Google macht „Prüfe, ob dieses Bild KI-generiert ist“ zu einer Website

Am 7. Oktober hat Google den SynthID Detector öffentlich zugänglich gemacht. Die Adresse ist kurz: synthid.com. Nach dem Login kann man ein Bild, ein Video oder eine Audiodatei hineinziehen, und wenige Sekunden später teilt er mit: Wasserzeichen erkannt oder nicht erkannt.

Früher musste man dafür Gemini bemühen. Man lud eine Datei hoch und sah dann zu, wie das Modell in natürlicher Sprache beschrieb, was es erkannte; ein klares „Ja“ oder „Nein“ zu bekommen, war mühsam. Jetzt hat Google die Beurteilung separat herausgelöst und daraus einen Zugang gemacht, für den man sich nur anmelden muss und keine Modellprosa verstehen muss.

180 Milliarden Bilder und 240.000 Jahre Audio

SynthID ist nichts Neues. Google setzte es bereits 2023 in seinen eigenen generativen Modellen ein. Dabei wird ein für das menschliche Auge unsichtbares und für das menschliche Ohr unhörbares Signal direkt in Pixel und Audiowellenformen eingebettet, statt in Metadaten, die sich mit einem Klick löschen lassen. Das ist wichtig: Metadaten sind wie ein Klebezettel auf der Rückseite eines Bilderrahmens – nach Kopieren und Einfügen, Screenshots oder Speichern unter sind sie oft verschwunden. Ein in die Pixel geschriebenes Signal hingegen wird zusammen mit dem Bild weitergegeben. Nach den von Google veröffentlichten Zahlen wurden seit dem Start 2023 mehr als 180 Milliarden Bilder und Videos markiert, dazu Audioinhalte im Umfang von 240.000 Jahren. Diese Audiomenge klingt übertrieben, tatsächlich sind darin sämtliche Inhalte aus der Lyria-Musikgenerierung und der NotebookLM-Podcast-Funktion enthalten.

Auch das Wasserzeichen selbst wurde gegen Veränderungen abgesichert. Laut der technischen Dokumentation von Google DeepMind werden die Wasserzeichen für Bilder und Videos im Moment der Generierung eingeschrieben und lassen sich nach Zuschneiden, Filtern, Änderung der Bildrate und verlustbehafteter Komprimierung noch mit relativ hoher Wahrscheinlichkeit nachweisen; Audio-Wasserzeichen wurden gegen Rauschen, MP3-Komprimierung und Wiedergabe mit veränderter Geschwindigkeit gehärtet. Bei von Gemini generiertem Text wird ein anderer Weg gewählt: Durch Feinabstimmung der Bewertungsverteilung des Modells für jedes Kandidatenwort wird ein Signal eingebettet, während sich der sichtbare Text überhaupt nicht verändert.

Die entscheidende Änderung bei dieser Öffnung betrifft die Partner. Frühere Detektoren erkannten nur Googles eigene Wasserzeichen; ein von ChatGPT generiertes Bild wurde in Googles Werkzeugen selbst dann nicht markiert, wenn es ebenfalls SynthID trug. Nun ist diese Beschränkung aufgehoben: Der Detektor unterstützt gleichzeitig OpenAI, NVIDIA und das südkoreanische Unternehmen Kakao; Apple hat zugesagt, später dazuzukommen.

Unterm Strich lassen sich mit einem einzigen Upload die Generierungsspuren mehrerer Unternehmen gleichzeitig prüfen, ohne die jeweiligen Verifizierungsseiten einzeln aufsuchen zu müssen. Google hat diese Fähigkeit nebenbei in die Suche, die Gemini-App und Chrome integriert; an diesen drei Stellen werden zusammen täglich mehr als eine Million Prüfanfragen bearbeitet.

Warum man nicht unbegrenzt prüfen darf

Das Tool selbst ist kostenlos, aber es gibt Einschränkungen. Pro Konto stehen täglich nur etwa 10 Prüfungen für Bilder, Videos und Audio zur Verfügung, und man muss sich mit einem Google-, OpenAI- oder Apple-Konto anmelden. Googles Ingenieure haben den Grund erklärt: Der Zugriff wird begrenzt, um zu verhindern, dass jemand die Detektionsergebnisse nutzt, um rückwärts ein „Wasserzeichen-Entferner“-Tool zu trainieren. Die Kontingentzahl wird absichtlich vage gehalten; wenn man hintereinander eine Reihe sehr ähnlicher Bilder hochlädt, kann das System einen möglicherweise früher sperren, weil es wie der Versuch aussieht, eine Umgehungslösung auszuloten.

