KI-Wasserzeichen im Text: Was Claudes unsichtbare Markierung belegt und was nicht

Veröffentlicht am 19. August 2026

Seit dem 2. August 2026 geben die neu veröffentlichten Modelle von Anthropic keine unmarkierten Texte mehr aus: Sie versehen ihre Ausgaben von Beginn an mit einem unsichtbaren statistischen Signal, das in der Wortwahl selbst steckt und beim Lesen nicht auffällt. Ältere Modelle fallen unter die Übergangsfrist und sollen in den kommenden Monaten nachziehen. Wer den Text kopiert und an anderer Stelle einfügt, nimmt das Signal mit, denn es hängt nicht an der Datei, sondern an den Wörtern.

Schon nach wenigen Tagen zeigte sich das Problem dieser Konstruktion. Ein öffentlich zugängliches Prüfwerkzeug existiert bislang nicht, Anthropic hat eine Erkennungsschnittstelle lediglich angekündigt. Zugleich kursieren bereits Projekte, die versprechen, Herkunftsmarkierungen mehrerer Anbieter zu entfernen. Wer einen Text erhält, kann daher weder feststellen, ob eine Markierung vorhanden war, noch, ob sie entfernt wurde.

Ein KI-Wasserzeichen markiert also, wie ein Inhalt entstanden ist, und nicht, was dieser Inhalt beweist. Es übersteht das Kopieren, nicht aber eine Umschreibung. Wer digitale Inhalte braucht, die einer Anfechtung standhalten, sollte die beiden Fragen deshalb sauber trennen: Die Frage nach der maschinellen Beteiligung und die Frage nach der beweisbaren Herkunft verlangen unterschiedliche Antworten und unterschiedliche Werkzeuge.

Was Anthropic angekündigt hat und ab wann es gilt

Anthropic markiert die Ausgaben von Claude mit zwei voneinander unabhängigen Verfahren: einem statistischen Wasserzeichen im Text und kryptografisch signierten Herkunftsdaten, die an Dateien angehängt werden. Die beiden Verfahren lösen unterschiedliche Aufgaben, sie besitzen unterschiedliche Schwachstellen, und in der Berichterstattung werden sie regelmäßig miteinander verwechselt. Die Verwechslung ist folgenreich, weil sie zwei getrennte Angriffsflächen zu einer einzigen verschmilzt.

Getrennte Mechanismen: Signal im Text, signierte Credentials in der Datei

Das KI-Wasserzeichen im Text und die C2PA-Credentials in der Datei sind getrennte Mechanismen. Im Text sitzt ein statistisches Signal, das während der Erzeugung in die Wortwahl eingebettet wird und deshalb im Text selbst verankert ist: Kopieren, Einfügen und Weiterreichen ändern daran nichts. Bei Dateien der Formate .png, .jpg und .svg legt Anthropic dagegen signierte Herkunftsmetadaten nach dem Standard C2PA an, demselben, den auch Kamerahersteller verwenden. Die Bildinhalte bleiben dabei unverändert, ergänzt werden ausschließlich die Metadaten. Modelle, die ab dem 2. August 2026 erscheinen, unterstützen die Markierung ab dem Start, während Modelle aus der Zeit davor unter die Übergangsfrist der Europäischen Union fallen und laut Anthropic in den kommenden Monaten nachziehen sollen. Die Dokumentation von Anthropic nennt weder Ausnahmen noch eine Möglichkeit zum Abschalten, auch nicht für API-Zugänge oder Unternehmenskunden.

Modelle, Dienste und Termine

Markiert wird auf allen Oberflächen, über die Claude erreichbar ist: in der Claude App, auf der Claude Platform mit ihrer API, in Claude Code, in Claude Cowork und in Claude Tag, ebenso bei den Zugängen über AWS, Google Cloud und Microsoft Foundry. Eine Einstellung, mit der sich das abschalten ließe, gibt es nicht.

Zeitlich ist zwischen den Terminen zu unterscheiden. Ab dem 2. August 2026 tragen neu veröffentlichte Modelle die Markierung von Anfang an. Seit dem 14. August 2026 gilt sie weltweit und nicht nur innerhalb der Europäischen Union. Für Nutzerinnen und Nutzer außerhalb der EU bedeutet das: Es gibt keine Region, in der die Markierung entfällt.

