KI-Wasserzeichen im Text: Wie die Markierung funktioniert

Seit dem 2. August 2026 bettet Anthropic in jeden Text, den ein neu gestartetes Claude-Modell erzeugt, ein maschinenlesbares KI-Wasserzeichen ein. Weltweit, über alle Zugänge, auch über AWS, Google Cloud und Microsoft Foundry.¹

In den Gesprächen der letzten Tage kam fast immer dieselbe Frage: Ist das Zeichen weg, wenn ich den Text einmal woanders hineinkopiere? Die Antwort ist nein. Sie führt aber zu der Frage, die betrieblich wirklich zählt, nämlich wie belastbar so ein Signal überhaupt ist und wer es lesen kann.

Dieser Artikel erklärt die Technik, was sie an der Textqualität ändert, wo ihre Grenzen liegen und wie der Stand bei den drei großen Anbietern ist. Wann Sie KI-Inhalte sichtbar kennzeichnen müssen, ist eine eigene Frage. Die behandeln wir in KI-Aufsicht in Deutschland: Ändert sich das Risiko jetzt wirklich?, den regulatorischen Rahmen dazu in EU AI Act: Was der 2. August 2026 für den Mittelstand bedeutet.

Das Wasserzeichen steckt in der Wortwahl

Ein Text-Wasserzeichen ist keine Datei-Eigenschaft. Es gibt keine versteckten Zeichen, keine unsichtbaren Leerzeichen und keine Metadaten im Hintergrund.

Die Markierung entsteht während der Texterzeugung. Ein Sprachmodell hat an jeder Stelle mehrere passende Fortsetzungen zur Auswahl. Das Verfahren beeinflusst diese Auswahl leicht und bevorzugt bestimmte Kandidaten in einem Muster, das vom vorangegangenen Kontext abhängt. Über einige hundert Wörter entsteht daraus eine statistische Signatur, die sich mit dem passenden Schlüssel nachrechnen lässt. Das Wall Street Journal beschrieb OpenAIs Prototyp genau so: Das Verfahren ändert leicht, wie das Modell das nächste Wort oder Wortfragment wählt, und hinterlässt dabei eine Spur.⁵

Anthropic formuliert die Konsequenz in der eigenen Dokumentation deutlich: Weil das Zeichen Teil des Textes ist, reist es beim Kopieren und Einfügen mit und übersteht teilweise auch Bearbeitungen.¹

Damit ist die Copy-Paste-Frage beantwortet. Sie können den Text durch beliebig viele Zwischenablagen, Editoren und Dokumente schicken. Solange die Wörter dieselben bleiben, bleibt auch die Signatur. Was das Signal schwächt, ist eine Veränderung der Wörter selbst.

Anthropic nutzt daneben ein zweites Verfahren für Dateien. Bei Formaten wie SVG, PNG und JPG werden signierte Herkunftsdaten nach dem C2PA-Standard angehängt.¹ Diese Metadaten verhalten sich anders als das Text-Wasserzeichen. Sie gehen beim Konvertieren, erneuten Speichern oder bei einem Screenshot verloren.¹

Was die Markierung an der Textqualität ändert

Wenn ein Verfahren die Wortwahl des Modells beeinflusst, liegt die Frage nahe, ob der Text dadurch schlechter wird. Die Antwort hängt an der Einstellung.

SynthID-Text lässt sich in zwei Betriebsarten fahren. In der verzerrungsfreien Einstellung bleibt die Textqualität erhalten. In der verzerrenden Einstellung wird das Signal stärker und leichter erkennbar, und zwar auf Kosten der Qualität.²

Für die verzerrungsfreie Variante liegen belastbare Daten vor. Standard-Benchmarks und paarweise Bewertungen durch Menschen zeigten keine Veränderung der Modellfähigkeiten. Dazu kommt ein Feldtest im Produktivbetrieb: Über knapp 20 Millionen Antworten aus laufenden Gemini-Interaktionen unterschieden sich markierte und nicht markierte Ausgaben nicht signifikant in der Bewertung durch die Nutzer.²

Zwei technische Punkte gehören dazu. Das Verfahren greift nicht ins Training ein, sondern verändert nur den Abtastvorgang bei der Texterzeugung. Und die Erkennung braucht das Modell selbst nicht, sie läuft rechnerisch günstig auf dem Text.²

Ein Wasserzeichen ohne merklichen Qualitätsverlust ist damit technisch möglich. Wie stark ein Anbieter das Signal dreht, ist eine Konfigurationsentscheidung, die er nicht offenlegen muss.

