Claude bekommt unsichtbare Wasserzeichen: Was Anthropic damit wirklich nachweisen kann

Anthropic will Ausgaben von Claude künftig mit maschinenlesbaren Markierungen versehen. Bei Text soll ein unsichtbares Wasserzeichen direkt in die Ausgabe eingebettet werden, bei unterstützten Dateien kommen signierte Provenienz-Metadaten zum Einsatz.¹

Der naheliegende Schluss wäre: Damit lässt sich künftig zuverlässig feststellen, ob ein Text von Claude geschrieben wurde.

Genau das leistet das Verfahren nicht.

Anthropic beschreibt die Markierung selbst wesentlich vorsichtiger. Ein Treffer ist ein Signal dafür, dass ein Inhalt von Claude verarbeitet wurde. Er ist kein Beweis dafür, dass Claude der ursprüngliche Autor war. Umgekehrt beweist ein fehlendes Wasserzeichen nicht, dass keine KI beteiligt war.¹

Damit entsteht weniger ein universeller KI-Detektor als eine technische Provenienzschicht. Und dieser Unterschied ist wichtiger als das Wasserzeichen selbst.

Was Anthropic konkret angekündigt hat

Die Markierung sitzt nach Anthropic auf Modellebene. Sie hängt also nicht an der Oberfläche von Claude.ai, sondern soll bei unterstützten Modellen unabhängig davon greifen, über welchen Zugang sie verwendet werden. Anthropic nennt unter anderem Claude, die API, Claude Code und Cowork sowie den Zugriff über AWS, Google Cloud und Microsoft Foundry.¹

Die Einführung erfolgt nicht rückwirkend für alle Modelle auf einmal. Neue Modelle, die seit dem 2. August 2026 in der EU auf den Markt kommen, sollen die Markierung von Anfang an unterstützen. Bei bereits vorhandenen Modellen läuft die Nachrüstung. Für diese sieht der EU AI Act bei der Kennzeichnungs- und Erkennungspflicht eine Übergangsfrist bis zum 2. Dezember 2026 vor.²

Anthropic will die Markierung zudem weltweit auf unterstützten Modellen einsetzen und nicht nur für Anfragen aus der EU.¹

Das ist technisch plausibel. Eine eigene Inference-Variante nur für Europa würde zusätzliche Modellpfade, Tests und Betriebslogik erzeugen. Eine einheitliche Implementierung ist einfacher, auch wenn die regulatorische Ursache aus Europa kommt.

Zwei Markierungen für zwei Arten von Inhalt

Bei Dateien kann Provenienz als Metadatum an der Datei hängen. Anthropic setzt dafür auf C2PA, einen offenen Standard für Content Credentials. Die Metadaten können kryptografisch signiert werden und damit Informationen über Herkunft und Bearbeitung transportieren.¹

Bei Text hilft dieses Prinzip nur begrenzt. Ein Metadatum verschwindet spätestens dann, wenn jemand einen Absatz kopiert und in einen anderen Editor einfügt.

Deshalb soll die Textmarkierung Teil des erzeugten Textes selbst sein. Anthropic spricht von einem „imperceptible watermark“, das beim Generieren eingebettet wird. Normales Kopieren und Einfügen soll es nicht entfernen; auch manche Bearbeitungen können das Signal erhalten.¹

Wichtig ist, was Anthropic bisher nicht veröffentlicht hat: den Algorithmus.

Es ist deshalb derzeit nicht seriös zu behaupten, Claude verwende ein bestimmtes Token-Schema oder eine konkrete statistische Codierung. Die angekündigte technische Dokumentation und Werkzeuge zur Erkennung stehen noch aus.¹

Wie ein Text-Wasserzeichen grundsätzlich funktionieren kann

Unsichtbare Unicode-Zeichen wären die triviale Variante. Zero-Width Spaces oder ungewöhnliche Leerzeichen lassen sich allerdings leicht normalisieren oder beim Wechsel zwischen Anwendungen verlieren. Für ein robustes Wasserzeichen ist das wenig attraktiv.

