Claude führt Text-Wasserzeichen ein: Wie es funktioniert und wo die Grenzen liegen

Anthropic integriert eine von SynthID-Text inspirierte statistische Signatur in die nach dem 2. August 2026 gestarteten Claude-Modelle und wendet sie global an, um den Verpflichtungen des europäischen AI Acts nachzukommen. Als Chris Best, CEO von Substack, den Begriff "Claudefishing" prägte, um diejenigen zu beschreiben, die KI nutzen, um Inhalte zu generieren und sie als ihre eigenen auszugeben, traf er einen Nerv, den die Tech-Industrie als weitaus empfindlicher entdeckt, als erwartet wurde. Wenige Tage später gab Anthropic bekannt, dass von den neuen Claude-Modellen produzierte Texte von nun an eine unsichtbare Markierung tragen werden, die darauf ausgelegt ist, die Wahrscheinlichkeit zu schätzen, dass künstliche Intelligenz einen Inhalt geschrieben oder verarbeitet hat. Kein Stempel, kein Symbol, keine Höflichkeitsfloskel am Ende der Antwort. Etwas Subtileres und genau aus diesem Grund schwerer zu erklären, ohne in Fachchinesisch oder Alarmismus zu verfallen.

Die Verbindung zur europäischen Regulierung ist kein Zufall. Artikel 50 des AI Act verpflichtet Anbieter von generativen KI-Systemen dazu, Ausgaben maschinenlesbar und als künstlich erkennbar zu machen, soweit dies technisch machbar ist. Die Transparenzpflichten traten am 2. August 2026 in Kraft, und Anthropic entschied sich, dieses Datum mit der Premiere der Wasserzeichen-Markierung zusammenfallen zu lassen: Alle in der Europäischen Union ab diesem Tag gestarteten Claude-Modelle unterstützen sie vom ersten Moment an. Das Unternehmen erklärt zudem, daran zu arbeiten, sie rückwirkend auf frühere Modelle auszuweiten, indem es die im Gesetz vorgesehene Übergangsfrist nutzt.

Überraschend ist das Ausmaß der Anwendung. Anthropic hat keinen geografischen Schalter gebaut, der Texte nur für europäische Nutzer markiert; die Markierung gilt überall, für jeden, der Claude nutzt – vom einzelnen Abonnenten bis zum Team, das es über API integriert. Die offizielle Begründung ist eher pragmatisch als ideologisch: Das Unternehmen verfügt noch über keine ausreichend zuverlässige Methode, um die Wasserzeichen-Markierung auf eine bestimmte Region zu beschränken, und bevorzugt ein einheitliches Verhalten zwischen Claude, Claude Platform, Claude Code, Claude Cowork und Claude Tag, unabhängig davon, wo man sich befindet. Das Ergebnis, wie auch immer man es beurteilen mag, ist, dass eine für die siebenundzwanzig Mitgliedstaaten gedachte Norm letztlich das Verhalten eines Produkts neu gestaltet, das von Millionen von Menschen weltweit genutzt wird – ein extraterritorialer Effekt, den Euronews als repräsentativ dafür bezeichnete, wie Brüssel am Ende auch außerhalb der eigenen Grenzen als regulatorischer Vorreiter agiert.

Wie man eine Signatur in einem Satz versteckt

Um zu verstehen, wie das Text-Wasserzeichen funktioniert, muss man von einer einfachen Idee ausgehen: wie ein Sprachmodell eine Antwort aufbaut. Claude schreibt nicht einen ganzen Satz auf einmal; es generiert ihn Wort für Wort oder besser Token für Token und weist bei jedem Schritt den möglichen Fortsetzungen eine Wahrscheinlichkeit zu. Nach einem Satz über das Wetter gibt es beispielsweise mehrere gleichermaßen plausible Alternativen: "grau", "bewölkt", "bedeckt" sind alles zulässige Optionen, von denen keine den Sinn der Aussage verändert. In diesen Momenten harmloser Zweideutigkeit klinkt sich das Wasserzeichen ein.

