Content Credentials ist die bevorzugte nichttechnische C2PA-Bezeichnung für ein C2PA-Manifest und zugleich ein Begriff für die Gesamttechnologie. Manifeste enthalten signierte Assertions über ein Bild, Audio, Video oder anderes digitales Asset. Der Manifest Store kann eingebettet oder extern verknüpft sein; welche Angaben enthalten sind, hängt vom jeweiligen Credential ab.
Was in einem Manifest steht
Bei automatisch angewendeten Adobe-Firefly-Credentials können etwa ein Vorschaubild, der Aussteller „Adobe Inc.“, Datum, App, eingesetztes KI-Werkzeug und Bearbeitungsaktionen erscheinen. Angaben zur Identität der erzeugenden Person, verknüpfte Profile oder eine KI-Trainingspräferenz sind optional. Das ist ein Adobe-Beispiel, keine universelle C2PA-Pflichtfeldliste.
Die Signatur macht den Claim überprüfbar und bindet ihn an den Signer; Content Bindings helfen zu erkennen, ob das Credential noch zum Asset passt. Ein Credential kann so eine signierte, prüfbare Provenienzkette bereitstellen. Ob einzelne Assertions sachlich wahr und der Signer vertrauenswürdig sind, muss trotzdem bewertet werden.
Das „cr“-Badge: sichtbar nur, wo jemand es einblendet
Das kleine „cr“-Zeichen ist das visuelle Erkennungsmerkmal — von C2PA spezifiziert als Buchstabenpaar in einem umrandeten Kreis, dessen untere rechte Ecke auf 90 Grad abgewinkelt ist. Bemerkenswert: Sowohl C2PA als auch die EU setzen bewusst auf Buchstaben („cr“ beziehungsweise „AI“) statt auf das in Consumer-Apps übliche Sternchen-Symbol.
Nur: Dieses Badge liegt nicht zwingend im Bild. Ein Consumer kann es beim Betrachten einblenden; die Auswertung von C2PA erzwingt weder das cr-Badge noch ein bestimmtes Plattformlabel. Ein dateispezifischer Indicator-Test vom März 2026 beobachtete eine Reaktion von LinkedIn auf C2PA, bei Instagram eher auf reguläres IPTC und bei Pinterest auf Meta-IPTC sowie OpenAI-C2PA, nicht aber Google-C2PA. Das ist eine datierte Stichprobe, keine allgemeine Produktspezifikation.
Wo sie verloren gehen — und warum das KI-Label bleibt
Metadaten sind fragil. Ein Screenshot enthält das zuvor eingebettete Manifest nicht; auch erneutes Speichern in einem nicht C2PA-fähigen Editor, die Umwandlung in ein Format ohne Credentials-Unterstützung oder eine Plattform-Neukodierung kann es entfernen. Es gibt Gegenmaßnahmen — unsichtbare Wasserzeichen und einen Cloud-Abgleich über digitale Fingerabdrücke —, doch Adobe formuliert die Grenze selbst deutlich: Nach der Verarbeitung auf einer metadatenentfernenden Plattform könnten die Credentials „lost and unrecoverable“ sein.
Daraus folgt die praktische Regel: Content Credentials liefern prüfbare Signale; eine erforderliche sichtbare Offenlegung bleibt ein eigener Schritt. Welche maschinenlesbaren Signale ein Generator dokumentiert, zeigt exemplarisch die Seite zu Adobe Firefly — und was daraus für deine eigene Pflicht folgt, steht im Überblick zur KI-Kennzeichnungspflicht.
Herkunft behalten, Label ergänzen
Lass vorhandene Credentials in der Datei. Ergibt deine Betreiber- und Deepfake-Prüfung zusätzlich eine sichtbare Offenlegungspflicht, kannst du das optionale offizielle EU-Label oder einen klaren eigenen Hinweis im Editor platzieren und in Eingabeauflösung bis zum Browserlimit exportieren. Läuft komplett lokal im Browser.
