Claude versteckt nun unsichtbare Wasserzeichen in seinen Texten, und das Ändern einiger Wörter reicht möglicherweise nicht aus, um diese zu entfernen.

Kopiert man einen Absatz aus Claude in eine E-Mail, schreibt einen Satz um, ersetzt ein paar Wörter und entfernt die Formatierung, bleibt für einen Menschen ganz normaler Text übrig. Kein Hinweis, kein ungewöhnliches Symbol und kein sichtbares Zeichen dafür, dass ein KI-Modell beteiligt war. Anthropic führt nun jedoch eine Technik ein, mit der dieser Text möglicherweise trotzdem erkannt werden kann: ein unsichtbares, maschinenlesbares Wasserzeichen, das direkt in die Ausgabe von Claude eingebettet wird.

Die Änderung ist Teil von Anthropics Reaktion auf neue Transparenzpflichten im Rahmen des europäischen AI Act. Claude-Modelle, die am oder nach dem 2. August 2026 veröffentlicht wurden, sollen generierten Text bereits bei seiner Entstehung markieren. Ältere Modelle sollen während einer Übergangsphase folgen. Besonders relevant ist dabei, dass Anthropic dies nicht ausschließlich als europäische Funktion behandelt. Das Wasserzeichen wird auf Modellebene implementiert, wodurch von Claude generierte Inhalte die Markierung unabhängig davon enthalten können, wo das Modell verwendet wird.

Damit ist die Technik deutlich interessanter als ein einfacher Hinweis mit der Aufschrift „KI-generiert“. Das Wasserzeichen ist überhaupt nicht dafür gedacht, von Menschen gesehen zu werden. Es soll von Maschinen erkannt werden.

Es handelt sich nicht um ein verstecktes Zeichen am Ende des Textes

Bei einem unsichtbaren Wasserzeichen in Texten liegt zunächst die Vermutung nahe, dass Claude versteckte Unicode-Zeichen, Zero-Width Spaces oder andere unsichtbare Zeichen zwischen Wörtern einfügt. Das wäre technisch möglich, gleichzeitig aber relativ anfällig. Wird der Text durch den falschen Editor kopiert, werden Zeichen normalisiert oder ungewöhnliche Unicode-Zeichen entfernt, könnte ein solches Wasserzeichen schnell verschwinden.

Anthropic beschreibt seinen Ansatz anders. Das Wasserzeichen wird auf Modellebene in den generierten Text eingebettet und soll alltägliche Vorgänge wie Kopieren und Einfügen überstehen. Das Unternehmen erklärt außerdem, dass das Signal auch nach bestimmten Änderungen am Text weiterhin erkannt werden kann.

Anthropic hat bisher nicht öffentlich erklärt, welchen genauen Algorithmus Claude dafür verwendet. Diese Unterscheidung ist wichtig. Forschungen zu Wasserzeichen für Sprachmodelle haben verschiedene Methoden gezeigt, bei denen statistische Muster in generierten Text eingebaut werden. Dabei kann beispielsweise subtil beeinflusst werden, welche Tokens ein Sprachmodell beim Schreiben auswählt. Statt zusätzliche Informationen zwischen Buchstaben zu verstecken, werden die gewählten Wörter und Formulierungen selbst Teil des Signals.

Angenommen, Claude könnte an einer bestimmten Stelle zwischen „groß“, „erheblich“, „beträchtlich“ und „umfangreich“ wählen. Inhaltlich könnten alle Varianten korrekt sein. Ein Wasserzeichensystem könnte bestimmte gültige Optionen anhand eines geheimen Musters etwas häufiger auswählen als andere. Eine einzelne Wortwahl sagt praktisch nichts aus. Über Hunderte von Tokens hinweg können diese kleinen Entscheidungen jedoch eine statistische Signatur bilden.

Dieses Beispiel zeigt, wie diese Art von Wasserzeichen technisch funktionieren kann. Es bedeutet nicht, dass Anthropic exakt diese Methode verwendet. Die genaue Implementierung wurde bislang nicht veröffentlicht. Bestätigt ist jedoch der entscheidende Punkt: Die Markierung ist unsichtbar, wird in den generierten Text eingebettet und soll bestimmte normale Veränderungen des Textes überstehen.

Ein paar Wörter zu ändern, reicht möglicherweise nicht aus

Genau hier wird ein Wasserzeichen in Texten wesentlich leistungsfähiger als Metadaten, die lediglich an ein Dokument angehängt werden.

