KI-Wasserzeichen für Bilder: Was bleibt, wenn die Metadaten verschwinden?

Warum ein Screenshot die Kennzeichnung löscht

Ein Screenshot erzeugt eine neue Datei aus den angezeigten Bildpunkten. Der Metadaten-Container des Originals kommt nicht mit, und viele Plattformen entfernen ihn beim Upload ohnehin.

Wenn in diesem Beitrag von Wasserzeichen die Rede ist, sind Bilder gemeint; Wasserzeichen in KI-Texten funktionieren anders, über Muster in der Wortwahl, und sind hier nicht Thema. Bei Bildern gibt es drei Ebenen, auf denen eine KI-Kennzeichnung liegen kann: das sichtbare Label im Bild, die Metadaten der Datei und das unsichtbare Wasserzeichen in den Bildpunkten. Metadaten sind unsichtbare Zusatzinformationen, die in der Bilddatei mitgespeichert werden; Menschen sehen davon nichts, Prüfsoftware kann sie auslesen. Dort liegen auch die Content Credentials nach dem C2PA-Standard, einem offenen Standard für Herkunftsangaben direkt in der Datei.

Ein Screenshot kennt diese Ebene nicht. Er fotografiert, was der Bildschirm zeigt, und schreibt daraus eine neue Datei; der Container mit den Metadaten des Originals bleibt zurück. Das Standardisierungsgremium hinter C2PA schreibt selbst, dass Content Credentials von Plattformen, die den Standard nicht unterstützen, bei der Verbreitung routinemäßig entfernt oder beschädigt werden können, typischerweise dort, wo Plattformen eigene Ausspielversionen der Bilder erzeugen. Ein Branchentest aus dem Jahr 2019 fand bei mehreren großen sozialen Netzwerken, dass eingebettete Metadaten beim Upload weitgehend verschwinden; das Plattformverhalten hat sich seit 2024 teils geändert, das Grundproblem nicht. Die EU-Kommission ermutigt Plattformen in ihren Leitlinien, Markierungen und Labels zu erhalten; nach dem AI Act verpflichtet sind sie dazu nicht.

Ein Beispiel: Ihre Agentur liefert ein Kampagnenmotiv mit sauberen Herkunftsangaben. Jemand aus dem Team macht einen Screenshot für den Newsletter. Die Herkunftsangaben sind weg, das Motiv ist dasselbe.

Was am Bild hängt, reist mit dem Bild. Was an der Datei hängt, bleibt bei der Datei.

Was ein unsichtbares Wasserzeichen ist und wie es funktioniert

Ein unsichtbares Wasserzeichen verändert die Bildpunkte so minimal, dass Menschen nichts sehen, ein Detektor das Muster aber wiederfindet.

Das digitale Wasserzeichen, um das es hier geht, hat mit dem Logo in der Bildecke wenig zu tun. Das sichtbare Wasserzeichen ist ein Aufdruck, den jeder sieht und der sich wegschneiden lässt. Das unsichtbare Wasserzeichen ist ein Muster feiner Helligkeitsänderungen, über das ganze Bild verteilt und weit unterhalb dessen, was ein Auge wahrnimmt. Die Technik dahinter gehört zur Familie der Steganografie: Information wird im Inhalt selbst versteckt statt angehängt. Sie ist von der Kryptografie zu unterscheiden, die mit Signaturen und Prüfsummen nachweist, dass eine Datei unverändert ist; die Steganografie versteckt, die Kryptografie versiegelt.

Eine einfache Form der Steganografie ersetzt das jeweils letzte Bit jedes Farbwerts. Sie ist nicht robust: Schon das erneute Speichern als JPEG zerstört sie. Moderne Wasserzeichen für KI-Bilder verteilen ihr Muster deshalb so, dass es Kompression und Skalierung überdauert. Der Praxisleitfaden unterscheidet zwei Wege: Das Wasserzeichen wird nachträglich in ein fertiges Bild eingerechnet, oder es entsteht schon im Modell während der Bilderzeugung. Bei lernenden Verfahren werden Einbetter und Detektor gemeinsam trainiert. Der Detektor prüft ein Bild auf das Muster und meldet, mit welcher Sicherheit er es erkennt.