Was Google, Anthropic und OpenAI jeweils machen

Die drei Anbieter stehen an unterschiedlichen Punkten.

Google hat die Technik entwickelt. SynthID-Text wurde 2024 in Nature veröffentlicht, im Gemini-Produkt ausgerollt und als Open Source freigegeben.²³ Nach Angaben von Google sind inzwischen über 10 Milliarden Inhalte mit SynthID markiert.⁴

Anthropic hat den Code of Practice zu Artikel 50 Absatz 2 unterzeichnet und markiert seit dem 2. August. Modelle, die vor diesem Datum gestartet sind, fallen unter eine Übergangsfrist und werden nachgerüstet.¹

OpenAI markiert Text bis heute nicht. Nach Berichten des Wall Street Journal lag ein Verfahren fertig in der Schublade, mit einer angegebenen Trefferquote von 99,9 Prozent bei ausreichender Textlänge. Gegen die Auslieferung sprachen aus Sicht des Unternehmens drei Punkte: die Umgehbarkeit über Übersetzungswerkzeuge, die Sorge vor Falschbeschuldigungen besonders bei Menschen, die nicht in ihrer Muttersprache schreiben, sowie eine interne Befragung, nach der ein Teil der Nutzer zu Alternativen ohne Markierung gewechselt wäre.⁵

Bei Bildern ist OpenAI weiter. Am 19. Mai 2026 trat das Unternehmen dem Steuerungsgremium des C2PA-Standards bei, bettet zusätzlich SynthID in Bilder aus ChatGPT, API und Codex ein und stellte mit Verify ein öffentliches Prüfwerkzeug als Research Preview bereit.⁶

Für die Praxis bedeutet das: Bei Text gibt es keinen anbieterübergreifenden Standard. Ein fehlendes Wasserzeichen sagt nichts über die Herkunft eines Textes aus, weil ein großer Teil der erzeugten Texte gar nicht markiert wird.

Wo das Signal verschwindet

Die Belastbarkeit der Markierung ist der am besten untersuchte Teil des Themas, und die Befunde fallen einheitlich aus.

Das SRI Lab der ETH Zürich hat SynthID-Text 2024 systematisch geprüft. Ergebnis: Das Verfahren lässt sich mit handelsüblichen Umschreibe-Werkzeugen in über 90 Prozent der Fälle aus einem Text entfernen, bei Texten in der Größenordnung von 1.000 Token. Die Autoren ordnen es als leichter entfernbar ein als vergleichbare Verfahren. Es handelt sich um einen Laborbericht ohne Peer Review.⁷

Eine 2025 auf der TrustCom vorgestellte Arbeit kommt zum selben Bild und benennt drei Angriffsarten, die die Erkennbarkeit deutlich senken: Umschreiben, Ausschnitte und Umstellungen sowie Rückübersetzung über eine Zwischensprache.⁸

Anthropic listet die Grenzen selbst auf. Ein Text kann trotz Claude-Herkunft keine erkennbare Markierung tragen, wenn er stark bearbeitet, umgeschrieben, übersetzt oder mit anderem Material vermischt wurde, oder wenn die Passage schlicht zu kurz für ein verlässliches Signal ist.¹

Der Punkt, der daraus für Ihre Redaktion folgt, ist unangenehm einfach. Eine ernsthafte inhaltliche Überarbeitung verändert Wortwahl und Satzbau. Sie entfernt das Wasserzeichen damit als Nebenwirkung. Wer sauber redigiert, produziert am Ende einen Text ohne Markierung, obwohl KI beteiligt war.

Umgekehrt gilt eine zweite Einschränkung, die Anthropic ebenfalls dokumentiert: Ein gefundenes Zeichen belegt nur, dass Text durch das Modell gelaufen ist. Es unterscheidet nicht zwischen einem vollständig generierten Entwurf und einem menschlichen Text, der zum Korrekturlesen durch das Modell geschickt wurde.¹

Wer KI-Texte heute erkennen kann

Beim Erkennen werden regelmäßig zwei Verfahren verwechselt, die technisch nichts miteinander zu tun haben.

