KI-Texte mit Wasserzeichen: Schachmatt für Schummler? Was Anthropics neue Kennzeichnung kann und was nicht

Anthropic hat sich verpflichtet, von Claude erzeugten Text mit einem unsichtbaren Wasserzeichen zu versehen, eine Reaktion auf die EU-Kennzeichnungspflicht, die seit dem 2. August 2026 gilt. Bis zum 2. Dezember muss die Nachrüstung stehen. Doch was beweist ein solches Wasserzeichen überhaupt, und wo stehen die Mitbewerber?

Was genau hat Anthropic angekündigt?

Anfang August 2026 beschrieb Anthropic in seinem Hilfe-Center, wie das Unternehmen künftig kennzeichnet, was Claude erzeugt. Grundlage ist Artikel 50 Absatz 2 des EU AI Act. Er verpflichtet Anbieter generativer KI-Systeme, ihre Ausgaben maschinenlesbar und nachweisbar als künstlich erzeugt zu kennzeichnen. Die Pflicht gilt seit dem 2. August 2026. Anthropic ist dazu dem Code of Practice on Transparency of AI-Generated Content beigetreten, einem freiwilligen Regelwerk der EU-Kommission. Es zeigt Unternehmen, wie sie die Pflicht rechtssicher erfüllen.

Bis Ende Juli 2026 hatten sich laut EU-Kommission rund 190 Organisationen angeschlossen, darunter neben Anthropic auch Google, Microsoft, OpenAI, Meta, Mistral, Cohere, Aleph Alpha und Black Forest Labs. Anthropics Zusage im Detail: Claude-Modelle, die ab dem 2. August 2026 in der EU erscheinen, sollen erzeugten Text mit einem eingebetteten Wasserzeichen versehen. Bei Dateiformaten wie SVG, PNG und JPG kommen signierte Herkunftsdaten nach dem offenen C2PA-Standard hinzu. Die Coalition for Content Provenance and Authenticity dokumentiert damit branchenweit, woher ein digitaler Inhalt stammt.

Die Kennzeichnung soll laut Anthropic weltweit gelten, nicht nur für Nutzer in der EU, und alle Zugangswege abdecken: die Claude-Plattform (API), claude.ai, Claude Code, Claude Cowork, Claude Tag sowie die Cloud-Partner AWS, Google Cloud und Microsoft Foundry.

Bis wann muss das Wasserzeichen kommen?

Für ältere Systeme räumt das Gesetz eine Übergangsfrist ein. Anthropic nennt die Nachrüstung seiner vor dem Stichtag erschienenen Modelle laufende Arbeit, ohne ein Datum zu nennen. Das Gesetz nennt eines.

Sonnet 5, das Standardmodell für die kostenlose und die Pro-Variante, erschien am 30. Juni 2026, das leistungsstärkere Opus 5 am 24. Juli 2026 – beide vor dem Stichtag. Anthropics eigene Versionshistorie zeigt: Seit Opus 5 kam kein neues Modell hinzu. Die späteren Einträge betreffen Plattform-Funktionen und die Abschaltung des älteren Opus 4.1. Kein aktuell angebotenes Claude-Modell trägt damit ein bestätigt aktives Wasserzeichen.

Unbegrenzt Zeit hat Anthropic dafür nicht. Der Digital Omnibus, ein Änderungspaket zum AI Act, gewährt bereits am Markt befindlichen Systemen vier Monate Schonfrist. Nach Angaben der EU-Kommission müssen deren Anbieter die Kennzeichnung bis zum 2. Dezember 2026 umgesetzt haben. Für Systeme, die ab dem 2. August auf den Markt kommen, gilt die Pflicht sofort.

Eine Unschärfe bleibt. Das Gesetz knüpft an KI-Systeme an, die vor dem Stichtag in Verkehr kamen. Anthropic beschreibt seine Zusage dagegen entlang einzelner Modelle. Ob ein neues Modell, das nach dem 2. August in ein bestehendes System wie claude.ai oder die Programmierschnittstelle einzieht, als neu in Verkehr gebracht gilt, ist ungeklärt. Eine zweite Frist folgt ohnehin: Bis zum 2. Februar 2027 müssen Unterzeichner des Code of Practice die Erkennung ihrer Wasserzeichen untereinander interoperabel machen, etwa über eine gemeinsame Abfrageschnittstelle oder einen im Inhalt lesbaren Hinweis darauf, welcher Detektor zuständig ist.

