Wie ein KI-Wasserzeichen in den Text kommt – und woran es scheitert

Warum Anthropic Claude-Texte jetzt mit einem Wasserzeichen versieht

Am 14. August 2026 kündigte Anthropic an, die Textausgaben künftiger Claude-Modelle mit einem unsichtbaren Wasserzeichen zu versehen. Zwölf Tage zuvor, am 2. August 2026, sind die Transparenzpflichten gemäß Artikel 50 der KI-Verordnung der Europäischen Union in Kraft getreten. Die beiden Ereignisse hängen unmittelbar zusammen. Anthropic nennt die europäische Regulierung ausdrücklich als einen der Gründe für die Einführung des Wasserzeichens.

Damit stellt sich eine technische Frage, die bis vor wenigen Jahren vor allem Gegenstand der Forschung war. Bild- und Videodateien lassen sich über Metadaten oder in den Bilddaten eingebettete Muster kennzeichnen. Bei reinem Text fehlen solche zusätzlichen Datenebenen. Wo kann in einem Satz aus zwanzig gewöhnlichen deutschen Wörtern eine Markierung liegen, die ein Prüfprogramm erkennt, die aber für den Leser unsichtbar ist? Und wie bleibt sie erhalten, wenn jemand den Text kopiert, das Dateiformat wechselt oder zwei Sätze umstellt?

Ein Wasserzeichen fügt dem Dokument keine verborgenen Zeichen hinzu. Es verteilt ein statistisches Signal über viele Auswahlentscheidungen des Modells. Dieser Artikel erklärt einen Ansatz, den mehrere aktuelle Verfahren verwenden. Die Markierung steckt also nicht im fertigen Text, sondern in der Art und Weise, wie er entstanden ist. Wer verstehen möchte, wie ein Sprachmodell Text Token für Token erzeugt, findet die Grundlagen im Artikel „Wie ein Sprachmodell Text erzeugt“. Er setzt zwei dort erläuterte Begriffe voraus: das Token als vom Modell verarbeitete Texteinheit und das Logit als Punktwert, den das Modell jedem möglichen nächsten Token gibt.

Sind Wasserzeichen für KI-Texte vorgeschrieben?

Nein. Nicht „Wasserzeichen“ per se, aber die machinenlesbare Kennzeichnung von Texten: Seit dem 2. August 2026 sind Anbieter gemäß Artikel 50 Absatz 2 der Verordnung (EU) 2024/1689 dazu verpflichtet, synthetische Text-, Bild-, Audio- und Videoausgaben maschinenlesbar zu kennzeichnen. Die Kennzeichnung muss erkennen lassen, dass der Inhalt künstlich erzeugt oder verändert wurde. Ein Wasserzeichen ist nur eine Lösung neben anderen.¹

Die Pflicht gilt für Anbieter entsprechender KI-Systeme, einschließlich solcher mit allgemeinem Verwendungszweck, die in der Europäischen Union in Verkehr gebracht oder in Betrieb genommen werden. Absatz 2 richtet sich nicht an private Nutzer. Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, müssen die Vorgabe aufgrund der Übergangsregelung in der Verordnung (EU) 2026/1744 spätestens ab dem 2. Dezember 2026 erfüllen.

Die technischen Lösungen müssen wirksam, interoperabel, belastbar und zuverlässig sein, soweit dies technisch möglich ist. Ausgenommen sind Systeme, die nur bei der Standardbearbeitung unterstützen oder die Eingabedaten und deren Bedeutung nicht wesentlich verändern. Eine weitere Ausnahme gilt für bestimmte, gesetzlich zugelassene Strafverfolgungszwecke.

Die Verordnung legt das Ergebnis der Kennzeichnung fest, nicht das technische Verfahren. In Erwägungsgrund 133 werden Wasserzeichen, Metadatenkennzeichnungen, kryptografische Herkunftsnachweise, Protokollierung und Fingerprinting als mögliche Lösungen genannt. Ein statistisches Textwasserzeichen ist somit eine mögliche Umsetzungsform, jedoch keine gesetzlich vorgeschriebene Technik.

Über die Rechtspflicht hinaus schaffen Wasserzeichen einen maschinenlesbaren Herkunftshinweis. Anbieter und Plattformen können markierte Inhalte somit automatisiert erkennen, kennzeichnen oder einer Prüfung zuführen. Anbieter können außerdem eigene KI-Ausgaben aus Datensätzen herausfiltern und damit das Risiko verringern, dass ihre eigenen Erzeugnisse unkontrolliert zum Training von Modellen verwendet werden. In betrieblichen Abläufen kann ein erhaltenes Signal darauf hinweisen, dass ein bestimmtes KI-System an einem Text beteiligt war, selbst wenn ein sichtbarer Hinweis beim Kopieren verloren gegangen ist.

Diese Aussagekraft bleibt jedoch begrenzt. Ein Wasserzeichen nennt weder den Nutzer noch belegt es, wer den Text verfasst, geprüft oder veröffentlicht hat. Zudem erkennt es nur das zugehörige Verfahren und kann durch starke Bearbeitungen geschwächt werden. Gegen eine gezielte Entfernung durch Paraphrasieren oder Übersetzen bietet es daher keinen vollständigen Schutz. Diese Grenze wird im Abschnitt „Wie robust Textwasserzeichen sind“ behandelt.

Was Wasserzeichen sind und was nicht

Ein Textwasserzeichen ist ein statistisches, schlüsselabhängiges Muster in der Token-Auswahl. Es wird während der Texterzeugung absichtlich eingefügt und lässt sich später mithilfe eines Rechenverfahrens nachweisen. Dabei werden dem Text keine sichtbaren oder verborgenen Sonderzeichen hinzugefügt und weder das Dateiformat noch das Layout verändert.

Herkunftsnachweise wie C2PA binden signierte Informationen über Herkunft und Bearbeitung kryptografisch an ein digitales Dokument. Je nach Umsetzung kann das zugehörige Manifest in der Datei liegen oder extern gespeichert sein. Es bildet jedoch kein statistisches Muster in der Wortwahl. Beim Kopieren eines Absatzes als reinen Text können dokumentgebundene Herkunftsinformationen verloren gehen. Statistische Wasserzeichen verfolgen deshalb einen anderen Ansatz: Sie verankern das Signal in der Token-Auswahl.