Zwei Eigenschaften folgen daraus. Ein Wasserzeichen trägt nur wenig Information, meist eine kurze Kennung, keinen ganzen Herkunftsbericht. Und es braucht den passenden Detektor; wer den nicht hat, sieht nichts. Beides unterscheidet es vom digitalen Fingerabdruck, der gar nichts einbettet, sondern aus den Merkmalen eines Bildes eine Kennzahl berechnet und damit Kopien wiedererkennt, allerdings nur näherungsweise.

Ein unsichtbares Wasserzeichen ist also weder Stempel noch Beipackzettel, sondern eine Markierung im Material des Bildes.

Wie Wasserzeichen und Content Credentials zusammenspielen

Das Wasserzeichen ist die Passnummer im Bild, mit der sich der signierte Herkunftsnachweis wiederfinden lässt, wenn die Datei ihn verloren hat.

Content Credentials nach C2PA sind ein digitaler Pass für eine Datei: ein signierter Datensatz, der festhält, wer den Inhalt erstellt hat und ob KI im Spiel war. Dieser Pass ist über eine Prüfsumme fest an den exakten Dateiinhalt gebunden; ändert sich in den abgedeckten Bereichen ein einziges Byte, gilt die Bindung als gebrochen. Das macht Manipulationen sichtbar, es macht den Pass aber auch verletzlich gegen alles, was die Datei verändert, vom Upload bis zum Screenshot. Wie der Standard im Ganzen funktioniert: C2PA erklärt.

Für diesen Fall sieht der Standard das Wasserzeichen als sogenanntes Soft Binding vor: eine schwache, aber haltbare Verbindung zwischen Bild und Herkunftsnachweis. Das Wasserzeichen trägt eine Kennung; mit ihr lässt sich der Pass in einem Verzeichnis hinterlegter Nachweise wiederfinden, auch wenn die Datei ihn nicht mehr enthält. Der Standard formuliert den Zweck ausdrücklich so: Das Wasserzeichen soll den zugehörigen Nachweis auffindbar machen. Als Prüfsumme darf es nicht dienen, denn es hat einen anderen Zweck: Es belegt nicht, dass die Datei unverändert ist, sondern führt zum Nachweis. Der Praxisleitfaden zieht daraus die Konsequenz und verlangt von den Anbietern, die ihn unterzeichnet haben, beide Schichten: einen signierten KI-Vermerk in den Metadaten und ein unsichtbares Wasserzeichen als robusten Anker.

Ein Bild ohne Metadaten, aber mit Wasserzeichen, ist damit kein Bild ohne Herkunft. Es ist ein Bild, dessen Herkunft sich nachschlagen lässt. Was in den Metadaten steht und wie Sie sie selbst prüfen: Content Credentials prüfen und verstehen.

Metadaten sagen, woher das Bild kommt. Das Wasserzeichen sorgt dafür, dass man die Metadaten wiederfindet.

Was ein Wasserzeichen aushält und was nicht

Ein modernes Wasserzeichen ist darauf ausgelegt, Alltagsbearbeitung zu überstehen; der Praxisleitfaden verlangt genau das, und Anbieter belegen es je Verfahren. Gegen gezielte Angriffe ist keine Wasserzeichenklasse bewiesen sicher.

Unter Alltagsbearbeitung versteht der Praxisleitfaden, was mit Bildern im Netz ständig passiert: erneutes Komprimieren, Screenshots und Bildschirmaufnahmen, Zuschneiden, Skalieren, Abfotografieren vom Bildschirm oder vom Papier. Gegen diese Operationen sollen die Markierungen der Anbieter widerstandsfähig sein, soweit das technisch machbar ist und dem Stand der Technik entspricht. Ein großer KI-Anbieter beschreibt sein eigenes Verfahren sinngemäß so, dass es Zuschneiden, Filter, geänderte Bildraten und verlustbehaftete Kompression überstehe, und hat es gegen dreißig gängige Bildveränderungen getestet. Solche Angaben gelten für das jeweils geprüfte Verfahren, nicht für Wasserzeichen als Gattung; und je kleiner der verbleibende Bildausschnitt, desto weniger Muster bleibt zum Erkennen.

