Wie Claudes unsichtbares KI-Wasserzeichen technisch funktionieren könnte

Lesewerkzeuge17 Min. Lesezeit

Im ersten Teil zur Kennzeichnungspflicht und ihren gesellschaftlichen Folgen ging es um die Frage, wann KI-Inhalte nach dem europäischen AI Act gekennzeichnet werden müssen und warum ein technischer Treffer noch lange kein Beweis dafür ist, dass ein Mensch seinen Text nicht selbst geschrieben hat. Dieser zweite Teil geht bewusst tiefer: Wie kann ein unsichtbares Wasserzeichen überhaupt in einem normalen Text stecken? Was prüft ein Detektor? Wie funktionieren signierte Herkunftsdaten bei Bildern und Dateien? Und wo liegen die Grenzen?

Eine wichtige Grenze vorweg: Anthropic hat das grundsätzliche Verfahren von Claude beschrieben, aber noch keine vollständige technische Spezifikation seines Textwasserzeichens veröffentlicht. Der konkrete Algorithmus, die genaue Erkennungsschwelle und der angekündigte Detektionsweg sind derzeit nicht öffentlich dokumentiert. Wo ich allgemeine Verfahren erkläre, kennzeichne ich sie deshalb als technisches Funktionsmodell und nicht als Behauptung über geheim gehaltene Claude-Details.

1. Warum: Weshalb brauchen KI-Inhalte überhaupt Herkunftssignale?

Ein Text sieht zunächst immer wie Text aus. Nach dem Kopieren aus einem Chatfenster bleibt kein sichtbarer Rand, kein Dateiname und kein Herstellerlogo übrig. Bei Bildern ist es ähnlich: Ein KI-Bild kann als JPG gespeichert, zugeschnitten und erneut hochgeladen werden. Nach wenigen Schritten ist für Betrachter kaum noch nachvollziehbar, mit welchem Werkzeug es entstanden ist.

Das ist nicht automatisch problematisch. Eine private Einladung muss keine digitale Lebensgeschichte mitbringen. Bei Nachrichten, Wahlkampf, Beweismaterial, Werbung, wissenschaftlichen Arbeiten oder täuschend echten Aufnahmen kann die Herkunft dagegen entscheidend sein. Menschen sollen eine Chance haben zu erkennen, ob ihnen ein dokumentiertes Ereignis oder eine synthetische Darstellung gezeigt wird.

Ein sichtbarer Hinweis allein ist leicht zu entfernen. Jeder kann den Satz „mit KI erstellt“ löschen. Deshalb verlangt Artikel 50 des AI Act von Anbietern generativer Systeme grundsätzlich eine maschinenlesbare und technisch erkennbare Markierung. Sie soll tiefer im Inhalt oder in seiner Herkunftsstruktur stecken.

Die Technik soll dabei keine Gedankenpolizei sein. Ihr sinnvoller Zweck ist enger: Sie liefert ein zusätzliches Signal über Verarbeitung und Herkunft. Ob der Inhalt wahr, fair, rechtswidrig, kreativ oder journalistisch gut ist, kann sie nicht entscheiden.

Ein einfaches Bild: Stempel, Faser und Begleitzettel

Für das Grundverständnis helfen drei Vergleiche:

Der sichtbare Stempel: Ein Hinweis wie „KI-generiert“ steht direkt neben einem Bild oder Text. Menschen können ihn lesen, aber er lässt sich leicht abschneiden oder löschen.
Die unsichtbare Faser: Ein statistisches Textwasserzeichen steckt im erzeugten Inhalt selbst. Es ist nicht als Sonderzeichen sichtbar, sondern verteilt sich über viele sprachliche Entscheidungen.
Der signierte Begleitzettel: C2PA-Herkunftsdaten beschreiben eine Datei und werden kryptografisch signiert. So kann geprüft werden, wer die Angaben signiert hat und ob Datei oder Angaben anschließend verändert wurden.

Claude kombiniert nach Angaben von Anthropic die zweite und dritte Methode: eingebettete Wasserzeichen für Text sowie signierte C2PA-Herkunftsdaten für unterstützte Dateien.

