Claude schreibt jetzt mit unsichtbarer Tinte. Lässt sie sich abwaschen?

Am 11. August aktualisierte Anthropic ohne großes Aufsehen eine Hilfeseite. Die Ankündigung, über die die Branche daraufhin zwei Tage lang hitzig debattierte, erschien getarnt als simple Kundensupport-Dokumentation in einem Artikel mit dem Titel „How Claude marks AI-generated content“. Der entscheidende Satz darin ist kurz:

Die Sache ist größer, als der unscheinbare Veröffentlichungsort vermuten lässt. Jedes Modell, das Anthropic seit dem 2. August auf den Markt bringt, hinterlässt in seinen Texten eine verborgene Signatur. Dies gilt übergreifend für die API, die Claude-Apps, Claude Code, Cowork und Tag, und es betrifft Claude ebenso auf AWS, Google Cloud und Microsoft Foundry. Die Funktion ist „überall dort aktiv, wo Claude weltweit angeboten wird“, also nicht nur in Europa. Sie lässt sich nicht abschalten; weder ein bestimmtes Abo-Modell noch ein API-Parameter können sie deaktivieren. Dateien werden separat behandelt: Bilder und SVGs bekommen signierte C2PA-Herkunftsmetadaten. Technisch ist das ein anderes und deutlich fehleranfälligeres Verfahren.

John Grubers Schlagzeile brachte das Problem treffend auf den Punkt: Anthropic erklärte zwar, dass Claude KI-generierte Inhalte markiert, ließ aber offen, wie genau das geschieht. Die Seite beschreibt nur, was eine solche Markierung bedeutet, schweigt sich aber über ihre technische Natur aus und vertröstet auf „Details zu den Erkennungsmechanismen in einer kommenden technischen Dokumentation“. Zwei Tage später fehlt von dieser technischen Dokumentation noch immer jede Spur, ebenso wie von einem entsprechenden Detektor. The Register verbuchte das Ganze deutlich unhöflicher als reines Zugeständnis an Brüssel.

Daraus ergeben sich drei Fragen: Worum genau handelt es sich bei diesem Wasserzeichen, wird Anthropic von irgendjemandem dazu gezwungen, und lässt es sich wieder entfernen?

Was genau diese Markierung ist

Da Anthropic schweigt, müssen wir von der Methodenfamilie her schließen, zu der das Verfahren gehören muss.

Ein Sprachmodell schreibt keine Wörter im menschlichen Sinne. Es erstellt vielmehr eine nach Wahrscheinlichkeiten geordnete Liste möglicher nächster Textbausteine, und ein nachgelagerter Prozess wählt daraus einen aus. In diesem zweiten Schritt sitzt das Wasserzeichen. Ein geheimer Schlüssel definiert für jede Position einen bestimmten Teil des Vokabulars als „bevorzugt“, woraufhin der Sampler seine Auswahl sanft in Richtung dieser Wörter lenkt. Jede einzelne dieser Entscheidungen wirkt für sich genommen unauffällig. Über ein paar hundert Entscheidungen hinweg wird das Muster jedoch statistisch signifikant. Ein Detektor mit demselben Schlüssel erkennt es dann eindeutig.

Aus diesem Diagramm ergeben sich unmittelbar zwei Konsequenzen, die später noch wichtig werden. Erstens weiß das Modell nichts von dem Wasserzeichen, da dieses erst in einem nachgelagerten Schritt entsteht. Zweitens ist in den eigentlichen Zeichen nichts versteckt. Es gibt keine Leerzeichen ohne Breite (Zero-Width Spaces), keine merkwürdigen Unicode-Zeichen und keine unsichtbaren Datenpakete. Die Markierung ist die Wortwahl selbst.