Befände sich ein Wasserzeichen ausschließlich in den Metadaten eines Word-Dokuments, einer PDF-Datei oder eines Bildes, ließe sich der eigentliche Inhalt relativ leicht davon trennen. Kopiert man den Text in ein neues Dokument, verschwinden die ursprünglichen Metadaten. Ein Wasserzeichen, das in den statistischen Eigenschaften der Sprache selbst steckt, funktioniert anders. Das Signal bewegt sich gewissermaßen zusammen mit dem Text.

Das Ändern eines einzelnen Satzes muss das Wasserzeichen deshalb nicht zerstören. Gleiches gilt für das Ersetzen einiger Wörter. Bleibt ein ausreichend großer Teil des ursprünglichen statistischen Musters erhalten, könnte ein Detektor weiterhin genügend Informationen haben, um festzustellen, dass der Text ein Wasserzeichen enthält.

Das ist nicht nur Theorie. Forschungen zu robusten Wasserzeichen für Sprachmodelle beschäftigen sich seit Längerem genau mit dieser Frage: Was passiert, wenn Menschen KI-generierte Texte bearbeiten? Untersuchungen haben gezeigt, dass Spuren bestimmter Wasserzeichentechniken auch nach zahlreichen Änderungen erkennbar bleiben können. Andere Verfahren wurden speziell dafür entwickelt, Signale in Texten wiederzufinden, die teilweise von Menschen bearbeitet wurden.

Das bedeutet allerdings nicht, dass ein Claude-Wasserzeichen permanent bestehen bleibt. Auch Anthropic räumt Einschränkungen ein. Umfangreiches Umschreiben, starkes Paraphrasieren, Übersetzen oder das Vermischen des generierten Textes mit ausreichend anderem Material kann ein Wasserzeichen abschwächen oder letztlich unkenntlich machen.

Die Grenze verschiebt sich dadurch trotzdem deutlich. „Ich habe ein paar Wörter geändert“ bedeutet nicht mehr automatisch, dass jede erkennbare Verbindung zur ursprünglichen KI-Ausgabe verschwunden ist.

Ein Wasserzeichen beweist nicht, dass Claude das gesamte Dokument geschrieben hat

Genau daraus ergibt sich ein wichtiges Problem.

Angenommen, jemand schreibt selbst einen Artikel mit 1.500 Wörtern und bittet Claude lediglich darum, die Grammatik in drei Absätzen zu verbessern. Oder ein Entwickler schreibt selbst eine Funktion und lässt Claude Code den Code anschließend aufräumen. Ebenso könnte ein Unternehmen eine bereits vorhandene Pressemitteilung hochladen und Claude nur darum bitten, sie kürzer und verständlicher zu formulieren.

Wenn Claude dabei neuen Text generiert, könnte das fertige Dokument Wasserzeichensignale enthalten, obwohl der überwiegende Teil der eigentlichen Arbeit von einem Menschen stammt.

Eine positive Erkennung kann deshalb nicht automatisch als Beweis dafür interpretiert werden, dass „Claude diesen Text geschrieben hat“. Sie kann höchstens darauf hinweisen, dass der untersuchte Text ein Signal enthält, das mit von Claude generierter Ausgabe verbunden ist.

Umgekehrt gilt dasselbe. Wird kein Wasserzeichen gefunden, beweist das nicht, dass der Text von einem Menschen geschrieben wurde. Er könnte von einem älteren Modell, einem anderen KI-System oder einem Modell ohne Wasserzeichen stammen. Ebenso könnte ein ursprünglich von Claude generierter Text so stark verändert worden sein, dass das Signal nicht mehr zuverlässig erkannt werden kann.

Die Erkennung von Wasserzeichen unterscheidet sich damit grundsätzlich von den KI-Detektoren, die nach der Einführung von ChatGPT populär wurden. Solche Systeme versuchen normalerweise vorherzusagen, ob ein Text nach KI klingt. Ein echtes Wasserzeichen sucht dagegen nach einem Signal, das absichtlich vom Modell eingebaut wurde. Das kann deutlich stärkere Hinweise liefern, muss aber trotzdem im richtigen Kontext interpretiert werden.

Warum Anthropic das gerade jetzt macht

Der Zeitpunkt ist kein Zufall. Am 2. August 2026 wurden neue Transparenzpflichten aus dem europäischen AI Act anwendbar. Artikel 50 verpflichtet Anbieter generativer KI-Systeme dazu, generierte oder manipulierte Inhalte, soweit technisch machbar, maschinenlesbar identifizierbar zu machen.