2. Was: Was Anthropic über Claude tatsächlich bestätigt

Laut der offiziellen Claude-Dokumentation unterstützen Claude-Modelle, die am oder nach dem 2. August 2026 in der EU eingeführt werden, maschinenlesbare Markierungen ab ihrer Einführung. Anthropic arbeitet außerdem daran, die Unterstützung auf ältere Modelle auszuweiten.

Für unterstützte Modelle soll die Markierung überall greifen, wo Claude eingesetzt wird: in der normalen Claude-Oberfläche, über die API, in Claude Code, Claude Cowork, Claude Tag und bei angebundenen Cloud-Anbietern. Einzelne Plattformen oder Dateitypen können bestimmte Markierungsarten jedoch nicht unterstützen.

Anthropic nennt zwei Verfahren:

Ein unsichtbares Wasserzeichen wird direkt in generierten Text eingewoben. Es soll Bedeutung, Qualität und Lesbarkeit nicht verändern, beim Kopieren mitwandern und manche Bearbeitungen überstehen.
Unterstützte Dateien wie SVG, PNG und JPG erhalten signierte Herkunftsmetadaten nach dem C2PA-Standard.

Anthropic kündigt außerdem Erkennungsmöglichkeiten für Nutzer und Dritte an. Die dafür nötige technische Dokumentation ist nach dem derzeitigen Stand noch nicht vollständig veröffentlicht.

Was Anthropic bisher nicht öffentlich erklärt

Wir wissen derzeit nicht öffentlich und belastbar:

welches konkrete statistische Wasserzeichenverfahren Claude verwendet,
wie groß der interne Schlüsselraum ist,
welche Textlänge für eine belastbare Erkennung benötigt wird,
welcher Schwellenwert einen Treffer auslöst,
wie Fehlalarme praktisch gemessen und behandelt werden,
welche Sprachen und Textsorten gleich gut erkannt werden,
wie der öffentliche oder geschäftliche Prüfdienst genau aussehen wird.

Das ist keine Nebensache. Ohne diese Angaben kann niemand seriös behaupten, Claude-Texte seien unter allen Bedingungen zweifelsfrei erkennbar. Anthropic selbst formuliert vorsichtiger: Ein Treffer zeigt, dass ein Inhalt möglicherweise von Claude verarbeitet wurde.

Welche Algorithmen kommen technisch infrage?

Weil Anthropic den eigenen Algorithmus noch nicht offengelegt hat, lohnt sich ein Blick auf die veröffentlichte Forschung. Eine aktuelle technische Studie im Auftrag der Europäischen Kommission untersucht genau solche Lösungen für Artikel 50. In der Fachwelt haben sich mehrere Verfahrensfamilien herausgebildet. Drei davon sind für Claude besonders interessant.

Hypothese 1: Grünlisten-Wasserzeichen nach dem KGW-Prinzip

Das bekannte Verfahren von Kirchenbauer, Geiping und weiteren Forschern teilt den Wortschatz des Modells bei jedem Erzeugungsschritt mithilfe eines Schlüssels und des bisherigen Textkontexts in eine bevorzugte „grüne“ und eine nicht bevorzugte „rote“ Gruppe. Tokens der grünen Gruppe erhalten einen kleinen Bonus auf ihren internen Auswahlwert, den sogenannten Logit.

In einer vereinfachten Formel sieht das so aus:

neuer Logit = ursprünglicher Logit + δ, wenn das Token zur aktuellen Grünliste gehört.

