Bochum (CVPR 2025) „mit vergleichsweise einfachen Mitteln … fälschen oder komplett entfernen“.

Der Fingerprint ist nur eine Ähnlichkeitsprüfung: Er findet ein Bild wieder, beweist aber nicht, dass es unverändert dasselbe ist. Genau das leistet die Signatur der Metadaten, und die C2PA-Spezifikation warnt davor, beides gleichzusetzen.

Das sichtbare Label lässt sich abschneiden oder übermalen.

Die forensische Detektion steckt in einem Wettrüsten: Jede neue Erkennungsmethode wird von der nächsten Generation der Bildgeneratoren wieder eingeholt (Deepfake-Erkennung und ihre Grenzen). Wo ein Verfahren aufhört, fängt ein anderes an. Genau deshalb kombiniert man sie.

Warum aus den Verfahrensgrenzen ein mehrschichtiger Ansatz folgt

Wie viele Schichten nötig sind, hängt von deiner Rolle ab.

Als Betreiber schuldest du keine einzige maschinenlesbare Schicht. Deine Pflicht ist das sichtbare Label (Art. 50 Abs. 4 AI Act). Die Schichten gehst du trotzdem an, weil dein Nachweis auf ihnen ruht: Was dein Werkzeug in die Datei schreibt, ist im Streitfall das, was du vorlegen kannst.

Als Anbieter eines generativen KI-Systems schuldest du die maschinenlesbare Markierung (Art. 50 Abs. 2 AI Act). Die Leitlinien schreiben dir keine Zahl von Schichten vor: Eine einzelne Technik genügt, wenn die Gesamtlösung maschinenlesbar ist und die vier Anforderungen erfüllt. Die Markierung darfst du bei einem spezialisierten Dienst einkaufen, verantwortlich bleibst du. Der Praxisleitfaden geht weiter: Weil derzeit keine einzelne Technik alle vier Anforderungen allein erfüllt, verpflichten sich seine Unterzeichner auf mindestens zwei maschinenlesbare Schichten, nämlich signierte, zeitgestempelte Metadaten und ein unsichtbares Wasserzeichen. Eine Schicht genügt nur in zwei engen Fällen: bei KI, die fest in ein abgeschlossenes Gerät eingebaut ist und deren Ausgaben es nicht verlassen, und bei freiem Text, der keine Metadaten tragen kann.

Die beiden Schichten decken die Lücken des jeweils anderen: Die Metadaten bringen den Standard und die eindeutige Prüfung, das Wasserzeichen bleibt im Bild, auch wenn die Metadaten verschwinden. Ein Fingerprint kann als dritte Schicht dazukommen, allein genügt er dem Praxisleitfaden ausdrücklich nicht. Die C2PA nennt diese Bauweise Durable Content Credentials: Streift eine Plattform die Metadaten ab, bleibt im Bild die Nummer, unter der sich der Pass wiederfinden lässt (C2PA erklärt).

Was das für deine Auswahl bedeutet

Zwei Pflichten, zwei Adressaten. Du als Betreiber schuldest das sichtbare Label (Art. 50 Abs. 4 AI Act). Die maschinenlesbare Markierung und die vier Anforderungen an sie schuldet der Anbieter des KI-Systems (Art. 50 Abs. 2 AI Act), nicht dich.

Messen solltest du dein Werkzeug trotzdem an allen vier. Deine Offenlegungspflicht erfüllst du mit dem sichtbaren Label, dein Nachweis hängt an der Markierung: Wenn jemand bestreitet, dass du gekennzeichnet hast, oder dein Bild ohne Label weiterläuft, ist die Markierung in der Datei das Einzige, was du vorlegen kannst. Ob sie Upload und Screenshot übersteht, ob ein Dritter sie prüfen kann und ob festgehalten ist, wann und von wem gekennzeichnet wurde, entscheidet, was dieser Nachweis wert ist.

Fünf Fragen an jede Kennzeichnungslösung:

1. Sichtbares Label: Setzt das Werkzeug das Label dort, wo du es brauchst, und ist es fest mit Bild oder Video verbunden statt nur darübergelegt?
2. Signierte Metadaten: Wird die KI-Herkunft als signierte Metadaten nach C2PA in die Datei geschrieben, und kann ein fremdes Prüfwerkzeug sie lesen? Ein solches Werkzeug ist on:mint Verify, eine kostenlose Browser-Erweiterung für Chrome: Sie prüft per Rechtsklick jedes Bild im Netz auf Content Credentials, on:mint-Herkunftsnachweise und KI-Kennzeichnung.
3. Wasserzeichen: Trägt die Datei zusätzlich ein unsichtbares Wasserzeichen, und gibt es dafür ein zugängliches Erkennungsmittel?
4. Haltbarkeit: Was bleibt nach Upload, Screenshot oder Bildschirmaufnahme und Zuschnitt prüfbar?
5. Nachweis: Ist dokumentiert, wann und von wem gekennzeichnet wurde, und orientiert sich das Vorgehen am Praxisleitfaden?