Wie funktioniert das Prinzip – und was bleibt offen?

Wie das Wasserzeichen technisch funktioniert, verrät Anthropic nicht. Im Hilfe-Center heißt es lediglich, das Verfahren webe ein für Menschen nicht wahrnehmbares Wasserzeichen direkt in den Text ein, ohne Bedeutung, Qualität oder Lesbarkeit zu verändern. Weil es Teil des Texts selbst sei, wandere es beim Kopieren mit und überstehe teilweise auch Bearbeitungen. Konkreter wird das Prinzip bei einem anderen Anbieter.

Google beschreibt für seine Wasserzeichen-Technologie SynthID öffentlich, wie ein Sprachmodell beim Schreiben arbeitet. Es wählt Wörter nicht zufällig, sondern berechnet für jedes mögliche nächste Token eine Wahrscheinlichkeit. Ein Token ist die kleinste Texteinheit, in die ein Sprachmodell Sprache beim Erzeugen zerlegt. SynthID verschiebt diese Wahrscheinlichkeiten in einem gleichbleibenden Muster, das kein Leser bemerkt.

Ein Detektor weist dieses Muster später statistisch nach. Entscheidend für die ganze Debatte: Markieren und Erkennen sind zwei getrennte Schritte. Das Wasserzeichen entsteht beim Schreiben im Modell. Ob es später jemand überprüfen kann und wer, entscheidet der Anbieter mit einem separaten Werkzeug. Der Code of Practice erlaubt diese Trennung ausdrücklich. Dass Anthropic nach demselben Prinzip arbeitet, liegt nahe, bestätigt ist es nicht. Das Unternehmen hat weder den eigenen Mechanismus im Detail offengelegt noch Werkzeuge, mit denen Nutzer oder Dritte ein Wasserzeichen selbst prüfen könnten. Beides sei in Vorbereitung, technische Dokumentation soll folgen.

Ein erkanntes Wasserzeichen beweist nur, dass ein Text möglicherweise von Claude verarbeitet wurde. Es beweist nicht, dass Claude ihn verfasst hat

Sind KI-Texte künftig leichter zu erkennen?

Selbst wenn die Technik wie angekündigt funktioniert, bleiben Grenzen. Anthropic benennt sie im selben Dokument. Ein erkanntes Wasserzeichen beweist nur, dass ein Text möglicherweise von Claude verarbeitet wurde. Es beweist nicht, dass Claude ihn verfasst hat. Wer einen fremden Text nur lektorieren, übersetzen oder zusammenfassen lässt, erhält ebenfalls markierten Text. Die Gedanken darin stammen trotzdem von einem Menschen.

Umgekehrt gilt: Fehlt ein erkennbares Wasserzeichen, stammt der Text deshalb nicht zwingend von einem Menschen. Anthropic nennt mehrere Fälle, in denen die Kennzeichnung praktisch verschwindet. Dazu zählen starke Bearbeitung, Übersetzungen und sehr kurze Passagen. Bei Dateien gehen die Metadaten durch Formatkonvertierung, erneutes Speichern oder Screenshots verloren.

Der Code of Practice verlangt von Anbietern grundsätzlich zwei Markierungsebenen: signierte Metadaten und ein Wasserzeichen. Freier Text kann keine Metadaten transportieren – eine rohe Zeichenfolge ohne Dateiformat, etwa auf einer Webseite oder im Chatfenster. Für ihn erklärt der Code eine einzige Ebene für ausreichend, nämlich das Wasserzeichen. Ausgerechnet im meistdiskutierten Fall, dem Kopieren aus dem Chat, greift also nur der Mechanismus, den das Dokument selbst als weniger zuverlässig einstuft.

Hinzu kommt eine Untergrenze. Texte unter 200 Token, grob 150 Wörter, gelten im Code als sehr kurz und lassen sich nach dem Stand der Technik nicht einmal mit Grundzuverlässigkeit markieren. Darüber müssen Anbieter markieren. Der Code hält aber fest: Zuverlässig wird das erst bei sehr langen Texten. In sozialen Netzwerken kursierte zuletzt die Frage, ob eine solche Kennzeichnung KI-geschriebene Hausarbeiten entlarvt. Die Antwort lautet weder schlicht ja noch schlicht nein.

