{"id":58057,"date":"2026-08-19T20:26:44","date_gmt":"2026-08-19T18:26:44","guid":{"rendered":"https:\/\/truescreen.io\/artikel\/ki-wasserzeichen-im-text-claude\/"},"modified":"2026-08-19T20:59:04","modified_gmt":"2026-08-19T18:59:04","slug":"ki-wasserzeichen-im-text-claude","status":"publish","type":"artikel","link":"https:\/\/truescreen.io\/de\/artikel\/ki-wasserzeichen-im-text-claude\/","title":{"rendered":"KI-Wasserzeichen im Text: Was Claudes unsichtbare Markierung belegt und was nicht"},"content":{"rendered":"
\n
\n

KI-Wasserzeichen im Text: Was Claudes unsichtbare Markierung belegt und was nicht<\/h1>\n<\/div>\n<\/div>\n
\n
\n

Ver\u00f6ffentlicht am 19. August 2026<\/p>\n

Seit dem 2. August 2026 geben die neu ver\u00f6ffentlichten Modelle von Anthropic keine unmarkierten Texte mehr aus: Sie versehen ihre Ausgaben von Beginn an mit einem unsichtbaren statistischen Signal, das in der Wortwahl selbst steckt und beim Lesen nicht auff\u00e4llt. \u00c4ltere Modelle fallen unter die \u00dcbergangsfrist und sollen in den kommenden Monaten nachziehen. Wer den Text kopiert und an anderer Stelle einf\u00fcgt, nimmt das Signal mit, denn es h\u00e4ngt nicht an der Datei, sondern an den W\u00f6rtern.<\/p>\n

Schon nach wenigen Tagen zeigte sich das Problem dieser Konstruktion. Ein \u00f6ffentlich zug\u00e4ngliches Pr\u00fcfwerkzeug existiert bislang nicht, Anthropic hat eine Erkennungsschnittstelle lediglich angek\u00fcndigt. Zugleich kursieren bereits Projekte, die versprechen, Herkunftsmarkierungen mehrerer Anbieter zu entfernen. Wer einen Text erh\u00e4lt, kann daher weder feststellen, ob eine Markierung vorhanden war, noch, ob sie entfernt wurde.<\/p>\n

Ein KI-Wasserzeichen markiert also, wie ein Inhalt entstanden ist, und nicht, was dieser Inhalt beweist. Es \u00fcbersteht das Kopieren, nicht aber eine Umschreibung. Wer digitale Inhalte braucht, die einer Anfechtung standhalten, sollte die beiden Fragen deshalb sauber trennen: Die Frage nach der maschinellen Beteiligung und die Frage nach der beweisbaren Herkunft verlangen unterschiedliche Antworten und unterschiedliche Werkzeuge.<\/p>\n

Was Anthropic angek\u00fcndigt hat und ab wann es gilt<\/h2>\n

Anthropic markiert die Ausgaben von Claude mit zwei voneinander unabh\u00e4ngigen Verfahren: einem statistischen Wasserzeichen im Text und kryptografisch signierten Herkunftsdaten, die an Dateien angeh\u00e4ngt werden. Die beiden Verfahren l\u00f6sen unterschiedliche Aufgaben, sie besitzen unterschiedliche Schwachstellen, und in der Berichterstattung werden sie regelm\u00e4\u00dfig miteinander verwechselt. Die Verwechslung ist folgenreich, weil sie zwei getrennte Angriffsfl\u00e4chen zu einer einzigen verschmilzt.<\/p>\n

Getrennte Mechanismen: Signal im Text, signierte Credentials in der Datei<\/h3>\n

Das KI-Wasserzeichen im Text und die C2PA-Credentials in der Datei sind getrennte Mechanismen. Im Text sitzt ein statistisches Signal, das w\u00e4hrend der Erzeugung in die Wortwahl eingebettet wird und deshalb im Text selbst verankert ist: Kopieren, Einf\u00fcgen und Weiterreichen \u00e4ndern daran nichts. Bei Dateien der Formate .png, .jpg und .svg legt Anthropic dagegen signierte Herkunftsmetadaten nach dem Standard C2PA an, demselben, den auch Kamerahersteller verwenden. Die Bildinhalte bleiben dabei unver\u00e4ndert, erg\u00e4nzt werden ausschlie\u00dflich die Metadaten. Modelle, die ab dem 2. August 2026 erscheinen, unterst\u00fctzen die Markierung ab dem Start, w\u00e4hrend Modelle aus der Zeit davor unter die \u00dcbergangsfrist der Europ\u00e4ischen Union fallen und laut Anthropic in den kommenden Monaten nachziehen sollen. Die Dokumentation von Anthropic<\/a> nennt weder Ausnahmen noch eine M\u00f6glichkeit zum Abschalten, auch nicht f\u00fcr API-Zug\u00e4nge oder Unternehmenskunden.<\/p>\n

