Ein fehlender Stempel ist kein Echtheitsbeweis. Ein Detektor für Blut im Pixel ist kein Schloss.

Rubrik: Technologie & KI | Justiz & Recht Autor: V Lesezeit: ~27 min Quellen und weiterführende Lektüre: 22 Einträge Themen: deepfake, C2PA, Content Credentials, Videodetektion, Fotografie, AI Act, Strafgesetzbuch SEO / Arbeitstitel: Deepfake: Wie erkennt man ein gefälschtes Video oder Foto?

Die Frage lautet: Wie erkennt man ein gefälschtes Video oder Foto? Sie klingt nur so lange einfach, bis wir merken, dass wir nicht eine Sache vergleichen. Ein fehlender Stempel der Content Credentials ist kein Echtheitsbeweis. C2PA sagt, wer die Herkunft erklärt hat, nicht dass die Szene in der Welt stattgefunden hat. Ein Detektor für „Blut im Pixel“ ist kein forensischer Schluss auf Instagram. Eine Kennzeichnung nach dem AI Act ist keine strafrechtliche Verfolgung eines Täters. Erst wenn diese vier Dinge getrennt sind, lässt sich lesen, was Signatur, Labor und die Novelle des Strafgesetzbuchs zum September 2026 tatsächlich tragen — und was ein Auge, das den Zufall getroffen hat, nicht trägt.

Dieser Text behandelt nicht die Stimme. Telefonat, synthetische Stimme und Zahlung gehören in einen anderen Artikel. Er behandelt auch nicht die weitere Frage, ob eine Fotografie allein als Beweis vor Gericht genügt; das ist ein eigener Text über die Fotografie als Beweis. Hier geht es um die praktischere Frage: Was tun mit einer Datei, die auf dem Display liegt und sich als Bild der Welt gibt.

1. Journalist, Detektor und Staatsanwalt behandeln nicht dieselbe Fotografie

Stellen wir uns eine Redaktionskonferenz an einem Tag vor, an dem sich im Netz ein kurzes Video eines Politikers verbreitet. Die Redakteurin will wissen, ob eine erkennbare Kennzeichnung nach dem AI Act dabei ist. Der Grafiker sucht Content Credentials. Ein forensischer Enthusiast startet einen Detektor, der synthetisches Video anhand feiner Farbänderungen im Gesicht entlarven will. Der Jurist fragt, ob es um üble Nachrede, Betrug, einen Eingriff in das Ebenbild oder einen neuen Tatbestand im Strafgesetzbuch geht. Ein Leser schreibt in den Kommentaren, er „sehe das auf den ersten Blick“.

Auf den ersten Blick ist das ein Streit, ob das Video echt ist. Tatsächlich hält jeder einen anderen Gegenstand. Die Redakteurin behandelt die Kennzeichnungspflicht gegenüber dem Publikum. Der Grafiker behandelt ein kryptografisches Manifest in der Datei. Der Enthusiast behandelt ein statistisches Signal im Bild. Der Jurist behandelt den Umgang mit dem Ebenbild, Vorsatz und Folge. Der Leser behandelt den Eindruck.

Deshalb können alle teilweise recht haben und das gemeinsame Verdikt trotzdem falsch sein. Ein Video kann ungekennzeichnet und dennoch echt sein. Es kann ein gültiges Manifest haben und trotzdem nicht das einfangen, was ein Betrachter aus der Überschrift ableitet. Es kann einen Labordetektor bestehen und trotzdem nur schlecht komprimiert sein. Es kann offensichtlich synthetisch sein und trotzdem keinen konkreten Straftatbestand erfüllen.

Die erste Regel praktischer Detektion lautet deshalb nicht: Finden Sie den besten Detektor. Sie lautet: Bestimmen Sie die Schicht. Bei der Signatur fragen wir, ob die Datei ein überprüfbares Manifest trägt. Beim Detektor fragen wir, an welcher Population er geprüft wurde. Beim Recht fragen wir, was jemand mit dem Bild getan hat. Beim menschlichen Auge fragen wir, ob es überhaupt eine Chance hat, das zu unterscheiden, was es behauptet.

Ein fehlender Stempel ist kein Echtheitsbeweis.

— Jiný Kontext

2. Eine Szene auf dem Display hat mindestens sechs Schichten

Ein Bild im Telefon wirkt wie eine Sache. Das ist es nicht. Es ist das Ergebnis einer Kette, in der sich Sensor, Container, Bearbeitungen, Verteilung, Beschriftungen, algorithmische Eingriffe und rechtliche Folgen mischen. Werden diese Schichten vermischt, entsteht eine falsche Sicherheit: Es fehlen Metadaten, also ist es eine Fälschung; der Detektor hat eine hohe Punktzahl gezeigt, also ist die Sache erledigt; es fehlt die Kennzeichnung, also ist das Gesetz verletzt; das Bild wirkt seltsam, also ist es KI.

