Deepfake erkennen: Was Prüftools leisten und wo sie an Grenzen stoßen

Warum der Augenschein nicht mehr reicht

Menschen erkennen Deepfakes im Durchschnitt kaum besser als der Zufall, und die bekannten Merkmalslisten veralten mit jeder Modellgeneration.

Eine Meta-Analyse von 56 Studien (Diel et al., 2024, erschienen in Computers in Human Behavior Reports) kommt auf eine menschliche Trefferquote von 55,54 Prozent; statistisch lässt sich der Abstand zum Münzwurf nicht sichern. Fraunhofer AISEC, das Fraunhofer-Institut für Angewandte und Integrierte Sicherheit, ergänzt im August 2025: Geübte Menschen erkennen Deepfakes verlässlicher, erreichen aber nicht die Trefferquoten automatischer Systeme, und Deepfakes „werden in Zukunft immer leichter zu produzieren sein“.

Trotzdem beginnt fast jeder Ratgeber mit einer Merkmalsliste. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt auf seiner Themenseite, Stand Dezember 2022, sichtbare Artefakte an der Naht rund um das Gesicht, verwaschene Konturen an Zähnen und Augen, bei Stimmen einen metallischen Klang. klicksafe, die EU-geförderte Initiative für Medienkompetenz, ergänzt einen leeren Blick und falsche Schattenwürfe und räumt im selben Text ein:

„Wir müssen allerdings davon ausgehen, dass die Technik sich weiter verbessert und Deepfakes tatsächlich nicht mehr als solche erkennbar sind.“

Solche Hinweise sind nicht falsch; sie beschreiben die Fehler der Generatoren, die es zum Zeitpunkt der Veröffentlichung gab. Der Augenschein ist deshalb keine Prüfmethode mehr, er ist der Anlass, eine zu starten.

So gehen Sie im Verdachtsfall vor

Prüfen Sie bei einem verdächtigen Bild oder Video zuerst Herkunft und Kontext und erst zuletzt den Inhalt selbst. Der Detektor kommt zuletzt, weil er nur schätzt; eine Markierung des KI-Tools lässt sich dagegen auslesen und ergibt einen Befund.

1. Quelle prüfen. Wer hat veröffentlicht, auf welchem Kanal, mit welcher Vorgeschichte? Faktencheck-Redaktionen haben viele virale Fälle bereits geprüft. Plattformhinweise wie Metas „AI info“ (deutsch „KI-Info“) helfen bei der Einordnung, belegen aber nichts, denn sie werden teils automatisch aus technischen Angaben in der Datei erzeugt.
2. Content Credentials und Metadaten auslesen. Metadaten sind unsichtbare Zusatzinformationen, die in der Bilddatei mitgespeichert werden; Menschen sehen davon nichts, Prüfsoftware kann sie auslesen. Content Credentials sind signierte Herkunftsdaten nach C2PA, einem offenen Standard für Herkunftsangaben direkt in der Datei (C2PA erklärt). Auslesen lassen sie sich mit dem Prüfwerkzeug der Content Authenticity Initiative oder mit on:mint Verify, einer kostenlosen Browser-Erweiterung für Chrome: Sie prüft per Rechtsklick jedes Bild im Netz auf Content Credentials, on:mint-Herkunftsnachweise und KI-Kennzeichnung. Prüfwerkzeuge unterscheiden „valid“ (Signatur intakt) von „trusted“ (Signaturkette endet bei einem gelisteten Vertrauensanker); mehr dazu: Content Credentials prüfen und verstehen. Findet das Werkzeug keine Content Credentials, wissen Sie zunächst: nichts. Nicht jedes Werkzeug schreibt sie, und Metadaten gehen beim Hochladen häufig verloren.
3. Rückwärtssuche. Die Bildersuche gängiger Suchmaschinen zeigt, wann und wo ein Bild oder Video zum ersten Mal aufgetaucht ist und ob es frühere Fassungen gibt.
4. Kontext und Plausibilität. Prüfen Sie, ob Aussagen und Verhalten der gezeigten Person im Gegensatz zu dem stehen, was sie üblicherweise sagt und tut, und ob Ort, Datum, Wetter und andere Aufnahmen desselben Ereignisses zusammenpassen.
5. Erst dann der Detektor, als Indiz. Ein Deepfake-Detektor schätzt, wie wahrscheinlich ein Inhalt künstlich ist, und liefert damit ein unterstützendes Indiz, wo Markierungen fehlen. Der Code of Practice on Transparency of AI-Generated Content, der Praxisleitfaden der EU zu den Kennzeichnungspflichten, verlangt von seinen Unterzeichnern, soweit technisch machbar auszuweisen, ob ein Ergebnis auf einer Markierung oder auf forensischer Detektion beruht, also auf einer Schätzung aus dem Inhalt selbst. Dokumentieren Sie das Ergebnis und entscheiden Sie nie allein danach.