Anthropic äußert sich erfrischend direkt darüber, was ein positiver Treffer eigentlich bedeutet. Ein erkanntes Wasserzeichen besagt nur, dass der Inhalt „möglicherweise von Claude verarbeitet wurde“ – was auf der Seite selbst als „nicht völlig schlüssig“ bezeichnet wird. Verarbeitet, nicht geschrieben. Wenn Sie selbst einen Text entworfen und Claude nur gebeten haben, die Grammatik zu glätten, könnte Ihr Text nun diese Markierung tragen. Anthropic räumt dies unumwunden ein und listet Korrekturlesen, Übersetzen und Zusammenfassen als Vorgänge auf, die eine Signatur in einem Text hinterlassen können, dessen Ideen vollständig von Ihnen stammen. Das Fehlen einer Markierung beweist indes noch weniger.

Diese Asymmetrie werden Schulen und Personalabteilungen falsch interpretieren, und das sorgt bereits jetzt für handfeste Probleme. Der Radiomoderator Erick Erickson, der von Forbes zitiert wurde, war für das Korrekturlesen von Grammarly zu Claude gewechselt: „Jetzt wird das Zeug, das ich selbst geschrieben habe, mit einem Wasserzeichen versehen, das besagt, Claude hätte die Arbeit gemacht. Das ist doch lächerlich.“

Macht das Claude schlechter?

Anthropic behauptet, die Markierung verändere „weder die Bedeutung noch die Qualität oder Lesbarkeit“ einer Antwort. Veröffentlicht wurde dieser Satz ohne Benchmark und ohne Paper, das ihn stützen würde. Man verlangt von uns, dies einfach blind zu glauben. Derzeit lässt sich das nicht überprüfen. Für eine rein technische Frage, die eine einzige Datentabelle klären würde, ist das eine befremdliche Haltung.

Die bisher veröffentlichte Forschung zu vergleichbaren Verfahren stützt die pauschale Behauptung, es gäbe „keinerlei Qualitätseinbußen“, jedenfalls nicht. Eine EMNLP-Evaluation aus dem Jahr 2024 zu Green-List-Wasserzeichen stellte bei Klassifizierungsaufgaben Einbußen von 10 bis 20 Prozent beim effektiven Nutzen fest. Bei Multiple-Choice-Fragen waren es rund 7 Prozent und bei der Generierung längerer Texte 5 bis 15 Prozent. Und das sind wohlgemerkt die Best-Case-Zahlen, nachdem die Autoren die Einstellungen so optimiert hatten, dass sie bei einer festgelegten Erkennungsstärke den geringstmöglichen Schaden anrichteten. Bei Programmcode sieht es noch düsterer aus. Das SWEET-Paper ergab, dass ein Standard-Wasserzeichen bei HumanEval pass@1 stolze 24,3 Prozent der Leistung kostet, bei MBPP 36 Prozent und bei DS-1000 sogar 67,3 Prozent – bei gleichzeitig zuverlässiger Erkennung. Die Erklärung dafür ist einleuchtend: Beim Programmieren gibt es nur sehr wenige wirklich freie Wahlmöglichkeiten. Zwingt man das Modell also dazu, von seiner bevorzugten Token-Wahl abzuweichen, kann das den Code sofort unbrauchbar machen.

Googles SynthID-Text kommt einem Präzedenzfall noch am nächsten, und das dazugehörige Nature-Paper ist vor allem wegen des Kleingedruckten lesenswert. Das Verfahren wird dort als „verzerrungsfrei“ (non-distortionary) bezeichnet, was zunächst wie eine Garantie für null Qualitätsverlust klingt. Tatsächlich bedeutet es aber nur, dass die Ausgabeverteilung im Durchschnitt über den Random Seed hinweg erhalten bleibt. Nicht jedoch pro einzelner Antwort. Die Autoren stufen die Verzerrungsfreiheit von schwach bis stark ein, geben an, dass SynthID-Text auf eine mittlere Stufe eingestellt ist, und räumen ein, dass dies „mit einer gewissen Verringerung der Diversität zwischen den Antworten“ einhergeht. Sie benennen den Kompromiss auch ganz offen: Eine schwächere Verzerrungsfreiheit schadet der Qualität, eine stärkere Verzerrungsfreiheit erschwert die Erkennbarkeit. Es gibt hier also einen Regler, und irgendjemand in jedem dieser Unternehmen hat entschieden, auf welchen Wert er eingestellt wird.