Wer einen KI-Text gründlich umschreibt, bringt ihn höchstwahrscheinlich unter die Nachweisschwelle. Und selbst wer das nicht tut, wird nicht von jedem geprüft. Der Code erlaubt Anbietern, die Erkennung von Wasserzeichen in freiem Text auf verifizierte Fachnutzer zu beschränken, weil die Ergebnisse irreführend ausfallen können. Zu diesem Kreis zählt das Dokument Behörden, Strafverfolgung, Medien, Faktenchecker sowie Bildungs- und Forschungseinrichtungen. Die Prüfung ist grundsätzlich kostenlos; nur Anbieter mit weniger als einer Million Nutzern pro Monat dürfen bei sehr hohem Anfragevolumen Gebühren erheben, und auch das nicht gegenüber den genannten Gruppen. Hochschulen gehören also dazu, die breite Öffentlichkeit nicht.

Wasserzeichen bei ChatGPT, Gemini & Co.: Wer ist wo?

Anthropic steht mit der Ankündigung nicht allein und auch nicht an der Spitze. Google ist am weitesten, jedenfalls nach eigener Darstellung. SynthID markiert nach Angaben von Google DeepMind Text, der in der Gemini-App und im Web-Interface entsteht. Google gibt als einziger der drei Anbieter an, Text überhaupt zu markieren – und erklärt als einziger das zugrunde liegende Prinzip öffentlich.

Der Vorsprung hat zwei Lücken. Die erste betrifft die Reichweite: Das Text-Wasserzeichen deckt nach Googles Beschreibung die Gemini-App und das Web-Interface ab, nicht die Programmierschnittstelle, über die Entwickler Gemini in eigene Anwendungen einbinden. Diese Angabe geht allerdings auf DeepMinds Ankündigung von 2024 zurück. Ob sie den heutigen Stand abbildet, sagt Google nicht.

Die zweite Lücke betrifft das Erkennen. Google betreibt mit dem SynthID Detector ein Prüfportal, in das sich nach eigener Beschreibung Bild-, Video- und Audiodateien hochladen lassen; Text führt Google dort nicht auf. Das Portal steckt zudem in einer Erprobungsphase, zu der Journalisten, Medienschaffende und Forschende über eine Warteliste Zugang erhalten. Anders als bei Bild, Video und Audio kann niemand von außen bestätigen, dass Gemini-Text tatsächlich ein Wasserzeichen trägt.

OpenAI setzt bei Bild und Ton an, nicht bei Text. Das Unternehmen versieht erzeugte Bilder seit 2024 mit Herkunftsdaten nach dem C2PA-Standard und erweiterte diesen Ansatz im Mai 2026 um SynthID – für Bilder aus ChatGPT, Codex und der Programmierschnittstelle. Am 31. Juli 2026, zwei Tage vor Inkrafttreten der EU-Pflicht, kam laut OpenAIs eigener Darstellung Audio dazu. Das öffentliche Prüfwerkzeug, das OpenAI im Mai zunächst für Bilder vorstellte, erkennt seither auch Audiodateien; neu hinzu kam eine Schnittstelle für automatisierte Herkunftsprüfungen.

Bei Text fehlt die Kennzeichnung, und das aus erklärtem Grund. In einem Nachtrag vom August 2024 zu einem eigenen Beitrag zur Herkunft digitaler Inhalte räumte OpenAI ein, ein Verfahren zum Markieren von Text entwickelt zu haben. Es arbeite präzise und halte auch lokalen Eingriffen wie dem Umformulieren einzelner Stellen stand. Bei großflächigen Eingriffen versage es: maschinelle Übersetzung, das Umschreiben durch ein anderes Modell oder das Einfügen und anschließende Entfernen von Sonderzeichen zwischen allen Wörtern. Hinzu kam die Sorge, eine solche Kennzeichnung könne Menschen benachteiligen, die nicht in ihrer Muttersprache schreiben. Veröffentlicht hat OpenAI das Verfahren bis heute nicht.

