Coalition for Content Provenance and Authenticity (C2PA)
C2PA ist ein offener technischer Standard, mit dem sich Herkunft und Bearbeitungsverlauf digitaler Inhalte maschinenlesbar und fälschungssicher belegen lassen. Die Abkürzung steht für «Coalition for Content Provenance and Authenticity». Der Standard legt fest, wie Angaben zu Ursprung und Bearbeitung eines Bildes, Videos, Audios oder Dokuments gespeichert, signiert und überprüft werden. Für Nutzende sichtbar werden diese Angaben als «Content Credentials».
Was ist der C2PA-Standard?
Hinter dem Standard steht eine breite Allianz aus Technologieunternehmen, Kameraherstellern und Medienhäusern – darunter Adobe, Microsoft, Google, OpenAI, Sony und die BBC.
Die wichtigsten Merkmale im Überblick:
- Offen und frei lesbar: C2PA ist kein proprietäres System. Spezifikation und Open-Source-Werkzeuge stehen allen zur Verfügung, und C2PA-Informationen lassen sich lizenzfrei auslesen und prüfen. Wer Inhalte im eigenen Namen signieren möchte, benötigt ein Signaturzertifikat einer anerkannten Zertifizierungsstelle. Je nach Anbieter und Umfang ist das mit Kosten verbunden.
- Formatübergreifend: Der Standard gilt für Bilder, Videos, Audio und Dokumente (z. B. PDF) gleichermassen.
Wie funktioniert das C2PA-Manifest?
Das Herzstück des Standards ist das Manifest. Im C2PA-Standard bezeichnet das Manifest einen Datensatz, der an eine Datei gekoppelt ist und deren Herkunft und Bearbeitung dokumentiert. Anders als herkömmliche Metadaten wie EXIF- oder IPTC-Angaben, die sich beliebig ändern lassen, ist das Manifest kryptografisch signiert: Jede unbefugte Änderung an Datei oder Angaben wird sichtbar.
- Inhalt: Das Manifest enthält Angaben zu Ersteller, Erstellungszeitpunkt und verwendeten Werkzeugen – etwa Kameramodell, Bildbearbeitungssoftware oder KI-Generator.
- Bearbeitungsverlauf: Jeder Bearbeitungsschritt wird als sogenannte Assertion protokolliert. Wird ein Asset weiterbearbeitet, entsteht ein neues Manifest, das auf das vorherige verweist. So entsteht eine lückenlose Kette.
- Signatur und Bindung: Eine digitale Signatur verknüpft das Manifest mit dem Inhalt der Datei. Wird der Inhalt nachträglich verändert, ohne neu zu signieren, ist die Manipulation erkennbar.
- Speicherort: Manifeste können direkt in die Datei eingebettet oder extern referenziert werden.
Content Credentials: die sichtbare Seite des Standards
Content Credentials sind die für Nutzende sichtbare Darstellung der technischen C2PA-Daten.
- Erkennungszeichen: Das Symbol «CR» kennzeichnet Inhalte mit überprüfbaren Content Credentials.
- Prüfung für alle: Über verify.contentauthenticity.org lassen sich Credentials direkt im Browser einsehen und prüfen.
- Transparenz über KI: Content Credentials zeigen – sofern die Information hinterlegt ist –, ob ein Bild, Video oder Audio aufgenommen, bearbeitet oder mit KI generiert wurde.
C2PA im Digital Asset Management
Im Digital Asset Management laufen Bilder, Videos und Dokumente aus vielen Quellen zusammen: von Fotografinnen und Fotografen, Agenturen und Partnern ebenso wie aus KI‑Werkzeugen. Damit ist das DAM der logische Ort, um C2PA-Informationen beim Eingang auszulesen und als Metadaten zu speichern. DAM-Hersteller integrieren die C2PA-Unterstützung deshalb direkt in ihre Plattformen.
Für Unternehmen ergeben sich daraus konkrete Möglichkeiten:
- Herkunft beim Upload erfassen: Der Prüfstatus wird zum Metadatum, das sich filtern und durchsuchen lässt wie jedes andere Attribut.
- KI-Content erkennen: Assets, die ihr Manifest als KI‑generiert ausweisen, lassen sich sichtbar machen und gesondert behandeln.
- Freigaben steuern: Der Herkunftsnachweis kann als Kriterium in bestehende Freigabeprozesse einfliessen.
- Lieferanten prüfen: Unternehmen sehen, ob Material von Agenturen und Partnern aus einer autorisierten Quelle stammt und seit der Signatur unverändert ist.
Erzeugt werden die Herkunftsdaten in der Regel ausserhalb des DAM: von Kameras und Smartphones, von Kreativ- und KI-Werkzeugen wie Adobe Photoshop, Firefly, ChatGPT oder Google Gemini. Plattformen wie LinkedIn und TikTok zeigen «Content Credentials» bei unterstützten Inhalten an.
C2PA im Vergleich zu KI-Wasserzeichen
| Kriterium | C2PA | KI-Wasserzeichen (z. B. SynthID) |
|---|---|---|
| Ansatz | Offene, überprüfbare Metadaten, die mit der Datei verbunden sind | Unsichtbare Signale direkt in den Pixeln bzw. im Audiosignal |
| Robustheit | Können beim Konvertieren oder Hochladen verloren gehen | Überstehen Screenshots, Zuschnitte und Kompression eher |
| Prüfbarkeit | Mit jedem C2PA-konformen Werkzeug prüfbar | Nur mit dem Detektor des jeweiligen Anbieters prüfbar |
| Aussagekraft | Belegt Herkunft und Bearbeitungsverlauf | Zeigt an, dass ein Inhalt KI-generiert ist |
C2PA und Transparenzpflichten
Der EU‑AI-Act verlangt, dass bestimmte KI-generierte oder KI-veränderte Inhalte gekennzeichnet werden. C2PA bietet einen etablierten Weg, diese Information maschinenlesbar mit einem Inhalt mitzugeben. Für Schweizer Unternehmen, die Inhalte im EU-Raum ausspielen, ist das ebenfalls relevant. Rechtliche Pflichten und die Beurteilung im Einzelfall ersetzt der Standard allerdings nicht.
Häufige Fragen zum C2PA-Standard
Nein. C2PA belegt die Herkunft und den Bearbeitungsverlauf eines Inhalts, nicht dessen inhaltliche Wahrheit. Fehlt ein Herkunftsnachweis, ist ein Inhalt deshalb auch nicht automatisch gefälscht.
C2PA ist der technische Standard. Content Credentials sind die für Nutzende sichtbare Darstellung der C2PA-Daten, also dieselbe Information aus Anwendersicht.
Das hängt vom Hersteller und der eingesetzten Version ab. Viele DAM-Hersteller integrieren die C2PA-Unterstützung direkt in ihre Plattformen.
Das Auslesen und Prüfen von C2PA-Informationen ist lizenzfrei. Wer Inhalte selbst signieren möchte, muss mit Kosten rechnen. Die Integration in bestehende Systeme und Prozesse erfordert jedoch technischen und organisatorischen Aufwand.