Wie das Wasserzeichen im Text funktioniert

Das Signal entsteht nicht nachträglich, sondern während der Erzeugung selbst. Bei jedem Schritt wählt ein Sprachmodell aus mehreren möglichen Fortsetzungen. Genau in dieser Auswahl wird die Markierung untergebracht, und deshalb lässt sie sich weder in den Zeichen noch in den Dateieigenschaften finden.

Die Wortwahl als Träger des Signals

Ein KI-Wasserzeichen im Text ist ein statistisches Signal in der Wortwahl: Das Modell greift bei gleichwertigen Alternativen bevorzugt zu bestimmten Varianten, gesteuert von einem Schlüssel und den vorangegangenen Wörtern. Bedeutung und Lesbarkeit bleiben unberührt, doch wer den Schlüssel kennt, erkennt das Muster im fertigen Text wieder. Die Technik heißt SynthID-Text.

Sie stammt von Google DeepMind und wurde 2024 in Nature veröffentlicht. Anthropic beschreibt das Prinzip mit einem Bild aus dem Gesellschaftsspiel: Wer statt der Würfel die Ziffernfolge der Kreiszahl Pi verwendet, erzeugt Spielzüge, die für die Mitspieler unvorhersehbar bleiben, für jemanden mit Kenntnis der Regel aber im Nachhinein überprüfbar sind. Übertragen auf die Texterzeugung heißt das: Die Quelle des Zufalls wird ausgetauscht, das Ergebnis bleibt sprachlich unauffällig.

Die Idee ist älter als ihre heutige Umsetzung. Scott Aaronson, Informatiker an der University of Texas, wirbt seit dem Sommer 2022 für sie, kurz nach seinem Eintritt in das Alignment-Team von OpenAI. Weitere Forschungsgruppen haben den Ansatz danach weiterentwickelt, und die von Google DeepMind veröffentlichte Fassung ist diejenige, die Anthropic heute einsetzt. Der Kern bleibt in allen Varianten derselbe: Ein Sprachmodell erzeugt seinen Text ohnehin nach Wahrscheinlichkeiten, und genau dieser Spielraum trägt das verborgene Signal.

Die Erkennung arbeitet über einen Schwellenwert. Eine pseudozufällige Funktion hängt von den vorangehenden Token ab, über den fertigen Text wird daraus eine Summe gebildet, und überschreitet diese Summe einen festgelegten Wert, gilt der Text als wahrscheinlich vom Modell erzeugt. Wie Aaronsons Vortragsfolien festhalten, ist das Urteil damit konstruktionsbedingt eine Wahrscheinlichkeitsaussage und keine Feststellung mit Ja oder Nein.

Genau darin unterscheidet sich das Verfahren von dem, was man als digitales Wasserzeichen von Bildern her kennt. Weil das Signal in den gewählten Wörtern liegt und nicht in unsichtbaren Zeichen oder im Dateiformat, wandert es mit dem Text. Ein Textabschnitt, der aus der Oberfläche kopiert, in ein Dokument eingefügt, dort formatiert und später als PDF exportiert wird, trägt die Markierung weiterhin.

Warum es unsichtbar bleibt und die Bedeutung nicht verändert

Die Markierung greift ausschließlich dort ein, wo mehrere Formulierungen gleich gut gewesen wären. Steht die Formulierung inhaltlich fest, bleibt kein Spielraum, und das Verfahren verzichtet auf eine Beeinflussung. Deshalb verändert ein unsichtbares Wasserzeichen dieser Art weder Aussage noch Qualität noch Lesefluss, und niemand bemerkt es beim Lesen. Diese Unauffälligkeit ist keine Nebenwirkung, sondern Konstruktionsziel: Ein Signal, das den Text spürbar verschlechtert, würde schlicht nicht eingesetzt.