Sechs Schichten einer Szene:

1. Sensor und Container. Fotoapparat, Telefon, soziales Netz, Messenger, Screenshot und Kompression. Jeder Schritt kann Metadaten erhalten, ändern oder verwerfen.
2. Generator oder Bearbeitung. Face-swap, GAN-Gesicht, Bildmodell, Videomodell, manuelle Retusche, Schnitt oder gewöhnlicher Filter. Nicht jede Bearbeitung ist ein deepfake und nicht jeder deepfake ist derselbe.
3. Detektionssignal. Visuelles Artefakt, biologischer Rhythmus im Gesicht, Wasserzeichen, maschinelle Metadaten, ein Netz, das auf einem bestimmten Satz trainiert wurde.
4. Verteilung. Redaktionelle Veröffentlichung, Werbung, private Nachricht, Wahlkampfmaterial, anonymer Repost. Dieselbe Datei in einem anderen Kanal bedeutet eine andere Verantwortung.
5. Kennzeichnung. Die maschinenlesbare Markierung des Anbieters und die erkennbare Deepfake-Kennzeichnung gegenüber dem Publikum nach Art. 50 des AI Act sind zwei Dinge ^[6][7].
6. Recht nach der Tat. Strafgesetzbuch, Bürgerliches Gesetzbuch und der Schutz personenbezogener Daten beurteilen Handlung, Einwilligung, Schaden, Vorsatz und Kontext, nicht nur die Struktur eines Pixels ^[9][10][22].

Diese Schichtung ist kein Wortspiel. Sie ändert, wen man bei einem Versagen fragt. Fehlt das Manifest, hat es vielleicht ein Screenshot abgeworfen. Schreit der Detektor, sieht er vielleicht schlechtes Licht. Ist das Werk ungekennzeichnet, wissen wir noch nicht, wer es veröffentlicht hat und in welchem Regime. Geht es um ein unechtes Ebenbild, wird das Recht nicht nur nach der Technik der Herstellung fragen, sondern nach dem Umgang mit der abgebildeten Person.

Illustration: Signatur, Detektor und Recht sind drei Spalten. Zwischen ihnen führt kein Pfeil „es ist fake“. In jeder Spalte steht eine andere Frage: Ist das Manifest gültig, an welchem Satz wurde das Signal geprüft, welche Handlung ist geschehen.

3. Ein fehlender Stempel ist kein Echtheitsbeweis

Content Credentials werden manchmal als digitale Geburtsurkunde eines Bildes beschrieben. Das ist eine nützliche Abkürzung, wenn wir wissen, wo sie endet. Ein C2PA-Manifest kann Behauptungen über Herkunft, Bearbeitungen und signierten Inhalt tragen. Nur muss die Mehrzahl gewöhnlicher Dateien ein solches Manifest überhaupt nicht haben. Das Telefon hat es nicht hinzugefügt. Das soziale Netz hat es verworfen. Der Messenger hat das Bild neu berechnet. Jemand hat einen Screenshot gemacht.

Das Fehlen eines Stempels ist deshalb für sich kein Verdacht. Es ist oft der Ausgangszustand. Trägt eine Datei aus einem gewöhnlichen Telefon kein C2PA, folgt daraus nicht, dass sie von künstlicher Intelligenz erzeugt wurde. Hat ein Bild auf dem Weg durch den Chat Metadaten verloren, folgt daraus nicht, dass die ursprüngliche Szene nicht stattgefunden hat. Es folgt nur, dass die konkrete Datei, die wir gerade halten, kein überprüfbares Manifest trägt.

Das ist für eine Redaktion unbequem, aber präziser. Einen öffentlichen Zensus, wie viele Nachrichtenvisuals in Tschechien zum September 2026 gültige Content Credentials tragen, enthält das Dossier nicht. Ohne eine solche Messung lässt sich aus dem Fehlen einer Signatur keine Regel über den tschechischen Medienbetrieb machen. Man kann nur sagen, dass die Signatur dort hilft, wo sie vorhanden ist und wo die Vertrauenskette sitzt.

Die praktische Frage lautet also nicht, ob ein Bild „einen Echtheitsstempel hat“. Sie lautet, ob bei einer konkreten Datei eine überprüfbare Herkunftssignatur existiert und was genau sie signiert. Abwesenheit ist ein Signal zur Vorsicht. Sie ist kein Urteil.

4. C2PA sagt, wer die Herkunft erklärt hat. Es sagt nicht, dass die Szene stattgefunden hat

C2PA ist eine technische Spezifikation für Provenienz. Im Kern arbeitet sie mit Manifest, Behauptungen, Claim und Signatur. Trägt die Datei ein Manifest und sitzt die Vertrauenskette, kann die Prüfung sagen, wer eine bestimmte Behauptung über den Inhalt signiert hat und ob sich der signierte Teil seither geändert hat ^[1][2][3].