Vertiefung: KI-Kennzeichnung im Marketing-Workflow und Kennzeichnung über Schnittstellen.

Fazit: Kein Verfahren zur maschinenlesbaren Kennzeichnung genügt allein, aber die Kombination ist belegbar

Kein Verfahren erfüllt heute allein alle Anforderungen: Signierte Metadaten haben den Standard, aber nicht die Haltbarkeit; das Wasserzeichen hat die Haltbarkeit, aber noch keinen Erkennungsstandard. Deshalb bewertet die Kommission nicht die einzelne Technik, sondern die Gesamtlösung, und der Praxisleitfaden verpflichtet seine Unterzeichner auf mindestens zwei Schichten.

Für dich als Betreiber heißt das: Pflicht ist das sichtbare Label. Es allein hinterlässt aber keine Spur. Nimm das Label deshalb mit in den digitalen Pass, dann steht dort, welches Label wann und von wem gesetzt wurde, und dein Nachweis liegt an derselben Stelle wie die Kennzeichnung selbst. Das gilt umso mehr, wenn du nicht nur Betreiber bist, sondern mit einer eigenen KI-Funktion zugleich Anbieter. Prüfe dein Werkzeug mit den fünf Fragen und achte vor allem auf die letzte: Was bleibt übrig, wenn eine Schicht unterwegs verloren geht? Alle Beiträge der Serie: Überblick zur KI-Kennzeichnungspflicht.

Genau dafür haben wir mintys gebaut, die KI-Kennzeichnungsapp von on:mint. mintys setzt in einem Durchgang drei Schichten: das sichtbare Label direkt im Bild oder Video, auf Wunsch im Corporate Design; dasselbe Label maschinenlesbar in den Metadaten nach C2PA; ein unsichtbares Wasserzeichen in den Bildpunkten, das Zuschnitt, Kompression und erneutes Hochladen übersteht. Fällt eine Schicht weg, trägt die nächste den Nachweis weiter: wann gekennzeichnet wurde und von wem. Wie mintys im Einzelnen arbeitet: KI-Kennzeichnung mit mintys.

on:mint hat den Code of Practice on Transparency of AI-Generated Content unterzeichnet und kennzeichnet nach dessen Verfahren. Die EU-Kommission hat den Code im Juli 2026 als angemessenes Instrument bestätigt, um die Kennzeichnungspflichten zu erfüllen; nach ihren Leitlinien ist er der bislang einzige EU-weit anerkannte praktische Rahmen, um die Einhaltung zu belegen. mintys richtet die Kennzeichnung am Code aus. Laut den Leitlinien der Kommission dürfen Anwender eines anerkannten Kodex mit weniger Nachfragen der Aufsicht rechnen: Zusätzliche Nachweise erwarten die Leitlinien vor allem von Unternehmen, die ihre Kennzeichnung nicht an einem anerkannten Kodex ausrichten.

Zum Kostenrisiko: Der AI Act sieht für Verstöße gegen die Kennzeichnungspflicht Geldbußen von bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag. Dazu kommt die Abmahnung: Die Wettbewerbszentrale wertet Verstöße gegen den AI Act als unlauteren Wettbewerb und hat im Juli 2026 eine Beschwerdestelle für KI-Fälle eingerichtet, ausdrücklich auch für fehlende oder falsche Kennzeichnung KI-generierter Werbung. Mit Abmahnungen, also Unterlassungsaufforderungen samt Kostennote, ist deshalb zu rechnen. Was ein Verstoß im Einzelnen kostet: Was ein Verstoß kostet.

Drei Wege im Vergleich. Gegenüber dem Betrachter zählt allein das sichtbare Label; der Nachweis zählt, wenn Dritte dein Bild oder Video ohne Label weiterverbreiten oder jemand bestreitet, dass es gekennzeichnet war:

Mit mintys setzt du deine Kennzeichnungspflicht nach dem AI Act in einem Durchgang um: Label ins Bild oder Video, Content Credential in die Datei, Wasserzeichen in die Bildpunkte, Nachweis inklusive. Sichtbar kennzeichnen nach Art. 50 AI Act: Jetzt KI-Inhalte kennzeichnen.

Häufig gestellte Fragen