In der Forschung werden deshalb Verfahren untersucht, die bereits die Token-Auswahl des Sprachmodells beeinflussen. Ein LLM berechnet für jedes nächste Token eine Wahrscheinlichkeitsverteilung. Ein Wasserzeichen kann bestimmte zulässige Tokens minimal bevorzugen und dadurch über viele Tokens ein statistisches Muster erzeugen.

Vereinfacht könnte eine Verteilung so aussehen:

Antwort       0.34
Ausgabe       0.28
Sequenz       0.17
Reaktion      0.08

Ein Watermarking-Verfahren verändert die Gewichte geringfügig:

Antwort       0.31
Ausgabe       0.34
Sequenz       0.18
Reaktion      0.06

Der einzelne Unterschied ist bedeutungslos. Über einen längeren Text kann daraus aber ein statistisch nachweisbares Signal entstehen.

Kirchenbauer et al. haben ein solches Grundprinzip bereits 2023 beschrieben. Googles SynthID Text arbeitet ebenfalls direkt während der Generierung und moduliert die Wahrscheinlichkeit möglicher Tokens.³⁴

Das erklärt, wie moderne Text-Wasserzeichen funktionieren können. Daraus folgt allerdings nicht, dass Anthropic genau dieses Verfahren verwendet. Solange Anthropic die technischen Details nicht veröffentlicht, bleibt das offen.

Ein Treffer beweist keine Autorenschaft

Die wichtigste Einschränkung steht bei Anthropic selbst.

Ein Wasserzeichen kann auch in einem Text auftauchen, dessen Inhalt ursprünglich von einem Menschen stammt. Wer einen selbst geschriebenen Artikel von Claude übersetzen, zusammenfassen oder umfangreicher überarbeiten lässt, bekommt wieder eine von Claude generierte Ausgabe. Diese kann entsprechend markiert sein.¹

Dann wäre die Aussage

Dieser Text enthält ein Claude-Wasserzeichen.

möglicherweise korrekt.

Die Aussage

Dieser Text wurde von Claude geschrieben.

wäre daraus aber nicht ableitbar.

Die technisch sauberere Interpretation lautet: Claude war wahrscheinlich an der Verarbeitung dieses Textes beteiligt.

Für Hochschulen, Verlage und Arbeitgeber ist diese Unterscheidung entscheidend. Ein Provenienzsignal ist kein Autorenschaftsnachweis und erst recht kein automatischer Beweis für Täuschung.

Kein Treffer beweist genauso wenig

Auch die Gegenrichtung funktioniert nicht.

Ein statistisches Signal kann durch starke Überarbeitung, Paraphrasierung, Übersetzung oder das Mischen mit anderem Text abgeschwächt werden. Bei sehr kurzen Ausgaben stehen zudem möglicherweise zu wenige Tokens für eine belastbare Erkennung zur Verfügung.¹

Das Problem ist aus der Forschung bekannt. Google beschreibt für SynthID ähnliche Grenzen: längere, variablere Texte eignen sich besser, während umfassendes Umschreiben oder Übersetzen die Erkennung deutlich schwächen kann.³

Damit ist die Logik asymmetrisch:

Wasserzeichen erkannt
-> relevantes Provenienzsignal

Kein Wasserzeichen erkannt
-> keine verlässliche Aussage über KI-Beteiligung

Das ist deutlich brauchbarer als ein Klassifikator, der nur anhand des Schreibstils rät. Es ist aber weit entfernt von einem binären Test „Mensch oder KI“.

Der EU AI Act ist der Auslöser

Der Zeitpunkt ist kein Zufall. Die Transparenzpflichten aus Artikel 50 des EU AI Act gelten seit dem 2. August 2026. Anbieter generativer Systeme müssen ihre Systeme so entwickeln, dass synthetisch erzeugte oder manipulierte Inhalte maschinenlesbar markiert und als künstlich erzeugt oder verändert erkannt werden können.²

Die EU verlangt dabei effektive, zuverlässige, robuste und interoperable Markierungen. Der ergänzende Code of Practice beschreibt technische und organisatorische Massnahmen, mit denen Anbieter die Einhaltung dieser Pflichten nachweisen können.⁵

Interessant sind die Ausnahmen. Die Leitlinien nennen unter anderem kurze Folgen aus Zahlen, Symbolen oder Buchstaben sowie Quellcode. Auch eine rein unterstützende Funktion für Standard Editing fällt nicht unter die Markierungspflicht.²

Das zeigt, wie weit die gesetzliche Pflicht von der populären Vorstellung „jede KI-Ausgabe muss markiert sein“ entfernt ist.