Die dazugehörigen europäischen Richtlinien und Verhaltenskodizes gehen genauer darauf ein, wie Unternehmen diese Verpflichtungen erfüllen können. Das grundsätzliche Ziel ist klar: Wenn sich synthetische Texte, Bilder, Videos und Audiodateien im Internet verbreiten, sollen technische Mechanismen existieren, mit denen Plattformen, Forscher und andere Systeme deren künstlichen Ursprung erkennen können.

Bei Texten ist das besonders schwierig. Ein Bild kann Metadaten enthalten. Eine Videodatei kann Informationen über ihre Herkunft mitführen. Beide Formate können zusätzlich unsichtbare Signale in ihren Bilddaten enthalten. Bei einfachem Text bleibt nach dem Kopieren dagegen häufig nichts anderes übrig als die eigentliche Folge von Buchstaben und Wörtern.

Wenn ein Wasserzeichen das Kopieren und Einfügen überstehen soll, müssen die Informationen über die Herkunft daher auf irgendeine Weise Teil der Sprache selbst werden.

Bilder und Dateien erhalten eine andere Form des Herkunftsnachweises

Anthropic verwendet nicht für jede Art von Inhalt dieselbe Technik. Unterstützte generierte Dateien und Bilder können digital signierte Informationen über ihre Herkunft auf Basis von C2PA enthalten. Dabei handelt es sich um einen Industriestandard, mit dem dokumentiert werden kann, wo digitale Inhalte entstanden sind und wie sie anschließend verändert wurden.

Dadurch entsteht ein wichtiger Unterschied. C2PA-Informationen sind mit einem digitalen Objekt verbunden und können strukturierte Angaben über dessen Ursprung enthalten. Bei Text ist das schwieriger, weil Nutzer regelmäßig alles entfernen, was nicht zu den eigentlichen Wörtern gehört.

Gerade deshalb ist die Umsetzung bei Text technisch besonders interessant. Ein Absatz kann von Claude in die Zwischenablage kopiert, anschließend in Google Docs eingefügt, per E-Mail verschickt, in ein CMS übernommen und schließlich als HTML auf einer Website veröffentlicht werden. Übersteht das Wasserzeichen diese gesamte Kette, gibt es am Ende keine spezielle Claude-Datei mehr, die untersucht werden könnte. Es bleiben nur die Wörter.

Claude Code macht die Diskussion noch größer

Die möglichen Auswirkungen beschränken sich nicht auf Studenten, die KI für Hausarbeiten einsetzen, oder Verlage, die herausfinden möchten, ob ein Buch von einem Sprachmodell geschrieben wurde. Claude wird zunehmend professionell eingesetzt und Claude Code kann inzwischen erhebliche Mengen an produktivem Softwarecode erzeugen.

Ein Wasserzeichensystem auf Modellebene wirft deshalb eine naheliegende Frage auf: Was passiert, wenn der generierte Inhalt Programmcode ist?

Bei natürlicher Sprache besitzt ein Modell enorme Freiheit. Derselbe Gedanke kann auf Dutzende verschiedene Arten formuliert werden. Quellcode ist wesentlich stärker eingeschränkt. Das Ändern eines einzigen Tokens kann die Funktionsweise eines Programms verändern, einen Fehler verursachen oder verhindern, dass der Code überhaupt kompiliert.

Daraus entsteht auch eine wirtschaftliche Frage. Entwickler übernehmen täglich KI-generierten Code, verändern ihn, kombinieren ihn mit von Menschen geschriebenem Code und speichern das Ergebnis in Repositories, die teilweise über viele Jahre bestehen bleiben. Sollten Wasserzeichentechniken später zuverlässig Teile dieser Ausgabe erkennen können, müssen Unternehmen genau verstehen, was eine solche Erkennung bedeutet und vor allem, was sie nicht bedeutet.

Ein Wasserzeichen liefert Informationen über die Herkunft von Inhalten. Es sagt nicht automatisch etwas über Urheberrechte, Eigentum oder den Anteil menschlicher Arbeit am fertigen Produkt aus.

Für Schulen könnte KI-Erkennung deutlich weniger spekulativ werden

Der Bildungsbereich gehört wahrscheinlich zu den Gebieten, in denen diese Technologie besonders schnell Auswirkungen haben könnte.

