Claude-Wasserzeichen in Stunden umgangen: Was das über die Herkunft von KI-Texten verrät

Anthropics Entscheidung, Ausgaben von Claude mit maschinenlesbaren Kennzeichnungen zu versehen, wurde binnen kürzester Zeit zu einem Praxistest für KI-Wasserzeichen. Nur vier Stunden, nachdem das Unternehmen die weltweite Einführung bestätigt hatte, veröffentlichte der Entwickler Guillaume Meyer eine Open-Source-Umgehung. Der Vorgang zeigt die zentrale Schwäche statistischer Text-Wasserzeichen: Sie können bei Routineprüfungen helfen, bleiben aber anfällig für ausreichend umfangreiches Umschreiben.

Was sich seit dem 2. August 2026 geändert hat

Anthropic erklärt, dass unterstützte Claude-Modelle, die seit dem 2. August 2026 eingeführt wurden, generierte Inhalte bereits beim Start kennzeichnen. Die Markierung gilt überall dort, wo diese Modelle angeboten werden – weltweit. Erzeugte Texte erhalten ein für Menschen unsichtbares Wasserzeichen; unterstützte Dateien können zusätzlich digital signierte Herkunftsmetadaten enthalten.

Anthropic begründet die Einführung mit den Transparenzpflichten des EU AI Act. Die Verordnung sieht technische Lösungen vor, mit denen sich maschinenlesbar kennzeichnen und erkennen lässt, ob Inhalte von einem KI-System erzeugt oder bearbeitet wurden – soweit dies technisch machbar ist.

Auf die weltweite Einführung folgten fast unmittelbar öffentliche Versuche, das Signal zu beseitigen. Wired berichtete, dass Meyer seine Umgehung innerhalb von vier Stunden veröffentlichte. Später beteiligten sich mehr als 100 Personen an dem Projekt; die entsprechende Werbung wurde auf X mehr als 20.000-mal gespeichert. Verlässliche Gesamtzahlen zu GitHub-Sternen, Downloads oder tatsächlichen Nutzern liegen in den verfügbaren Berichten nicht vor.

Wie die Umgehungen das Wasserzeichen angreifen

Das Claude-Wasserzeichen ist keine Schicht unsichtbarer Zeichen, die sich einfach löschen lässt. Anthropic beschreibt es als statistisches Muster in der Auswahl von Wörtern beziehungsweise Tokens. Ein Prüfsystem bewertet, ob die Abfolge statistisch mit dem Erzeugungsprozess von Claude übereinstimmt.

Meyers Ansatz nutzt ein nicht markierendes Sprachmodell, um mehrere neue Fassungen eines Textes zu erzeugen. Dabei werden Synonyme ausgetauscht und Formulierungen umgestellt, während die Bedeutung möglichst erhalten bleiben soll. Genau dadurch wird das ursprüngliche Muster der Wortwahl angegriffen.

Andere browserbasierte Werkzeuge, über die berichtet wurde, setzen an anderen Stellen an. Ein Tool entfernt unsichtbare oder ähnlich aussehende Unicode-Zeichen, ordnet Sätze neu und ersetzt Synonyme. Auch das Kürzen eines Textes oder eine Übersetzung in eine andere Sprache mit anschließender Rückübersetzung kann ein statistisches Muster stören. Diese Verfahren dürfen jedoch nicht mit dem Entfernen des eigentlichen Claude-Textwasserzeichens gleichgesetzt werden: Laut Anthropic besteht es weder aus versteckten Zeichen noch aus zusätzlichen Textmetadaten.

Was das Wasserzeichen zeigen kann – und was nicht

Anthropic zufolge basiert die Kennzeichnung auf einer Variante des SynthID-Text-Ansatzes von Google DeepMind. Bei wenig folgenreichen Entscheidungen darüber, welches passende nächste Wort gewählt wird, nutzt Claude eine durch einen geheimen Schlüssel gesteuerte Zufälligkeit, die mit den vorhergehenden Wörtern zusammenhängt. Ein Prüfer kann anschließend einschätzen, ob die Passage statistisch zu diesen Auswahlentscheidungen passt.

Das Wasserzeichen soll für Leser unsichtbar bleiben, keine Zeichen hinzufügen, keine zusätzlichen Tokens verbrauchen und sich laut Anthropic praktisch nicht auf Bedeutung, Qualität, Kreativität, Lesbarkeit oder Kosten auswirken.

Es enthält außerdem keine identifizierenden Informationen und lässt sich nicht zu einer bestimmten Person, Organisation oder Unterhaltung zurückverfolgen. Das Ergebnis ist daher ein Hinweis auf mögliche Beteiligung – kein persönlicher Fingerabdruck.

Anthropic beschreibt die Erkennung als Wahrscheinlichkeit, dass Claude am Schreiben einer Passage beteiligt war. Sie kann nicht feststellen, wer den Text verfasst hat, beweisen, dass kein Mensch daran beteiligt war, die Ausgabe eines anderen Modells identifizieren oder kurze Textpassagen zuverlässig bewerten.

Besonders relevant ist das bei Korrektorat, leichtem Lektorat, Zusammenfassungen oder Übersetzungen. Anthropic zufolge kann ein nur geringfügig bearbeiteter Text das Wasserzeichen lediglich in den wenigen von Claude ausgewählten Wörtern tragen. Das Signal ist dann möglicherweise zu schwach für eine zuverlässige Erkennung.