Wo das Signal dünn wird: kurze Texte, Faktentexte, Code, Korrektorat

Anthropic benennt die Grenzen selbst, und sie sind erheblich. Bei kurzen Textproben funktioniert die Erkennung nicht zuverlässig, weil zu wenige Auswahlentscheidungen zusammenkommen. Bei stark faktischen Passagen wird das Signal dünn, denn wer über Isaac Newton und die Principia schreibt, hat wenig sprachlichen Spielraum. Programmcode ist aus demselben Grund generell schwächer markiert: Exaktheit lässt kaum gleichwertige Alternativen zu.

Dahinter steht eine mathematische Beziehung, die sich auch ohne Formel beschreiben lässt. Die Textmenge, die eine verlässliche Erkennung benötigt, hängt vom Kehrwert des Quadrats der mittleren Entropie pro Token ab, also davon, wie viel echten Spielraum das Modell bei der Wortwahl überhaupt hatte. Je weniger gleichwertige Alternativen zur Verfügung standen, desto mehr Text braucht die Erkennung. Das ist der strukturelle Grund dafür, dass juristische Definitionen, Faktenantworten und Quellcode die ungünstigsten Fälle bilden, und zwar genau dort, wo eine Zuordnung am meisten zählen würde.

Auch die Arbeitsweise entscheidet mit. Wer einen selbst geschriebenen Text nur korrigieren lässt und die eigenen Wörter weitgehend behält, erzeugt kein Signal. Wer denselben Text vollständig neu formulieren lässt, erzeugt eines. Übersetzungen tragen die Markierung ebenfalls, weil dort jedes einzelne Wort vom Modell gewählt wird.

Der wichtigste Vorbehalt steht in der Dokumentation des Anbieters selbst: Der Nachweis einer Markierung besagt, dass ein Inhalt von Claude verarbeitet worden sein kann, und bestätigt für sich genommen nicht die vollständige Herkunft dieses Inhalts. Wer einen eigenen Text hochlädt und überarbeiten lässt, erhält eine markierte Ausgabe, obwohl Idee, Material und Daten von anderswo stammen. Die Markierung dokumentiert eine Bearbeitung, keine Urheberschaft.

Warum Anthropic jetzt handelt

Der Zeitpunkt ist kein Zufall, sondern die Antwort auf zwei Gesetzgebungen, die auf denselben Stichtag zulaufen. Die eine kommt aus Brüssel, die andere aus Kalifornien, und beide verlangen maschinenlesbare Kennzeichnung synthetischer Inhalte.

Artikel 50 der KI-Verordnung und der Verhaltenskodex zur Transparenz

Die KI-Kennzeichnungspflicht für generative Systeme ergibt sich aus Artikel 50 der KI-Verordnung, im internationalen Sprachgebrauch EU AI Act, und gilt seit dem 2. August 2026. Anbieter generativer KI-Systeme müssen ihre Ausgaben in maschinenlesbarem Format markieren, sodass synthetische Inhalte erkennbar bleiben. Ergänzend haben rund 190 Unternehmen im Juli 2026 den EU-Verhaltenskodex zur Transparenz KI-generierter Inhalte unterzeichnet. Die Markierung von Claude ist damit weniger eine Produktentscheidung als die technische Umsetzung einer Rechtspflicht. Welche Anbieter im Einzelnen betroffen sind, welche Ausnahmen bestehen und welche Fristen für Bestandssysteme gelten, behandelt unsere Analyse zur Kennzeichnungspflicht nach Artikel 50 der KI-Verordnung.

Das kalifornische Transparenzgesetz und der Text, der ungedeckt bleibt

Kalifornien verlangt Vergleichbares, klammert aber ausgerechnet den Text aus. Der California AI Transparency Act (SB 942) wurde durch das Nachfolgegesetz AB 853 vom 1. Januar auf den 2. August 2026 verschoben, um mit dem europäischen Termin zusammenzufallen. Er gilt für Betreiber öffentlich zugänglicher generativer Systeme mit mehr als einer Million monatlicher Nutzer in Kalifornien und verlangt latente, dauerhafte und maschinenlesbare Markierungen sowie ein kostenloses öffentliches Prüfwerkzeug.

