Wasserzeichen in KI-Texten: Einbau, Nachweis und Grenzen

Warum Anthropic Claude-Texte jetzt mit einem Wasserzeichen versieht

Am 14. August 2026 kündigte Anthropic an, die Textausgaben künftiger Claude-Modelle mit einem unsichtbaren Wasserzeichen zu versehen. Zwölf Tage zuvor, am 2. August 2026, sind die Transparenzpflichten gemäß Artikel 50 der KI-Verordnung der Europäischen Union in Kraft getreten. Die beiden Ereignisse hängen unmittelbar zusammen. Anthropic nennt die europäische Regulierung ausdrücklich als einen der Gründe für die Einführung des Wasserzeichens.

Damit stellt sich eine technische Frage, die bis vor wenigen Jahren vor allem Gegenstand der Forschung war. Bild- und Videodateien lassen sich über Metadaten oder in den Bilddaten eingebettete Muster kennzeichnen. Bei reinem Text fehlen solche zusätzlichen Datenebenen. Wo kann in einem Satz aus zwanzig gewöhnlichen deutschen Wörtern eine Markierung liegen, die ein Prüfprogramm erkennt, die aber für den Leser unsichtbar ist? Und wie bleibt sie erhalten, wenn jemand den Text kopiert, das Dateiformat wechselt oder zwei Sätze umstellt?

Ein Wasserzeichen fügt dem Dokument keine verborgenen Zeichen hinzu. Es verteilt ein statistisches Signal über viele Auswahlentscheidungen des Modells. Dieser Artikel erklärt einen Ansatz, den mehrere aktuelle Verfahren verwenden. Die Markierung steckt also nicht im fertigen Text, sondern in der Art und Weise, wie er entstanden ist. Wer verstehen möchte, wie ein Sprachmodell Text Token für Token erzeugt, findet die Grundlagen im Artikel "Wie ein Sprachmodell Text erzeugt". Er setzt zwei dort erläuterte Begriffe voraus: das Token als vom Modell verarbeitete Texteinheit und das Logit als Punktwert, den das Modell jedem möglichen nächsten Token gibt.

Sind Wasserzeichen für KI-Texte vorgeschrieben?

Nein. Nicht "Wasserzeichen" per se, aber die machinenlesbare Kennzeichnung von Texten: Seit dem 2. August 2026 sind Anbieter gemäß Artikel 50 Absatz 2 der Verordnung (EU) 2024/1689 dazu verpflichtet, synthetische Text-, Bild-, Audio- und Videoausgaben maschinenlesbar zu kennzeichnen. Die Kennzeichnung muss erkennen lassen, dass der Inhalt künstlich erzeugt oder verändert wurde. Ein Wasserzeichen ist nur eine Lösung neben anderen.¹

Die Pflicht gilt für Anbieter entsprechender KI-Systeme, einschließlich solcher mit allgemeinem Verwendungszweck, die in der Europäischen Union in Verkehr gebracht oder in Betrieb genommen werden. Absatz 2 richtet sich nicht an private Nutzer. Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, müssen die Vorgabe aufgrund der Übergangsregelung in der Verordnung (EU) 2026/1744 spätestens ab dem 2. Dezember 2026 erfüllen.

Die technischen Lösungen müssen wirksam, interoperabel, belastbar und zuverlässig sein, soweit dies technisch möglich ist. Ausgenommen sind Systeme, die nur bei der Standardbearbeitung unterstützen oder die Eingabedaten und deren Bedeutung nicht wesentlich verändern. Eine weitere Ausnahme gilt für bestimmte, gesetzlich zugelassene Strafverfolgungszwecke.

Die Verordnung legt das Ergebnis der Kennzeichnung fest, nicht das technische Verfahren. In Erwägungsgrund 133 werden Wasserzeichen, Metadatenkennzeichnungen, kryptografische Herkunftsnachweise, Protokollierung und Fingerprinting als mögliche Lösungen genannt. Ein statistisches Textwasserzeichen ist somit eine mögliche Umsetzungsform, jedoch keine gesetzlich vorgeschriebene Technik.

Über die Rechtspflicht hinaus schaffen Wasserzeichen einen maschinenlesbaren Herkunftshinweis. Anbieter und Plattformen können markierte Inhalte somit automatisiert erkennen, kennzeichnen oder einer Prüfung zuführen. Anbieter können außerdem eigene KI-Ausgaben aus Datensätzen herausfiltern und damit das Risiko verringern, dass ihre eigenen Erzeugnisse unkontrolliert zum Training von Modellen verwendet werden. In betrieblichen Abläufen kann ein erhaltenes Signal darauf hinweisen, dass ein bestimmtes KI-System an einem Text beteiligt war, selbst wenn ein sichtbarer Hinweis beim Kopieren verloren gegangen ist.

Diese Aussagekraft bleibt jedoch begrenzt. Ein Wasserzeichen nennt weder den Nutzer noch belegt es, wer den Text verfasst, geprüft oder veröffentlicht hat. Zudem erkennt es nur das zugehörige Verfahren und kann durch starke Bearbeitungen geschwächt werden. Gegen eine gezielte Entfernung durch Paraphrasieren oder Übersetzen bietet es daher keinen vollständigen Schutz.

Was Wasserzeichen sind und was nicht

Ein Textwasserzeichen ist ein statistisches, schlüsselabhängiges Muster in der Token-Auswahl. Es wird während der Texterzeugung absichtlich eingefügt und lässt sich später mithilfe eines Rechenverfahrens nachweisen. Dabei werden dem Text keine sichtbaren oder verborgenen Sonderzeichen hinzugefügt und weder das Dateiformat noch das Layout verändert.

Herkunftsnachweise wie C2PA binden signierte Informationen über Herkunft und Bearbeitung kryptografisch an ein digitales Dokument. Je nach Umsetzung kann das zugehörige Manifest in der Datei liegen oder extern gespeichert sein. Es bildet jedoch kein statistisches Muster in der Wortwahl. Beim Kopieren eines Absatzes als reinen Text können dokumentgebundene Herkunftsinformationen verloren gehen. Statistische Wasserzeichen verfolgen deshalb einen anderen Ansatz: Sie verankern das Signal in der Token-Auswahl.

KI-Detektoren wie GPTZero klassifizieren einen fertigen Text nachträglich anhand statistischer und sprachlicher Merkmale. Einige Verfahren verwenden dafür die Perplexität, also den Grad, in dem eine Wortfolge für ein Sprachmodell vorhersehbar ist, sowie sprachliche Gleichförmigkeit. Sie benötigen keinen Schlüssel des erzeugenden Systems, liefern aber nur eine statistische Einschätzung. OpenAI stellte seinen eigenen Klassifikator im Juli 2023 wegen dessen geringer Genauigkeit ein. Eine Untersuchung von Liang et al. aus dem Jahr 2023 zeigte außerdem, dass englische Texte von Nichtmuttersprachlern überdurchschnittlich häufig fälschlicherweise als KI-generiert eingestuft wurden.²

Ein Wasserzeichen verwendet eine andere Prüfgrundlage. Es bewertet nicht nur allgemeine Textmerkmale, sondern prüft ein bestimmtes Muster, das bei der Erzeugung eingebaut wurde. Das Ergebnis bezieht sich daher auf einen bestimmten Schlüssel und das zugehörige Verfahren. Es zeigt, wie wahrscheinlich das betreffende System am Text beteiligt war. Wenn beispielsweise das Anthropic-Muster nicht gefunden wird, lässt sich daraus nicht ableiten, dass der Text von einem Menschen oder ohne ein anderes KI-System erstellt wurde.

