Das unsichtbare Wasserzeichen: Wie KI-Inhalte seit August 2026 markiert werden

Anfang August hat Anthropic eine Support-Seite aktualisiert. Kein Blogpost, keine Ankündigung, nur ein paar neue Absätze. Ein paar Tage später kündigten Leute auf X ihre Abos, und auf Reddit las man von einer Verschwörung gegen ehrliche Nutzer.

Der Grund: Claude schreibt seit dem 2. August 2026 in jeden Text ein unsichtbares Wasserzeichen. Kein zusätzliches Zeichen, kein verstecktes Unicode, nichts, was ein Editor anzeigen würde. Trotzdem lässt sich hinterher mit dem passenden Schlüssel ausrechnen, wie wahrscheinlich es ist, dass Claude an diesem Text mitgeschrieben hat.

Die Aufregung halte ich für übertrieben. Die Technik dahinter finde ich trotzdem bemerkenswert, und die praktischen Folgen sind ganz andere, als die meisten vermuten. Sechs Fallbeispiele weiter unten zeigen, warum.

Warum überhaupt

Schuld ist der EU AI Act. Artikel 50 verlangt, dass sich KI-generierte Inhalte maschinell als solche erkennen lassen. Im Juli 2026 haben Anthropic, Google, OpenAI und rund 190 weitere Unterzeichner den EU Code of Practice on Transparency of AI-Generated Content unterschrieben. Seit 2. August gilt er.

Neue Modelle müssen die Anforderung sofort erfüllen. Für alles, was vorher schon am Markt war, läuft eine Frist bis 2. Dezember 2026. Wer sie reißt, riskiert bis zu 15 Millionen Euro oder 3 Prozent vom weltweiten Jahresumsatz.

Anthropic markiert weltweit, nicht nur in Europa. Der Grund ist unspektakulär: Es gibt derzeit keinen sauberen Weg, das regional einzugrenzen. Wer Claude über AWS, Google Cloud oder Microsoft Foundry nutzt, bekommt ebenfalls markierte Ausgaben, weil die Markierung im Modell sitzt und nicht im Produkt drumherum.

Das ist also keine Anthropic-Eigenheit. Google, OpenAI und der Rest der Branche bauen gerade dasselbe ein.

Was bei Text passiert

Ein Sprachmodell schreibt Wort für Wort. An jeder Stelle hat es eine Liste von Kandidaten. Bei “Das Wetter war kalt und …” fällt “wissbegierig” durch, aber “bedeckt” und “grau” sind beide völlig in Ordnung. Welches der beiden es wird, entscheidet normalerweise ein Zufallsgenerator.

Dort setzt das Wasserzeichen an. Es fügt dem Text nichts hinzu. Es tauscht nur aus, woher der Zufall kommt.

Anthropic verwendet eine Variante von SynthID-Text, dem Verfahren, das Google DeepMind 2024 in Nature veröffentlicht hat. Es besteht aus drei Teilen.

Zuerst wird aus einem geheimen Schlüssel und den letzten paar Wörtern eine Zahl berechnet. Derselbe Kontext plus derselbe Schlüssel ergibt immer dieselbe Zahl. Von außen sieht die Folge aus wie Rauschen, mit dem Schlüssel ist sie exakt reproduzierbar.

Diese Zahl vergibt dann verdeckte Punktwerte an alle möglichen nächsten Wörter. Das Modell zieht mehrere Kandidaten aus seiner eigenen Wahrscheinlichkeitsverteilung und lässt sie paarweise gegeneinander antreten. Wer den höheren Punktwert hat, kommt eine Runde weiter. Nach ein paar Runden steht der Sieger fest und wird geschrieben. Die Fachleute nennen das Tournament Sampling.

Entscheidend dabei: Die Kandidaten stammen weiterhin aus dem, was das Modell ohnehin sagen wollte. Es wird nur umsortiert. Claude greift nicht plötzlich zu abseitigen Vokabeln, damit man die Markierung besser findet. Über hunderte Wortentscheidungen sammelt markierter Text aber systematisch höhere Punktwerte an als unmarkierter, und dieser Überschuss ist das Signal.

Zum Prüfen rechnet man mit demselben Schlüssel alles nach und bildet den Mittelwert. Menschlich geschriebener Text landet beim statistischen Durchschnitt, markierter deutlich darüber.

Anthropic bringt dazu ein Bild: Stellen Sie sich eine Runde Monopoly vor, bei der statt des Würfels eine Ziffernfolge aus der Mitte von Pi die Züge bestimmt. Für die Spieler ändert sich nichts, die Züge sind genauso unvorhersehbar. Wer aber hinterher die Zugfolge sieht und Pi kennt, merkt, dass hier nicht gewürfelt wurde.

