Claudes unsichtbares Wasserzeichen: Was es erkennt – und was nicht

Anthropics neues Claude-Wasserzeichen ist am besten als Herkunftssignal zu verstehen – nicht als digitale Signatur der Urheberschaft. Claude-Modelle, die am oder nach dem 2. August 2026 veröffentlicht wurden, betten ein für Menschen unsichtbares statistisches Muster in erzeugte Texte ein. Unterstützte Dateien können zusätzlich digital signierte Herkunftsmetadaten enthalten. Anthropic hat die Änderung weltweit eingeführt, obwohl der Auslöser in den Transparenzvorgaben des EU-KI-Gesetzes liegt.

Kurz nach dem Start begann bereits das Gegenprogramm: Entwickler veröffentlichten Open-Source- und browserbasierte Werkzeuge, die KI-Markierungen entfernen sollen. Der entscheidende Vorbehalt wird dabei leicht übersehen: Anthropic hat bislang weder eine vollständige technische Spezifikation noch einen öffentlich zugänglichen Detektor veröffentlicht, mit dem sich solche Erfolgsmeldungen unabhängig überprüfen ließen.

Was Anthropic in Claude-Ausgaben eingebaut hat

Bei Texten wird das Signal direkt in den Generierungsprozess integriert. Es erscheint weder als sichtbares Label noch als zusätzlicher Satz oder simples verstecktes Zeichen. Stattdessen beeinflusst das Modell seine Wortauswahl geringfügig, sodass die entstehende Verteilung statistisch untersucht werden kann. Anthropic erklärt, das Verfahren solle Bedeutung, Qualität und Lesbarkeit einer Antwort nicht verändern.

Bei unterstützten Dateien – darunter Formate wie SVG, PNG und JPG – kommen digital signierte Herkunftsmetadaten zum Einsatz. Das ist ein anderer Mechanismus als beim Textwasserzeichen: Metadaten können strukturierte Angaben zur Entstehung einer Datei liefern, während das Textsignal in der Sprache selbst steckt.

Neue Claude-Modelle ab dem Stichtag unterstützen die Kennzeichnung direkt zum Start. Ältere Modelle werden laut Anthropic innerhalb des vorgesehenen Übergangszeitraums nachgerüstet. Ob eine Markierung vorhanden ist, kann daher vom verwendeten Modell und vom Ausgabeformat abhängen.

Was ein Treffer aussagt – und was nicht

Anthropic betont, dass das Wasserzeichen keine identifizierenden Informationen enthält und sich nicht zu einer bestimmten Person, Organisation oder Unterhaltung zurückverfolgen lässt. Ein positives Ergebnis ist deshalb weder ein Nutzerprofil noch ein Protokoll des Prompts, der den Text hervorgebracht hat.

Noch wichtiger: Der Nachweis eines Claude-Signals würde die Frage nach der Urheberschaft nicht abschließend beantworten. Er könnte darauf hindeuten, dass Claude an der Erstellung oder Bearbeitung beteiligt war. Er beweist aber nicht:

• wer die Idee oder Anweisungen geliefert hat;
• wer redaktionelle Entscheidungen getroffen hat;
• wem das Ergebnis gehört;
• ob ein Mensch den Text wesentlich überarbeitet hat; oder
• wer rechtlich für die Veröffentlichung verantwortlich ist.

Das ist relevant, weil KI-gestützte Inhalte oft mehrere Bearbeitungsstufen durchlaufen. Jemand kann Claude um einen Entwurf bitten, ihn grundlegend überarbeiten, ihn mit eigener Recherche verbinden oder das Modell nur zum Lektorat einsetzen. Das Wasserzeichen kann eine Herkunftsanalyse unterstützen, den fertigen Text aber nicht allein als ausschließlich KI- oder ausschließlich menschengeschrieben einordnen.

Warum die Kennzeichnung weltweit ausgerollt wurde

Artikel 50 des EU-KI-Gesetzes verpflichtet Anbieter generativer KI-Systeme dazu, KI-generierte oder manipulierte Inhalte in einem maschinenlesbaren Format zu kennzeichnen, damit sie als künstlich erzeugt oder verändert erkannt werden können. Die Vorgabe umfasst synthetische Texte ebenso wie Audio, Bilder und Videos.

Anthropic entschied sich für einen weltweiten Roll-out auf Modellebene statt für einen Schalter, der nur in der EU aktiv ist. Berichten zufolge hängt das auch damit zusammen, dass sich eine dauerhafte regionale Trennung über verschiedene Claude-Produkte und Bereitstellungskanäle nur schwer aufrechterhalten lässt. Praktisch bedeutet das: Auch Nutzer außerhalb der EU können markierte Ausgaben erhalten, obwohl der regulatorische Anlass aus Europa kommt.

Das Gesetz schreibt ein Ergebnis vor – eine wirksame, zuverlässige, robuste und interoperable Erkennung –, aber nicht ein bestimmtes Wasserzeichenverfahren. Anbieter müssen also nicht dieselbe statistische Methode, denselben Metadatenstandard oder dasselbe sichtbare Label verwenden.

