Deepfakes und Recht: Persönlichkeitsrecht, Strafrecht und AI Act

Das Wichtigste in Kürze

Deepfakes sind KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die täuschend echt wirken und reale Personen darstellen oder imitieren.

In Deutschland schützen das allgemeine Persönlichkeitsrecht (§§823, 1004 BGB), das Recht am eigenen Bild (§§22-23 KUG) und mehrere Straftatbestände (§§201a, 186, 187 StGB) vor missbräuchlichen Deepfakes.

Der EU AI Act (VO (EU) 2024/1689) führt in Art. 50 Abs. 4 eine Kennzeichnungspflicht für Deepfakes ein -- ab dem 2. August 2026 verpflichtend.

Ausnahmen gelten nur für offensichtlich satirische, künstlerische oder fiktionale Inhalte sowie für strafrechtlich autorisierte Maßnahmen.

Bei Verstößen gegen die Kennzeichnungspflicht drohen Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes (Art. 99 Abs. 4).

Betroffene können zivilrechtlich Unterlassung, Löschung und Schadensersatz durchsetzen -- und parallel Strafanzeige erstatten.

Ein Unternehmen entdeckt ein täuschend echtes Video seines Geschäftsführers auf Social Media -- in dem er Dinge sagt, die er nie gesagt hat. Eine Mitarbeiterin findet ihr Gesicht in einem pornografischen Deepfake-Video, das unter Kollegen kursiert. Ein Finanzdienstleister wird Opfer eines Voice-Deepfakes, bei dem ein vermeintlicher Vorstand telefonisch eine Überweisung anordnet.

Diese Szenarien sind keine Zukunftsmusik. Deepfakes sind heute mit frei zugänglichen Tools in Minuten erstellbar -- und die rechtlichen Konsequenzen sind erheblich. Dieser Artikel erklärt die vollständige Rechtslage in Deutschland und der EU: Welche Gesetze greifen? Was droht Erstellern und Verbreitern? Und was können Betroffene und Unternehmen konkret tun?

Was sind Deepfakes? Definition und Technologie

Der Begriff „Deepfake" setzt sich aus „Deep Learning" und „Fake" zusammen. Gemeint sind Medieninhalte -- Bilder, Videos, Audiodateien -- die mithilfe von künstlicher Intelligenz so erzeugt oder manipuliert wurden, dass sie reale Personen zeigen oder nachahmen, ohne dass diese Personen tatsächlich beteiligt waren.

Die Technologie dahinter basiert auf generativen neuronalen Netzen, insbesondere auf sogenannten Generative Adversarial Networks (GANs) und Diffusionsmodellen. Ein Generator-Netzwerk erzeugt synthetische Inhalte, ein Diskriminator-Netzwerk prüft deren Realismus -- durch dieses Wechselspiel werden die Ergebnisse immer überzeugender.

Typische Deepfake-Kategorien:

Face Swap: Das Gesicht einer Person wird in ein bestehendes Video eingefügt.
Face Reenactment: Mimik und Lippenbewegungen einer Person werden manipuliert, sodass sie etwas anderes zu sagen scheint.
Voice Cloning: Die Stimme einer Person wird synthetisch nachgebildet, um beliebige Aussagen zu generieren.
Vollständig generierte Inhalte: Bilder oder Videos fiktiver Personen, die fotorealistisch wirken, aber keine reale Vorlage haben.

Der AI Act definiert Deepfakes in Art. 3 Nr. 60 als „KI-generierte oder -manipulierte Bild-, Ton- oder Videoinhalte, die existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und einer Person fälschlicherweise als echt oder wahrhaftig erscheinen würden." Diese Definition ist bewusst weit gefasst -- sie umfasst nicht nur Videos, sondern auch synthetische Stimmen und KI-generierte Bilder.

Rechtslage in Deutschland: Welche Gesetze schützen vor Deepfakes?