Noch zwei Anmerkungen: Die Prüfung liefert nie ein Ja oder Nein, sondern eine Wahrscheinlichkeit, deren Schwelle von der Textlänge abhängt. Und der Schlüssel weiß nichts über Sie. Weder Nutzer noch Firma noch Chatverlauf lassen sich daraus rekonstruieren.

Was bei Dateien passiert

Bei Bildern läuft es völlig anders. Da kommt C2PA zum Einsatz, derselbe offene Standard, mit dem auch Leica, Nikon und Adobe arbeiten.

Hier steckt nichts im Inhalt. Stattdessen hängt ein signierter Metadatenblock am File. Er enthält einzelne Aussagen über die Datei, etwa welches Werkzeug wann was gemacht hat. Diese Aussagen werden zusammengefasst und digital signiert, samt vollständiger Zertifikatskette, damit man auch offline prüfen kann. Dazu kommt ein SHA-256-Hash über den Dateiinhalt. Ändert jemand ein einziges Byte, fällt die Prüfung durch.

Verpackt wird das in einem JUMBF-Container, der sich in JPEG, PNG, WebP, MP4, PDF und einige weitere Formate einbetten lässt.

Gegenüber EXIF ist das ein echter Fortschritt, denn EXIF kann jeder spurlos ändern. C2PA macht Manipulation sichtbar. Nur eines leistet es nicht: Es garantiert, dass die Metadaten seit der Signatur unverändert sind, nicht dass sie stimmen. Wer bewusst Falsches signiert, produziert eine kryptografisch einwandfreie Lüge.

Sechs Fälle aus dem Alltag

Alles Folgende hängt an einer einzigen Frage: Wie viel Wahlfreiheit hatte das Modell? Nur wo mehrere Formulierungen gleich gut wären, kann das Wasserzeichen überhaupt greifen.

Ein frei geschriebener Blogartikel, 900 Wörter, unverändert veröffentlicht. Der Idealfall für die Erkennung. Hunderte Stellen mit echter Wahlfreiheit, entsprechend viel Signal. Eine Prüfung würde hier klar anschlagen, und je länger der Text, desto sicherer.

Eine deutsche Produktdoku, ins Englische übersetzt. Ebenfalls voll markiert, was vielleicht überrascht. Beim Übersetzen wählt das Modell jedes einzelne Wort selbst. Der Inhalt kommt vom Menschen, die Sprache vollständig von der Maschine, und für das Wasserzeichen zählt nur die Sprache.

Ein selbst geschriebener Projektbericht, nur auf Grammatik und Zeichensetzung durchgesehen. Praktisch kein Signal. Das Wasserzeichen hängt sich nur an Wörter, die das Modell selbst gewählt hat. Bei einem sauberen Lektorat sind das eine Handvoll Korrekturen, viel zu wenig für eine belastbare Aussage. Wer seine eigenen Texte korrigieren lässt, muss keine Fehlmarkierung fürchten.

Ein C#-Service samt Unit-Tests, mit KI-Unterstützung entstanden. So gut wie unmarkiert. Wo die Ausgabe stimmen muss, wird das Verfahren gar nicht erst angewendet. Nach 2 + 2 = gibt es keine gleichwertige Alternative zu 4, und einen Methodenaufruf kann man nicht “auch anders, aber genauso gut” schreiben. Etwas Signal entsteht in Kommentaren und frei gewählten Bezeichnern, in der Praxis zu wenig. Dasselbe gilt für faktenlastige Sätze: Nach “Newtons Hauptwerk heißt …” gibt es genau eine richtige Fortsetzung.

Eine SVG-Grafik für einen Foliensatz, generiert und heruntergeladen. Hier greift C2PA statt des Textwasserzeichens. Die Datei bekommt eine signierte Notiz und den Hash zur Manipulationsprüfung, am Bild selbst ändert sich nichts. Dafür überlebt das keinen Screenshot, keine Konvertierung und keinen Upload auf eine Plattform, die Metadaten wegwirft. Bei Bildgeneratoren wie Imagen oder DALL·E kommt zusätzlich ein Wasserzeichen in den Pixeln dazu, und das übersteht auch den Screenshot.