Ist Claude also seit dem 2. August schlechter geworden? An dieser Stelle habe ich eine Leerstelle zu melden, keine Erkenntnisse. Es gibt keinerlei glaubwürdige unabhängige Beweise dafür. Ich habe nach Benchmarks, Vergleichen und jeglichen Daten gesucht, die an dieses Stichtagsdatum geknüpft sind. Stattdessen findet man Leute, die in den Tagen nach der Ankündigung aus Grundprinzipien deduzieren. Das ist nicht dasselbe. Ein Kommentator im Hacker-News-Thread bezeichnete das Versprechen, die Qualität bleibe unbeeinträchtigt, als „lächerlich“, da „die Token auf eine ganz bestimmte Art und Weise angeordnet werden“. Er hat mit seiner Einschätzung des Mechanismus zwar recht, gemessen hat er jedoch nichts.

Ehrlich zusammengefasst: Anthropic hat eine unwiderlegbare Behauptung aufgestellt, denn die Aussage „keine Qualitätsauswirkungen“ lässt sich nicht überprüfen, solange man das genaue Verfahren und den gewählten Arbeitspunkt nicht kennt. Die Fachliteratur belegt, dass Verfahren dieser Familie sehr wohl echte Genauigkeit kosten, am drastischsten bei Programmcode und kurzen Texten. Bislang hat jedoch niemand Claude bei einer tatsächlichen Verschlechterung ertappt. Alle drei Aussagen sind gleichzeitig wahr.

Zwingt das Gesetz Anthropic dazu?

Teilweise – und genau die Diskrepanz zwischen „teilweise“ und „vollständig“ ist hier das eigentlich Interessante.

Artikel 50 Absatz 2 des EU AI Act verlangt von Anbietern generativer KI-Systeme sicherzustellen, dass deren Ausgaben „in einem maschinenlesbaren Format markiert und als künstlich erzeugt oder manipuliert erkennbar sind“. Text wird dabei neben Audio, Bild und Video ausdrücklich genannt. Diese Regelung trat am 2. August 2026 in Kraft – exakt der Stichtag, den Anthropic für seine Modelle gewählt hat. Das Unternehmen verweist zudem auf den begleitenden Verhaltenskodex (Code of Practice) als Grund für sein Handeln. Compliance ist hier also keine Vermutung, sondern die Begründung, die Anthropic selbst nennt.

Doch lesen Sie einmal den nächsten Satz des Artikels. Die Lösungen müssen wirksam und robust sein, „soweit dies technisch machbar ist“, wobei die Implementierungskosten und der Stand der Technik abgewogen werden müssen. Das ist eine sehr weiche Formulierung, und der Verhaltenskodex stützt sich massiv darauf. Der am 10. Juni 2026 finalisierte Kodex, der von rund 190 Organisationen – darunter Anthropic, Google, OpenAI, Microsoft, Meta und Mistral – unterzeichnet wurde, räumt in seinen eigenen Erwägungsgründen ein, dass „keine einzelne Markierungstechnik ausreicht, um die vier Anforderungen in Artikel 50 Absatz 2 zu erfüllen“. Für die meisten Medienformate fordert er daher zwei Ebenen: signierte Metadaten plus ein Wasserzeichen. Bei reinem Fließtext verzichtet er auf die erste Ebene, „da Freitext keine Metadaten transportieren kann“, und akzeptiert das Wasserzeichen als alleinige Maßnahme. Zudem hakt er alles unter 200 Token als zu kurz ab, um es zuverlässig markieren zu können, und bringt ins Spiel, die Erkennung auf „verifizierte Fachanwender“ zu beschränken – eben weil Textmarkierungen so fehleranfällig sind.

Die Zähne des Gesetzes sind durchaus echt: Ein Verstoß gegen Artikel 50 fällt in die Kategorie, die Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes nach sich zieht. Seit dem Digital-Omnibus-Gesetz vom 27. Juli 2026 liegt die Durchsetzung nicht mehr bei den nationalen Aufsichtsbehörden, sondern beim KI-Büro in Brüssel: immer dann, wenn ein Unternehmen sowohl das Modell als auch den Assistenten darauf entwickelt. Auf Anthropic trifft das zu. Dasselbe Omnibus-Gesetz gewährt Anbietern, deren Systeme vor dem 2. August auf den Markt kamen, eine Übergangsfrist bis zum 2. Dezember 2026. Deshalb sind Anthropics ältere Modelle nach wie vor unmarkiert.

