KI-Fingerabdrücke lassen sich entfernen: die Studie aus Edinburgh

Veröffentlicht am 19. August 2026

KI-Fingerabdrücke sollten das Zuordnungsproblem lösen. Jedes generative Modell hinterlässt statistische Spuren in dem, was es erzeugt: Pixelmuster, Artefakte im Frequenzbereich, spektrale Signaturen, die für die jeweilige Architektur typisch sind. Halten diese Spuren stand, lässt sich jedes Bild auf seinen Ursprung zurückführen. Auf dieser Annahme ruhen Erkennungswerkzeuge, regulatorische Konzepte und Investitionen in Milliardenhöhe.

Im März 2026 haben Forschende der University of Edinburgh diese Annahme der größten unabhängigen Prüfung unterzogen, die je zu KI-Fingerabdrücken durchgeführt wurde: 12 Bildgeneratoren, 14 Verfahren. Das Ergebnis fällt vernichtend aus. KI-Fingerabdrücke lassen sich in über 80 Prozent der Fälle entfernen, wenn der Angreifer vollen Systemzugang hat. In etwa der Hälfte der untersuchten Systeme lassen sie sich fälschen. Keine der Manipulationen hinterließ eine sichtbare Spur.

Das ist kein Softwarefehler. Es ist eine strukturelle Schwäche der nachträglichen Erkennung selbst.

Deepfakes 2026: eine Krise, die jeder Abwehr davonläuft

Bevor es um die Grenzen der Erkennung geht, lohnt der Blick auf die Größenordnung des Problems, denn sie erklärt, warum die Frage überhaupt so drängt.

Plus 900 Prozent manipulierte Inhalte pro Jahr

Zwischen 2023 und 2025 wuchsen Deepfake-Inhalte jährlich um 900 Prozent, von rund 500.000 auf über 8 Millionen Fälle, so die Erhebung von Keepnet Labs aus dem Jahr 2025. Versuche, biometrische Verfahren mit Deepfakes zu umgehen, stiegen allein 2023 um 704 Prozent. Bis 2024 kam es rechnerisch alle fünf Minuten zu einem Versuch. Das Wachstum zieht sich durch Finanzwesen, Versicherung, Personalwesen und den öffentlichen Sektor. 80 Prozent der Organisationen verfügen weiterhin über kein spezifisches Vorgehen gegen diese Bedrohung.

40 Milliarden Dollar KI-Betrug bis 2027

Deloitte schätzt, dass Betrug im Zusammenhang mit generativer KI in den Vereinigten Staaten bis 2027 ein Volumen von 40 Milliarden Dollar erreicht. Die Schäden durch Deepfakes lagen 2025 bei 1,1 Milliarden Dollar, nach 360 Millionen im Jahr davor, also mehr als 200 Prozent Zuwachs in zwölf Monaten. Pro Vorfall betrug der durchschnittliche Schaden 2024 rund 500.000 Dollar.

Der Markt für Deepfake-Erkennung wächst jährlich um 28 bis 42 Prozent. Nachfrage besteht also. Diese Investitionen ruhen allerdings auf einer Annahme, die zunehmend brüchig wirkt: dass sich synthetische Inhalte nach ihrer Entstehung dauerhaft zuverlässig erkennen lassen.

Die Studie der University of Edinburgh

Die Untersuchung vom März 2026 ist die umfassendste Bewertung, die je zur Verlässlichkeit von KI-Fingerabdrücken vorgelegt wurde. Ihre Befunde brechen die Kernannahme der meisten heute eingesetzten Erkennungssysteme: dass KI-erzeugte Inhalte unauslöschliche, forensisch belastbare Spuren ihrer Herkunft tragen.

Was KI-Fingerabdrücke sind und warum man ihnen vertraute

Jeder KI-Bildgenerator hinterlässt unwillkürliche Spuren in dem, was er erzeugt. Sie entstehen aus der Architektur des neuronalen Netzes, aus den Trainingsdaten und aus den Sampling-Verfahren. Theoretisch gilt: Hinterlässt jedes Modell eine eindeutige Signatur, verrät das Erkennen dieser Signatur die Herkunft des Inhalts. Auf dieser Logik beruhen zahlreiche Erkennungswerkzeuge und ein Teil der regulatorischen Erwartungen.

