Claudes Text-Wasserzeichen: Wer kann es erkennen, und lässt es sich entfernen?

Claude versieht seine Texte jetzt mit einem Wasserzeichen. Anthropic verkündete das am 11. August ohne großes Aufsehen über eine aktualisierte Hilfeseite. Die Ankündigung, über die die Branche daraufhin zwei Tage lang hitzig debattierte, erschien also als simple Kundensupport-Dokumentation, in einem Artikel des Claude Help Center mit dem Titel „How Claude marks AI-generated content“. Der entscheidende Satz darin ist kurz:

Die Sache ist größer, als der unscheinbare Veröffentlichungsort vermuten lässt. Jedes Modell, das Anthropic seit dem 2. August auf den Markt bringt, hinterlässt in seinen Texten eine verborgene Signatur. Dies gilt übergreifend für die API, die Claude-Apps, Claude Code, Cowork und Tag, und es betrifft Claude ebenso auf AWS, Google Cloud und Microsoft Foundry. Die Funktion ist „überall dort aktiv, wo Claude weltweit angeboten wird“, also nicht nur in Europa. Sie lässt sich nicht abschalten; weder ein bestimmtes Abo-Modell noch ein API-Parameter können sie deaktivieren. Modelle, die vor dem 2. August erschienen sind, werden nachgerüstet; bis zum 2. Dezember 2026 sollen alle erfasst sein. Dateien werden separat behandelt: Unterstützte Dateitypen wie PNG, JPEG und SVG bekommen signierte C2PA-Herkunftsmetadaten. Technisch ist das ein anderes und deutlich fehleranfälligeres Verfahren.

John Grubers Schlagzeile brachte das Problem treffend auf den Punkt: Anthropic erklärte zwar, dass Claude KI-generierte Inhalte markiert, ließ aber offen, wie genau das geschieht. Die Seite beschreibt nur, was eine solche Markierung bedeutet, schweigt sich aber über ihre technische Natur aus und vertröstet auf „Details zu den Erkennungsmechanismen in einer kommenden technischen Dokumentation“. Als ich diesen Beitrag zwei Tage später schrieb, fehlte von dieser technischen Dokumentation noch jede Spur, ebenso wie von einem entsprechenden Detektor. The Register verbuchte das Ganze deutlich unhöflicher als reines Zugeständnis an Brüssel.

Update, 30. September 2026: Die Erklärung ist inzwischen da. Am 14. August veröffentlichte Anthropic „How Claude's text watermark works“, wo das Verfahren benannt wird, und ergänzte den Beitrag am 1. September um Angaben zu einer Erkennungs-API. Die befindet sich in einer geschlossenen Vorschau und steht nur geprüften Organisationen offen. Außerdem gibt es jetzt den kostenlosen Claude Content Checker, der allerdings nur Metadaten von Dateien ausliest und keinen Text prüft. All das habe ich in die folgenden Abschnitte eingearbeitet.

Daraus ergeben sich vier Fragen: Worum genau handelt es sich beim Claude-Wasserzeichen, kann man Text darauf prüfen, wird Anthropic von irgendjemandem dazu gezwungen, und lässt es sich wieder entfernen?

Was Claudes Wasserzeichen genau ist

Als dieser Beitrag erschien, schwieg Anthropic noch, also habe ich von der Methodenfamilie her geschlossen, zu der das Verfahren gehören musste. Drei Tage nach der Ankündigung bestätigte Anthropic es: „Claude's text watermark is a version of the SynthID-Text approach published by Google DeepMind in a Nature paper in 2024“, also eine Variante des SynthID-Text-Verfahrens von Google DeepMind. Anthropics eigene Kurzfassung des Mechanismus: Die Entscheidungen fallen weiterhin zufällig, nur die Quelle des Zufalls ist eine andere. Statt einer beliebigen Zufallszahl bestimmen der Schlüssel und die paar vorangehenden Wörter, welches Wort Claude wählt. Das allgemeine Bild unten stimmt nach wie vor.

Ein Sprachmodell schreibt keine Wörter im menschlichen Sinne. Es erstellt vielmehr eine nach Wahrscheinlichkeiten geordnete Liste möglicher nächster Textbausteine, und ein nachgelagerter Prozess wählt daraus einen aus. In diesem zweiten Schritt sitzt das Wasserzeichen. Ein geheimer Schlüssel definiert für jede Position einen bestimmten Teil des Vokabulars als „bevorzugt“, woraufhin der Sampler seine Auswahl sanft in Richtung dieser Wörter lenkt. Jede einzelne dieser Entscheidungen wirkt für sich genommen unauffällig. Über ein paar hundert Entscheidungen hinweg wird das Muster jedoch statistisch signifikant. Ein Detektor mit demselben Schlüssel erkennt es dann eindeutig.