Nichts davon zwingt Anthropic jedoch zu genau dem Schritt, den das Unternehmen gegangen ist. Das Gesetz ist technologieneutral, durch den Vorbehalt der technischen Machbarkeit eingeschränkt und endet an den Außengrenzen der EU. Text mit Wasserzeichen zu versehen, ist die schwierigste aller Modalitäten, und Anthropic hat sich freiwillig dazu entschieden, dies weltweit, auf Modellebene und ohne Opt-out-Möglichkeit durchzuziehen. Die Unterzeichnung des Kodex bringt im Übrigen keine rechtliche Vermutung der Konformität mit sich; das sagt der Kodex sogar selbst. Die plausibelste Erklärung ist wohl, dass die Aufrechterhaltung zweier getrennter Inferenzpfade für zwei Kontinente aus technischer Sicht ein Albtraum wäre – und dass es sich aus PR-Sicht gut macht, der Erste zu sein.

Zum Vergleich: China schreibt dies bereits seit dem 1. September 2025 vor, nennt Text an erster Stelle seiner Liste der erfassten Inhalte und verlangt neben einer eingebetteten Markierung auch eine sichtbare Kennzeichnung. Der kalifornische AI Transparency Act, das amerikanische Vorzeigeprojekt in diesem Bereich, gilt hingegen nur für „Bild-, Video- oder Audioinhalte“ und klammert Text komplett aus.

Lässt es sich entfernen?

Genau an diesem Punkt hat das Internet völlig den Verstand verloren. Lassen Sie uns also den tatsächlichen Mechanismus vom reinen Marketinggeschwätz trennen.

Was definitiv nicht funktioniert

Innerhalb von 48 Stunden nach der Ankündigung schoss eine kleine Industrie von „Claude-Wasserzeichen-Entfernern“ aus dem Boden. Die meisten sind nutzlos, und zwar auf aufschlussreiche Weise.

Nehmen wir claudewatermark.com, eine Seite, die damit wirbt, „Wasserzeichen für KI-Systeme wie Claude zu entfernen“. Tatsächlich filtert sie nur unsichtbare Leerzeichen und verborgene Unicode-Zeichen heraus und bietet einen Button, um Geviertstriche zu löschen. Beides bringt nichts. Versteckte Zeichen gibt es nicht, und die Sache mit den Geviertstrichen ist ein Mythos darüber, wie man KI-Texte mit bloßem Auge erkennt. Mit dem Wasserzeichen hat sie nichts zu tun. In den eigenen FAQ der Website wird zudem stillschweigend eingeräumt, dass die genaue Funktionsweise „teilweise unter Verschluss bleibt“. Eine ziemlich merkwürdige Aussage für ein Tool, das eigentlich genau dieses Wasserzeichen knacken will.

StealthGPT ging sogar noch einen Schritt weiter und verkündete großspurig, dass man „nun auch Claude-Wasserzeichen entfernt“. Das Signal, so das Versprechen, „überlebt die Umschreibung nicht“. Als Beweis dienen Scores von Turnitin und GPTZero. Diese Tools raten nur anhand stilistischer Merkmale. Sie besitzen keinen Schlüssel und haben keinerlei Zugriff auf das System von Anthropic; das Wasserzeichen ist für sie also unsichtbar. Wenn ein Text diese Prüfungen besteht, sagt das nichts darüber aus, ob ein statistisches Wasserzeichen überlebt hat. Die Behauptung ist somit schlimmer als nur unbewiesen: Da es derzeit keinen öffentlich zugänglichen Detektor gibt, kann niemand das Gegenteil – oder eben die Wirksamkeit – belegen.