Erfasst sind Bilder, Video und Audio, während der Text außen vor bleibt. Diese Lücke ist aufschlussreicher als jede Debatte über Machbarkeit, denn sie ist das Eingeständnis eines Gesetzgebers, dass die Herkunft von Texten technisch noch nicht belastbar genug ist, um sie zum Gegenstand einer Pflicht zu machen.

Eine globale Entscheidung statt getrennter Produktlinien

Zwei Rechtsordnungen mit demselben Stichtag ergeben eine einfache betriebswirtschaftliche Rechnung. Ein Anbieter, der weltweit dieselbe Modellfamilie ausliefert, wird kaum eine markierte europäische und eine unmarkierte außereuropäische Variante pflegen. Die globale Ausweitung ab dem 14. August 2026 lässt sich daher auch als Verzicht auf zwei Produktlinien lesen, nicht allein als freiwilliges Bekenntnis zur Transparenz.

Die Debatte: Befürworter und Kritiker

Die Reaktion fiel unmittelbar und heftig aus. Auf Reddit, X und LinkedIn kündigten Nutzer an, bezahlte Abonnements zu kündigen, während zugleich die Mehrheit der Kommentare die Maßnahme unterstützte. Beide Lager argumentieren nachvollziehbar, sprechen dabei aber über verschiedene Dinge.

Die Argumente dafür

Der stärkste Punkt der Befürworter ist die Überprüfbarkeit einer Aussage, die sich sonst nicht belegen lässt. Wer behauptet, einen Text selbst verfasst zu haben, konnte das bisher weder beweisen noch widerlegen. Eine Markierung macht Transparenz zur Eigenschaft der Infrastruktur, statt sie der Redlichkeit des Einzelnen zu überlassen. Ein vielfach zitierter Kommentar bringt die Position auf den Punkt: Der einzige Grund, die Markierung abzulehnen, sei der Wunsch, andere zu täuschen.

Die Einwände: falsch positive Treffer, Urheberschaft, Kündigungen

Die Kritik kommt vor allem von Studierenden, von Journalistinnen und Journalisten, von Autoren und von Programmierern. Ihr erster Einwand betrifft falsch positive Treffer. Wer Claude einsetzt, um einen Absatz umzustellen oder ein Transkript zu kürzen, leistet legitime Arbeit und fürchtet dennoch, markiert zu werden. Ein von Hand geschriebener und nur sprachlich geglätteter Text kann ein Signal tragen.

Der zweite Einwand betrifft die Urheberschaft. Ein Programmierer hält dagegen, er habe Anweisungen, Kontext, Entscheidungen und unzählige Verfeinerungen beigetragen, während Claude das Werkzeug gewesen sei. Was genau, so seine Frage, beanspruche die Markierung dann für sich?

In der Kritik taucht immer wieder das Bild des Brandmals auf: ein Zeichen, das dem Text noch lange anhaftet, nachdem er die Plattform verlassen hat. John Gruber formuliert den Vorwurf grundsätzlicher und sieht im verborgenen Wasserzeichen eine Entstellung des Schreibens als Handwerk. Hinzu kommt der Vorwurf der Inkonsequenz, dass hier die Ausgabe eines Modells markiert wird, das auf unmarkierten fremden Werken trainiert wurde.

Der fehlende Detektor

Es existiert derzeit kein öffentliches Werkzeug, mit dem sich eine Markierung überprüfen ließe. Anthropic stellt eine Erkennungsschnittstelle in Aussicht, ohne sie bereitzustellen. Die Prüfung hängt damit vollständig am Anbieter, der die Markierung selbst gesetzt hat. Für alle anderen bleibt der Befund unzugänglich: Man kann markiert sein, ohne es selbst feststellen zu können. Wer KI-generierten Text erkennen möchte, ist deshalb weiterhin auf Klassifikatoren angewiesen, die mit Wahrscheinlichkeiten arbeiten und nichts über das eigentliche Signal aussagen. Wie schwer sich der umgekehrte Weg gestaltet, zeigt die Erfahrung mit den Grenzen von Erkennungssoftware für Deepfakes, die ebenfalls Wahrscheinlichkeiten liefert statt Gewissheit.