Wasserzeichen-Detektoren rechnen die statistische Signatur nach. Sie brauchen dafür den Schlüssel des jeweiligen Anbieters, funktionieren nur für dessen Modelle und liefern bei Treffern eine hohe Sicherheit. Ihre Verfügbarkeit ist derzeit die Schwachstelle. Anthropic kündigt technische Dokumentation zur Erkennung an, ohne Datum.¹ Google betreibt mit dem SynthID Detector ein Prüfportal, der Zugang läuft jedoch über eine Warteliste für Journalisten und Forschende.⁴ Für die im Gemini-Produkt integrierte Prüffunktion dokumentierte Lead Stories im Juli 2026 widersprüchliche Ergebnisse innerhalb derselben Sitzung, sowohl falsch positive als auch falsch negative.⁹

Post-hoc-Klassifikatoren arbeiten ohne Schlüssel. Sie bewerten statistische Eigenschaften eines Textes und schätzen daraus die Wahrscheinlichkeit maschineller Erzeugung. Sie funktionieren herstellerübergreifend und auch bei nicht markierten Modellen. Dafür arbeiten sie mit Wahrscheinlichkeiten, nicht mit Nachweisen.

In diesem zweiten Feld ist in den USA ein eigener Markt entstanden. Als Marktführer gilt dort Pangram, dessen Geschäftsführer Max Spero am 14. August 2026 im Podcast Hard Fork der New York Times über den Zulauf sprach.¹⁰ Weitere verbreitete Anbieter sind GPTZero, Copyleaks und Turnitin, letzterer vor allem im Hochschulbereich.

Bei den kursierenden Genauigkeitswerten ist Vorsicht angebracht. Die verbreitete Vergleichstabelle mit Falsch-Positiv-Raten von rund 0,01 Prozent für Pangram, 0,2 Prozent für Copyleaks, 0,51 Prozent für Turnitin und 1 Prozent für GPTZero stammt aus Pangrams eigenem Unternehmensblog und ist damit eine Anbieterangabe im Wettbewerb.¹¹ Unabhängig gestützt ist im Wesentlichen eine Untersuchung der University of Chicago Booth School aus dem Jahr 2025, in der Pangram die niedrigste Falsch-Positiv-Rate im Testfeld erreichte.¹¹

Für die betriebliche Nutzung bleibt das Grundproblem bestehen. Bei einer Falsch-Positiv-Rate von 1 Prozent und 500 geprüften Texten im Jahr entstehen rechnerisch fünf falsche Verdachtsfälle. Ob das tragbar ist, hängt davon ab, welche Folge an das Ergebnis geknüpft wird.

Was Sie damit praktisch machen können

Zwei Situationen kommen im Alltag vor. Sie erstellen Texte mit KI, oder Sie bekommen Texte und wollen wissen, wie sie entstanden sind.

Beim Erstellen. Die Markierung gehört dem Anbieter und verschwindet ausgerechnet dann, wenn Sie gründlich redigieren. Ihr eigener Nachweis muss deshalb aus dem Ablauf kommen. Halten Sie ihn dort fest, wo der Inhalt ohnehin liegt: Werkzeug und Version, Anteil der KI in drei groben Kategorien, prüfende Person mit Rolle, geprüfter Gegenstand, freigebende Instanz. Nach dem Einrichten kostet das zwei bis drei Minuten je Beitrag. Welche rechtliche Anforderung dahintersteht und wann eine sichtbare Kennzeichnung überhaupt verlangt ist, steht in KI-Aufsicht in Deutschland: Ändert sich das Risiko jetzt wirklich?.

Zwei Dinge gehören außerdem geklärt, bevor Zweifelsfälle auftreten. Erstens, wer im Haus überhaupt entscheiden darf, dass ein Text als KI-erzeugt gilt. Zweitens, was daraus folgt. Ein Prüfergebnis ohne definierte Konsequenz erzeugt Unruhe ohne Nutzen.

Beim Erkennen. Behandeln Sie jedes Detektor-Ergebnis als Anlass für ein Gespräch, nicht als Feststellung. Prüfen Sie längere Passagen statt einzelner Absätze, weil beide Verfahren mit der Textlänge deutlich sicherer werden.¹⁵ Und dokumentieren Sie, mit welchem Werkzeug in welcher Version Sie geprüft haben. Die Anbieter aktualisieren ihre Modelle laufend, ein Ergebnis von heute ist in drei Monaten nicht reproduzierbar.

Bei Bewerbungen, Prüfungsleistungen und arbeitsrechtlich relevanten Sachverhalten kommt hinzu, dass ein Wahrscheinlichkeitswert allein keine tragfähige Grundlage für eine Entscheidung ist. Wer solche Prüfungen einführt, sollte den Betriebsrat und die eigene Rechtsberatung vorher einbinden.