Und dann wäre da noch jener Geheimtipp, der seit zwei Tagen auf LinkedIn die Runde macht: Man solle seinen Claude-Text einfach in ChatGPT kopieren, die KI bitten, das Wasserzeichen zu entfernen, und schon sei man auf der sicheren Seite. Dieser Ratschlag wird mit genau jener unerschütterlichen Selbstsicherheit vorgetragen, für die diese Plattform berüchtigt ist – meist von Leuten, die sich in ihren Profilen als KI-Berater ausgeben. Warum das scheitert, ist eine Erklärung wert, denn der Grund liegt nicht auf der Hand.

Erinnern wir uns an das erste Diagramm. Das Wasserzeichen wird nach dem eigentlichen Modell angewendet, nämlich durch den Sampler. Das Modell, das später den eingefügten Text liest, sieht nur ganz gewöhnliche Wörter. Es besitzt keinen Schlüssel und kann einen markierten Textabschnitt nicht von einem unmarkierten unterscheiden. Bittet man einen Chatbot nun, ein Wasserzeichen zu entfernen, das er gar nicht wahrnehmen kann, tut er genau das, was Chatbots eben tun: Er stimmt enthusiastisch zu und liefert den Text zurück – vielleicht mit ein paar ausgetauschten Wörtern und der freudigen Bestätigung, das Wasserzeichen sei nun verschwunden. Man erhält also eine selbstbewusste Zusicherung über etwas, worauf das Modell überhaupt keinen Zugriff hat. Aus demselben Grund ist auch das bloße Abtippen nutzlos: gleiche Wörter, gleiche Reihenfolge, gleiche Beweislage.

Hier verbirgt sich jedoch ein wirklich subtiles Detail. Wenn man das Modell nicht bittet, ein Wasserzeichen zu entfernen, sondern es anweist, den gesamten Text neu zu schreiben, dann funktioniert das tatsächlich – und zwar hervorragend. Allerdings nicht, weil das Modell die eigentliche Bitte verstanden hätte, sondern weil bei einer kompletten Umschreibung jedes einzelne Wort durch einen anderen Sampler neu generiert wird. Die Anweisung selbst ist unsinnig; der Nebeneffekt hingegen ist der stärkste Angriff, den es gibt. Wer also dem schlechten Ratschlag folgt, hat manchmal trotzdem Erfolg – aus Gründen, die nichts mit der ursprünglichen Anfrage zu tun haben. Genau so überleben Mythen den Kontakt mit der Realität.

Was wirklich funktioniert

Paraphrasieren ist der eigentliche Angriff, und die Zahlen sprechen eine deutliche Sprache. Sadasivan et al. berichten, dass das rekursive Umschreiben von mit Wasserzeichen versehenen Passagen (mit einer Länge von etwa 300 Token) die Erkennungsrate von 99,3 Prozent auf 9,7 Prozent abstürzen ließ – gemessen als Richtig-Positiv-Rate bei einer Falsch-Positiv-Rate von 1 Prozent. Auch Übersetzungen erfüllen ihren Zweck: Ein Hin- und Herübersetzen ins Chinesische drückte die Erkennung bei zwei Standardverfahren auf einen AUC-Wert von 0,54 und 0,61. Das gleicht im Grunde einem Münzwurf, während die Werte bei reinen Zusammenfassungen stabil blieben. Selbst Googles eigenes Verfahren ist davor nicht gefeit; eine Untersuchung der TrustCom 2025 zeigte, dass Rückübersetzungen die Richtig-Positiv-Rate von SynthID-Text von 1,0 auf etwa 0,68 drückten.

Hier bedarf es jedoch einer Korrektur, denn das Narrativ „Wasserzeichen sind ohnehin schon tot“ überinterpretiert seine eigenen Quellen. Die Studien, die am häufigsten als Totengräber der Wasserzeichen zitiert werden, formulieren bei genauerem Lesen deutlich vorsichtiger. Krishna et al., deren DIPPER-Paraphrasierer DetectGPT von 70,3 Prozent auf 4,6 Prozent kollabieren ließ, konnten die Wasserzeichenerkennung mit demselben Angriff nur von 100 Prozent auf 57,2 Prozent senken. Ihr nüchternes Fazit: „Wasserzeichen sind der widerstandsfähigste Detektor gegenüber Paraphrasierungen.“ Kirchenbauer et al. bezahlten vierzehn Doktoranden dafür, Wasserzeichen händisch zu entfernen, und stellten fest, dass das Signal nach etwa 800 Token immer noch nachweisbar war. Das berühmte Ergebnis, wonach „Wasserzeichen unmöglich sind“, beweist nur die Unmöglichkeit starker Wasserzeichen, wenn ein Angreifer über zwei idealisierte Orakel verfügt. In der Studie heißt es wörtlich: „Wir untersuchen in dieser Arbeit keine schwachen Wasserzeichenverfahren.“