Das Modell wählt weiterhin unter den plausiblen Alternativen aus, aber die Quelle des Zufalls, die die Wahl leitet, ist nicht mehr völlig unvorhersehbar; sie wird durch einen geheimen Schlüssel bestimmt, der mit den bereits geschriebenen Wörtern kombiniert wird. Der Text bleibt nach außen hin natürlich, die Gesamtsequenz enthält jedoch eine statistische Regelmäßigkeit, die derjenige, der den Schlüssel besitzt, überprüfen kann. Anthropic vergleicht den Mechanismus mit einer Partie Monopoly, die nicht mit Würfeln, sondern mit einer langen Abfolge von Nachkommastellen von Pi gespielt wird: Die Züge wirken für den Außenstehenden weiterhin zufällig, wer aber die Sequenz kennt, kann überprüfen, ob die Ergebnisse mit dieser speziellen Quelle kompatibel sind. Es ist dasselbe narrative Prinzip, das Thomas Pynchons Die Versteigerung von No. 49 trägt, wo sich ein scheinbar unbedeutendes Symbol – ein beiläufig gezeichnetes Posthorn – als Hinweis auf ein unter der gewöhnlichen Oberfläche der Dinge verborgenes Netzwerk offenbart. Das Wasserzeichen von Claude funktioniert ungefähr so: ein für das bloße Auge unsichtbares Muster, das nur für diejenigen lesbar ist, die wissen, wo sie suchen müssen.

Ein Punkt muss sofort klargestellt werden, da er die Quelle vieler Missverständnisse ist: Das System zwingt Claude nicht dazu, unwahrscheinliche oder gekünstelte Wörter zu verwenden. Es wird kein Ad-hoc-Vokabular eingeführt und es gibt kein einzelnes Wort, das unabhängig vom Kontext bevorzugt wird. Die Markierung greift nur ein, wenn auf semantischer Ebene tatsächlich gleichwertige Alternativen existieren, und diese intrinsische Grenze ist auch der erste Hinweis darauf, wo das System nicht mehr gut funktioniert – ein Thema, auf das wir noch zurückkommen werden. Bild aus einem Thread auf reddit.com entnommen

Die Schuld gegenüber SynthID und der wissenschaftlichen Literatur

Anthropic hat diese Technik nicht von Grund auf neu erfunden. Die verwendete Methode ist eine Variante des SynthID-Text-Ansatzes, der von Google DeepMind entwickelt und in einem 2024 in Nature veröffentlichten Artikel mit dem Titel "Scalable watermarking for identifying large language model outputs" beschrieben wurde. Die Studie beschreibt eine Technik, die darauf ausgelegt ist, die Textqualität intakt zu halten, eine gute Erkennungsgenauigkeit zu gewährleisten und der Nutzung im großen Maßstab standzuhalten, ohne die Antwortzeiten zu belasten. Es ist der wichtigste öffentliche und überprüfbare PrStandard, auf dem Anthropics Entscheidung basiert, und Google selbst hat SynthID-Text an großen Mengen von Gemini-Traffic getestet. Dabei sammelte das Unternehmen Nutzerfeedback, das laut eigener Aussage keine wahrnehmbaren Qualitätsunterschiede zwischen markierten und unmarkierten Ausgaben ergab.

Es muss klar gesagt werden, dass die technische Verwandtschaft keine Identität der Implementierung bedeutet. Anthropic und Google können unterschiedliche Schlüssel, unterschiedliche Detektoren und unterschiedliche Schwellenwerte verwenden. Das bedeutet, dass ein von Claude markierter Text mit den für Geminis SynthID entwickelten Werkzeugen nicht erkennbar ist – und umgekehrt. Jeder große KI-Anbieter baut sein eigenes proprietäres System auf, ein babylonisches Gewirr inkompatibler Signaturen, das es zumindest vorerst schwer macht, sich einen einzigen universellen Erkennungsstandard vorzustellen.

