Statistische Wasserzeichen im Text gegenüber C2PA-Zertifikaten in den Ausgaben von Claude
Erfahren Sie, wie Claudes textbasierte Wasserzeichen-Technologie auf SynthID sowie die C2PA-Datei-Zertifikate funktionieren, was Detektoren nachweisen können und wie Sie Tools beurteilen, die behaupten, sie entfernen zu können.
Quellen: Claude Watermarks Explained: How They Work, What They Reveal, and What You Can Remove
Fügen Sie eine Claude-Antwort in einen Texteditor ein, wechseln Sie die Schriftart und entfernen Sie die Formatierung – dann sieht der Absatz aus wie jeder andere Text. Ob dadurch ein Wasserzeichen beseitigt wird, hängt vollständig davon ab, um welche Art von Markierung es sich handelt. Ein versehentlich hinterbliebenes Formatierungsmerkmal, eine kryptografisch signierte Dateikennung sowie ein in den Wortlaut eingewobenes statistisches Muster sind drei unabhängige Mechanismen; ein Tool kann einen davon beseitigen, während die anderen unberührt bleiben und dem Nutzer keine Informationen darüber liefern. Dieser Artikel erläutert, wie jeder Mechanismus funktioniert, was ein Detektor feststellen kann und was nicht, wie Bearbeitungen und Umformulierungen die Signale beeinflussen sowie welche Fragen man stellen sollte, bevor man einem „Wasserzeichenentferner“ oder „AI-Checker“ vertraut. Die Produktbeschreibungen hier spiegeln die öffentliche Dokumentation vom September 2026 wider – überprüfen Sie daher die aktuellen Angaben auf den verlinkten Seiten.
Was Anthropic öffentlich bestätigt hat
Laut Anthropic basiert Claudes Textmarkierung auf einer angepassten Version von SynthID-Text von Google DeepMind. Diese Technik verändert die Art und Weise, wie Zufälligkeit bei der Textgenerierung eingesetzt wird, damit später ein statistisches Muster getestet werden kann. Anthropic betont ausdrücklich, dass keine versteckten Zeichen eingefügt werden. Seine technische Darstellung erschien am 14. August 2026 und wurde am 1. September überarbeitet.
Laut dem Artikel im Help Center von Claude zu Inhaltsmarkierung werden Fable 5.1 und Mythos 5.1 als unterstützte Modelle genannt. Modelle, die am 2. August 2026 oder später veröffentlicht wurden, unterstützen die Markierung bereits ab dem ersten Tag, und die Unterstützung für ältere Modelle wird weiter ausgebaut. Bei den unterstützten Modellen gilt die Markierung in allen Claude-Apps, der API, Code-Tools sowie Cloud-Partnern in allen Regionen – wobei sich die spezifischen Funktionen zur Dateimarkierung unterscheiden können.
Diese Details gehen leicht verloren. Behauptungen, dass „der gesamte Claude-Text“ wassermerkt sei, verschleiern den Unterschied zwischen den Modellgenerationen, und ältere Beschreibungen der Erkennungsfunktion als lediglich „bald verfügbar“ stammen noch vor dem unten erläuterten Rollout der privaten Vorschauversion.
Wie gewöhnliche Wörter ein verstecktes Signal tragen können
Ein Sprachmodell erzeugt Token – Einheiten, die ganze Wörter, Wortfragmente oder andere Textteile sein können. In jedem Schritt verfügt es über eine Wahrscheinlichkeitsverteilung für mögliche nächste Token und wählt eines aus.
Laut dem Entwicklerteam findet das Wasserzeichen-Verfahren genau in dieser Auswahlschicht statt . Das Signal entsteht durch das Muster der von dem Modell getroffenen Entscheidungen und nicht durch ein später hinzugefügtes Etikett.
