Wie Sprachmodelle sich verraten: Über KI-Wasserzeichen und die Grenzen des Beweises

Um 22:43 Uhr unterbricht ein Instagram-Reel den Feed zwischen einer Werbung für eine Projektmanagement-Software und einem Clip für Rucksäcke aus Alpaka-Wolle. Acht Kacheln, eine strahlenförmige Sonne als Aufmacher, dann die Schlagzeile: Claude versteckt ein Wasserzeichen in seinen Antworten. Es folgt eine kleine, sauber gemachte Lektion in Sprachmodell-Grundlagen – ein Würfel für die Zufälligkeit, eine Funktion f(x) für die Verarbeitung, am Ende ein Häkchen für die Nachweisbarkeit. Zehn Likes, ein alarmierter Unterton.

Nichts an dem Reel ist falsch. Nur seine Dramaturgie erzählt als Enthüllung, was Anthropic im August 2026 selbst in aller Ausführlichkeit dokumentiert hat (1). Was wie ein aufgedecktes Geheimnis wirkt, ist tatsächlich die öffentlich angekündigte Umsetzung einer gesetzlichen Markierungspflicht – samt Erklärseite, FAQ und Registrierungsmaske für eine Detektions-API. Das ändert nichts an der technischen Substanz der Behauptung: Claude fügt seinen Antworten tatsächlich ein Muster hinzu, das mit einem Schlüssel nachweisbar ist. Es ändert nur, worin hier eigentlich die Nachricht besteht – und was sich daraus ableiten lässt.

Sprachmodelle schreiben, wie an dieser Stelle beschrieben, nicht Satz für Satz, sondern Token für Token. Bei jedem Schritt liegt eine Liste möglicher Kandidaten vor, jeder mit einer Wahrscheinlichkeit versehen. Für den Satz „Das Wetter heute war kalt und…„ ist „sonnig“ hochgradig unwahrscheinlich, „grau„ und „bewölkt“ dagegen fast gleich gut. Genau in solchen Fällen – wo die Wahl kaum etwas am Sinn ändert – entscheidet ein Zufallswert.

Ein Wasserzeichen verändert nicht, dass an dieser Stelle zufällig entschieden wird. Es verändert die Quelle der Zufälligkeit. Statt eines beliebigen Zufallsgenerators bestimmt eine Formel aus geheimem Schlüssel und den vorangegangenen Token, welche Option gerade als „zufällig" gilt. Für die Leserin bleibt der Text unverändert lesbar; für jemanden mit dem Schlüssel lässt sich im Nachhinein prüfen, ob die Tokenfolge zu den Entscheidungen passt, die das Modell mit genau diesem Schlüssel getroffen hätte. Trifft das mit hoher statistischer Sicherheit zu, war wahrscheinlich das Modell am Werk.

Die Grundidee stammt von einem Team um John Kirchenbauer an der University of Maryland, das 2023 vorschlug, den Wortschatz eines Modells bei jedem Schritt in zwei gleich große Listen zu teilen – eine grüne und eine rote (2). Ein pseudozufälliger Algorithmus bestimmt anhand der vorherigen Token, welche Liste gerade gilt; das Modell bevorzugt dann leicht die grünen Kandidaten. In einem unmarkierten Text entspricht der Anteil grüner Token ungefähr ihrem Anteil am Wortschatz. In einem markierten Text häufen sich die grünen, und je länger der Text, desto unwahrscheinlicher wird diese Häufung durch reinen Zufall.

Google DeepMind entwickelte aus derselben Grundidee 2024 mit SynthID-Text ein verwandtes, technisch aber anderes Verfahren. Beim sogenannten Tournament Sampling treten mehrere aus der ursprünglichen Wahrscheinlichkeitsverteilung gezogene Token gegeneinander an; pseudorandomisierte Bewertungsfunktionen entscheiden, welcher Kandidat sich durchsetzt (3). Das Team testete die Methode live an knapp zwanzig Millionen echten Gemini-Antworten und verglich Daumen-hoch- und Daumen-runter-Bewertungen zwischen markierten und unmarkierten Ausgaben. Der Unterschied: statistisch nicht nachweisbar. Eine Variante dieses Verfahrens setzt Anthropic seit August 2026 für Claude ein.

Dass ausgerechnet jetzt mehrere große Anbieter gleichzeitig Wasserzeichen einführen, ist kein Zufall und schon gar keine Kür. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung. Anbieter generativer KI-Systeme müssen synthetische Ausgaben maschinenlesbar markieren und als künstlich erzeugt oder verändert erkennbar machen, soweit dies technisch möglich ist; welches Verfahren sie dafür einsetzen, schreibt die Verordnung nicht vor. Anthropic gehört zu insgesamt rund 190 Unterzeichnern, die im Juli 2026 den Code of Practice on Transparency of AI-Generated Content unterschrieben haben (4), eine freiwillige Selbstverpflichtung, die die gesetzliche Pflicht konkretisiert.