Die für alle Beteiligten wirklich unbequeme Erkenntnis ist eine ganz andere. Jovanović et al. zeigten, dass ein Angreifer für rund 42 US-Dollar an Rechenleistung genug über ein Verfahren lernen kann, um Markierungen nicht nur zu entfernen, sondern sie auch zu fälschen – und das mit einer Erfolgsquote von über 80 Prozent. Diese Fälschungen sind die weitaus beängstigendere Entwicklung. Das heißt: Ein Wasserzeichen-Treffer lässt sich in einen von Menschen geschriebenen Text einschleusen. Das sollte jedem Sorgen bereiten, der vorhatte, eine solche Erkennung als unwiderlegbaren Beweis zu behandeln.

Die einzige Methode, die immer funktioniert, ist die schlichte Verweigerung. Wer Open-Weights-Modelle auf eigener Hardware ausführt, kontrolliert den Sampler selbst; zu entfernen gibt es dann nichts. Jeder andere Ansatz in der linken Spalte dieses Diagramms hat seinen Preis: Man erhält die Prosa einer anderen Maschine anstelle der von Claude, oder man investiert Stunden in echtes, händisches Umschreiben.

Das Startup, das dieses Problem löst

Wer daraus ein Geschäftsmodell machen möchte, findet die Blaupause bereits vor; Teile davon existieren längst in der Fachliteratur. Aktuelle Studien berichten von Umschreibe-Angriffen, die sieben verschiedene Wasserzeichenverfahren für unter einen Dollar pro Million Token aushebeln, sowie von Reinforcement-Learning-Ansätzen, die eine Entfernungsrate von 98,5 Prozent versprechen.

Ein ernstzunehmendes Produkt würde ein Open-Weights-Modell lokal ausführen, damit kein zweites Wasserzeichen eingeschleust wird. Es würde Satz für Satz umschreiben statt den gesamten Text auf einmal, da sich das Signal über verschiedene Positionen hinweg aufbaut und man nur genug davon zerstören muss. Jede Umschreibung liefe durch eine Qualitätsprüfung: Das Modell bewertet selbst, ob Bedeutung und Ton erhalten sind, und unternimmt bei Fehlversuchen einen neuen Anlauf. Die eigentliche technische Finesse liegt in der Schleife: Sobald Anthropic die versprochene Erkennungs-API veröffentlicht, kann man den eigenen Output dagegen testen und so lange umschreiben lassen, bis das Wasserzeichen unter den Schwellenwert fällt. Ein öffentlicher Detektor ist gleichzeitig ein Orakel, um ihn zu überlisten. In dieser Zwickmühle steckt Anthropic – und das ist vermutlich auch der Grund, warum der Code of Practice darüber nachdenkt, die Erkennung auf „verifizierte Experten“ zu beschränken.

Die Gegenmaßnahme existiert ebenfalls bereits, und sie besteht nicht in einem besseren Wasserzeichen. Krishna et al. haben gezeigt, dass eine Datenbank aller generierten Texte, mit der man Abgleiche durchführt, 80 bis 97 Prozent der paraphrasierten Inhalte entlarvt. Ein solcher Abgleich (Retrieval) schlägt das Umschreiben, weil Paraphrasieren zwar die Wörter ändert, nicht aber die Substanz. Das setzt allerdings voraus, dass die Anbieter protokollieren, was sie generieren. Damit tauscht man ein Datenschutzproblem gegen ein anderes.