Wie unsicher die Schätzung aus dem Inhalt ist, zeigen die Grenzen der Detektoren.

Wo das Erkennen von Deepfakes scheitert

Deepfake-Erkennung im engeren Sinn ist forensische Detektion: Ein trainiertes Modell sucht im Inhalt selbst nach Spuren künstlicher Erzeugung, ohne dass zuvor eine Markierung gesetzt wurde. Davon zu unterscheiden ist die Prüfung einer Markierung, also das Auslesen von Content Credentials oder eines Wasserzeichens. Nur das Zweite verlangt der AI Act von den Anbietern. „Detektor“ meint hier das forensische Verfahren.

Ein forensischer Detektor funktioniert mit dem Material, auf das er trainiert wurde; werden „einzelne Parameter verändert, so ist die Korrektheit der Ausgaben häufig nicht gegeben“, schreibt das BSI. NIST, die US-Normungsbehörde, spricht in ihrem Bericht zu synthetischen Inhalten von einem „cat-and-mouse game“ zwischen Erkennung und Erzeugung. Im Alltag begegnet dem Detektor genau das Material, das er nicht kennt, an vier Stellen:

1. Neue Generatoren. Detektoren erkennen laut NIST Bilder aus dem Generator, den sie im Training gesehen haben, besser als alle anderen. Ein Forschungsteam von Fraunhofer AISEC und EURECOM (Interspeech 2024) hat für Audio gezeigt, dass Fälschungen eines unbekannten Generators für den Detektor vor allem anders sind und nicht bloß schwerer zu erkennen.
2. Komprimierte Kopien. Im Netz kursieren Deepfakes komprimiert, verkleinert, abfotografiert oder erneut hochgeladen, und genau dabei verlieren Detektoren laut NIST an Leistung. Ein Benchmark mit echten Fällen aus dem Jahr 2024 (Chandra et al., University of Washington u. a., 2025) nennt akademische Testdaten veraltet: Die Trennschärfe von Open-Source-Detektoren, also ihre Fähigkeit, echte von künstlichen Inhalten auseinanderzuhalten, sinkt auf Material aus dem Netz um rund die Hälfte. Warum ein unsichtbares Wasserzeichen solche Kopien überlebt: KI-Wasserzeichen: was bleibt, wenn die Metadaten verschwinden.
3. Fehler in beide Richtungen. Realistische KI-Bilder gehen als echt durch; in einem Test mit KI-Bildern, die auch Menschen kaum erkennen, stuften fast alle geprüften Detektoren sie als echt ein. Umgekehrt melden Detektoren echte Fotos als künstlich; der Praxisleitfaden der EU hält fest, dass Fehlalarme das Vertrauen in ein Erkennungsverfahren beeinträchtigen können, und für Unternehmen ist das der teurere Fehler.
4. Gezielte Störungen. Wer den Detektor kennt, kann ihn täuschen. Das BSI beschreibt ein Rauschen über dem manipulierten Bild: so klein, dass ein Mensch es nicht bemerkt, aber ausreichend, damit der Detektor die Fälschung nicht als solche klassifiziert.

Kein Detektor ist gegen neue Generatoren und gezielte Angreifer nachweislich robust. Der Detektor bleibt ein unterstützendes Indiz, und das Gesetz knüpft Erkennbarkeit deshalb an Markierungen.

Was das Gesetz unter Erkennung versteht

Der AI Act verlangt von Anbietern generativer KI, dass ihre Ausgaben maschinenlesbar markiert und als künstlich erzeugt oder manipuliert „erkennbar“ sind. Gemeint ist die Feststellung einer Markierung, die der Anbieter selbst gesetzt hat; forensisches Raten verlangt das Gesetz von niemandem.