Die aktuelle Generation von KI-Detektoren hat ein grundlegendes Problem: Sie weiß normalerweise nicht, woher ein Text tatsächlich stammt. Stattdessen analysiert die Software einen Text und berechnet, wie stark dessen Sprachmuster denen eines KI-Modells ähneln. Dadurch können Fehlalarme entstehen, bei denen vollständig von Menschen geschriebene Texte fälschlicherweise als KI-generiert eingestuft werden.

Ein Wasserzeichen, das vom Sprachmodell selbst eingebaut wird, verändert diese Fragestellung. Statt zu fragen: „Sieht dieser Text nach Claude aus?“, kann ein Detektor nach einem Signal suchen, das Claude bewusst während der Generierung eingebaut hat.

Das ist eine wesentlich konkretere Frage.

Trotzdem löst auch das die Probleme rund um akademische Integrität nicht vollständig. Ein Student könnte einen Aufsatz komplett selbst schreiben und Claude nur für grammatikalische Verbesserungen verwenden. Ein anderer könnte die gesamte Arbeit generieren lassen und anschließend umfangreich umschreiben. Der erste Text könnte trotz des hohen Anteils menschlicher Arbeit noch ein Wasserzeichen enthalten, während der zweite möglicherweise so stark verändert wurde, dass das ursprüngliche Signal kaum noch erkennbar ist.

Selbst zuverlässige Wasserzeichen ergeben deshalb keine einfache Maschine, die automatisch feststellen kann, ob jemand betrogen hat. Sie liefern Hinweise, die im jeweiligen Kontext bewertet werden müssen.

Nur Anthropic weiß derzeit genau, wonach gesucht werden muss

Ein weiterer auffälliger Aspekt des Systems betrifft die Erkennung selbst.

Anthropic hat angekündigt, an Möglichkeiten zu arbeiten, mit denen Dritte die Wasserzeichen überprüfen können, darunter spezielle Erkennungswerkzeuge. Die vollständigen technischen Details des Wasserzeichens für Text wurden bislang jedoch nicht veröffentlicht.

Damit entsteht vorerst eine ungewöhnliche Asymmetrie. Nutzer können Texte erhalten, in denen ein maschinenlesbares Signal steckt, das sie selbst weder sehen noch ohne Weiteres überprüfen können. Gleichzeitig weiß das Unternehmen, das den Text erzeugt hat, wie dieses System funktioniert.

Das führt nachvollziehbarerweise zu Diskussionen unter Entwicklern und anderen Claude-Nutzern. Wasserzeichen können die Herkunft digitaler Informationen transparenter machen. Gleichzeitig bedeutet die Technologie, dass KI-Unternehmen bewusst persistente Signale in generiertes Material einbauen. Wer Zugang zu den Erkennungswerkzeugen erhält, wie zuverlässig diese funktionieren und wie mit Fehlalarmen umgegangen wird, dürfte mindestens genauso wichtig werden wie das Wasserzeichen selbst.

Ein öffentlich zugänglicher Detektor könnte die Überprüfung für jeden ermöglichen. Ein eingeschränkt verfügbarer Detektor würde Anthropic dagegen wesentlich mehr Kontrolle darüber geben, wer feststellen kann, ob bestimmte Inhalte mit Claude erzeugt wurden.

Und dann gibt es noch das Problem von KI, die von KI lernt

Es gibt noch einen weiteren Grund, warum KI-Unternehmen seit Jahren an Wasserzeichen forschen. Dieser hat wenig damit zu tun, Studenten zu erwischen oder automatisch geschriebene Blogartikel zu identifizieren.

Das Internet füllt sich zunehmend mit KI-generierten Inhalten. Gleichzeitig werden zukünftige Generationen von KI-Modellen mit riesigen Mengen an Informationen trainiert, die aus genau diesem Internet stammen.

Dadurch besteht das Risiko, dass Modelle immer häufiger mit der Ausgabe anderer Modelle trainiert werden oder indirekt sogar mit ihrer eigenen früheren Ausgabe. Forscher sprechen in diesem Zusammenhang allgemein von einer Verunreinigung von Trainingsdaten durch synthetische Inhalte. Wenn solche Rückkopplungsschleifen unkontrolliert wachsen, wird es schwieriger, ursprünglich von Menschen geschaffene Informationen von Material zu unterscheiden, das bereits mehrfach durch generative Systeme verarbeitet wurde.

