# C2PA erklärt: Herkunftsdaten, aber kein sichtbares KI-Label > C2PA standardisiert signierte Herkunftsangaben für digitale Medien. Was ein Manifest belegt, wie Plattformen es auswerten und warum es kein sichtbares KI-Label ersetzt. **Stand:** 2026-08-07 · **Kanonische Fassung:** https://kihinweis.de/glossar/c2pa · **Sprache:** de Herausgeber: kihinweis.de — unabhängiges Informationsportal zur KI-Kennzeichnungspflicht nach Art. 50 der KI-Verordnung (EU AI Act). Kein Angebot einer Behörde, keine Rechtsberatung. --- > **Kurz gesagt** > > C2PA ist ein offener Standard für **kryptografisch signierte Herkunftsangaben digitaler Medien**. Ein Manifest kann eingebettet oder extern verknüpft sein und Angaben etwa zu Werkzeugen, Bearbeitungsschritten oder KI-Beteiligung enthalten. C2PA ist eine mögliche technische Umsetzung der Anbieter-Markierung; eine erforderliche Offenlegung nach Art. 50 Abs. 4 muss für Menschen wahrnehmbar sein. **C2PA** (Coalition for Content Provenance and Authenticity) ist ein offener Industriestandard für Provenienzangaben digitaler Medien. Ein C2PA-Manifest besteht aus Assertions, einem Claim und dessen Signatur. Es kann in der Datei eingebettet oder extern verknüpft sein und Angaben zu Werkzeugen, Bearbeitungsschritten oder KI-Beteiligung enthalten. Welche Assertions vorhanden sind, hängt vom jeweiligen Manifest ab. In der Praxis begegnet dir der Standard als [Content Credentials](https://kihinweis.de/glossar/content-credentials) samt dem spezifizierten „cr“-Symbol. Ein Consumer kann dieses Zeichen in seiner Oberfläche einblenden; es liegt nicht zwingend in den Pixeln. Vorhandene Daten, ihre Auswertung und die sichtbare Benutzeroberfläche sind deshalb drei getrennte Ebenen. ## Wer C2PA tatsächlich schreibt „Bei C2PA dabei“ sagt wenig: Mitgliedschaft, Gremiensitz und geprüfte Konformität sind drei verschiedene Dinge. Die **Conforming Products List** führt Produkte auf, die das C2PA-Konformitätsprogramm durchlaufen haben — 156 Einträge, Stand 07.08.2026: | Anbieter | Einträge auf der Conforming Products List | |---|---| | Google LLC | 45 — u. a. `Google Media Processing Services`, `Pixel Studio`, `Google Photos` | | OpenAI | 1 — `OpenAI Media Service`, als Erzeuger konform seit 28.01.2026 | | Adobe | 1 — aber nur `Content Authenticity Inspect`, ein reines **Prüf**werkzeug | | Midjourney, Canva, Leonardo AI, Stability AI | kein aktuell gelistetes konformes Produkt | Die Liste ist in beide Richtungen kein Vollbeweis: [Adobe Firefly](https://kihinweis.de/ki-kennzeichnung/adobe-firefly) bettet Content Credentials ein, obwohl dort kein Adobe-Generator gelistet ist. Umgekehrt belegt ein fehlender Eintrag bei [Midjourney](https://kihinweis.de/ki-kennzeichnung/midjourney) oder [Leonardo AI](https://kihinweis.de/ki-kennzeichnung/leonardo-ai) nur, dass aktuell kein entsprechendes Produkt als konform gelistet ist. Ob eine konkrete Datei ein Manifest trägt, musst du separat prüfen. ## Wer C2PA liest Hier wird es unübersichtlich. Ein dateispezifischer Test von **Indicator** vom März 2026 beobachtete: **Instagram** schien reguläres IPTC `DigitalSourceType`, nicht C2PA auszuwerten; **LinkedIn** reagierte im Test auf C2PA, nicht auf IPTC. **Pinterest** zeigte ein Ergebnis für Meta-IPTC und für OpenAI-C2PA, nicht aber für Google-C2PA. Das sind datierte Beobachtungen mit konkreten Testdateien, keine allgemeine Plattformgarantie. Für dich heißt das: Ein vorhandenes Manifest kann von einer Plattform verarbeitet werden. Ob und welche sichtbare UI daraus entsteht, hängt von Plattform, Datei und aktuellem Produktstand ab. ## Signatur und Bindung sind zwei verschiedene Dinge > **Achtung — Nicht C2PA-fähige Verarbeitung kann die Spur unterbrechen** > > Die Claim-Signatur schützt den Claim; ein separates Hard Binding bindet das Manifest kryptografisch an das gesamte Asset oder definierte Teile davon. Nicht C2PA-fähige Transformationen können das Manifest entfernen oder dazu führen, dass das Binding nicht mehr validiert. C2PA-fähige