Art. 50 Abs. 2 AI Act spricht von Ausgaben, die „in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind“; die Erwägungsgründe nennen den Vorgang „Feststellung“ und zählen dafür unter anderem Wasserzeichen, Metadaten, kryptografische Herkunftsnachweise oder Fingerabdrücke auf. Die Leitlinien der EU-Kommission zu den Transparenzpflichten vom Juli 2026, an denen sich die Aufsichtsbehörden orientieren, verlangen beides zusammen: die Markierung und ein Mittel, mit dem sich jede eingesetzte Markierung feststellen lässt. Ein Erkennungswerkzeug ist danach ein Mechanismus, der feststellt, ob ein Inhalt KI-erzeugt oder KI-manipuliert wurde, typischerweise anhand technischer Marker oder Signaturen, die seine Herkunft verifizieren.

Der Praxisleitfaden verpflichtet die Anbieter generativer KI-Systeme, die ihn unterzeichnet haben, ein Erkennungswerkzeug für ihre Markierungen bereitzustellen, in der Regel kostenlos. Auch Anbieter von Markierungs- und Erkennungslösungen können den Code unterzeichnen; on:mint hat ihn unterzeichnet und stellt mit on:mint Verify ein kostenloses Erkennungswerkzeug bereit. Forensische Detektion ist im Praxisleitfaden nur eine optionale Zusatzmaßnahme, und er begründet das ausdrücklich: Forensische Erkennungsverfahren galten bei seiner Veröffentlichung nicht als ausgereift genug, um die Qualitätsanforderungen des Art. 50 Abs. 2 AI Act zu erfüllen.

Als Deepfake gilt im Gesetz ein KI-erzeugter oder KI-veränderter Bild-, Ton- oder Videoinhalt, der echten Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und fälschlich echt wirkt (Art. 3 Nr. 60 AI Act); die Grenze im Einzelfall: Was ist ein Deepfake?. Wer Anbieter und wer Betreiber ist: Wer muss KI-Bilder kennzeichnen?; was sichtbar sein muss: Deepfakes kennzeichnen: was sichtbar sein muss. Merken Sie sich: Der Anbieter markiert für Maschinen, Sie legen für Menschen offen. Das Gesetz setzt auf Markierung und Nachweis, und genau dort liegt der Ausweg aus dem Wettrüsten.

Beweis statt Detektion: Herkunft am Original belegen

Ein Detektor schätzt, ob ein Bild künstlich sein könnte; ein Herkunftsnachweis belegt, wer es wann signiert hat. Für Unternehmen zählt das Zweite.

Ein Detektor arbeitet wie ein Spürhund: Er kennt nur die Gerüche, auf die er trainiert wurde, und schlägt gelegentlich an, wo nichts ist. Ein Herkunftsnachweis arbeitet wie ein Pass mit Stempeln: Er sagt nichts über den Charakter des Inhabers, belegt aber, wer ihn ausgestellt hat und wo er seither war.

Technisch stecken dahinter drei Verfahren mit drei Aussagen. Content Credentials beruhen auf Kryptografie: Eine digitale Unterschrift belegt, wer wann was signiert hat; jede Änderung an den signierten Teilen der Datei bricht die Bindung zwischen Nachweis und Datei und wird dadurch nachweisbar. Ein unsichtbares Wasserzeichen ist Steganografie: eine Kennung in den Bildpunkten, die, anders als Metadaten, darauf ausgelegt ist, Kopien und Formatwechsel zu überstehen; gehen die Metadaten beim Hochladen verloren, bleibt der Schlüssel zum hinterlegten Nachweis im Bild. Forensische Detektion ist eine statistische Schätzung ohne jede Markierung.

Der Nachweis hat eine Grenze: Content Credentials liefern kein Wahrheitsurteil über das Abgebildete. Die C2PA, das Gremium hinter dem Standard, schreibt selbst, ihr Standard sei kein Allheilmittel gegen Desinformation; er ergänze Medienkompetenz, Faktenprüfung und digitale Forensik wie die Deepfake-Erkennung. Das BSI benennt die Grenze einer Signatur bei der Aufnahme: Sie verhindert nicht, „dass die Quelle selbst das Material zuvor manipuliert“. Fraunhofer AISEC sieht gerade darin den Wert:

„Parallel dazu sollte auch die Nachvollziehbarkeit von unveränderten Informationen gestärkt werden. So lassen sich ergänzend zur Aufdeckung von ‚Deepfakes‘ unveränderte Originalaufnahmen nachweisbar als solche kennzeichnen.“

Wer fremde Inhalte prüft, bleibt auf Indizien angewiesen. Wer eigene Inhalte schützt, signiert sie am Original und dokumentiert bei KI-Bildern den Kennzeichnungsakt; meldet ein Detektor dann ein echtes Produktfoto als KI-Bild, heißt die Antwort nicht raten, sondern belegen. Wie Sie den Kennzeichnungsakt dokumentieren: KI-Bilder kennzeichnen: Schritt für Schritt; wie Sie die Echtheit eigener Aufnahmen belegen: Echtheit belegen.