KI-Detektoren wie GPTZero klassifizieren einen fertigen Text nachträglich anhand statistischer und sprachlicher Merkmale. Einige Verfahren verwenden dafür die Perplexität, also den Grad, in dem eine Wortfolge für ein Sprachmodell vorhersehbar ist, sowie sprachliche Gleichförmigkeit. Sie benötigen keinen Schlüssel des erzeugenden Systems, liefern aber nur eine statistische Einschätzung. OpenAI stellte seinen eigenen Klassifikator im Juli 2023 wegen dessen geringer Genauigkeit ein. Eine Untersuchung von Liang et al. aus dem Jahr 2023 zeigte außerdem, dass englische Texte von Nichtmuttersprachlern überdurchschnittlich häufig fälschlicherweise als KI-generiert eingestuft wurden.²

Ein Wasserzeichen verwendet eine andere Prüfgrundlage. Es bewertet nicht nur allgemeine Textmerkmale, sondern prüft ein bestimmtes Muster, das bei der Erzeugung eingebaut wurde. Das Ergebnis bezieht sich daher auf einen bestimmten Schlüssel und das zugehörige Verfahren. Es zeigt lediglich, wie wahrscheinlich das betreffende System am Text beteiligt war. Wenn beispielsweise das Anthropic-Muster nicht gefunden wird, lässt sich daraus nicht ableiten, dass der Text von einem Menschen oder ohne ein anderes KI-System erstellt wurde.

Sichtbar oder unsichtbar, robust oder fragil

Wasserzeichen lassen sich anhand zweier unabhängiger Merkmale unterscheiden. Die erste Achse beschreibt, ob Menschen die Kennzeichnung wahrnehmen können. Die zweite gibt an, wie sich das Wasserzeichen bei definierten Bearbeitungen verhalten soll. Ein Wasserzeichen kann beispielsweise unsichtbar und robust oder sichtbar und fragil sein.³

Ein sichtbares Wasserzeichen richtet sich unmittelbar an den Leser. Bei Bildern kann es sich um ein eingeblendetes Logo handeln, bei Texten um einen Hinweis wie „Erstellt mit KI-Unterstützung“. Im engeren technischen Sinn ist eine solche Textzeile eher eine sichtbare Kennzeichnung als ein eingebettetes Wasserzeichen. Sie schafft Transparenz, lässt sich aber leicht entfernen.

Ein unsichtbares Wasserzeichen richtet sich dagegen an ein Prüfprogramm. Das Signal ist in den Inhalt oder seine Erzeugung eingebettet und für Menschen nicht unmittelbar wahrnehmbar. Der Nachweis erfordert ein technisches Verfahren und häufig einen Schlüssel. Bei Bildern kann das Signal in geringfügigen Veränderungen der Bilddaten liegen, bei generierten Texten in einem statistischen Muster der Token-Auswahl. Die in diesem Artikel beschriebenen Textwasserzeichen gehören zu dieser Gruppe.

Ein robustes Wasserzeichen soll auch nach festgelegten Bearbeitungen nachweisbar bleiben. Es kann als Herkunftshinweis dienen, wenn ein Inhalt gekürzt, umgestellt, komprimiert oder neu formatiert wurde. Robustheit gilt jedoch nie uneingeschränkt, sondern immer nur gegenüber einer zuvor bestimmten Gruppe von Veränderungen. SynthID-Text und Soft Watermarking sind darauf ausgelegt, zumindest leichte Bearbeitungen zu überstehen.⁴

Ein fragiles Wasserzeichen soll auf Veränderungen reagieren. Wird der geschützte Inhalt bearbeitet, verändert sich das Signal oder es lässt sich nicht mehr gültig nachweisen. Dadurch kann das Verfahren anzeigen, dass der Inhalt nicht mehr dem ursprünglichen Zustand entspricht. Dies beweist jedoch keine vorsätzliche Manipulation, sondern lediglich eine Veränderung. Fragile Wasserzeichen werden vor allem zur Integritätsprüfung und zur Lokalisierung veränderter Bereiche in Bildern oder feststehenden Dokumenten eingesetzt.

Zwischen beiden Varianten liegen semi-fragile Wasserzeichen. Sie tolerieren definierte, zulässige Änderungen wie eine Komprimierung, reagieren aber auf inhaltlich relevante Eingriffe.

Achse	Variante	Zweck	Beispiel	Einordnung bei Text
Wahrnehmung	sichtbar	unmittelbare Information des Lesers	Hinweiszeile oder eingeblendetes Logo	leicht erkennbar und leicht entfernbar
Wahrnehmung	unsichtbar	maschineller Nachweis eines eingebetteten Signals	statistisches Muster in der Token-Auswahl	nur mit einem Prüfverfahren erkennbar
Beständigkeit	robust	Herkunftshinweis trotz definierter Bearbeitungen	SynthID-Text oder Soft Watermarking	angestrebte, aber begrenzte Robustheit
Beständigkeit	fragil	Erkennung von Veränderungen und Integritätsverlust	fragiles Wasserzeichen in Bild- oder Dokumentdaten	für bearbeitbare Texte ungeeignet, für feststehende Dokumente nutzbar

Für einen Text, der redaktionell weiterbearbeitet werden soll, ist ein strikt fragiles Wasserzeichen meist ungeeignet: Jede zulässige Änderung könnte als Integritätsverlust erscheinen. Bei einer unveränderlichen Endfassung kann ein fragiles Verfahren dagegen anzeigen, dass der Inhalt nachträglich bearbeitet wurde. Die in diesem Artikel behandelten statistischen Textwasserzeichen sind unsichtbar und auf eine begrenzte Robustheit gegenüber Bearbeitungen ausgelegt.