δ steht für die Stärke des Wasserzeichens. Ein größerer Wert verbessert tendenziell die Erkennung, kann aber die natürliche Auswahl des Modells stärker beeinflussen. Der Detektor rekonstruiert dieselben Grünlisten und prüft, ob im Text auffällig viele grüne Tokens vorkommen. Häufig wird daraus ein z-Wert berechnet:

z = (beobachtete grüne Tokens − erwartete grüne Tokens) / statistische Streuung

Je höher dieser Wert, desto unwahrscheinlicher ist das Muster durch Zufall entstanden. Dieses Verfahren passt grundsätzlich zu Anthropics Formulierung, das Wasserzeichen werde auf Modellebene direkt in den Text „eingewoben“. Es ist leichtgewichtig, skaliert gut und übersteht normales Kopieren. Gegen die eindeutige Zuordnung spricht: Anthropic nennt weder Grünlisten noch Logit-Bias. Claude könnte eine deutlich weiterentwickelte Variante verwenden.

Meine Einschätzung: Ein kontextabhängiges, schlüsselgesteuertes Tokenverfahren aus dieser Familie ist technisch plausibel. Dass Claude exakt den ursprünglichen KGW-Algorithmus verwendet, ist dagegen nicht belegt.

Hypothese 2: Ein Verfahren ähnlich Googles SynthID-Text

Google DeepMind veröffentlichte mit SynthID-Text ein im großen Maßstab getestetes Textwasserzeichen. Die Referenzimplementierung ist öffentlich verfügbar. SynthID arbeitet nicht einfach mit einer einzigen starren Grünliste. Es verwendet ein Tournament-Sampling-Verfahren: Mehrere mögliche Tokenfolgen treten vereinfacht gesagt in kleinen Auswahlrunden gegeneinander an. Eine geheime, pseudozufällige Bewertungsfunktion beeinflusst, welche Kandidaten gewinnen.

Für Einsteiger kann man sich das wie ein Turnier vorstellen. Das Modell schlägt mehrere sprachlich passende Fortsetzungen vor. Das Wasserzeichen gibt bestimmten Kandidaten abhängig von Schlüssel und Kontext einen kleinen Zusatzpunkt. Die sprachlich guten Kandidaten bleiben im Rennen, aber über viele Runden entsteht ein prüfbares Muster.

Der Vorteil liegt darin, Wasserzeichenstärke und Textqualität feiner auszubalancieren. Google berichtete über eine groß angelegte Auswertung mit rund 20 Millionen Gemini-Antworten. Auch SynthID ist jedoch bei sehr kurzen Texten und nach starken Umschreibungen eingeschränkt.

Meine Einschätzung: Anthropic könnte eine eigene sampling-basierte Konstruktion mit mehreren geheimen Bewertungsfunktionen einsetzen. Die weltweite Anwendung über API und verschiedene Produkte verlangt ein schnelles Verfahren, das direkt beim Decoding arbeitet. Das würde zu dieser Familie passen. Es gibt aber keinen öffentlichen Hinweis, dass Anthropic SynthID selbst übernommen hat.

Hypothese 3: Semantische oder mehrbitige Wasserzeichen

Neuere Forschungsansätze versuchen, nicht nur einzelne Tokenentscheidungen, sondern Bedeutung, Satzstruktur oder mehrere eingebettete Bits zu nutzen. Ein mehrbitiges Wasserzeichen könnte neben „markiert oder nicht markiert“ zusätzliche Informationen codieren, etwa eine Modell- oder Anbieterkennung. Semantische Verfahren sollen robuster gegen Synonyme, Paraphrasierung und teilweise sogar Übersetzung werden.

Das wäre für einen Anbieter attraktiv, der viele Modelle und Produktoberflächen unterscheiden möchte. Allerdings sind solche Verfahren komplexer. Sie können zusätzliche Rechenzeit benötigen, schwerer zu kalibrieren sein und neue Qualitäts- oder Datenschutzfragen aufwerfen.

Meine Einschätzung: Eine hybride Lösung ist langfristig wahrscheinlich: tokenbasierte Markierung für schnelle Basiserkennung, eventuell ergänzt durch robustere semantische Signale oder eine Modellkennung. Aus Anthropics bisheriger Beschreibung lässt sich eine solche Mehrbit- oder Semantikfunktion aber nicht ableiten.

