C2PA hängt an eine Datei einen signierten Vermerk darüber, wer was getan hat. Das ist nützlich und leicht misszuverstehen. Eine gültige Signatur heißt, dass die Datei sich seit der Signierung nicht verändert hat, nicht dass der Unterzeichner der ist, für den er sich ausgibt.
Das erzeugende Werkzeug, die ausgeführten Aktionen, die verwendeten Zutaten und ein Feld, das angibt, ob der Inhalt KI-generiert ist. Immer mehr Generatoren schreiben diese Erklärung in ihre Ausgabe, sodass ihr Vorhandensein die schnellste und sicherste verfügbare Antwort ist.
Ein selbstsigniertes Zertifikat zu erzeugen und ein Manifest, das eine bestimmte Kamera als Urheber nennt, tatsächlich zu signieren, kostet einen einzigen Befehl. So gebaute Dateien werden als gültig geprüft. Deshalb muss getrennt geprüft werden, ob das Zertifikat in einer bekannten Vertrauensliste steht, und dieses Ergebnis getrennt von der Gültigkeit ausgewiesen werden.
Ohne installierte Vertrauensliste lässt sich das Zertifikat gar nicht abgleichen. Es in diesem Zustand als unbekanntes Zertifikat zu bezeichnen, ist eine Unterstellung gegenüber der Datei. Richtig ist, festzuhalten, dass kein Abgleich erfolgte, und zu erklären, dass die nächste Analyse nach Installation einer Liste abgleichen wird.
Gar keine Signatur ist der Normalfall und kein schlechtes Zeichen — die meisten Fotos hatten nie eine. Eine Signatur, die nicht zum Inhalt passt, ist etwas anderes: Sie bedeutet, dass die Datei nach der Signierung verändert wurde, und dem ist nachzugehen.
Dieser Text ist allgemeine Orientierung, keine Rechtsberatung. Ein Prüfergebnis ist eine wahrscheinlichkeitsbasierte Einschätzung, kein Beweis.