Das ist viel. Es ist nicht alles. Die Spezifikation 2.2 vom Mai 2025 erteilt ausdrücklich kein Werturteil über „gute“ Provenienz ^[1]. Sie sagt nicht: Diese Szene ist geschehen. Sie sagt nicht: Die Bildunterschrift ist wahr. Sie sagt nicht: Die abgebildete Person hat eingewilligt. Sie sagt auch nicht: Jeder spätere Betrachter versteht den Kontext. C2PA kann die Herkunftsspur verbessern, aber es verwandelt ein Bild nicht ohne weitere Arbeit in einen Beweis.

Stellen wir uns eine Fotografie von einer Demonstration mit gültigem Kameramanifest vor. Das Manifest kann bestätigen, dass die Datei von einem bestimmten Gerät stammt und nach der Signatur nicht so bearbeitet wurde, dass die Signatur das überlebt hätte. Es beantwortet aber nicht selbst, ob die Überschrift den Ort richtig benannt hat, ob die Aufnahme von einem anderen Tag stammt, ob der Ausschnitt die Umgebung verschweigt und ob die Person im Vordergrund das getan hat, was ihr der Text zuschreibt.

Der entgegengesetzte Irrtum ist ebenso gefährlich. Fehlt das Manifest, ist das nicht automatisch ein Zeichen der Manipulation. Existiert das Manifest, ist das nicht automatisch ein Zeichen der Wahrheit. Die richtige Lesart ist enger: C2PA ist eine Vertrauensschicht für eine bestimmte Behauptung über Herkunft und Integrität einer Datei. C2PA ist kein Deepfake-Detektor.

5. SynthID ist kein Content Credential

Neben Manifesten gibt es Wasserzeichen. Google DeepMind beschreibt SynthID als Technologie, die in die Ausgaben ausgewählter Modelle ein digitales Wasserzeichen einbettet ^[19]. OpenAI kündigte im Mai 2026 die Schichtung von C2PA und SynthID bei Bildinhalten an und fügte in einer Aktualisierung vom Juli 2026 auch Audio hinzu; dieser Text bleibt bei Bild und Video ^[20].

Der Unterschied ist wesentlich. Content Credentials tragen strukturierte Behauptungen und eine Signatur im Container. Ein Wasserzeichen ist ein in den Inhalt eingebettetes Signal. Es kann manche Transformationen besser überleben als Metadaten, trägt aber gewöhnlich weniger Kontext. Es kann sagen, dass eine Ausgabe wahrscheinlich aus einem bestimmten angebundenen System stammt. Es kann selbst nicht die ganze Bearbeitungskette, die Quelle der Aufnahme, die Einwilligung einer Person oder die Wahrheit der Szene beschreiben.

OpenAI nennt den Verlust von Metadaten durch Screenshot, Re-Encode oder Zuschnitt des Containers als Grund, ein Wasserzeichen über C2PA zu legen ^[20]. Das heißt nicht, dass das Wasserzeichen ein Schloss ist. Es funktioniert bei angebundenen Generatoren und nach den Eigenschaften der konkreten Implementierung. Bei Inhalt aus einem anderen Modell, bei manueller Bearbeitung, bei einer älteren Datei oder bei einer gewöhnlichen Fotografie ohne diese Technologie muss es nichts zu lesen geben.

Es ist kein Streit „Metadaten gegen Wasserzeichen“. Es sind zwei verschiedene Schichten. Das Manifest gibt Kontext und Signatur dort, wo es überlebt hat. Das Wasserzeichen gibt ein Signal dort, wo es eingebettet wurde und wo ein Detektor es lesen kann. Keines von beiden beantwortet allein die Frage, was in der Welt geschehen ist.

6. Das Auge hat bei einem GAN-Gesicht den Zufall getroffen

Das menschliche Auge ist in vielen Dingen gut. Es kann Ausdruck, Stimmung, Absicht, soziale Hinweise lesen. Gerade deshalb vertrauen wir ihm bei synthetischen Gesichtern oft mehr, als es verdient. Die Studie von Nightingale und Farid in PNAS aus dem Jahr 2022 prüfte die Unterscheidung echter und StyleGAN2-Gesichter. Im ersten Experiment beurteilten 315 Teilnehmer 128 Gesichter aus 800 Einträgen, von denen 400 echt und 400 synthetisch waren. Die mittlere Trefferquote lag bei 48,2 Prozent, mit einem 95%-Konfidenzintervall von 47,1 bis 49,2 Prozent ^[13].

Das liegt nahe am Zufall. Die Zahl misst eine binäre Aufgabe „real vs. synthetic“ bei statischen Gesichtern in einem konkreten Experiment. Sie misst kein Video, keinen tschechischen Feed, keine heutigen Diffusionsmodelle und nicht die Fähigkeit, den ganzen Kontext einer Aufnahme zu bewerten. Gerade deshalb ist sie nützlich: Sie sagt nicht, dass Menschen nie etwas erkennen. Sie sagt, dass die Sicherheit des Blicks ein schlechter Detektor ist.