Deutschland hat kein spezifisches „Deepfake-Gesetz". Stattdessen greifen mehrere bestehende Regelungsbereiche, die zusammen einen umfassenden Schutz bieten. Die wichtigsten im Überblick:

1. Allgemeines Persönlichkeitsrecht (§§823, 1004 BGB)

Das allgemeine Persönlichkeitsrecht -- abgeleitet aus Art. 1 Abs. 1 und Art. 2 Abs. 1 GG -- schützt die persönliche Ehre, die Selbstdarstellung und das Recht auf informationelle Selbstbestimmung. Deepfakes verletzen dieses Recht in mehrfacher Hinsicht:

Identitätsanmaßung: Wer das Abbild oder die Stimme einer Person ohne deren Einwilligung nutzt, um falsche Aussagen oder Handlungen zu simulieren, greift in deren Persönlichkeitsrecht ein.
Ehrverletzung: Deepfakes, die eine Person in herabwürdigenden, kompromittierenden oder unwahren Situationen zeigen, verletzen deren Ehre.
Kontrollverlust: Betroffene verlieren die Kontrolle über ihre eigene Darstellung in der Öffentlichkeit.

Rechtsfolgen: Betroffene können nach §1004 BGB analog Unterlassung und Beseitigung (Löschung) verlangen. Nach §823 Abs. 1 BGB in Verbindung mit dem allgemeinen Persönlichkeitsrecht besteht ein Anspruch auf Schadensersatz -- einschließlich einer Geldentschädigung (vergleichbar dem Schmerzensgeld) bei schweren Persönlichkeitsrechtsverletzungen. Die Rechtsprechung hat diese Geldentschädigung insbesondere bei der Verbreitung intimer oder sexualisierter Inhalte in erheblicher Höhe zugesprochen.

2. Recht am eigenen Bild (§§22-23 KUG)

Das Kunsturhebergesetz (KUG) schützt das Recht am eigenen Bild. Nach §22 KUG dürfen Bildnisse einer Person nur mit deren Einwilligung verbreitet oder öffentlich zur Schau gestellt werden. Die Ausnahmen des §23 KUG -- etwa Bildnisse aus dem Bereich der Zeitgeschichte oder Bilder von Versammlungen -- greifen bei Deepfakes praktisch nie, da es sich gerade nicht um authentische Abbildungen handelt.

Entscheidend: Auch ein KI-generiertes Bild, das das Gesicht einer realen Person zeigt, ist ein Bildnis im Sinne des §22 KUG. Es kommt nicht darauf an, ob das Bild fotografisch oder synthetisch entstanden ist -- maßgeblich ist die Erkennbarkeit der dargestellten Person. Wer ein Deepfake erstellt, in dem eine identifizierbare Person erkennbar ist, und dieses ohne Einwilligung verbreitet, verstößt gegen §22 KUG.

Rechtsfolge: Unterlassungs- und Schadensersatzansprüche. Zudem ist die vorsätzliche, nicht eingewilligte Verbreitung von Bildnissen nach §33 KUG eine Straftat mit einem Strafrahmen von bis zu einem Jahr Freiheitsstrafe.

3. Strafrecht: §201a StGB -- Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen

§201a StGB stellt die unbefugte Herstellung und Verbreitung von Bildaufnahmen unter Strafe, die den höchstpersönlichen Lebensbereich einer Person betreffen. Seit der Neufassung erfasst die Norm auch hergestellte Bildaufnahmen, die geeignet sind, dem Ansehen der abgebildeten Person erheblich zu schaden.

Dies ist besonders relevant für sexualisierte Deepfakes: Wer das Gesicht einer realen Person in pornografisches Material einfügt und das Ergebnis verbreitet, macht sich nach §201a Abs. 2 StGB strafbar. Der Strafrahmen beträgt bis zu zwei Jahre Freiheitsstrafe.

Wichtig bei kinderpornografischen Deepfakes: Werden Deepfakes erstellt, die den sexuellen Missbrauch von Kindern zeigen, greifen die deutlich schärferen Strafnormen der §§184b, 184c StGB. Die Herstellung und Verbreitung kinderpornografischer Inhalte ist ein Verbrechen mit einem Mindestmaß von einem Jahr Freiheitsstrafe (§184b Abs. 1 StGB). Dabei ist es unerheblich, ob die dargestellten Szenen real oder synthetisch sind -- die Norm erfasst ausdrücklich auch wirklichkeitsnahe, computergenerierte Darstellungen.

