Wasserzeichen: Was sie schützen und was nicht

Es überlebt, weil es in den Pixeln steckt — und das ist die ganze Geschichte

Alles, was ein sichtbares Wasserzeichen nützlich macht, und alles, was es teuer macht, folgt aus einer Tatsache: Es hängt nicht am Bild, es ist Teil des Bildes. Kein Feld zum Leeren, kein Header zum Entfernen, kein Flag zum Zurücksetzen. Wir haben geprüft, wie weit das trägt. Wir haben ein kleines Zeichen mit 60 % Deckkraft in die untere rechte Ecke eines 1600 × 900-Fotos komponiert und danach das Zeichenfeld nach jeder Transformation gegen das unberührte Original gemessen. In der markierten Vorlage weicht der Bereich im Mittel um 17,15 Stufen vom Original ab. Nach einem JPEG bei Qualität 75: 18,67. Nach einer viel härteren Qualität 40: 20,80. Nachdem dieselbe Qualität-40-Datei auf 800 × 450 verkleinert wurde: 22,39.

Die Kontrolle sagt, was diese Zahlen bedeuten. Nimm dasselbe Foto ganz ohne Wasserzeichen, codiere es bei Qualität 75 und miss dasselbe Rechteck: Es weicht um 1,98 Stufen vom Original ab — das ist der Rauschboden der Kompression. Das Zeichen liegt in jeder Stufe neun- bis elfmal darüber, und der Wert steigt sogar, weil jeder verlustbehaftete Durchlauf seinen eigenen Fehler auf eine Differenz legt, die ohnehin nie verblasst wäre. Vergleiche das mit den unsichtbaren Feldern derselben Datei. Das Ausgangs-JPEG trug zwei Metadatenmarker mit zusammen 1 344 Bytes, 0,0239 % der Datei. Wir haben es in eine Browser-Canvas geladen und wieder herausgeschrieben — was passiert, sobald ein Bild durch ein Webwerkzeug läuft — und beide Marker waren weg, ersetzt durch einen generischen Header und ein Farbprofil. Nicht absichtlich entfernt. Nur nicht mitgeführt.

Der echte Handel: Abdeckung gegen Aufdringlichkeit

Ein Eckzeichen kostet den Betrachter wenig und ist billig auszuhebeln. Unseres belegte ein 300 × 56-Feld, 40 Pixel von der unteren rechten Kante eingerückt. Bei 60 % Deckkraft veränderte es 4 660 Pixel — 0,32 % eines Bildes mit 1 440 000 Pixeln — um im Mittel 61,84 Stufen und verschob den Bildmittelwert um 0,200 Stufen. Die Deckkraft auf 100 % zu ziehen, weitete es nur auf 4 907 Pixel; sie auf 35 % zu senken, schrumpfte es nur auf 4 420. Deckkraft ändert die Lautstärke des Zeichens, nicht seinen Bildanteil.

Deshalb ist das Eckzeichen trivial auszuhebeln. Sein gesamter Fußabdruck liegt in den unteren 96 Zeilen eines 900-Zeilen-Bildes. Schneide sie weg und du behältst 1600 × 804 — 89,3 % der Pixel — ohne Bearbeitungskönnen, ohne Software jenseits der Foto-App eines Telefons und ohne Spur. Jedes Zeichen, das in einem Rand sitzt, verschwindet mit dem Rand, und die meisten Bilder haben Rand übrig.

Ein gekacheltes Zeichen schließt diese Tür und öffnet eine schlimmere. Unseres lief bei 18 % Deckkraft diagonal über das ganze Bild — bewusst blass — und berührte trotzdem 169 164 Pixel, 11,75 % des Bildes, 36-mal so viele wie das Eckzeichen. Kein Zuschnitt entfernt es, weil es keinen Bildteil ohne es gibt. Aber die Kosten trägt nun jeder: Die mittlere Abweichung über das ganze Bild stieg von 0,200 auf 1,844 Stufen, und das JPEG wuchs von 314 890 auf 355 169 Bytes, weil der Encoder nun Bits für ein über das Foto gelegtes Textgitter aufwenden muss. Deine Kunden sehen ein Foto mit Schrift darauf — genau das hast du gebaut.

