Wie Claude ein unsichtbares Textwasserzeichen einbettet: Eine Erklärung von SynthID

Ab seinen neueren Modellen embeddet Claude eine versteckte statistische Signatur in das, was es erzeugt. Niemand kann sie sehen. Es werden keine Zeichen hinzugefügt, und die Qualität ändert sich nicht messbar. Ihre einzige Funktion besteht darin, es einer Person mit einem geheimen Schlüssel zu ermöglichen, abzuschätzen, wie wahrscheinlich es ist, dass Claude einen bestimmten Text verfasst oder erheblich bearbeitet hat.

Dieses Verfahren basiert auf der SynthID-Text-Methode von Google DeepMind, die 2024 in Nature veröffentlicht und an fast 20 Millionen echten Antworten getestet wurde. Anthropic sowie etwa 190 weitere Unternehmen übernehmen dieses Verfahren, um den EU-AI-Gesetz zu erfüllen, das seit dem 2. August 2026 von Anbietern verlangt, künstlich intelligente Inhalte zu kennzeichnen. Dieses Mechanismus ist so elegant, dass er einer genauen Betrachtung wert ist – und seine Grenzen sind genauso wichtig, egal ob man schreibt, unterrichtet oder Autoren leitet.

Warum die Erkennung einen anderen Ansatz benötigte

Die Erkennung von KI-Texten stützt sich auf zwei Arten von Werkzeugen. Die auf Abruf basierende Erkennung speichert alles, was ein Modell je erzeugt hat, und vergleicht neuen Text mit dieser Sammlung – was bedeutet, dass der Anbieter jede Interaktion protokollieren muss und dadurch sowohl Koordinations- als auch Privatsphärenprobleme entstehen. Die nachträgliche Erkennung, die von den meisten kommerziellen Produkten verwendet wird, trainiert einen Klassifikator oder stützt sich auf statistische Merkmale, um menschliche von maschinengenerierten Texten zu unterscheiden.

Die nachträgliche Erkennung weist drei strukturelle Schwächen auf. Sie funktioniert schlecht bei Texten aus Bereichen, für die sie nicht trainiert wurde. Bei bestimmten Gruppen, insbesondere bei Nicht-Muttersprachlern des Englischen, erzeugt sie mehr Falschpositive – deren sorgfältige und etwas formelle Prosa für einen Klassifikator wie maschinengeneriert erscheint. Zudem hängt sie von einem immer geringer werdenden Unterschied ab, da sie nur dann funktioniert, wenn KI-Texte statistisch von menschlichen Texten zu unterscheiden sind, und neuere Modelle verringern diesen Abstand schnell.

Die praktische Folge ist problematisch. Ein Autor, dessen Werk als solches markiert wird, hat nichts, worauf er sich berufen kann: keine Signatur, kein kryptografischer Nachweis, keine Möglichkeit zu zeigen, dass es von einem Menschen geschrieben wurde. Die Schuld wird vorausgesetzt, bis das Gegenteil bewiesen ist, und es existieren keine Werkzeuge, um etwas zu beweisen.

Das Wasserzeichenverfahren kehrt diese Situation um. Anstatt das fertige Textwerk nach mithilfe von KI erzeugten Mustern zu überprüfen, wird das Signal bereits während der Erstellung eingefügt und später mit einem Schlüssel überprüft. Der Nachteil, der unten erläutert wird, besteht darin, dass dieses Verfahren nur funktioniert, wenn der Anbieter des Modells kooperiert.

Wo sich das Wasserzeichen befindet

Alles hängt davon ab, wie Claude Text erzeugt. Er arbeitet autoregressiv und gibt jeweils nur einen Token aus (ein Wort oder ein Teil davon). Vor jedem Token bewertet er alles, was bisher geschrieben wurde, und weist jedem Eintrag in seinem Wortschatz eine Wahrscheinlichkeit zu.

Betrachten Sie den Satz „Das Wetter heute war kalt und ___.“ Der Platzhalter wird nicht „süß“ lauten, aber „grau“, „bewölkt“ oder „feucht“ wären alle in Ordnung, und der Leser kann keinen Unterschied erkennen, da die Bedeutung erhalten bleibt. Das Modell löst diese Unentschlossenheit, indem es aus seiner Verteilung stochastisch wählt – bei einem normalen Ablauf wird dabei eine gewöhnliche Zufallszahl verwendet.

