KI-Wasserzeichen bei Bildern: Woran Sie Herkunftshinweise erkennen – und wo ihre Grenzen liegen

Neulich beim Scrollen durch Instagram: ein Bild von einem angeblichen Sonnenuntergang über einer Stadt, die es so gar nicht gibt. Unter dem Post ein kleiner Streit in den Kommentaren – echt oder KI? Jemand postet einen Screenshot mit einem winzigen Symbol in der Bildecke, angeblich der Beweis. Genau da wird es interessant. Denn dieses Symbol ist oft ein Wasserzeichen, das Herkunft verraten soll. Aber wie zuverlässig ist das eigentlich?

KI-Wasserzeichen bei Bildern sollen genau das leisten: maschinenlesbar zeigen, ob ein Bild von einer KI stammt oder bearbeitet wurde. Tatsächlich stecken dahinter mehrere völlig unterschiedliche Technologien, die längst nicht alle gleich robust sind. Und einige lassen sich, wie aktuelle Forschung zeigt, mit erstaunlich wenig Aufwand aushebeln.

Was ein KI-Wasserzeichen eigentlich ist

Der Begriff Wasserzeichen klingt nach einem einzigen Verfahren. Ist er aber nicht. Es gibt mindestens drei Varianten, die in der Praxis nebeneinander existieren.

Da sind zunächst Metadaten-Wasserzeichen. Sie stecken nicht im Bild selbst, sondern im Dateikopf – vergleichbar mit einem Beipackzettel, den man nur sieht, wenn man ihn öffnet. Der offene Standard C2PA, kurz für Coalition for Content Provenance and Authenticity, ist hier zum wichtigsten gemeinsamen Nenner geworden. Adobe, Microsoft und OpenAI setzen darauf.

Dann gibt es unsichtbare Wasserzeichen direkt in den Bildpixeln. Das bekannteste Beispiel ist SynthID von Google DeepMind. Hier wird die Markierung nicht in Metadaten, sondern in die eigentliche Bildinformation eingebettet – für das menschliche Auge unsichtbar, für ein passendes Erkennungstool aber lesbar.

Und schließlich sichtbare Wasserzeichen, kleine Logos oder Signaturen direkt im Bildrand. Microsoft und OpenAI haben das testweise eingesetzt. Der Vorteil liegt auf der Hand: Jeder sieht es sofort. Der Nachteil auch – ein Zuschnitt, und das Wasserzeichen ist weg. Wie unterschiedlich die Anbieter mit dieser Aufgabe umgehen, zeigt sich auch daran, wie Plattformen ihre Kennzeichnungspflichten bis Dezember umsetzen wollen – ein Prozess, der noch längst nicht abgeschlossen ist.

SynthID, C2PA und Co. – wer macht was

Google DeepMind hat mit SynthID ein System entwickelt, das nach eigenen Angaben in den Bildern selbst verankert wird und auch nach Skalierung oder Farbfiltern erkennbar bleiben soll. SynthID kommt beim Google-Bildgenerator Imagen zum Einsatz, aktuell noch im Betastatus, und ist zusätzlich in Google Fotos eingebaut. Wer dort Funktionen wie Magic Editor oder Reimagine nutzt, bekommt ein unsichtbares Wasserzeichen mitgeliefert. Praktisch daran: SynthID arbeitet nicht mit einem simplen Ja oder Nein, sondern mit Vertrauensstufen wie „KI-generiert“, „möglicherweise generiert“ oder „nicht KI-generiert“. Das ist ehrlicher als eine harte Aussage, macht die Einordnung für Laien aber auch etwas unübersichtlicher.

OpenAI markiert Bilder aus DALL·E 3 seit 2024 mit einem Wasserzeichen in den Metadaten, umgesetzt über C2PA. Microsoft tut Ähnliches bei Bing Image Creator und Designer: kryptografisch signierte Metadaten, die sich über spezielle Prüftools auslesen lassen. Adobe wiederum zeigt seine Content Credentials über ein kleines „CR“-Symbol im Bild an, über das sich Herkunftsinformationen und verwendete KI-Werkzeuge abrufen lassen.

