KI-Bilder erkennen: warum sich KI schwer verstecken lässt

Oft ja, aber nicht immer. Jede Methode funktioniert in manchen Fällen und versagt in anderen.

Früher hieß KI erkennen: nach seltsamen Händen suchen. Die neuesten Modelle enthalten „kaum noch Fehler“, schreibt das Schweizer Bundesamt für Cybersicherheit (BACS). Deshalb markieren die großen Anbieter Bilder heute schon bei der Erstellung, an mehreren Stellen zugleich: in den Pixeln (eine sichtbare Kennzeichnung oder ein unsichtbares Wasserzeichen), in der Datei (signierte Content Credentials oder ein IPTC-Tag) und beim Anbieter (Aufzeichnungen, die sein eigener Detektor abgleichen kann).

Diese Ebenen stammen von verschiedenen Beteiligten und versagen auf unterschiedliche Weise: Ein Screenshot entfernt die Metadaten, während Wasserzeichen darauf ausgelegt sind, ihn zu überstehen. Deshalb lässt sich ein KI-Bild schwer verstecken. Dafür müsste man jede Ebene aushebeln, und oft reicht ein einziges verbliebenes Signal, um die Frage aufzuwerfen.

Jede Ebene sitzt an einer anderen Stelle und versagt auf andere Weise. Keine reicht allein.

Herkunftsnachweise funktionieren in beide Richtungen: Manche Kameras signieren echte Fotos. Die Leica M11-P wurde 2023 als erste Kamera mit Content Credentials vorgestellt, und jedes JPEG aus der Kamera des Google Pixel 10 trägt sie.

Die meisten Bilder der großen Generatoren haben heute eines, meist ein unsichtbares. Das fügen die Anbieter nach eigenen Angaben hinzu:

• Google: SynthID, ausgelegt darauf, „Zuschneiden, Filter, geänderte Bildraten oder verlustbehaftete Kompression“ zu überstehen, dazu C2PA bei Bildern von Nano Banana Pro.
• OpenAI: C2PA seit 2024 und seit Mai 2026 zusätzlich SynthID, bei Bildern aus ChatGPT, Codex und der API.
• NVIDIA nutzt SynthID bei Cosmos-Videos, und Kakao hat es für seine Bild- und Videomodelle ab dem zweiten Halbjahr 2026 angekündigt.
• Meta: sein Wasserzeichen „Content Seal“ in jedem Bild von Muse Image, mit einem Vorschau-Detektor.
• Adobe: Content Credentials plus TrustMark, ein Open-Source-Wasserzeichen, und ein signierter Fingerabdruck.
• TikTok: testet ein unsichtbares Wasserzeichen, das nur TikTok lesen kann, bei Inhalten aus seinen KI-Tools und bei Uploads mit C2PA.
• Midjourney: laut seinem Hilfecenter ein verstecktes ID-Tag in jedem Bild, mit einem kostenlosen Prüftool.
• Black Forest Labs (FLUX): C2PA in seiner API und seinen gehosteten Tools, ein Wasserzeichen nur optional.

China verlangt seit dem 1. September 2025 sichtbare und versteckte Kennzeichnungen für KI-Inhalte. Die Lücke: Open-Weight-Modelle, die auf dem eigenen Computer laufen, fügen womöglich gar keine Markierung hinzu, sodass kein Prüftool Ihnen sagen kann, dass ein unmarkiertes Bild echt ist.

Art. 50 Abs. 2 der KI-Verordnung (Verordnung (EU) 2024/1689) verpflichtet Anbieter generativer KI sicherzustellen, dass ihre Ausgaben „in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind“, mit Lösungen, die, soweit technisch möglich, wirksam, interoperabel, belastbar und zuverlässig sind. Das gilt seit dem 2. August 2026; generative Systeme, die schon vor diesem Datum auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit.

Der Verhaltenskodex der Kommission für die Transparenz von KI-generierten Inhalten (endgültige Fassung vom 10. Juni 2026) macht das konkret. Die Kommission führt 95 Unterzeichner seines Abschnitts für Anbieter auf, die sich verpflichten zu:

• mindestens zwei Ebenen bei Bildern: signierte Metadaten und ein nicht wahrnehmbares Wasserzeichen. Fingerprinting oder Protokollierung allein gilt „nicht als ausreichend“;
• einem Entfernungsverbot: Ihre Nutzungsbedingungen untersagen das absichtliche Entfernen von Markierungen;
• einem kostenlosen Erkennungstool, öffentlich zugänglich, wo die Öffentlichkeit die Inhalte sehen kann, und für Aufsichtsbehörden, Medien, Faktenchecker, Forschende und Zivilgesellschaft immer kostenlos und unbegrenzt;
• Robustheitstests gegen erneute Kompression, Screenshots, Zuschneiden, Skalieren, Drucken und Scannen sowie gegen Angriffe, die die Markierung entfernen oder durch Neugenerierung tilgen wollen;
• interoperabler Erkennung von Wasserzeichen bis zum 2. Februar 2027.