Claude Code ist deshalb ein Sonderfall

Anthropic führt Claude Code als eine der Oberflächen auf, über die unterstützte Modelle die Markierung erhalten können.¹ Gleichzeitig nimmt die EU Quellcode von der Pflicht nach Artikel 50 Absatz 2 aus.²

Das ist auch technisch nachvollziehbar. Bei natürlicher Sprache gibt es oft mehrere gleichwertige Formulierungen. Bei Code ist der Spielraum enger. Ein Token kann nicht beliebig durch ein statistisch günstigeres ersetzt werden, ohne möglicherweise Syntax, Typen oder Semantik zu verändern.

Wie Anthropic diese Grenze konkret umsetzt, ist noch nicht dokumentiert. Wahrscheinlich relevant ist die Unterscheidung zwischen natürlicher Sprache, die innerhalb von Claude Code erzeugt wird, und eigentlichem Quellcode. Solange die technische Dokumentation fehlt, würde ich daraus aber keine stärkere Aussage ableiten.

Für Schweizer API-Nutzer verschwindet das Thema nicht an der Grenze

Da Anthropic die Markierung auf Modellebene und weltweit ausrollen will, kann auch ein Unternehmen in der Schweiz markierte Ausgaben erhalten. Der Standort des API-Clients entscheidet also nicht darüber, ob das Modell die Markierung grundsätzlich erzeugt.¹

Davon getrennt ist die regulatorische Frage. Der AI Act kann Anbieter ausserhalb der EU erfassen, wenn die Ausgabe ihres Systems in der EU verwendet wird. Die Kommission führt diesen Fall in ihren aktuellen Erläuterungen als Beispiel auf.²

Wer Claude in ein eigenes Produkt einbettet, sollte deshalb zwei Ebenen auseinanderhalten: Was Anthropic im Basismodell markiert und welche Pflichten für das eigene System oder die eigene Veröffentlichung gelten. Ein Wasserzeichen des Modellanbieters erledigt nicht automatisch sämtliche Transparenzpflichten eines Downstream-Produkts.

Meine Einschätzung

Text-Wasserzeichen lösen das Problem der KI-Erkennung nicht. Dafür ist die reale Entstehung von Text längst zu gemischt: Mensch schreibt, Modell überarbeitet, Mensch ergänzt, ein zweites Modell übersetzt und am Ende wird noch einmal redigiert.

Als Provenienzsignal sind solche Markierungen trotzdem sinnvoll. Der Anbieter baut ein definiertes Signal bei der Generierung ein, statt nachträglich anhand von Stilmerkmalen zu raten. Damit ist die technische Fragestellung wesentlich sauberer.

Entscheidend wird sein, wie robust Anthropic das Verfahren tatsächlich implementiert, wie offen die Erkennungsschnittstellen werden und ob sich zwischen den Anbietern interoperable Verfahren durchsetzen. Bei Dateien existiert mit C2PA bereits ein gemeinsamer Standard. Bei Text ist diese Ebene noch deutlich unreifer.

Die interessante Frage lautet deshalb nicht mehr:

Hat eine KI diesen Text geschrieben?

Sondern:

Welche Systeme waren an der Entstehung und Verarbeitung dieses Inhalts beteiligt?

Das ist weniger spektakulär als ein universeller KI-Detektor. Technisch ist es aber die sinnvollere Frage.

Footnotes#

1. Anthropic: How Claude marks AI-generated content, Claude Help Center, August 2026. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹

2. Europäische Kommission: Transparency obligations under Article 50 of the AI Act, Juli 2026. ↩ ↩² ↩³ ↩⁴ ↩⁵

3. Google DeepMind: Watermarking AI-generated text and video with SynthID, Mai 2024. ↩ ↩²

4. John Kirchenbauer et al.: A Watermark for Large Language Models, 2023. ↩

5. Europäische Kommission: Code of Practice on Transparency of AI-generated Content, Juni 2026. ↩