Meine technische Arbeitshypothese für Claude

Aus den öffentlich bekannten Aussagen lässt sich vorsichtig folgende Hypothese bilden:

Die Markierung wird beim Decoding des Modells erzeugt und nicht erst nachträglich als unsichtbares Sonderzeichen angehängt.
Ein geheimer oder anbieterkontrollierter Schlüssel beeinflusst kontextabhängig die Auswahl sprachlich zulässiger Tokens.
Der Detektor bildet aus vielen Einzelentscheidungen einen statistischen Score und vergleicht ihn mit einem kalibrierten Schwellenwert.
Für unterschiedliche Modellgenerationen, Sprachen oder Ausgabemodi könnten verschiedene Schlüssel beziehungsweise Parameter verwendet werden.
Bei Dateien ergänzt Claude diese Textmarkierung nicht einfach, sondern nutzt zusätzlich die getrennte C2PA-Signaturkette.

Diese Hypothese erklärt Anthropics Aussagen, dass das Zeichen unsichtbar ist, auf Modellebene entsteht, beim Kopieren mitwandert, manche Bearbeitungen übersteht und bei kurzen oder stark veränderten Texten verschwinden kann. Sie ist technisch naheliegend, aber keine bestätigte Beschreibung des internen Claude-Algorithmus.

Wie kann ein Wasserzeichen unsichtbar in Text stecken?

Ein Sprachmodell schreibt nicht wie ein Mensch Zeichen für Zeichen aus einem fertigen Gedanken. Vereinfacht gesagt berechnet es immer wieder, welche Fortsetzung zu dem bisherigen Text passen könnte. Dafür arbeitet es mit sogenannten Tokens. Ein Token kann ein Wort, ein Wortteil, ein Satzzeichen oder eine andere Texteinheit sein.

Für den Satzanfang „Heute ist das Wetter …“ könnte das Modell beispielsweise mehrere wahrscheinliche Fortsetzungen sehen: „schön“, „sonnig“, „wechselhaft“ oder „kühl“. Normalerweise wählt es anhand berechneter Wahrscheinlichkeiten und weiterer Einstellungen eine passende Fortsetzung.

Ein statistisches Wasserzeichen kann diesen Auswahlprozess sehr leicht beeinflussen. Ein geheimer oder kontrollierter Mechanismus teilt mögliche nächste Tokens sinngemäß in bevorzugte und nicht bevorzugte Kandidaten ein. Das Modell darf weiterhin einen sinnvollen Satz bilden, bevorzugt aber geringfügig häufiger bestimmte zulässige Wörter oder Satzfolgen.

Ein einzelnes Wort verrät dabei nichts. Über viele Entscheidungen hinweg entsteht jedoch ein statistisches Muster. Der Text liest sich normal, enthält aber häufiger die vom Markierungsverfahren bevorzugten Entscheidungen, als es ohne diesen Einfluss zu erwarten wäre.

Die Murmelkiste: Das Verfahren ganz einfach erklärt

Stellen wir uns eine Kiste mit grünen und grauen Murmeln vor. Beide Farben stehen für sprachlich passende Fortsetzungen. Ohne Wasserzeichen zieht das Modell entsprechend seiner normalen Wahrscheinlichkeiten. Mit Wasserzeichen bekommt ein Teil der grünen Murmeln bei jedem Schritt einen kleinen Vorteil.

Nach drei gezogenen Murmeln lässt sich daraus nichts sicher ableiten. Nach hundert Ziehungen kann jedoch auffallen, dass ungewöhnlich viele grüne Murmeln vorkommen. Der Detektor prüft nicht, ob ein Text „nach KI klingt“. Er prüft, ob die beobachtete Verteilung zu dem erwarteten geheimen Muster passt.

In einem realen System ist die Einteilung nicht dauerhaft für jedes Wort gleich. Sie kann vom bisherigen Text, einem Schlüssel und dem jeweiligen Erzeugungsschritt abhängen. Dadurch ist das Muster schwerer nachzuahmen und weniger offensichtlich. Das ist ein allgemeines Funktionsmodell statistischer Textwasserzeichen. Anthropic hat bislang nicht bestätigt, dass Claude exakt diese konkrete Konstruktion verwendet.