Gerade die proprietäre Natur des Schlüssels unterscheidet Claudes Wasserzeichen von generischer Erkennungssoftware wie Pangram, die stattdessen stilistische Muster, lexikalische Häufigkeiten und synthetische Satzkonstruktionen analysiert, die für künstliche Prosa typisch sind. Ein generischer Detektor versucht zu erraten, ob ein Text "klingt", als sei er von einer Maschine geschrieben; der Wasserzeichen-Detektor prüft hingegen die Kompatibilität mit einer spezifischen statistischen Signatur, die von einem bestimmten Modell mit einem bestimmten Schlüssel erzeugt wurde. Das sind zwei Ansätze, die sich eher ergänzen als überschneiden, und der Unterschied ist nicht gering: Ohne den Schlüssel kann niemand von außen die Erkennung replizieren, die Anthropic intern durchführen würde.

Was es wirklich beweist – und was nicht

Hier kommen wir zum Kern der Sache – jenem Punkt, der die technische Begeisterung von den praktischen Sorgen trennt. Das Wasserzeichen zeigt, wenn es erkannt wird, eine Wahrscheinlichkeit und keine absolute Gewissheit dafür an, dass Claude an der Generierung oder Bearbeitung eines Textes beteiligt war. Es sagt nicht aus, wer die ursprüngliche Idee hatte, wer die Fakten überprüft hat oder wer den ersten Entwurf geschrieben hat, bevor Claude ihn übersetzt oder gefeilt hat. Ein Text kann aus der Feder einer Person stammen und dann durch die Hände des Modells für eine Übersetzung, ein Proofreading oder eine Zusammenfassung gehen; in diesem Fall würde die Markierung den Eingriff der KI signalisieren, ohne etwas über die ihr vorausgehende menschliche Arbeit zu erzählen.

In ähnlicher Weise ändert das Vorhandensein des Wasserzeichens nach Angaben von Anthropic nichts an den in den Nutzungsbedingungen vorgesehenen Nutzerrechten, begründet kein Eigentum am Text und enthält vor allem keine identifizierenden Daten darüber, wer ihn generiert hat – weder das Konto noch die Organisation noch die einzelne Konversation. Es ist ein Signal über die Methode, nicht über den Autor aus Fleisch und Blut. Wer auf ein namentliches Nachverfolgungssystem gehofft – oder ein solches befürchtet – hatte, wird enttäuscht sein oder aufatmen, je nach Blickwinkel.

Wo das System bröckelt

Jede Erkennungstechnologie hat ihre blinden Flecken, und es lohnt sich, diese hier ehrlich aufzulisten, denn genau in den Rändern entscheidet sich die reale Zuverlässigkeit des Werkzeugs. Sehr kurze Texte bieten nur wenige statistische Entscheidungen, auf die das Wasserzeichen einwirken kann, und sind daher schwer mit Sicherheit einzustufen. Stark faktenbasierte Passagen – solche, bei denen es nur eine einzige korrekte Antwort, eine Formel oder ein präzises Datum gibt – lassen dem Modell sehr wenig Wahlfreiheit und somit wenig Raum für das Wasserzeichen. Wenn Claude lediglich die Interpunktion eines von einem Menschen geschriebenen Textes korrigiert, bleibt der Großteil der ursprünglichen Wörter intakt und das Signal läuft Gefahr, zu schwach zu sein, um erfasst zu werden. Eine vollständige Umformulierung, bei der jedes Wort ersetzt wird, kann dagegen die ursprüngliche Markierung völlig auslöschen, obwohl der finale Text in diesem Fall ohnehin weit vom ursprünglichen Output entfernt ist.