Aus diesem Diagramm ergeben sich unmittelbar zwei Konsequenzen, die später noch wichtig werden. Erstens weiß das Modell nichts von dem Wasserzeichen, da dieses erst in einem nachgelagerten Schritt entsteht. Zweitens ist in den eigentlichen Zeichen nichts versteckt. Es gibt keine Leerzeichen ohne Breite (Zero-Width Spaces), keine merkwürdigen Unicode-Zeichen und keine unsichtbaren Datenpakete. Die Markierung ist die Wortwahl selbst. Anthropic sagt das inzwischen wörtlich: „Nothing is added to the text and there are no hidden characters.“

Anthropic äußert sich erfrischend direkt darüber, was ein positiver Treffer eigentlich bedeutet. Ein erkanntes Wasserzeichen besagt nur, dass der Inhalt „möglicherweise von Claude verarbeitet wurde“, was die Hilfeseite selbst als „nicht völlig schlüssig“ bezeichnet. Verarbeitet, nicht geschrieben. Die Hilfeseite nennt Korrekturlesen, Übersetzen und Zusammenfassen als typische Einsatzzwecke, eine Markierung kann also auf einem Text sitzen, dessen Ideen vollständig von Ihnen stammen. Der technische Beitrag ergänzt eine wichtige Feinheit: Das Wasserzeichen steckt nur in Wörtern, die Claude selbst gewählt hat. Ein leichter Grammatikdurchgang über Ihren eigenen Entwurf lässt ihm daher kaum etwas, woran es haften kann, während eine Übersetzung durch Claude durchgehend markiert ist, weil dort jedes Wort von Claude stammt. Eine starke Überarbeitung liegt irgendwo dazwischen, und Anthropic räumt ein, dass die Erkennung nicht zwischen „Claude hat das geschrieben“ und „Claude hat das stark überarbeitet“ unterscheiden kann. Das Fehlen einer Markierung beweist indes noch weniger.

Diese Asymmetrie werden Schulen und Personalabteilungen falsch interpretieren, und das sorgt bereits jetzt für handfeste Probleme. Der Radiomoderator Erick Erickson, der von Forbes zitiert wurde, war für das Korrekturlesen von Grammarly zu Claude gewechselt: „Jetzt wird das Zeug, das ich selbst geschrieben habe, mit einem Wasserzeichen versehen, das besagt, Claude hätte die Arbeit gemacht. Das ist doch lächerlich.“

Wie man Text auf Claudes Wasserzeichen prüft

Die kurze Antwort, falls Sie unterrichten, redigieren oder einfach neugierig sind: vorerst gar nicht. Stand 30. September 2026 sieht es so aus:

• Der offizielle Detektor ist nicht öffentlich. Anthropics API zur Wasserzeichen-Erkennung befindet sich in einer geschlossenen Vorschau („private preview“). Zugang bekommen laut Anthropic nur berechtigte Organisationen im Sinne des EU-Rechts, etwa Aufsichtsbehörden, Strafverfolgung, Medien, Faktenchecker, unabhängige Forschende, Bildungseinrichtungen und zivilgesellschaftliche Gruppen in der EU, dazu Unternehmen, die das Wasserzeichen für ihre eigene Compliance prüfen müssen. Organisationen können ihr Interesse über das Formular auf der Hilfeseite anmelden. Anthropic will den Zugang „im Laufe der Zeit“ ausweiten.
• Der Claude Content Checker prüft keinen Text. Der kostenlose Checker unter claude.com/check-content liest die C2PA-Herkunftsnachweise (Content Credentials) in Dateien wie PNG, JPEG oder SVG. Auf der Seite selbst steht unmissverständlich: „The tool does not check text.“
• Die Suche nach versteckten Zeichen findet nichts. Ein Unicode-Inspektor zeigt das Wasserzeichen nicht an, weil es keine versteckten Zeichen gibt. Wer in einem Text Zero-Width-Spaces findet, hat sie aus einer anderen Quelle.
• KI-Detektoren sehen es nicht. GPTZero, Turnitin, Pangram und Co. raten anhand des Stils. Anthropic formuliert es so: Die Anbieter solcher Software haben den Schlüssel nicht. Ein Urteil dieser Tools sagt über das Wasserzeichen also nichts aus, weder in die eine noch in die andere Richtung.
• Kurze Texte lassen sich selbst mit Schlüssel kaum prüfen. Laut Anthropic funktioniert die Erkennung bei kleinen Textmengen schlecht, und das Wasserzeichen ist bei Faktenpassagen und in Code dünner gesät, weil es dort wenige freie Wortentscheidungen gibt.

Jede Website, die anbietet, Ihren Text auf Claudes Wasserzeichen zu prüfen, betreibt also bestenfalls einen gewöhnlichen KI-Stil-Detektor unter neuem Namen. Nur ein Detektor mit Anthropics Schlüssel kann die Markierung prüfen, und selbst dann bedeutet ein Treffer „von Claude verarbeitet“, nicht „von Claude geschrieben“.

Macht das Wasserzeichen Claude schlechter?

Anthropic behauptet, die Markierung verändere „weder die Bedeutung noch die Qualität oder Lesbarkeit“ einer Antwort. Als dieser Satz erschien, stand weder ein Benchmark noch ein Paper dahinter. Der technische Beitrag liefert inzwischen dreierlei nach: Interne Tests hätten keinen Einfluss auf Inhalt, Kreativität oder Lesbarkeit von Claudes Texten gezeigt („In internal testing, we've seen no impact“); DeepMind habe SynthID-Text live auf einem Teil des Gemini-Traffics getestet und bei den Daumen-hoch- und Daumen-runter-Bewertungen „no statistically significant differences“ gefunden; und in einer kontrollierten Studie hätten menschliche Bewerter im direkten Vergleich keinen Qualitätsunterschied gesehen. Der Gemini-Test betraf allerdings DeepMinds Verfahren auf DeepMinds Modell, und für Claude selbst veröffentlicht der Beitrag keine Zahlen. Man bekommt also weiterhin eine Zusicherung statt einer Tabelle, die man überprüfen könnte.