Zugleich rücken die Wettbewerber zusammen. In seiner Mitteilung vom 24. Juli 2026 nennt Google die Partner Apple, ElevenLabs, Kakao, Nvidia und OpenAI, mit denen es interoperable Wasserzeichen auf SynthID-Basis verbreiten will. Welche Inhaltsarten das umfasst, sagt der Beitrag nicht; bei OpenAI sind es nach dessen Angaben Bild und Audio.

In derselben Mitteilung kritisiert Google die Regelung, der es gerade beitritt. Solange die technischen Lösungen noch in Entwicklung seien, könne zusätzliche Regulierung den europäischen Zielen Wettbewerbsfähigkeit und Vereinfachung zuwiderlaufen. Werde das Netz mit einander überlagernden KI-Hinweisen und rechtlichen Erklärungen geflutet, erschwere das genau jenen Menschen die Orientierung, denen die Regeln helfen sollen. Der Anbieter mit dem größten Vorsprung hält die Pflicht also selbst für in Teilen kontraproduktiv.

Meta, Microsoft, Mistral, Cohere, Aleph Alpha und Black Forest Labs haben den Code of Practice ebenfalls unterzeichnet, wie die laufend aktualisierte Signatarliste der EU-Kommission zeigt. Zur technischen Umsetzung bei diesen Anbietern liegen bislang keine belastbaren, öffentlich dokumentierten Angaben vor.

Was bedeutet das für alle, die KI-Texte veröffentlichen?

Die Kennzeichnungspflicht aus Artikel 50 Absatz 2 trifft die Anbieter der Modelle. Lückenlos greift sie nicht. Die EU-Kommission zählt mehrere Ausnahmen auf: kurze Zeichen- oder Zahlenfolgen, Quellcode, Ausgaben, die ausschließlich zwischen Maschinen fließen und nie einem Menschen begegnen, sowie Inhalte aus geschlossenen industriellen Entwicklungsumgebungen. Auch Systeme, die nur eine unterstützende Funktion bei üblicher Bearbeitung erfüllen, bleiben außen vor. Für Entwickler heißt das: Von einer KI geschriebener Quellcode fällt nicht unter die Kennzeichnungspflicht.

Wer selbst mit KI arbeitet und Ergebnisse veröffentlicht, unterliegt einer eigenen Pflicht. Artikel 50 Absatz 4 verlangt von Unternehmen und Redaktionen, KI-erzeugten oder KI-veränderten Text zu Themen von öffentlichem Interesse als solchen zu kennzeichnen. Die Kommission zählt dazu unter anderem Politik, öffentliche Verwaltung, Gesundheit, Verbrauchersicherheit sowie wirtschaftliche und wissenschaftliche Entwicklungen.

Die Ausnahme greift, wenn der Inhalt eine menschliche Prüfung oder redaktionelle Kontrolle durchlaufen hat und eine Person die redaktionelle Verantwortung trägt. Diese Ausnahme ist enger, als sie klingt. Oberflächliche, rein formale oder verfahrensmäßige Kontrollen zählen laut Kommission ausdrücklich nicht – eine Rechtschreib- oder Grammatikprüfung genügt also nicht. Gemeint ist: Jemand mit Sachkenntnis setzt sich inhaltlich mit dem Text auseinander, prüft Fakten und Quellen.

Der Code of Practice wird noch deutlicher. Wer sich auf die Ausnahme beruft, braucht eine interne Richtlinie, die die verantwortliche Person mit Name, Rolle und Kontaktdaten benennt, dazu eine Übersicht der organisatorischen Maßnahmen und personellen Ressourcen. Die Kontaktdaten müssen öffentlich sein, soweit sie es nicht ohnehin sind. Einzelne Prüfvorgänge muss dagegen niemand dokumentieren. Medienanbieter dürfen sich auf ihre bestehenden redaktionellen Verfahren stützen.

Wer kennzeichnen muss, bekommt dafür Werkzeug. Die EU stellt drei frei nutzbare Icons bereit: eines für vollständig KI-erzeugte Inhalte, eines für teilweise veränderte und ein Basis-Icon zur eigenen Ergänzung. Eine Quellenangabe verlangt die Kommission dafür nicht. Bei veröffentlichtem Text soll das Icon über dem Text stehen, nahe der Überschrift oder im Impressumsblock am Textanfang.