Modelle, Dienste und Termine<\/h3>\n

Markiert wird auf allen Oberfl\u00e4chen, \u00fcber die Claude erreichbar ist: in der Claude App, auf der Claude Platform mit ihrer API, in Claude Code, in Claude Cowork und in Claude Tag, ebenso bei den Zug\u00e4ngen \u00fcber AWS, Google Cloud und Microsoft Foundry. Eine Einstellung, mit der sich das abschalten lie\u00dfe, gibt es nicht.<\/p>\n

Zeitlich ist zwischen den Terminen zu unterscheiden. Ab dem 2. August 2026 tragen neu ver\u00f6ffentlichte Modelle die Markierung von Anfang an. Seit dem 14. August 2026 gilt sie weltweit und nicht nur innerhalb der Europ\u00e4ischen Union<\/a>. F\u00fcr Nutzerinnen und Nutzer au\u00dferhalb der EU bedeutet das: Es gibt keine Region, in der die Markierung entf\u00e4llt.<\/p>\n

Wie das Wasserzeichen im Text funktioniert<\/h2>\n

Das Signal entsteht nicht nachtr\u00e4glich, sondern w\u00e4hrend der Erzeugung selbst. Bei jedem Schritt w\u00e4hlt ein Sprachmodell aus mehreren m\u00f6glichen Fortsetzungen. Genau in dieser Auswahl wird die Markierung untergebracht, und deshalb l\u00e4sst sie sich weder in den Zeichen noch in den Dateieigenschaften finden.<\/p>\n

Die Wortwahl als Tr\u00e4ger des Signals<\/h3>\n

Ein KI-Wasserzeichen im Text ist ein statistisches Signal in der Wortwahl: Das Modell greift bei gleichwertigen Alternativen bevorzugt zu bestimmten Varianten, gesteuert von einem Schl\u00fcssel und den vorangegangenen W\u00f6rtern. Bedeutung und Lesbarkeit bleiben unber\u00fchrt, doch wer den Schl\u00fcssel kennt, erkennt das Muster im fertigen Text wieder. Die Technik hei\u00dft SynthID-Text.<\/p>\n

Sie stammt von Google DeepMind und wurde 2024 in Nature<\/em> ver\u00f6ffentlicht<\/a>. Anthropic beschreibt das Prinzip mit einem Bild aus dem Gesellschaftsspiel: Wer statt der W\u00fcrfel die Ziffernfolge der Kreiszahl Pi verwendet, erzeugt Spielz\u00fcge, die f\u00fcr die Mitspieler unvorhersehbar bleiben, f\u00fcr jemanden mit Kenntnis der Regel aber im Nachhinein \u00fcberpr\u00fcfbar sind. \u00dcbertragen auf die Texterzeugung hei\u00dft das: Die Quelle des Zufalls wird ausgetauscht, das Ergebnis bleibt sprachlich unauff\u00e4llig.<\/p>\n

Die Idee ist \u00e4lter als ihre heutige Umsetzung. Scott Aaronson, Informatiker an der University of Texas, wirbt seit dem Sommer 2022 f\u00fcr sie, kurz nach seinem Eintritt in das Alignment-Team von OpenAI. Weitere Forschungsgruppen haben den Ansatz danach weiterentwickelt, und die von Google DeepMind ver\u00f6ffentlichte Fassung ist diejenige, die Anthropic heute einsetzt. Der Kern bleibt in allen Varianten derselbe: Ein Sprachmodell erzeugt seinen Text ohnehin nach Wahrscheinlichkeiten, und genau dieser Spielraum tr\u00e4gt das verborgene Signal.<\/p>\n

Die Erkennung arbeitet \u00fcber einen Schwellenwert. Eine pseudozuf\u00e4llige Funktion h\u00e4ngt von den vorangehenden Token ab, \u00fcber den fertigen Text wird daraus eine Summe gebildet, und \u00fcberschreitet diese Summe einen festgelegten Wert, gilt der Text als wahrscheinlich vom Modell erzeugt. Wie Aaronsons Vortragsfolien<\/a> festhalten, ist das Urteil damit konstruktionsbedingt eine Wahrscheinlichkeitsaussage und keine Feststellung mit Ja oder Nein.<\/p>\n

Genau darin unterscheidet sich das Verfahren von dem, was man als digitales Wasserzeichen von Bildern her kennt. Weil das Signal in den gew\u00e4hlten W\u00f6rtern liegt und nicht in unsichtbaren Zeichen oder im Dateiformat, wandert es mit dem Text. Ein Textabschnitt, der aus der Oberfl\u00e4che kopiert, in ein Dokument eingef\u00fcgt, dort formatiert und sp\u00e4ter als PDF exportiert wird, tr\u00e4gt die Markierung weiterhin.<\/p>\n