12 Generatoren, 14 Verfahren

Das Team, unterstützt von der Edinburgh International Data Facility, dem Data-Driven Innovation Programme und dem Generative AI Laboratory, prüfte 14 Verfahren zur Fingerabdruckerkennung an Bildern aus 12 verschiedenen Generatoren. Die Breite der Stichprobe macht die Ergebnisse repräsentativ für den Stand der Technik.

Der Maßstab ist entscheidend. Frühere Bewertungen deckten typischerweise zwei bis vier Generatoren und eine Handvoll Erkennungsverfahren ab. Indem das gesamte Spektrum kommerziell verfügbarer und quelloffener Generatoren geprüft wurde, entstanden Befunde, die sich nicht als Randfälle abtun lassen.

80 Prozent Entfernung, Fälschung in der Hälfte der Systeme

Nach der Untersuchung lassen sich in Deepfake-Bilder eingebettete KI-Fingerabdrücke mit einer Erfolgsquote von über 80 Prozent entfernen, wenn Angreifer vollen Systemzugang haben, und mit über 50 Prozent selbst durch einfache, ressourcenarme Verfahren wie JPEG-Komprimierung oder Skalierung.

In etwa der Hälfte der untersuchten Systeme ließen sich die Fingerabdrücke nicht nur entfernen, sondern fälschen, um einen Inhalt fälschlich einem Generator zuzuschreiben, der ihn nie erzeugt hat. Damit könnten legitime Unternehmen für Bilder verantwortlich gemacht werden, die ihre Systeme nie hervorgebracht haben. Jede Manipulation war für das menschliche Auge nicht wahrnehmbar. Die begutachteten Ergebnisse, vorgestellt auf der IEEE SaTML 2026, belegen, dass Erkennung auf Basis von Fingerabdrücken allein unter gegnerischen Bedingungen forensisch nicht belastbar ist.

Wasserzeichen und Fingerabdruck: warum die Unterscheidung zählt

Ein Fingerabdruck ist eine unbeabsichtigte Spur, die ein Modell hinterlässt. Ein Wasserzeichen ist ein absichtlich eingebettetes Signal. Beide stehen unter demselben gegnerischen Druck: Sie lassen sich durch Bildbearbeitung, Zuschnitt, Screenshot oder Neukodierung entfernen. Untersuchungen zeigen, dass gängige Wasserzeichenverfahren gegenüber Entfernungsangriffen verwundbar bleiben, besonders wenn das Signal die Komprimierungs- und Weiterleitungszyklen sozialer Netzwerke überstehen soll.

Die Kernaussage der Edinburgher Studie reicht damit über die Fingerabdrücke hinaus: Kein einzelnes nachgelagertes Verfahren, weder Fingerabdruck noch Wasserzeichen, gewährleistet zugleich hohe Genauigkeit und Robustheit gegen entschlossene Angreifer. Genau deshalb ist die Beglaubigung an der Quelle, die nicht davon abhängt, dass ein eingebettetes Signal die Manipulation übersteht, der belastbarere Weg zur digitalen Herkunft.

Die Zahlen der Deepfake-Erkennung

Neben der Edinburgher Studie zeichnen weitere Erhebungen ein ernüchterndes Bild davon, wie gut sich Fälschungen im Nachhinein tatsächlich erkennen lassen.

Menschliche Erkennung: nur 0,1 Prozent

In kontrollierten Tests erkannten nur 0,1 Prozent der Teilnehmenden sämtliche vorgelegten Deepfakes korrekt (iProov, 2025). Eine Metaanalyse über 56 Studien ermittelte eine durchschnittliche menschliche Trefferquote von 24,5 Prozent bei Deepfake-Videos, also schlechter als der Münzwurf. 68 Prozent der untersuchten Fälschungen wurden als nahezu ununterscheidbar von echtem Material eingestuft. Wo rechtliche, versicherungstechnische oder Compliance-Entscheidungen von der Echtheit eines Inhalts abhängen, ist der Verlass auf die menschliche Wahrnehmung funktional gleichbedeutend mit fehlender Kontrolle.