Übersetzungen folgen einer anderen Logik: Da jedes einzelne Wort der übersetzten Version vom Modell gewählt wird, vertritt Anthropic die Auffassung, dass sie im Gegensatz zum leichten Proofreading vollständig markiert werden. Quellcode ist ein Fall für sich. Viele Entscheidungen in einem Programm sind durch die Syntax, die Funktionsnamen und das für das Funktionieren erforderliche Verhalten gebunden, und das Erzwingen eines anderen Tokens würde das Risiko bergen, die Ausführung zu unterbrechen. Aus diesem Grund konzentriert sich die Markierung tendenziell auf Kommentare und nicht-essenzielle Teile des Codes, während sie in den Zeilen, die das Programm tatsächlich ausführen, nahezu abwesend bleibt – ein wenig wie in Return of the Obra Dinn, dem ermittlerischen Videospiel, in dem die Wahrheit nie im Ereignis selbst liegt, sondern in den marginalen Details, die es umgeben, den visuellen Hinweisen an den Rändern der Szene.

Schließlich ein Reminder, den zu wiederholen sich lohnt: Das Fehlen eines Wasserzeichens beweist keineswegs, dass ein Text von einem Menschen geschrieben wurde. Er könnte von einem Claude-Modell stammen, das vor dem 2. August 2026 veröffentlicht wurde, oder von einem konkurrierenden KI-System, das dieselbe Technik schlicht nicht nutzt.

Dateien folgen einem anderen Weg

Für Bilder – PNG, JPG, SVG und andere unterstützte Formate – nutzt Anthropic nicht dieselbe statistische Logik wie für Text. Stattdessen stützt es sich auf den offenen Standard C2PA (Coalition for Content Provenance and Authenticity) und fügt kryptografisch signierte Metadaten bei, die die Beteiligung von Claude an der Erstellung oder Änderung der Datei anzeigen. Dies ist ein lesbareres, aber auch anfälligeres System: Diese Metadaten können durch eine einfache Formatkonvertierung, ein erneutes Speichern, einen Screenshot oder eine beliebige Software, die sie entlang der Kette nicht bewahrt, verloren gehen. Die praktische Konsequenz ist, dass das Fehlen der Metadaten keineswegs beweist, dass ein Bild nicht von der KI berührt wurde – ein Detail, das jeder, der mit visuellen Inhalten arbeitet, fest im Hinterkopf behalten sollte, bevor er voreilige Schlüsse zieht. Bild aus techwyse.com entnommen

Wer gewinnt, wer verliert, wer mit Zweifeln zurückbleibt

Auf redaktioneller Seite sieht Artikel 50 des AI Acts eine wichtige Ausnahme für Inhalte vor, die zu Informationszwecken veröffentlicht werden, wenn sie einer menschlichen Überprüfung unterzogen werden und eine Person oder Organisation die redaktionelle Verantwortung übernimmt. Das ist eine Bestimmung der Vernunft, die anerkennt, dass der Einsatz von KI zum Übersetzen, Zusammenfassen oder Brainstormen nicht dasselbe ist wie ein vollständig an die Maschine delegierter Schreibprozess. Seine praktische Anwendung wird jedoch stark davon abhängen, wie er in künftigen Leitlinien interpretiert wird. Für eine Redaktion kann das Wasserzeichen helfen, den Produktionsprozess eines Beitrags zu rekonstruieren, es ersetzt jedoch in keiner Weise die Überprüfung von Quellen oder die Verantwortung desjenigen, der den Artikel zeichnet.

Die am heißesten umkämpfte Front betrifft laut der Berichterstattung von TechCrunch Schule und Arbeitswelt. Mehrere Nutzer befürchten, dass ein statistisches Signal, das seiner Natur nach probabilistisch und unvollkommen ist, als definitiver Beweis für akademischen Betrug oder berufliche Unredlichkeit behandelt wird. Das Risiko ist nicht theoretisch: Ein von Claude leicht übersetzter oder überarbeiteter Text erzeugt möglicherweise gar kein erkennbares Signal, während ein positiver Befund ebenso gut auf eine vollständige Generierung wie auf eine einfache Übersetzung hinweisen könnte, ohne dass der Detektor in der Lage wäre, zwischen den beiden Szenarien zu unterscheiden. Jeder, der eine Arbeit zu beurteilen hat – ein Lehrer, ein Personalverantwortlicher –, sollte das Wasserzeichen als einen Hinweis behandeln, der kontextualisiert werden muss, nicht als ein Urteil. Dabei sollten der Überarbeitungsverlauf, Notizen und der gesamte Arbeitsprozess berücksichtigt werden.