4. Üble Nachrede und Verleumdung (§§186, 187 StGB)

Deepfakes werden häufig eingesetzt, um Personen falsche Aussagen oder Handlungen zu unterstellen. Hier greifen die klassischen Ehrschutzdelikte:

§186 StGB (Üble Nachrede): Wer in Beziehung auf einen anderen eine Tatsache behauptet oder verbreitet, die geeignet ist, denselben verächtlich zu machen oder in der öffentlichen Meinung herabzuwürdigen, wird mit Freiheitsstrafe bis zu einem Jahr bestraft -- bei öffentlicher Begehung (etwa durch Verbreitung im Internet) bis zu zwei Jahren.
§187 StGB (Verleumdung): Wer wider besseres Wissen unwahre Tatsachen behauptet, riskiert bis zu fünf Jahre Freiheitsstrafe. Deepfake-Ersteller handeln typischerweise wider besseres Wissen, da sie die Inhalte gezielt fabrizieren.

Ein Deepfake-Video, das einen Politiker bei einer erfundenen Bestechungsszene zeigt, erfüllt den Tatbestand der Verleumdung. Ein Voice-Deepfake, der einem Geschäftsführer rassistische Aussagen in den Mund legt, ist üble Nachrede -- und bei nachweislicher Kenntnis der Unwahrheit ebenfalls Verleumdung.

Der AI Act: Art. 50 Abs. 4 -- Kennzeichnungspflicht für Deepfakes

Mit dem AI Act (VO (EU) 2024/1689) führt die EU erstmals eine spezifische Regelung für Deepfakes ein. Art. 50 Abs. 4 schafft eine Transparenz- und Kennzeichnungspflicht, die über das bestehende nationale Recht hinausgeht.

Was regelt Art. 50 Abs. 4?

Betreiber von KI-Systemen, die Bild-, Ton- oder Videoinhalte erzeugen oder manipulieren, die ein Deepfake darstellen, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Die Kennzeichnung muss:

Klar und erkennbar sein -- also nicht im Kleingedruckten versteckt.
Maschinenlesbar erfolgen -- durch technische Mittel wie Wasserzeichen, Metadaten oder C2PA-Standards (Content Provenance and Authenticity).
Zum Zeitpunkt der Veröffentlichung angebracht werden -- nicht erst nachträglich auf Nachfrage.

Die Verpflichtung trifft sowohl die Anbieter der KI-Systeme (die technische Kennzeichnungsmöglichkeiten bereitstellen müssen) als auch die Betreiber (also die Nutzer und Unternehmen, die Deepfakes erstellen oder verbreiten).

Ab wann gilt die Pflicht?

Die Kennzeichnungspflicht nach Art. 50 gilt ab dem 2. August 2026 (Art. 113 Abs. 2 lit. b). Ab diesem Datum müssen alle Deepfakes, die in der EU veröffentlicht oder zugänglich gemacht werden, gekennzeichnet sein.

Welche Sanktionen drohen?

Verstöße gegen die Transparenzpflichten des Art. 50 werden nach Art. 99 Abs. 4 mit Bußgeldern von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet -- je nachdem, welcher Betrag höher ist. Für KMU und Startups gelten die jeweils niedrigeren Obergrenzen.

Ausnahmen: Wann sind Deepfakes erlaubt?

Nicht jeder Deepfake ist rechtswidrig. Das Recht kennt Situationen, in denen die Erstellung und Verbreitung synthetischer Medien zulässig ist:

Satire und Parodie

Das Grundrecht der Kunstfreiheit (Art. 5 Abs. 3 GG) und die Meinungsfreiheit (Art. 5 Abs. 1 GG) schützen satirische Darstellungen -- auch in Deepfake-Form. Allerdings nur unter engen Voraussetzungen:

Die satirische Absicht muss für den Betrachter erkennbar sein. Ein als Satire gemeinter Deepfake muss als solcher gekennzeichnet oder offensichtlich übertrieben sein.
Die Satire darf die Menschenwürde nicht verletzen (sogenannte Schmähkritik ist nicht geschützt).
Sexualisierte Deepfakes sind niemals durch Satire gerechtfertigt.

