Deepfake

Rechtlich relevant ist er in der EU vor allem durch Artikel 50 der KI-Verordnung: Wer ein KI-System außerhalb einer persönlichen und nicht beruflichen Tätigkeit verwendet und damit einen Deepfake erzeugt oder verändert, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde.

Wie Deepfakes technisch entstehen

Die erste Generation von Deepfakes beruhte auf Generative Adversarial Networks (GAN). Dort treten zwei neuronale Netze gegeneinander an: Ein Generator erzeugt Kandidaten, ein Diskriminator versucht, echte von erzeugten Bildern zu unterscheiden. Beide verbessern sich gegenseitig, bis der Diskriminator die Fälschung nicht mehr sicher erkennt. Dieses Verfahren prägte die klassischen Gesichtstausch-Videos der Jahre 2017 bis 2021.

Heute dominieren Diffusionsmodelle. Sie lernen, aus einem verrauschten Bild schrittweise ein scharfes zu rekonstruieren, und können diesen Prozess durch eine Texteingabe steuern. Das senkt die Einstiegshürde drastisch: Für ein brauchbares Ergebnis braucht es kein Trainingsmaterial von Stunden Länge mehr, oft genügen wenige Minuten Videomaterial oder einige Sekunden Sprachaufnahme. Parallel sind Sprachsynthese-Modelle so weit, dass sie Stimmfarbe, Sprechtempo und Betonung einer Person aus kurzen Samples übernehmen.

Die vier Varianten, die in der Praxis vorkommen

• Face Swap. Das Gesicht einer Person wird in ein bestehendes Video eingesetzt. Der Klassiker, technisch inzwischen Massenware.
• Lip Sync und Reenactment. Das Originalgesicht bleibt, nur Mundbewegung und Mimik werden an eine neue Tonspur angepasst. Besonders schwer zu erkennen, weil Hintergrund, Beleuchtung und Körperhaltung echt sind.
• Voice Cloning. Eine synthetische Stimme spricht beliebige Texte in der Klangfarbe einer realen Person. Die im Unternehmensumfeld gefährlichste Variante, weil sie am Telefon funktioniert und keine Bildqualität braucht.
• Vollsynthetische Personen. Gesichter, die keiner realen Person gehören, etwa für gefälschte Profile und Bewertungen. Nach den Leitlinien der Kommission können auch sie unter die Deepfake-Definition fallen: Es genügt, dass eine realistisch wirkende Person so existieren könnte.

Deepfakes und die KI-Verordnung: was Artikel 50 verlangt

Die KI-Verordnung, also die Verordnung (EU) 2024/1689, definiert den Deepfake in Artikel 3 Nummer 60 als durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt, der wirklichen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähnelt und einer Person den fälschlichen Eindruck von Echtheit vermitteln würde. An diese Definition hängt Artikel 50 zwei verschiedene Pflichten, die regelmäßig verwechselt werden.

Anbieterpflicht: maschinenlesbare Markierung

Anbieter von KI-Systemen, die synthetische Bild-, Audio-, Video- oder Textinhalte erzeugen, müssen die Ausgaben in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert markieren. Gemeint sind technische Verfahren wie unsichtbare Wasserzeichen, kryptografische Herkunftsnachweise oder Metadaten nach dem C2PA-Standard. Diese Pflicht richtet sich an den Hersteller des Modells oder Dienstes, nicht an das Unternehmen, das es benutzt.

Betreiberpflicht: Offenlegung gegenüber dem Publikum

Betreiber, also alle, die ein KI-System in eigener Verantwortung verwenden, sofern dies nicht im Rahmen einer persönlichen und nicht beruflichen Tätigkeit geschieht (Artikel 3 Nummer 4), müssen offenlegen, dass ein damit erzeugter oder veränderter Deepfake künstlich erzeugt oder manipuliert wurde. Das ist die Pflicht, die den normalen Mittelständler trifft, der ein KI-Video für Social Media oder eine synthetische Stimme für einen Werbespot einsetzt. Ausgenommen ist nur eine Verwendung, die gesetzlich zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten zugelassen ist. Bei offensichtlich künstlerischen, kreativen, satirischen, fiktionalen oder vergleichbaren Werken entfällt die Pflicht nicht. Sie beschränkt sich dort auf einen geeigneten Hinweis, der die Darstellung oder den Genuss des Werks nicht beeinträchtigt. Die Leitlinien der Kommission legen dieses Privileg eng aus: Rein informierende Inhalte wie Nachrichten fallen nicht darunter, Werbung nur in bestimmten Einzelfällen. Für KI-Texte, die der Information der Öffentlichkeit zu Angelegenheiten von öffentlichem Interesse dienen, gilt eine eigene Offenlegungspflicht, die entfällt, wenn der Text redaktionell geprüft wurde und eine natürliche oder juristische Person die Verantwortung für die Veröffentlichung trägt.