Die Autoren versuchten auch ein Training mit Rückmeldung. Im zweiten Experiment erreichten 219 neue Teilnehmer 59,0 Prozent, mit einem 95%-Intervall von 57,7 bis 60,4 Prozent ^[13]. Auch das ist keine Anleitung, wie man in der Arbeit synthetische Gesichter jagt. Zwischen der ersten und der zweiten Hälfte von 64 Gesichtern stieg die Genauigkeit nicht: 59,3 gegen 58,8 Prozent. Der Test zeigt, dass auch kurzes Training eine begrenzte Wirkung hat.

Daraus folgt nicht, dass eine visuelle Prüfung keinen Wert hat. Daraus folgt, dass das Auge an den Anfang der Frage gehört, nicht an ihr Ende. Wenn etwas seltsam wirkt, ist es vernünftig, das Teilen zu stoppen und einen zweiten Kanal, eine Quelle, ein Original und den Kontext zu suchen. Es ist nicht vernünftig, auf das Gesicht eines Kollegen zu zeigen und zu sagen: Ich habe KI erkannt.

7. Sechsundneunzig Prozent auf FaceForensics sind kein Schloss auf Instagram

Intel stellte im November 2022 FakeCatcher als Echtzeit-Deepfake-Detektor vor und nannte in einem Produktsatz eine Genauigkeit von 96 % ^[15]. Die akademische Arbeit von Ciftci, Demir und Yin beschreibt die Detektion synthetischer Porträtvideos anhand biologischer Signale, vor allem feiner Änderungen, die mit dem Blutfluss im Gesicht zusammenhängen. Auf dem Datensatz FaceForensics nennt sie 96 Prozent Treffergenauigkeit, auf FaceForensics++ 94,65 Prozent, auf Celeb-DF 91,50 Prozent und auf dem von den Autoren so bezeichneten „in the wild“ Deep Fakes Dataset 91,07 Prozent ^[14].

Das sind konkrete Ergebnisse auf konkreten Sätzen. Sie sind keine Tür mit Schloss. Treffergenauigkeit ist nicht dasselbe wie eine falsch-positive Rate im Betrieb. FaceForensics ist nicht Instagram 2026. Ein Porträtvideo bei gutem Licht ist kein dunkler Clip von einem Konzert. Ein Signal im frontalen Gesicht ist kein Profil, kein Make-up, kein niedriges fps, keine starke Kompression und kein neuerer Generator, der einen ähnlichen Rhythmus nachzuahmen oder zu verwischen lernt.

Ein Marketingsatz ohne Schnitt der Datensätze und ohne betriebliche Population gleitet außerdem leicht in den falschen Gebrauch. Wenn jemand sagt „der Detektor hat 96 Prozent“, fehlt die Frage: Woran, wann, mit welcher Schwelle, mit welchem Anteil falscher Alarme und bei welchem Schaden? Für eine redaktionelle Entscheidung ist ein Fehlalarm teuer. Ein echtes Video als Fälschung zu kennzeichnen kann ebenso schaden wie eine Fälschung als echt zu teilen.

Ein rPPG-Detektor ist also kein forensischer Schluss. Er kann eine Hypothese bei einem Porträtvideo sein, wenn wir Bedingungen und Grenzen kennen. Er soll nicht allein in der Spalte „Wahrheit / Lüge“ stehen. Ohne unabhängige Evaluation an heutigen Generatoren, mit kalibrierter falsch-positiver Rate und realen Verteilungskanälen ist er eine Hilfsspur, kein Verdikt.

8. DFDC ließ die Detektion offen. Niemand erreichte auf der Blackbox siebzig

Die Deepfake Detection Challenge war gerade deshalb nützlich, weil sie den Unterschied zwischen einem bekannten Satz und einem verborgenen Test zeigte. Laut Meta AI hatte die Herausforderung 2 114 Teilnehmer und mehr als 35 000 Modelle. Der von Dolhansky und Kollegen beschriebene Datensatz enthielt mehr als 100 000 Clips mit 3 426 bezahlten Schauspielern ^[16][17]. Das ist eine große, aber immer noch konkrete Konstruktion.

Auf dem öffentlichen Satz nennt Meta die Zahl 82,56 Prozent, wobei in der Kommunikation die Bezeichnung der Metrik zwischen Treffergenauigkeit und average precision schwankt ^[16]. Auf dem Blackbox-Satz erreichte der beste Teilnehmer, Selim Seferbekov, 65,18 Prozent; niemand erreichte 70 Prozent ^[16]. Die Zahl misst eine konkrete Herausforderung aus dem Jahr 2020, nicht das heutige Internet. Ihr Wert liegt in der Unterscheidung: Leistung auf bekannten Daten bedeutet keine Generalisierung auf ungesehene Fälschungen.