Dass es dazu kommt, ist kein Versehen. Aaronson, auf dessen Vorschlag das Verfahren zurückgeht, nennt unter den Gründen, aus denen OpenAI sein eigenes Werkzeug nie veröffentlicht hat, ausdrücklich das Zugangsparadox: Ist der Detektor öffentlich zugänglich, kann jede Person ein Dokument so lange bearbeiten, bis es nicht mehr anschlägt; bleibt er geschlossen, muss entschieden werden, wer überhaupt prüfen darf, etwa Prüfungsämter oder Redaktionen. Die Asymmetrie zwischen Markieren und Prüfen ist somit keine Nachlässigkeit, sondern eine seit Langem bekannte Schwierigkeit des Ansatzes.

Warum sich jedes Wasserzeichen entfernen lässt

Jede Markierung, die nachträglich in einen Inhalt eingebracht wird, lässt sich auch wieder aus ihm entfernen. Das ist keine Schwäche der Umsetzung, sondern eine Eigenschaft der Aufgabe, und die Fachliteratur kennt die einschlägigen Angriffe seit Jahren. Entsprechend gehört die Frage, wie sich ein KI-Wasserzeichen entfernen lässt, seit der Ankündigung zu den meistdiskutierten Punkten der Debatte.

Für diese Klasse von Verfahren liegt sogar ein Unmöglichkeitsbeweis vor. Barak und weitere Fachleute zeigten 2023, dass sich über einen Zufallsweg durch die Menge äquivalenter Dokumente jede Markierung entfernen lässt, sofern dabei die Qualität des Textes erhalten bleibt. Die Entfernbarkeit ist demnach kein Umsetzungsfehler von Anthropic, sondern eine bewiesene Grenze der gesamten Verfahrensklasse.

Die bekannten Angriffe: Umschreiben und Rückübersetzung

Zwei Kategorien sind auseinanderzuhalten, und sie trennt vor allem die Frage, ob sich der Erfolg überprüfen lässt. Die erste ist die nachweisbare Entfernung: unsichtbare Zeichen, EXIF- und XMP-Einträge sowie C2PA-Blöcke aus einer Datei zu löschen. Solche Elemente sind vorhanden oder eben nicht, das Ergebnis lässt sich durch direkten Vergleich kontrollieren.

Die zweite Kategorie zielt auf das Wasserzeichen im Text selbst und arbeitet statistisch: Ein anderes Modell formuliert den Text neu, verschiebt Wortschatz, Satzgrenzen, Konnektoren und die Reihenfolge der Aussagen, bis das Muster gestört ist. Die beiden Standardangriffe der Literatur sind die Paraphrase und die Rückübersetzung über eine Zwischensprache. Nur diese zweite Kategorie greift die eigentliche Markierung an, und nur bei ihr bleibt offen, ob sie funktioniert hat.

Die öffentlichen Entfernungsprojekte und die Grenze, die ihre Autoren selbst einräumen

Inzwischen sind öffentliche Projekte erschienen, die für sich in Anspruch nehmen, Herkunftsmarkierungen mehrerer Anbieter zu entfernen. Bemerkenswert ist weniger ihre Existenz als das, was ihre eigenen Autoren dazuschreiben. Sie sprechen von einem Versuch nach bestem Bemühen und nicht von einer nachgewiesenen Löschung. In ihrer Dokumentation steht der entscheidende Satz: Solange die Anbieter keine öffentlichen Detektoren und keine Spezifikationen veröffentlichen, kann kein Werkzeug redlich behaupten, dass die offizielle Prüfung fehlschlagen wird.

Dazu kommen die Kosten des Verfahrens. Eine statistische Neuformulierung ebnet Ton und Präzision des Originals ein, und leichte Eingriffe lassen das Signal womöglich unangetastet. Wer stark genug umschreibt, um sicherzugehen, hat am Ende einen schlechteren Text. Diese Werkzeuge zielen mithin auf etwas, das sie selbst nicht sehen können.