Die Fristen, die tatsächlich gelten

Verbreitet ist die Fehlannahme, der Digital Omnibus zur KI habe Artikel 50 pauschal auf Dezember 2026 verschoben. Das ist falsch. Neu ist ausschließlich eine Karenzfrist bis zum 2. Dezember 2026 für die maschinenlesbare Markierung nach Artikel 50 Absatz 2, und das nur für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden. Die Offenlegungspflicht für Deepfakes gilt seit dem 2. August 2026 ohne Übergang.

Wie eine Kennzeichnung aussehen muss

Die Verordnung schreibt kein Format vor, sondern verlangt eine klare, erkennbare Offenlegung spätestens beim ersten Kontakt mit dem Inhalt. Die Europäische Kommission hat dazu im Juni 2026 den Code of Practice on Transparency of AI-generated Content veröffentlicht und am 20. Juli 2026 die zugehörigen Leitlinien. Die Leitlinien erläutern, wie die Kommission Artikel 50 auslegt. Der Code ist freiwillig, Kommission und KI-Gremium haben ihn aber als angemessen bestätigt: Wer ihn unterzeichnet und umsetzt, kann damit nachweisen, dass er die Markierungs- und Offenlegungspflichten aus Artikel 50 Absatz 2 und 4 einhält. Wer ihn nicht zeichnet, muss selbst belegen, dass seine eigenen Maßnahmen angemessen sind. Ergänzend stellt die Kommission ein offizielles Icon-Set für die Kennzeichnung bereit, ebenfalls freiwillig in der Nutzung.

Praktisch heißt das für ein Unternehmen: ein sichtbarer Hinweis am Inhalt selbst, nicht im Impressum. Bei einem Video ein Einblender oder ein Overlay, bei einem Bild eine Bildunterschrift, bei einer synthetischen Stimme ein gesprochener oder eingeblendeter Hinweis. Der Satz „Dieses Video enthält KI-generierte Inhalte" am Anfang eines Spots erfüllt die Pflicht; ein Vermerk in der dritten Zeile der Videobeschreibung tut es nicht. Steigen Zuschauer absehbar erst später ein, soll der Hinweis nach den Leitlinien nach Möglichkeit auch an späteren Stellen erscheinen.

Deepfakes als Angriffsvektor: der Fall, der die Debatte verändert hat

Im Februar 2024 überwies ein Mitarbeiter der Hongkonger Niederlassung des Ingenieurdienstleisters Arup rund 25 Millionen US-Dollar an Betrüger. Der Grund: eine Videokonferenz, in der der Finanzvorstand und weitere Kollegen zu sehen und zu hören waren und die Überweisung anordneten. Alle Teilnehmer außer dem Mitarbeiter selbst waren Deepfakes, erzeugt aus öffentlich verfügbarem Videomaterial. Das Unternehmen hat den Vorfall später öffentlich bestätigt.

Der Fall ist lehrreich, weil er zeigt, wo der Schutz nicht liegt. Technische Erkennung half nicht, denn die Fälschung lief über einen vertrauten Kanal. Geholfen hätte ein Prozess: eine zweite, unabhängige Bestätigung über einen anderen Kommunikationsweg, bevor eine Zahlung dieser Größenordnung ausgeführt wird. Genau das ist die Konsequenz für den Mittelstand. Wer Zahlungsfreigaben, Stammdatenänderungen und Passwort-Resets ausschließlich an einer Stimme oder einem Gesicht festmacht, hat eine Lücke, die mit wenigen Minuten Ausgangsmaterial ausgenutzt werden kann.

Vier Maßnahmen, die wirklich wirken

1. Vier-Augen-Prinzip mit Kanalwechsel. Kritische Freigaben brauchen eine Rückbestätigung über einen Kanal, den der Angreifer nicht kontrolliert, typischerweise ein Rückruf auf die im System hinterlegte Nummer.
2. Betragsschwellen und Vier-Augen-Freigabe im ERP. Technisch erzwungen, nicht als Hausregel formuliert.
3. Schulung an realen Beispielen. Die Pflicht zur KI-Kompetenz nach Artikel 4 der KI-Verordnung lässt sich mit genau diesem Inhalt sinnvoll füllen.
4. Reduktion des Ausgangsmaterials. Stunden von Vorstandsvideos und Podcasts im Netz sind Trainingsmaterial. Das ist kein Grund, Kommunikation einzustellen, aber ein Grund, die Freigabeprozesse nicht an Stimme und Gesicht zu hängen.