Technische Ebene: Wahrscheinlichkeiten werden gelenkt, nicht Buchstaben versteckt

Ein verbreitetes Missverständnis lautet, das Wasserzeichen bestehe aus unsichtbaren Unicode-Zeichen, besonderen Leerzeichen oder versteckten Buchstaben. Solche Tricks gibt es, sie wären beim Kopieren, Bereinigen oder Neuformatieren aber sehr leicht zu entfernen.

Ein modellseitig eingebettetes statistisches Wasserzeichen funktioniert anders. Es beeinflusst die Auswahl normal sichtbarer Tokens. Das Ergebnis enthält gewöhnliche Wörter und Satzzeichen. Die Markierung steckt in ihrer statistischen Abfolge.

Vereinfacht kann man den Ablauf so darstellen:

Das Modell berechnet für den nächsten Schritt eine Liste möglicher Tokens samt Wahrscheinlichkeiten.
Ein markierungsabhängiger Mechanismus bestimmt eine bevorzugte Teilmenge.
Die Wahrscheinlichkeiten dieser zulässigen Kandidaten werden leicht erhöht.
Das Modell wählt ein Token und setzt den Vorgang mit dem neuen Kontext fort.
Über einen längeren Text entsteht eine messbare statistische Abweichung.

Die Kunst besteht in der Balance. Ist der Einfluss zu schwach, wird die Erkennung unzuverlässig. Ist er zu stark, kann die Textqualität leiden oder das Muster leichter entdeckt und entfernt werden.

3. Wie: Wie ein Detektor einen Text prüfen könnte

Ein passender Detektor zerlegt den zu prüfenden Text zunächst wieder in Tokens. Anschließend rekonstruiert er für jeden Schritt, welche Entscheidungen nach dem Wasserzeichenmechanismus bevorzugt gewesen wären. Dann zählt oder gewichtet er, wie oft der Text diesem Muster folgt.

Am Ende entsteht kein magisches Ja oder Nein, sondern ein statistischer Wert. Liegt er deutlich über dem, was bei einem unmarkierten Text zufällig zu erwarten wäre, spricht das für einen Treffer. Liegt er darunter, wurde kein ausreichend starkes Signal gefunden.

Dabei muss ein Schwellenwert festgelegt werden. Ein niedriger Schwellenwert findet mehr markierte Texte, erzeugt aber möglicherweise mehr Fehlalarme. Ein hoher Schwellenwert reduziert Fehlalarme, übersieht jedoch eher stark bearbeitete oder kurze Texte. Das ist das klassische Verhältnis zwischen Erkennungsrate und Falschmeldungen.

Warum kurze Texte schwierig sind

Bei fünf oder zehn Wörtern können bevorzugte Muster zufällig auftreten. Wie bei einem Münzwurf sagt dreimal Kopf hintereinander noch wenig aus. Erst eine größere Zahl von Entscheidungen ermöglicht eine belastbarere statistische Bewertung.

Deshalb warnt Anthropic ausdrücklich, dass sehr kurze Passagen zu wenig Text für ein zuverlässiges Signal enthalten können. Ein Detektor sollte bei kurzen Inhalten nicht so tun, als sei seine Aussage genauso belastbar wie bei einem langen Artikel.

Was beim Kopieren passiert

Wenn das Wasserzeichen in der Auswahl normaler Wörter steckt, bleibt es beim gewöhnlichen Kopieren zunächst erhalten. Der Text wechselt zwar das Programm, seine Wörter und Reihenfolge bleiben jedoch gleich.

Normale Formatierungen wie Schriftart, Farbe oder Absatzabstand sollten ein solches statistisches Muster nicht automatisch zerstören. Werden dagegen viele Wörter ersetzt, Sätze neu gebaut oder Passagen mit anderen Texten gemischt, wird das Signal schwächer. Eine vollständige Übersetzung erzeugt eine neue Tokenfolge und kann das ursprüngliche Muster weitgehend verlieren.