Die bisher veröffentlichte Forschung zu vergleichbaren Verfahren stützt die pauschale Behauptung, es gäbe „keinerlei Qualitätseinbußen“, jedenfalls nicht. Eine EMNLP-Evaluation aus dem Jahr 2024 zu Green-List-Wasserzeichen stellte bei Klassifizierungsaufgaben Einbußen von 10 bis 20 Prozent beim effektiven Nutzen fest. Bei Multiple-Choice-Fragen waren es rund 7 Prozent und bei der Generierung längerer Texte 5 bis 15 Prozent. Und das sind wohlgemerkt die Best-Case-Zahlen, nachdem die Autoren die Einstellungen so optimiert hatten, dass sie bei einer festgelegten Erkennungsstärke den geringstmöglichen Schaden anrichteten. Bei Programmcode sieht es noch düsterer aus. Das SWEET-Paper ergab, dass ein Standard-Wasserzeichen bei HumanEval pass@1 stolze 24,3 Prozent der Leistung kostet, bei MBPP 36 Prozent und bei DS-1000 sogar 67,3 Prozent, bei gleichzeitig zuverlässiger Erkennung. Die Erklärung dafür ist einleuchtend: Beim Programmieren gibt es nur sehr wenige wirklich freie Wahlmöglichkeiten. Zwingt man das Modell also dazu, von seiner bevorzugten Token-Wahl abzuweichen, kann das den Code sofort unbrauchbar machen.

Googles SynthID-Text ist nicht mehr nur ein Präzedenzfall, denn laut Anthropic ist Claudes Wasserzeichen eine Variante davon. Das dazugehörige Nature-Paper ist vor allem wegen des Kleingedruckten lesenswert. Das Verfahren wird dort als „verzerrungsfrei“ (non-distortionary) bezeichnet, was zunächst wie eine Garantie für null Qualitätsverlust klingt. Tatsächlich bedeutet es aber nur, dass die Ausgabeverteilung im Durchschnitt über den Random Seed hinweg erhalten bleibt. Nicht jedoch für jede einzelne Antwort. Die Autoren stufen die Verzerrungsfreiheit von schwach bis stark ein, geben an, dass SynthID-Text auf eine mittlere Stufe eingestellt ist, und räumen ein, dass dies „mit einer gewissen Verringerung der Diversität zwischen den Antworten“ einhergeht. Sie benennen den Kompromiss auch ganz offen: Eine schwächere Verzerrungsfreiheit schadet der Qualität, eine stärkere Verzerrungsfreiheit erschwert die Erkennbarkeit. Es gibt hier also einen Regler, und irgendjemand in jedem dieser Unternehmen hat entschieden, auf welchen Wert er eingestellt wird.

Ist Claude also seit dem 2. August schlechter geworden? An dieser Stelle habe ich eine Leerstelle zu melden, keine Erkenntnisse. Es gibt keinerlei glaubwürdige unabhängige Beweise dafür. Ich habe nach Benchmarks, Vergleichen und jeglichen Daten gesucht, die an diesen Stichtag geknüpft sind. Stattdessen findet man Leute, die in den Tagen nach der Ankündigung rein theoretisch argumentieren. Das ist nicht dasselbe. Ein Kommentator im Hacker-News-Thread bezeichnete das Versprechen, die Qualität bleibe unbeeinträchtigt, als „lächerlich“, da „die Token auf eine ganz bestimmte Art und Weise angeordnet werden“. Er hat mit seiner Einschätzung des Mechanismus zwar recht, gemessen hat er jedoch nichts.

Ehrlich zusammengefasst: Anthropic hat eine Behauptung aufgestellt, die außerhalb des Unternehmens niemand überprüfen kann. Das Verfahren kennen wir inzwischen, den gewählten Arbeitspunkt nicht, und ohne beides lässt sich die Aussage „keine Qualitätsauswirkungen“ nicht bewerten. Die Fachliteratur belegt, dass Verfahren dieser Familie sehr wohl echte Genauigkeit kosten, am drastischsten bei Programmcode und kurzen Texten. Bislang hat jedoch niemand Claude bei einer tatsächlichen Verschlechterung ertappt. Alle drei Aussagen sind gleichzeitig wahr.

Zwingt der EU AI Act Anthropic zum Wasserzeichen?

Teilweise, und genau die Diskrepanz zwischen „teilweise“ und „vollständig“ ist hier das eigentlich Interessante.

Artikel 50 Absatz 2 des EU AI Act verlangt von Anbietern generativer KI-Systeme sicherzustellen, dass deren Ausgaben „in einem maschinenlesbaren Format markiert und als künstlich erzeugt oder manipuliert erkennbar sind“. Text wird dabei neben Audio, Bild und Video ausdrücklich genannt. Diese Regelung gilt seit dem 2. August 2026, exakt dem Stichtag, den Anthropic für seine Modelle gewählt hat. Das Unternehmen verweist zudem auf den begleitenden Verhaltenskodex (Code of Practice) als Grund für sein Handeln. Compliance ist hier also keine Vermutung, sondern die Begründung, die Anthropic selbst nennt.