Wie die grüne und rote Liste entsteht

Ein einflussreiches Verfahren beschreiben Kirchenbauer et al. in der auf der ICML 2023 veröffentlichten Arbeit „A Watermark for Large Language Models“. Vor jedem Erzeugungsschritt wird das Vokabular in zwei Gruppen aufgeteilt: in eine rote und in eine grüne Liste. Anschließend wird die Auswahl von Token aus der grünen Liste gefördert.⁵

Das Ziel ist, nicht für jede Textposition eine vollständige grüne Liste speichern zu müssen. Stattdessen berechnet das Verfahren die Liste immer dann neu, wenn sie benötigt wird. Dafür verwendet es einen geheimen Schlüssel und die Anzahl h zuletzt erzeugter Token (die sog. Kontextbreite).

Aus diesen Eingaben entsteht ein Startwert. Ein Pseudozufallsgenerator verwendet ihn, um das Vokabular in eine scheinbar zufällige, aber wiederholbare Reihenfolge zu bringen. Der Wert γ legt anschließend fest, wie viele Token am Anfang dieser Reihenfolge zur grünen Liste gehören. Bei γ = 0,25 ist es ein Viertel des Vokabulars.

Ein Pseudozufallsgenerator erzeugt mit demselben Startwert immer dieselbe Reihenfolge. Deshalb können das erzeugende System und der spätere Prüfer unabhängig voneinander dieselbe grüne Liste berechnen. Die Liste muss weder gespeichert noch zusammen mit dem Text übertragen werden.⁶

Vereinfachtes Beispiel:

gleicher Kontext + geheimer Schlüssel A → grüne Liste A
gleicher Kontext + geheimer Schlüssel B → grüne Liste B

Dafür müssen Schlüssel, Tokenisierung, Kontext und Verfahrensregeln übereinstimmen. Ändert sich der Schlüssel oder der verwendete Kontext, entsteht ein anderer Startwert und damit eine andere Token-Reihenfolge. Wird nur γ geändert, bleibt die Reihenfolge gleich; lediglich die grüne Liste wird größer oder kleiner.

Die Anzahl der berücksichtigten vorherigen Token heißt Kontextbreite h. Bei h = 4 fließen beispielsweise die letzten vier Token in die Berechnung ein. Varianten wie minhash und selfhash unterscheiden sich darin, wie sie diese Token verarbeiten. selfhash bezieht zusätzlich das gerade geprüfte Kandidaten-Token ein. Die Begriffe bezeichnen interne Rechenregeln und keine standardisierten kryptografischen Hashfunktionen wie SHA-256. Die Referenzimplementierung empfiehlt selfhash mit h = 4 als Ausgangswert.

Kleinere Werte für h können das Wasserzeichen robuster gegen Bearbeitungen machen, weil eine Änderung weniger nachfolgende Berechnungen beeinflusst. Bei größeren Werten hängt die grüne Liste stärker vom vorherigen Text ab. Das erschwert ihre Vorhersage ohne Schlüssel, macht sie aber empfindlicher gegenüber Änderungen.

Derselbe geheime Schlüssel dient zum Erzeugen und zum Prüfen des Wasserzeichens. Darin unterscheidet sich das Verfahren von einer digitalen Signatur. Beim C2PA-Standard wird ein privater Schlüssel zum Signieren verwendet. Der zugehörige öffentliche Schlüssel erlaubt anschließend die Prüfung.

C2PA speichert die Herkunftsinformationen in einem Manifest, das in einer Datei liegen oder extern mit ihr verbunden sein kann. Wird nur ein Absatz kopiert, wird diese Verbindung gewöhnlich nicht übernommen. Das statistische Wasserzeichen steckt dagegen in der Token-Auswahl und wird mit dem Text kopiert. Es bleibt nachweisbar, solange genügend ursprünglicher Text erhalten ist. Für die Prüfung wird weiterhin der geheime Schlüssel oder der Erkennungsdienst des Schlüsselinhabers benötigt.

Hard Watermarking: das Verbot

Bei der harten Variante darf das Modell ausschließlich Token aus der grünen Liste wählen. Rote Token sind gesperrt. Dadurch liegt der Anteil grüner Token im unbearbeiteten Text bei 100 Prozent und das statistische Signal ist leicht nachweisbar.

Das Verfahren beeinträchtigt jedoch die Textqualität, sobald nur eine oder wenige sinnvolle Fortsetzungen möglich sind. Auf „Die Hauptstadt von Frankreich ist“ folgt in einem gut trainierten Modell mit sehr hoher Wahrscheinlichkeit „Paris“. Steht „Paris“ auf der roten Liste, kann das Modell zu einer unpassenden oder falschen Fortsetzung gezwungen werden. Dasselbe Problem tritt bei Eigennamen, Fachbegriffen und feststehenden Formulierungen auf.

Soft Watermarking: der Bonus

Beim Soft Watermarking wird das Vokabular vor jedem Erzeugungsschritt pseudozufällig in eine grüne und eine rote Liste aufgeteilt. Der Parameter γ (Gamma) legt fest, welcher Anteil des Vokabulars auf der grünen Liste steht. Bei γ = 0,25 sind das beispielsweise 25 Prozent aller verfügbaren Token. Der Parameter δ (Delta) bestimmt anschließend den Logit-Bonus, den diese grünen Token erhalten. Je höher δ ist, desto stärker werden sie bei der Auswahl bevorzugt. Rote Token bleiben weiterhin auswählbar, damit stark wahrscheinliche oder sachlich notwendige Fortsetzungen nicht vollständig ausgeschlossen werden.

Die weiche Variante verbietet keine Token. Sie addiert vor der Softmax-Berechnung einen festen Betrag δ (Delta) zu den Logits aller grünen Token. Rote Token bleiben unverändert und grundsätzlich auswählbar. Ihre Auswahlwahrscheinlichkeit sinkt jedoch gegenüber den bevorzugten grünen Token.

γ und δ erfüllen dabei unterschiedliche Aufgaben: γ bestimmt, welcher Anteil des Vokabulars auf der grünen Liste steht. δ bestimmt, wie stark diese Token bevorzugt werden.

Eine vereinfachte Modellrechnung zeigt die Wirkung des Logit-Bonus. Das Modell soll den Satz „Die größte Stadt Deutschlands ist“ fortsetzen. Betrachtet werden vier Kandidaten mit den Logits Berlin 2,2, Hamburg 1,6, München 1,2 und Köln 0,6. Die Hashfunktion ordnet Hamburg und Köln der grünen, Berlin und München der roten Liste zu. Der Bonus beträgt δ = 2,0:

Token	Liste	Logit	Wahrscheinlichkeit ohne Wasserzeichen	Logit mit δ = 2,0	Wahrscheinlichkeit mit Wasserzeichen
Berlin	rot	2,2	47,2 %	2,2	14,5 %
Hamburg	grün	1,6	25,9 %	3,6	58,6 %
München	rot	1,2	17,4 %	1,2	5,3 %
Köln	grün	0,6	9,5 %	2,6	21,6 %

Der Eingriff findet ausschließlich in der Spalte „Logit mit δ = 2,0“ statt. Nur die beiden grünen Token erhalten den Bonus, die roten Logits bleiben unverändert bei 2,2 und 1,2. Die letzte Spalte enthält keinen zusätzlichen Eingriff mehr: Sie ist das Ergebnis derselben Softmax-Berechnung, angewendet auf die veränderten Logits.

Die Tabelle zeigt zwei Effekte. Hamburg überholt das zuvor führende Berlin, obwohl sein Logit nur um zwei Punkte erhöht wurde. Und die roten Token verlieren, ohne dass ihre Logits angetastet wurden – ihre Wahrscheinlichkeit sinkt allein deshalb, weil die Softmax-Funktion jeden Wert ins Verhältnis zur Summe aller Werte setzt. Berlin verschwindet dabei nicht aus der Auswahl: Seine Wahrscheinlichkeit beträgt weiterhin 14,5 Prozent.

Damit wird der zentrale Zielkonflikt sichtbar: Mit δ steigen sowohl die Signalstärke als auch der Eingriff in die ursprüngliche Wahrscheinlichkeitsverteilung. Einen für alle Modelle und Textarten optimalen Wert gibt es nicht. Als Basiskonfiguration nennt die aktuelle Referenzimplementierung γ = 0,25 und δ = 2,0. Wenn die Textqualität leidet, empfehlen die Autoren, δ zu verringern.

Der Nachweis: grüne Token zählen

Für den Nachweis muss das Sprachmodell nicht erneut ausgeführt werden. Erforderlich sind jedoch der Schlüssel, die Tokenisierung und die Parameter des Wasserzeichenverfahrens. Der Prüfer geht den Text Token für Token durch, rekonstruiert für jede Position die zugehörige grüne und rote Liste und zählt die tatsächlich verwendeten grünen Token.

Der Nachweis verwendet einen Einstichproben-z-Test für einen Anteilswert. Unter der Nullhypothese wird die Zahl grüner Token als binomialverteilt angenommen; der z-Wert gibt an, um wie viele Standardabweichungen das beobachtete Ergebnis über dem erwarteten Wert γ · T liegt. Die Nullhypothese lautet: Der Text wurde ohne Kenntnis der grünen Liste erzeugt. Dann hatte die Listenzuordnung keinen Einfluss auf die Token-Auswahl. Der erwartete Anteil grüner Token entspricht daher γ. Bei γ = 0,25 sollte ungefähr ein Viertel der geprüften Token grün sein.

Abweichungen von diesem Erwartungswert treten auch bei unmarkierten Texten auf. Der z-Wert misst, wie groß die beobachtete Abweichung im Verhältnis zur unter der Nullhypothese erwarteten Streuung ist:

z = (Anzahl grüner Token − γ · T) / √(T · γ · (1 − γ))

Dabei bezeichnet T die Anzahl der geprüften Token. Je größer der positive z-Wert ausfällt, desto ungewöhnlicher wäre die beobachtete Zahl grüner Token bei einem unmarkierten Text.

Beispiel für die Prüfung eines Textes:

Ein Beispiel mit γ = 0,25 und T = 200: Erwartet werden 50 grüne Token in einer Gesamtanzahl von 200 Token. Die Standardabweichung beträgt √37,5 ≈ 6,1. Ein unmarkierter Text mit 55 grünen Token erreicht z = 0,82 und bleibt damit unauffällig. Bei 76 grünen Token ergibt sich dagegen z = 4,25.

Die Originalarbeit veranschaulicht den Test mit der Schwelle z > 4; die Referenzimplementierung verwendet 4,0 als Standardwert. Wird die Schwelle überschritten, verwirft das Prüfverfahren die Nullhypothese. Bei ausreichend langen Texten liegt die einseitige Falschpositivrate unter den Modellannahmen bei rund 3 · 10⁻⁵. Rechnerisch entspricht das etwa einem Fall unter 33.000 unmarkierten Passagen.

Die Nachweisrate in der Gegenrichtung hängt von Textlänge, Entropie, Modell und Verfahrensparametern ab. In einem Experiment der Autoren mit etwa 200 Token langen Ausgaben, γ = 0,25, δ = 2,0 und multinomialem Sampling wurden 99,4 Prozent der markierten Texte erkannt. 0,6 Prozent blieben bei z > 4 unentdeckt. Diese Werte gelten nur für die untersuchte Versuchsanordnung und stellen keine allgemeine Fehlerquote des Verfahrens dar.

Rein rechnerisch genügen bei γ = 0,25 sechs vollständig grüne Token, um mit z = 4,24 die Schwelle zu überschreiten. Bei einer so kleinen Stichprobe ist die verwendete Normalverteilungsnäherung jedoch ungenau. Unter der Nullhypothese beträgt die exakte Wahrscheinlichkeit für sechs grüne Token 0,25⁶ ≈ 2,44 · 10⁻⁴ – etwa ein Fall unter 4.096 Passagen. Die rechnerische Untergrenze erlaubt daher noch keinen belastbaren Nachweis.

Bei einem Text aus 25 Token müssten mindestens 15 Token grün sein, damit z > 4 gilt. Das entspricht einem Grünanteil von 60 Prozent. Auch hier weicht die exakte Binomialwahrscheinlichkeit mit rund 2,15 · 10⁻⁴ von der Falschpositivrate der Normalverteilungsnäherung ab. Kurze Chatantworten lassen sich auf diesem Weg deshalb meist nicht zuverlässig prüfen. Die praktische Mindestlänge muss für das konkrete Verfahren empirisch bestimmt werden.

Ein solches Ergebnis sollte deshalb weder in Prüfungsverfahren noch in rechtlichen Auseinandersetzungen für sich allein als Beweis dienen. Es ist ein statistisches Indiz für ein bestimmtes Wasserzeichen, keine sichere Feststellung der Urheberschaft.

SynthID-Text: Token-Auswahl im Turnier

SynthID-Text wurde 2024 in der Fachzeitschrift Nature vorgestellt. Das Verfahren verändert nicht die Logits, sondern die Methode, mit der aus der Modellverteilung ein Token gezogen wird.

Für jeden Erzeugungsschritt zieht das Verfahren zunächst 2^m Kandidaten aus der unveränderten Wahrscheinlichkeitsverteilung des Modells. Token mit hoher Wahrscheinlichkeit erscheinen im Kandidatenfeld häufiger; derselbe Token kann mehrfach gezogen werden. Bei m = 3 beginnt das Turnier beispielsweise mit 2³ = 8 Kandidaten.

Die Kandidaten werden zufällig zu Paaren zusammengestellt. Jede Turnierrunde verwendet eine eigene schlüsselabhängige Bewertungsfunktion, die den Kandidaten pseudozufällige Punktwerte zuordnet. Aus jedem Paar wird der höher bewertete Kandidat übernommen; Gleichstände werden zufällig aufgelöst. Die verbliebenen Token werden erneut zu Paaren zusammengestellt. Nach m Runden bleibt ein Token übrig, das als nächstes Token ausgegeben wird.

Der Turniersieger muss aus den zuvor gemäß der Modellverteilung gezogenen Kandidaten stammen. Die Bewertungsfunktionen können kein zusätzliches Token in das Kandidatenfeld aufnehmen. Dominiert beispielsweise „Paris“ die Modellverteilung, wird es im Kandidatenfeld voraussichtlich mehrfach vertreten sein. Besteht das Feld ausschließlich aus „Paris“, kann das Turnier kein anderes Token auswählen. Das Wasserzeichen gewinnt vor allem dann Signalstärke, wenn die Modellverteilung mehrere Token mit relevanter Wahrscheinlichkeit enthält.

Ein mehrfach gezogener Token erhält entsprechend mehrere Startplätze im Turnier. Diese Mehrfachvorkommen tragen dazu bei, die ursprüngliche Modellverteilung zu erhalten. Bei genau zwei Kandidaten pro Paar bleibt die Verteilung des ausgegebenen Tokens im Mittel über die verwendeten Zufallswerte mit der ursprünglichen Modellverteilung identisch. Die Autoren bezeichnen diese Eigenschaft als Single-Token-Non-Distortion.

Stärkere Formen der Verzerrungsfreiheit beziehen sich nicht nur auf einzelne Token, sondern auf vollständige Sequenzen. Für die als verzerrungsfrei bezeichnete SynthID-Text-Konfiguration kombiniert die Arbeit Tournament Sampling deshalb mit wiederholter Kontextmaskierung. Dadurch bleibt die Wahrscheinlichkeit einer Textsequenz im Mittel erhalten, während sich die Vielfalt zwischen mehreren Antworten etwas verringern kann.

Die Zahl der Turnierrunden wird mit m bezeichnet. Mit jeder Runde kann das Verfahren zusätzliche Wasserzeicheninformationen einbauen. Der Nutzen wächst jedoch nicht unbegrenzt, weil jede Runde einen Teil der verfügbaren Entropie verbraucht. In den Experimenten verwenden die Autoren meist m = 30. Konzeptionell entspricht das 2³⁰ = 1.073.741.824 Startkandidaten. Für den praktischen Einsatz beschreibt die Arbeit unter anderem vektorisierte Verfahren und die Verbindung mit Speculative Sampling, um den zusätzlichen Rechenaufwand gering zu halten.

Zur Qualität enthält die Studie Ergebnisse aus einem groß angelegten Live-Experiment. Google DeepMind wertete rund 20 Millionen markierte und unmarkierte Antworten aus realen Gemini-Interaktionen aus. Die positive Bewertungsrate unterschied sich um 0,01 Prozentpunkte, die negative um 0,02 Prozentpunkte. Beide Unterschiede waren statistisch nicht signifikant.

Das Ergebnis besitzt einen klaren Geltungsbereich. Es stammt aus dem Produktivbetrieb von Gemini mit den dort eingesetzten Modellen, Anfragen und Bewertungsmechanismen. Die Rückmeldungen bilden die von Nutzern wahrgenommene Qualität und Nützlichkeit ab, prüfen aber die fachliche Richtigkeit nicht unabhängig. Auf andere Modelle, Aufgaben und Sampling-Einstellungen lässt sich das Ergebnis daher nicht ohne Weiteres übertragen.

Warum Entropie die Nachweisbarkeit bestimmt

Die vorgestellten Wasserzeichenverfahren benötigen eine ausreichende Auswahlfreiheit. Die Modellverteilung muss mehrere Token mit relevanter Wahrscheinlichkeit enthalten. Wenn ein Token die Verteilung deutlich dominiert, lässt sich kaum ein Signal einbauen, ohne die Richtigkeit oder die Textqualität zu beeinträchtigen.

Die Entropie ist hier ein Maß für die Unsicherheit bei der Auswahl des nächsten Tokens. Sie ergibt sich daraus, wie das Modell die Wahrscheinlichkeit auf die möglichen Fortsetzungen verteilt. Konzentriert sich fast die gesamte Wahrscheinlichkeit auf ein Token, ist die Entropie niedrig. Verteilt sie sich auf mehrere plausible Token, ist die Entropie hoch. Das Wasserzeichenverfahren kann dann zwischen diesen Kandidaten auswählen, ohne die Ausgabe wesentlich zu verschlechtern.

Entropie bezeichnet in diesem Zusammenhang weder den fachlichen Informationsgehalt noch die sprachliche Komplexität eines Satzes. Sie beschreibt, wie vorhersehbar das nächste Token aus Sicht des Modells ist. Ein sprachlich anspruchsvoller Satz kann daher eine niedrige Entropie besitzen, wenn der Kontext nur eine fachlich richtige Fortsetzung zulässt. Umgekehrt kann ein einfacher Satz eine hohe Entropie haben, wenn mehrere Fortsetzungen gleichermaßen plausibel sind.

Daraus folgt die folgende Faustregel: Je breiter die Wahrscheinlichkeitsverteilung und je länger der Text ist, desto mehr statistische Wasserzeicheninformationen lassen sich einbauen.

Gut markierbar sind tendenziell längere, frei formulierte Texte wie Essays, Blogbeiträge, Erzählungen oder Zusammenfassungen in eigenen Worten. Solche Texte bieten an vielen Positionen mehrere geeignete Formulierungen. Über längere Passagen kann sich dadurch genügend statistische Evidenz für den jeweiligen Nachweistest ansammeln.

Weniger gut markierbar sind:

• faktische Passagen mit feststehenden Namen, Zahlen, Fachbegriffen oder eindeutigen Fortsetzungen,
• kurze Antworten, Ja/Nein-Entscheidungen und Multiple-Choice-Antworten,
• Aufzählungen von Namen, Zahlen oder Datumsangaben,
• Quellcode, weil Syntax und funktionale Anforderungen die Token-Auswahl häufig einschränken.

Auch Quellcode enthält variable Bereiche. Kommentare und frei wählbare Bezeichner bieten beispielsweise mehr Spielraum als Schlüsselwörter, Operatoren oder syntaktisch festgelegte Ausdrücke. Anthropic nennt Code und faktische Passagen ausdrücklich als Bereiche, in denen das Wasserzeichen schwächer ausgeprägt sein kann.

Daraus entsteht eine praktische Lücke. Gerade bei Prüfungsaufgaben mit kurzen Antworten oder bei Programmieraufgaben wäre ein verlässlicher Nachweis besonders relevant. In diesen Fällen steht dem Verfahren jedoch nur wenig statistische Evidenz zur Verfügung. Technische Stärke und institutioneller Prüfbedarf fallen damit nicht immer zusammen.

Sind KI-Wasserzeichen ein Kopierschutz?

Nein. Textwasserzeichen verhindern weder das Kopieren noch die Weiterverwendung eines Textes. Sie hinterlassen lediglich ein statistisches Signal, das nach dem Kopieren oder Bearbeiten noch nachweisbar sein kann. Wie lange dieses Signal erhalten bleibt, hängt von Textlänge, Entropie, Signalstärke und Art der Bearbeitung ab.

Kirchenbauer et al. zeigten, dass Wasserzeichen selbst nach menschlicher und maschineller Paraphrasierung nachweisbar bleiben können, wenn ausreichend viel Text untersucht wird. In einem ihrer Versuche waren nach einer starken menschlichen Paraphrasierung durchschnittlich etwa 800 Token erforderlich. Dieser Wert gilt nur für die konkrete Versuchsanordnung und ist keine allgemeine Mindestlänge.

Anthropic beschreibt zugleich die Grenze: Ein vollständiges Neuschreiben, bei dem die ursprüngliche Wortwahl ersetzt wird, entfernt das Wasserzeichen. Ein zweites Sprachmodell kann diesen Vorgang automatisieren.

Ähnliches gilt für Übersetzungen. Eine Übersetzung erzeugt eine neue Tokenfolge und kann dadurch das ursprüngliche Wasserzeichen schwächen oder entfernen. Wird sie von einem markierten Modell erstellt, kann der übersetzte Text gleichzeitig ein neues Wasserzeichen dieses Modells enthalten. Ein fehlendes ursprüngliches Signal bedeutet daher nicht automatisch, dass der Text ohne KI entstanden ist.

Ein Textwasserzeichen liefert daher einen Herkunftshinweis, aber keinen allein ausreichenden Beweis für Urheberschaft oder Täuschungsabsicht. Es kann bei nicht gezielt veränderten oder nur leicht bearbeiteten Texten nachweisbar bleiben. Durch gezielte und wiederholte Paraphrasierung lässt sich das Signal jedoch erheblich schwächen.

Trotz dieser Grenze kann ein Wasserzeichen dazu beitragen, unbeabsichtigt verbreitete KI-Texte zu erkennen, markierte Inhalte aus Trainingsdaten herauszufiltern und Plattformkennzeichnungen zu unterstützen. Für einen zuverlässigen Nachweis gegenüber einer Person, die das Signal gezielt entfernt, reicht es allein nicht aus.

Wer prüfen kann – und warum offene Modelle außen vor bleiben

Das Wasserzeichen entsteht mithilfe eines Schlüssels, der die pseudozufällige Token-Auswahl steuert. Ohne diesen Schlüssel sowie die zugehörigen Verfahrensparameter erscheint die Verteilung der Token wie Zufall. Ein öffentlich bekannter Schlüssel könnte gezielte Umgehungsversuche erleichtern: Der Text ließe sich so verändern, dass er mit möglichst wenigen der erwarteten Auswahlentscheidungen übereinstimmt.

Die Erkennung muss technisch nicht zwingend beim Anbieter stattfinden. Auch eine autorisierte Prüfstelle könnte das Wasserzeichen erkennen, wenn sie den Schlüssel und die erforderlichen Verfahrensdaten erhält. Alternativ kann der Anbieter den Schlüssel geheim halten und lediglich eine Schnittstelle bereitstellen, die Texte prüft und ein Ergebnis zurückgibt. In diesem Fall kontrolliert er, wer die Erkennung nutzen darf und welche Informationen das Ergebnis enthält.

Anthropic hat eine Erkennungs-API angekündigt. Ihre technische Ausgestaltung, die Zugangsbedingungen und der mögliche Nutzerkreis sind noch nicht veröffentlicht. Ein Lehrer, Verlag oder Personalverantwortlicher kann einen Claude-Text deshalb derzeit nicht mit einem allgemein verfügbaren Werkzeug selbst auf das angekündigte Wasserzeichen prüfen.

