Deepfake-Erkennung hat drei Verteidigungslinien, und die erste ist freiwillig

Die Erkennungstools funktionieren besser, als die meisten Menschen annehmen, und das ist nicht die beruhigende Tatsache, nach der es klingt. Wasserzeichenbasierte Provenienz bietet nahezu 100 % Genauigkeit, wenn eine Markierung vorhanden ist. Sie bietet nichts, wenn ein Generator darauf verzichtet, eine hinzuzufügen.

Diese Asymmetrie ist die gesamte Gestalt des Problems. Es gibt eine mehrschichtige Verteidigung, und eine ihrer Schichten hängt von der Kooperation der Partei ab, die man erkennen will.

Die praktische Konsequenz ist, dass die Erkennungsgenauigkeit in drei Zahlen daherkommt, die drei verschiedene Mechanismen beschreiben, und der Mechanismus, der am besten funktioniert, hat die geringste Reichweite. Zu verstehen, auf welchen Mechanismus man sich in einem bestimmten Moment verlässt, ist der Unterschied zwischen einer Sicherheitshaltung und einem falschen Gefühl davon.

Linie eins: Provenienz, die Zustimmung erfordert

Googles SynthID bettet ein Signal ein, das Zuschneiden, Drehen, Verkleinern und hinzugefügtes Rauschen übersteht, weil der Embedder und der Detektor gemeinsam gegen einen Gegner trainiert werden, der genau diese Transformationen durchführt. Die Erkennung ist in die Gemini-App integriert, und Partner, die ihre Schlüssel teilen, können über einen zentralen Dienst geprüft werden. Anthropic hat Wasserzeichen für Claude-Ausgaben angekündigt. Unternehmen, die C2PA Content Credentials übernehmen, hängen signierte Provenienzdaten an Dateien.

Wenn eine Markierung vorhanden ist, nähert sich die Erkennungsgenauigkeit 100 %, mit einer Prüfung, die Millisekunden dauert. Die Technologie ist ausgereift und die Standards existieren.

Die Lücke ist die Akzeptanz. Der EU AI Act verlangt seit dem 2. August 2026 maschinenlesbare Kennzeichnungen für bestimmte KI-generierte oder manipulierte Inhalte sowie für das Publikum sichtbare Hinweise bei Deepfakes. Die Einhaltung ist uneinheitlich, und die Akteure, die am stärksten daran interessiert sind, überzeugende Fälschungen herzustellen, haben keinen Grund, freiwillig eine Kennzeichnung anzubringen. Wasserzeichen und Provenienz helfen den ehrlichen Akteuren zu zeigen, dass sie ehrlich sind. Sie erreichen nicht die Menschen, die Desinformationskampagnen betreiben.

Linie zwei: Artefakterkennung, die sich verschlechtert

Die auf Artefakten basierende Erkennung sucht nach Spuren, die der Generierungsprozess hinterlässt, und erreicht eine Genauigkeit von 85 % bis 92 % bei Modellen, auf denen sie trainiert wurde. Die Zahl, auf die es ankommt, ist, was passiert, wenn sie auf ein Modell trifft, das sie noch nicht gesehen hat. Klassifikatoren, die auf Diffusionsmodellen oder bestimmten Vocodern trainiert wurden, verlieren gegen eine neue Architektur etwa 40 % ihrer Leistung; die Equal Error Rate bei Audio springt von 3,8 % im In-Domain-Fall auf 18,5 % im Out-of-Domain-Fall.

Diese Verschlechterung ist strukturell und nicht behebbar. Jedes neue Generierungsmodell verändert die statistische Signatur, auf die sich die Erkennung stützt, sodass der Detektor immer mit einer Beschreibung der letzten Generation von Werkzeugen arbeitet. Kommerzielle Anbieter von Erkennungslösungen aktualisieren ihre Fingerabdrücke innerhalb von Tagen nach der Veröffentlichung eines großen Modells, was eher ein Laufband als eine Lösung ist.

Forensik auf Pixelebene erfasst noch echte Fälle. Licht auf einem Produkt, das nicht zur Hintergrundbeleuchtung passt, Rauschmuster, die zu einem bekannten Diffusionsmodell passen, eine Blinzelrate von drei pro Minute gegenüber einem menschlichen Durchschnitt von fünfzehn bis zwanzig, Lippenbewegungen, die um einen Bruchteil einer Sekunde vom Audiotrack abweichen. Diese Prüfungen funktionieren, und sie scheitern am nächsten Modell, das sie behebt.

Linie drei: Netzwerkverhalten, das Kampagnen erfasst

Der dritte Ansatz hört auf, den Inhalt zu betrachten, und beginnt, die Verbreitung zu betrachten. Koordinierte Desinformationskampagnen hinterlassen Spuren in Posting-Mustern, Zeiten der Kontoerstellung und Sharing-Netzwerken, und Netzwerkanalyse erreicht eine Genauigkeit von 70 % bis 80 % bei groß angelegten Operationen. Sie ist schnell und erfasst Dinge, die die Artefakterkennung übersieht.

Sie tut sich mit dem Fall schwer, der auf individueller Ebene am meisten zählt. Eine einzelne gut gemachte Fälschung, die über gewöhnliche Konten verbreitet wird und organische menschliche Aktivität nachahmt, hat keine Netzwerksignatur, die man finden könnte.

