Wie sicher sind KI-Wasserzeichen?

Transparenzpflicht für Künstliche Intelligenz

Seit dem 2. August 2026 müssen Inhalte, die durch Künstliche Intelligenz (KI) erstellt wurden, innerhalb der Europäischen Union verpflichtend gekennzeichnet werden. Diese Vorgabe gilt sowohl für eine für Menschen sichtbare Markierung als auch für maschinenlesbare Informationen. Die gesetzliche Formulierung „soweit technisch machbar“ deutet jedoch bereits darauf hin, dass die technologische Umsetzung mit erheblichen Herausforderungen verbunden ist. Während die Pflicht nun in Kraft ist, bleibt die Frage nach der tatsächlichen Sicherheit dieser Kennzeichnungen ein zentrales Thema in der IT-Sicherheit.

Die Schwachstellen unsichtbarer Wasserzeichen

Aktuell setzen viele KI-Anbieter auf unsichtbare Wasserzeichen. Dabei handelt es sich laut Martin Steinebach vom Fraunhofer-Institut für Sichere Informationstechnologie um ein feines, in die Daten eingebettetes Rauschen. Dieses ist für das menschliche Auge nicht wahrnehmbar, soll aber von Maschinen als Signatur erkannt werden können. Ähnliche Verfahren existieren bereits für Audioinhalte.

Experten wie der Informatiker Andreas Müller von der Ruhr-Universität Bochum weisen jedoch darauf hin, dass diese Schutzmechanismen anfällig sind. Das Rauschen lässt sich durch verschiedene Werkzeuge entfernen. Zudem führt die alltägliche Nutzung von digitalen Medien zu einem Datenverlust: Beim Hochladen auf soziale Netzwerke oder Messenger-Dienste werden Bilder und Videos häufig komprimiert. Auch das Erstellen von Screenshots kann dazu führen, dass die eingebetteten Metadaten oder Wasserzeichen verloren gehen.

Kostenfaktor versus Robustheit

Technisch wären deutlich robustere Lösungen denkbar. So könnten Wasserzeichen direkt während des Generierungsprozesses tief in die Struktur, etwa in Kanten oder Objektpositionen eines Bildes, eingebettet werden. Ein Entfernen dieser Markierungen würde das Bild so stark verändern, dass das Original kaum noch erkennbar wäre.

Derzeit wird dieses Verfahren jedoch selten angewandt. Der Grund ist primär ökonomischer Natur: Die direkte Einbettung während der Erstellung ist kostspielig. Die meisten Anbieter entscheiden sich stattdessen für ein nachträgliches Einfügen des Wasserzeichens, was zwar günstiger ist, aber eben auch eine geringere Widerstandsfähigkeit gegen Manipulationen bietet.

Umgehung durch offene Modelle

Ein weiteres Problem stellen offene KI-Modelle dar. Nutzer, die solche Systeme herunterladen und modifizieren, können die automatische Kennzeichnung gezielt unterbinden. Wer eigene Infrastrukturen betreibt, hat die volle Kontrolle über den Output und kann die Implementierung von Wasserzeichen technisch verhindern. Dies macht eine lückenlose Kontrolle der Kennzeichnungspflicht schwierig.

Der Weg zur Herkunftssicherung

Angesichts der Unsicherheit bei der KI-Erkennung rückt ein alternativer Ansatz in den Fokus: die Kennzeichnung von nachweislich „echten“ Inhalten. Die Initiative C2PA (Coalition for Content Provenance and Authenticity), an der unter anderem Microsoft, Adobe und die BBC beteiligt sind, arbeitet an einem Standard zur Dokumentation der Herkunft digitaler Medien. Durch verschlüsselte Zusatzinformationen soll nachvollziehbar gemacht werden, wer eine Aufnahme gemacht und welche Software sie bearbeitet hat.

Die Herausforderung liegt hier in der Skalierbarkeit. Bisher ist diese Technik, die bei Profi-Fotografen zum Einsatz kommt, teuer. Eine flächendeckende Integration in Smartphones würde die Hardware anfällig für hochspezialisierte Hacker-Angriffe machen. Eine weitere Idee ist die Einführung einer universellen Content-ID, die Inhalte fest mit einer Person verknüpft. Wer diese Infrastruktur nicht nutzt, würde in einem solchen System automatisch unter Verdacht geraten.

Zukunftsaussichten und Sanktionen

Die Forschung arbeitet parallel an Methoden zur Erkennung von Deepfakes. Ein vielversprechender Ansatz ist der „Rekonstruktionsfehler“: Dabei versucht ein Analysetool, ein verdächtiges Bild mit einem eigenen Generator nachzubauen. Gelingt dies präzise, ist die Wahrscheinlichkeit hoch, dass das Original ebenfalls aus einer KI stammt.

Experten gehen davon aus, dass in Zukunft zwei Label-Typen dominieren könnten: eines für KI-generierte Inhalte und eines für authentifizierte Quellen. Trotz der technischen Hürden könnten automatisierte Checks auf Plattformen künftig einen Großteil der KI-Inhalte korrekt identifizieren. Unternehmen, die sich nicht an die Transparenzregeln halten, müssen mit empfindlichen Konsequenzen rechnen. Die EU sieht Strafen von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes vor, um die Einhaltung der Kennzeichnungspflicht zu forcieren.