Sichtbar oder unsichtbar, robust oder fragil

Wasserzeichen lassen sich anhand zweier unabhängiger Merkmale unterscheiden. Die erste Achse beschreibt, ob Menschen die Kennzeichnung wahrnehmen können. Die zweite gibt an, wie sich das Wasserzeichen bei definierten Bearbeitungen verhalten soll. Ein Wasserzeichen kann beispielsweise unsichtbar und robust oder sichtbar und fragil sein.³

Ein sichtbares Wasserzeichen richtet sich unmittelbar an den Leser. Bei Bildern kann es sich um ein eingeblendetes Logo handeln, bei Texten um einen Hinweis wie "Erstellt mit KI-Unterstützung". Im engeren technischen Sinn ist eine solche Textzeile eher eine sichtbare Kennzeichnung als ein eingebettetes Wasserzeichen. Sie schafft Transparenz, lässt sich aber leicht entfernen.

Ein unsichtbares Wasserzeichen richtet sich dagegen an ein Prüfprogramm. Das Signal ist in den Inhalt oder seine Erzeugung eingebettet und für Menschen nicht unmittelbar wahrnehmbar. Der Nachweis erfordert ein technisches Verfahren und häufig einen Schlüssel. Bei Bildern kann das Signal in geringfügigen Veränderungen der Bilddaten liegen, bei generierten Texten in einem statistischen Muster der Token-Auswahl. Die in diesem Artikel beschriebenen Textwasserzeichen gehören zu dieser Gruppe.

Ein robustes Wasserzeichen soll auch nach festgelegten Bearbeitungen nachweisbar bleiben. Es kann als Herkunftshinweis dienen, wenn ein Inhalt gekürzt, umgestellt, komprimiert oder neu formatiert wurde. Robustheit gilt jedoch nie uneingeschränkt, sondern immer nur gegenüber einer zuvor bestimmten Gruppe von Veränderungen. SynthID-Text und Soft Watermarking sind darauf ausgelegt, zumindest leichte Bearbeitungen zu überstehen.⁴

Ein fragiles Wasserzeichen soll auf Veränderungen reagieren. Wird der geschützte Inhalt bearbeitet, verändert sich das Signal oder es lässt sich nicht mehr gültig nachweisen. Dadurch kann das Verfahren anzeigen, dass der Inhalt nicht mehr dem ursprünglichen Zustand entspricht. Dies beweist jedoch keine vorsätzliche Manipulation, sondern eine Veränderung. Fragile Wasserzeichen werden vor allem zur Integritätsprüfung und zur Lokalisierung veränderter Bereiche in Bildern oder feststehenden Dokumenten eingesetzt.

Zwischen beiden Varianten liegen semi-fragile Wasserzeichen. Sie tolerieren definierte, zulässige Änderungen wie eine Komprimierung, reagieren aber auf inhaltlich relevante Eingriffe.

Achse	Variante	Zweck	Beispiel	Einordnung bei Text
Wahrnehmung	sichtbar	unmittelbare Information des Lesers	Hinweiszeile oder eingeblendetes Logo	leicht erkennbar und leicht entfernbar
Wahrnehmung	unsichtbar	maschineller Nachweis eines eingebetteten Signals	statistisches Muster in der Token-Auswahl	nur mit einem Prüfverfahren erkennbar
Beständigkeit	robust	Herkunftshinweis trotz definierter Bearbeitungen	SynthID-Text oder Soft Watermarking	angestrebte, aber begrenzte Robustheit
Beständigkeit	fragil	Erkennung von Veränderungen und Integritätsverlust	fragiles Wasserzeichen in Bild- oder Dokumentdaten	für bearbeitbare Texte ungeeignet, für feststehende Dokumente nutzbar

Für einen Text, der redaktionell weiterbearbeitet werden soll, ist ein strikt fragiles Wasserzeichen meist ungeeignet: Jede zulässige Änderung könnte als Integritätsverlust erscheinen. Bei einer unveränderlichen Endfassung kann ein fragiles Verfahren dagegen anzeigen, dass der Inhalt nachträglich bearbeitet wurde. Die in diesem Artikel behandelten statistischen Textwasserzeichen sind unsichtbar und auf eine begrenzte Robustheit gegenüber Bearbeitungen ausgelegt.

Wie statistische Wasserzeichen in KI-Texten funktionieren

Die akademische Grundlage wurde von der Gruppe um John Kirchenbauer erstmalig beschrieben. Google entwickelte das Konzept mit SynthID zur industriellen Marktreife. Anthropic setzt eine Weiterentwicklung davon jetzt im großen Maßstab ein. Den Begriff der Entropie erläutern wir später ausführlich. Hohe Entropie bedeutet hier "Texte mit einer hohen Auswahlmöglichkeit".

Kirchenbauer et al: grüne und rote Token

Das bahnbrechende Verfahren beschreiben Kirchenbauer et al. in ihrer 2023 veröffentlichten Arbeit "A Watermark for Large Language Models". Die Idee ist es Vor jedem Erzeugungsschritt wird das Vokabular in zwei Gruppen aufgeteilt: in eine rote und in eine grüne Liste. Anschließend wird die Auswahl von Token aus der grünen Liste gefördert.⁵

Das Ziel ist, nicht für jede Textposition eine vollständige grüne Liste speichern zu müssen. Stattdessen berechnet das Verfahren die Liste immer dann neu, wenn sie benötigt wird. Dafür verwendet es einen geheimen Schlüssel und die Anzahl h zuletzt erzeugter Token (die sog. Kontextbreite).

Aus diesen Eingaben entsteht ein Startwert. Ein Pseudozufallsgenerator verwendet ihn, um das Vokabular in eine scheinbar zufällige, aber wiederholbare Reihenfolge zu bringen. Der Wert γ legt anschließend fest, wie viele Token am Anfang dieser Reihenfolge zur grünen Liste gehören. Bei γ = 0,25 ist es ein Viertel des Vokabulars.

Ein Pseudozufallsgenerator erzeugt mit demselben Startwert immer dieselbe Reihenfolge. Deshalb können das erzeugende System und der spätere Prüfer unabhängig voneinander dieselbe grüne Liste berechnen. Die Liste muss weder gespeichert noch zusammen mit dem Text übertragen werden.⁶

Vereinfachtes Beispiel:

gleicher Kontext + geheimer Schlüssel A → grüne Liste A
gleicher Kontext + geheimer Schlüssel B → grüne Liste B

Dafür müssen Schlüssel, Tokenisierung, Kontext und Verfahrensregeln übereinstimmen. Ändert sich der Schlüssel oder der verwendete Kontext, entsteht ein anderer Startwert und damit eine andere Token-Reihenfolge. Wird nur γ geändert, bleibt die Reihenfolge gleich; die grüne Liste wird größer oder kleiner.