Die Grenzen sind ebenso gut dokumentiert, und sie sind nach Verfahrensklasse verschieden:

• Regeneration. Ein Forschungsteam (Zhao et al., NeurIPS 2024) zeigt, dass Wasserzeichen, die auf Pixelebene eingerechnet werden, verwundbar sind, wenn ein Bild durch ein KI-Modell neu erzeugt wird: Das Motiv bleibt, das Muster verschwindet.
• Gezielte Angriffe auf semantische Wasserzeichen. Wasserzeichen, die nicht nachträglich hinzugefügt, sondern schon während der Bilderzeugung tief in den Erzeugungsprozess eingebettet werden, galten als Antwort darauf. Ein Forschungsteam der Ruhr-Universität Bochum hat 2025 gezeigt, dass Angreifer solche Wasserzeichen mit vergleichsweise einfachen Mitteln fälschen oder vollständig entfernen können.
• Abfotografieren und Ausdrucken. Der Praxisleitfaden verlangt, dass Markierungen, soweit technisch machbar, auch Ausdruck und Scan sowie das Abfilmen vom Bildschirm überstehen. Dass das möglich ist, hat ein Forschungsverfahren 2020 gezeigt; belegt ist es nicht für jedes eingesetzte Wasserzeichen.

Ein großer Anbieter formuliert es selbst nüchtern: Vollständige Sicherheit sei unerreichbar, das Ziel sei, Angriffe so schwer und teuer wie möglich zu machen. Für Sie heißt das: Ein Wasserzeichen überlebt in der Regel, was im Marketingalltag mit Bildern geschieht. Wer es gezielt loswerden will, kann das je nach Verfahren schaffen, teils mit vergleichsweise einfachen Mitteln.

Robust heißt nicht unzerstörbar. Robust heißt: hält dem Alltag stand und ist im Verbund mit den anderen Schichten schwer zu beseitigen. Genau diesen Verbund verlangt das Gesetz.

Was das Gesetz von der Markierung verlangt

Der AI Act verlangt eine „belastbare“ Markierung. Die Kommission verlangt dafür eine Gesamtlösung, die alle Anforderungen zusammen erfüllt; der Praxisleitfaden setzt das mit mindestens zwei Schichten um.

Artikel 50 Absatz 2 AI Act verpflichtet die Anbieter generativer KI, ihre Ausgaben maschinenlesbar zu markieren, mit Lösungen, die „soweit technisch möglich“ wirksam, interoperabel, belastbar und zuverlässig sind. Das Wasserzeichen steht nicht im Artikel selbst, aber in den Erwägungsgründen des Gesetzes: Dort werden Wasserzeichen, Metadaten-Kennungen, kryptografische Herkunftsnachweise, Protokollierung und Fingerabdrücke als geeignete Techniken genannt, „oder eine Kombination solcher Techniken“. Die Leitlinien der EU-Kommission zu den Transparenzpflichten vom Juli 2026, an denen sich die Aufsichtsbehörden orientieren, definieren „belastbar“ als die Fähigkeit, KI-Inhalte unter wechselnden Bedingungen zu erkennen, bei gewöhnlichen Veränderungen ebenso wie bei gezielten Angriffen. Sie lassen eine einzelne Technik oder eine Kombination zu und verlangen, die Anforderungen über alle eingesetzten Techniken zusammen zu erfüllen, mit Blick auf deren Grenzen und ihr Zusammenspiel.

Der Praxisleitfaden setzt das um: Weil keine einzelne Technik nach dem Stand der Technik alle vier Anforderungen allein erfüllt, verlangt er von den Anbietern, die ihn unterzeichnet haben, mindestens zwei Schichten, signierte Metadaten und ein unsichtbares Wasserzeichen. Das Standardisierungsgremium hinter C2PA sagt dasselbe mit anderen Worten: Keine einzelne Technik reiche für sich, eingebettete Informationen ließen sich entfernen, Wasserzeichen überwinden, Fingerabdrücke lieferten nur Wahrscheinlichkeiten.

Ein Punkt darf dabei nicht verloren gehen: Diese Pflicht trifft die Anbieter, nicht Sie. Ein Wasserzeichen im Bild erfüllt Ihre eigene Pflicht zur sichtbaren Offenlegung nicht; die Leitlinien stellen ausdrücklich klar, dass Betreiber sich nicht auf die maschinenlesbare Markierung stützen können. Der Anbieter markiert für Maschinen, Sie legen für Menschen offen. Was Ihre Rolle genau ist: Wer muss KI-Bilder kennzeichnen?; wie sich die Verfahren im Vergleich schlagen: Kennzeichnungsverfahren im Vergleich.

Das Gesetz will Belastbarkeit, und Belastbarkeit entsteht aus Schichten.