Die Asymmetrie zwischen Markieren, Prüfen und Löschen

Hier liegt der strukturelle Kern des Problems. Wer markiert, weiß, dass die Markierung gesetzt wurde; wer prüfen möchte, kann es nicht, weil ihm das Werkzeug fehlt; und wer sie entfernen will, erfährt nicht, ob es gelungen ist. Ein System, dessen Ergebnis niemand unabhängig kontrollieren kann, ist kein Beweissystem, sondern eine Erklärung des Anbieters über sein eigenes Produkt.

Für Organisationen hat das eine praktische Konsequenz. Wer verwertbare Nachweise braucht, setzt auf die forensische Zertifizierung an der Quelle, weil sie eine belastbare Herkunft liefert statt einer statistischen Wahrscheinlichkeit.

C2PA-Metadaten und die Fragilität der Dateien

Bei Dateien liegt die Herkunftsinformation im Container und nicht im Bild selbst. Damit hängt ihr Überleben nicht am Inhalt, sondern daran, ob jede Station der Weiterverarbeitung den Container respektiert. Die strukturellen Grenzen des Standards C2PA haben wir an anderer Stelle ausführlich behandelt.

Ein Screenshot löscht die Herkunft

Ein Screenshot eines Bildes und das Speichern als neue Datei löschen das Manifest: Die Herkunftsinformation ist weg, obwohl das Bild für das Auge identisch aussieht. Neukomprimierung, Größenänderung und Formatkonvertierung wirken genauso. Wenn Provenienzdaten auf diesem Weg verschwinden, bleibt die forensische Zertifizierung des Erfassungsvorgangs das einzige überprüfbare Element, und genau das ist der Ansatz von TrueScreen. Welche Anforderungen dabei gelten, zeigt unsere Übersicht dazu, wie ein Screenshot als Beweismittel vor Gericht rechtssicher wird.

Was online tatsächlich überlebt

Eine Untersuchung von Imatag stellte bereits 2018 fest, dass bei 80 Prozent der auf Websites hochgeladenen Bilder die Metadaten entfernt worden waren. 2026 liegt der Wert auf den großen sozialen Plattformen faktisch bei 100 Prozent, weil Instagram, X, LinkedIn, TikTok und Facebook Manifeste beim Upload systematisch entfernen. Die RAND Corporation kam im Juni 2025 in ihrer Analyse Overpromising on Digital Provenance and Security zu dem Schluss, dass der Erfolg von C2PA von der durchgängigen Konformität aller Beteiligten abhängt, was in einem offenen Ökosystem nicht realistisch ist.

Durable Credentials und warum sie den Kreis nicht schließen

Die Antwort des Standards heißt Durable Content Credentials. Dabei werden schwache Anker gesetzt, etwa ein unsichtbares Wasserzeichen oder ein Fingerabdruck des Inhalts, über die sich eine entfernte Credential wiederfinden lässt. Der Kreis schließt sich damit nicht, denn die Anker holen genau die Schwächen zurück, die das Wasserzeichen im Text ohnehin hat, und sie setzen zusätzlich ein abfragbares Register sowie die Mitwirkung der Plattformen voraus. Weitere bekannte Grenzen beschreibt die technische Analyse des World Privacy Forum: Der Standard bescheinigt die Bearbeitungsgeschichte und nicht den Wahrheitsgehalt, er legt die Identität der Urheber offen, und der Zugang zu den Zertifikaten ist mit wirtschaftlichen Hürden verbunden.

Herkunft markieren oder beweisen: unterschiedliche Probleme

Markierung und Beweis beantworten unterschiedliche Fragen. Ein Wasserzeichen und eine signierte Credential sagen etwas darüber aus, wie ein Inhalt entstanden ist. Ein Beweis sagt etwas darüber aus, was dieser Inhalt zeigt und ob er einer Anfechtung standhält. Wer die erste Antwort für die zweite hält, hält ein Etikett für ein Beweismittel. Denselben Gedanken haben wir in der Analyse dazu vertieft, warum die Kennzeichnung von KI-Inhalten keinen Echtheitsbeweis ersetzt.