Doch lesen Sie einmal den nächsten Satz des Artikels. Die Lösungen müssen wirksam und robust sein, „soweit dies technisch machbar ist“, wobei die Implementierungskosten und der Stand der Technik abgewogen werden müssen. Das ist eine sehr weiche Formulierung, und der Verhaltenskodex stützt sich massiv darauf. Der am 10. Juni 2026 finalisierte Kodex, der von rund 190 Organisationen (darunter Anthropic, Google, OpenAI, Microsoft, Meta und Mistral) unterzeichnet wurde, räumt in seinen eigenen Erwägungsgründen ein, dass „keine einzelne Markierungstechnik ausreicht, um die vier Anforderungen in Artikel 50 Absatz 2 zu erfüllen“. Für die meisten Medienformate fordert er daher zwei Ebenen: signierte Metadaten plus ein Wasserzeichen. Bei reinem Fließtext verzichtet er auf die erste Ebene, „da Freitext keine Metadaten transportieren kann“, und akzeptiert das Wasserzeichen als alleinige Maßnahme. Zudem hakt er alles unter 200 Token als zu kurz ab, um es zuverlässig markieren zu können, und bringt ins Spiel, die Erkennung auf „verifizierte Fachanwender“ zu beschränken, eben weil Textmarkierungen so fehleranfällig sind.

Das Gesetz hat durchaus Biss: Ein Verstoß gegen Artikel 50 fällt in die Kategorie, die Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes nach sich zieht. Seit dem Digital-Omnibus-Gesetz vom 27. Juli 2026 liegt die Durchsetzung nicht mehr bei den nationalen Aufsichtsbehörden, sondern beim KI-Büro in Brüssel: immer dann, wenn ein Unternehmen sowohl das Modell als auch den Assistenten darauf entwickelt. Auf Anthropic trifft das zu. Dasselbe Omnibus-Gesetz gewährt Anbietern, deren Systeme vor dem 2. August auf den Markt kamen, eine Übergangsfrist bis zum 2. Dezember 2026. Deshalb rüstet Anthropic das Wasserzeichen bei Modellen, die vor dem 2. August erschienen sind, erst jetzt nach; bis zu diesem Datum sollen alle erfasst sein.

Nichts davon zwingt Anthropic jedoch zu genau dem Schritt, den das Unternehmen gegangen ist. Das Gesetz ist technologieneutral, durch den Vorbehalt der technischen Machbarkeit eingeschränkt und endet an den Außengrenzen der EU. Text mit Wasserzeichen zu versehen, ist die schwierigste aller Modalitäten, und Anthropic hat sich freiwillig dazu entschieden, dies weltweit, auf Modellebene und ohne Opt-out-Möglichkeit durchzuziehen. Die Unterzeichnung des Kodex bringt im Übrigen keine rechtliche Vermutung der Konformität mit sich; das sagt der Kodex sogar selbst. Meine erste Vermutung war, dass die Aufrechterhaltung zweier getrennter Inferenzpfade für zwei Kontinente aus technischer Sicht ein Albtraum wäre und dass es sich aus PR-Sicht gut macht, der Erste zu sein. Für die erste Hälfte hat Anthropic inzwischen eine eigene Version geliefert: Man wende das Wasserzeichen weltweit an, weil es noch keinen belastbaren Weg gebe, es nach Regionen einzugrenzen („we don't yet have a durable way to scope it by region“), und werde andere Ansätze weiter prüfen. Weltweit also, aber nicht unbedingt für immer.

Zum Vergleich: China schreibt dies bereits seit dem 1. September 2025 vor, nennt Text an erster Stelle seiner Liste der erfassten Inhalte und verlangt neben einer eingebetteten Markierung auch eine sichtbare Kennzeichnung. Der kalifornische AI Transparency Act, das amerikanische Vorzeigeprojekt in diesem Bereich, gilt hingegen nur für „Bild-, Video- oder Audioinhalte“ und klammert Text komplett aus.

Lässt sich Claudes Wasserzeichen entfernen?

Genau an diesem Punkt hat das Internet völlig den Verstand verloren. Lassen Sie uns also den tatsächlichen Mechanismus vom reinen Marketinggeschwätz trennen. Anthropics eigene Antwort ist ein guter Ausgangspunkt: Leichtes Überarbeiten entfernt das Wasserzeichen wahrscheinlich nicht vollständig, eine komplette Neufassung, bei der jedes Wort ersetzt wird, dagegen schon („a complete rewrite where every word is replaced will“).

Wasserzeichen-Entferner, die nicht funktionieren

Innerhalb von 48 Stunden nach der Ankündigung schoss eine kleine Industrie von „Claude-Wasserzeichen-Entfernern“ aus dem Boden. Die meisten sind nutzlos, und zwar auf aufschlussreiche Weise.