Wichtig: Die Icons sind freiwillig, die Kennzeichnungspflicht ist es nicht. Und das Icon allein begründet laut Kommission keine Rechtskonformität. Bei Verstößen drohen Bußgelder bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes; durchsetzen sollen die Regeln vor allem die nationalen Marktüberwachungsbehörden. Ein Wasserzeichen des Modellanbieters ersetzt die eigene Kennzeichnungspflicht damit nicht. Ein fehlendes befreit ebenso wenig davon.

Fazit

Anthropics Ankündigung ist real. Wer aber erwartet, dass Claude-Texte damit ab sofort nachweisbar sind, verwechselt eine Zusage mit einem Zustand. Kein aktuelles Modell erfüllt sie heute, und ob sich das bis zur gesetzlichen Frist am 2. Dezember ändert, ist offen. Selbst wenn die Nachrüstung kommt, bleibt ein Wasserzeichen ein Indiz, kein Beweis. Bei Text trägt es eine einzige Markierungsebene, unter 200 Token greift es gar nicht, und gründliches Umschreiben hebt es auf.

OpenAI hat aus genau diesem Grund schon 2024 darauf verzichtet, ein fertig entwickeltes Verfahren zu veröffentlichen. Und der einzige der drei großen Anbieter, der überhaupt angibt, Text heute schon zu markieren, hält die neue Pflicht selbst für in Teilen kontraproduktiv: Google.

Ist aktuell von Claude generierter Text schon mit einem Wasserzeichen versehen?

Nein. Anthropics Ankündigung gilt für Claude-Modelle, die ab dem 2. August 2026 in der EU eingeführt werden. Alle derzeit angebotenen Modelle, darunter Sonnet 5 und Opus 5, sind vor diesem Stichtag erschienen. Anthropic hat eine Nachrüstung angekündigt, ohne ein Datum zu nennen; für vor dem Stichtag in Verkehr gebrachte Systeme läuft gesetzlich eine Frist bis zum 2. Dezember 2026.

Wie funktioniert das unsichtbare Wasserzeichen technisch?

Anthropic hat den eigenen Mechanismus nicht im Detail offengelegt. Ein vergleichbares, öffentlich dokumentiertes Verfahren nutzt Google für seine Technologie SynthID: Es verschiebt beim Schreiben die Wahrscheinlichkeiten, mit denen ein Sprachmodell einzelne Textbausteine auswählt, in einem für Menschen unsichtbaren Muster, das sich später statistisch nachweisen lässt.

Gilt die Kennzeichnungspflicht nur für Nutzer in der EU?

Die gesetzliche Pflicht aus Artikel 50 EU AI Act gilt für Inhalte, die in der EU angeboten werden. Anthropic hat allerdings angekündigt, die Kennzeichnung weltweit umzusetzen, unabhängig vom Standort der Nutzer.

Kann man das Wasserzeichen entfernen oder umgehen?

Laut Anthropics eigenen Angaben lässt sich die Erkennbarkeit durch starke Bearbeitung oder Übersetzung deutlich verringern oder ganz aufheben. Sehr kurze Texte tragen ohnehin kein zuverlässiges Wasserzeichen: Der EU-Code of Practice zieht die Grenze bei 200 Token, grob 150 Wörtern. Bei Dateien geht die Herkunftskennzeichnung häufig durch Formatkonvertierung, erneutes Speichern oder Screenshots verloren.

Muss ich KI-generierte Texte kennzeichnen, wenn ich sie veröffentliche?

Artikel 50 Absatz 4 des EU AI Act verlangt eine Kennzeichnung für veröffentlichten KI-Text zu Themen von öffentlichem Interesse. Die Pflicht entfällt, wenn der Text eine inhaltliche menschliche Prüfung oder redaktionelle Kontrolle durchlaufen hat und eine Person die redaktionelle Verantwortung trägt. Eine reine Rechtschreib- oder Grammatikprüfung genügt dafür laut EU-Kommission nicht.

Welcher KI-Anbieter versieht Text schon heute mit einem Wasserzeichen?

Von den drei großen Anbietern gibt allein Google an, mit Gemini und der Technologie SynthID erzeugten Text bereits zu markieren. Unabhängig überprüfen lässt sich das nicht, weil kein frei zugängliches Werkzeug zur Erkennung von Text-Wasserzeichen existiert. ChatGPT von OpenAI und Claude von Anthropic markieren generierten Text nach eigenen Angaben nicht.

- Advertisement -