Was ein Wasserzeichen aussagt und was niemals

Beide Verfahren sind konstruktionsbedingt fragil, und ihre Schwachstellen liegen an unterschiedlichen Stellen: Das Wasserzeichen übersteht das Kopieren, aber keine Neuformulierung, während die Credential die Weitergabe übersteht, aber weder einen Screenshot noch den Upload auf eine große Plattform. Entscheidend ist außerdem, wer die Markierung anbringt. Sie stammt vom Hersteller des Modells und dient dessen Interesse an der Erfüllung einer Rechtspflicht, nicht dem Beweisinteresse dessen, der den Inhalt später vorlegen muss.

Was es bedeutet, einen Inhalt an der Quelle zu zertifizieren

TrueScreen setzt am umgekehrten Problem an: Statt festzustellen, ob ein Inhalt von einem Modell erzeugt wurde, hält die Plattform überprüfbar fest, wie und wann dieser Inhalt erfasst wurde. Zertifizierung an der Quelle bedeutet, dass die Erfassung selbst zum dokumentierten Vorgang wird. Der Inhalt wird nach forensischer Methodik aufgenommen, seine Integrität wird über einen kryptografischen SHA-256-Hash geprüft, und über die API erhält das Ergebnis ein international anerkanntes qualifiziertes elektronisches Siegel samt qualifiziertem Zeitstempel. TrueScreen stellt selbst keine qualifizierten Zertifikate aus, sondern bindet die offiziellen Siegel und Zeitstempel lückenlos in die Beweiskette ein.

Rechtlich zählt genau dieser Unterschied. Die eIDAS-Verordnung 910/2014 knüpft an qualifizierte Zeitstempel und elektronische Siegel die Vermutung der Integrität und des Zeitpunkts, das Vertrauensdienstegesetz ergänzt sie national, und § 371a ZPO regelt die Beweiskraft elektronischer Dokumente. Für Augenscheinsobjekte wie Bildschirmaufnahmen bleibt § 371 ZPO einschlägig, gewürdigt wird nach § 286 ZPO frei. Die Erfassung folgt der forensischen Praxis nach ISO/IEC 27037, die Verarbeitung personenbezogener Daten bleibt an die DSGVO gebunden.

Ein Beispiel macht den Unterschied greifbar. Eine Redaktion erhält von einer Quelle ein Textdokument, das angeblich von einem Modell stammt. Ein Erkennungswerkzeug liefert eine Wahrscheinlichkeit, und ein etwaiges Wasserzeichen ist bei der Übersetzung aus dem Englischen verschwunden. Überprüfbar bleibt nicht die Herkunft des Textes, sondern der Erfassungsvorgang: wann das Dokument eingegangen ist, aus welcher Ansicht es stammt und in welchem Zustand es vorlag. In einem Verfahren ist das der einzige belastbare Anknüpfungspunkt, und genau dafür gibt es die App zur Zertifizierung und die Plattform.

Vorbereitung auf eine Welt, in der sich Herkunft nicht nachträglich rekonstruieren lässt

Die Herkunft eines Inhalts lässt sich nicht im Nachhinein rekonstruieren. Entweder sie wird in dem Moment festgehalten, in dem der Inhalt entsteht oder erfasst wird, oder die Information ist verloren, und keine spätere Analyse gibt sie zurück. Diese Einsicht verschiebt die Aufgabe von der Prüfung zur Vorsorge.

Die Entscheidungen, die jetzt anstehen

Daraus folgt, dass die Auswahl vorab getroffen werden muss. Wer Inhalte produziert, die später einer Anfechtung standhalten sollen, entscheidet vorher, welche davon geschützt werden, und nicht erst, wenn der Streit da ist. Die Entscheidung hängt an wenigen Fragen: Welche Inhalte könnten in einem Verfahren, einer Prüfung oder einer Auseinandersetzung mit einem Vertragspartner relevant werden, wer erfasst sie, und in welchem Moment?

Für interne Regeln bedeutet das eine klare Trennung. Die Kennzeichnungspflicht nach der KI-Verordnung ist eine Konformitätsaufgabe und wird vom Anbieter des Modells erfüllt. Die Beweisvorsorge ist eine eigene Aufgabe und bleibt bei der Organisation, die den Inhalt vorlegen muss. Die Zertifizierung an der Quelle, wie TrueScreen sie bereitstellt, liefert dafür einen überprüfbaren Bezugspunkt ab dem Moment der Erfassung. Beide Aufgaben nebeneinander zu führen, ist weniger aufwendig als der Versuch, aus einem Etikett nachträglich ein Beweismittel zu machen.