Eine vereinfachte Darstellung
Nehmen wir einen Satz, der mit „Das Team beschrieb den Start als“ beginnt. Es könnten mehrere Endungen passen, wie zum Beispiel „versprechend“, „ermutigend“ oder „erfolgreich“. Es handelt sich dabei nicht um exakte Synonyme, und dies ist auch keine tatsächliche Wahrscheinlichkeitstabelle eines Modells; der Punkt ist lediglich, dass die natürliche Sprache dem Modell häufig eine echte Wahlmöglichkeit lässt.
Laut der Erklärung von Anthropic wird ein Geheimcode in Kombination mit dem vorangegangenen Text verwendet, um die Zufälligkeit hinter solchen Entscheidungen zu beeinflussen. Das bedeutet jedoch nicht, dass Claude systematisch ein bestimmtes Adjektiv bevorzugt. Die Voreingenommenheit hängt vom Kontext ab und wird erst dann erkennbar, wenn sie sich über einen Absatz hinweg ansammelt.
Eine Analogie hilft. Stellen Sie sich zwei Personen vor, die durch eine Stadt gehen und jeweils vernünftige Straßen wählen. Die eine entscheidet sich nach Laune; die andere befolgt jedes Mal ein geheimes, konsequentes Regelwerk, wenn zwei oder mehr Wege genauso gut aussehen. Der Blick auf eine einzelne Abzweigung verrät nichts. Wenn man hunderte Abzweigungen betrachtet und das Regelwerk kennt, kann dadurch das Muster sichtbar werden. Die tatsächliche Erzeugung beinhaltet weitaus vielfältigere Wahrscheinlichkeiten als ein Straßengitter – betrachten Sie dies daher eher als Intuition auf der Grundlage angesammelter Belege und nicht als Beschreibung der Implementierung von SynthID.
Was die Forschung zeigt
Die wissenschaftlich geprüfte SynthID-Textstudie, die als Artikel in Nature im Oktober 2024 veröffentlicht wurde, stellt eine Methode vor, mit der das Sampling ohne Neutraining des Modells geändert werden kann. Sie enthält Benchmark-Ergebnisse, Vergleiche menschlicher Präferenzen sowie ein Live-Experiment mit fast 20 Millionen Gemini-Antworten. Diese Erkenntnisse beschreiben das im Artikel untersuchte System; sie stellen keine unabhängige Bewertung jedes Claude-Modells dar.
Drei verschiedene Dinge, die als „Claude-Wasserzeichen“ bezeichnet werden
Bevor Sie einem Prüfwerkzeug vertrauen, klären Sie erst, welches davon tatsächlich überprüft wird.
Dies ist das zuvor erwähnte Signal in der Stichprobenphase. Um es zu erkennen, ist ein dafür konstruierter Detektor mit Zugriff auf die entsprechende Konfiguration erforderlich. Das Scannen eines Textabschnitts nach ungewöhnlichen Unicode-Zeichen misst dieses Signal überhaupt nicht.
Kopieren-Einfügen und Formatierungsspuren
Gepaster Text kann unsichtbares „Gepäck“ mit sich bringen: beispielsweise Trennungen ohne Zeilenumbruch, zeichengleiche Zeichen oder verbleibende HTML-Attribute wie Klassennamen, die auf die ursprüngliche Anwendung verweisen. Diese sind direkt überprüfbar – man kann sie in einer Hexadezimalansicht oder mit einigen Codezeilen sehen. Ihr Entfernen ist eine legitime Aufbereitungsmaßnahme, doch man sollte sie sorgfältig interpretieren. Unsichtbare Zeichen haben oft eine reale Funktion; zeichengleiche Verbindungszeichen sind beispielsweise notwendig, um bestimmte Emojis zu bilden und bestimmte Schriftsysteme korrekt darzustellen. Typografien wie em-Dashes und geschwungene Anführungszeichen sind ebenfalls kein Beweis für eine KI-Entstehung.
C2PA Content Credentials
Dies sind signierte Herkunftsbeschreibungen, die den Dateien beigefügt sind. Sie beantworten eine völlig andere Frage als ein statistischer Texterkennungstool und werden in einem eigenen Abschnitt weiter unten behandelt.