Nehmen wir claudewatermark.com, eine Seite, die damit wirbt, „Wasserzeichen für KI-Systeme wie Claude zu entfernen“. Tatsächlich filtert sie nur unsichtbare Leerzeichen und verborgene Unicode-Zeichen heraus und bietet einen Button, um Geviertstriche zu löschen. Beides bringt nichts. Versteckte Zeichen gibt es nicht, und die Sache mit den Geviertstrichen ist ein Mythos darüber, wie man KI-Texte mit bloßem Auge erkennt. Mit dem Wasserzeichen hat sie nichts zu tun. In den eigenen FAQ der Website wird zudem stillschweigend eingeräumt, dass die genaue Funktionsweise „teilweise unter Verschluss bleibt“. Eine ziemlich merkwürdige Aussage für ein Tool, das eigentlich genau dieses Wasserzeichen knacken will.

StealthGPT ging sogar noch einen Schritt weiter und verkündete großspurig, dass man „nun auch Claude-Wasserzeichen entfernt“. Das Signal, so das Versprechen, „überlebt die Umschreibung nicht“. Als Beweis dienen Scores von Turnitin und GPTZero. Diese Tools raten nur anhand stilistischer Merkmale. Sie besitzen keinen Schlüssel und haben keinerlei Zugriff auf das System von Anthropic; das Wasserzeichen ist für sie also unsichtbar. Wenn ein Text diese Prüfungen besteht, sagt das nichts darüber aus, ob ein statistisches Wasserzeichen überlebt hat. Die Behauptung ist somit schlimmer als nur unbewiesen: Da Anthropics Detektor nur geprüften Organisationen offensteht, kann außerhalb dieses Kreises niemand das Gegenteil oder eben die Wirksamkeit belegen.

Und dann wäre da noch jener Geheimtipp, der seit zwei Tagen auf LinkedIn die Runde macht: Man solle seinen Claude-Text einfach in ChatGPT kopieren, die KI bitten, das Wasserzeichen zu entfernen, und schon sei man auf der sicheren Seite. Dieser Ratschlag wird mit genau jener unerschütterlichen Selbstsicherheit vorgetragen, für die diese Plattform berüchtigt ist, meist von Leuten, die sich in ihren Profilen als KI-Berater ausgeben. Warum das scheitert, ist eine Erklärung wert, denn der Grund liegt nicht auf der Hand.

Erinnern wir uns an das erste Diagramm. Das Wasserzeichen wird nach dem eigentlichen Modell angewendet, nämlich durch den Sampler. Das Modell, das später den eingefügten Text liest, sieht nur ganz gewöhnliche Wörter. Es besitzt keinen Schlüssel und kann einen markierten Textabschnitt nicht von einem unmarkierten unterscheiden. Bittet man einen Chatbot nun, ein Wasserzeichen zu entfernen, das er gar nicht wahrnehmen kann, tut er genau das, was Chatbots eben tun: Er stimmt enthusiastisch zu und liefert den Text zurück, vielleicht mit ein paar ausgetauschten Wörtern und der freudigen Bestätigung, das Wasserzeichen sei nun verschwunden. Man erhält also eine selbstbewusste Zusicherung über etwas, worauf das Modell überhaupt keinen Zugriff hat. Aus demselben Grund ist auch das bloße Abtippen nutzlos: gleiche Wörter, gleiche Reihenfolge, gleiche Beweislage.

Hier verbirgt sich jedoch ein wirklich subtiles Detail. Wenn man das Modell nicht bittet, ein Wasserzeichen zu entfernen, sondern es anweist, den gesamten Text neu zu schreiben, dann funktioniert das tatsächlich, und zwar hervorragend. Allerdings nicht, weil das Modell die eigentliche Bitte verstanden hätte, sondern weil bei einer kompletten Umschreibung jedes einzelne Wort durch einen anderen Sampler neu generiert wird. Die Anweisung selbst ist unsinnig; der Nebeneffekt hingegen ist der stärkste Angriff, den es gibt. Wer also dem schlechten Ratschlag folgt, hat manchmal trotzdem Erfolg, aus Gründen, die nichts mit der ursprünglichen Anfrage zu tun haben. Genau so überleben Mythen den Kontakt mit der Realität.

Was es wirklich entfernt

Paraphrasieren ist der eigentliche Angriff, und die Zahlen sprechen eine deutliche Sprache. Sadasivan et al. berichten, dass das rekursive Umschreiben von mit Wasserzeichen versehenen Passagen (mit einer Länge von etwa 300 Token) die Erkennungsrate von 99,3 Prozent auf 9,7 Prozent abstürzen ließ, gemessen als Richtig-Positiv-Rate bei einer Falsch-Positiv-Rate von 1 Prozent. Auch Übersetzungen erfüllen ihren Zweck: Ein Hin- und Herübersetzen ins Chinesische drückte die Erkennung bei zwei Standardverfahren auf einen AUC-Wert von 0,54 und 0,61. Das gleicht im Grunde einem Münzwurf, während die Ergebnisse bei Zusammenfassungsaufgaben kaum litten. (Gemeint ist eine Übersetzung mit etwas anderem als Claude: Eine Übersetzung, die Claude selbst anfertigt, ist nach Anthropics eigener Aussage durchgehend markiert.) Selbst Googles eigenes Verfahren ist davor nicht gefeit; eine Untersuchung der TrustCom 2025 zeigte, dass Rückübersetzungen die Richtig-Positiv-Rate von SynthID-Text von 1,0 auf etwa 0,68 drückten.