Quellen

• Anthropic, How Claude’s text watermarking works
• Anthropic Help Center, How Claude marks AI-generated content
• TechCrunch, Anthropic says it will watermark text generated by its AI models
• Euronews, EU compliance delivered globally
• Forbes, Claude will put invisible watermarks on AI text and images
• Scott Aaronson, Watermarking: Where To?, Simons Institute, Berkeley
• Nature, Scalable watermarking for identifying large language model outputs
• California Legislative Information, SB 942
• World Privacy Forum, Privacy, Identity and Trust in C2PA
• C2PA, FAQ
• Bundesministerium der Justiz, § 371a ZPO
• EUR-Lex, Verordnung (EU) Nr. 910/2014 (eIDAS)

FAQ: KI-Wasserzeichen und Herkunft von Inhalten

Wann muss KI gekennzeichnet werden?
+

Seit dem 2. August 2026 verpflichtet Artikel 50 der KI-Verordnung, im internationalen Sprachgebrauch EU AI Act, die Anbieter generativer KI-Systeme dazu, ihre Ausgaben in maschinenlesbarem Format zu markieren, damit synthetische Inhalte erkennbar bleiben. Ergänzend haben rund 190 Unternehmen im Juli 2026 den EU-Verhaltenskodex zur Transparenz KI-generierter Inhalte unterzeichnet.

Welche Kennzeichnungspflicht gilt ab 2026 für KI-Inhalte?
+

Es gelten zwei Regelwerke mit demselben Stichtag. Die KI-Verordnung verlangt seit dem 2. August 2026 maschinenlesbare Markierungen für Ausgaben generativer Systeme. Der California AI Transparency Act (SB 942), durch AB 853 auf denselben Tag verschoben, verlangt latente, dauerhafte Markierungen und ein kostenloses öffentliches Prüfwerkzeug, erfasst aber nur Bild, Video und Audio.

Wie kann ich Wasserzeichen aus KI-Texten entfernen?
+

Diese Frage lässt sich nicht seriös beantworten, und das ist die eigentliche Auskunft. Öffentliche Entfernungsprojekte sprechen selbst von einem Versuch nach bestem Bemühen: Solange kein öffentlicher Detektor existiert, kann niemand nachweisen, dass eine offizielle Prüfung fehlschlägt. Anthropic nennt vollständige Neuformulierung als wirksam, während Korrekturen das Signal unberührt lassen.

Kann man erkennen, ob etwas mit ChatGPT geschrieben wurde?
+

Von außen zuverlässig nicht. Selbst für die Markierung von Claude gibt es bislang kein öffentlich zugängliches Prüfwerkzeug, und Anthropic hält fest, dass ein Nachweis lediglich eine Verarbeitung durch Claude anzeigt und nicht die vollständige Herkunft bestätigt. Verfügbare Erkennungswerkzeuge liefern Wahrscheinlichkeiten, keine Gewissheit, mit dem bekannten Risiko falsch positiver Treffer.

Wie kann ich Wasserzeichen im Text finden?
+

Gar nicht, jedenfalls nicht aus eigener Kraft. Das Signal steckt in der Wortwahl und nicht in sichtbaren Zeichen, Formatierungen oder Dateieigenschaften, und seine Prüfung setzt die Kenntnis des Schlüssels voraus. Anthropic hat eine Erkennungsschnittstelle angekündigt, ohne sie bereitzustellen: Bis dahin liegt die Prüfmöglichkeit allein beim Anbieter selbst.

Lässt sich ein KI-Wasserzeichen in einer PDF-Datei erkennen?
+

Die signierten Herkunftsdaten von Anthropic betreffen die Formate .png, .jpg und .svg, nicht PDF. Wird markierter Text in ein PDF übernommen, wandert das statistische Signal mit den Wörtern mit, weil es nicht an der Datei hängt. Prüfen lässt es sich dennoch nicht, solange kein öffentliches Werkzeug bereitsteht.