Das ist der Kern des Detektionsproblems. Generatoren ändern sich. Kompression ändert sich. Veröffentlichungskanäle ändern sich. Ein Detektor kann eine Spur des Datensatzes lernen statt eines allgemeinen Zeichens der Fälschung. Im Labor wirkt er dann genau und trifft im Betrieb auf eine andere Welt.

NIST GenAI Image-D veröffentlicht einen Plan und Metriken wie AUC, EER, TPR bei gegebenem FPR und Brier-Score in Bins; zugleich verbietet es den Teilnehmern werbliche Behauptungen über die Rangfolge ^[18]. Das ist eine vernünftige Zurückhaltung. Zum September 2026 steht im Dossier keine einzige primäre Zahl vom Typ „NIST hat 96 Prozent in freier Wildbahn bestätigt“. Wenn ein solcher Satz irgendwo umläuft, hat dieser Text keine Stütze dafür.

9. Eine Kennzeichnung nach dem AI Act ist keine strafrechtliche Verfolgung

Der AI Act führt Transparenzpflichten ein, keinen neuen universellen Polizeidetektor. Artikel 3 Nummer 60 definiert deepfake kumulativ: Es muss sich um Inhalt handeln, der bestehenden oder glaubhaft bestehenden Personen, Objekten, Orten, Entitäten oder Ereignissen ähnelt, und er muss fälschlich als authentisch oder wahr erscheinen ^[6]. Artikel 50 unterscheidet dann die Pflichten von Anbietern und Betreibern ^[6][7].

Ab dem 2. August 2026 gilt Artikel 50; bei Systemen, die vor diesem Datum in Verkehr gebracht wurden, verschiebt sich die maschinelle Markierung nach Abs. 2 bis zum 2. Dezember 2026 ^[7]. Die Kommission nennt in den FAQ vom 24. Juli 2026 außerdem, dass vor dem 2. August 2026 erstellter Inhalt nicht rückwirkend gekennzeichnet werden muss ^[7]. Das ČTÚ wies zum 31. Juli 2026 auf die Anwendbarkeit der Transparenzregeln hin und verwies auf den Kodex der guten Praxis ^[8].

Diese Daten messen die Anwendbarkeit von Pflichten, nicht die Echtheit einer Datei. Die Deepfake-Kennzeichnung gegenüber dem Publikum nach Art. 50 Abs. 4 ist nicht dasselbe wie die maschinenlesbare Marke des Anbieters nach Abs. 2. Die Kommission nennt außerdem, dass sich ein Betreiber nicht nur auf die Maschinenmarke des Anbieters stützen soll ^[7]. Wenn eine Redaktion ein synthetisches oder bearbeitetes Visual veröffentlicht, behandelt sie die eigene Pflicht gegenüber dem Leser. Wenn ein Täter ein Bild zum Betrug verwendet, ist kaum zu erwarten, dass er die Pflicht ehrlich erfüllt.

Die FAQ der Kommission nennen bei Verstößen gegen Transparenzpflichten eine Sanktionsobergrenze von bis zu 15 Millionen EUR oder 3 Prozent des weltweiten Umsatzes, je nachdem, was höher ist, mit Verhältnismäßigkeit bei kleinen und mittleren Unternehmen ^[7]. Das ist eine Obergrenze, kein Tarif für ein ungekennzeichnetes Meme. Und vor allem: Das Sanktionsregime der Transparenz ist keine strafrechtliche Qualifikation eines konkreten Schadens.

10. Der Paragraph über nicht einvernehmliche Pornografie ist kein Paragraph über ein politisches Video

Die tschechische Novelle Nr. 270/2025 Sb. gilt seit dem 1. Januar 2026 und fügt dem Strafgesetzbuch unter anderem § 181 Abs. 2 und den neuen § 191a hinzu ^[9]. Das ist eine wesentliche Änderung, aber auch eine häufige Quelle von Abkürzungen. Der neue § 191a betrifft Herstellung und Verbreitung eines pornografischen Werks, das eine Person ohne ihre Einwilligung ausbeutet. Der Grundtatbestand nennt eine Strafe von bis zu 2 Jahren Freiheitsentzug ^[9].

Diese Zahl misst den gesetzlichen Strafrahmen des Grundtatbestands ab dem 1. Januar 2026. Sie misst nicht die Zahl der Verurteilungen, sie sagt nichts über jedes synthetische Bild und sie gilt nicht für ein nichtpornografisches politisches Video nur deshalb, weil es mit künstlicher Intelligenz erzeugt oder bearbeitet wurde. Entscheidend sind der Umgang mit dem Werk, die Art des Inhalts und die Einwilligung der abgebildeten Person.

§ 181 Abs. 2 zielt auf ein unechtes Ebenbild oder eine Äußerung in der Absicht, einen schweren Schaden an Rechten zu verursachen ^[9]. Das ist eine andere Konstruktion. Satire und Kunst sind nicht automatisch strafbar. Ebenso ist nicht jede schlechte Bildunterschrift eine Straftat. Das Recht beurteilt die konkreten Umstände.