Hier bedarf es jedoch einer Korrektur, denn das Narrativ „Wasserzeichen sind ohnehin schon tot“ überinterpretiert seine eigenen Quellen. Die Studien, die am häufigsten als Totengräber der Wasserzeichen zitiert werden, formulieren bei genauerem Lesen deutlich vorsichtiger. Krishna et al., deren DIPPER-Paraphrasierer DetectGPT von 70,3 Prozent auf 4,6 Prozent kollabieren ließ, konnten die Wasserzeichenerkennung mit demselben Angriff nur von 100 Prozent auf 57,2 Prozent senken. Ihr nüchternes Fazit: „Wasserzeichen sind der widerstandsfähigste Detektor gegenüber Paraphrasierungen.“ Kirchenbauer et al. bezahlten vierzehn Doktoranden für den Versuch, Wasserzeichen händisch zu entfernen, und stellten fest, dass das Signal nach etwa 800 Token immer noch nachweisbar war. Das berühmte Ergebnis, wonach „Wasserzeichen unmöglich sind“, beweist nur die Unmöglichkeit starker Wasserzeichen, wenn ein Angreifer über zwei idealisierte Orakel verfügt. In der Studie heißt es wörtlich: „Wir untersuchen in dieser Arbeit keine schwachen Wasserzeichenverfahren.“

Die für alle Beteiligten wirklich unbequeme Erkenntnis ist eine ganz andere. Jovanović et al. zeigten, dass ein Angreifer für rund 42 US-Dollar an Rechenleistung genug über ein Verfahren lernen kann, um Markierungen nicht nur zu entfernen, sondern sie auch zu fälschen, und das mit einer Erfolgsquote von über 80 Prozent. Diese Fälschungen sind die weitaus beängstigendere Entwicklung. Das heißt: Ein Wasserzeichen-Treffer lässt sich in einen von Menschen geschriebenen Text einschleusen. Das sollte jedem Sorgen bereiten, der vorhatte, eine solche Erkennung als unwiderlegbaren Beweis zu behandeln.

Die einzige Methode, die immer funktioniert, ist die schlichte Verweigerung. Wer Open-Weights-Modelle auf eigener Hardware ausführt, kontrolliert den Sampler selbst; zu entfernen gibt es dann nichts. Jeder andere Ansatz in der linken Spalte dieses Diagramms hat seinen Preis: Man erhält die Prosa einer anderen Maschine anstelle der von Claude, oder man investiert Stunden in echtes, händisches Umschreiben.

Das Startup, das dieses Problem löst

Wer daraus ein Geschäftsmodell machen möchte, findet die Blaupause bereits vor; Teile davon existieren längst in der Fachliteratur. Aktuelle Studien berichten von Umschreibe-Angriffen, die sieben verschiedene Wasserzeichenverfahren für unter einen Dollar pro Million Token aushebeln, sowie von Reinforcement-Learning-Ansätzen, die eine Entfernungsrate von 98,5 Prozent versprechen.

Ein ernstzunehmendes Produkt würde ein Open-Weights-Modell lokal ausführen, damit kein zweites Wasserzeichen eingeschleust wird. Es würde Satz für Satz umschreiben statt den gesamten Text auf einmal, da sich das Signal über verschiedene Positionen hinweg aufbaut und man nur genug davon zerstören muss. Jede Umschreibung liefe durch eine Qualitätsprüfung: Das Modell bewertet selbst, ob Bedeutung und Ton erhalten sind, und unternimmt bei Fehlversuchen einen neuen Anlauf. Die eigentliche technische Finesse liegt in der Schleife: Wer Zugang zu einem Detektor hat, kann den eigenen Output dagegen testen und so lange umschreiben lassen, bis das Wasserzeichen unter den Schwellenwert fällt. Ein öffentlicher Detektor ist gleichzeitig ein Orakel, um ihn zu überlisten. In dieser Zwickmühle steckt Anthropic, und das ist vermutlich auch der Grund, warum der Code of Practice darüber nachdenkt, die Erkennung auf „verifizierte Fachanwender“ zu beschränken. Genau das hat Anthropic vorerst getan: Die Erkennungs-API steht in einer geschlossenen Vorschau Behörden, Forschenden, Medien, Bildungseinrichtungen und ähnlichen Antragstellern offen, nicht jedem mit einer Kreditkarte.

Die Gegenmaßnahme existiert ebenfalls bereits, und sie besteht nicht in einem besseren Wasserzeichen. Krishna et al. haben gezeigt, dass eine Datenbank aller generierten Texte, mit der man Abgleiche durchführt, 80 bis 97 Prozent der paraphrasierten Inhalte entlarvt. Ein solcher Abgleich (Retrieval) schlägt das Umschreiben, weil Paraphrasieren zwar die Wörter ändert, nicht aber die Substanz. Das setzt allerdings voraus, dass die Anbieter protokollieren, was sie generieren. Damit tauscht man ein Datenschutzproblem gegen ein anderes.

Was die rechtliche Seite betrifft, ist die Antwort in Europa kurioser, als man vermuten würde. Ich habe im AI Act nach einem Umgehungsverbot gesucht. Es gibt keines. Wörter wie „manipulieren“, „entfernen“ oder „fälschen“ tauchen in der Verordnung nicht auf. Die vorgesehenen Strafen richten sich an „Akteure“ (Operators), eine geschlossene Liste, die keinen Dritten umfasst, der das Wasserzeichen eines anderen löscht. Auch die alten Urheberrechtsregeln zum Umgehungsschutz greifen hier nicht, da ein Herkunftsnachweis keinen Zugang beschränkt und rein KI-generierter Text ohnehin kaum urheberrechtlichen Schutz genießen dürfte. Das, was einem Verbot noch am nächsten kommt, findet sich im freiwilligen Verhaltenskodex: Dort versprechen die Unterzeichner, keine Werkzeuge zur Umgehung von Wasserzeichen „auf den Markt zu bringen oder bereitzustellen“. Das bindet Google und OpenAI. Sonst niemanden.