Die Anzahl der berücksichtigten vorherigen Token heißt Kontextbreite h. Bei h = 4 fließen beispielsweise die letzten vier Token in die Berechnung ein. Varianten wie minhash und selfhash unterscheiden sich darin, wie sie diese Token verarbeiten. selfhash bezieht zusätzlich das gerade geprüfte Kandidaten-Token ein. Die Begriffe bezeichnen interne Rechenregeln und keine standardisierten kryptografischen Hashfunktionen wie SHA-256. Die Referenzimplementierung empfiehlt selfhash mit h = 4 als Ausgangswert.

Kleinere Werte für h können das Wasserzeichen robuster gegen Bearbeitungen machen, weil eine Änderung weniger nachfolgende Berechnungen beeinflusst. Bei größeren Werten hängt die grüne Liste stärker vom vorherigen Text ab. Das erschwert ihre Vorhersage ohne Schlüssel, macht sie aber empfindlicher gegenüber Änderungen.

Derselbe geheime Schlüssel dient zum Erzeugen und zum Prüfen des Wasserzeichens. Darin unterscheidet sich das Verfahren von einer digitalen Signatur. Beim C2PA-Standard wird ein privater Schlüssel zum Signieren verwendet. Der zugehörige öffentliche Schlüssel erlaubt anschließend die Prüfung.

C2PA speichert die Herkunftsinformationen in einem Manifest, das in einer Datei liegen oder extern mit ihr verbunden sein kann. Wird nur ein Absatz kopiert, wird diese Verbindung gewöhnlich nicht übernommen. Das statistische Wasserzeichen steckt dagegen in der Token-Auswahl und wird mit dem Text kopiert. Es bleibt nachweisbar, solange genügend ursprünglicher Text erhalten ist. Für die Prüfung wird weiterhin der geheime Schlüssel oder der Erkennungsdienst des Schlüsselinhabers benötigt.

Hard Watermarking: das Verbot

Bei der harten Variante darf das Modell ausschließlich Token aus der grünen Liste wählen. Rote Token sind gesperrt. Dadurch liegt der Anteil grüner Token im unbearbeiteten Text bei 100 Prozent und das statistische Signal ist leicht nachweisbar.

Das Verfahren beeinträchtigt jedoch die Textqualität, sobald nur eine oder wenige sinnvolle Fortsetzungen möglich sind. Auf "Die Hauptstadt von Frankreich ist" folgt in einem gut trainierten Modell mit sehr hoher Wahrscheinlichkeit "Paris". Steht "Paris" auf der roten Liste, kann das Modell zu einer unpassenden oder falschen Fortsetzung gezwungen werden. Dasselbe Problem tritt bei Eigennamen, Fachbegriffen und feststehenden Formulierungen auf.

Soft Watermarking: der Bonus

Beim Soft Watermarking wird das Vokabular vor jedem Erzeugungsschritt pseudozufällig in eine grüne und eine rote Liste aufgeteilt. Der Parameter γ (Gamma) legt fest, welcher Anteil des Vokabulars auf der grünen Liste steht. Bei γ = 0,25 sind das beispielsweise 25 Prozent aller verfügbaren Token. Der Parameter δ (Delta) bestimmt anschließend den Logit-Bonus, den diese grünen Token erhalten. Je höher δ ist, desto stärker werden sie bei der Auswahl bevorzugt. Rote Token bleiben weiterhin auswählbar, damit stark wahrscheinliche oder sachlich notwendige Fortsetzungen nicht vollständig ausgeschlossen werden.

Die weiche Variante verbietet keine Token. Sie addiert vor der Softmax-Berechnung einen festen Betrag δ (Delta) zu den Logits aller grünen Token. Rote Token bleiben unverändert und grundsätzlich auswählbar. Ihre Auswahlwahrscheinlichkeit sinkt jedoch gegenüber den bevorzugten grünen Token.

γ und δ erfüllen dabei unterschiedliche Aufgaben: γ bestimmt, welcher Anteil des Vokabulars auf der grünen Liste steht. δ bestimmt, wie stark diese Token bevorzugt werden.

Eine vereinfachte Modellrechnung zeigt die Wirkung des Logit-Bonus. Das Modell soll den Satz "Die größte Stadt Deutschlands ist" fortsetzen. Betrachtet werden vier Kandidaten mit den Logits Berlin 2,2, Hamburg 1,6, München 1,2 und Köln 0,6. Die Hashfunktion ordnet Hamburg und Köln der grünen, Berlin und München der roten Liste zu. Der Bonus beträgt δ = 2,0:

Token	Liste	Logit	Wahrscheinlichkeit ohne Wasserzeichen	Logit mit δ = 2,0	Wahrscheinlichkeit mit Wasserzeichen
Berlin	rot	2,2	47,2 %	2,2	14,5 %
Hamburg	grün	1,6	25,9 %	3,6	58,6 %
München	rot	1,2	17,4 %	1,2	5,3 %
Köln	grün	0,6	9,5 %	2,6	21,6 %

Der Eingriff findet ausschließlich in der Spalte "Logit mit δ = 2,0" statt. Nur die beiden grünen Token erhalten den Bonus, die roten Logits bleiben unverändert bei 2,2 und 1,2. Die letzte Spalte enthält keinen zusätzlichen Eingriff mehr: Sie ist das Ergebnis derselben Softmax-Berechnung, angewendet auf die veränderten Logits.

Die Tabelle zeigt zwei Effekte. Hamburg überholt das zuvor führende Berlin, obwohl sein Logit nur um zwei Punkte erhöht wurde. Und die roten Token verlieren, ohne dass ihre Logits angetastet wurden – ihre Wahrscheinlichkeit sinkt allein deshalb, weil die Softmax-Funktion jeden Wert ins Verhältnis zur Summe aller Werte setzt. Berlin verschwindet dabei nicht aus der Auswahl: Seine Wahrscheinlichkeit beträgt weiterhin 14,5 Prozent.

Damit wird der zentrale Zielkonflikt sichtbar: Mit δ steigen sowohl die Signalstärke als auch der Eingriff in die ursprüngliche Wahrscheinlichkeitsverteilung. Einen für alle Modelle und Textarten optimalen Wert gibt es nicht. Als Basiskonfiguration nennt die aktuelle Referenzimplementierung γ = 0,25 und δ = 2,0. Wenn die Textqualität leidet, empfehlen die Autoren, δ zu verringern.

Der Nachweis: grüne Token zählen

Für den Nachweis muss das Sprachmodell nicht erneut ausgeführt werden. Erforderlich sind jedoch der Schlüssel, die Tokenisierung und die Parameter des Wasserzeichenverfahrens. Der Prüfer geht den Text Token für Token durch, rekonstruiert für jede Position die zugehörige grüne und rote Liste und zählt die tatsächlich verwendeten grünen Token.