Klingt nach einem ordentlichen Ökosystem. Ist es auch – solange man sich innerhalb der großen Anbieter bewegt.

Woran Sie Herkunftshinweise im Alltag erkennen

Okay, ganz praktisch: Wie kommt man als Nutzer oder Nutzerin an diese Informationen? Ein Blick reicht selten.

Bei Bildern mit Content Credentials lohnt sich ein Klick auf das kleine CR-Symbol, sofern es angezeigt wird. Dahinter verbergen sich Angaben zur Urheberschaft und zu den eingesetzten Tools. Wer ein Foto aus Google Fotos mit KI-Funktionen bearbeitet hat, findet in der App selbst einen Hinweis darauf, dass eine Bearbeitung stattgefunden hat. Bei Bing-Bildern und bei DALL·E-3-Ergebnissen helfen spezielle Prüfwerkzeuge, die die C2PA-Signatur aus den Metadaten auslesen – ganz ohne solches Tool bleibt die Kennzeichnung für den Laien unsichtbar.

Das Problem dabei: Viele dieser Hinweise verschwinden beim Speichern, Hochladen oder Konvertieren. Wer ein Bild über WhatsApp verschickt, komprimiert oder als Screenshot weiterreicht, entfernt damit häufig genau die Metadaten, die das Wasserzeichen ausmachen. Ein Pixel-Wasserzeichen wie SynthID soll solche Schritte eher überstehen, weil es tiefer im Bildmaterial verankert ist. Aber auch hier gilt: ohne passendes Erkennungstool bleibt es für Sie als Betrachter unsichtbar, egal wie robust es ist. Wer selbst prüfen möchte, wie stark ein Bild bereits mit persönlichen oder biometrischen Daten verknüpft ist, findet dazu inzwischen auch kostenlose Tools für einen Datenschutz-Check bei KI-Bildern, die zumindest eine erste Einschätzung liefern.

Wo die Technik an ihre Grenzen stößt

Und jetzt kommt der Teil, der die ganze Debatte etwas ernüchtert. Forscherinnen und Forscher der Ruhr-Universität Bochum haben auf der Computer-Vision-Konferenz CVPR 2025 zwei Angriffsverfahren gegen Bild-Wasserzeichen vorgestellt, die zeigen, wie fragil das System sein kann. Wie das Linux-Magazin berichtet, funktioniert die sogenannte Imprinting-Attacke so: Das Wasserzeichen eines KI-Bildes wird auf ein echtes Foto übertragen – plötzlich sieht ein reales Foto aus wie ein KI-Fake. Die zweite Methode, Reprompting genannt, schickt ein bereits markiertes Bild zurück in den latenten Raum des Modells und lässt es mit neuem Prompt neu generieren. Das ursprüngliche Wasserzeichen bleibt trotzdem erhalten, obwohl das Motiv ein völlig anderes ist.

Das Alarmierende daran, so die Forschenden: Für beide Angriffe reicht ein einziges Referenzbild mit dem gewünschten Wasserzeichen. Und die Methoden funktionieren nicht nur bei einem Modelltyp, sondern sowohl bei älteren UNet-basierten Systemen als auch bei neueren Diffusionsmodellen. Semantische Wasserzeichen zur KI-Bilderkennung, wie es die Ruhr-Universität Bochum selbst formuliert, seien damit leicht manipulierbar.

Was heißt das für den Alltag? Ein Wasserzeichen ist ein Indiz, kein Beweis. Wer ein Bild findet, das als KI-generiert markiert ist, kann sich relativ sicher sein – ein fehlendes Wasserzeichen bedeutet aber keineswegs automatisch, dass das Bild echt ist. Genauso wenig ist ein vorhandenes Wasserzeichen eine hundertprozentige Garantie, wenn jemand gezielt versucht, es zu manipulieren oder zu übertragen.