Warum es unsichtbar bleibt und die Bedeutung nicht ver\u00e4ndert<\/h3>\n

Die Markierung greift ausschlie\u00dflich dort ein, wo mehrere Formulierungen gleich gut gewesen w\u00e4ren. Steht die Formulierung inhaltlich fest, bleibt kein Spielraum, und das Verfahren verzichtet auf eine Beeinflussung. Deshalb ver\u00e4ndert ein unsichtbares Wasserzeichen dieser Art weder Aussage noch Qualit\u00e4t noch Lesefluss, und niemand bemerkt es beim Lesen. Diese Unauff\u00e4lligkeit ist keine Nebenwirkung, sondern Konstruktionsziel: Ein Signal, das den Text sp\u00fcrbar verschlechtert, w\u00fcrde schlicht nicht eingesetzt.<\/p>\n

Wo das Signal d\u00fcnn wird: kurze Texte, Faktentexte, Code, Korrektorat<\/h3>\n

Anthropic benennt die Grenzen selbst, und sie sind erheblich. Bei kurzen Textproben funktioniert die Erkennung nicht zuverl\u00e4ssig, weil zu wenige Auswahlentscheidungen zusammenkommen. Bei stark faktischen Passagen wird das Signal d\u00fcnn, denn wer \u00fcber Isaac Newton und die Principia<\/em> schreibt, hat wenig sprachlichen Spielraum. Programmcode ist aus demselben Grund generell schw\u00e4cher markiert: Exaktheit l\u00e4sst kaum gleichwertige Alternativen zu.<\/p>\n

Dahinter steht eine mathematische Beziehung, die sich auch ohne Formel beschreiben l\u00e4sst. Die Textmenge, die eine verl\u00e4ssliche Erkennung ben\u00f6tigt, h\u00e4ngt vom Kehrwert des Quadrats der mittleren Entropie pro Token ab, also davon, wie viel echten Spielraum das Modell bei der Wortwahl \u00fcberhaupt hatte. Je weniger gleichwertige Alternativen zur Verf\u00fcgung standen, desto mehr Text braucht die Erkennung. Das ist der strukturelle Grund daf\u00fcr, dass juristische Definitionen, Faktenantworten und Quellcode die ung\u00fcnstigsten F\u00e4lle bilden, und zwar genau dort, wo eine Zuordnung am meisten z\u00e4hlen w\u00fcrde.<\/p>\n

Auch die Arbeitsweise entscheidet mit. Wer einen selbst geschriebenen Text nur korrigieren l\u00e4sst und die eigenen W\u00f6rter weitgehend beh\u00e4lt, erzeugt kein Signal. Wer denselben Text vollst\u00e4ndig neu formulieren l\u00e4sst, erzeugt eines. \u00dcbersetzungen tragen die Markierung ebenfalls, weil dort jedes einzelne Wort vom Modell gew\u00e4hlt wird.<\/p>\n

Der wichtigste Vorbehalt steht in der Dokumentation des Anbieters selbst: Der Nachweis einer Markierung besagt, dass ein Inhalt von Claude verarbeitet worden sein kann, und best\u00e4tigt f\u00fcr sich genommen nicht die vollst\u00e4ndige Herkunft dieses Inhalts. Wer einen eigenen Text hochl\u00e4dt und \u00fcberarbeiten l\u00e4sst, erh\u00e4lt eine markierte Ausgabe, obwohl Idee, Material und Daten von anderswo stammen. Die Markierung dokumentiert eine Bearbeitung, keine Urheberschaft.<\/p>\n

Warum Anthropic jetzt handelt<\/h2>\n

Der Zeitpunkt ist kein Zufall, sondern die Antwort auf zwei Gesetzgebungen, die auf denselben Stichtag zulaufen. Die eine kommt aus Br\u00fcssel, die andere aus Kalifornien, und beide verlangen maschinenlesbare Kennzeichnung synthetischer Inhalte.<\/p>\n

Artikel 50 der KI-Verordnung und der Verhaltenskodex zur Transparenz<\/h3>\n

Die KI-Kennzeichnungspflicht f\u00fcr generative Systeme ergibt sich aus Artikel 50 der KI-Verordnung, im internationalen Sprachgebrauch EU AI Act, und gilt seit dem 2. August 2026. Anbieter generativer KI-Systeme m\u00fcssen ihre Ausgaben in maschinenlesbarem Format markieren, sodass synthetische Inhalte erkennbar bleiben. Erg\u00e4nzend haben rund 190 Unternehmen im Juli 2026 den EU-Verhaltenskodex zur Transparenz KI-generierter Inhalte unterzeichnet. Die Markierung von Claude ist damit weniger eine Produktentscheidung als die technische Umsetzung einer Rechtspflicht. Welche Anbieter im Einzelnen betroffen sind, welche Ausnahmen bestehen und welche Fristen f\u00fcr Bestandssysteme gelten, behandelt unsere Analyse zur Kennzeichnungspflicht nach Artikel 50 der KI-Verordnung<\/a>.<\/p>\n