Die sichtbare Kennzeichnung ist eine eigene Pflicht, für Betreiber, die KI beruflich nutzen und Deepfakes veröffentlichen (Art. 50 Abs. 4), und die maschinenlesbaren Metadaten eines Anbieters erfüllen sie nicht. Unser Ratgeber zur KI-Kennzeichnungspflicht erklärt, wer wann kennzeichnen muss.

Kein einzelner Schritt liefert ein Urteil. Notieren Sie, was jeder ergibt, und wägen Sie alles zusammen ab.

Metadaten gehen leicht verloren. Ein Screenshot entfernt Content Credentials und IPTC-Tags, und die meisten sozialen Netzwerke entfernen sie beim Hochladen: OpenAI nannte C2PA „kein Allheilmittel“. Die Antwort der C2PA sind „Soft Bindings“: Wasserzeichen oder Fingerabdrücke, mit denen ein Tool die Nachweise online wiederfinden kann.

Wasserzeichen lassen sich angreifen, mit Aufwand. Regenerationsangriffe bauen das Bild mit einem KI-Modell neu auf. UnMarker, vorgestellt 2025 beim IEEE Symposium on Security and Privacy, braucht ein paar Minuten auf einer leistungsstarken A100-Grafikkarte: Gegen sieben Wasserzeichenverfahren lag die beste verbleibende Erkennungsrate bei 43 %, und ein informeller Test, über den The Register berichtete, senkte die SynthID-Erkennung von 100 % auf etwa 21 %. Auch starkes Zuschneiden zählt: Als Reuters 40 Muse-Bilder auf etwa ein Drittel bis die Hälfte ihrer Größe zuschnitt, übersah Metas Vorschau-Detektor, der alle 40 Originale erkannt hatte, 55 % davon. Das Entfernen erfordert gezielten Aufwand, Anbieter müssen dagegen testen, und die Erkennung wird ständig besser.

KI-Detektoren irren in beide Richtungen. In der Prüfung von NewsGuard vom 8. Mai 2026 lagen fünf Detektoren bei 13,3 % ihrer Urteile über echte Kriegsfotos falsch: Einer stufte 40 % der echten Fotos als KI ein, und mindestens ein Tool widersprach den anderen bei 35 von 45 Bildern. In einem Preprint vom September 2026 stuften 12 akademische Detektoren 17 % bis 91 % echter Smartphone-Fotos als KI ein.

Menschen urteilen nicht zuverlässig. In Microsofts Quiz „Real or Not“ beantworteten etwa 12.500 Personen 62 % der Fragen richtig. Eine Studie vom Dezember 2025 maß 54 % bei Midjourney-Bildern, kaum besser als ein Münzwurf; eine andere kam bei Bildern von FLUX.1-dev auf 29 %. Porträts sind leichter als Landschaften.

Selbst Kombinationen reichen nicht. Ein Bericht von Microsoft Research (Januar 2026) ergab, dass nur 20 von 60 Methodenkombinationen eine „Authentifizierung mit hoher Sicherheit“ erreichten, und warnt vor Angriffen, die echte Inhalte gefälscht aussehen lassen.

Ein fehlendes Wasserzeichen macht ein Bild nicht echt: Es kann von einem Modell ohne Markierung stammen oder zugeschnitten, per Screenshot kopiert oder angegriffen worden sein. Und ein entferntes Label macht ein KI-Bild nicht menschengemacht. Der Anbieter hat womöglich Aufzeichnungen, Nachweise können in einem Online-Verzeichnis überdauern, eine Plattform hat den Beitrag vielleicht schon gekennzeichnet, und aufmerksame Leserinnen und Leser schauen sich die Szene trotzdem genau an.

Die Herkunft eines Bildes zu verschleiern ist schwierig und geht leicht schief, und Anbieter, die den EU-Kodex unterzeichnen, verbieten in ihren Nutzungsbedingungen das Entfernen ihrer Markierungen. Es offen zu sagen ist der ehrliche Weg, und für Deepfakes, die beruflich veröffentlicht werden, verlangt Art. 50 Abs. 4 genau das: Unser Ratgeber zur Deepfake-Kennzeichnungspflicht erklärt, wann ein Bild als Deepfake gilt.

Das Tool KI-Kennzeichnung für Bilder fügt Ihren Bildern das Icon der Europäischen Kommission hinzu (AI, AI GENERATED oder AI MODIFIED), in Ihrem Browser, und kann den IPTC Digital Source Type („mit KI erstellt“ oder „mit KI bearbeitet“) in die Datei schreiben. Der Ratgeber KI-Kennzeichnung EU-Icons hilft Ihnen, das richtige zu wählen.