Was die rechtliche Seite betrifft, ist die Antwort in Europa kurioser, als man vermuten würde. Ich habe im AI Act nach einer Vorschrift zur Umgehung gesucht – es gibt keine. Wörter wie „manipulieren“, „entfernen“ oder „fälschen“ tauchen in der Verordnung nicht auf. Die vorgesehenen Strafen richten sich an „Betreiber“ (Operators), eine geschlossene Liste, die keinen Dritten umfasst, der das Wasserzeichen eines anderen löscht. Auch die alten Urheberrechtsregeln zum Umgehungsschutz greifen hier nicht, da ein Herkunftsnachweis keinen Zugang beschränkt und rein KI-generierter Text ohnehin kaum urheberrechtlichen Schutz genießen dürfte. Das, was einem Verbot noch am nächsten kommt, findet sich im freiwilligen Verhaltenskodex: Dort versprechen die Unterzeichner, keine Werkzeuge zur Umgehung von Wasserzeichen „auf den Markt zu bringen oder bereitzustellen“. Das bindet Google und OpenAI. Sonst niemanden.

Das Humaniser-Startup handelt in der EU also nicht illegal, wenn es Wasserzeichen entfernt. Es ist aber ziemlich sicher selbst ein KI-Anbieter. Die Leitlinien der Kommission zu Artikel 50 nennen „das Paraphrasieren oder Umschreiben von Texten, das Stil, Struktur und Bedeutung verändert“ ausdrücklich als eine Tätigkeit, die eine eigene Kennzeichnungspflicht auslöst. Das Startup wäre folglich gesetzlich verpflichtet, seinen eigenen Output mit einem Wasserzeichen zu versehen – bei Androhung einer Strafe von 15 Millionen Euro –, während es ihm freistünde, das Wasserzeichen von Anthropic zu zerstören. Es wäre also reguliert, aber nicht für das, wofür es eigentlich gegründet wurde. In China hingegen ist exakt dieses Geschäftsmodell illegal: Die dortigen Kennzeichnungsvorschriften verbieten sowohl das Entfernen von Markierungen als auch die Bereitstellung von Werkzeugen oder Diensten, die anderen genau dies ermöglichen.

Was jetzt zu tun ist

Wer unterrichtet oder Personal einstellt, sollte diesen Vorbehalt jetzt in seine Richtlinien aufnehmen, solange das alles noch hypothetisch ist. Ein Wasserzeichen bedeutet nur, dass der Text möglicherweise von Claude verarbeitet wurde – was genauso gut der Fall sein kann, wenn ein Student nur eine Rechtschreibprüfung durchführt. Behandeln Sie es als ein Puzzleteil unter mehreren, nie als alleinigen Grund für eine Entscheidung. Ein Wasserzeichen in einen unschuldigen Text hineinzufälschen, kostet in etwa so viel wie ein Abendessen vom Lieferservice.

Wer auf Claude aufbaut, sollte sich beim Herkunftsnachweis von Code nicht darauf verlassen. Output mit niedriger Entropie trägt das Signal ohnehin kaum in sich, und der eigene Code-Formatter gibt dem Rest, der vielleicht noch übrig ist, endgültig den Todesstoß.

Und wer insgeheim darauf hofft, dass ein Tool die eigenen Entwürfe sauberwäscht: Sparen Sie sich das Abo-Geld. Die ehrlichen Anbieter in diesem Markt sagen es sogar selbst. Einer von ihnen, der eine Unicode-Bereinigung verkauft, bringt es besser auf den Punkt, als ich es könnte: „Ein statistisches Signal in der Wortwahl ist kein Zeichen, das man einfach herausfiltern kann. Tools, die behaupten, Claudes Wasserzeichen zu entfernen, verkaufen etwas, das gar nicht existiert.“

Zumindest noch nicht. Irgendjemand wird es früher oder später vernünftig bauen, denn die Forschung dazu ist öffentlich und der Angriff kostet gerade einmal einen Dollar. Und der erste Detektor, den Anthropic veröffentlicht, wird gleichzeitig als Anzeigetafel dienen, auf der sich ablesen lässt, ob man ihn geschlagen hat.