Das kalifornische Transparenzgesetz und der Text, der ungedeckt bleibt<\/h3>\n

Kalifornien verlangt Vergleichbares, klammert aber ausgerechnet den Text aus. Der California AI Transparency Act (SB 942)<\/a> wurde durch das Nachfolgegesetz AB 853 vom 1. Januar auf den 2. August 2026 verschoben, um mit dem europ\u00e4ischen Termin zusammenzufallen. Er gilt f\u00fcr Betreiber \u00f6ffentlich zug\u00e4nglicher generativer Systeme mit mehr als einer Million monatlicher Nutzer in Kalifornien und verlangt latente, dauerhafte und maschinenlesbare Markierungen sowie ein kostenloses \u00f6ffentliches Pr\u00fcfwerkzeug.<\/p>\n

Erfasst sind Bilder, Video und Audio, w\u00e4hrend der Text au\u00dfen vor bleibt. Diese L\u00fccke ist aufschlussreicher als jede Debatte \u00fcber Machbarkeit, denn sie ist das Eingest\u00e4ndnis eines Gesetzgebers, dass die Herkunft von Texten technisch noch nicht belastbar genug ist, um sie zum Gegenstand einer Pflicht zu machen.<\/p>\n

Eine globale Entscheidung statt getrennter Produktlinien<\/h3>\n

Zwei Rechtsordnungen mit demselben Stichtag ergeben eine einfache betriebswirtschaftliche Rechnung. Ein Anbieter, der weltweit dieselbe Modellfamilie ausliefert, wird kaum eine markierte europ\u00e4ische und eine unmarkierte au\u00dfereurop\u00e4ische Variante pflegen. Die globale Ausweitung ab dem 14. August 2026 l\u00e4sst sich daher auch als Verzicht auf zwei Produktlinien lesen, nicht allein als freiwilliges Bekenntnis zur Transparenz.<\/p>\n

Die Debatte: Bef\u00fcrworter und Kritiker<\/h2>\n

Die Reaktion fiel unmittelbar und heftig aus. Auf Reddit, X und LinkedIn k\u00fcndigten Nutzer an, bezahlte Abonnements zu k\u00fcndigen<\/a>, w\u00e4hrend zugleich die Mehrheit der Kommentare die Ma\u00dfnahme unterst\u00fctzte. Beide Lager argumentieren nachvollziehbar, sprechen dabei aber \u00fcber verschiedene Dinge.<\/p>\n

Die Argumente daf\u00fcr<\/h3>\n

Der st\u00e4rkste Punkt der Bef\u00fcrworter ist die \u00dcberpr\u00fcfbarkeit einer Aussage, die sich sonst nicht belegen l\u00e4sst. Wer behauptet, einen Text selbst verfasst zu haben, konnte das bisher weder beweisen noch widerlegen. Eine Markierung macht Transparenz zur Eigenschaft der Infrastruktur, statt sie der Redlichkeit des Einzelnen zu \u00fcberlassen. Ein vielfach zitierter Kommentar bringt die Position auf den Punkt: Der einzige Grund, die Markierung abzulehnen, sei der Wunsch, andere zu t\u00e4uschen.<\/p>\n

Die Einw\u00e4nde: falsch positive Treffer, Urheberschaft, K\u00fcndigungen<\/h3>\n

Die Kritik kommt vor allem von Studierenden, von Journalistinnen und Journalisten, von Autoren und von Programmierern. Ihr erster Einwand betrifft falsch positive Treffer. Wer Claude einsetzt, um einen Absatz umzustellen oder ein Transkript zu k\u00fcrzen, leistet legitime Arbeit und f\u00fcrchtet dennoch, markiert zu werden. Ein von Hand geschriebener und nur sprachlich gegl\u00e4tteter Text kann ein Signal tragen.<\/p>\n

Der zweite Einwand betrifft die Urheberschaft. Ein Programmierer h\u00e4lt dagegen, er habe Anweisungen, Kontext, Entscheidungen und unz\u00e4hlige Verfeinerungen beigetragen, w\u00e4hrend Claude das Werkzeug gewesen sei. Was genau, so seine Frage, beanspruche die Markierung dann f\u00fcr sich?<\/p>\n

In der Kritik taucht immer wieder das Bild des Brandmals auf: ein Zeichen, das dem Text noch lange anhaftet, nachdem er die Plattform verlassen hat. John Gruber formuliert den Vorwurf grunds\u00e4tzlicher und sieht im verborgenen Wasserzeichen eine Entstellung des Schreibens als Handwerk. Hinzu kommt der Vorwurf der Inkonsequenz, dass hier die Ausgabe eines Modells markiert wird, das auf unmarkierten fremden Werken trainiert wurde.<\/p>\n

Der fehlende Detektor<\/h3>\n

Es existiert derzeit kein \u00f6ffentliches Werkzeug, mit dem sich eine Markierung \u00fcberpr\u00fcfen lie\u00dfe. Anthropic stellt eine Erkennungsschnittstelle in Aussicht, ohne sie bereitzustellen. Die Pr\u00fcfung h\u00e4ngt damit vollst\u00e4ndig am Anbieter, der die Markierung selbst gesetzt hat. F\u00fcr alle anderen bleibt der Befund unzug\u00e4nglich: Man kann markiert sein, ohne es selbst feststellen zu k\u00f6nnen. Wer KI-generierten Text erkennen m\u00f6chte, ist deshalb weiterhin auf Klassifikatoren angewiesen, die mit Wahrscheinlichkeiten arbeiten und nichts \u00fcber das eigentliche Signal aussagen. Wie schwer sich der umgekehrte Weg gestaltet, zeigt die Erfahrung mit den Grenzen von Erkennungssoftware f\u00fcr Deepfakes<\/a>, die ebenfalls Wahrscheinlichkeiten liefert statt Gewissheit.<\/p>\n

Dass es dazu kommt, ist kein Versehen. Aaronson, auf dessen Vorschlag das Verfahren zur\u00fcckgeht, nennt unter den Gr\u00fcnden, aus denen OpenAI sein eigenes Werkzeug nie ver\u00f6ffentlicht hat, ausdr\u00fccklich das Zugangsparadox: Ist der Detektor \u00f6ffentlich zug\u00e4nglich, kann jede Person ein Dokument so lange bearbeiten, bis es nicht mehr anschl\u00e4gt; bleibt er geschlossen, muss entschieden werden, wer \u00fcberhaupt pr\u00fcfen darf, etwa Pr\u00fcfungs\u00e4mter oder Redaktionen. Die Asymmetrie zwischen Markieren und Pr\u00fcfen ist somit keine Nachl\u00e4ssigkeit, sondern eine seit Langem bekannte Schwierigkeit des Ansatzes.<\/p>\n

Warum sich jedes Wasserzeichen entfernen l\u00e4sst<\/h2>\n

Jede Markierung, die nachtr\u00e4glich in einen Inhalt eingebracht wird, l\u00e4sst sich auch wieder aus ihm entfernen. Das ist keine Schw\u00e4che der Umsetzung, sondern eine Eigenschaft der Aufgabe, und die Fachliteratur kennt die einschl\u00e4gigen Angriffe seit Jahren. Entsprechend geh\u00f6rt die Frage, wie sich ein KI-Wasserzeichen entfernen l\u00e4sst, seit der Ank\u00fcndigung zu den meistdiskutierten Punkten der Debatte.<\/p>\n

F\u00fcr diese Klasse von Verfahren liegt sogar ein Unm\u00f6glichkeitsbeweis vor. Barak und weitere Fachleute zeigten 2023, dass sich \u00fcber einen Zufallsweg durch die Menge \u00e4quivalenter Dokumente jede Markierung entfernen l\u00e4sst, sofern dabei die Qualit\u00e4t des Textes erhalten bleibt. Die Entfernbarkeit ist demnach kein Umsetzungsfehler von Anthropic, sondern eine bewiesene Grenze der gesamten Verfahrensklasse.<\/p>\n

Die bekannten Angriffe: Umschreiben und R\u00fcck\u00fcbersetzung<\/h3>\n

Zwei Kategorien sind auseinanderzuhalten, und sie trennt vor allem die Frage, ob sich der Erfolg \u00fcberpr\u00fcfen l\u00e4sst. Die erste ist die nachweisbare Entfernung: unsichtbare Zeichen, EXIF- und XMP-Eintr\u00e4ge sowie C2PA-Bl\u00f6cke aus einer Datei zu l\u00f6schen. Solche Elemente sind vorhanden oder eben nicht, das Ergebnis l\u00e4sst sich durch direkten Vergleich kontrollieren.<\/p>\n

Die zweite Kategorie zielt auf das Wasserzeichen im Text selbst und arbeitet statistisch: Ein anderes Modell formuliert den Text neu, verschiebt Wortschatz, Satzgrenzen, Konnektoren und die Reihenfolge der Aussagen, bis das Muster gest\u00f6rt ist. Die beiden Standardangriffe der Literatur sind die Paraphrase und die R\u00fcck\u00fcbersetzung \u00fcber eine Zwischensprache. Nur diese zweite Kategorie greift die eigentliche Markierung an, und nur bei ihr bleibt offen, ob sie funktioniert hat.<\/p>\n