Fazit: Deepfake erkennen bleibt ein Wettrüsten, der Nachweis am Original nicht

Der Augenschein ist keine Prüfmethode mehr, und Detektoren schätzen mit bekannten Schwächen, denn sie kennen nur die Generatoren von gestern und verlieren auf Kopien an Trennschärfe. Der AI Act verlangt deshalb etwas anderes als Raten: Anbieter markieren ihre Ausgaben maschinenlesbar und stellen ein Werkzeug bereit, das diese Markierung feststellt; Sie als Betreiber legen Ihre eigenen KI-Inhalte sichtbar offen. Zu tun ist zweierlei: Im Verdachtsfall prüfen Sie Herkunft und Kontext vor dem Inhalt und ziehen den Detektor zuletzt als Indiz hinzu; für eigene Inhalte schaffen Sie den Nachweis am Original, damit „Ist das echt?“ für alles aus Ihrem Haus keine Schätzfrage mehr ist. Alle Beiträge der Serie: Überblick zur KI-Kennzeichnungspflicht.

Dafür haben wir mintys gebaut, die KI-Kennzeichnungsapp von on:mint: sichtbares Label im Bild; dieselbe Kennzeichnung maschinenlesbar nach C2PA in der Datei; unsichtbares Wasserzeichen in den Bildpunkten, das Zuschnitt, Kompression und erneutes Hochladen übersteht, also die übliche Bearbeitung; und der Eintrag, wann und von wem gekennzeichnet wurde. So trägt jedes Bild seinen digitalen Pass, und Sie haben den Nachweis; eine ergänzende Deepfake-Erkennung schätzt den KI-Anteil eines Inhalts und schlägt das passende Label vor. Wie mintys im Einzelnen arbeitet: KI-Kennzeichnung mit mintys.

Für die Gegenrichtung gibt es on:mint Verify, die oben beschriebene kostenlose Browser-Erweiterung für Chrome: Sie prüft per Rechtsklick jedes Bild im Netz auf Content Credentials, on:mint-Herkunftsnachweise und KI-Kennzeichnung. on:mint hat den Code of Practice on Transparency of AI-Generated Content unterzeichnet und kennzeichnet nach dessen Verfahren. Die EU-Kommission hat den Code im Juli 2026 als angemessenes Instrument bestätigt, um die Kennzeichnungspflichten zu erfüllen; nach ihren Leitlinien ist er der bislang einzige EU-weit anerkannte praktische Rahmen, um die Einhaltung zu belegen. Wer mit mintys kennzeichnet, kennzeichnet im Einklang mit dem Code und kann mit weniger Auskunftsersuchen der Aufsicht rechnen: Zusätzliche Nachweise erwarten die Leitlinien vor allem von Unternehmen, die ihre Kennzeichnung nicht an einem anerkannten Kodex ausrichten.

Zum Kostenrisiko: Der AI Act sieht für Verstöße gegen die Kennzeichnungspflicht Geldbußen von bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag. Dazu kommt die Abmahnung: Die Wettbewerbszentrale wertet Verstöße gegen den AI Act als unlauteren Wettbewerb und hat im Juli 2026 eine Beschwerdestelle für KI-Fälle eingerichtet, ausdrücklich auch für fehlende oder falsche Kennzeichnung KI-generierter Werbung. Mit Abmahnungen, also Unterlassungsaufforderungen samt Kostennote, ist deshalb zu rechnen. Was ein Verstoß im Einzelnen kostet: Was ein Verstoß kostet.

Drei Wege im Vergleich. Gegenüber dem Betrachter zählt allein das sichtbare Label; der Nachweis zählt, wenn Dritte Ihr Bild ohne Label weiterverbreiten oder jemand bestreitet, dass es gekennzeichnet war:

Mit mintys erfüllen Sie Ihre Kennzeichnungspflicht nach dem AI Act ganz einfach in einem Durchgang: Label ins Bild, Content Credential in die Datei, Wasserzeichen in die Bildpunkte, Nachweis inklusive. Sichtbar kennzeichnen nach Art. 50 AI Act: Jetzt KI-Bilder kennzeichnen. Sie wollen die Echtheit eigener Aufnahmen belegen, statt sie später zu verteidigen? Content Credentials von on:mint.

Häufig gestellte Fragen