Der Sicherheitsforscher David Buchanan veröffentlichte am 25. August eine Analyse mit dem sinngemäßen Titel „C2PA-Kamerasignaturen halten der Praxis nicht stand". Sein Fazit lässt sich in einem Satz zusammenfassen: C2PA ist auf Android kaputt – und lässt sich nicht mit regulären Patches reparieren.
Zunächst zum eigentlichen Zweck des Systems. Content Credentials sollen die Frage beantworten, ob ein Foto tatsächlich von einer Kamera aufgenommen oder von einem Modell generiert wurde. Dazu signiert die Kamera die Datei im Moment der Aufnahme mit einem privaten Hardware-Schlüssel; die Signatur enthält Gerätemodell, Aufnahmezeitpunkt und die spätere Bearbeitungshistorie. Seit dem Pixel 10 hat Google diese Funktion fest in die Kamera-App integriert, der private Schlüssel liegt in der StrongBox des Titan-M2-Chips, abgesichert durch Key Attestation und Play-Integrity-Prüfungen der Geräteintegrität. Konstruktionsbedingt verlässt der private Schlüssel den Sicherheitschip nie – selbst wer das System übernimmt, kann ihn nicht stehlen.
Kein Schlüsseldiebstahl nötig, nur ausleihen
Buchanans zentraler Punkt: Ein Angreifer muss den privaten Schlüssel gar nicht herausholen. Mit Root-Rechten lässt sich die StrongBox direkt über die KeyStore-API dazu bringen, mit genau diesem Schlüssel beliebige Daten zu signieren – der Chip ist nur fürs Signieren zuständig, nicht dafür, zu prüfen, ob die signierten Bytes tatsächlich von der Kamera stammen. Buchanan veröffentlichte dazu zwei Tools: Root-My-Pixel für den Root-Zugriff und keystork für die KeyStore-Aufrufe.
Woher kommt das Root? Von CVE-2026-43499, einer Ein-Klick-Rechteausweitung, die vollständig gepatchte Pixel-Geräte betrifft, darunter Pixel 8a und 9a; öffentlicher Exploit-Code kursiert bereits. Meta hatte die Lücke auf der eigenen Quest-Brille bereits vor Google geschlossen, Samsung blockiert dank Real-time Kernel Protection (RKP) einen Teil der Angriffspfade.
Zusätzlich demonstrierte er einen zweiten Weg: elektromagnetische Fehlerinjektion (Fault Injection) am DRAM. Dieser Ansatz ist deutlich anspruchsvoller und aufwendiger – ein Angriff auf physischer Ebene, den Software-Patches grundsätzlich nicht erreichen.
Google schließt den Bericht
Google stufte den Bericht als „Won't fix" (wird nicht behoben) ein, zahlte aber dennoch 7.500 US-Dollar Prämie, obwohl Hardware-Angriffe laut Regelwerk eigentlich nicht unter das Bug-Bounty-Programm fallen. Diese Kombination ist selbst eine Aussage: Der Wert der Lücke wird anerkannt, ihre Behebbarkeit nicht. Der gesamte Prozess folgte der 90-Tage-Offenlegungsfrist.
Die eingestürzte Grundannahme
Die Überzeugungskraft von C2PA beruht auf einer Annahme: Signaturen können nur von vertrauenswürdiger Hardware zu einem vertrauenswürdigen Zeitpunkt erzeugt werden. Sobald Root-Rechte den Sicherheitschip dazu bringen können, beliebige Inhalte abzustempeln, degeneriert die Signatur zu einer Aussage wie „dieses Gerät war beteiligt" – während das Gerät selbst vollständig kontrolliert werden kann. Ein gefälschtes Foto mit gültiger Pixel-Signatur wird im Prüftool als verifiziert angezeigt.
Im Kontext der KI-Inhaltsgovernance muss dieses Gewicht klar benannt werden. Eingebettete Wasserzeichen wie SynthID leisten eine positive Kennzeichnung: Sie markieren, was maschinell erzeugt wurde. C2PA-Kamerasignaturen leisten dagegen einen umgekehrten Nachweis: Sie markieren, was real aufgenommen wurde. Wird Ersteres entfernt, verliert der Inhalt bestenfalls sein Label; wird Letzteres gefälscht, erhält synthetischer Inhalt praktisch ein Echtheitszertifikat. Die Kosten eines Versagens unterscheiden sich zwischen beiden Wegen um Größenordnungen.
Eine grobe Einschätzung der Risikofläche: Android hält weltweit einen Smartphone-Marktanteil von über 70 Prozent. Wenn Kamerasignaturen nur auf wenigen Modellen vertrauenswürdig sind und auf genau diesen Modellen quartalsweise neue Rechteausweitungs-Lücken auftauchen, wird die Gewohnheit „Signatur gesehen, also glauben" selbst zur Schwachstelle. Ein gangbarer Weg wäre, die Signatur zu einem schwachen Signal herabzustufen und sie mit Aufnahmeort, Zeitstempel und Veröffentlichungskette abzugleichen, statt sie als alleinstehenden Beweis zu behandeln.
Quellen: Privater Blog von David Buchanan, CocoLoop, Antwort des Google-Bug-Bounty-Programms, öffentliche C2PA-Spezifikation für Content Credentials; CVE-Nummer 2026-43499, die Prämie von 7.500 US-Dollar und die betroffenen Modelle basieren auf den Angaben des Forschers.