Editoren können dagegen ein neues Manifest mit Bezug auf das Ausgangsmedium hinzufügen. Durable Content Credentials können externe Manifeste über Soft Bindings wieder auffindbar machen. Screenshot, WebP-Konvertierung oder Zuschnitt **können** die eingebettete Spur beenden, tun das aber nicht als technische Naturregel in jedem C2PA-Workflow. ## Was C2PA für die KI-Kennzeichnung leistet C2PA ist eine mögliche technische Umsetzung der **Anbieter**-Pflicht aus (Art. 50 Abs. 2). Ob eine konkrete Implementierung alle gesetzlichen Anforderungen erfüllt, lässt sich nicht allein aus dem Vorhandensein eines Manifests ableiten. Deine eigene Pflicht als [Betreiber](https://kihinweis.de/glossar/betreiber) steht in (Art. 50 Abs. 4), und die Kommission hat klargestellt, dass sich das eine nicht mit dem anderen erledigen lässt: Offenlegung muss ohne „specific technical tools“ wahrnehmbar sein, „therefore, deployers cannot rely on the machine-readable marking embedded in the content by the provider“ (LL Rn. 117). C2PA kann damit zusätzliche, signierte Provenienzangaben liefern, ist aber kein unabhängiger Wahrheitsbeweis und kein Ersatz für eine erforderliche sichtbare Offenlegung. Auch ein [Wasserzeichen](https://kihinweis.de/glossar/wasserzeichen) ist für betroffene Menschen nicht automatisch wahrnehmbar. Wie die sichtbare Seite aussieht, steht im [Leitfaden zur KI-Kennzeichnung](https://kihinweis.de/ki-kennzeichnung) und ausführlich unter [Wie kennzeichnen?](https://kihinweis.de/ki-kennzeichnung/wie). **Provenienz erhalten, Sichtbarkeit ergänzen** Nicht C2PA-fähige Verarbeitung kann ein Manifest entfernen oder seine Bindung ungültig machen. Ergibt deine Betreiber- und Deepfake-Prüfung eine Offenlegungspflicht, bleibt ein ins Bild gesetzter Hinweis bei vielen Konvertierungen besonders robust: Zieh dein Bild in den Editor, setz das optionale offizielle EU-Label oder einen klaren eigenen Hinweis und exportier in Eingabeauflösung bis zum Browserlimit. [Zum Editor](https://kihinweis.de/editor) ## Häufige Fragen ### Reicht C2PA als KI-Kennzeichnung? Nicht allein. C2PA ist eine mögliche technische Umsetzung der maschinenlesbaren Anbieter-Markierung aus Art. 50 Abs. 2; ein Manifest beweist aber nicht automatisch vollständige Rechtskonformität. Wenn du als Betreiber einen erfassten Deepfake einsetzt, brauchst du zusätzlich eine für Menschen wahrnehmbare Offenlegung. ### Wie prüfe ich, ob ein Bild Content Credentials trägt? Mit einem Prüfwerkzeug, das C2PA-Manifeste liest, etwa Adobe Content Authenticity Inspect. Findet es nichts, beweist das keine menschliche Herkunft: Eine nicht C2PA-fähige Verarbeitung kann das Manifest entfernen oder das Content Binding ungültig machen, und nicht jeder Generator setzt eines. C2PA-fähige Bearbeitung kann die Provenienzkette dagegen fortschreiben. ### Was ist der Unterschied zwischen C2PA und Content Credentials? C2PA ist die Organisation und der offene technische Standard. „Content Credential“ ist in der C2PA-Spezifikation die bevorzugte nichttechnische Bezeichnung für ein C2PA-Manifest; „Content Credentials“ bezeichnet auch die Gesamttechnologie. Adobe ist ein prominenter Implementierer, aber der Begriff ist kein bloßer Adobe-Produktname. ## Quellen - [C2PA Content Credentials 2.4 — Manifest, Assertions, Signatur und Content Bindings](https://spec.c2pa.org/specifications/specifications/2.4/specs/ContentCredentials.html) - [C2PA Conformance Explorer — Conforming Products List (Stand 07.08.2026)](https://spec.c2pa.org/conformance-explorer/) - [Indicator: „AI labeling is still very much a work in progress“ (18.03.2026, dateispezifischer Plattform-Test)](https://indicator.media/p/ai-labeling-is-still-very-much-a-work-in-progress) - [OpenAI: „Advancing content provenance“ (Grenzen von Metadaten)](https://openai.com/index/advancing-content-provenance/) - [Europäische Kommission, Leitlinien zu Art. 50, C(2026) 5054 final vom 20.07.2026, insb. Rn. 117](https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems)