Wie man das KI-Wasserzeichen in Texten sucht – KI-Verordnung

Sie lassen sich von Claude eine Mail formulieren, kopieren den Absatz ins Mailprogramm, schicken ihn los. Seit dem 11. August 2026 reist in Claudes Antworten etwas mit, das Sie nicht sehen. Anthropic nennt es ein unsichtbares Wasserzeichen, und die Meldungen dazu übernehmen das Wort. Wer „unsichtbar“ hört, denkt an Zeichen ohne Breite, an eine Kennung in den Metadaten, an etwas, das man mit Strg+F findet, wenn man nur wüsste, wonach man sucht. Nichts davon trifft zu. Bei Text gibt es keinen Platz, an dem sich etwas verstecken ließe: Sie kopieren die Zeichen, die Sie sehen, mehr wird nicht übertragen. Die Markierung sitzt deshalb in der einzigen Stelle, die übrig bleibt. Sie sitzt in der Wortwahl. Und weil sie dort sitzt, kann man sie mit einem Bleistift nachrechnen.

Das Verfahren teilt vor jedem Wort den Wortschatz in zwei Hälften#

Die Bauform stammt aus einer Arbeit von John Kirchenbauer und Kollegen, vorgestellt auf der ICML 2023. Ihr Abstract beschreibt den Kern in einem Halbsatz: das Verfahren wählt „a randomized set of ‚green‘ tokens before a word is generated“ und fördert danach „use of green tokens during sampling“ (Kirchenbauer u. a., arXiv:2301.10226¹).

Übersetzt: Bevor das Modell das nächste Wort ausgibt, wird der gesamte Wortschatz in zwei Hälften geteilt, eine grüne und eine rote. Welche Wörter in welcher Hälfte landen, bestimmt eine Rechnung aus einem geheimen Schlüssel und den unmittelbar vorangegangenen Wörtern. Die Aufteilung sieht bei jedem Wort anders aus. Dann greift das Modell beim Auswürfeln der nächsten Wortwahl ein bisschen häufiger in die grüne Hälfte, als es von sich aus täte.

Ein einzelnes Wort verrät dabei nichts, denn die grüne Hälfte ist die halbe Sprache. Über hunderte Positionen hinweg entsteht eine Schlagseite, die ungelenkter Text nicht hat. Der Nachweis ist dann kein Suchen, sondern Zählen: Wie oft lag das gewählte Wort in der grünen Hälfte, und wie weit ist das vom Zufall entfernt. Kirchenbauer nennt das „a statistical test for detecting the watermark with interpretable p-values“, und zwar „without access to the language model API or parameters“. Man braucht das Modell nicht. Man braucht den Schlüssel.

Eine Regel, die ein Mensch mit dem Bleistift nachprüft#

Die Aufteilung in echten Systemen erledigt eine kryptografische Pseudozufallsfunktion. Die kann kein Mensch im Kopf ausrechnen, und genau daran scheitert jede Erklärung. Also habe ich die Funktion durch eine Regel ersetzt, die albern einfach ist und trotzdem dasselbe tut, nämlich den Wortschatz an jeder Position anders halbieren:

Hat das vorangegangene Wort eine gerade Zahl von Buchstaben, ist die grüne Hälfte alles, was mit a bis m beginnt. Ist die Buchstabenzahl ungerade, ist die grüne Hälfte n bis z.

Zwei Nachschlagevorgänge pro Wort. Nehmen wir einen unverdächtigen deutschen Satz und gehen ihn durch:

Fünf von zehn bewerteten Positionen grün. Genau der Erwartungswert, wie es sich für einen Satz gehört, den niemand markiert hat. Das lässt sich mit dem Finger auf dem Bildschirm nachprüfen, und das ist der ganze Zweck. Alles Weitere hier hat ein Skript gerechnet, dreißig Zeilen Python, das nichts anderes tut als diese Tabelle, nur schneller.

Wichtig ist, was diese Regel nicht ist. Sie ist ein Spielzeug, weil sie öffentlich ist und damit als Wasserzeichen wertlos. Der geheime Schlüssel in echten Verfahren ist der einzige Unterschied, aber die Rechenoperation dahinter ist die, die Sie oben nachgezählt haben.