Wo jede Linie tatsächlich versagt

Setzt man die drei Linien in dieselbe Tabelle, wird die Gestalt des Problems klar. Provenienz ist nahezu perfekt und freiwillig. Artefakterkennung ist breit und verfällt mit jedem neuen Modell. Netzwerkanalyse ist schnell und blind für den Einzelfall.

Die Fehlermodi verstärken sich gegenseitig. Ein Artefakt-Detektor, der nach der Veröffentlichung eines Modells neu trainiert wurde, ist gegenüber diesem Modell genau und gegenüber dem nächsten unsicher, und der Aktualisierungszyklus des Anbieters wird in Tagen gemessen, während der Veröffentlichungszyklus der Modelle in Wochen gemessen wird. Eine Plattform, die sich bei ihrer primären Prüfung auf die Ausgabe des Detektors verlässt, läuft einen Schritt hinter einem Gegner her, der nur einmal gewinnen muss.

Der häufigste praktische Fehler besteht darin, einen Erkennungswert als Urteil zu behandeln. Ein Klassifikator, der eine 98-prozentige Wahrscheinlichkeit der Generierung meldet, meldet eine Ähnlichkeit mit Mustern, auf die er trainiert wurde. Das ist ein starker Hinweis, und es ist kein Beweis, und der Unterschied ist in jedem Kontext wichtig, in dem die Konsequenz darin besteht, eine reale Person des Betrugs oder der Fabrikation zu beschuldigen.

Falschpositive Ergebnisse haben ihre eigenen Kosten. Ein Detektor, der die Musik einer menschlichen Band fälschlich als vollständig KI-generiert einstuft, hat einem berufstätigen Künstler gesagt, dass seine Arbeit maschinell hergestellt aussieht, was ein Reputationsproblem ist, das keine Genauigkeitsstatistik erfasst. Da KI-gestützte Arbeitsabläufe in kreativen Bereichen normal werden, wächst die Zahl der Grenzfälle und mit ihr die Zahl der Menschen, die fälschlich markiert werden können.

Was das in der Praxis bedeutet

Für eine Nachrichtenredaktion oder eine Plattform ist die Arbeitsdoktrin eine mehrschichtige. Eingehende Medien sollten am Punkt der Erfassung mit einem API-basierten Tool geprüft werden. Automatisierte Erkennung sollte bei allem mit hohem Einsatz mit menschlicher Verifizierung kombiniert werden. Führen Sie eine Datenbank bekannter KI-Content-Farmen für den Kontext.

Das Pentagon hat Lücken in seiner Fähigkeit eingeräumt, KI-gestützte Desinformationskampagnen zu verfolgen, was darauf hindeutet, dass selbst gut ausgestattete staatliche Erkennung hinter dem kommerziellen Sektor zurückbleibt. Die regulatorischen Schutzmaßnahmen der EU wurden als unzureichend gegenüber staatlich geförderten Akteuren kritisiert, die ihre Taktiken anpassen.

Die Prüfung eines Erkennungs-Stacks ist eine eigene Disziplin. Ein Tool, das sein Konfidenzintervall, seinen Trainingsdaten-Stichtag und seine bekannten Fehlermodi angibt, ist nützlicher als eines, das nur einen einzelnen Prozentwert meldet, weil die Betreiber daraus ableiten können, wann sie ihm vertrauen sollten. Anbieter, die ihre Falschpositivraten und ihre Aktualisierungsfrequenz veröffentlichen, sind mehr wert als Anbieter, die nur Genauigkeit veröffentlichen.

Die ehrliche Zusammenfassung ist, dass Erkennung eine Schicht in einer Verteidigung ist, keine eigenständige Antwort, und die stärkste Schicht ist diejenige, die von Menschen abhängt, die keinen Anreiz haben, sich zu beteiligen. Das lässt Quellenkritik, den Ruf von Verlagen und das Urteilsvermögen einzelner Leser mehr Arbeit leisten als jeder Klassifikator. Für den routinemäßigen Konsum ist die vollständige Überprüfung jedes Bildes unpraktikabel, und die Frage, die Menschen tatsächlich hunderte Male am Tag beantworten, lautet nicht „Ist das echt?“, sondern „Vertraue ich der Quelle?“

Forschung des NIST untermauert den Punkt aus der anderen Richtung. Vertrauen hängt von Designelementen ab, die Nutzern helfen, die Systemleistung zu interpretieren, und nicht allein von der Leistung. Transparenz ermöglicht es Menschen, realistische Erwartungen zu setzen. Und eine Capgemini-Umfrage aus dem Jahr 2026 unter 12.000 Verbrauchern ergab, dass 67 % erwarten, dass Unternehmen klar angeben, wenn eine Werbung KI-generiert wurde, was darauf hindeutet, dass das Publikum bereit dafür ist, dass Offenlegung der Standard wird. Ob die Generatoren dazu bereit sind, ist eine andere Frage.

Die regulatorische Zeitachse bewegt sich parallel. Der EU AI Act gilt seit dem 2. August 2026 und verlangt maschinenlesbare Kennzeichnungen für bestimmte KI-generierte Inhalte sowie für das Publikum sichtbare Hinweise bei Deepfakes und einigen Materialien von öffentlichem Interesse. Anthropic hat Wasserzeichen für Claude-Ausgaben angekündigt. Standards für die zuverlässige Identifizierung von KI-generiertem Text und visueller KI-Ausgabe befinden sich noch in Entwicklung, was bedeutet, dass die Compliance heute auf proprietären Methoden beruht, die nicht interoperabel sind.