Daraus folgt nicht, dass die Technik ein rechtlich neutrales Spielzeug ist. Daraus folgt, dass „deepfake“ nicht ein Paragraph ist. Ein Bild kann Werkzeug sexuellen Missbrauchs, übler Nachrede, Betrugs, eines Eingriffs in die Privatsphäre oder eines zivilen Streits um das Ebenbild sein. Eine Detektionsanwendung unterscheidet das nicht.

11. Üble Nachrede und Betrug ahnden Lüge und Folge. Nicht die Datei

Das Strafgesetzbuch kennt die üble Nachrede in § 184, den Betrug in § 209 und den unbefugten Umgang mit personenbezogenen Daten in § 180 ^[10]. Das Bürgerliche Gesetzbuch schützt Ebenbild und Privatsphäre in § 84 und folgenden ^[22]. Ein deepfake kann Mittel sein. Er ist nicht automatisch ein Tatbestand.

Das klingt juristisch, ist für die Praxis aber eine einfache Bremse. Wenn jemand ein Video zeigt und fragt „ist das strafbar?“, reicht es nicht zu antworten, ob das Bild synthetisch ist. Man muss wissen, wer es hergestellt, wer es verbreitet, was es behauptet hat, wem es Schaden zugefügt hat, ob es ein pornografisches Werk war, ob eine Einwilligung bestand, ob die Absicht bestand, einen schweren Schaden zu verursachen, und ob eine vermögensrechtliche oder andere Folge eingetreten ist.

Ein Detektor aus dem Pixel setzt keinen Tatbestand zusammen. Er kann einen Anlass zur Vorsicht geben, einer Redaktion helfen, nicht schnell zu veröffentlichen, eine Spur für eine fachliche Beurteilung sein. Er kann die rechtliche Qualifikation nicht ersetzen. Ebenso wenig wie ein gültiges C2PA-Manifest die Einwilligung einer Person in die Veröffentlichung ersetzt, ersetzt eine hohe Detektorpunktzahl den Beweis des Vorsatzes.

Die praktische Empfehlung ist deshalb weniger effektvoll, aber fester: Bei Verdacht auf Schaden die Verbreitung stoppen, die verfügbare Datei und den Kontext sichern, über einen zweiten Kanal prüfen und die rechtliche Qualifikation Anzeige und Strafverfolgungsorganen überlassen. Der Artikel verbindet kein konkretes Video mit einem konkreten Paragraphen. Er zeigt, warum das aus einer Punktzahl nicht geht.

12. Ein Screenshot wirft das Manifest ab. Er wirft nicht das Ereignis ab

Der kürzeste Test der Content Credentials ist absichtlich banal. Nehmen Sie eine Datei, von der Sie wissen, dass sie signierte Content Credentials hat, und prüfen Sie sie auf Content Credentials Verify ^[5]. Notieren Sie den Stand: gültig, ungültig, fehlt. Machen Sie dann einen Screenshot und prüfen Sie die neue Datei erneut. Oft werden Sie sehen, dass das Manifest fehlt.

Das ist keine Entlarvung eines Betrugs. Es ist eine Eigenschaft des Weges. Ein Screenshot erzeugt keine kryptografische Kontinuität mit der ursprünglichen Datei. Re-Encode, Zuschnitt oder Wechsel des Containers können das Manifest ebenfalls abwerfen; OpenAI nennt das als einen Grund, SynthID über C2PA zu legen ^[20]. Der Verlust des Manifests darf deshalb nicht als Beweis gelesen werden, dass das ursprüngliche Ereignis nicht stattgefunden hat.

Ebenso sagt ein gültiges Manifest beim Original nicht, dass ein Screenshot, der zwei Stunden später umläuft, denselben Wert trägt. Der Leser hält eine andere Datei. Sie kann einen anderen Ausschnitt, eine andere Bildunterschrift und einen anderen Kontext haben. Die Prüfung betrifft immer eine konkrete Datei, nicht die allgemeine Erinnerung an ein Bild.

Wie Sie Content Credentials vor und nach einem Screenshot testen

Der Test hat drei Schritte. Zuerst prüfen Sie die ursprüngliche Datei und speichern das Ergebnis der Prüfung. Dann erstellen Sie einen Screenshot oder eine gewöhnliche Kopie über eine Anwendung, die den Container ändert. Zuletzt prüfen Sie die neue Datei. Verschwindet das Manifest, schreiben Sie den Unterschied zwischen Dateien auf, nicht den Schluss über die Wahrheit der Szene. Bleibt das Manifest, lesen Sie immer noch nur die Behauptungen, die darin stehen.