Anthropic nennt genau solche Fälle als Grenzen: starke Bearbeitung, Paraphrasierung, Übersetzung, Mischung mit anderem Text und sehr kurze Ausschnitte.

Warum ein Treffer nicht „von Claude geschrieben“ bedeutet

Wenn ein Mensch einen eigenen Text an Claude übergibt und eine Überarbeitung anfordert, erzeugt Claude eine neue Ausgabe. Diese Ausgabe kann ein Wasserzeichen tragen, obwohl Ausgangsideen, Fakten und große Teile der Formulierung vom Menschen stammen.

Technisch kann der Detektor nur sagen: Diese Tokenfolge trägt ein passendes Verarbeitungssignal. Er kann nicht in die Vergangenheit schauen und die geistige Leistung aufteilen. Er weiß nicht, ob Claude erfunden, übersetzt, korrigiert, gekürzt oder lediglich ein Dateiformat umgewandelt hat.

Für faire Entscheidungen braucht es deshalb zusätzlichen Kontext: Ausgangsdokumente, Versionen, Quellen, Änderungsverlauf und die Erklärung des Autors. Technik kann diesen Prozess unterstützen, aber nicht ersetzen.

C2PA: Die zweite Technik für Bilder und Dateien

Bei unterstützten Dateien setzt Claude nach eigenen Angaben auf C2PA. Hier wird nicht primär ein sprachliches Muster erzeugt. Stattdessen erhält die Datei einen kryptografisch abgesicherten Herkunftsnachweis, oft als Content Credential bezeichnet.

Ein C2PA-Manifest kann Aussagen zur Herkunft und Bearbeitung eines digitalen Inhalts enthalten: welches Werkzeug die Datei verarbeitet hat, welche Arbeitsschritte dokumentiert wurden oder welche Ausgangsbestandteile verwendet wurden. Diese Angaben werden an den konkreten Inhalt gebunden und digital signiert.

C2PA für Einsteiger: Der versiegelte Begleitzettel

Man kann sich eine Bilddatei wie ein Paket vorstellen. Im Paket liegt das Bild. Dazu kommt ein Begleitzettel, auf dem beispielsweise steht: „Diese Datei wurde mit Werkzeug X erzeugt oder verarbeitet.“ Der Begleitzettel erhält ein digitales Siegel.

Ein Prüfprogramm kontrolliert anschließend drei Dinge:

Passt der Begleitzettel zu genau dieser Datei?
Ist die digitale Signatur mathematisch gültig?
Wird dem Signierenden innerhalb des verwendeten Vertrauensmodells vertraut?

Wurde die Datei nach der Signatur verändert, kann die Inhaltsbindung ungültig werden oder die Änderung muss in einer neuen Herkunftsstufe dokumentiert sein.

C2PA auf technischer Ebene: Hash, Manifest und Signatur

Die Grundbausteine sind bekannte kryptografische Verfahren:

Hash: Aus dem Dateiinhalt wird ein kurzer digitaler Fingerabdruck berechnet. Schon eine kleine Änderung führt normalerweise zu einem anderen Fingerabdruck.
Manifest: Eine strukturierte Sammlung von Aussagen beschreibt Herkunft, Bearbeitung oder verwendete Bestandteile.
Digitale Signatur: Der Ersteller des Manifests signiert die Angaben mit einem privaten Schlüssel. Ein Prüfer kann sie mit dem zugehörigen öffentlichen Vertrauensnachweis validieren.
Vertrauenskette: Die gültige Mathematik beweist zunächst nur, dass die Signatur zum angegebenen Schlüssel passt. Ob man dem Aussteller vertraut, hängt zusätzlich von Zertifikaten und Vertrauenslisten ab.

Das ist ein entscheidender Unterschied: Eine gültige C2PA-Signatur beweist nicht, dass das Bild die Wahrheit zeigt. Sie kann beweisen, dass bestimmte Herkunftsangaben seit der Signatur nicht unbemerkt verändert wurden und von einem bestimmten vertrauenswürdigen Signierenden stammen.