Grenzen der Erkennung

Detektoren, die Deepfakes an Artefakten erkennen, sind ein Wettlauf, den die Erzeugerseite strukturell gewinnt: Jeder veröffentlichte Detektor ist Trainingssignal für das nächste Modell. Belastbarer ist der umgekehrte Weg, nämlich die Herkunft echter Inhalte nachweisbar zu machen. Genau darauf zielen Provenance-Verfahren wie C2PA und die maschinenlesbare Markierung aus Artikel 50 Absatz 2: Statt die Fälschung zu entlarven, wird der authentische Inhalt signiert. Für Unternehmen ist das vor allem beim eigenen Bildmaterial relevant, etwa bei Produktfotos und Pressebildern.

Abgrenzung zu verwandten Begriffen

Nicht jeder KI-erzeugte Inhalt ist ein Deepfake. Die Definition erfasst aber neben Personen auch Gegenstände, Orte, Einrichtungen und Ereignisse. Ein KI-generiertes Produktbild in Werbung oder auf einer Verpackung ist nach den Leitlinien der Kommission ein Deepfake, wenn es das Publikum über Aussehen, Eigenschaften oder Verwendung des echten Produkts täuschen kann. Ein echtes Produkt vor einem KI-generierten Hintergrund ist dagegen keiner, solange die Werbung nicht über das Produkt selbst in die Irre führt. Die maschinenlesbare Markierungspflicht des Anbieters gilt unabhängig davon, ob ein Deepfake vorliegt, die Offenlegungspflicht des Betreibers nur für Deepfakes. Kleine Eingriffe wie Farbkorrektur, Lichtanpassung oder das Entfernen von Passanten im Hintergrund machen einen Inhalt nach den Leitlinien in der Regel nicht zum Deepfake, entscheidend ist der Kontext. Die Grenze ist in Einzelfällen unscharf. Maßstab ist dabei ausdrücklich kein durchschnittlicher Betrachter, sondern das absehbare Publikum in seiner ganzen Breite, einschließlich Kindern, älteren Menschen und anderer Gruppen, die sich leichter täuschen lassen.

Rechtslage jenseits der KI-Verordnung

Die Kennzeichnungspflicht aus Artikel 50 ist nur eine Ebene. Wer eine real existierende Person per Deepfake darstellt, berührt in Deutschland zusätzlich das allgemeine Persönlichkeitsrecht und, bei Bildnissen, das Recht am eigenen Bild. Eine Einwilligung der dargestellten Person ist damit in der Regel die Voraussetzung dafür, dass eine Veröffentlichung überhaupt zulässig ist, und die Kennzeichnung heilt deren Fehlen nicht. Für Werbung mit dem Gesicht oder der Stimme bekannter Personen kommen vermögensrechtliche Ansprüche hinzu. Je nach Inhalt sind strafrechtliche Tatbestände einschlägig, etwa bei Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen, bei Beleidigung und Verleumdung oder bei Urkundenfälschung im weiteren Umfeld. Werden für das Training personenbezogene Daten verarbeitet, greift zusätzlich die Datenschutz-Grundverordnung.

Für ein Unternehmen folgt daraus eine einfache Reihenfolge der Prüfung. Zuerst die Frage, ob eine reale Person erkennbar dargestellt wird: dann braucht es eine Einwilligung, und zwar dokumentiert. Danach die Frage der Kennzeichnung nach Artikel 50. Zuletzt die Frage, ob der Inhalt in einem Kontext erscheint, in dem die Täuschung selbst Schaden anrichten kann, etwa in Pressemitteilungen, Produktaussagen oder Investorenkommunikation. Die meisten Konflikte in der Praxis entstehen nicht an der Kennzeichnung, sondern an der fehlenden Einwilligung. Das gilt besonders für Mitarbeitendenvideos, bei denen eine synthetische Stimme oder ein nachträglich angepasster Sprechtext eingesetzt wird, nachdem die Aufnahme längst abgenommen war.

Was Unternehmen jetzt konkret tun sollten

Drei Schritte reichen für den Anfang. Erstens eine Bestandsaufnahme: An welchen Stellen entstehen im Unternehmen KI-generierte Bilder, Videos oder Stimmen, auch in Agenturleistungen und in Social-Media-Teams? Zweitens eine Kennzeichnungsregel, die festlegt, wie der Hinweis aussieht und wer ihn setzt, verankert im Freigabeprozess für Veröffentlichungen. Drittens die Härtung der Freigabeprozesse gegen Voice Cloning, weil dort der tatsächliche finanzielle Schaden entsteht. Die erste Aufgabe gehört ins Marketing, die dritte in die Buchhaltung, und genau deshalb werden beide gern liegengelassen.