Google DeepMind betreibt ebenfalls eigene Erkennungsangebote für SynthID. Der öffentlich beschriebene SynthID Detector nimmt derzeit jedoch Bild-, Video- und Audiodateien entgegen; ein entsprechender öffentlicher Prüfdienst für Text wird dort nicht angeboten. Die offene SynthID-Text-Implementierung ermöglicht Entwicklern, eigene Wasserzeichen und Detektoren einzurichten. Sie gewährt aber keinen Zugang zu den geheimen Schlüsseln der Google-Produktionssysteme.

Damit wird die Erkennung auch zu einer Frage der Zugangsvergabe. Ein technisches Wasserzeichen kann vorhanden und nachweisbar sein, ohne dass unabhängige Stellen es selbst prüfen können. Für einen institutionellen Einsatz muss daher nicht nur die Erkennungsqualität geklärt werden, sondern auch, wer den Prüfdienst nutzen darf, welche Daten dabei an den Anbieter übertragen werden und wie das Ergebnis dokumentiert wird.

Bei Modellen mit offenen Gewichten entsteht eine weitere Grenze. Das Wasserzeichen liegt nicht in den Modellgewichten selbst, sondern im Code für die Token-Auswahl während der Inferenz – also während der Erzeugung einer konkreten Ausgabe. Wer ein Modell lokal betreibt, kontrolliert diesen Auswahlcode und kann ein Wasserzeichen hinzufügen, verändern oder weglassen.

Ein Anbieter offener Gewichte kann eine markierende Referenzimplementierung bereitstellen. Er kann aber technisch nicht erzwingen, dass jeder lokale Betreiber sie verwendet. Ebenso kann er ein lokal erzeugtes Wasserzeichen nur prüfen, wenn ihm der verwendete Schlüssel und die Parameter bekannt sind. Die entscheidende Grenze verläuft daher nicht allein zwischen geschlossenen und offenen Modellen, sondern zwischen einer vom Anbieter kontrollierten und einer vom Nutzer kontrollierten Inferenz.

Das lässt sich unterschiedlich bewerten. Lokal betriebene Modelle geben Nutzern mehr Kontrolle über Datenverarbeitung und technische Abläufe. Zugleich entziehen sich ihre Ausgaben einer einheitlichen, vom ursprünglichen Modellanbieter durchgesetzten Kennzeichnung. Die Nature-Arbeit zu SynthID-Text beschreibt diesen Koordinationsbedarf als eine offene Herausforderung für ein anbieterübergreifendes Kennzeichnungssystem.

Einordnung: Technisch umsetzbar, aber kein allgemeiner KI-Nachweis

Verfahren wie SynthID-Text zeigen, dass sich maschinenlesbare Markierungen in die Textausgabe generativer KI-Systeme integrieren lassen und sich in großem Maßstab einsetzen lassen. In einer Nature-Studie wurde ein Produktivtest mit rund 20 Millionen Gemini-Antworten durchgeführt. Dabei unterschieden sich die Nutzerbewertungen markierter und unmarkierter Antworten statistisch nicht signifikant voneinander. Auch der zusätzliche Rechenaufwand blieb den Angaben der Autoren zufolge gering.

Damit steht ein technischer Ansatz zur Verfügung, der zur Erfüllung der in Artikel 50 Absatz 2 festgelegten Kennzeichnungspflicht beitragen kann. Ob eine konkrete Implementierung die rechtlichen Anforderungen erfüllt, lässt sich daraus jedoch nicht automatisch ableiten. Für das jeweilige System, die verwendeten Inhalte und den praktischen Einsatz müssen Wirksamkeit, Interoperabilität, Robustheit und Zuverlässigkeit nachgewiesen werden. Auch die Einhaltung des freiwilligen Verhaltenskodex ist nach Einschätzung der EU-Kommission kein abschließender Konformitätsbeleg.

Die Leistungsfähigkeit eines Textwasserzeichens ist enger begrenzt als die allgemeine Vorstellung von einer zuverlässigen KI-Erkennung. Kurze und faktische Texte enthalten häufig zu wenig statistische Evidenz. Umfassendes Umschreiben oder wiederholte Paraphrasierung können das Signal stark schwächen. Für die Prüfung wird außerdem der passende Schlüssel oder ein Zugang zum Erkennungsdienst des Anbieters benötigt.

Der Vorbehalt „soweit dies technisch durchführbar ist“ trägt diesen Grenzen Rechnung. Er bedeutet jedoch nicht, dass jede Art von KI-generiertem Text unter allen Bedingungen zuverlässig erkannt werden muss. Die technische Leistungsfähigkeit hängt unter anderem von der Textlänge, der Entropie, dem Bearbeitungsgrad und dem verwendeten Wasserzeichenverfahren ab.

Ein Wasserzeichen ist deshalb ein Herkunftssignal für einen begrenzten Prüfbereich. Es beantwortet nicht die allgemeine Frage, ob ein Text von einer KI stammt. Stattdessen wird geprüft, ob die Tokenfolge statistisch zu einem bestimmten Schlüssel und Verfahren passt. Wird kein Signal gefunden, kann der Text trotzdem von einem anderen Modell stammen, zu kurz sein oder nachträglich stark verändert worden sein.

Für Hochschulen, Redaktionen, Behörden und andere Institutionen ergeben sich daraus mehrere Voraussetzungen. Vor dem Einsatz muss geklärt werden,

• welche Textarten und Mindestlängen zuverlässig geprüft werden können,
• welche Fehlerquoten und Schwellenwerte gelten,
• wer Zugang zum Erkennungsdienst erhält und welche Texte dabei an einen Anbieter übertragen werden,
• wie ein Prüfergebnis dokumentiert und durch weitere Hinweise abgesichert wird,
• welche Konsequenzen ein statistisches Indiz haben darf und
• wie Betroffene das Ergebnis anfechten können.

Ein Wasserzeichen sollte in solchen Verfahren nicht als alleiniger Beweis dienen. Es kann jedoch Bestandteil einer umfassenderen Prüfung sein, die den Entstehungskontext, die Bearbeitungsschritte, vorhandene Herkunftsnachweise und weitere Indizien berücksichtigt.