Was C2PA nicht kann

Ein korrekt signiertes KI-Bild kann weiterhin irreführend sein. Ein echtes Foto kann in einen falschen Zusammenhang gestellt werden. Ein vertrauenswürdiges Werkzeug kann von einem Menschen für Täuschung genutzt werden. Kryptografie prüft Integrität und Herkunftsaussagen, nicht Wahrheit und Absicht.

Metadaten können außerdem beim Export, durch Plattformen oder bei einem Screenshot entfernt werden. C2PA kennt deshalb auch sogenannte weiche Bindungen, über die ein Herkunftsnachweis außerhalb der Datei wiedergefunden werden kann. Doch auch das macht die Technik nicht lückenlos.

Der Unterschied zwischen Textwasserzeichen und C2PA auf einen Blick

Textwasserzeichen: statistisches Muster im Inhalt; kann Kopieren überstehen; wird durch starke sprachliche Bearbeitung geschwächt.
C2PA: signierte Herkunftsstruktur an oder neben einer Datei; kann präzisere Bearbeitungsschritte dokumentieren; kann beim Entfernen von Metadaten verloren gehen.
Stilbasierter KI-Detektor: schätzt anhand allgemeiner Sprachmerkmale; kennt nicht zwingend ein eingebettetes Signal und ist kein Herkunftsnachweis.

4. Was wäre, wenn: Ein Mensch schreibt plötzlich wie eine KI?

Bei einem echten statistischen Claude-Wasserzeichen reicht ein klarer Stil allein nicht aus. Ein Mensch, der selbst strukturiert schreibt, erzeugt nicht automatisch das geheime, kontextabhängige Markierungsmuster eines Modells. Genau hier muss zwischen Wasserzeichendetektion und allgemeiner KI-Stilerkennung unterschieden werden.

Ein gewöhnlicher KI-Detektor kann einen klaren menschlichen Text trotzdem verdächtig finden, weil er nur statistische Ähnlichkeit bewertet. Das ist besonders problematisch in Schule, Hochschule und Arbeitswelt. Eine Prozentanzeige darf dort nicht als alleiniger Beweis dienen.

Anders sieht es aus, wenn der menschliche Text anschließend von Claude neu ausgegeben oder umfassend überarbeitet wird. Dann kann die neue Ausgabe ein Claude-Signal enthalten. Der Treffer sagt aber weiterhin nur etwas über die Verarbeitung, nicht über die ursprüngliche Autorschaft.

Was wäre, wenn jemand das Wasserzeichen absichtlich entfernen will?

Starke Paraphrasierung, Übersetzung oder Mischung kann ein Textsignal schwächen. Dateimetadaten lassen sich durch Konvertierung oder Screenshots entfernen. Eine Kennzeichnungstechnik muss daher immer davon ausgehen, dass manche Akteure sie umgehen wollen.

Das führt zu einem technischen Wettrennen: Anbieter verbessern Robustheit, während Umgehungswerkzeuge versuchen, Muster zu zerstören. Ein vollkommen unauslöschliches Wasserzeichen ist bei frei bearbeitbaren digitalen Inhalten kaum realistisch. Genau deshalb sollte niemand fehlende Markierungen als Echtheitsbeweis verstehen.

Was wäre, wenn ein Detektor falsch liegt?

Jedes statistische Erkennungssystem braucht einen geregelten Umgang mit Unsicherheit. Dazu gehören nachvollziehbare Schwellenwerte, dokumentierte Fehlerraten, Mindestlängen und ein Widerspruchsverfahren. Besonders bei Entscheidungen über Noten, Beschäftigung, Sanktionen oder öffentliche Vorwürfe darf ein Treffer nur ein Prüfhinweis sein.

Ein faires Verfahren fragt:

Wurde ein herstellerspezifisches Wasserzeichen oder nur ein allgemeines Stilmuster erkannt?
Ist der Text lang genug für eine belastbare Aussage?
Welche Fehlerrate besitzt das Verfahren für Sprache und Textsorte?
Kann eine zulässige Korrektur, Übersetzung oder Formatumwandlung den Treffer erklären?
Welche zusätzlichen Nachweise gibt es zum Arbeitsprozess?