Der Sampler ist der Ort, an dem die Signatur eingefügt wird. Ein Wasserzeichenverfahren lässt das Vokabular unberührt und ändert lediglich die Quelle der Zufälligkeit: Die Auswahl wird aus einem geheimen Schlüssel in Kombination mit den wenigen Token, die ihm vorausgehen, berechnet. Für einen Leser erscheinen die Entscheidungen weiterhin willkürlich – an einer Stelle steht „grau“ und ein paar Sätze später „bewölkt“. Statistisch gesehen stimmt die gesamte Abfolge der Entscheidungen jedoch nun mit dem Schlüssel überein. Es gibt Tests zur Erkennung dieser Übereinstimmung. Wenn man den Text sowie den Schlüssel in eine Bewertungsfunktion einfügt, prüft diese, ob die Token genau das wären, was der Schlüssel ausgewählt hätte; bei ausreichend vielen Wörtern ist das Ergebnis dann nicht mehr rein zufällig.

Achten Sie darauf, was sich nicht ändert. Das Wasserzeichen beschränkt nicht die Wörter, die Claude verwenden wird, und zwingt ihn auch nicht zu selteneren oder schlechteren Wörtern. Es wechselt lediglich die Quelle der Zufälligkeit unter gleich gut geeigneten Optionen. Dasselbe Vokabular, dieselbe Qualität – nur andere „Zufallsquellen“.

Die Idee mit dem Samenwert

Bei einigen Aufgaben gibt es keinen wirklichen Wettbewerb. Nach „Die Hauptstadt Deutschlands ist“ setzt das Modell fast sein gesamtes Vertrauen auf „Berlin“, sodass jede Entscheidungsmethode zu „Berlin“ führt. Bei „Das Wetter heute ist kalt und“ passen mehrere Wörter genauso gut: grau, bewölkt, düster, wolkenreich. Eine zufällige Auswahl entscheidet, weshalb derselbe Prompt bei verschiedenen Versuchen leicht unterschiedliche Antworten liefern kann.

Ein Zufallszahlengenerator, der von derselben Startwerte ausgeht, erzeugt jedes Mal dieselbe Sequenz. Für jemanden ohne diese Startwerte erscheint das Ergebnis zufällig, während es für jemanden mit den Startwerten vollständig reproduzierbar ist. Wenden wir das auf das Wetterbeispiel an: Mit einem bestimmten Startwert liefert das Modell immer den Wert „bewölkt“, mit einem anderen „grau“. Die Wahl bleibt weiterhin willkürlich, nur festgelegt. Wasserzeichen ersetzen die hardcodierten Startwerte durch solche, die dynamisch anhand einer geheimen Schlüsselzahl berechnet werden. Wortschatz und Qualität bleiben unverändert, doch der gesamte Ablauf der Entscheidungsfindung ist an den Schlüssel gebunden.

Ein einzelner Platz beweist nichts, doch die Plätze vermehren sich. Ein einziger Absatz kann viele austauschbare Varianten aufweisen: bewölkt oder grau, eine leichte Brise oder eine sanfte Brise, durch die Bäume wehend oder hindurchwehend, ruhig oder still. Schon vier solcher Varianten ergeben sechzehn genauso gute Absätze, und jeder weitere Platz verdoppelt diese Zahl. Ein modellloses Modell landet zufällig bei einer Version. Ein modelliertes Modell folgt jedem Ast eine bestimmte Route, und diese Route ist der Fingerabdruck.

Erkennung ohne Modell

Eine einfache Schlüsselbasierte Methode könnte den Text gut wasserkennzeichnen, doch die Überprüfung würde ein Problem darstellen. Um einen zufällig im Internet gefundenen Text zu testen, müsste man wissen, welches Modell ihn erzeugt hat, den ursprünglichen Prompt kennen und das Modell erneut ausführen, um zu prüfen, ob seine Entscheidungen zum Schlüssel passen. Der Prompt ist selten verfügbar, wodurch diese Methode nicht skalierbar ist. Die im SynthID-Text-Artikel vorgestellte Methode ist so konzipiert, dass keine erneute Verwendung des Modells für die Überprüfung erforderlich ist.

Eine vereinfachte Version hilft dabei. Stellen Sie sich drei aus dem Schlüssel abgeleitete Funktionen vor, G1, G2 und G3. Jede betrachtet ein Kandidatwort zusammen mit dem umliegenden Kontext und dem geheimen Schlüssel und weist es einem pseudozufälligen Bit zu – entweder 0 oder 1. Die vier Wetterkandidaten werden durch alle drei Funktionen geprüft, wodurch jeder eine kurze dreibitige Signatur erhält.

