C2PA

ja # C2PA

C2PA (Coalition for Content Provenance and Authenticity) ist ein Zusammenschluss von Technologie- und Medienunternehmen, der einen offenen Standard dafür entwickelt, die Herkunft und Bearbeitungsgeschichte digitaler Medien nachprüfbar in der Datei selbst zu hinterlegen.

Der Standard beantwortet nicht die Frage, ob ein Inhalt echt ist. Er beantwortet, woher er kommt und was mit ihm geschehen ist – und überlässt die Bewertung dem Betrachter.

Zusammenfassung

C2PA wurde im Februar 2021 von Adobe, Arm, BBC, Intel, Microsoft und Truepic gegründet. Der Zusammenschluss führte zwei zuvor getrennte Vorhaben zusammen: die von Adobe getragene Content Authenticity Initiative und Project Origin, ein Vorhaben von BBC und Microsoft gegen Desinformation im Nachrichtenbereich.

Technisch legt C2PA fest, wie Herkunftsangaben – wer, womit, wann, welche Bearbeitungsschritte – kryptografisch signiert an eine Datei gebunden werden. Diese Angaben heißen Content Credentials und bilden eine fortschreibbare Kette: Jeder Bearbeitungsschritt fügt einen signierten Eintrag hinzu, ohne die vorherigen zu überschreiben.

Mit der europäischen KI-Verordnung hat der Standard praktische Bedeutung bekommen. Er ist einer der beiden Wege, die Pflicht zur maschinenlesbaren Kennzeichnung KI-erzeugter Inhalte zu erfüllen; der andere sind Wasserzeichen im Material selbst.

Begriffsgeschichte

Zwei Vorläufer (2019–2020)

Die Content Authenticity Initiative startete Adobe 2019 mit der Frage, wie Urheber ihre Autorschaft an Bildern belegen können. Project Origin verfolgte ab 2020 aus der Perspektive von Nachrichtenhäusern das umgekehrte Interesse: nachweisen, dass eine Meldung tatsächlich aus der genannten Redaktion stammt und unterwegs nicht verändert wurde.

Beide brauchten dasselbe technische Fundament.

Gründung und Spezifikation (2021 bis heute)

Im Februar 2021 wurde C2PA als gemeinsames Gremium gegründet. Die erste Spezifikation erschien 2022, seither erscheinen regelmäßig überarbeitete Fassungen; Version 2.2 wurde im Mai 2025 veröffentlicht, Version 2.3 im Januar 2026.

Der Kreis der Beteiligten hat sich über die Gründer hinaus erweitert und umfasst Google, Meta, OpenAI sowie Kamerahersteller wie Sony, Nikon und Leica. Die Beteiligung der Kamerahersteller ist der bemerkenswerte Teil: Sie erlaubt, die Herkunftskette bereits im Aufnahmegerät zu beginnen statt erst in der Bearbeitungssoftware.

Methodische Grundlagen

Ein C2PA-Eintrag – ein Manifest – enthält im Kern drei Bestandteile: Angaben zum Erzeuger (Gerät, Software, gegebenenfalls Person oder Organisation), eine Liste der vorgenommenen Bearbeitungsschritte und eine kryptografische Signatur, die beides an den Dateiinhalt bindet.

Wird die Datei verändert, ohne dass ein neues Manifest angelegt wird, bricht die Signatur. Der Prüfer sieht dann nicht, was verändert wurde, aber dass die Kette unterbrochen ist.

Drei Eigenschaften folgen daraus:

Fälschungssicher, nicht löschsicher. Ein Manifest lässt sich nicht unbemerkt verändern, wohl aber vollständig entfernen. Wer ein Bild neu speichert, wirft die Angaben weg.
Aussagekräftig nur mit vertrauenswürdiger Signatur. Der Standard regelt die Form, nicht die Frage, wessen Unterschrift etwas gilt. Das entscheidet die auswertende Stelle über ihre Liste anerkannter Aussteller.
Kein Wahrheitsnachweis. Ein korrekt signiertes Manifest kann eine Falschbehauptung tragen. Es belegt die Herkunft, nicht den Inhalt.

Anwendungsfelder

Kennzeichnung KI-erzeugter Inhalte. Wer generative Systeme betreibt, kann die Angabe „mit KI erzeugt“ in das Manifest schreiben. Für Anbieter in der EU wird das zur Pflicht; Näheres regelt der EU AI Act.

Nachrichtenbelege. Redaktionen können die Kette vom Aufnahmegerät bis zur Veröffentlichung durchgehend führen und Lesern zur Prüfung anbieten.

Urheberschaft. Fotografen und Illustratorinnen können ihre Autorschaft an die Datei binden, unabhängig von Plattformangaben.

Beweisführung. Versicherungen und Behörden verwenden Herkunftsangaben, um eingereichte Aufnahmen zu prüfen.

Kontroversen und Kritik

Die Angaben überleben den Alltag nicht. Nahezu jede Plattform rechnet Bilder beim Hochladen neu und entfernt dabei die Metadaten. Ein Screenshot löscht sie ohnehin. In der Praxis ist die Kette deshalb meist schon gerissen, bevor jemand prüfen könnte – der Grund, aus dem C2PA und Wasserzeichen zunehmend gemeinsam eingesetzt werden.

Das Fehlen sagt nichts. Kein Manifest bedeutet nicht, dass ein Inhalt unecht ist – nur, dass niemand eine Angabe hinterlassen hat. Solange die überwiegende Mehrheit der Dateien im Netz keine trägt, ist die Abwesenheit kein Signal.

Wer signiert, entscheidet mit. Der Nutzen hängt daran, wessen Signaturen anerkannt werden. Kritiker sehen darin die Gefahr, dass große Anbieter faktisch bestimmen, welche Inhalte als belegt gelten – und kleine Herausgeber ohne anerkanntes Zertifikat benachteiligt werden.

Herkunft kann auch entlarven. Ein vollständiges Manifest verrät Gerät, Software und Bearbeitungsverlauf. Für Whistleblower und Fotografen in Konfliktgebieten ist das ein Risiko; der Standard sieht deshalb vor, Angaben selektiv wegzulassen.

Stand 2025/2026

Der Standard ist in der Fläche angekommen: Kameras, Bildbearbeitung und mehrere große KI-Dienste schreiben Content Credentials, und die Verpflichtung durch die europäische KI-Verordnung gibt ihm zusätzlichen Schub.

Die offene Frage ist nicht mehr die Technik, sondern die Kette. Solange Plattformen die Angaben beim Hochladen verwerfen, bleibt der Nachweis auf den Weg vom Gerät bis zur ersten Veröffentlichung beschränkt – und damit auf den kleineren Teil der Wege, die ein Bild im Netz zurücklegt.

Quellenangaben

Coalition for Content Provenance and Authenticity, 2021. Founding Press Release. c2pa.org, 22. Februar 2021.
Coalition for Content Provenance and Authenticity, 2026. C2PA Specification 2.3. c2pa.org, Januar 2026.
Microsoft, 2021. Technology and Media Entities Join Forces to Create Standards Group Aimed at Building Trust in Online Content. news.microsoft.com, 22. Februar 2021.

← Zurück zur Lexikon-Übersicht