Was Unternehmen technisch vorbereiten sollten

Unternehmen sollten nicht warten, bis der erste Detektor im Browser erscheint. Sie brauchen eine klare Prozesskette:

zugelassene Modelle und Versionen dokumentieren,
wesentliche KI-Bearbeitung im Arbeitsprozess nachvollziehbar machen,
Originale, Entwürfe und Freigabestände bei relevanten Veröffentlichungen erhalten,
C2PA-Metadaten beim Medienworkflow möglichst nicht unbeabsichtigt entfernen,
vertrauliche Texte nicht ungeprüft an externe Detektoren übermitteln,
Treffer niemals ohne menschliche Prüfung sanktionieren,
Verantwortung für Veröffentlichung, Schlüssel, Signaturen und Prüfwerkzeuge festlegen.

Informationssicherheit muss dabei auch den Prüfdienst selbst bewerten. Wer sensible Texte zur Analyse hochlädt, gibt möglicherweise Geschäftsgeheimnisse oder personenbezogene Daten an einen weiteren Anbieter. Die Suche nach einem Wasserzeichen darf nicht zum neuen Datenabfluss werden.

Das Wichtigste für Nichttechniker

Wer nur fünf Sätze mitnehmen möchte:

Claude soll in neuen unterstützten Modellen unsichtbare Muster in Text und signierte Herkunftsdaten in Dateien einbauen.
Ein Treffer bedeutet: Claude könnte den Inhalt verarbeitet haben. Er bedeutet nicht automatisch: Claude hat alles erfunden und geschrieben.
Ein fehlender Treffer beweist nicht, dass keine KI beteiligt war.
Klare menschliche Sprache erzeugt nicht automatisch ein echtes Claude-Wasserzeichen, kann aber allgemeine KI-Detektoren täuschen.
Technische Signale brauchen immer Kontext und menschliche Verantwortung.

Mein Fazit als Security-Mensch

Die Technik hinter KI-Wasserzeichen ist sinnvoll, wenn wir sie als das behandeln, was sie ist: ein zusätzliches Herkunftssignal. Sie wird gefährlich, wenn Organisationen daraus einen automatischen Wahrheits- oder Autorschaftstest machen.

Claude zeigt mit der Kombination aus statistischer Textmarkierung und C2PA-Metadaten zwei unterschiedliche Wege. Der Text trägt ein verteiltes Muster. Die Datei trägt einen signierten Herkunftsnachweis. Beide Wege haben Stärken, beide können Informationen verlieren, und keiner ersetzt die Prüfung des Inhalts.

Die technische Zukunft wird wahrscheinlich aus mehreren Signalen bestehen: Wasserzeichen, signierte Herkunft, Plattforminformationen, Versionierung und redaktionelle Nachweise. Vertrauen entsteht nicht durch einen einzelnen grünen Haken. Es entsteht durch eine nachvollziehbare Kette und Menschen, die Verantwortung übernehmen.

Bis Anthropic seine angekündigte technische Dokumentation und die konkreten Erkennungswege veröffentlicht, sollte jede weitergehende Behauptung mit Vorsicht behandelt werden. Gute Aufklärung benennt nicht nur, was eine Technik kann. Sie sagt ebenso klar, was wir noch nicht wissen.

Quellen und technische Vertiefung

Stand: 12. August 2026. Die konkrete interne Textwasserzeichen-Implementierung von Claude ist nicht vollständig öffentlich dokumentiert. Allgemeine technische Abläufe sind deshalb ausdrücklich als verständliches Funktionsmodell gekennzeichnet.

Themen: #KI · #Claude · #KIWasserzeichen · #C2PA · #ContentCredentials · #KIGovernance · #Informationssicherheit · #Medienkompetenz

Was siehst du anders?

Widerspruch ist willkommen. Schreib klar, bleib beim Thema und bring ein Argument mit. Deine E-Mail-Adresse wird nicht veröffentlicht.