Entferner tauchten fast sofort auf

Zu den bekanntesten frühen Projekten gehört watermarks-remover von Guillaume Meyer. Das MIT-lizenzierte Repository beschreibt ein herstellerübergreifendes Werkzeug, das Herkunftsmarkierungen aus Texten und Dateien entfernen soll, sofern die Nutzer über die betreffenden Inhalte verfügen. Dazu zählen unter anderem unsichtbare Unicode-Zeichen und Metadaten; außerdem bietet das Projekt eine Verarbeitung durch Umschreiben an.

Weitere Projekte folgten. Berichte nannten auch das Repository claude-watermark-cleaner sowie ein browserbasiertes Werkzeug, das versteckte KI-Markierungen aus Dokumenten und anderen Formaten entfernen wollte.

Ein Repository erreichte Berichten zufolge in nur drei Tagen 8.983 GitHub-Sterne. Das ist ein auffälliger Indikator für das öffentliche Interesse, aber kein Testwert für die tatsächliche Genauigkeit der Entfernung. Ein Werkzeug, das unsichtbare Unicode-Zeichen oder Dateimetadaten löscht, muss ein statistisches Signal in der Wortwahl nicht zwangsläufig beeinflussen.

Warum sich die Erfolgsmeldungen kaum prüfen lassen

Ein statistisches Textwasserzeichen ist kein dauerhaft an ein Dokument angehängtes Etikett. Es hängt davon ab, wie viel vom ursprünglichen Muster der Wortwahl nach einer Bearbeitung erhalten bleibt. Kopieren, Umformatieren und leichte redaktionelle Änderungen können genug davon bewahren, damit eine Erkennung noch möglich ist. Übersetzen, Paraphrasieren, umfangreiches Umschreiben oder das Vermischen mit größeren Mengen menschlich verfassten Textes kann das Signal dagegen abschwächen oder zerstören. Anthropic räumt selbst ein, dass eine umfassende Überarbeitung die Markierung entfernen kann.

Daraus entsteht ein Prüfproblem: Ohne Anthropics Detektor und technische Details können Außenstehende nicht zuverlässig feststellen, ob ein Reinigungswerkzeug tatsächlich die statistische Ebene überwunden, lediglich fremde Metadaten entfernt oder den Text so stark verändert hat, dass eine Erkennung nicht mehr eindeutig ist. Frühe Aussagen, ein bestimmter Entferner „funktioniere“ gegen Claude, sollten daher als unbestätigt und nicht als erwiesenes technisches Ergebnis gelten.

Die Grenze ist grundsätzlicher Natur. Wenn Menschen Sprache frei verändern dürfen, lässt sich ein auf Schlussfolgerungen beruhendes Muster durch die Veränderung der Sprache stören. Ein robusteres Wasserzeichen kann zwar die Zahl falsch negativer Ergebnisse nach gewöhnlicher Bearbeitung verringern. Aus einem veränderbaren Textsignal wird dadurch aber keine fälschungssichere lückenlose Herkunftskette.

Was Artikel 50 verbietet – und was nicht

Artikel 50 richtet die zentrale Pflicht zur maschinenlesbaren Kennzeichnung an Anbieter entsprechender KI-Systeme; in bestimmten Situationen gelten zusätzliche Pflichten für Betreiber beziehungsweise Nutzer. Im Mittelpunkt steht, dass synthetische Ausgaben gekennzeichnet und erkennbar sein müssen – nicht eine weltweit einheitliche Technologie.

Auch die verfügbaren EU-Leitlinien stellen kein pauschales, eigenständiges Verbot auf, wonach jeder Dritte eine Markierung aus Inhalten entfernen darf. Sie berücksichtigen normale Bearbeitung, die Eingabedaten oder deren Bedeutung nicht wesentlich verändert, und erläutern den Rahmen für maschinenlesbare Kennzeichnungen.

Das bedeutet nicht, dass das Entfernen einer Markierung in jedem Zusammenhang rechtlich folgenlos wäre. Verträge, Plattformregeln, Urheberrecht, Vorschriften gegen Betrug und Täuschung, arbeits- oder hochschulinterne Regeln sowie branchenspezifische Offenlegungspflichten können die Bewertung eines konkreten Falls verändern. Die vorsichtigere Schlussfolgerung lautet: Die Kennzeichnungspflicht für Anbieter nach Artikel 50 ist weder eine Garantie für die technische Unvergänglichkeit eines Textwasserzeichens noch eine universelle Regel, die jede spätere Nutzung abschließend klärt.

Das praktische Fazit

Claudes Wasserzeichen kann die Beteiligung eines KI-Systems in bestimmten Fällen besser erkennbar machen – besonders dann, wenn markierter Text kopiert oder nur leicht bearbeitet wurde und Herkunftsmetadaten einer Datei erhalten geblieben sind. Es liefert jedoch keinen eindeutigen Beweis für Urheberschaft, Identität, Eigentum oder Verantwortung.

Das Wettrennen um Entfernungstools unterstreicht diesen Unterschied. Ein Repository kann Tausende Sterne sammeln, bevor überhaupt jemand seine Behauptungen unabhängig testen kann – insbesondere, solange der zugrunde liegende Detektor privat bleibt. Für Verlage, Bildungseinrichtungen, Unternehmen und Plattformen lautet die sinnvollere Frage deshalb nicht nur, ob ein Wasserzeichen vorhanden ist. Entscheidend ist, welche Belege vorliegen, wie stark der Inhalt verändert wurde, welche Herkunftsdaten überlebt haben und welche Offenlegungspflichten für die konkrete Nutzung gelten.