Interessant ist außerdem, dass die beiden vorgestellten Angriffe unterschiedliche Zielrichtungen haben und damit auch unterschiedliche Konsequenzen im Alltag entfalten können. Die Imprinting-Attacke ist vor allem dann gefährlich, wenn jemand ein reales Foto diskreditieren möchte – etwa im Kontext von Nachrichtenbildern, Gerichtsverfahren oder journalistischer Berichterstattung. Wird ein echtes Foto plötzlich mit einem KI-Wasserzeichen versehen, lässt sich seine Echtheit gezielt in Zweifel ziehen, obwohl es nie durch ein KI-Modell erzeugt wurde. Die Reprompting-Methode wirkt in die andere Richtung: Ein KI-generiertes Bild bleibt zwar als solches markiert, wird aber inhaltlich so verändert, dass die Markierung mit dem tatsächlichen Motiv nichts mehr zu tun hat. Beide Szenarien zeigen, dass Wasserzeichen nicht nur technisch fragil sein können, sondern auch strategisch als Waffe in Desinformationskampagnen eingesetzt werden könnten – ein Aspekt, der in der öffentlichen Debatte bislang eher unterbelichtet bleibt.

Praxisbeispiele: Wo Wasserzeichen wirklich zählen

Um die Relevanz besser einzuordnen, hilft ein Blick auf konkrete Alltagssituationen. Stellen Sie sich vor, eine Lokalredaktion erhält ein Bild von einem vermeintlichen Unfallort, das über soziale Netzwerke verbreitet wurde. Ohne Content Credentials oder ein auslesbares Wasserzeichen bleibt der Redaktion nur die klassische Prüfung: Wer hat das Bild zuerst gepostet, gibt es Widersprüche im Bildinhalt, passt der Schattenwurf zur angegebenen Tageszeit? Ein vorhandenes C2PA-Signal könnte diesen Prozess erheblich beschleunigen – vorausgesetzt, es wurde nicht auf dem Weg durch mehrere Plattformen entfernt.

Ein zweites Szenario betrifft den Bewerbungsprozess in kreativen Branchen. Wenn ein Grafikdesigner ein Portfolio einreicht und darin KI-unterstützte Werke verwendet, kann ein transparenter Hinweis über Adobe Content Credentials für Auftraggeber ein Pluspunkt sein, weil er Ehrlichkeit signalisiert. Fehlt dieser Hinweis, weil die Datei zwischenzeitlich konvertiert wurde, entsteht schnell der Eindruck, es solle etwas verschleiert werden – auch wenn das gar nicht die Absicht war. Das zeigt: Die Zuverlässigkeit von Wasserzeichen hat nicht nur eine technische, sondern auch eine soziale Dimension. Wer sich auf sie verlässt, muss auch mit den Grauzonen leben, die durch technische Beschränkungen entstehen.

Ein drittes Beispiel aus dem privaten Bereich: Eltern, die in Familienchats Bilder austauschen, denken selten an Wasserzeichen. Trotzdem kursieren gerade in solchen Gruppen zunehmend KI-generierte Bilder, etwa vermeintliche Nachrichtenfotos oder rührende, aber frei erfundene Tiermotive. Hier zeigt sich die Grenze der Technik besonders deutlich: Ein WhatsApp-Screenshot hat in aller Regel weder Metadaten noch ein intaktes Pixel-Wasserzeichen. Die Verantwortung verschiebt sich damit zurück auf den gesunden Menschenverstand – auch wenn die Technik im Hintergrund eigentlich vorhanden wäre.