Erst ab hundert Wörtern wird aus Zufall ein Signal#

Jetzt der Versuch, den Satz zu markieren. Ich habe für jede Position gleichwertige Alternativen hinterlegt, Kommission oder Kammer oder Runde, Vorschlag oder Entwurf oder Antrag, und das Skript von links nach rechts jeweils die erste Alternative aus der grünen Hälfte wählen lassen. Ergebnis: „Die Runde hat den Vorschlag am Dienstag ohne lange Nachfrage angenommen“. Grüne Treffer: wieder fünf von zehn.

Der Versuch ist gescheitert, und das ist die aufschlussreichste Zahl dieses Textes. Zwei Gründe, beide echt. Erstens sind von zehn Positionen nur fünf überhaupt wahlfrei; bei „hat“, „den“, „am“, „ohne“ hat kein Verfahren Spielraum, und der Dienstag war ein Dienstag. Zweitens ändert jede grüne Wahl das Vorwort und damit die Aufteilung an der nächsten Position, sodass sich Gewinne und Verluste im Kurzen aufheben. Das Skript besetzte vier der fünf freien Stellen grün und landete trotzdem bei fünfzig Prozent.

Derselbe Aufbau als Absatz, 43 Wörter statt 11, dieselbe Regel: unmarkiert 21 von 42 grün, markiert 34 von 42, also 81 Prozent. Die Abweichung vom Erwartungswert beträgt vier Standardabweichungen, der p-Wert liegt unter 0,0001. Rein rechnerisch, bei einer angenommenen Trefferquote von 70 Prozent, sieht die Kurve so aus: bei 20 Token ein p-Wert von 0,037, bei 100 Token 0,000032, bei 1000 Token eine Zahl mit 36 Nullen hinter dem Komma. Ein Tweet trägt kein belastbares Wasserzeichen, eine Hausarbeit eines ohne jeden Zweifel. Dazwischen, zwischen 50 und 200 Wörtern, liegen die meisten Streitfälle.

Der Erwartungswert von fünfzig Prozent stimmt für Menschentext nicht#

Bis hierhin lautete die Annahme: Unmarkierter Text trifft die grüne Hälfte in genau der Hälfte der Fälle. Das habe ich geprüft, an 5533 Wörtern eigener, von Hand geschriebener und längst veröffentlichter Prosa, also an 5532 Übergängen von einem Wort zum nächsten.

Ergebnis: 2662 von 5532 Positionen grün, 48,12 Prozent. Das ist keine Rundungsfrage, das sind 2,8 Standardabweichungen unter der Erwartung. Und weil der Schlüssel in diesem Verfahren nichts anderes tut, als die beiden Hälften zu vertauschen, gilt mit dem gekippten Schlüssel spiegelbildlich: 2870 von 5532, 51,88 Prozent, p gleich 0,0026.

Ein Detektor, der 50 Prozent als Nullhypothese ansetzt und bei fünf Prozent seine Schwelle zieht, meldet diesen Text als markiert. Er ist von Hand geschrieben, Wort für Wort, über Wochen. Die Schlagseite kommt aus der deutschen Sprache selbst, aus der Häufigkeit der Anfangsbuchstaben und der Verteilung der Wortlängen, nicht aus einer Markierung. Ernsthafte Verfahren kalibrieren ihre Nullverteilung deshalb an großen Menschen-Korpora, statt 0,5 anzunehmen. Wer das unterlässt, baut denselben Fehler ein, an dem schon die Herkunftsschätzer scheitern: Im Labor irrt der beste KI-Detektor praktisch nie, bei TOEFL-Aufsätzen liegt seine Fehlalarmquote bei 61 Prozent².

Homomorphe Verschlüsselung verbirgt den Inhalt, das Wasserzeichen zeigt ihn#

Weil beides mit Schlüsseln arbeitet, werden die zwei regelmäßig verwechselt. Homomorphe Verschlüsselung erlaubt es, auf verschlüsselten Daten zu rechnen, ohne sie zu entschlüsseln; heraus kommt ein Chiffrat, das mit dem passenden Schlüssel wieder zum Klartext wird. Schutzgut ist Vertraulichkeit, der Vorgang umkehrbar, das Ergebnis unlesbar.