Auch der AI Act berücksichtigt dies: Art. 50 Abs. 4 sieht vor, dass die Kennzeichnungspflicht nicht gilt, wenn der Einsatz offensichtlich im Rahmen von künstlerischen, satirischen, fiktionalen oder analogen Werken erfolgt und die Rechte Dritter gewahrt bleiben.

Strafverfolgung und nationale Sicherheit

Deepfake-Technologien, die von Strafverfolgungsbehörden oder Nachrichtendiensten im Rahmen ihrer gesetzlichen Befugnisse eingesetzt werden, unterliegen gesonderten Regelungen. Art. 2 Abs. 3 VO (EU) 2024/1689 nimmt KI-Systeme, die ausschließlich für militärische, verteidigungspolitische oder nationale Sicherheitszwecke eingesetzt werden, vom Anwendungsbereich des AI Act aus.

Forschung und Entwicklung

KI-Forschung, die Deepfake-Technologie weiterentwickelt oder Erkennungsmethoden testet, ist grundsätzlich zulässig -- sofern die erzeugten Inhalte nicht öffentlich verbreitet werden und keine Persönlichkeitsrechte Dritter verletzt werden.

Schutzmaßnahmen für Unternehmen

Deepfakes betreffen Unternehmen in doppelter Hinsicht: als potenzielle Opfer (etwa durch CEO-Fraud mit Voice-Deepfakes oder Reputationsangriffe) und als potenzielle Erzeuger (wenn KI-Tools für Marketing, Schulungen oder Kommunikation eingesetzt werden). Beide Rollen erfordern konkrete Maßnahmen.

Schutz vor Deepfake-Angriffen

Verifizierungsprotokolle einführen: Zahlungsanweisungen, die telefonisch oder per Video erteilt werden, sollten immer durch einen zweiten, unabhängigen Kanal bestätigt werden (z. B. Rückruf über die bekannte Durchwahl, schriftliche Bestätigung per E-Mail mit digitaler Signatur).
Deepfake-Erkennungstools evaluieren: Mehrere Anbieter bieten inzwischen KI-gestützte Erkennungslösungen an, die synthetische Medien analysieren. Diese Tools sind nicht perfekt, können aber eine zusätzliche Sicherheitsschicht bilden.
Krisenkommunikationsplan erstellen: Für den Fall, dass ein Deepfake des Unternehmens oder seiner Führungskräfte viral geht, sollte ein Reaktionsplan bereitstehen -- inklusive rechtlicher Schritte, Kommunikationsstrategie und Kontaktdaten spezialisierter Anwälte.
Mitarbeiter schulen: Sensibilisierung für Deepfake-Risiken sollte Teil der KI-Kompetenzschulung nach Art. 4 AI Act sein. Mitarbeiter müssen wissen, dass Stimmen und Videos nicht mehr als verlässliche Identifikationsmerkmale gelten können.

Compliance bei eigener Deepfake-Nutzung

Kennzeichnungspflicht umsetzen: Ab August 2026 muss jeder Deepfake-Inhalt, den Ihr Unternehmen erzeugt oder verbreitet, als KI-generiert gekennzeichnet sein (Art. 50 Abs. 4).
Einwilligungen einholen: Wenn reale Personen in KI-generierten Inhalten dargestellt werden -- etwa für Schulungsvideos oder Marketingmaterial -- ist eine ausdrückliche, informierte Einwilligung erforderlich (§22 KUG, Art. 6 DSGVO).
Interne Richtlinie verabschieden: Regeln Sie klar, wer im Unternehmen KI-generierte Medien erstellen darf, welche Freigabeprozesse gelten und wie die Kennzeichnung technisch erfolgt.
KI-Inventar pflegen: Deepfake-fähige Tools (z. B. KI-Videogeneratoren, Voice-Cloning-Software) sollten im KI-Inventar des Unternehmens erfasst sein -- mit einer Risikoeinschätzung und klaren Nutzungsvorgaben.