Offen bleiben auch weniger diskutierte, aber nicht minder relevante Governance-Fragen. Wer den Zugriff auf den Erkennungsschlüssel kontrolliert und mit welchen Garantien für Audit und Widerruf dies geschieht, ist in den öffentlichen Dokumenten noch nicht klar. Anthropic hat angekündigt, an einer eigenen Erkennungs-API zu arbeiten, ohne jedoch bisher Details zu Authentifizierung, Schwellenwerten, unterstützten Formaten oder Zeitplänen zu nennen. Dies ist der Schritt, der darüber entscheiden wird, ob dieses Werkzeug ein erklärter Grundsatz bleibt oder zu einer von unabhängigen Dritten – Schulen, Verlagsplattformen, Moderationsdiensten – überprüfbaren Praxis wird, mit allen Risiken des Missbrauchs, die die Öffnung eines solchen Werkzeugs mit sich bringt: von der Überwachung am Arbeitsplatz bis hin zur Personalauswahl auf der Grundlage eines Signals, das, wir wiederholen es, nie eine Gewissheit ist.

Ein Puzzlestück eines größeren Bildes

Der europäische Verhaltenskodex für die Transparenz von KI-generierten Inhalten, der in einem von AI Office koordinierten Multi-Stakeholder-Prozess ausgearbeitet wurde, hat rund 190 Unterzeichner versammelt, darunter Google, Meta, Microsoft, OpenAI, Mistral, Cohere und Synthesia sowie Anthropic selbst. Die Teilnahme am Kodex bleibt freiwillig, während die Verpflichtungen aus Artikel 50 gesetzlich bindend sind – eine Unterscheidung, die man im Hinterkopf behalten sollte, wenn man liest, dass sich "die gesamte Industrie" in dieselbe Richtung bewegt: Sie tut es, aber mit von Unternehmen zu Unternehmen sehr unterschiedlichen Freiräumen.

Was sich bei der Zusammenführung offizieller Quellen und Reaktionen der internationalen Presse abzeichnet, ist ein Bild auf halbem Weg zwischen technischem Fortschritt und einer noch nicht gewonnenen Wette. Im Vergleich zu Detektoren, die den Stil im Nachhinein analysieren, ist das in die Generierung eingebettete Wasserzeichen ein ausgefeilterer Ansatz, weil er im Prozess selbst entsteht, anstatt nachträglich abgeleitet zu werden. Seine reale Wirksamkeit wird jedoch von noch offenen Faktoren abhängen: der konkreten Verfügbarkeit einer Erkennungs-API, der Robustheit nach mehrfachem Bearbeiten und Übersetzen, dem Vorhandensein unabhängiger Tests in anderen Sprachen als Englisch und in technischen Domänen sowie vor allem der Vorsicht, mit der Schulen, Unternehmen und Redaktionen entscheiden werden, ein positives oder negatives Ergebnis zu interpretieren.

Zu wissen, dass Claude an einem Text beteiligt war, beantwortet im Grunde nicht die wichtigste Frage: wer die Ideen ausgearbeitet, die Daten überprüft und die Verantwortung für das Veröffentlichte übernommen hat. Das Wasserzeichen kann technische Transparenz über die Herkunft eines Inhalts schaffen, ersetzt aber nicht das menschliche Urteil darüber, was mit dieser Information zu tun ist. Anthropic wettet darauf, dass ein unsichtbares Signal, wenn es mit Sorgfalt gehandhabt wird, mehr wert ist als gar kein Signal. Es bleibt abzuwarten, ob der Rest der Welt – von Lehrern über Richter bis hin zu Redaktionskollegen – bereit sein wird, es mit derselben Vorsicht zu nutzen, mit der es aufgebaut wurde.