Entfernung, ehrlich betrachtet

Hier lohnt Genauigkeit in beide Richtungen. Ein sichtbares Wasserzeichen ist nicht unentfernbar, und etwas anderes zu behaupten bereitet eine böse Überraschung vor. Inhaltsbasiertes Füllen und modernes Inpainting rekonstruieren kleine markierte Bereiche aus ihrer Umgebung gut genug, dass ein dezentes Ecklogo auf weichem Hintergrund sauber herauskommt — und ein Zeichen, das klein genug ist, um deine Betrachter nicht zu stören, ist bauartbedingt klein genug, um sich dafür anzubieten. Das ist die unbequeme Symmetrie der ganzen Technik: Je weniger sie dich kostet, desto weniger kostet sie einen entschlossenen Kopierer.

Die andere Richtung zählt genauso. Entfernen verlangt Absicht, Aufwand und ein Werkzeug, und es lässt den Kopierer als jemanden dastehen, der dein Werk absichtlich verändert hat, statt es nur weiterzuveröffentlichen. Dieser Unterschied ist nicht nichts. Ein Wasserzeichen macht aus einer gedankenlosen Kopie eine bewusste Handlung, hält deinen Namen bei jedem beiläufigen Teilen dran und sorgt dafür, dass der bequeme Weg — Rechtsklick, speichern, weiterposten — deine Credit-Zeile mitträgt. Das sind echte Vorteile. Es sind nur Vorteile von Reibung und Zuschreibung, nicht von Sicherheit. Entwirf das Zeichen für die Person, die dich ohnehin genannt hätte und dich nie nachgeschlagen hätte, nicht für die, die schon entschieden hat zu stehlen.

Nicht dasselbe: Credit-Felder in den Metadaten

EXIF hat ein Artist- und ein Copyright-Tag. IPTC bietet einen umfassenderen Satz — Urheber, Credit-Zeile, Copyright-Vermerk, Nutzungsbedingungen — und ist der Standard, den Bildredaktionen und Bildagenturen tatsächlich nutzen. Beide sind unsichtbar, kostenlos, ohne Qualitätsverlust und trivial verlierbar. Wir haben an einem 5,6-MB-Foto gemessen, was das praktisch heißt: Seine beiden Metadatenmarker waren zusammen 1 344 Bytes, 0,0239 % der Datei, und ein einziger Durchlauf durch eine Browser-Canvas entfernte jeden davon, ohne Zutun oder Warnung.

Metadaten-Credits lohnen sich also zum Ausfüllen und taugen null als Schutz. Nutze sie, weil sie nichts kosten, weil Presse- und Bildagenturabläufe sie lesen und weil sie der einzige Ort sind, um Lizenzbedingungen maschinenlesbar festzuhalten. Nutze sie nicht als Beleg dafür, dass eine Datei dir gehört, und setze nicht voraus, dass eine Plattform sie bewahrt — viele löschen Metadaten beim Hochladen als Datenschutzmaßnahme, was für Ortsdaten richtig ist und für deinen Namen ein Nebeneffekt. Unser Begleitartikel zu EXIF beschreibt, was sonst noch in diesem Block liegt und wie man ihn prüft.

Ebenfalls nicht dasselbe: Content Credentials

C2PA Content Credentials sind ein wirklich anderer Mechanismus und der einzige auf dieser Seite, der eine überprüfbare Aussage macht. Ein Content Credential ist ein kryptografisch signiertes Manifest — ein Protokoll darüber, wer das Werk erzeugt hat, mit welchem Gerät oder welcher Software und was seither damit geschah — als JUMBF-Box in der Datei mitgeführt und über einen Hash an die Pixel gebunden. Ändert sich ein einziges Pixel ohne neuen signierten Eintrag, schlägt die Validierung fehl. Es ist keine Markierung, es ist Provenienz, und es beantwortet eine andere Frage: nicht „gehört das mir?“, sondern „welche aufgezeichnete Geschichte hat diese Datei?“

Aktuell ist die C2PA Technical Specification 2.4 vom April 2026, nach 2.3 im Januar desselben Jahres; die Architektur läuft zudem als ISO/DIS 22144, Authentizität von Informationen — Content Credentials, durch die ISO. Die Verbreitung ist inzwischen real statt theoretisch: bei Kameraherstellern, Bildbearbeitungssoftware, generativen Werkzeugen und in einigen Redaktionsabläufen. Das ist wichtig für die Frage, die immer als Nächstes kommt.