Beim Wasserzeichen ist die Ausgabe Klartext, und die Markierung lässt sich nicht zurückrechnen; die Prüfung liefert keinen Inhalt, sondern eine Wahrscheinlichkeit. Die passenden Nachbarn liegen woanders. Technisch ist es ein Spread-Spectrum-Wasserzeichen aus der Medienforensik: ein schwaches Signal, über viele Träger verteilt, einzeln unsichtbar, in Summe messbar. Konzeptuell ähnelt es einem Message Authentication Code, weil beide auf einer Pseudozufallsfunktion mit geheimem Schlüssel beruhen; anders als der MAC bricht es nicht bei einem geänderten Zeichen, sondern verblasst.

Wo homomorphe Verschlüsselung und Sprachmodelle einander begegnen, ist die private Inferenz: Der Prompt bleibt vor dem Anbieter verborgen. Das ist die Gegenrichtung. Dort schützt Kryptografie den Kunden vor dem Betreiber, beim Wasserzeichen prüft der Betreiber die eigene Ausgabe.

Von fünf Meldungen erklärt eine, was da rechnet#

Noëlle Bölling brachte die Nachricht bei heise online am 11. August um 13:37 Uhr unter der Überschrift „Keine Chance für Schummler: Claude bekommt jetzt ein unsichtbares Wasserzeichen“. Der einzige technische Satz des Stücks gibt Anthropic wieder: „Das werde weder die Bedeutung noch die Lesbarkeit verändern, aber beim Kopieren und Einfügen als unsichtbarer Hinweis erhalten bleiben.“ Euronews und TechCrunch berichteten am selben Tag, ohne Mechanik, ohne Detektorfrage. The Decoder hielt immerhin fest, das Unternehmen lasse offen, wann die technische Dokumentation komme.

Knapp vier Stunden nach der eigenen Nachricht erschien im selben Haus ein Meinungsbeitrag von Malte Kirchner, der die Sache in einem Satz erklärt: „Tokens aus einer der Gruppen werden bei der Erzeugung leicht bevorzugt.“ Derselbe Text benennt auch die Nebenwirkung: „Die größte Gefahr ist freilich, dass das technische Signal überbewertet wird. Dass es nämlich als Echtheitssiegel gilt, wenn ein Text kein Wasserzeichen enthält.“

Diese Warnung steht, in nüchterneren Worten, in Anthropics eigener Dokumentation. Dort heißt es, ein gefundener Marker sei „not fully conclusive“, und: „Lack of a detected mark doesn’t mean the content wasn’t AI-generated or processed.“ Beides ist wörtlich richtig und steht quer zu der Verwendung, die sich gerade abzeichnet. Ein Treffer belegt, dass ein bestimmtes Modell beteiligt war, auch wenn es nur korrigiert oder übersetzt hat, nicht aber die Autorschaft und schon gar nicht eine Unwahrheit. Ein Nichttreffer belegt nichts.

Google hat sein Verfahren publiziert, Anthropic nennt nicht den Namen#

Anthropics Support-Seite sagt, es gehe um „an imperceptible watermark directly into the text itself“, und man arbeite daran, „to enable users and other third parties to detect Claude’s embedded watermarks“. Nicht genannt sind: das Verfahren, die Variante, die Parameter, ein Datum. Man kann Claude also seit dem 11. August markieren lassen und niemand außerhalb des Hauses nachprüfen, ob es funktioniert.

Der Vergleich zeigt, dass das eine Entscheidung ist und keine Naturkonstante. Google DeepMind hat SynthID-Text im Oktober 2024 in *Nature* publiziert, samt Tournament-Sampling und der Erprobung an rund 20 Millionen Gemini-Antworten (Dathathri u. a., Nature 634, 818–823³). Der Code liegt unter Apache 2.0 auf GitHub, ausdrücklich als „reference implementation“ und „not intended for production use“, enthält aber die Detektoren und steckt seit Version 4.46 in der Transformers-Bibliothek. Wer will, kann das Verfahren nachbauen und angreifen. OpenAI hat für Text bis heute weder ein Verfahren publiziert noch einen Detektor ausgeliefert; die Herkunftsdaten des Hauses betreffen Bilder. Wer offene Gewichte lokal betreibt, steuert das Sampling selbst und markiert nie. Das ist keine Lücke im Verfahren, sondern seine Voraussetzung.