Fazit: KI-Wasserzeichen sind die Schicht, die bleibt

Das Problem sind selten fehlende Kennzeichnungen. Das Problem ist, dass sie unterwegs verloren gehen. Sichtbare Labels werden abgeschnitten, Metadaten beim Upload entfernt, und am Ende steht ein KI-Bild ohne Herkunft im Netz, obwohl es gekennzeichnet war. Das unsichtbare Wasserzeichen ist die Schicht, die diesen Weg überlebt: nicht unzerstörbar, aber im Alltag haltbar und der Schlüssel, mit dem sich der Herkunftsnachweis wiederfinden lässt. Zu tun ist deshalb: Setzen Sie Ihr sichtbares Label (KI-Bilder kennzeichnen: Schritt für Schritt), sorgen Sie dafür, dass Ihre Dateien Herkunftsangaben tragen, und verlassen Sie sich für den Nachweis auf eine Schicht, die mit dem Bild reist. Alle Beiträge der Serie: Überblick zur KI-Kennzeichnungspflicht.

Dafür haben wir mintys gebaut, die KI-Kennzeichnungsapp von on:mint: sichtbares Label im Bild, Content Credential nach C2PA in der Datei, unsichtbares Wasserzeichen in den Bildpunkten, das Zuschnitt, Kompression und erneutes Hochladen übersteht, also die übliche Bearbeitung, und der Eintrag, wann und von wem gekennzeichnet wurde. So trägt jedes Bild seinen digitalen Pass, und Sie haben den Nachweis: Entfernt jemand das sichtbare Label oder löscht eine Plattform die Metadaten, führt das Wasserzeichen zum Eintrag zurück, und Sie belegen, wann und von wem dieses Bild gekennzeichnet wurde. Wie mintys im Einzelnen arbeitet: KI-Kennzeichnung mit mintys.

Ob ein Bild im Netz seine Herkunftsangaben noch trägt, zeigt on:mint Verify, eine kostenlose Browser-Erweiterung für Chrome: Sie prüft per Rechtsklick jedes Bild im Netz auf Content Credentials, on:mint-Herkunftsnachweise und KI-Kennzeichnung. on:mint hat den Code of Practice on Transparency of AI-Generated Content unterzeichnet und kennzeichnet nach dessen Verfahren. Die EU-Kommission hat den Code im Juli 2026 als angemessenes Instrument bestätigt, um die Kennzeichnungspflichten zu erfüllen; nach ihren Leitlinien ist er der bislang einzige EU-weit anerkannte praktische Rahmen, um die Einhaltung zu belegen. Wer mit mintys kennzeichnet, kennzeichnet im Einklang mit dem Code und kann mit weniger Auskunftsersuchen der Aufsicht rechnen: Zusätzliche Nachweise erwarten die Leitlinien vor allem von Unternehmen, die ihre Kennzeichnung nicht an einem anerkannten Kodex ausrichten.

Zum Kostenrisiko: Der AI Act sieht für Verstöße gegen die Kennzeichnungspflicht Geldbußen von bis zu 15 Millionen Euro oder, bei Unternehmen, bis zu 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag. Dazu kommt die Abmahnung: Die Wettbewerbszentrale wertet Verstöße gegen den AI Act als unlauteren Wettbewerb und hat im Juli 2026 eine Beschwerdestelle für KI-Fälle eingerichtet, ausdrücklich auch für fehlende oder falsche Kennzeichnung KI-generierter Werbung. Mit Abmahnungen, also Unterlassungsaufforderungen samt Kostennote, ist deshalb zu rechnen. Was ein Verstoß im Einzelnen kostet: Was ein Verstoß kostet.

Drei Wege im Vergleich. Gegenüber dem Betrachter zählt allein das sichtbare Label; der Nachweis zählt, wenn Dritte Ihr Bild ohne Label weiterverbreiten oder jemand bestreitet, dass es gekennzeichnet war:

Mit mintys erfüllen Sie Ihre Kennzeichnungspflicht nach dem AI Act ganz einfach in einem Durchgang: Label ins Bild, Content Credential in die Datei, Wasserzeichen in die Bildpunkte, Nachweis inklusive. Sichtbar kennzeichnen nach Art. 50 AI Act: Jetzt KI-Bilder kennzeichnen. Wie Content Credentials und Wasserzeichen in Ihre Dateien kommen: Content Credentials mit on:mint.

Häufig gestellte Fragen