Was Betroffene tun können: 5 Schritte

Wenn Sie oder Ihr Unternehmen Opfer eines Deepfakes geworden sind, handeln Sie schnell und systematisch:

Schritt 1: Beweise sichern

Speichern Sie den Deepfake-Inhalt und alle zugehörigen Informationen (URL, Screenshot, Zeitstempel, Plattform, Nutzerprofil des Verbreitenden). Nutzen Sie idealerweise ein Notartool oder eine qualifizierte elektronische Signatur zur Beweissicherung, da Online-Inhalte schnell gelöscht oder verändert werden können.

Schritt 2: Löschung verlangen

Wenden Sie sich direkt an die Plattform, auf der der Deepfake veröffentlicht wurde. Die großen Plattformen (Meta, Google/YouTube, TikTok, X) haben spezifische Meldeformulare für nicht einvernehmliche synthetische Medien. Zusätzlich können Sie den Inhalt über Suchmaschinen-Löschformulare (z. B. Google Search Console) aus den Suchergebnissen entfernen lassen.

Schritt 3: Anwalt einschalten

Ein auf Medien- oder IT-Recht spezialisierter Rechtsanwalt kann per Abmahnung eine strafbewehrte Unterlassungserklärung vom Ersteller oder Verbreiter verlangen. In dringenden Fällen ist eine einstweilige Verfügung beim zuständigen Landgericht möglich -- oft innerhalb weniger Tage.

Schritt 4: Strafanzeige erstatten

Erstatten Sie Strafanzeige bei der Polizei oder direkt bei der Staatsanwaltschaft. Relevante Straftatbestände sind je nach Sachverhalt §201a StGB (Bildaufnahmen), §§186/187 StGB (üble Nachrede/Verleumdung), §33 KUG (Bildnisschutz) oder §§184b/184c StGB (bei sexualisierten Darstellungen Minderjähriger). Die Strafanzeige ist auch dann sinnvoll, wenn der Ersteller zunächst unbekannt ist -- die Ermittlungsbehörden können IP-Adressen und Nutzerdaten bei Plattformen anfragen.

Schritt 5: Schadensersatz durchsetzen

Ist der Ersteller oder Verbreiter identifiziert, können Sie zivilrechtlich Schadensersatz geltend machen. Das umfasst:

Materiellen Schadensersatz (z. B. entgangener Gewinn, Kosten für Krisenmanagement).
Geldentschädigung für die Persönlichkeitsrechtsverletzung -- die Höhe orientiert sich an der Schwere des Eingriffs, der Reichweite der Verbreitung und dem Verschulden des Täters.
Erstattung der Rechtsanwalts- und Gerichtskosten.

Häufig gestellte Fragen (FAQ)

Ist das Erstellen eines Deepfakes an sich bereits strafbar?

Nein, die bloße Erstellung eines Deepfakes ist in Deutschland nicht automatisch strafbar. Strafbar wird es erst durch den konkreten Inhalt und die Verbreitung: wenn der Deepfake Persönlichkeitsrechte verletzt (§201a StGB), ehrverletzend ist (§§186, 187 StGB), Kinderpornografie darstellt (§184b StGB) oder ohne Einwilligung Bildnisse verbreitet werden (§33 KUG). Auch die rein private Erstellung kann aber zivilrechtlich unzulässig sein, wenn sie in die Persönlichkeitsrechte einer erkennbaren Person eingreift.

Welche Strafen drohen konkret für Deepfake-Pornografie?

Sexualisierte Deepfakes können je nach Sachverhalt unter §201a StGB (bis zu zwei Jahre Freiheitsstrafe), §33 KUG (bis zu ein Jahr) oder -- bei Darstellungen Minderjähriger -- unter §184b StGB (Freiheitsstrafe von einem bis zu zehn Jahren) fallen. Zivilrechtlich haben Gerichte bei der Verbreitung intimer Deepfakes bereits Geldentschädigungen im fünfstelligen Bereich zugesprochen. Ab August 2026 kommt bei fehlender Kennzeichnung ein Bußgeld nach dem AI Act hinzu.