Das Humaniser-Startup handelt in der EU also nicht illegal, wenn es Wasserzeichen entfernt. Es ist aber ziemlich sicher selbst ein KI-Anbieter. Die Leitlinien der Kommission zu Artikel 50 nennen „das Paraphrasieren oder Umschreiben von Texten, das Stil, Struktur und Bedeutung verändert“ ausdrücklich als eine Tätigkeit, die eine eigene Kennzeichnungspflicht auslöst. Das Startup wäre folglich gesetzlich verpflichtet, seinen eigenen Output mit einem Wasserzeichen zu versehen (unter Androhung einer Strafe von 15 Millionen Euro), während es ihm freistünde, das Wasserzeichen von Anthropic zu zerstören. Es wäre also reguliert, aber nicht für das, wofür es eigentlich gegründet wurde. In China hingegen ist exakt dieses Geschäftsmodell illegal: Die dortigen Kennzeichnungsvorschriften verbieten sowohl das Entfernen von Markierungen als auch die Bereitstellung von Werkzeugen oder Diensten, die anderen genau dies ermöglichen.

Was jetzt zu tun ist

Wer unterrichtet oder Personal einstellt, sollte diesen Vorbehalt jetzt in seine Richtlinien aufnehmen, solange das alles noch hypothetisch ist. Ein Wasserzeichen bedeutet nur, dass der Text möglicherweise von Claude verarbeitet wurde, was genauso gut der Fall sein kann, wenn ein Student nur eine Rechtschreibprüfung durchführt. Behandeln Sie es als ein Puzzleteil unter mehreren, nie als alleinigen Grund für eine Entscheidung. Ein Wasserzeichen in einen unschuldigen Text hineinzufälschen, kostet in etwa so viel wie ein Abendessen vom Lieferservice.

Wer auf Claude aufbaut, sollte sich beim Herkunftsnachweis von Code nicht darauf verlassen. Output mit niedriger Entropie trägt das Signal ohnehin kaum in sich, und der eigene Code-Formatter gibt dem Rest, der vielleicht noch übrig ist, endgültig den Todesstoß. Anthropic sieht das genauso: Wo Code bei einem anderen Begriff kaputtginge, wird das Wasserzeichen nicht angewendet, weshalb Code insgesamt weniger davon trägt als andere Textarten.

Und wer insgeheim darauf hofft, dass ein Tool die eigenen Entwürfe sauberwäscht: Sparen Sie sich das Abo-Geld. Die ehrlichen Anbieter in diesem Markt sagen es sogar selbst. Einer von ihnen, der eine Unicode-Bereinigung verkauft, bringt es besser auf den Punkt, als ich es könnte: „Ein statistisches Signal in der Wortwahl ist kein Zeichen, das man einfach herausfiltern kann. Tools, die behaupten, Claudes Wasserzeichen zu entfernen, verkaufen etwas, das gar nicht existiert.“

Zumindest noch nicht. Irgendjemand wird es früher oder später vernünftig bauen, denn die Forschung dazu ist öffentlich und der Angriff kostet gerade einmal einen Dollar. Und an dem Tag, an dem Anthropic seinen Detektor für alle öffnet, wird er gleichzeitig als Anzeigetafel dienen, auf der sich ablesen lässt, ob man ihn geschlagen hat.

FAQ

Versieht Claude seine Texte mit einem Wasserzeichen?

Ja. Anthropics Hilfeseite formuliert es so: „When a supported Claude model generates text, it weaves an imperceptible watermark directly into the text itself.“ Jedes Anthropic-Modell, das ab dem 2. August 2026 erschienen ist, tut das, ältere Modelle werden nachgerüstet und sollen bis zum 2. Dezember 2026 alle erfasst sein, und die Markierung ist „überall dort, wo Claude angeboten wird, weltweit“ aktiv. Betroffen sind die API, die Claude-Apps, Claude Code, Cowork und Tag, und sie begleitet Claude auch zu AWS, Google Cloud und Microsoft Foundry. Ein Opt-out gibt es nicht: Keine Tarifstufe schaltet sie ab, kein API-Parameter deaktiviert sie.

Wie kann ich Text auf Claudes Wasserzeichen prüfen?

Als Privatperson derzeit gar nicht. Anthropics API zur Wasserzeichen-Erkennung befindet sich in einer geschlossenen Vorschau für berechtigte Organisationen wie Aufsichtsbehörden, Strafverfolgung, Medien, Faktenchecker, Forschende und Bildungseinrichtungen, die ihr Interesse über die Hilfeseite anmelden können. Der kostenlose Claude Content Checker unter claude.com/check-content liest nur C2PA-Nachweise in Dateien und prüft keinen Text. Jedes andere Tool, das anbietet, Claudes Markierung nachzuweisen, rät ins Blaue hinein, denn die Prüfung erfordert den geheimen Schlüssel, den Anthropic besitzt.