Die EU-Pflicht ab August 2026 – und ihre Lücken

Moment mal, hier kommt Bewegung ins Spiel: Der europäische AI Act verlangt von Anbietern, dass sie KI-Ausgaben bis zum Ende der Übergangsfrist am 2. August 2026 in einem maschinenlesbaren Format kennzeichnen, das sie als künstlich erzeugt oder manipuliert erkennbar macht. In der Branche wird diese Vorgabe überwiegend so interpretiert, dass digitale Wasserzeichen oder vergleichbare Content-Credentials-Lösungen genau diese Anforderung erfüllen sollen, wie es DIE ZEIT in ihrer Einordnung zum Gesetz beschreibt.

Das klingt erst mal nach einem klaren Stichtag, an dem die Verwirrung ein Ende hat. Ist es aber nur bedingt. Die Pflicht gilt für Anbieter innerhalb der EU. Wer ein Modell außerhalb Europas betreibt oder ein Open-Source-Modell selbst hostet, unterliegt dieser Regel nicht automatisch. Bilder, die bereits vor der Frist erzeugt und ohne Wasserzeichen im Netz kursieren, werden dadurch auch nicht nachträglich markiert. Und wer ein kleines, selbst betriebenes Diffusionsmodell nutzt, kann die Kennzeichnung schlicht weglassen, ohne dass es jemand kontrolliert.

Ein interessanter Blick zur Seite: Auch bei KI-generierter Musik zeigt sich laut aktueller Berichterstattung ein ähnliches Muster. Die für Audioinhalte gedachte EU-Kennzeichnungspflicht läuft nach Einschätzung von Branchenbeobachtern bislang weitgehend ins Leere, weil längst nicht alle Plattformen und Tools mitziehen. Bei Bildern ist die Lage etwas besser, weil die großen Anbieter wie Google, Microsoft, Adobe und OpenAI schon jetzt freiwillig markieren – aber ein Rundum-Schutz ist das nicht, wie sich auch an den bislang eher zurückhaltenden Transparenzberichten der großen Tech-Konzerne zu biometrischen und synthetischen Inhalten ablesen lässt.

Ein weiterer Punkt, der in der öffentlichen Diskussion oft untergeht: Die Kennzeichnungspflicht betrifft in erster Linie die Anbieter der Modelle, nicht zwingend jede einzelne Plattform, auf der die Bilder später landen. Das bedeutet, dass ein Bild theoretisch korrekt markiert das Modell verlässt, aber auf dem Weg über verschiedene Plattformen, Cloud-Dienste oder Bildkonverter seine Kennzeichnung verliert. Verantwortlichkeiten verschwimmen dadurch entlang der gesamten Verbreitungskette. Wer am Ende haftet, wenn ein Bild ohne Kennzeichnung im Umlauf ist, obwohl es ursprünglich korrekt markiert wurde, ist juristisch noch nicht abschließend geklärt. Genau diese Unschärfe dürfte in den kommenden Monaten für einige Diskussionen sorgen, sobald die Übergangsfrist näher rückt und erste Streitfälle öffentlich werden.

Echte Kameras als Gegenpol

Ein spannender Nebenschauplatz: Statt nur KI-Bilder zu markieren, arbeitet ein Verbund aus der Kameraindustrie – dazu zählen unter anderem Canon, Leica und Sony – an einem unsichtbaren digitalen Wasserzeichen, das direkt aus der Kamera kommt. Die Idee dreht die Logik um. Statt zu beweisen, dass ein Bild künstlich ist, soll das Wasserzeichen beweisen, dass ein Foto tatsächlich aus einer echten Kamera stammt und seit der Aufnahme nicht manipuliert wurde.

Das ist tatsächlich ein cleverer Ansatz, weil er nicht auf ein Katz-und-Maus-Spiel mit immer neuen KI-Modellen setzt, sondern auf der Aufnahmeseite ansetzt. Ob sich das im Alltag durchsetzt, ist offen – aber es zeigt, dass die Debatte um Bildechtheit längst nicht mehr nur eine Frage der KI-Erkennung ist, sondern zunehmend eine Frage der Beweisführung insgesamt wird.