KI-Werkzeuge im Feld: 45 bis 50 Prozent Leistungsverlust

KI-gestützte Erkennungswerkzeuge verhalten sich im Feld deutlich anders als im Labor. Der geschätzte Leistungsabfall liegt bei 45 bis 50 Prozent. Aktuelle Erkennungsprogramme übersehen 35 Prozent der Deepfakes neuer Generation. Anders gesagt: Jeder dritte synthetische Inhalt passiert unbemerkt.

Das Wettrüsten zwischen Erzeugung und Erkennung

Der Kreislauf wiederholt sich: Ein neues Erkennungsverfahren erzielt starke Laborergebnisse, die Generatoren werden aktualisiert, die Leistung bricht ein, und es geht von vorn los. Wachsende Investitionen beheben die strukturelle Grenze nicht, sie verschieben sie nur zeitlich. Solange die Verteidigung erst reagieren kann, nachdem der Inhalt entstanden ist, bleibt sie einen Schritt zurück.

Von der Erkennung zur digitalen Herkunft

Wenn sich Fingerabdrücke in 80 Prozent der Fälle entfernen lassen und jährlich 8 Millionen Deepfakes entstehen, bricht die Ausgangsannahme der Erkennungslogik zusammen. Der Ausweg liegt nicht in besseren Erkennungsprogrammen, sondern in einer anderen Fragestellung.

Der Wechsel: von nachträglicher Analyse zur Sicherung an der Quelle

Die Erkennungslogik unterstellt, ein Inhalt sei echt, bis das Gegenteil bewiesen ist, und wendet dann Aufwand darauf, den Beweis der Manipulation zu suchen. Die Beglaubigung an der Quelle dreht das um: Sie fragt nicht, ob ein Inhalt gefälscht ist, sondern hält fest, dass ein Inhalt echt und belegbar ist, und zwar in dem Moment, in dem er entsteht.

Der Unterschied ist nicht graduell. Ein Erkennungsergebnis ist eine Wahrscheinlichkeit, die mit jedem neuen Generator schlechter wird. Ein Beglaubigungsergebnis ist binär und bleibt gültig, unabhängig davon, wie weit sich die generativen Modelle entwickeln.

Wie forensische Beglaubigung funktioniert

Der Inhalt wird an der Quelle nach forensischer Methodik erfasst, auf einen SHA-256-Hashwert reduziert und mit einem qualifizierten Zeitstempel und einem elektronischen Siegel versehen, die ein nach eIDAS gelisteter qualifizierter Vertrauensdiensteanbieter über eine Schnittstelle ausstellt. Erfasst werden zugleich Geräteidentität, Geolokalisierung und Zeitpunkt. Das Ergebnis hält ein forensischer Bericht fest.

Entscheidend ist der Zeitpunkt: Die Sicherung erfolgt, bevor die Datei die Quellumgebung verlässt. Damit entsteht kein Zeitfenster, in dem der Inhalt unbeaufsichtigt wäre, und genau dieses Fenster ist der Ansatzpunkt jeder Anfechtung.

Rechtswert, Unveränderlichkeit und Beweiskette

Vor deutschen Gerichten entscheidet über die Beweiskraft nicht das Vorhandensein eines technischen Merkmals, sondern die Zivilprozessordnung. Nach § 286 ZPO würdigt das Gericht die Beweise frei, und § 371a ZPO knüpft den Anschein der Echtheit elektronischer Dokumente an die qualifizierte elektronische Signatur. Ein an der Quelle beglaubigter Inhalt mit dokumentierter Beweiskette liefert dem Gericht das, was ein Erkennungsergebnis nicht liefern kann: einen überprüfbaren Nachweis statt einer Einschätzung.

Ein Beispiel aus der Praxis. Eine Compliance-Abteilung erhält ein Hinweisgeber-Video. Mit dem Erkennungsansatz müsste das Team das Video analysieren, um eine Manipulation auszuschließen, bei 35 Prozent Ausfallquote auf Material neuer Generation und 0,1 Prozent Trefferquote menschlicher Prüfung. Mit Beglaubigung an der Quelle wird dasselbe Video im Moment der Aufzeichnung erfasst und gesiegelt, mit Zeitstempel, Standort, Hashwert und Signatur. Eine nachträgliche Analyse erübrigt sich, weil die Frage nach der Echtheit gar nicht erst offenbleibt.