Eine schnelle Überprüfung für jedes Tool: Fordern Sie es auf, die von ihm gefundenen Hinweise zu benennen. „Drei nicht durchbrechende Leerzeichen an diesen Positionen“ ist eine konkrete Beobachtung. „Definitiv von Claude geschrieben“ ist eine weitaus größere Behauptung, die durch die Beobachtung nicht gestützt werden kann.
Was eine Erkennungsmethode feststellen kann und was nicht
Als Anthropic die neueren Modelle vorstellte, kündigte es außerdem an, dass seine Texterkennungs-API nur als private Vorabversion verfügbar ist, die für qualifizierte Organisationen wie Forscher, Medienhäuser, Bildungseinrichtungen, Aufsichtsbehörden und einige Unternehmen zugänglich ist. Das ist nicht dasselbe wie ein öffentlicher Prüfer, den jeder nutzen kann.
Die Ergebnisse sind Wahrscheinlichkeiten, keine Urteile
Die Erkennung ist von Natur aus probabilistisch, wie Google für Entwickler, die SynthID verwenden, klarstellt. Sein Referenzerkennungswerkzeug gibt eines von drei Ergebnissen aus (mit Wasserzeichen, ohne Wasserzeichen oder unklar), und die gewählten Schwellenwerte abwägen Falschpositive gegen Falschnegative. Diese Konzepte sind hilfreich, um allgemein über die Erkennung nachzudenken, stellen aber keine veröffentlichte Beschreibung dessen dar, was die API von Anthropic zurückgibt.
Die gleiche Dokumentation betont, dass Wasserzeichenkonfigurationen geheim gehalten werden müssen. Allein Open-Source-Code für Wasserzeichen ermöglicht es daher einer nicht verbundenen Website nicht, das Wasserzeichen von Claude zu überprüfen. Jeder Drittanbieter-Website, der dies behauptet, sollte gefragt werden, wie das möglich sei.
Wasserzeichenerkennungswerkzeuge sind keine Klassifizierer für künstliche Intelligenz-Texte
Ein allgemeiner Klassifikator schätzt ab, ob ein Text den Kategorien ähnelt, auf denen er trainiert wurde. Ein Wasserzeichenerkennner sucht nach Hinweisen auf ein Signal, das jemand absichtlich eingefügt hat. Beide erzeugen Werte, die unterschiedliche Bedeutungen haben und nicht miteinander vertauscht werden können.
Autorship ist mehr als ein Signal
Betrachten wir einen Autor, der die Argumente entwickelt, die Recherche durchführt und den Entwurf verfasst, bevor er eine KI bittet, einige Abschnitte umzuschreiben. Ein positives Signal aus diesen Abschnitten sagt nichts darüber aus, wer die Ideen hervorgebracht hat. Umgekehrt liefert ein negatives Ergebnis keine Erklärung dafür, wie ein Dokument entstanden ist. Redakteure und Pädagogen sollten das Ergebnis eines Detektors als einen von mehreren Einflussfaktoren betrachten und vor der Umwandlung einer Wahrscheinlichkeit in eine Anschuldigung nach Entwürfen, Quellen, Überarbeitungen sowie den geltenden Richtlinien fragen.
C2PA: Herkunft, die zum Dateiinhalt gehört
Ein kostenloser im Browser nutzbarer Prüfer von Anthropic sucht in Dateien nach von Claude ausgestellten Content Credentials. Das Unternehmen gibt an, dass der Prüfer lokal im Browser läuft und ausdrücklich nicht den Text auf das statistische Wasserzeichen überprüft.
Eine von Claude ausgestellte Zertifizierung kann zeigen, dass Claude eine Datei erstellt oder verarbeitet hat. In der Dokumentation des Prüfers werden PNG, JPEG und SVG als Beispiele für generierte Formate aufgeführt, die Credentials enthalten können. Beachten Sie den Unterschied: Die Tatsache, dass ein Format vom Prüfer akzeptiert wird, garantiert nicht, dass jedes Claude-Werkflow dieses Format mit angehängten Credentials erzeugt.
C2PA selbst ist ein Standard zur Anheftung einer Herkunftsbeschreibung an Inhalte und ermöglicht es jedem, zu überprüfen, ob diese Beschreibung unverändert geblieben ist; sein Überblicksdokument bietet eine verständliche Einführung. Darin wird auch eine wesentliche Grenze hervorgehoben: Die Herkunftsbeschreibung sagt nichts darüber aus, ob der Inhalt wahr ist. Ein gültiger Nachweis, dass ein Bild durch ein bestimmtes Tool gegangen ist, liefert keinerlei Informationen zur Genauigkeit der dazugehörigen Beschriftung.
Metadaten können ebenfalls entfernt werden – sei es absichtlich oder durch gewöhnliche Verarbeitungsschritte wie Umcodierung oder Erstellung von Screenshoten. Fehlende Zugangsdaten sind daher kein Beweis dafür, dass eine Datei ohne KI erstellt wurde, und ein Tool zur Reinigung von Metadaten sollte angeben, welche Felder es geändert hat, anstatt anzudeuten, bereits geklärt zu haben, woher die Datei stammt.
Wie Änderungen und Überarbeitungen jeden Signalwert beeinflussen
Jede Art von Änderung betrifft eine andere Schicht eines Dokuments:
- Die Änderung der Schriftart beeinflusst nur die Darstellung.
- Das Entfernen einer HTML-Klasse ändert die Markup-Struktur.
- Die Normalisierung von Leerzeichen beeinflusst die einzelnen Zeichen.
- Das Umschreiben eines Absatzes verändert die Sprache selbst, in der sich das statistische Wasserzeichen befindet.
Laut Google widersteht das SynthID-Signal im Text in der Regel teilweiser Kürzung, geringfügigen Änderungen und leichten Umformulierungen, während umfangreiches Umschreiben oder Übersetzen die Erkennungssicherheit verringern kann. Das beschreibt die Grenzen der Technik; es ist keine Garantie dafür, dass irgendein bestimmtes Umschreibedienst sie überwinden kann.
Kurze oder stark eingeschränkte Antworten lassen ebenfalls weniger Raum für Wasserzeichen. Googles Entwicklerrichtlinien weisen darauf hin, dass faktische Antworten weniger Möglichkeiten bieten, die Erstellung anzupassen, ohne die Genauigkeit zu beeinträchtigen, wodurch das Signal in solchen Texten von vornherein schwächer ist.
Ehrliche Bewertung einer Überarbeitung
Es hilft, zwei oft miteinander verwechselte Fragen voneinander zu trennen.
- Textqualität kann man selbst beurteilen. Hat die Überarbeitung ein Datum geändert, einen Einschränkungsbegriff weggelassen, eine Möglichkeit in eine Gewissheit umgewandelt oder einen Zitattext verfälscht?
- Erkennbarkeit von Wasserzeichen erfordert einen geeigneten Überprüfer sowie ein definiertes Testverfahren. Eine flüssige Überarbeitung und ein beruhigendes grünes Häkchen ersetzen diese Messung nicht.
Vor allem zeigt eine niedrigere Bewertung durch einen allgemeinen KI-Klassifikator nichts über Claudes eigenständigen Wasserzeichenerkennner aus.
Identifiziert das Wasserzeichen den Benutzer?
Anthropic gibt an, dass das Wasserzeichen keine Informationen enthält, die den Benutzer, die Organisation oder das Gespräch identifizieren, und wiederholt dies in seiner Ankündigung zum September-Modell. Diese Behauptung ist zu eng gefasst. Sie macht einen Text nicht anonym – Namen, E-Mail-Adressen, persönliche Anekdoten und andere Details im Text selbst können immer noch jemanden identifizieren.
Vor dem Einfügen eines Entwurfs in irgendeinen Dienst, einschließlich Überprüfungs- und Reinigungsprogramme, sollten Sie prüfen, was dieser Dienst erhält und wie er mit den Daten umgeht. Wie ein Wasserzeichen gestaltet ist und wie ein Drittanbieter-Dienst Ihren Text behandelt, sind zwei getrennte Fragen.
Warum die Markierung jetzt kommt
Der treibende regulatorische Faktor ist der Transparenzabschnitt des EU-KI-Gesetzes. Nach Auffassung der Europäischen Kommission traten die Pflichten aus Artikel 50 am 2. August 2026 in Kraft, wobei die üblichen Einschränkungen bezüglich der betroffenen Systeme sowie der geltenden Übergangszeiten gelten. Die FAQ der Kommission zu ihrem Transparenz-Verhaltenskodex unterscheidet zwischen der Kennzeichnung seitens der Anbieter und den Pflichten zur Kennzeichnung bestimmter veröffentlichter Inhalte.
Dieser Kodex bietet eine freiwillige Möglichkeit, die Konformität nachzuweisen. Er ist weder das Gesetz selbst noch eine Vorgabe, dass jeder Anbieter denselben Algorithmus verwenden muss. Die praktische Folge ist, dass das „KI-Wasserzeichen“ zunehmend viele verschiedene Implementierungen umfassen wird, und man darf nicht davon ausgehen, dass eine Methode, ein Schlüssel, ein Detektor oder eine Zertifizierung eines Anbieters auch bei einem anderen funktioniert.
Gerechtfertigte Gründe zur Überprüfung oder Reinigung von Inhalten
Absichtlich die Autorschaft beiseite gelassen, gibt es alltägliche ingenieurtechnische Gründe, mit diesen Schichten zu arbeiten. Ein Entwickler muss möglicherweise herausfinden, warum eine eingefügte Zeichenkette einen Parser oder einen Vergleich von Zeichenketten stört – was oft auf nicht durchbrechende oder null-breite Zeichen zurückzuführen ist. Ein Autor möchte gegebenenfalls die Formatierung bereinigen oder unpräzise Formulierungen verbessern. Jemand, der ein Bild veröffentlicht, möchte vielleicht vorher sehen, welche Metadaten es enthält, bevor er entscheidet, welche beizubehalten.
Jede dieser Aufgaben ist konkret und erfordert eine detaillierte Dokumentation darüber, was genau geändert wurde. Wenn Sie Werkzeuge zur Bereinigung oder Neuformulierung verwenden, bewahren Sie die ursprüngliche Version auf, erstellen Sie einen Diff der Ausgabe und überprüfen Sie die Neuformulierungen hinsichtlich Bedeutung und Genauigkeit. Die pauschale Entfernung von Trennzeichen und anderen unsichtbaren Zeichen kann in einigen Sprachen legitimen Text beschädigen sowie bestimmte Emojis unbrauchbar machen – wählen Sie daher jede Operation nur, wenn Sie ihre Auswirkungen verstehen.
Vier Fragen an jeden Wasserzeichenentferner oder -Prüfer
Anstatt dem Produktname oder der Werbung zu vertrauen, stellen Sie Folgendes Frage:
- Welches genaue Signal wird überprüft?
- Was wird dabei geändert?
- Wird das Ergebnis mit einem entsprechenden Detektor überprüft, und ist ein solcher überhaupt verfügbar?
- Welche Schlussfolgerungen bleiben ungewiss?
Diese Fragen gelten gleichermaßen für unabhängige Tools, offizielle Prüfer sowie alles, was man selbst entwickelt.
Kernpunkte
- Claudes Textwasserzeichen ist ein statistischer Verzerrungseffekt bei der Token-Sampling-Methode, abhängig vom Schlüssel und vom Kontext; es beinhaltet keine versteckten Zeichen.
- Formatierungsspuren, statistische Wasserzeichen und C2PA-Zertifikate sind getrennte Ebenen. Das Entfernen eines hat keinerlei Auswirkung auf die anderen.