Offen bleibt, welche weiteren Anbieter eigene Verfahren einführen, wie zugänglich die angekündigten Erkennungsschnittstellen werden und ob sich gemeinsame technische Standards durchsetzen. Ein anbieterübergreifendes System müsste unterschiedliche Schlüssel und Verfahren verbinden, unabhängigen Prüfstellen einen geregelten Zugang ermöglichen und Ergebnisse vergleichbar darstellen. Ein öffentlich zugängliches Prüfsystem, das diese Anforderungen für Textwasserzeichen verschiedener Anbieter erfüllt, ist bislang nicht bekannt.

Häufige Fragen zu KI-Wasserzeichen

Kann ich selbst prüfen, ob ein Text ein Wasserzeichen enthält?

Bei einem fremden Wasserzeichen ist das nur möglich, wenn der Anbieter den passenden Erkennungsdienst oder den erforderlichen Schlüssel bereitstellt. Anthropic hat eine Erkennungs-API angekündigt, aber noch keine Einzelheiten zum Zugang veröffentlicht. Der SynthID Detector von Google DeepMind verarbeitet derzeit Bild-, Video- und Audiodateien, jedoch keinen Text. Selbst eingebettete Wasserzeichen lassen sich dagegen mit den zugehörigen offenen Implementierungen prüfen.

Wie erkennt man ein KI-Wasserzeichen zuverlässig?

Ein KI-Wasserzeichen lässt sich nur mit einem auf das Verfahren und den Schlüssel abgestimmten Detektor zuverlässig prüfen. Auch Tokenizer und Verfahrensparameter müssen zur Markierung passen. Der Detektor vergleicht den Prüfwert mit einer festgelegten Schwelle, deren Fehlalarmrate anhand unmarkierter Vergleichstexte bestimmt wurde. Kurze oder stark bearbeitete Texte können zu wenig auswertbare Token enthalten und bleiben dann ohne belastbaren Befund. Hier ein Beispiel für einen Text von 200 Token Länge.

Wie lässt sich die Robustheit eines Wasserzeichens testen?

Die Robustheit lässt sich mit kontrollierten Bearbeitungsreihen messen. Dafür werden Wörter ersetzt, Absätze umgestellt, Passagen gekürzt oder Texte paraphrasiert und übersetzt. Nach jedem Schritt wird der Nachweiswert erneut berechnet. So zeigt sich, ab welchem Bearbeitungsgrad das Signal unter die festgelegte Schwelle fällt. Das quelloffene Toolkit MarkLLM enthält dafür Angriffe und Bewertungsstrecken.

Welche Python-Bibliotheken unterstützen Textwasserzeichen?

Für eigene Versuche stehen mehrere quelloffene Python-Werkzeuge zur Verfügung. synthid-text ist die Referenzimplementierung von Google DeepMind. Hugging Face Transformers integriert SynthID-Text über SynthIDTextWatermarkingConfig und SynthIDTextWatermarkDetector. lm-watermarking implementiert das Verfahren von Kirchenbauer et al., während MarkLLM mehrere Verfahren unter einer einheitlichen Oberfläche zusammenführt. Die Werkzeuge lassen sich mit eigenen Konfigurationen und Schlüsseln verwenden, enthalten jedoch keine internen Schlüssel von Claude oder Gemini.

Bedeutet ein fehlendes Wasserzeichen, dass ein Text von einem Menschen stammt?

Nein. Ein negativer Befund bedeutet nur, dass der Detektor für das geprüfte Verfahren und den verwendeten Schlüssel kein ausreichend starkes Signal gefunden hat. Der Text kann von einem anderen KI-Modell stammen, ohne Wasserzeichen erzeugt worden sein, zu kurz für einen belastbaren Nachweis sein oder sein Wasserzeichen durch eine umfassende Überarbeitung verloren haben.

Was brauche ich, um ein Rot-Grün-Listen-Wasserzeichen zu knacken?

Zum vollständigen Rekonstruieren und Prüfen benötigen Sie vor allem den geheimen Schlüssel. Zusätzlich müssen Tokenizer und Vokabular, die Kontextbreite h, das Verfahren zur Berechnung des Startwerts, der Grünanteil γ, die jeweiligen Kontext-Token und der verwendete Pseudozufallsgenerator bekannt sein. Erst mit diesen Angaben lassen sich die grünen und roten Listen für jede Textposition exakt nachbilden.

Die Wasserzeichenstärke δ wird für die Rekonstruktion der Listen nicht benötigt. Sie bestimmt nur, wie stark grüne Token bei der Texterzeugung bevorzugt wurden. Für dasselbe abschließende Prüfergebnis müssen außerdem die Nachweisschwelle und die Regeln für wiederholte Token-Folgen übereinstimmen. Ohne den geheimen Schlüssel sind Angriffe oder Schätzungen möglich, aber keine sichere Rekonstruktion der ursprünglichen Listen.

1. Im Wortlaut: „Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, stellen sicher, dass die Ausgaben des KI-Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die Anbieter sorgen dafür, dass — soweit technisch möglich — ihre technischen Lösungen wirksam, interoperabel, belastbar und zuverlässig sind und berücksichtigen dabei die Besonderheiten und Beschränkungen der verschiedenen Arten von Inhalten, die Umsetzungskosten und den allgemein anerkannten Stand der Technik, wie er in den einschlägigen technischen Normen zum Ausdruck kommen kann.“ [↩]
2. Liang et al. (2023): GPT detectors are biased against non-native English writers, Patterns 4(7 [↩]
3. Siehe: Digital image watermarking: its formal model, fundamental properties and possible attacks [↩]
4. Siehe auch: Dathathri, See et al. (2024): Scalable watermarking for identifying large language model outputs [↩]
5. Kirchenbauer, Geiping, Wen, Katz, Miers, Goldstein (2023): A Watermark for Large Language Models, ICML 2023 – Algorithmen 1 und 2 beschreiben Hard- und Soft-Watermarking [↩]
6. Referenzimplementierung auf GitHub – nachvollziehbarer Code zu γ, δ und Kontextbreite [↩]