Danach konkurrieren die Kandidaten in einem Knockout-System, ähnlich wie bei einem Sportturnier. Die Wörter werden paarweise abgeglichen, wobei das Wort mit dem höheren Wert für diese Runde weiterkommt; bei Gleichstand entscheidet der Schlüssel. In der ersten Runde wird G1 verwendet, in der zweiten G2 und so weiter. Da das System stets höhere Werte belohnt, erzielt das überlebende Wort in der Regel gute Ergebnisse bei den meisten Funktionen. In diesem Beispiel gewinnt „grey“ und wird zum nächsten Wort. Wechselt man zu einem anderen Schlüssel, verschiebt sich jede Signatur, sodass ein anderes Wort den Titel erhält.

Weil die Gewinner höhere Werte haben, neigt ein fertiger, wassermerkter Text leicht zum Muster des Schlüssels – etwas, das allein anhand des Textes gemessen werden kann.

Überprüfung eines verdächtigen Textes

Nehmen wir an, Sie finden einen Text im Internet und möchten wissen, ob Claude ihn geschrieben hat. Mit dem Schlüssel sowie denselben Funktionen gehen Sie Wort für Wort durch den Text und addieren die Bits jedes Wortes in G1, G2 und G3 zusammen.

Der unter dem Wasserzeichen erzeugte Text weist im Durchschnitt hohe Werte auf, vielleicht 2,2 auf dieser Skala, da seine Wörter wegen ihrer hohen Bitwerte ausgewählt wurden. Stellen Sie sich nun vor, ein Editor ersetzt einige Wörter durch Vermutungen, wie „today“ durch „now“ oder „grey“ durch „overcast“. Solche Ersetzungen ignorieren den Schlüssel und senken den Durchschnitt, vielleicht auf 1,7. Ein Schwellenwert zwischen diesen beiden Werten, sagen wir 2,0, trennt die Fälle: Über diesem Wert stammt der Text wahrscheinlich von Claude, darunter vermutlich nicht.

Was die Erkennung erleichtert oder erschwert

Zwei Faktoren bestimmen, wie zuverlässig eine Erkennung sein kann.

Länge. Jede Wortwahl hinterlässt einen Einfluss, weshalb längere Abschnitte mehr Einflüsse sammeln und ein stärkeres Urteil ermöglichen. Deshalb gibt ein Detektor einen Zuverlässigkeitsgrad oder eine Spanne an statt eines einfachen Ja oder Nein.

Entropie. Dies ist ein Maß dafür, wie viel echte Wahlmöglichkeit das Modell hatte. Wenn mehrere folgende Wörter gleich gut geeignet sind, besteht Spielraum, sich in Richtung des richtigen Wortes zu orientieren, und es entsteht ein Einfluss. Wenn nur ein einziges Wort passt, lässt sich nichts steuern und es entsteht kein Einfluss.

Größere, leistungsstärkere Modelle sind in der Regel sicherer bezüglich des richtigen nächsten Wortes, was weniger offene Wahlmöglichkeiten lässt. Feinabstimmung anhand menschlicher Rückmeldungen hat einen ähnlichen Effekt und kann dazu führen, dass ein Modell fast immer die gleiche Formulierung verwendet. Auch Einstellungen zur Generierung spielen eine Rolle: Eine Temperatur nahe Null oder ein zu eng begrenzter Pool an Kandidatenwörtern lassen dem Modell keinen Spielraum für Variationen.

Genauigkeit und Kosten

Eine einfache Möglichkeit, einen Detektor zu bewerten, ist die Anzahl der mit Wasserzeichen versehenen Texte, die er aufspürt, ohne dabei häufig falsche Alarme auszulösen. Forscher legen einen Fehlerquotienten von 1 Prozent fest und zählen anschließend den Anteil der tatsächlich mit Wasserzeichen versehenen Texte, die gefunden werden. Im Vergleich zu den besten Alternativen in jeder Kategorie findet SynthID-Text durch sein Turnier-Sampling mehr solcher Texte. Sein größter Vorteil zeigt sich bei Schriften mit geringer Entropie, bei denen nur begrenzte Optionen zur Verfügung stehen und die Detektion in der Regel am meisten Schwierigkeiten hat.

Die zusätzlichen Kosten sind vernachlässigbar. Die Studie ermittelte 15,527 ms pro generiertem Token ohne Wasserzeichen sowie 15,615 ms, wenn alle Komponenten aktiv waren – das sind etwa ein halber Prozentpunkt mehr. Die Kosten bleiben im Laufe der Skalierung der Modelle in etwa konstant, sodass sie bei größeren Modellen im Hintergrund verschwinden.

Hat das Auswirkungen auf den Text?