Die Frage lautet: Was passiert, wenn jemand es entfernt? Ein Manifest ist weiterhin Metadatum, also würde dieselbe Browser-Canvas, die unseren EXIF-Block löschte, auch ein Content Credential löschen. Die Signatur lässt sich nicht fälschen, wohl aber löschen, und eine Datei ohne Credential sagt schlicht nichts, statt etwas Falsches zu sagen. Diese Lücke nennt die Spezifikation Durable Content Credential: ein Credential zusammen mit einem oder mehreren Soft Bindings — Werten, die aus dem Inhalt des Bildes statt aus seinen Rohbytes berechnet werden —, damit eine entkleidete Datei in einem Repositorium wieder ihrem Manifest zugeordnet werden kann. Hier treffen sich unsichtbares Wasserzeichen und Content Credentials, und deshalb werden beide so oft verwechselt: Das eine ist ein Bestandteil des anderen.

Und auch nicht dasselbe: unsichtbare Wasserzeichen

Ein unsichtbares oder steganografisches Wasserzeichen versteckt eine Nutzlast in den Pixeln unterhalb der Wahrnehmungsschwelle — über Frequenzkoeffizienten verteilt statt in ein Rechteck geschrieben. Es hat die Eigenschaft des sichtbaren Zeichens, nämlich in den Bilddaten zu stecken und eine Neucodierung zu überstehen, ohne die Eigenschaft, die das sichtbare Zeichen ruiniert, nämlich dass jemand es ansehen muss. Das ist eine wirklich attraktive Kombination, und deshalb setzen Plattformen und Anbieter generativer Modelle es zur Kennzeichnung ihrer Ausgaben ein.

Der Haken steckt im Wort überstehen. Ein unsichtbares Wasserzeichen ist auf einen bestimmten Satz von Transformationen ausgelegt — mäßige JPEG-Kompression, mäßige Skalierung, eine Farbkorrektur — und zerfällt gegenüber allem anderen. Ein harter Zuschnitt entfernt den Teil der Nutzlast, der im weggeschnittenen Bereich lag. Drehung, aggressive Neukompression, starke Filterung und das Abfotografieren eines Bildschirms greifen es an. Und anders als ein sichtbares Zeichen, dessen Versagen dir sofort auffällt, versagt ein unsichtbares still: Der Detektor liefert nichts, und nichts ist nicht von einer Datei zu unterscheiden, die nie ein Zeichen trug. Behandle es als starkes Signal, wenn es anschlägt, und als gar keinen Beleg, wenn nicht.

Was also wirklich tun

Entscheide, wogegen du dich wehrst, denn die vier Mechanismen wehren vier verschiedene Dinge ab. Ist das Risiko, beim beiläufigen Teilen ungenannt zu bleiben — ein Portfoliostück, ein Diagramm, ein Produktfoto, das kursieren soll —, ist ein dezentes sichtbares Zeichen genau richtig, und 0,32 % des Bildes sind ein fairer Preis. Ist das Risiko, dass ein Kunde oder ein Marktplatz den Urheber einer Datei aus den Augen verliert, füll die IPTC-Felder aus und akzeptiere, dass sie die Reise vielleicht nicht überstehen. Lautet die Frage, ob ein Bild ist, was es zu sein vorgibt, sind das Content Credentials, und nichts anderes auf dieser Liste beantwortet sie. Musst du Lecks einer an namentlich bekannte Empfänger verteilten Datei zurückverfolgen, ist das unsichtbares Wasserzeichnen mit empfängerspezifischer Nutzlast — ein Spezialwerkzeug.