Ein Erklärvideo für die Website. Hier hängt alles am Werkzeug:

Weg	Markierung
Google Veo	SynthID direkt in Bild und Ton, hält Zuschnitt, Filter und Kompression aus
OpenAI Sora	C2PA-Manifest, auf den Standardtarifen zusätzlich ein sichtbares Wasserzeichen
Meta	eigenes Verfahren namens Video Seal
Per Code gerendert, etwa mit Remotion oder After Effects	gar keine

Wer ein Video programmatisch aus Code rendert, erzeugt technisch gesehen kein KI-Video, auch wenn die KI den Code geschrieben hat. Der Renderer ist ein ganz normales Programm. Übrig bleibt bestenfalls ein schwaches Signal in den Kommentaren des Quellcodes.

Erkennen kann man es kaum

Für das Textwasserzeichen braucht man Anthropics Schlüssel. Eine Prüf-API ist angekündigt, aber noch nicht da. Bis dahin kann außerhalb des Hauses niemand nachsehen.

C2PA ist da offener. Jedes C2PA-fähige Werkzeug liest die Credentials, offline, ohne beim Hersteller nachzufragen.

Und die bekannten KI-Detektoren wie GPTZero oder Pangram? Die haben keinen Schlüssel und suchen deshalb nach etwas ganz anderem, nämlich nach stilistischen Auffälligkeiten. Anthropic nennt selbst zwei Beispiele: die Konstruktion “das ist nicht X, sondern Y” und ein auffällig häufiges “leise”. Das ist Mustererkennung mit entsprechender Fehlerquote in beide Richtungen. Wer damit Studierende oder Mitarbeiter beschuldigt, steht auf sehr dünnem Eis.

Ein fehlendes Wasserzeichen beweist gar nichts. Der Text kann von einem anderen Modell stammen, aus einem älteren Modell, oder einfach überarbeitet worden sein.

Entfernen geht, unterschiedlich leicht

Bei Text hilft leichtes Umformulieren nicht. Das Signal verteilt sich über den ganzen Text und übersteht einzelne Änderungen. Was zuverlässig wirkt, ist eine komplette Neuformulierung, bei der jedes Wort ersetzt wird, besonders wenn ein anderes Sprachmodell den Text neu schreibt, weil dessen Schlüssel ein anderer ist. Anthropic stellt dazu die naheliegende Gegenfrage: Wenn wirklich jedes Wort ersetzt wurde, ist es dann noch derselbe KI-Text? In der Forschung sind darüber hinaus gezielte Angriffe auf das Verfahren beschrieben. Das ist Laborarbeit, keine Anwendersituation.

C2PA-Metadaten dagegen sind trivial loszuwerden: neu speichern, konvertieren, Screenshot. Meist passiert das sogar ungewollt, weil viele Plattformen Metadaten beim Upload routinemäßig wegwerfen.

Wasserzeichen, die in Pixeln oder im Tonsignal stecken, sind deutlich zäher. Sie sind gegen Kompression und Zuschnitt ausgelegt. Werkzeuge, die sie angreifen, gibt es, und die Ergebnisse kosten in aller Regel sichtbar Qualität.

Bleibt der unangenehme Teil. Technisch machbar heißt nicht erlaubt. Wasserzeichen zu entfernen verstößt bei den meisten Anbietern gegen die Nutzungsbedingungen, und im Geltungsbereich des AI Act untergräbt es genau die Transparenzpflicht, wegen der die Markierung existiert. Wer das im Kundenauftrag macht, sollte vorher wissen, wofür er da haftet.

Was das für die tägliche Arbeit heißt

Weniger, als der Aufruhr vermuten lässt.

Code ist praktisch nicht betroffen. Wer KI-gestützt entwickelt, hinterlässt im Repository kein verwertbares Signal. Eigene Texte, die nur korrigiert werden, bleiben Ihre Texte, technisch wie rechtlich. Der eigentliche Anwendungsfall sind lange, frei generierte Fließtexte und Übersetzungen.

An Eigentum und Verantwortung ändert das Wasserzeichen nichts. Es sagt nichts über Urheberschaft, Rechte oder Haftung. Und es sagt nichts über Sie: Weder Nutzer noch Organisation noch Chat lassen sich daraus ablesen.

Die Grenze, die man dabei nie vergessen sollte: Ein Treffer bedeutet ausschließlich, dass ein bestimmtes Modell irgendwie beteiligt war. Ob es den Text geschrieben oder nur kräftig überarbeitet hat, unterscheidet die Prüfung nicht. Ob ein Mensch mitgeschrieben hat, weiß sie auch nicht. Und über andere KI-Systeme, die mit anderen Schlüsseln oder ganz anderen Verfahren arbeiten, sagt sie überhaupt nichts.

Für ein Verfahren, das vor zwei Jahren noch als kaum praktikabel galt, ist das erstaunlich. Trotzdem, als Beweismittel taugt es nicht.