Es gibt starke Belege für diesen Punkt, und sie deuten auf ein Nein hin. Das Team von Nature führte einen Live-Test in Gemini durch, wobei ein zufälliger Anteil der echten Anfragen an ein mit Wasserzeichen versehenes Modell und der Rest an das normale Modell geleitet wurde. Anschließend wurden die Zustimmungs- und Ablehnungsraten bei etwa 20 Millionen Antworten verglichen. Die positiven Stimmen unterschieden sich um 0,01 % und die negativen um 0,02 % – beides ist statistisch unbedeutend und liegt innerhalb der 95-%-Konfidenzintervalle.

In einer separaten kontrollierten Studie verglichen Menschen Antworten mit und ohne Wasserzeichen nebeneinander und bewerteten Grammatik und Kohärenz, Relevanz, Korrektheit, Nützlichkeit sowie die Gesamtqualität. Bei keiner der fünf Kriterien zeigte sich ein signifikanter Unterschied. Die Messwerte zur Komplexität sowie die Standard-Benchmark-Prüfungen stimmten überein, und auch die internen Claude-Testberichte von Anthropic ergaben dasselbe Ergebnis.

Was ein erkanntes Wasserzeichen bedeutet

Das bedeutet, dass es statistisch wahrscheinlich ist, dass Claude zu irgendeinem Zeitpunkt an der Erstellung des Textes beteiligt war. Es sagt Ihnen jedoch Folgendes nicht:

• Wer Claude verwendet hat. Die Signatur enthält keine Informationen über den Benutzer, die Organisation oder das Chat-Interface, und weder die Signatur noch der Schlüssel lassen sich auf eine Person zurückverfolgen.
• Ob Claude den Text geschrieben oder nur bearbeitet hat. Das Erstellen eines Entwurfs und das umfassende Überarbeiten erscheinen für den Detektor identisch.
• Dass ein anderes KI-System den Text geschrieben hat. Ein anderes Modell würde einen anderen Schlüssel oder eine andere Wasserzeichenmethode verwenden, sodass das Fehlen einer Übereinstimmung mit Claudes Schlüssel nicht bedeutet, dass ein Mensch den Text geschrieben hat.
• Dass ein Mensch den Text geschrieben hat. Das Fehlen eines Wasserzeichens ist kein Beweis für menschliche Autorschaft, da kurze, sachliche oder stark überarbeitete Texte alle ohne Wasserzeichen auftreten können.

Es ist nicht unzerstörbar. Kleine Änderungen lassen es vermutlich unversehrt, doch das Ersetzen jedes Elements bei einer vollständigen Überarbeitung zerstört es, und dann stellt sich die Frage, ob das Ergebnis überhaupt noch als KI-Text gilt. Das Durchlaufen des Textes durch ein anderes Modell zur Umformulierung schwächt das Signal ebenfalls. Die wissenschaftliche Veröffentlichung selbst räumt ein, dass Angriffe wie Stehlen, Fälschen und Reinigen gegen generative Wasserzeichen weiterhin erforscht werden.

Warum jetzt

Die Unternehmen haben dies nicht aus Laune als Funktion hinzugefügt. Es handelt sich um eine rechtliche Verpflichtung. Anthropic sowie etwa 190 weitere Unterzeichner setzten im Juli 2026 ihre Namen unter den EU-Verhaltenskodex zur Transparenz von durch KI erzeugtem Inhalt, und seit dem 2. August 2026 muss jeder, der KI-Texte auf dem EU-Markt anbietet, diese kennzeichnen. Claude ist dabei keine Ausnahme. Andere führende Entwickler haben denselben Verpflichtungszusatz unterzeichnet und entwickeln eigene Kennzeichnungen mit eigenen Schlüsseln. Anthropic gibt an, das Wasserzeichen bereits weltweit seit dem Start anzuwenden, da es noch keinen sauberen regionalen Wechsel gibt, und dass eine API zur Erkennung davon entwickelt wird.

Was man daraus ableiten kann

Bis jetzt kam die Antwort auf die Frage „Ist das KI?“ von Tools, die anhand des Stils raten, und diese bestrafen sorgfältiges, formelles Schreiben oder Schreiben in einer Fremdsprache, weil es zu ordentlich erscheint. Wasserzeichen setzen auf etwas anderes: ein schwaches, unsichtbares Muster, das von einem Schlüssel abhängt, wird während der Texterstellung eingefügt und anschließend überprüft. Die Aussagekraft ist absichtlich begrenzt – sie deutet lediglich darauf hin, dass Claude wahrscheinlich beteiligt war. Sie kann nicht angeben, wer sie verwendet hat, nicht zwischen Schreiben und Bearbeiten unterscheiden, keinen Verdächtigen entlasten und hält einer vollständigen Überarbeitung nicht stand. Sie ist ehrlicher als Raten, und die Nutzer müssen dieser Ehrlichkeit entsprechen.