Der Nachweis verwendet einen Einstichproben-z-Test für einen Anteilswert. Unter der Nullhypothese wird die Zahl grüner Token als binomialverteilt angenommen; der z-Wert gibt an, um wie viele Standardabweichungen das beobachtete Ergebnis über dem erwarteten Wert γ · T liegt. Die Nullhypothese lautet: Der Text wurde ohne Kenntnis der grünen Liste erzeugt. Dann hatte die Listenzuordnung keinen Einfluss auf die Token-Auswahl. Der erwartete Anteil grüner Token entspricht daher γ. Bei γ = 0,25 sollte ungefähr ein Viertel der geprüften Token grün sein.

Abweichungen von diesem Erwartungswert treten auch bei unmarkierten Texten auf. Der z-Wert misst, wie groß die beobachtete Abweichung im Verhältnis zur unter der Nullhypothese erwarteten Streuung ist:

z = (Anzahl grüner Token − γ · T) / √(T · γ · (1 − γ))

Dabei bezeichnet T die Anzahl der geprüften Token. Je größer der positive z-Wert ausfällt, desto ungewöhnlicher wäre die beobachtete Zahl grüner Token bei einem unmarkierten Text.

Der z-Test in der Praxis:

Ein Beispiel mit γ = 0,25 und T = 200: Erwartet werden 50 grüne Token in einer Gesamtanzahl von 200 Token. Die Standardabweichung beträgt √37,5 ≈ 6,1. Ein unmarkierter Text mit 55 grünen Token erreicht z = 0,82 und bleibt damit unauffällig. Bei 76 grünen Token ergibt sich dagegen z = 4,25.

Die Originalarbeit veranschaulicht den Test mit der Schwelle z > 4; die Referenzimplementierung verwendet 4,0 als Standardwert. Wird die Schwelle überschritten, verwirft das Prüfverfahren die Nullhypothese. Bei ausreichend langen Texten liegt die einseitige Falschpositivrate unter den Modellannahmen bei rund 3 · 10⁻⁵. Rechnerisch entspricht das etwa einem Fall unter 33.000 unmarkierten Passagen.

Die Nachweisrate in der Gegenrichtung hängt von Textlänge, Entropie, Modell und Verfahrensparametern ab. In einem Experiment der Autoren mit etwa 200 Token langen Ausgaben, γ = 0,25, δ = 2,0 und multinomialem Sampling wurden 99,4 Prozent der markierten Texte erkannt. 0,6 Prozent blieben bei z > 4 unentdeckt. Diese Werte gelten nur für die untersuchte Versuchsanordnung und stellen keine allgemeine Fehlerquote des Verfahrens dar.

Rein rechnerisch genügen bei γ = 0,25 sechs vollständig grüne Token, um mit z = 4,24 die Schwelle zu überschreiten. Bei einer so kleinen Stichprobe ist die verwendete Normalverteilungsnäherung jedoch ungenau. Unter der Nullhypothese beträgt die exakte Wahrscheinlichkeit für sechs grüne Token 0,25⁶ ≈ 2,44 · 10⁻⁴ – etwa ein Fall unter 4.096 Passagen. Die rechnerische Untergrenze erlaubt daher noch keinen belastbaren Nachweis.

Bei einem Text aus 25 Token müssten mindestens 15 Token grün sein, damit z > 4 gilt. Das entspricht einem Grünanteil von 60 Prozent. Auch hier weicht die exakte Binomialwahrscheinlichkeit mit rund 2,15 · 10⁻⁴ von der Falschpositivrate der Normalverteilungsnäherung ab. Kurze Chatantworten lassen sich auf diesem Weg deshalb meist nicht zuverlässig prüfen. Die praktische Mindestlänge muss für das konkrete Verfahren empirisch bestimmt werden.

Ein solches Ergebnis sollte deshalb weder in Prüfungsverfahren noch in rechtlichen Auseinandersetzungen für sich allein als Beweis dienen. Es ist ein statistisches Indiz für ein bestimmtes Wasserzeichen, keine sichere Feststellung der Urheberschaft.

SynthID-Text: Das Prinzip des gezinkten Würfels

SynthID ist eine Weiterentwicklung statistischer Text-Wasserzeichen, wie sie Kirchenbauer et al. 2023 beschrieben haben. Gleich bleibt das Grundprinzip: Das Wasserzeichen entsteht nicht durch sichtbare Zeichen im Text, sondern durch eine geheime, kontextabhängige Steuerung bei der Token-Erzeugung. Auch der spätere Nachweis bleibt statistisch. Ein einzelnes Wort beweist nichts. Erst über viele Tokens zeigt sich, ob die Auswahl auffällig gut zu dem geheimen Muster passt.⁷

Vereinfacht ausgedrückt: Das Modell nutzt die bestehende Vorauswahl bei der Erstellung des nächsten Token. Einige Fortsetzungen sind sehr wahrscheinlich, andere weniger. SynthID lässt diese Auswahl nicht einfach unverändert auswürfeln, sondern legt ein geheimes, pseudozufälliges Rauschmuster über den Auswahlvorgang. Dieses Rauschen sieht von außen wie Zufall aus, ist aber durch Schlüssel, Kontext und Verfahren reproduzierbar. Besonders wirksam ist das an Stellen mit hoher Entropie, also dort, wo mehrere Tokens ähnlich plausibel sind. Bei niedriger Entropie, etwa bei fest vorgegebenen Begriffen, Zahlen, Code oder formelhaften Wendungen, bleibt weniger Spielraum für ein Wasserzeichen

SynthID verschiebt damit komplett die Eingriffsebene. Statt die Modellwahrscheinlichkeiten gewaltsam in Richtung einer künstlichen Wortliste zu drücken, wird die Ziehung selbst deterministisch gesteuert. Über viele Schritte hinweg entsteht so ein feines, statistisches Signal. Der Detektor prüft später, ob die gewählte Token-Folge exakt zu diesem mathematischen Muster passt.⁸

Unterschiede an einem Beispiel erklärt

Stellen wir uns vor, das Sprachmodell möchte die Wörter „schön” (60 % Wahrscheinlichkeit) oder „herrlich” (40 % Wahrscheinlichkeit) schreiben.

Kirchenbauer et al. (Die gefälschte Tabelle): Das Verfahren verändert vor dem Wurf die Regeln. Es schlägt 30 % Bonus auf „herrlich” vor, da es auf der grünen Liste steht. Die neuen Chancen heißen jetzt nur noch 30 % für „schön” und 70 % für „herrlich”. Danach wird gewürfelt. Die ursprüngliche Sprachlogik des Modells wurde dadurch verzerrt.

SynthID (Der deterministische "Zufall"): Die Chancen bleiben unverändert bei 60 % zu 40 %. SynthID legt jedoch ein geheimes, berechenbares Rauschmuster über den Wurf. Steht der geheime Zeiger an dieser Stelle auf „Auswurf bevorzugen”, gewinnt „herrlich” den knappen Entscheid – absolut konform mit der ursprünglichen Verteilung, aber für Kenner des Schlüssels exakt vorhersehbar. Es zinkt den Würfel.

Merkmal	Kirchenbauer et al.	SynthID-Text
Eingriffsebene	Logits / Verteilung (Vor der Ziehung)	Sampling / Ziehung (Während der Auswahl)
Wahrscheinlichkeiten	Werden künstlich verzerrt	Bleiben zu 100 % identisch
Auswahlprozess	Stochastisch (Echter Zufallswürfel)	Deterministisch (Pseudozufalls-Rauschen)
Verhalten bei niedriger Entropie	Erzwingt grüne Tokens (Gefahr von Textfehlern)	Schaltet sich stumm (Null Qualitätsverlust)

Vorteile von SynthID

• Volle Textqualität: Die Wahrscheinlichkeitsverteilung des Modells bleibt unangetastet. Sätze klingen natürlich.
• Keine Kollaterschäden bei Code: Bei niedriger Entropie (Code, Mathematik) schaltet sich das Verfahren stumm. Die Präzision leidet nicht.
• Unabhängige Prüfung: Der Detektor benötigt nur den Text und den Schlüssel. Es ist kein Ausführen des Sprachmodells notwendig.
• Praxiserprobt: Im Nature-Großversuch mit Millionen Antworten zeigte sich kein Qualitätsverlust für Nutzer.

Nachteile von SynthID

• Keine Universalerkennung: Identifiziert nur Texte aus Systemen, die exakt dieses Verfahren aktivieren.
• Erfordert Textlänge: Ein statistisch sicherer Nachweis benötigt in Regel mehr als 200 Token. Bei sehr kurzen Texten versagt das Signal.
• Empfindlich bei Bearbeitung: Umschreiben, Paraphrasieren oder Übersetzen kann das Wasserzeichen zerstören.

Das KI Wasserzeichen von Anthropic

Anthropic integriert Transparenz-Mechanismen in die Claude-Modellreihe, um gesetzliche Vorgaben wie den EU AI Act zu erfüllen. Die Umsetzung erfolgt zweigleisig: Während sichtbare Formate oder Exporte über Metadaten-Standards wie C2PA gekennzeichnet werden, kommt bei Fließtexten ein Verfahren des stochastischen SynthID-Prinzips auf Token-Ebene zum Einsatz.

Um die Qualität in technischen Anwendungsfeldern nicht zu gefährden, verwendet Anthropic streng konfigurierte Entropie-Schwellenwerte. Bei Programmcode, mathematischen Formeln und eindeutigen Faktabfragen wird das Wasserzeichen vollständig deaktiviert, wodurch die funktionale Integrität der Ausgaben garantiert bleibt.

Damit das statistische Signal auch bei nachträglichen Formatierungsänderungen erhalten bleibt, setzt die Detektion auf eine vorgelagerte Kanonisierung:

• Flexible Kontextfenster: Über parallele Multi-Fenster-Hashes wird der Text geglättet, sodass der mathematische Nachweis auch nach einfachen Kopiervorgängen robust geführt werden kann.
• Unicode-Normalisierung: Unterschiedliche Zeichencodierungen werden vereinheitlicht.
• Bereinigung von Steuerzeichen: Whitespaces und Zeilenumbrüche werden auf Standardwerte reduziert.

Der Preis bleibt derselbe wie bei anderen generativen Text-Wasserzeichen: Sie brauchen genügend Text, passende Detektionsmittel und verlieren Aussagekraft, wenn der Text stark verändert wird.

Warum Entropie die Nachweisbarkeit bestimmt

Die vorgestellten Wasserzeichenverfahren benötigen eine ausreichende Auswahlfreiheit. Die Modellverteilung muss mehrere Token mit relevanter Wahrscheinlichkeit enthalten. Wenn ein Token die Verteilung deutlich dominiert, lässt sich kaum ein Signal einbauen, ohne die Richtigkeit oder die Textqualität zu beeinträchtigen.

Texte mit Fakten, Zitate, Code haben niedrige Entropie. Ein Gedicht hat ebenfalls niedrige Entropie weil Worte und Reihenfolge stark vorherbestimmt sind. Ein Text ist eben ein gewisses Gedicht oder eben falsch. Eine freie Interpretation dieses Gedichts hingegen hat eine hohe Entropie, weil es dem Autor freisteht wie er seine Gedanken formuliert.

Die Entropie ist hier ein Maß für die Unsicherheit bei der Auswahl des nächsten Tokens. Sie ergibt sich daraus, wie das Modell die Wahrscheinlichkeit auf die möglichen Fortsetzungen verteilt. Konzentriert sich fast die gesamte Wahrscheinlichkeit auf ein Token, ist die Entropie niedrig. Verteilt sie sich auf mehrere plausible Token, ist die Entropie hoch. Das Wasserzeichenverfahren kann dann zwischen diesen Kandidaten auswählen, ohne die Ausgabe wesentlich zu verschlechtern.

Entropie bezeichnet in diesem Zusammenhang weder den fachlichen Informationsgehalt noch die sprachliche Komplexität eines Satzes. Sie beschreibt, wie vorhersehbar das nächste Token aus Sicht des Modells ist. Ein sprachlich anspruchsvoller Satz kann daher eine niedrige Entropie besitzen, wenn der Kontext nur eine fachlich richtige Fortsetzung zulässt.

Daraus folgt die folgende Faustregel: Je breiter die Wahrscheinlichkeitsverteilung und je länger der Text ist, desto mehr statistische Wasserzeicheninformationen lassen sich einbauen.

Gut markierbar sind tendenziell längere, frei formulierte Texte wie Essays, Blogbeiträge, Erzählungen oder Zusammenfassungen in eigenen Worten. Solche Texte bieten an vielen Positionen mehrere geeignete Formulierungen. Über längere Passagen kann sich dadurch genügend statistische Evidenz für den jeweiligen Nachweistest ansammeln.

Weniger gut markierbar sind:

• faktische Passagen mit feststehenden Namen, Zahlen, Fachbegriffen oder eindeutigen Fortsetzungen,
• kurze Antworten, Ja/Nein-Entscheidungen und Multiple-Choice-Antworten,
• Aufzählungen von Namen, Zahlen oder Datumsangaben,
• Quellcode, weil Syntax und funktionale Anforderungen die Token-Auswahl häufig einschränken.

Auch Quellcode enthält variable Bereiche. Kommentare und frei wählbare Bezeichner bieten beispielsweise mehr Spielraum als Schlüsselwörter, Operatoren oder syntaktisch festgelegte Ausdrücke. Anthropic nennt Code und faktische Passagen ausdrücklich als Bereiche, in denen das Wasserzeichen schwächer ausgeprägt sein kann.

Daraus entsteht eine praktische Lücke. Gerade bei Prüfungsaufgaben mit kurzen Antworten oder bei Programmieraufgaben wäre ein verlässlicher Nachweis besonders relevant. In diesen Fällen steht dem Verfahren jedoch nur wenig statistische Evidenz zur Verfügung. Technische Stärke und institutioneller Prüfbedarf fallen damit nicht immer zusammen.