Und wenn du ein sichtbares Zeichen setzt, setze es bewusst. Halte es vom Motiv fern und aus dem reinen Rand heraus — ein Zeichen, das die Kante des Inhalts überlappt, lässt sich schwerer wegschneiden als eines, das im leeren Himmel schwebt, ohne dabei zu verdecken, wofür jemand gekommen ist. Halte die Deckkraft niedrig genug, dass das Bild lesbar bleibt: Unser Eckzeichen veränderte seine Pixel bei 35 % noch um im Mittel 38 Stufen — deutlich lesbar und kaum aufdringlich. Exportiere es auf eine Kopie und behalte eine unmarkierte Vorlage, denn du brauchst die saubere Datei am ersten Tag, an dem jemand das Bild ordentlich lizenziert.

Häufige Fragen

Hindert ein Wasserzeichen jemanden daran, mein Bild zu stehlen?

Nein, und keine Bildtechnik tut das. Sie verteuert die gedankenlose Kopie und hält deinen Namen in den vielen Fällen dran, in denen niemand Schaden wollte. Unser Eckzeichen ließ sich durch Wegschneiden der unteren 10,7 % der Höhe entfernen, was jeder auf dem Telefon kann — aber dieser Zuschnitt ist eine bewusste Handlung, ebenso wie das Wegretuschieren per Inpainting. Ein Wasserzeichen kauft Reibung und Zuschreibung. Alles Stärkere ist eine Frage von Lizenz und Durchsetzung, nicht von Pixeln.

Eckzeichen oder gekacheltes Zeichen?

Ecke für alles, was ein Betrachter genießen soll; Kachelung nur für Vorschauen, die nie so verwendet werden sollten. Die Zahlen entscheiden: Das Eckzeichen berührte 0,32 % des Bildes, das gekachelte 11,75 % — 36-mal so viele Pixel —, hob die mittlere Bildabweichung von 0,200 auf 1,844 Stufen und schlug 12,8 % auf das JPEG. Ein gekacheltes Zeichen ist ein Andruck. Kachelst du ein Portfoliobild, hast du ein Portfolio aus Bildern mit Schrift darüber veröffentlicht.

Übersteht mein Wasserzeichen den Upload auf eine soziale Plattform?

Ein sichtbares ja. Plattformen codieren und skalieren aggressiv neu, und genau das verträgt ein sichtbares Zeichen: Nach einem JPEG bei Qualität 40 und einer Halbierung lag unser Zeichen noch 22,39 Stufen über dem unberührten Original, gegen einen Kompressionsrauschboden von 1,98. Deine Metadaten überstehen die Reise nicht — viele Plattformen entfernen sie beim Hochladen, vor allem aus Datenschutzgründen —, sodass der Credit, den du mitgeschickt glaubtest, oft schon vor dem ersten Teilen verschwunden ist.

Sind Content Credentials eine Art Wasserzeichen?

Nein. Ein Content Credential ist ein signiertes Provenienz-Manifest in der Datei, über einen Hash an die Pixel gebunden — es hält fest, was die Datei ist und was mit ihr geschah, und jede nicht deklarierte Änderung lässt die Validierung scheitern. Ein Wasserzeichen behauptet nichts und prüft nichts; es ist eine Markierung. An einer Stelle treffen sie sich: Die aktuelle Spezifikation definiert ein Durable Content Credential als eines mit Soft Bindings, und ein unsichtbares Wasserzeichen kann ein solches sein, damit eine entkleidete Datei wieder ihrem Manifest zugeordnet wird. Auch dann ist das Wasserzeichen der Index, nicht die Aussage.

Sollte ich mit voller Deckkraft markieren, damit es unmissverständlich ist?

Selten, denn Deckkraft kauft Lesbarkeit, nicht Abdeckung. Zwischen 35 % und 100 % Deckkraft wuchs unser Eckzeichen von 4 420 auf 4 907 betroffene Pixel — rund 11 % mehr Fläche —, während die mittlere Änderung pro Pixel von 38,03 auf 97,91 Stufen stieg. Anders gesagt: fast dreimal lauter bei fast keinem zusätzlichen Fußabdruck, und ein Zeichen, das sich bei 100 % leicht wegschneiden lässt, lässt sich bei 35 % genauso leicht wegschneiden. Wähle die niedrigste Deckkraft, die in der Anzeigegröße noch lesbar ist.