Ein weiteres Detail ist erwähnenswert. Hochgeladene Dateien werden in Echtzeit verarbeitet und nach der Ergebnisausgabe sofort gelöscht, doch die digitale Signatur der Datei bleibt 24 Stunden lang erhalten, um das Tageskontingent zu erfassen.

„Nicht erkannt“ heißt nicht „nicht KI-generiert“

Das ist der Punkt, der bei diesem Tool am klarsten kommuniziert werden muss, und Google schreibt es selbst in den FAQ: Es ist kein allgemeiner KI-Detektor. Er kann nur Inhalte erkennen, die von Unternehmen stammen, die die SynthID-Technologie einsetzen.

In der Realität fällt eine große Menge von Inhalten von vornherein aus seinem Beurteilungsbereich heraus. Microsoft und Meta verwenden jeweils eigene Wasserzeichenstandards, und beide stehen nicht auf Googles Partnerliste; Meta hatte in diesem Jahr außerdem den Fall, dass sein eigener Detektor selbst zugeschnittene KI-Bilder aus dem eigenen Haus übersah. Noch entscheidender sind Modelle mit offenen Gewichten: Jeder kann sie auf der eigenen Maschine ausführen, und die erzeugten Inhalte besitzen nicht einmal die einfachsten Metadatenmarkierungen.

Die korrekte Lesart von „kein Wasserzeichen erkannt“ lautet daher „Herkunft unbekannt“ und nicht „das ist echt“. Die Datei kann von einem Modell stammen, das nicht an SynthID angebunden ist, oder sie wurde durch Zuschneiden, Komprimieren oder Abfilmen so stark bearbeitet, dass das Signal abgeschliffen wurde.

Googles anderer Ansatz ist genau umgekehrt: Statt KI-Inhalte zu kennzeichnen, sollte man echte Inhalte kennzeichnen. Kryptografische Verfahren wie C2PA signieren Herkunftsinformationen schon im Aufnahmegerät; Pixel-Smartphones gehören zu den wenigen Produkten, die das bereits tun. Der eine Weg etikettiert falsche Inhalte, der andere echte Inhalte – beide Wege decken jeweils ein Ende ab.

Für normale Nutzer liegt der praktische Wert dieser Website darin, dass sie ein einheitlicher Einstiegspunkt ist. Wenn man ein verdächtiges Bild sieht, kann man es zuerst dort hineinwerfen und prüfen lassen und dann zusammen mit Quelle, Zeitpunkt und Kontext beurteilen – das ist verlässlicher, als nur das Ergebnis zu betrachten. Bemerkenswert ist die recht breite Formatunterstützung: Bei Bildern sind JPG, PNG, WEBP und HEIC abgedeckt, bei Videos MP4, MOV und WEBM, bei Audio gängige Typen wie WAV, MP3 und FLAC. Die allermeisten Dateien, die einem im Alltag begegnen, lassen sich direkt hochladen.

Im chinesischsprachigen Raum ist die Debatte darüber, ob „dieses Bild von KI gemalt wurde“, in den letzten sechs Monaten nicht abgerissen; fertig bearbeitete Bilder von Stockfoto-Websites und Illustrationen, die man auf dem Handy sieht, lassen sich immer schwerer unterscheiden. Eine weitere Stelle, an der man nachprüfen kann, ist immer gut – solange man sie nicht für ein Urteil hält. Die wirklich wichtige Gewohnheit ist: Die Wasserzeichenerkennung liefert ein einzelnes Signal. Wenn sie „vorhanden“ sagt, ist die Verlässlichkeit relativ hoch; wenn sie „nicht vorhanden“ sagt, sagt sie so gut wie nichts. Ob ein Bild vertrauenswürdig ist, hängt letztlich davon ab, wer es aufgenommen oder generiert hat, in welchem Kontext es veröffentlicht wurde und ob eine zweite Partei es belegen kann. Das Tool kann einem helfen, einen Teil auszuschließen, aber es kann keine Schlussfolgerung für einen ziehen.