Wie sich Textwasserzeichen verwischen und gezielt angreifen lassen

Ein Wasserzeichen übersteht das Kopieren. Ob es eine Bearbeitung übersteht, hängt davon ab, wie stark diese in die Token-Folge eingreift. Es sind zwei Fälle zu unterscheiden: die alltägliche Weiterverarbeitung eines Textes und der gezielte Versuch, das Signal zu beseitigen. Die Verfahren sind gegen den ersten Fall ausgelegt, gegen den zweiten nicht.

Warum das Signal an der Entropie hängt

Das Verfahren hat nur dort Spielraum, wo mehrere Fortsetzungen plausibel sind. An diesen Stellen lässt sich die Auswahl verschieben, ohne dass der Satz auffällig wird. An entropiearmen Stellen – wie Eigennamen, Zahlen, Zitaten, Gedichten oder Code – bleibt kaum Spielraum und die Verfahren schalten sich dort teilweise selbst stumm.

Daraus folgt: Der Nachweis stützt sich auf viele Einzelentscheidungen, was ihn gegen punktuelle Änderungen unempfindlich macht. Gleichzeitig weiß ein Angreifer, wo er ansetzen muss. Wer die entropiereichen Passagen umschreibt, trifft genau die Stellen, die das Signal tragen. Da der Nachweis Token-Tupel (n-Gramme) im Kontext der vorhergehenden Token bewertet, zählt dabei nicht nur die Wortwahl, sondern auch deren Reihenfolge.

Änderungen durch alltägliche Arbeit

• Die Umwandlung in andere Formate wie HTML, Markdown oder PDF sowie das Entfernen von Formatierungen beeinflussen die Wortfolge nicht. Vor der Prüfung werden Unicode-Zeichen, Leerzeichen und Steuerzeichen vereinheitlicht. Ein Grenzfall bleibt die Textextraktion aus PDFs, wenn sie Ligaturen, Trennstriche oder typografische Anführungszeichen verändert und dadurch Tokengrenzen verschiebt.
• Tippfehler und Korrekturen haben einen geringen Einfluss. Ein einzelner Fehler zerstört die Tupel in seiner Umgebung. Die übrigen hundert liefern weiterhin Evidenz.
• Durch gestrichene Füllwörter und angepasste Zeichensetzung verschiebt sich die Folge punktuell. Ein direkter Messwert dafür liegt nicht vor. Als Anhaltspunkt dient jedoch der stärkere Eingriff: Selbst als in einer Untersuchung zu SynthID-Text sieben von zehn Wörtern durch Synonyme ersetzt wurden, erkannte die Prüfung noch gut vier von fünf markierten Texten. Ein Lektorat greift schwächer ein als eine solche Ersetzung.⁹

Angriffe, die das Signal gezielt schwächen

Angriff	Wirkung auf den Nachweis	Aufwand
Paraphrasierung durch ein zweites Modell	Ersetzt Wortwahl und Satzbau an genau den entropiereichen Stellen. Nach starker Umschreibung sind deutlich längere Passagen nötig, um das Signal noch zu belegen.	gering, automatisierbar
Rückübersetzung über eine Drittsprache	Erzeugt eine neue Tokenfolge bei erhaltenem Inhalt. Die Trefferquote fällt deutlich, wobei das Ergebnis von der Zwischensprache abhängt.	gering
Text-Mixing (Splicing)	Markierte Abschnitte gehen in unmarkiertem Material auf. Das Signal bleibt messbar, doch der Nachweis schlägt zunehmend auch bei unmarkiertem Text an. Der Prüfer müsste die Schwelle anheben und verlöre damit echte Treffer.	gering
Prompt- und Formatierungstricks	Tabellen, Listen und Code senken die Entropie. Das Wasserzeichen entsteht dann gar nicht erst in nachweisbarer Stärke.	gering
Rauschen einstreuen (Tippfehler, Homoglyphen, unsichtbare Zeichen)	Unterbricht die n-Gramm-Historie, wird aber durch die vorgelagerte Normalisierung weitgehend aufgefangen.	gering, Wirkung begrenzt

Was die ersten drei Angriffe eint, ist, dass sie den Text tatsächlich verändern. Dies ist keine Nebenwirkung, sondern die Voraussetzung. Ein Verfahren, das jede semantisch äquivalente Umformulierung überstünde, müsste den Inhalt statt der Tokenfolge markieren. Wer das Signal zuverlässig entfernen will, greift damit zugleich in die Textqualität ein: Das umschreibende Modell setzt seinen eigenen Stil an die Stelle des ursprünglichen. Rückübersetzungen verschieben Fachbegriffe und Nuancen. Mit jedem weiteren Durchlauf steigt zudem das Risiko, dass Zahlen, Namen oder Aussagerichtungen verrutschen.

Scrubbing und Spoofing: der Angriff auf den Schlüssel

Die genannten Angriffe kommen ohne Kenntnis des Schlüssels aus. Eine zweite Klasse zielt auf das Muster selbst. Wer genügend Ausgaben eines Systems sammelt und statistisch auswertet, kann die Bevorzugung annähernd rekonstruieren, ohne den Schlüssel zu besitzen. Zwei Angriffe werden damit möglich: das gezielte Herausrechnen des Musters aus einem markierten Text (Scrubbing) und das Einbauen des Musters in fremden Text, um eine falsche Herkunft vorzutäuschen (Spoofing).

Jovanović et al. zeigten das für Verfahren der Kirchenbauer-Familie: Bei Kosten unter 50 US-Dollar erreichten beide Angriffe Erfolgsraten über 80 Prozent. Für SynthID-Text mit seinem abweichenden Auswahlmechanismus liegt bislang kein vergleichbares Ergebnis vor. Der Befund verschiebt die Bewertung dennoch: Spoofing kehrt die Beweisrichtung um, weil ein positiver Prüfbefund dann nicht mehr allein aus dem markierten System stammen muss.¹⁰

Einordnung: Angriffe auf Wasserzeichen

Statistische Wasserzeichen sind nicht gegen Angreifer ausgelegt, sondern gegen die normale Weiterverarbeitung von Text. Sie erkennen den Nutzer, der eine KI-Ausgabe kopiert, leicht überarbeitet und in ein anderes Format bringt. Sie erkennen denjenigen nicht, der ein zweites Modell zum Umschreiben ansetzt – ein Aufwand von wenigen Minuten. Diese Asymmetrie ist bei jeder institutionellen Verwendung mitzudenken: Ein fehlender Nachweis belegt nichts, und ein vorhandener Nachweis wird durch die Existenz von Spoofing-Angriffen zu einem Indiz, das weitere Belege benötigt.

Sind KI-Wasserzeichen ein Kopierschutz?

Nein. Textwasserzeichen verhindern weder das Kopieren noch die Weiterverwendung eines Textes. Sie hinterlassen ein statistisches Signal, das nach dem Kopieren oder Bearbeiten noch nachweisbar sein kann. Wie lange dieses Signal erhalten bleibt, hängt von Textlänge, Entropie, Signalstärke und Art der Bearbeitung ab.

Kirchenbauer et al. zeigten, dass Wasserzeichen selbst nach menschlicher und maschineller Paraphrasierung nachweisbar bleiben können, wenn ausreichend viel Text untersucht wird. In einem ihrer Versuche waren nach einer starken menschlichen Paraphrasierung durchschnittlich etwa 800 Token erforderlich. Dieser Wert gilt nur für die konkrete Versuchsanordnung und ist keine allgemeine Mindestlänge.

Anthropic beschreibt zugleich die Grenze: Ein vollständiges Neuschreiben, bei dem die ursprüngliche Wortwahl ersetzt wird, entfernt das Wasserzeichen. Ein zweites Sprachmodell kann diesen Vorgang automatisieren.

Ähnliches gilt für Übersetzungen. Eine Übersetzung erzeugt eine neue Tokenfolge und kann dadurch das ursprüngliche Wasserzeichen schwächen oder entfernen. Wird sie von einem markierten Modell erstellt, kann der übersetzte Text gleichzeitig ein neues Wasserzeichen dieses Modells enthalten. Ein fehlendes ursprüngliches Signal bedeutet daher nicht automatisch, dass der Text ohne KI entstanden ist.

Ein Textwasserzeichen liefert daher einen Herkunftshinweis, aber keinen allein ausreichenden Beweis für Urheberschaft oder Täuschungsabsicht. Es kann bei nicht gezielt veränderten oder nur leicht bearbeiteten Texten nachweisbar bleiben. Durch gezielte und wiederholte Paraphrasierung lässt sich das Signal jedoch erheblich schwächen.

Trotz dieser Grenze kann ein Wasserzeichen dazu beitragen, unbeabsichtigt verbreitete KI-Texte zu erkennen, markierte Inhalte aus Trainingsdaten herauszufiltern und Plattformkennzeichnungen zu unterstützen. Für einen zuverlässigen Nachweis gegenüber einer Person, die das Signal gezielt entfernt, reicht es allein nicht aus.

Wer prüfen kann – und warum offene Modelle außen vor bleiben

Das Wasserzeichen entsteht mithilfe eines Schlüssels, der die pseudozufällige Token-Auswahl steuert. Ohne diesen Schlüssel sowie die zugehörigen Verfahrensparameter erscheint die Verteilung der Token wie Zufall. Ein öffentlich bekannter Schlüssel könnte gezielte Umgehungsversuche erleichtern: Der Text ließe sich so verändern, dass er mit möglichst wenigen der erwarteten Auswahlentscheidungen übereinstimmt.

Die Erkennung muss technisch nicht zwingend beim Anbieter stattfinden. Auch eine autorisierte Prüfstelle könnte das Wasserzeichen erkennen, wenn sie den Schlüssel und die erforderlichen Verfahrensdaten erhält. Alternativ kann der Anbieter den Schlüssel geheim halten und eine Schnittstelle bereitstellen, die Texte prüft und ein Ergebnis zurückgibt. In diesem Fall kontrolliert er, wer die Erkennung nutzen darf und welche Informationen das Ergebnis enthält.

Anthropic hat eine Erkennungs-API angekündigt. Ihre technische Ausgestaltung, die Zugangsbedingungen und der mögliche Nutzerkreis sind noch nicht veröffentlicht. Ein Lehrer, Verlag oder Personalverantwortlicher kann einen Claude-Text deshalb derzeit nicht mit einem allgemein verfügbaren Werkzeug selbst auf das angekündigte Wasserzeichen prüfen.

Google DeepMind betreibt ebenfalls eigene Erkennungsangebote für SynthID. Der öffentlich beschriebene SynthID Detector nimmt derzeit jedoch Bild-, Video- und Audiodateien entgegen; ein entsprechender öffentlicher Prüfdienst für Text wird dort nicht angeboten. Die offene SynthID-Text-Implementierung ermöglicht Entwicklern, eigene Wasserzeichen und Detektoren einzurichten. Sie gewährt aber keinen Zugang zu den geheimen Schlüsseln der Google-Produktionssysteme.

Damit wird die Erkennung auch zu einer Frage der Zugangsvergabe. Ein technisches Wasserzeichen kann vorhanden und nachweisbar sein, ohne dass unabhängige Stellen es selbst prüfen können. Für einen institutionellen Einsatz muss daher nicht nur die Erkennungsqualität geklärt werden, sondern auch, wer den Prüfdienst nutzen darf, welche Daten dabei an den Anbieter übertragen werden und wie das Ergebnis dokumentiert wird.

Bei Modellen mit offenen Gewichten entsteht eine weitere Grenze. Das Wasserzeichen liegt nicht in den Modellgewichten selbst, sondern im Code für die Token-Auswahl während der Inferenz – also während der Erzeugung einer konkreten Ausgabe. Wer ein Modell lokal betreibt, kontrolliert diesen Auswahlcode und kann ein Wasserzeichen hinzufügen, verändern oder weglassen.

Ein Anbieter offener Gewichte kann eine markierende Referenzimplementierung bereitstellen. Er kann aber technisch nicht erzwingen, dass jeder lokale Betreiber sie verwendet. Ebenso kann er ein lokal erzeugtes Wasserzeichen nur prüfen, wenn ihm der verwendete Schlüssel und die Parameter bekannt sind. Die entscheidende Grenze verläuft daher nicht allein zwischen geschlossenen und offenen Modellen, sondern zwischen einer vom Anbieter kontrollierten und einer vom Nutzer kontrollierten Inferenz.

Das lässt sich unterschiedlich bewerten. Lokal betriebene Modelle geben Nutzern mehr Kontrolle über Datenverarbeitung und technische Abläufe. Zugleich entziehen sich ihre Ausgaben einer einheitlichen, vom ursprünglichen Modellanbieter durchgesetzten Kennzeichnung. Die Nature-Arbeit zu SynthID-Text beschreibt diesen Koordinationsbedarf als eine offene Herausforderung für ein anbieterübergreifendes Kennzeichnungssystem.

Einordnung: Technisch umsetzbar, aber kein allgemeiner KI-Nachweis

Verfahren wie SynthID-Text zeigen, dass sich maschinenlesbare Markierungen in die Textausgabe generativer KI-Systeme integrieren lassen und sich in großem Maßstab einsetzen lassen. In einer Nature-Studie wurde ein Produktivtest mit rund 20 Millionen Gemini-Antworten durchgeführt. Dabei unterschieden sich die Nutzerbewertungen markierter und unmarkierter Antworten statistisch nicht signifikant voneinander. Auch der zusätzliche Rechenaufwand blieb den Angaben der Autoren zufolge gering.

Damit steht ein technischer Ansatz zur Verfügung, der zur Erfüllung der in Artikel 50 Absatz 2 festgelegten Kennzeichnungspflicht beitragen kann. Ob eine konkrete Implementierung die rechtlichen Anforderungen erfüllt, lässt sich daraus jedoch nicht automatisch ableiten. Für das jeweilige System, die verwendeten Inhalte und den praktischen Einsatz müssen Wirksamkeit, Interoperabilität, Robustheit und Zuverlässigkeit nachgewiesen werden. Auch die Einhaltung des freiwilligen Verhaltenskodex ist nach Einschätzung der EU-Kommission kein abschließender Konformitätsbeleg.