13. Die beste Kontrolle ist die, deren Fehlalarm Sie tragen können

Beim Deepfake-Bild spricht man oft davon, wie man eine Fälschung fängt. Ebenso wichtig ist, wie man echten Inhalt durch einen Fehlalarm nicht beschädigt. Redaktion, Firma und Einzelner müssen wissen, welchen Irrtum sie sich leisten können. Das interne Teilen anzuhalten ist ein billiger Fehler. Einen Menschen öffentlich als Autor einer Fälschung zu bezeichnen ist ein teurer Fehler. Geld nach einem Video zu senden ist ein anderer Schaden als irrtümlich ein Illustrationsbild nicht zu veröffentlichen.

Das NÚKIB erwähnt deepfake in der Lehre der Cyberhygiene, nicht als zertifizierten Detektor ^[11]. Der nationale Plan für Forschung und Entwicklung in der Cyber- und Informationssicherheit bis 2025 behandelt deepfake als Risikovektor ^[12]. Das ÚOOÚ hat im April 2026 Deepfake-Videos in einen Überblick der Kanäle von KI-Betrug und digitaler Spur aufgenommen ^[21]. Die gemeinsame Linie dieser Materialien ist nicht „installieren Sie eine magische Anwendung“. Es sind Kompetenz, Prüfung und Verfahren.

Die beste Kontrolle ist also nicht die strengste Kontrolle. Es ist die Kontrolle, deren Irrtum Sie rechtzeitig erkennen und deren Preis Sie tragen können. Bei geringem Schaden können Verzögerung und eine zweite Quelle genügen. Bei einer öffentlichen Beschuldigung ist ein strengeres Verfahren nötig. Bei Verdacht auf eine Straftat gehört die Sache in ein anderes Regime als in einen Kommentarthread.

14. Signatur, Detektor und zweiter Kanal addieren sich nicht zu einem Verdikt

Ein praktischer Test darf nicht lehren, eine Fälschung herzustellen. Er soll dem Leser zeigen, wo die Signatur endet, wo der Detektor endet und wo die Prüfung der Lage außerhalb der Datei beginnt.

Was zu testen ist, bevor Sie dem Auge glauben

Der erste Test betrifft die Signatur. Prüfen Sie eine Datei mit Content Credentials, danach ihren Screenshot. Der zweite Test betrifft das Fehlen. Nehmen Sie eine gewöhnliche Fotografie aus dem eigenen Telefon ohne C2PA und schreiben Sie ihr keinen künstlichen Ursprung nur deshalb zu, weil das Manifest fehlt. Der dritte Test betrifft das Auge. Vergleichen Sie ein bekanntes synthetisches Gesicht aus einer sicheren Demonstrationsquelle mit einer gewöhnlichen Fotografie und rechnen Sie von vornherein damit, dass menschliche Sicherheit ein schwaches Werkzeug ist. Nightingale und Farid geben für das erste Experiment 48,2 Prozent, keine Lizenz zur Jagd auf Kollegen ^[13].

Bei einem Nachrichten- oder Firmenvisual suchen Sie die erkennbare Kennzeichnung dort, wo sie der Betreiber nach Art. 50 Abs. 4 zu behandeln hat ^[6][7]. Erwarten Sie sie nicht bei einem anonymen Repost als Beweis der Ehrlichkeit eines Täters. Bei Verdacht auf Schaden prüfen Sie über einen zweiten Kanal: eine bekannte Nummer, ein bekanntes Konto, einen persönlichen Kontakt oder eine Institution, deren Kommunikation ein eigenes Prüfverfahren hat. Das ist ein Verfahren, kein Detektor.

Ein Detektor für Blut im Pixel ist kein Schloss.

— Jiný Kontext

Das Ergebnis des Tests lautet nicht „echt“ oder „falsch“ in einem Wort. Es lautet: Signatur gültig, ungültig oder fehlt; der Detektor ist nur für den gegebenen Dateityp und unter gegebenen Grenzen brauchbar; ein unabhängiger Kanal bestätigt das Ereignis oder bestätigt es nicht. Erst diese Sätze zusammen senken das Risiko, dass aus einem Eindruck ein öffentlicher Schluss wird.

15. Die persönliche Nutzung liegt außerhalb des AI Act. Sie liegt nicht außerhalb des Strafgesetzbuchs

Die FAQ der Kommission nennen, dass die persönliche, nicht berufliche Nutzung außerhalb des AI Act liegt ^[7]. Das ist eine wichtige Grenze. Sie bedeutet jedoch nicht, dass persönliches Handeln nicht an anderes Recht stoßen kann. Stellt jemand ein nicht einvernehmliches pornografisches Werk her oder verbreitet es, das eine Person ohne Einwilligung ausbeutet, fragt § 191a nicht, ob es um den unternehmerischen Einsatz eines KI-Systems ging ^[9]. Verwendet jemand ein unechtes Ebenbild oder eine Äußerung in der Absicht, einen schweren Schaden an Rechten zu verursachen, stellt sich eine andere Frage nach § 181 Abs. 2 ^[9].