Die \u00f6ffentlichen Entfernungsprojekte und die Grenze, die ihre Autoren selbst einr\u00e4umen<\/h3>\n

Inzwischen sind \u00f6ffentliche Projekte erschienen, die f\u00fcr sich in Anspruch nehmen, Herkunftsmarkierungen mehrerer Anbieter zu entfernen. Bemerkenswert ist weniger ihre Existenz als das, was ihre eigenen Autoren dazuschreiben. Sie sprechen von einem Versuch nach bestem Bem\u00fchen und nicht von einer nachgewiesenen L\u00f6schung. In ihrer Dokumentation steht der entscheidende Satz: Solange die Anbieter keine \u00f6ffentlichen Detektoren und keine Spezifikationen ver\u00f6ffentlichen, kann kein Werkzeug redlich behaupten, dass die offizielle Pr\u00fcfung fehlschlagen wird.<\/p>\n

Dazu kommen die Kosten des Verfahrens. Eine statistische Neuformulierung ebnet Ton und Pr\u00e4zision des Originals ein, und leichte Eingriffe lassen das Signal wom\u00f6glich unangetastet. Wer stark genug umschreibt, um sicherzugehen, hat am Ende einen schlechteren Text. Diese Werkzeuge zielen mithin auf etwas, das sie selbst nicht sehen k\u00f6nnen.<\/p>\n

Die Asymmetrie zwischen Markieren, Pr\u00fcfen und L\u00f6schen<\/h3>\n

Hier liegt der strukturelle Kern des Problems. Wer markiert, wei\u00df, dass die Markierung gesetzt wurde; wer pr\u00fcfen m\u00f6chte, kann es nicht, weil ihm das Werkzeug fehlt; und wer sie entfernen will, erf\u00e4hrt nicht, ob es gelungen ist. Ein System, dessen Ergebnis niemand unabh\u00e4ngig kontrollieren kann, ist kein Beweissystem, sondern eine Erkl\u00e4rung des Anbieters \u00fcber sein eigenes Produkt.<\/p>\n

F\u00fcr Organisationen hat das eine praktische Konsequenz. Wer verwertbare Nachweise braucht, setzt auf die forensische Zertifizierung an der Quelle, weil sie eine belastbare Herkunft liefert statt einer statistischen Wahrscheinlichkeit.<\/p>\n

C2PA-Metadaten und die Fragilit\u00e4t der Dateien<\/h2>\n

Bei Dateien liegt die Herkunftsinformation im Container und nicht im Bild selbst. Damit h\u00e4ngt ihr \u00dcberleben nicht am Inhalt, sondern daran, ob jede Station der Weiterverarbeitung den Container respektiert. Die strukturellen Grenzen des Standards C2PA<\/a> haben wir an anderer Stelle ausf\u00fchrlich behandelt.<\/p>\n

Ein Screenshot l\u00f6scht die Herkunft<\/h3>\n

Ein Screenshot eines Bildes und das Speichern als neue Datei l\u00f6schen das Manifest: Die Herkunftsinformation ist weg, obwohl das Bild f\u00fcr das Auge identisch aussieht. Neukomprimierung, Gr\u00f6\u00dfen\u00e4nderung und Formatkonvertierung wirken genauso. Wenn Provenienzdaten auf diesem Weg verschwinden, bleibt die forensische Zertifizierung des Erfassungsvorgangs das einzige \u00fcberpr\u00fcfbare Element, und genau das ist der Ansatz von TrueScreen. Welche Anforderungen dabei gelten, zeigt unsere \u00dcbersicht dazu, wie ein Screenshot als Beweismittel vor Gericht<\/a> rechtssicher wird.<\/p>\n

Was online tats\u00e4chlich \u00fcberlebt<\/h3>\n

Eine Untersuchung von Imatag stellte bereits 2018 fest, dass bei 80 Prozent der auf Websites hochgeladenen Bilder die Metadaten entfernt worden waren. 2026 liegt der Wert auf den gro\u00dfen sozialen Plattformen faktisch bei 100 Prozent, weil Instagram, X, LinkedIn, TikTok und Facebook Manifeste beim Upload systematisch entfernen. Die RAND Corporation kam im Juni 2025 in ihrer Analyse Overpromising on Digital Provenance and Security<\/em> zu dem Schluss, dass der Erfolg von C2PA von der durchg\u00e4ngigen Konformit\u00e4t aller Beteiligten abh\u00e4ngt, was in einem offenen \u00d6kosystem nicht realistisch ist.<\/p>\n