Warum Entwickler Erkennung nicht mit Autorschaft gleichsetzen

Meyers Kritik richtet sich laut Bericht nicht grundsätzlich gegen die Zuordnung von Inhalten. Er unterscheidet zwischen einer inhaltlichen Herkunftsangabe und einem unsichtbaren Signal, das als belastender Beweis gegen eine Person verwendet werden könnte. Seine Sorge: Ein Wahrscheinlichkeitswert kann möglicherweise nicht zwischen umfangreicher KI-Autorschaft und begrenzter Unterstützung – etwa beim Korrekturlesen oder Überarbeiten – unterscheiden.

Dahinter steckt ein grundsätzliches Problem der Herkunftsbestimmung. Ein Detektor kann feststellen, dass eine Passage statistisch mit einer Beteiligung von Claude vereinbar ist. Er verrät aber nicht, wie viel des endgültigen Textes von Claude stammt, wie stark ein Mensch ihn verändert hat oder wer die zugrunde liegenden Ideen entwickelt hat.

Nach umfangreichem Umschreiben, Übersetzen, Kürzen oder einer weitgehenden Neufassung wird die Grenze zwischen „KI-generiert“ und „von Menschen mit KI-Unterstützung verfasst“ zunehmend unscharf.

Die vorliegenden Belege zeigen nicht, dass ein Wasserzeichen die Eigentumsverhältnisse an Claude-Ausgaben oder die materiellen Rechte der Nutzer verändert. Anthropic stellt das System als Möglichkeit dar, eine mögliche Claude-Beteiligung einzuschätzen – nicht als Eigentumsanspruch.

Warum Umschreiben statistische Wasserzeichen schwächt

Ein statistisches Wasserzeichen beruht auf einem Muster, das sich über viele Wortentscheidungen verteilt. Bleibt ein Text weitgehend unverändert, kann dieses Muster beim Kopieren und Einfügen mitwandern und teilweise auch nach Bearbeitungen erhalten bleiben. Umfangreiches Paraphrasieren, Übersetzen oder Umschreiben verändert jedoch so viele Formulierungen, dass das Signal nicht mehr erkennbar sein kann.

Auch die von Nature zitierten Forscher bezweifeln, dass Text-Wasserzeichen motivierte Personen zuverlässig davon abhalten, KI-Ausgaben umzuschreiben – möglicherweise sogar mit einem anderen Sprachmodell. Das Signal könnte verschwinden, während die Bedeutung des Inhalts weitgehend erhalten bleibt.

Damit sind Wasserzeichen nicht nutzlos. Für alltägliche Prüfungen können sie einen maschinenlesbaren Hinweis liefern, sofern der Text lang genug ist und seiner ursprünglichen Form noch nahekommt. Als dauerhafter Beweis einer unveränderten Herkunft sind sie jedoch deutlich schwächer – vor allem dann, wenn ein Mensch den Text substanziell überarbeitet.

Was der EU AI Act verlangt – und was daraus nicht folgt

Die einschlägige EU-Vorgabe richtet sich in erster Linie an Anbieter. Sie müssen technische Lösungen integrieren, die eine maschinenlesbare Kennzeichnung und Erkennung von durch KI erzeugten oder manipulierten Ausgaben unterstützen, wobei die technische Machbarkeit zu berücksichtigen ist. Der Gesetzestext nennt Wasserzeichen und andere Verfahren als mögliche Ansätze; er garantiert nicht, dass eine einzelne Methode unter allen Umständen funktioniert.

Die hier verfügbaren Quellen belegen kein allgemeines unionsrechtliches Verbot, wonach unabhängige Dritte Werkzeuge zur Entfernung eines Wasserzeichens entwickeln oder einsetzen dürften. Sie erklären außerdem nicht, warum Anthropic die Funktion zunächst nicht geografisch auf Nutzer in der EU beschränken konnte. Stattdessen wendet das Unternehmen die Kennzeichnung nach eigener Darstellung weltweit an, überall dort, wo unterstützte Claude-Modelle verfügbar sind.

Das Ergebnis ist ein praktischer Kompromiss: Wasserzeichen können die Transparenz verbessern und nachgelagerte Prüfungen erleichtern, solange ein Text relativ unverändert bleibt. Sie garantieren jedoch keine lückenlose Herkunftskette nach gezieltem Umschreiben. Ebenso kann ein positives Erkennungsergebnis allein weder Autorschaft noch Absicht oder Verantwortung klären.

Das Fazit

Der Start der Claude-Kennzeichnung zeigt zugleich den Nutzen und die Zerbrechlichkeit von KI-Text-Wasserzeichen. Das Signal kann darauf hindeuten, dass Claude an einer Passage beteiligt war. Es ist jedoch keine versteckte Metadaten-Spur, kein persönlicher Identifikator und kein schlüssiger Beweis dafür, dass Claude den endgültigen Text verfasst hat.

Dass bereits innerhalb von vier Stunden Umgehungssoftware auftauchte, macht deutlich, warum die maschinenlesbare Kennzeichnung im EU AI Act eher als Transparenzmaßnahme denn als fälschungssichere Herkunftskette verstanden werden sollte.