Handlungsempfehlung: drei Schritte

1. Erwartung korrigieren, 15 Minuten im nächsten Jour fixe. Klären Sie im Team, was ein Wasserzeichen aussagt und was nicht. Der häufigste Irrtum in beide Richtungen kostet mehr Zeit als das Thema selbst.
2. Herkunft dokumentieren statt Technik hoffen, ein halber Tag. Fünf Felder im CMS oder Ticketsystem, eine benannte Freigabe-Instanz, mit den nächsten zehn Beiträgen testen.
3. Regel für Detektor-Ergebnisse festlegen, vor dem ersten Fall. Wer prüft, ab welchem Anlass, mit welchem Werkzeug, und was folgt aus einem Treffer. Ohne diese Regel entsteht der Konflikt genau dann, wenn niemand Zeit für ihn hat.

Wenn Sie prüfen wollen, wie Ihr Content-Prozess an dieser Stelle aufgestellt ist, sprechen Sie uns an. Ein Blick auf Rollen, Freigaben und Dokumentation dauert selten länger als zwei Stunden. Termin vereinbaren

Häufige Fragen zum KI-Wasserzeichen

Entfernt Copy-Paste das Wasserzeichen? Nein. Das Zeichen steckt in der Wortwahl des Textes und wird beim Kopieren mitgenommen.¹

Was entfernt es dann? Veränderungen am Wortlaut. Umschreiben, Übersetzen, starkes Kürzen und das Mischen mit anderem Text schwächen oder löschen das Signal.¹⁷⁸

Werden die Antworten durch das Wasserzeichen schlechter? In der verzerrungsfreien Einstellung nicht messbar. Ein Feldtest über knapp 20 Millionen Gemini-Antworten zeigte keinen signifikanten Unterschied in der Nutzerbewertung zwischen markierten und nicht markierten Ausgaben.² Es gibt jedoch auch eine verzerrende Einstellung, die das Signal auf Kosten der Qualität verstärkt.²

Kann ich heute selbst prüfen, ob ein Text von Claude stammt? Es gibt derzeit kein öffentliches Werkzeug dafür. Anthropic hat Dokumentation zur Erkennung angekündigt, ohne Datum zu nennen.¹

Sind KI-Detektoren zuverlässig? Sie liefern Wahrscheinlichkeiten. Die niedrigsten veröffentlichten Falsch-Positiv-Raten liegen im Bereich von Bruchteilen eines Prozents, stammen aber überwiegend von den Anbietern selbst.¹¹ Bei kurzen Texten steigt die Fehlerquote.

Markiert ChatGPT seine Texte? Nach dem öffentlich bekannten Stand nicht. OpenAI hat ein Verfahren entwickelt und nicht ausgeliefert.⁵ Bei Bildern nutzt das Unternehmen C2PA-Herkunftsdaten und SynthID.⁶

Über 6Rocks: Wir begleiten mittelständische Unternehmen, Agenturen und Kanzleien bei der KI-Transformation, strukturiert entlang der sechs Rocks, rechtssicher von Anfang an und mit Fokus auf messbare Wirkung. Your Path to AI Sovereignty.

Quellen & Verweise

1. Anthropic Support, „How Claude marks AI-generated content", abgerufen 17.08.2026: support.claude.com
2. Dathathri et al., „Scalable watermarking for identifying large language model outputs", Nature, 23.10.2024: nature.com
3. Google DeepMind, SynthID-Text Open-Source-Implementierung: github.com
4. Google, „SynthID Detector – a new portal to help identify AI-generated content": blog.google · Übersicht SynthID: deepmind.google
5. Wall Street Journal zu OpenAIs unveröffentlichtem Text-Wasserzeichen (99,9 % Trefferquote, Nichtauslieferung), Zusammenfassung: thurrott.com
6. OpenAI, „Advancing content provenance for a safer, more transparent AI ecosystem", 19.05.2026: openai.com · C2PA-Mitteilung: spec.c2pa.org
7. Jovanović, Gloaguen, Vechev, „Probing Google DeepMind's SynthID-Text Watermark", ETH Zürich SRI Lab, 20.12.2024: sri.inf.ethz.ch
8. Han, Li, Ni, Zulkernine, „Robustness Assessment and Enhancement of Text Watermarking for Google's SynthID", TrustCom 2025, arXiv:2508.20228: arxiv.org
9. Lead Stories, „Google Gemini SynthID AI Watermark Detector Appears To Mix Up Results In Same Chat", 07/2026: leadstories.com
10. Hard Fork (The New York Times), Episode vom 14.08.2026 mit Max Spero (Pangram): podcasts.apple.com
11. Pangram, „All About False Positives in AI Detectors" und „Third-Party Pangram Evaluations" (Anbieterangaben im Wettbewerb): pangram.com · pangram.com