Für Fotografinnen und Fotografen, die professionell arbeiten, könnte ein solches Herkunftssiegel künftig sogar ein Verkaufsargument werden, etwa gegenüber Redaktionen, Versicherungen oder Gerichten, die belastbare Bildnachweise benötigen. Gleichzeitig bleibt die Frage offen, wie gut sich ein kamerabasiertes Wasserzeichen gegen nachträgliche Bearbeitung behaupten kann – schließlich lässt sich auch ein echtes Foto nach der Aufnahme mit KI-Werkzeugen verändern, etwa durch nachträgliches Entfernen von Personen oder Hinzufügen von Bildelementen. Ob das Wasserzeichen solche Eingriffe zuverlässig anzeigt oder ob es lediglich die ursprüngliche Aufnahme bestätigt, dürfte ein zentraler Streitpunkt in der weiteren Entwicklung dieser Technologie werden.

Was das für Ihren Alltag bedeutet

Krass, wie viel Technik hinter einem kleinen Symbol steckt, oder? Und trotzdem bleibt am Ende ein einfacher Rat: Verlassen Sie sich nicht allein auf ein Wasserzeichen. Nutzen Sie es als einen von mehreren Anhaltspunkten, nicht als letztes Wort.

Praktisch heißt das: Bei wichtigen Bildern – etwa in Nachrichten, bei politischen Themen oder in rechtlich heiklen Kontexten – lohnt sich ein Blick auf die Quelle, den Kontext und, wenn möglich, auf vorhandene Content-Credentials-Angaben. Bei alltäglichen Bildern aus sozialen Netzwerken ist ein gesunder Zweifel meist die bessere Strategie als die Suche nach einem unsichtbaren Beweis. Wer ein Bild aus Google Fotos, Bing Image Creator oder DALL·E 3 bekommt, kann davon ausgehen, dass zumindest eine Form von Kennzeichnung mitgeliefert wird – bei Bildern aus weniger bekannten Tools oder selbst gehosteten Modellen dagegen eher nicht.

Für alle, die beruflich mit Bildmaterial arbeiten, ergeben sich daraus ein paar konkrete Handlungsschritte. Erstens: Prüfen Sie bei sensiblen Inhalten grundsätzlich mehrere Quellen, statt sich auf ein einzelnes Symbol zu verlassen. Zweitens: Wenn Sie selbst KI-Bilder veröffentlichen, achten Sie darauf, ob und wie Ihr Tool die Herkunft kennzeichnet, und geben Sie diese Information möglichst transparent weiter, statt sie beim Export versehentlich zu verlieren. Drittens: Schulen Sie sich oder Ihr Team darin, worauf ein CR-Symbol, ein SynthID-Hinweis oder eine C2PA-Signatur überhaupt hindeutet – Unwissen führt hier schneller zu Fehleinschätzungen als die Technik selbst. Und viertens: Bleiben Sie skeptisch gegenüber absoluten Aussagen wie „das Bild ist zu 100 Prozent echt“ oder „das Bild ist definitiv KI“, solange Sie die Prüfmethode nicht kennen, mit der diese Aussage zustande kam.

Meiner Meinung nach wird die Debatte in den nächsten Jahren nicht ruhiger, sondern lauter. Je mehr Anbieter markieren, desto mehr Anreiz gibt es, genau diese Markierungen anzugreifen – die Bochumer Forschung liefert dafür schon jetzt den Beweis. Gleichzeitig wächst mit dem AI Act der politische Druck, überhaupt etwas zu kennzeichnen. Beides zusammen ergibt kein perfektes System, aber immerhin mehr Transparenz als noch vor wenigen Jahren.

Was bleibt am Ende? Ein Wasserzeichen ist ein nützliches Werkzeug, kein Wahrheitsbeweis. Es lohnt sich, genauer hinzuschauen – aber wirklich verlassen kann man sich darauf noch lange nicht. Wie gehen Sie persönlich damit um, wenn Sie ein Bild nicht sicher einordnen können?