Was ändert der AI Act konkret für Deepfakes?

Der AI Act führt erstmals eine EU-weite Kennzeichnungspflicht für Deepfakes ein (Art. 50 Abs. 4 VO (EU) 2024/1689). Ab dem 2. August 2026 müssen alle Personen und Unternehmen, die Deepfakes erzeugen oder veröffentlichen, diese als KI-generiert kennzeichnen -- sowohl sichtbar für Menschen als auch maschinenlesbar (z. B. durch Metadaten oder Wasserzeichen). Die Anbieter der KI-Systeme müssen die technischen Voraussetzungen dafür schaffen. Die Kennzeichnungspflicht ergänzt das bestehende nationale Recht, ersetzt es aber nicht.

Können Unternehmen für Deepfakes ihrer Mitarbeiter haften?

Grundsätzlich ja. Wenn ein Mitarbeiter im Rahmen seiner Tätigkeit -- etwa mit unternehmenseigenen KI-Tools -- einen rechtswidrigen Deepfake erstellt, kann das Unternehmen nach §831 BGB (Haftung für Verrichtungsgehilfen) oder nach §278 BGB (Erfüllungsgehilfe bei bestehender Vertragsbeziehung) haften. Deshalb sind klare interne Richtlinien, Zugangskontrollen und Schulungen essenziell. Ab August 2026 ist das Unternehmen als Betreiber zudem direkt für die Einhaltung der Kennzeichnungspflicht verantwortlich.

Wie kann ich erkennen, ob ein Inhalt ein Deepfake ist?

Hundertprozentige Erkennung ist derzeit nicht möglich, aber es gibt Anhaltspunkte: Unnatürliche Artefakte (flimmernde Ränder um Gesichter, inkonsistente Beleuchtung, fehlende Ohrdetails), ungewöhnliche Lippensynchronisation, verzerrte Hintergründe bei Kopfbewegungen und fehlende natürliche Mikrobewegungen. Technische Tools wie die Content-Authentizitätsinitiativen von Adobe (C2PA/Content Credentials) oder spezialisierte Erkennungssoftware können ebenfalls helfen. Der AI Act wird dieses Problem langfristig entschärfen, indem er maschinenlesbare Kennzeichnungen vorschreibt.

Fazit: Deepfakes sind kein rechtsfreier Raum

Die Rechtslage ist klarer, als viele denken: Deepfakes, die Persönlichkeitsrechte verletzen, sind schon heute nach deutschem Recht sowohl zivilrechtlich als auch strafrechtlich angreifbar. Das Zusammenspiel aus Persönlichkeitsrecht (§§823, 1004 BGB), Bildnisschutz (§§22-23 KUG) und Strafrecht (§§201a, 186, 187 StGB) bietet Betroffenen wirksame Instrumente.

Mit dem AI Act kommt ab August 2026 eine weitere Schutzebene hinzu: Die Kennzeichnungspflicht nach Art. 50 Abs. 4 VO (EU) 2024/1689 macht die Herkunft synthetischer Medien transparent und gibt Betroffenen ein zusätzliches Werkzeug, um gegen nicht gekennzeichnete Deepfakes vorzugehen.

Für Unternehmen bedeutet das: Deepfake-Risiken gehören auf die Compliance-Agenda. Sowohl der Schutz vor externen Angriffen als auch die regelkonforme Nutzung eigener KI-generierter Inhalte müssen aktiv gemanagt werden. Wer jetzt Prozesse, Richtlinien und Schulungen etabliert, ist auf die verschärfte Rechtslage ab 2026 vorbereitet.

Sie möchten Deepfake-Risiken in Ihrem Unternehmen systematisch adressieren? KI Comply unterstützt Sie bei der Erstellung interner KI-Richtlinien, bei der Umsetzung der Kennzeichnungspflichten nach Art. 50 AI Act und bei der Schulung Ihrer Mitarbeiter im Umgang mit KI-generierten Medien. Jetzt Beratung anfragen →