Wie sieht das Wasserzeichen im Text aus?

Es ist kein Zeichen, kein verstecktes Symbol und keine Folge unsichtbarer Unicode-Zeichen, und es gibt im Text nichts, was sich durch Hinsehen finden ließe. Laut Anthropic ist das Verfahren eine Variante von Google DeepMinds SynthID-Text: Statt einer beliebigen Zufallszahl entscheiden ein geheimer Schlüssel und die paar vorangehenden Wörter, welches von mehreren gleich guten Wörtern Claude wählt. Jedes einzelne Wort wirkt unauffällig, und erst über viele Wortentscheidungen hinweg wird das Muster statistisch nachweisbar. Deshalb lassen sich kurze Passagen kaum prüfen.

Lässt sich Claudes Wasserzeichen zu mir zurückverfolgen?

Laut Anthropic nicht. Das Wasserzeichen kennzeichnet Claudes Beteiligung, nicht die Nutzerin oder den Nutzer: Weder im Wasserzeichen noch in seinem Schlüssel stecke etwas, woraus sich Informationen über die Person, ihre Organisation oder ihre Chats mit Claude gewinnen ließen.

Lässt sich Claudes Text-Wasserzeichen entfernen?

Ja, allerdings nicht mit den Tools, die dafür verkauft werden. Anthropic selbst sagt, dass leichtes Überarbeiten das Wasserzeichen wahrscheinlich nicht vollständig entfernt, eine komplette Neufassung, bei der jedes Wort ersetzt wird, aber schon. Der wirksame Angriff ist rekursives Paraphrasieren: Sadasivan et al. senkten die Erkennungsrate bei Passagen von rund 300 Token von 99,3 auf 9,7 Prozent, und eine Übersetzung in eine andere Sprache und zurück drückt gängige Verfahren auf das Niveau eines Münzwurfs. Jede funktionierende Methode kostet etwas, denn das Signal steckt in der Wortwahl, und es zu brechen heißt, die Wörter aufzugeben. Der einzige Weg ohne Kompromiss ist, gar nicht erst mitzuspielen: Wer Open-Weights-Modelle auf eigener Hardware betreibt, kontrolliert den Sampler, und dann gibt es nichts zu entfernen.

Funktionieren Tools zum Entfernen von Claudes Wasserzeichen?

Überwiegend nicht, und die Gründe sind aufschlussreich. Wer Zero-Width-Spaces und unsichtbares Unicode herausfiltert, löst ein Problem, das es nicht gibt, denn es sind keine versteckten Zeichen vorhanden, und das Entfernen von Gedankenstrichen ist Folklore über das Erkennen von KI-Prosa mit bloßem Auge, ohne jeden Bezug zu einem Wasserzeichen. Auch Tools, die Ergebnisse gegen Turnitin oder GPTZero anführen, beweisen nichts: Diese Detektoren raten anhand des Stils, besitzen keinen Schlüssel und können ein statistisches Wasserzeichen überhaupt nicht sehen.

Hilft es, ChatGPT um das Entfernen des Wasserzeichens zu bitten?

Nicht so, wie gefragt, gelegentlich aber aus Versehen. Die Markierung wird nach dem Modell vom Sampler gesetzt; ein Modell, das Ihren eingefügten Text liest, sieht daher gewöhnliche Wörter, besitzt keinen Schlüssel und kann eine markierte Passage nicht von einer unmarkierten unterscheiden. Wird es gebeten, etwas zu entfernen, das es nicht wahrnehmen kann, stimmt es begeistert zu und gibt den Text zurück. Was tatsächlich wirkt, ist eine vollständige Neufassung, denn dabei entsteht jedes Wort neu durch einen anderen Sampler. Die Anweisung ist Unsinn, der Nebeneffekt ist der stärkste Angriff überhaupt, und genau so überlebt dieser Ratschlag.

Betrifft das Wasserzeichen auch Code aus Claude Code?

Nur wenig. Laut Anthropic wird das Wasserzeichen nicht angewendet, wo eine exakte Ausgabe nötig ist, weshalb Code insgesamt weniger davon trägt als andere Textarten; in Kommentaren kann es dennoch auftauchen. Verlassen Sie sich beim Herkunftsnachweis von Code nicht darauf: Output mit niedriger Entropie trägt das Signal schlecht, und ein Formatter über das Ergebnis erledigt den Rest.

Ist das Entfernen von Claudes Wasserzeichen in der EU illegal?

Es gibt keine Umgehungsvorschrift, gegen die man verstoßen könnte. Die Wörter „manipulieren“, „entfernen“ und „fälschen“ kommen im AI Act nicht vor, und seine Sanktionen richten sich an eine abschließende Liste von Akteuren, zu der ein Fremder, der die Markierung eines anderen löscht, nicht gehört. Einem Verbot am nächsten kommt der freiwillige Code of Practice, in dem sich die Unterzeichner verpflichten, keine Umgehungswerkzeuge auf den Markt zu bringen, was Google und OpenAI bindet und sonst niemanden. In China ist es umgekehrt: Die dortigen Kennzeichnungsregeln verbieten sowohl das Entfernen der Markierungen als auch das Bereitstellen von Werkzeugen dafür.