Diese Schichten zu vermischen ist bequem, aber falsch. Der AI Act reguliert bestimmte Rollen am Markt und die Transparenz. Das Strafgesetzbuch beurteilt bestimmte Handlungen. Das Bürgerliche Gesetzbuch schützt Ebenbild und Privatsphäre. Der Schutz personenbezogener Daten fragt nach der Verarbeitung von Daten. Eine Datei kann in mehrere Schichten fallen — oder in keine von denen, von denen im Kommentar die Rede ist.

Die praktische Folge ist einfach. Wenn wir fragen, ob der Inhalt hätte gekennzeichnet werden müssen, lesen wir den AI Act. Wenn wir fragen, ob ein Ebenbild missbraucht wurde, lesen wir tschechisches Recht und die konkreten Umstände. Wenn wir fragen, ob die Datei technisch signiert ist, lesen wir C2PA. Wenn wir fragen, ob es sicher ist, nach dem Inhalt zu handeln, rufen wir einen zweiten Kanal an.

16. Eine öffentliche Reihe von Verfolgungen nach den neuen Paragraphen fehlt vorerst

Zum September 2026 enthält das Dossier keine öffentliche Polizeistatistik der Zahl der Verfolgungen nach § 181 Abs. 2 und § 191a für das Jahr 2026. Das ist kein Beweis, dass die Taten nicht geschehen. Es ist eine Lücke in der öffentlichen Reihe. Ein präziserer Satz lautet also nicht „niemand wird wegen eines deepfake verfolgt“. Er lautet: Für die neuen Paragraphen haben wir zum Datum der Recherche keinen öffentlichen Jahresüberblick, den man ehrlich zitieren könnte.

Ebenso haben wir keine geprüfte Primärzahl, dass FakeCatcher oder ein ähnlicher rPPG-Detektor die betriebliche Genauigkeit auf den Generatoren der Jahre 2025 und 2026 in offenen sozialen Kanälen halten würde. Wir haben auch keinen offiziellen tschechischen Zensus gültiger C2PA-Manifeste bei Nachrichtenvisuals. Und wir haben keine aggregierte NIST-Zahl, die erlauben würde zu sagen, „Detektoren sind im Betrieb gelöst“ ^[18].

Das schwächt die Hauptthese nicht. Es hält sie eher am Boden. Würde C2PA zur voreingestellten, nicht abstreifbaren Schicht der mehrheitlichen Weitergabe, änderte das Fehlen eines Stempels die Bedeutung. Würde eine unabhängige Evaluation von rPPG an heutigen Generatoren mit kalibriertem FPR eine stabile betriebliche Leistung zeigen, hätte der Detektor eine stärkere Rolle. Hielte eine Herausforderung wie DFDC deutlich über 70 Prozent auf einem verborgenen Satz und im Betrieb, würde die Vorsicht neu gerechnet. Solange das nicht so ist, ist ein fehlender Stempel keine Echtheit und 96 Prozent sind kein Schloss.

17. Die versteckten Kosten sind ein Auge, das den Zufall getroffen hat

Die bequemste Antwort würde lauten: Lernen Sie ein paar Zeichen, installieren Sie einen Detektor und suchen Sie den Stempel. Sie wäre kurz. Und sie wäre gefährlich selbstsicher. Bild und Video verlangen heute nicht einen Trick, sondern eine Änderung der Reihenfolge der Prüfung.

Zuerst fragen wir, was wir in der Hand haben. Original, Screenshot, Repost, komprimiertes Video oder nur eine Vorschau? Dann fragen wir, ob ein überprüfbares Manifest existiert und was es behauptet. Dann fragen wir, ob irgendein Detektor für diesen Dateityp, diese Qualität und diese Population Sinn hat. Erst danach fragen wir, was rechtlich und praktisch folgt. Und wenn es um Schaden, Geld, Reputation oder ein intimes Ebenbild geht, kehren wir vom Pixel zum Menschen und zur Institution zurück.

Dadurch wird die Prüfung langsamer, aber sie wird an der richtigen Stelle langsamer. Nicht bei jedem Bild. Bei jedem Bild, nach dem wir handeln sollen.

Die Frage lautet nicht, wie man ein gefälschtes Video oder Foto auf einen Blick erkennt. Sie lautet: Wem von Signatur, Detektor und Recht dürfen Sie bei dieser Datei glauben — und welchen Fehlalarm, fehlenden Stempel oder verfehlten Treffer des Auges tragen Sie bei dieser Szene?

Verwandte Texte dieser Reihe

• Auf der Website: Eine Fotografie reicht für sich nicht mehr. Zum Beweis wird auch ihre Herkunft — der Wert eines echten Bildes nach generativer KI. Dieser Text ist die praktische Detektion von Video und Foto.
• Ist eine Fotografie ein Beweis? Wann ein Bild auch ohne Bearbeitung täuschen kann — Täuschung ohne Pixelbearbeitung.
• Was tun, wenn jemand Ihre Fotografie oder Identität missbraucht? — der zivile, strafrechtliche und Plattformkanal.