Durable Credentials und warum sie den Kreis nicht schlie\u00dfen<\/h3>\n

Die Antwort des Standards hei\u00dft Durable Content Credentials. Dabei werden schwache Anker gesetzt, etwa ein unsichtbares Wasserzeichen oder ein Fingerabdruck des Inhalts, \u00fcber die sich eine entfernte Credential wiederfinden l\u00e4sst. Der Kreis schlie\u00dft sich damit nicht, denn die Anker holen genau die Schw\u00e4chen zur\u00fcck, die das Wasserzeichen im Text ohnehin hat, und sie setzen zus\u00e4tzlich ein abfragbares Register sowie die Mitwirkung der Plattformen voraus. Weitere bekannte Grenzen beschreibt die technische Analyse des World Privacy Forum<\/a>: Der Standard bescheinigt die Bearbeitungsgeschichte und nicht den Wahrheitsgehalt, er legt die Identit\u00e4t der Urheber offen, und der Zugang zu den Zertifikaten ist mit wirtschaftlichen H\u00fcrden verbunden.<\/p>\n

Herkunft markieren oder beweisen: unterschiedliche Probleme<\/h2>\n

Markierung und Beweis beantworten unterschiedliche Fragen. Ein Wasserzeichen und eine signierte Credential sagen etwas dar\u00fcber aus, wie ein Inhalt entstanden ist. Ein Beweis sagt etwas dar\u00fcber aus, was dieser Inhalt zeigt und ob er einer Anfechtung standh\u00e4lt. Wer die erste Antwort f\u00fcr die zweite h\u00e4lt, h\u00e4lt ein Etikett f\u00fcr ein Beweismittel. Denselben Gedanken haben wir in der Analyse dazu vertieft, warum die Kennzeichnung von KI-Inhalten keinen Echtheitsbeweis ersetzt<\/a>.<\/p>\n

Was ein Wasserzeichen aussagt und was niemals<\/h3>\n

Beide Verfahren sind konstruktionsbedingt fragil, und ihre Schwachstellen liegen an unterschiedlichen Stellen: Das Wasserzeichen \u00fcbersteht das Kopieren, aber keine Neuformulierung, w\u00e4hrend die Credential die Weitergabe \u00fcbersteht, aber weder einen Screenshot noch den Upload auf eine gro\u00dfe Plattform. Entscheidend ist au\u00dferdem, wer die Markierung anbringt. Sie stammt vom Hersteller des Modells und dient dessen Interesse an der Erf\u00fcllung einer Rechtspflicht, nicht dem Beweisinteresse dessen, der den Inhalt sp\u00e4ter vorlegen muss.<\/p>\n

\n\n\n\n\n\n\n\n\n\n\n
Kriterium<\/th>\nText-Wasserzeichen<\/th>\nC2PA-Credentials<\/th>\nZertifizierung an der Quelle<\/th>\n<\/tr>\n<\/thead>\n
Was es bescheinigt<\/td>\nDass ein Modell an der Wortwahl beteiligt war<\/td>\nWelche Werkzeuge eine Datei erzeugt und bearbeitet haben<\/td>\nWann, wie und in welchem Zustand ein Inhalt erfasst wurde<\/td>\n<\/tr>\n
Was es \u00fcberlebt<\/td>\nKopieren, Einf\u00fcgen, Wechsel des Tr\u00e4gerformats<\/td>\nWeitergabe der unver\u00e4nderten Originaldatei<\/td>\nScreenshot, Neukodierung und Verlust der Ursprungsdatei<\/td>\n<\/tr>\n
Was es l\u00f6scht<\/td>\nVollst\u00e4ndige Neuformulierung, Paraphrase, R\u00fcck\u00fcbersetzung<\/td>\nScreenshot, Neukodierung, Upload auf gro\u00dfe Plattformen<\/td>\nNichts davon, weil der Nachweis au\u00dferhalb der Datei liegt<\/td>\n<\/tr>\n
Wer es anbringt<\/td>\nDer Anbieter des Modells<\/td>\nDas erzeugende oder bearbeitende Werkzeug<\/td>\nDie Person oder Organisation, die den Inhalt erfasst<\/td>\n<\/tr>\n
Wessen Interesse es dient<\/td>\nDer Rechtspflicht des Anbieters<\/td>\nDer Nachvollziehbarkeit der Werkzeugkette<\/td>\nDem Beweisinteresse dessen, der den Inhalt vorlegen muss<\/td>\n<\/tr>\n
Beweiswert vor Gericht<\/td>\nIndiz ohne \u00f6ffentlich pr\u00fcfbare Grundlage<\/td>\nAbh\u00e4ngig davon, ob das Manifest \u00fcberhaupt noch vorhanden ist<\/td>\nNach \u00a7 286 ZPO frei zu w\u00fcrdigen, gest\u00fctzt auf qualifizierten Zeitstempel und Siegel nach eIDAS<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Was es bedeutet, einen Inhalt an der Quelle zu zertifizieren<\/h3>\n

