C2PA (Coalition for Content Provenance and Authenticity) ist ein offener Industriestandard für Provenienzangaben digitaler Medien. Ein C2PA-Manifest besteht aus Assertions, einem Claim und dessen Signatur. Es kann in der Datei eingebettet oder extern verknüpft sein und Angaben zu Werkzeugen, Bearbeitungsschritten oder KI-Beteiligung enthalten. Welche Assertions vorhanden sind, hängt vom jeweiligen Manifest ab.
In der Praxis begegnet dir der Standard als Content Credentials samt dem spezifizierten „cr“-Symbol. Ein Consumer kann dieses Zeichen in seiner Oberfläche einblenden; es liegt nicht zwingend in den Pixeln. Vorhandene Daten, ihre Auswertung und die sichtbare Benutzeroberfläche sind deshalb drei getrennte Ebenen.
Wer C2PA tatsächlich schreibt
„Bei C2PA dabei“ sagt wenig: Mitgliedschaft, Gremiensitz und geprüfte Konformität sind drei verschiedene Dinge. Die Conforming Products List führt Produkte auf, die das C2PA-Konformitätsprogramm durchlaufen haben — 156 Einträge, Stand 07.08.2026:
| Anbieter | Einträge auf der Conforming Products List |
|---|---|
| Google LLC | 45 — u. a. Google Media Processing Services, Pixel Studio, Google Photos |
| OpenAI | 1 — OpenAI Media Service, als Erzeuger konform seit 28.01.2026 |
| Adobe | 1 — aber nur Content Authenticity Inspect, ein reines Prüfwerkzeug |
| Midjourney, Canva, Leonardo AI, Stability AI | kein aktuell gelistetes konformes Produkt |
Die Liste ist in beide Richtungen kein Vollbeweis: Adobe Firefly bettet Content Credentials ein, obwohl dort kein Adobe-Generator gelistet ist. Umgekehrt belegt ein fehlender Eintrag bei Midjourney oder Leonardo AI nur, dass aktuell kein entsprechendes Produkt als konform gelistet ist. Ob eine konkrete Datei ein Manifest trägt, musst du separat prüfen.
Wer C2PA liest
Hier wird es unübersichtlich. Ein dateispezifischer Test von Indicator vom März 2026 beobachtete: Instagram schien reguläres IPTC DigitalSourceType, nicht C2PA auszuwerten; LinkedIn reagierte im Test auf C2PA, nicht auf IPTC. Pinterest zeigte ein Ergebnis für Meta-IPTC und für OpenAI-C2PA, nicht aber für Google-C2PA. Das sind datierte Beobachtungen mit konkreten Testdateien, keine allgemeine Plattformgarantie.
Für dich heißt das: Ein vorhandenes Manifest kann von einer Plattform verarbeitet werden. Ob und welche sichtbare UI daraus entsteht, hängt von Plattform, Datei und aktuellem Produktstand ab.
Signatur und Bindung sind zwei verschiedene Dinge
Was C2PA für die KI-Kennzeichnung leistet
C2PA ist eine mögliche technische Umsetzung der Anbieter-Pflicht aus Art. 50 Abs. 2. Ob eine konkrete Implementierung alle gesetzlichen Anforderungen erfüllt, lässt sich nicht allein aus dem Vorhandensein eines Manifests ableiten.
Deine eigene Pflicht als Betreiber steht in Art. 50 Abs. 4, und die Kommission hat klargestellt, dass sich das eine nicht mit dem anderen erledigen lässt: Offenlegung muss ohne „specific technical tools“ wahrnehmbar sein, „therefore, deployers cannot rely on the machine-readable marking embedded in the content by the provider“ LL Rn. 117.
C2PA kann damit zusätzliche, signierte Provenienzangaben liefern, ist aber kein unabhängiger Wahrheitsbeweis und kein Ersatz für eine erforderliche sichtbare Offenlegung. Auch ein Wasserzeichen ist für betroffene Menschen nicht automatisch wahrnehmbar. Wie die sichtbare Seite aussieht, steht im Leitfaden zur KI-Kennzeichnung und ausführlich unter Wie kennzeichnen?.
Provenienz erhalten, Sichtbarkeit ergänzen
Nicht C2PA-fähige Verarbeitung kann ein Manifest entfernen oder seine Bindung ungültig machen. Ergibt deine Betreiber- und Deepfake-Prüfung eine Offenlegungspflicht, bleibt ein ins Bild gesetzter Hinweis bei vielen Konvertierungen besonders robust: Zieh dein Bild in den Editor, setz das optionale offizielle EU-Label oder einen klaren eigenen Hinweis und exportier in Eingabeauflösung bis zum Browserlimit.