Die Leistungsfähigkeit eines Textwasserzeichens ist enger begrenzt als die allgemeine Vorstellung von einer zuverlässigen KI-Erkennung. Kurze und faktische Texte enthalten häufig zu wenig statistische Evidenz. Umfassendes Umschreiben oder wiederholte Paraphrasierung können das Signal stark schwächen. Für die Prüfung wird außerdem der passende Schlüssel oder ein Zugang zum Erkennungsdienst des Anbieters benötigt.

Der Vorbehalt "soweit dies technisch durchführbar ist" trägt diesen Grenzen Rechnung. Er bedeutet jedoch nicht, dass jede Art von KI-generiertem Text unter allen Bedingungen zuverlässig erkannt werden muss. Die technische Leistungsfähigkeit hängt unter anderem von der Textlänge, der Entropie, dem Bearbeitungsgrad und dem verwendeten Wasserzeichenverfahren ab.

Ein Wasserzeichen ist deshalb ein Herkunftssignal für einen begrenzten Prüfbereich. Es beantwortet nicht die allgemeine Frage, ob ein Text von einer KI stammt. Stattdessen wird geprüft, ob die Tokenfolge statistisch zu einem bestimmten Schlüssel und Verfahren passt. Wird kein Signal gefunden, kann der Text trotzdem von einem anderen Modell stammen, zu kurz sein oder nachträglich stark verändert worden sein.

Für Hochschulen, Redaktionen, Behörden und andere Institutionen ergeben sich daraus mehrere Voraussetzungen. Vor dem Einsatz muss geklärt werden,

• welche Textarten und Mindestlängen zuverlässig geprüft werden können,
• welche Fehlerquoten und Schwellenwerte gelten,
• wer Zugang zum Erkennungsdienst erhält und welche Texte dabei an einen Anbieter übertragen werden,
• wie ein Prüfergebnis dokumentiert und durch weitere Hinweise abgesichert wird,
• welche Konsequenzen ein statistisches Indiz haben darf und
• wie Betroffene das Ergebnis anfechten können.

Ein Wasserzeichen sollte in solchen Verfahren nicht als alleiniger Beweis dienen. Es kann jedoch Bestandteil einer umfassenderen Prüfung sein, die den Entstehungskontext, die Bearbeitungsschritte, vorhandene Herkunftsnachweise und weitere Indizien berücksichtigt.

Offen bleibt, welche weiteren Anbieter eigene Verfahren einführen, wie zugänglich die angekündigten Erkennungsschnittstellen werden und ob sich gemeinsame technische Standards durchsetzen. Ein anbieterübergreifendes System müsste unterschiedliche Schlüssel und Verfahren verbinden, unabhängigen Prüfstellen einen geregelten Zugang ermöglichen und Ergebnisse vergleichbar darstellen. Ein öffentlich zugängliches Prüfsystem, das diese Anforderungen für Textwasserzeichen verschiedener Anbieter erfüllt, ist bislang nicht bekannt.

Häufige Fragen zu KI-Wasserzeichen

Kann ich selbst prüfen, ob ein Text ein Wasserzeichen enthält?

Bei einem fremden Wasserzeichen ist das nur möglich, wenn der Anbieter den passenden Erkennungsdienst oder den erforderlichen Schlüssel bereitstellt. Anthropic hat eine Erkennungs-API angekündigt, aber noch keine Einzelheiten zum Zugang veröffentlicht. Der SynthID Detector von Google DeepMind verarbeitet derzeit Bild-, Video- und Audiodateien, jedoch keinen Text. Selbst eingebettete Wasserzeichen lassen sich dagegen mit den zugehörigen offenen Implementierungen prüfen.

Wie erkennt man ein KI-Wasserzeichen zuverlässig?

Ein KI-Wasserzeichen lässt sich nur mit einem auf das Verfahren und den Schlüssel abgestimmten Detektor zuverlässig prüfen. Auch Tokenizer und Verfahrensparameter müssen zur Markierung passen. Der Detektor vergleicht den Prüfwert mit einer festgelegten Schwelle, deren Fehlalarmrate anhand unmarkierter Vergleichstexte bestimmt wurde. Kurze oder stark bearbeitete Texte können zu wenig auswertbare Token enthalten und bleiben dann ohne belastbaren Befund. Hier ein Beispiel für einen Text von 200 Token Länge.

Wie lässt sich die Robustheit eines Wasserzeichens testen?

Die Robustheit lässt sich mit kontrollierten Bearbeitungsreihen messen. Dafür werden Wörter ersetzt, Absätze umgestellt, Passagen gekürzt oder Texte paraphrasiert und übersetzt. Nach jedem Schritt wird der Nachweiswert erneut berechnet. So zeigt sich, ab welchem Bearbeitungsgrad das Signal unter die festgelegte Schwelle fällt. Das quelloffene Toolkit MarkLLM enthält dafür Angriffe und Bewertungsstrecken.

Welche Python-Bibliotheken unterstützen Textwasserzeichen?

Für eigene Versuche stehen mehrere quelloffene Python-Werkzeuge zur Verfügung. synthid-text ist die Referenzimplementierung von Google DeepMind. Hugging Face Transformers integriert SynthID-Text über SynthIDTextWatermarkingConfig und SynthIDTextWatermarkDetector. lm-watermarking implementiert das Verfahren von Kirchenbauer et al., während MarkLLM mehrere Verfahren unter einer einheitlichen Oberfläche zusammenführt. Die Werkzeuge lassen sich mit eigenen Konfigurationen und Schlüsseln verwenden, enthalten jedoch keine internen Schlüssel von Claude oder Gemini.

Bedeutet ein fehlendes Wasserzeichen, dass ein Text von einem Menschen stammt?

Nein. Ein negativer Befund bedeutet nur, dass der Detektor für das geprüfte Verfahren und den verwendeten Schlüssel kein ausreichend starkes Signal gefunden hat. Der Text kann von einem anderen KI-Modell stammen, ohne Wasserzeichen erzeugt worden sein, zu kurz für einen belastbaren Nachweis sein oder sein Wasserzeichen durch eine umfassende Überarbeitung verloren haben.

Was brauche ich, um ein Rot-Grün-Listen-Wasserzeichen zu knacken?

Zum vollständigen Rekonstruieren und Prüfen benötigen Sie vor allem den geheimen Schlüssel. Zusätzlich müssen Tokenizer und Vokabular, die Kontextbreite h, das Verfahren zur Berechnung des Startwerts, der Grünanteil γ, die jeweiligen Kontext-Token und der verwendete Pseudozufallsgenerator bekannt sein. Erst mit diesen Angaben lassen sich die grünen und roten Listen für jede Textposition exakt nachbilden.

Die Wasserzeichenstärke δ wird für die Rekonstruktion der Listen nicht benötigt. Sie bestimmt nur, wie stark grüne Token bei der Texterzeugung bevorzugt wurden. Für dasselbe abschließende Prüfergebnis müssen außerdem die Nachweisschwelle und die Regeln für wiederholte Token-Folgen übereinstimmen. Ohne den geheimen Schlüssel sind Angriffe oder Schätzungen möglich, aber keine sichere Rekonstruktion der ursprünglichen Listen.