Für Verbände, Fachgesellschaften und Redaktionen, die selbst KI-gestützt Texte veröffentlichen, hat die Regelung eine zweite Ebene. Artikel 50 unterscheidet zwischen Anbietern wie Anthropic, die ihre Ausgaben technisch markieren müssen, und Betreibern, die KI-Systeme beruflich einsetzen. Veröffentlichen Letztere KI-generierte Texte, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, kann eine Offenlegungspflicht entstehen. Sie entfällt jedoch, wenn der Inhalt menschlich geprüft oder redaktionell kontrolliert wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Alle seit dem 2. August 2026 erschienenen Claude-Modelle versehen ihre Textausgaben mit dem Wasserzeichen, aktuell Fable 5.1 und Mythos 5.1; bei älteren Modellen soll es in den kommenden Monaten ergänzt werden (10). Übersetzungen erhalten das Wasserzeichen ebenso wie frei formulierte Antworten, weil auch dort jeder Token vom Modell gewählt wird.

Hier wird es für alle interessant, die mit KI-Texten arbeiten, nicht nur für Kryptografen. Ein Wasserzeichen braucht Entscheidungsspielraum, um überhaupt zu entstehen. Bei einer Antwort wie „2 + 2 =" gibt es keine gleichwertige Alternative zu „4" und damit nichts, worin sich ein Muster verstecken ließe. Aus demselben Grund trägt Code, der in den allermeisten Fällen exakt sein muss, kaum ein nachweisbares Muster; allenfalls in Kommentaren, wo tatsächlich Formulierungsspielraum besteht.

Dasselbe gilt fürs Lektorat. Bittet man Claude, nur Grammatik und Zeichensetzung zu korrigieren, bleiben die meisten Wörter die der Autorin, und für das Wasserzeichen bleibt zu wenig übrig, um es zuverlässig nachzuweisen. Ein Wasserzeichen unterscheidet außerdem nicht zwischen „Claude hat das geschrieben" und „Claude hat das gründlich überarbeitet". Es beantwortet nur eine einzige Frage: Wie wahrscheinlich war Claude irgendwann beteiligt? Wer aus einem fehlenden Wasserzeichen schließt, ein Text sei garantiert menschlich, liegt damit ebenso falsch wie jemand, der aus einem gefundenen Muster auf vollständige KI-Autorschaft schließt.

Eine Verwechslung passiert an dieser Stelle besonders oft: Unterstützte Bilder und Dateien, die Claude erzeugt, tragen kein Wasserzeichen im eigentlichen Sinn, sondern sogenannte Content Credentials, kryptografisch signierte Hinweise in den Metadaten, nach dem offenen Standard C2PA, wie ihn auch Kameras und Bildbearbeitungssoftware verwenden. Der Unterschied ist mehr als technisches Beiwerk: Metadaten gehen bei einem Screenshot verloren, ein Text-Wasserzeichen dagegen reist mit dem Text mit, solange er nicht komplett umformuliert wird.

Für alle, die tiefer graben wollen, lohnt der Blick auf eine unbequeme Erkenntnis aus der Forschung. Ein Team der ETH Zürich zeigte 2024, dass sich Wasserzeichen-Verfahren wie das von Kirchenbauer über gezieltes Abfragen der Modell-API teilweise rekonstruieren lassen, ein Verfahren, das sie Watermark Stealing nennen (5). Wer näherungsweise rekonstruieren kann, welche Token das geheime Verfahren bevorzugt, kann zwei entgegengesetzte Angriffe fahren: Beim Scrubbing wird ein echter KI-Text so umformuliert, dass das Muster verschwindet, während der Inhalt erhalten bleibt. Beim Spoofing wird umgekehrt ein selbst geschriebener Text so an das bekannte Muster angepasst, dass er fälschlich als KI-generiert erscheint, im schlimmsten Fall, um eigene Inhalte einem Modell in die Schuhe zu schieben. Für weniger als fünfzig Dollar an API-Kosten erreichte das Team Erfolgsquoten von über achtzig Prozent gegen Verfahren, die zuvor als robust galten.

Das relativiert die Aussagekraft eines Wasserzeichens nicht grundsätzlich, zeigt aber, warum Anthropic den eigenen Schlüssel nicht offenlegt und den Zugang zur Detektions-API unter anderem auf Regulierungsbehörden, Strafverfolgung, Medien, Faktenprüfer, Forschungs- und Bildungseinrichtungen sowie gesetzlich verpflichtete Unternehmen beschränkt. Ein frei und unbegrenzt abfragbarer Detektor könnte zugleich als Orakel dienen, an dem sich Umgehungsversuche systematisch optimieren lassen. Die stilistische Erkennung, wie sie Dienste wie Pangram anbieten – technisch etwas anderes als ein Wasserzeichen –, kann deshalb ein unabhängiges zweites Indiz liefern, gerade weil sie auf einem anderen Prinzip beruht. Ein Beweis wird aus der Kombination trotzdem nicht.

Ein Wasserzeichen beweist nicht, wer geschrieben hat. Es verrät nur, wer wahrscheinlich mitgeschrieben hat.