Dass der Schlüssel geheim bleibt, ist dabei kein Versäumnis. Miranda Christ, Sam Gunn und Or Zamir konstruierten 2023 Wasserzeichen, die „only with the knowledge of a secret key“ erkennbar sind und ohne ihn nicht von unmarkierter Ausgabe zu unterscheiden (arXiv:2306.09194⁴). Geheimhaltung ist der Entwurf, und zugleich der Grund, warum die Prüfung beim Anbieter bleibt.

Achtundachtzig Cent je Million Token löschen die Markierung#

Ein verbreiteter Irrtum: Man könne dem Modell die Markierung wegprompten. Kann man nicht, weil sie unterhalb der Ebene sitzt, auf der ein Prompt wirkt. Der Prompt bestimmt, was gesagt wird; die grüne Liste greift danach, bei der Wortwahl. Ein Prompt kann nur die Entropie senken, also so kurz antworten lassen, dass kaum Wahlfreiheit bleibt. Sie haben oben gesehen, was dann passiert.

Was wirkt, ist Umformulieren. Ein Team um Jiacheng Liang hat zehn Wasserzeichen gegen zwölf Angriffe antreten lassen (WaterPark, EMNLP 2025⁵); ein Verfahren namens SIRA erreicht nach eigener Angabe „nearly 100% attack success rates on seven recent watermarking methods with only 0.88 USD per million tokens cost“ (Cheng u. a., ICML 2025⁶). Achtundachtzig Cent für eine Million Token, das sind etwa 700.000 Wörter. Wer die Markierung loswerden will, zahlt dafür weniger als für einen Kaffee.

Betroffen ist damit nicht, wer täuschen will, sondern eine längere Reihe, als die Erzählung aus Anbieter und Kundschaft nahelegt: die Bundesnetzagentur, die als Marktaufsicht etwas prüfen soll, wofür ihr der Schlüssel fehlt; die Plattformen, die Herkunftsdaten beim Hochladen abschneiden; die nächste Modellgeneration, die markierten Text als Trainingsmaterial frisst; die Hochschule, die Redaktion, das Gericht, wo ein p-Wert als Beweis durchgehen könnte.

Die Verordnung verlangt eine belastbare Markierung nur nach dem, was der Stand der Technik hergibt⁷. Seit dieser Woche lässt sich besichtigen, was er hergibt: eine Schlagseite in der Wortwahl, die bei kurzen Texten im Rauschen verschwindet, bei Menschenprosa Fehlalarme auslöst, wenn man die Nullverteilung schätzt statt misst, und die für den Preis eines Kaffees zu löschen ist. Wer sie loswerden will, wird sie los. Wer nichts zu verbergen hat, trägt sie.

Belege: das Verfahren aus Kirchenbauer u. a. (ICML 2023) arxiv.org ↗, die kryptografische Variante aus Christ, Gunn und Zamir (2023) arxiv.org ↗, SynthID-Text aus Dathathri u. a., Nature 634 (2024) nature.com ↗ und dem Quelltext bei GitHub⁸, die Angriffszahlen aus WaterPark (EMNLP 2025) arxiv.org ↗ und SIRA (ICML 2025) arxiv.org ↗. Anthropics Formulierungen stammen aus dem Support-Artikel zu Watermarking und Content Provenance⁹ vom 11. August 2026, die Presse-Zitate aus der Meldung von Noëlle Bölling und dem Meinungsbeitrag von Malte Kirchner, beide heise online, 11. August 2026. Die Nachzähl-Regel, die Tabelle und die Messung am eigenen Textkorpus sind eine Eigenerhebung; Skript und Laufprotokoll liegen den Rechenwegen zugrunde.