TrueScreen setzt am umgekehrten Problem an: Statt festzustellen, ob ein Inhalt von einem Modell erzeugt wurde, h\u00e4lt die Plattform \u00fcberpr\u00fcfbar fest, wie und wann dieser Inhalt erfasst wurde. Zertifizierung an der Quelle bedeutet, dass die Erfassung selbst zum dokumentierten Vorgang wird. Der Inhalt wird nach forensischer Methodik aufgenommen, seine Integrit\u00e4t wird \u00fcber einen kryptografischen SHA-256-Hash gepr\u00fcft, und \u00fcber die API erh\u00e4lt das Ergebnis ein international anerkanntes qualifiziertes elektronisches Siegel samt qualifiziertem Zeitstempel. TrueScreen stellt selbst keine qualifizierten Zertifikate aus, sondern bindet die offiziellen Siegel und Zeitstempel l\u00fcckenlos in die Beweiskette ein.<\/p>\n

Rechtlich z\u00e4hlt genau dieser Unterschied. Die eIDAS-Verordnung 910\/2014 kn\u00fcpft an qualifizierte Zeitstempel und elektronische Siegel die Vermutung der Integrit\u00e4t und des Zeitpunkts, das Vertrauensdienstegesetz erg\u00e4nzt sie national, und \u00a7 371a ZPO regelt die Beweiskraft elektronischer Dokumente. F\u00fcr Augenscheinsobjekte wie Bildschirmaufnahmen bleibt \u00a7 371 ZPO einschl\u00e4gig, gew\u00fcrdigt wird nach \u00a7 286 ZPO frei. Die Erfassung folgt der forensischen Praxis nach ISO\/IEC 27037, die Verarbeitung personenbezogener Daten bleibt an die DSGVO gebunden.<\/p>\n

Ein Beispiel macht den Unterschied greifbar. Eine Redaktion erh\u00e4lt von einer Quelle ein Textdokument, das angeblich von einem Modell stammt. Ein Erkennungswerkzeug liefert eine Wahrscheinlichkeit, und ein etwaiges Wasserzeichen ist bei der \u00dcbersetzung aus dem Englischen verschwunden. \u00dcberpr\u00fcfbar bleibt nicht die Herkunft des Textes, sondern der Erfassungsvorgang: wann das Dokument eingegangen ist, aus welcher Ansicht es stammt und in welchem Zustand es vorlag. In einem Verfahren ist das der einzige belastbare Ankn\u00fcpfungspunkt, und genau daf\u00fcr gibt es die App zur Zertifizierung<\/a> und die Plattform<\/a>.<\/p>\n

Vorbereitung auf eine Welt, in der sich Herkunft nicht nachtr\u00e4glich rekonstruieren l\u00e4sst<\/h2>\n

Die Herkunft eines Inhalts l\u00e4sst sich nicht im Nachhinein rekonstruieren. Entweder sie wird in dem Moment festgehalten, in dem der Inhalt entsteht oder erfasst wird, oder die Information ist verloren, und keine sp\u00e4tere Analyse gibt sie zur\u00fcck. Diese Einsicht verschiebt die Aufgabe von der Pr\u00fcfung zur Vorsorge.<\/p>\n

Die Entscheidungen, die jetzt anstehen<\/h3>\n

Daraus folgt, dass die Auswahl vorab getroffen werden muss. Wer Inhalte produziert, die sp\u00e4ter einer Anfechtung standhalten sollen, entscheidet vorher, welche davon gesch\u00fctzt werden, und nicht erst, wenn der Streit da ist. Die Entscheidung h\u00e4ngt an wenigen Fragen: Welche Inhalte k\u00f6nnten in einem Verfahren, einer Pr\u00fcfung oder einer Auseinandersetzung mit einem Vertragspartner relevant werden, wer erfasst sie, und in welchem Moment?<\/p>\n

F\u00fcr interne Regeln bedeutet das eine klare Trennung. Die Kennzeichnungspflicht nach der KI-Verordnung ist eine Konformit\u00e4tsaufgabe und wird vom Anbieter des Modells erf\u00fcllt. Die Beweisvorsorge ist eine eigene Aufgabe und bleibt bei der Organisation, die den Inhalt vorlegen muss. Die Zertifizierung an der Quelle, wie TrueScreen sie bereitstellt, liefert daf\u00fcr einen \u00fcberpr\u00fcfbaren Bezugspunkt ab dem Moment der Erfassung. Beide Aufgaben nebeneinander zu f\u00fchren, ist weniger aufwendig als der Versuch, aus einem Etikett nachtr\u00e4glich ein Beweismittel zu machen.<\/p>\n

Quellen<\/h2>\n