Zuverlässige Herkunftsinformationen liefern KI-Unternehmen ein zusätzliches Signal bei der Zusammenstellung zukünftiger Trainingsdatensätze. Erkennt ein Crawler, dass eine Website große Mengen an markiertem synthetischem Text enthält, können diese Inhalte anders behandelt werden als Informationen, deren Ursprung unbekannt ist.

Wasserzeichen dienen also nicht nur dazu, Menschen zu zeigen, welche Inhalte von KI stammen. Sie könnten langfristig ebenso wichtig werden, damit Maschinen die Arbeit anderer Maschinen erkennen können.

Claude wird wahrscheinlich nicht der Letzte sein

Die Entscheidung von Anthropic ist vor allem deshalb relevant, weil die europäischen Vorschriften nicht speziell für Anthropic geschrieben wurden.

Die Transparenzpflichten gelten grundsätzlich für Anbieter generativer KI-Systeme, die auf dem europäischen Markt tätig sind. Google hat mit SynthID beispielsweise bereits Technologien zum Wasserzeichnen KI-generierter Inhalte entwickelt, darunter auch Text. Der Druck auf große KI-Anbieter, zuverlässige und maschinenlesbare Systeme für Herkunftsinformationen zu entwickeln, nimmt dadurch weiter zu.

Unsichtbare Wasserzeichen in Texten könnten sich deshalb von einer ungewöhnlichen Claude-Funktion zu einem normalen Bestandteil generativer KI entwickeln.

Sollte das passieren, könnte das Internet langfristig mit unsichtbaren Fingerabdrücken verschiedener KI-Systeme durchzogen sein. Ein Absatz kann für einen Menschen völlig normal aussehen, während Software feststellen kann, dass Teile davon ein statistisches Signal enthalten, das mit einem bestimmten Modell oder Anbieter verbunden ist.

Die Technologie hat weiterhin Grenzen. Wasserzeichen können abgeschwächt werden. Texte lassen sich umschreiben. Unterschiedliche Modelle können unterschiedliche Verfahren einsetzen. Sehr kurze Texte enthalten möglicherweise nicht genügend Informationen für eine zuverlässige statistische Aussage. Und jedes Erkennungssystem, das starke Aussagen über die Herkunft eines Textes treffen soll, muss äußerst vorsichtig mit möglichen Fehlalarmen umgehen.

Das größere Bild

Das Interessanteste an Claudes unsichtbarem Wasserzeichen ist nicht, dass Anthropic einen cleveren Weg gefunden hat, Menschen zu erkennen, die KI-Texte kopieren. Entscheidend ist vielmehr, dass wir in eine Phase eintreten, in der die Herkunft digitaler Inhalte zunehmend Teil des Inhalts selbst wird.

Jahrelang fand KI-Erkennung hauptsächlich im Nachhinein statt. Ein Lehrer, Verlag, eine Suchmaschine oder ein Arbeitgeber erhält einen Text und bittet anschließend ein anderes System darum, einzuschätzen, ob dieser von einer Maschine geschrieben wurde. Wasserzeichen drehen dieses Verhältnis um. Das KI-Modell hinterlässt bereits während der Generierung bewusst Hinweise auf die Herkunft des Inhalts.

Und weil ein solches Signal in die statistische Struktur der Sprache eingebettet werden kann, anstatt als sichtbares Label hinzugefügt zu werden, verschwindet diese Verbindung nicht zwangsläufig, wenn die Claude-Konversation gelöscht oder der Text in eine andere Anwendung kopiert wird. Selbst das Ändern einiger Wörter kann noch genug vom ursprünglichen Muster übrig lassen, um eine Erkennung zu ermöglichen.

Das bedeutet nicht, dass von Claude generierte Texte künftig dauerhaft zurückverfolgt werden können. Ebenso wenig ist ein erkanntes Wasserzeichen ein unumstößlicher Beweis dafür, dass Claude ein vollständiges Dokument geschrieben hat. Umfangreiches Umschreiben kann das Signal abschwächen, Erkennungstechniken haben technische Grenzen und Anthropic muss noch deutlich mehr darüber erklären, wie die eigene Implementierung genau funktioniert.

Die Richtung ist jedoch klar. KI-generierte Texte beginnen, Informationen über ihre eigene Herkunft mitzuführen, die normale Nutzer nicht sehen können. Der Satz auf dem Bildschirm sieht vielleicht genauso aus wie gestern. Für eine andere Maschine ist derselbe Satz möglicherweise nicht mehr anonym.