Das Textwasserzeichen in Claude: Wie es funktioniert – und warum wir das alles schon einmal erlebt haben

Ein Fachartikel von Ulrich B. Boddenberg · boddenberg.de · Stand: 23. August 2026

Künftige Claude-Modelle erzeugen Text, der eine unsichtbare Signatur trägt. Kein verstecktes Zeichen, kein Stempel, kein Vermerk in Metadaten – die Signatur steckt in der Wortwahl selbst. Anthropic hat im August 2026 erläutert, wie dieses Wasserzeichen funktioniert, und die Antwort ist technisch eleganter, als das Wort „Wasserzeichen“ vermuten lässt. In diesem Artikel schauen wir uns die Technik im Detail an: was da markiert wird, wie eine Prüfung abläuft, wo das Verfahren an Grenzen stößt. Und dann ziehen wir eine Linie, die auf den ersten Blick weit hergeholt wirkt und auf den zweiten zwingend ist: ins Jahr 1887, zum Merchandise Marks Act – dem Gesetz, das „Made in Germany“ als Warnhinweis erfand und damit versehentlich ein Gütesiegel schuf.

Worum es geht: Kennzeichnungspflicht per Gesetz

Der Auslöser ist regulatorisch, nicht technisch. Mit dem EU AI Act gilt seit dem 2. August 2026 eine Pflicht für Anbieter, KI-generierte Inhalte zu markieren. Im Juli 2026 haben Anthropic und weitere große Modellanbieter – insgesamt rund 190 Unterzeichner – den EU Code of Practice zur Transparenz KI-generierter Inhalte unterschrieben. Die Konsequenz: Künftige Claude-Modelle liefern Text mit Wasserzeichen aus, und die anderen großen Anbieter implementieren eigene Wasserzeichen mit eigenen Schlüsseln.

Zwei Details sind bemerkenswert. Erstens gilt das Wasserzeichen bei Anthropic global, nicht nur in der EU – schlicht deshalb, weil es derzeit keinen sauberen Weg gibt, die Markierung verlässlich nach Region abzugrenzen. Zweitens gibt es für Modelle, die vor dem Stichtag erschienen sind, eine Übergangsfrist; Anthropic hat angekündigt, das Wasserzeichen in den kommenden Monaten auch für ältere Modelle nachzurüsten. Wer also heute mit Claude arbeitet, arbeitet in absehbarer Zeit mit markiertem Text – ob er will oder nicht. Umso mehr lohnt der Blick darauf, was diese Markierung eigentlich ist. Und was nicht.

Die Technik: ein Wasserzeichen aus Wortwahl

Gleichwertige Alternativen als Träger

Sprachmodelle erzeugen Text Wort für Wort. Bei jedem Schritt steht eine Liste von Kandidaten bereit, aus der das Modell das nächste Wort wählt. Nehmen Sie den Satz „Das Wetter heute war kalt und …“ – dass es „zuckrig“ weitergeht, ist praktisch ausgeschlossen. „Bedeckt“, „grau“ oder „trüb“ dagegen sind allesamt plausibel, und für den Sinn des Satzes ist es herzlich egal, welches davon gewählt wird. In solchen Fällen entscheidet normalerweise schlicht der Zufall. Und genau diese Momente – die es in einem längeren Text zu Hunderten gibt – sind der Träger des Wasserzeichens.

Der Trick: Zufall mit Schlüssel

Das Wasserzeichen ändert nicht, welche Wörter zur Wahl stehen. Es ändert, woher der Zufall kommt, der zwischen ihnen entscheidet. Statt eines beliebigen Zufallsgenerators wird die Auswahl aus einem geheimen Schlüssel und den unmittelbar vorangehenden Wörtern abgeleitet. Für den Leser bleibt das Ergebnis Zufall: mal „bedeckt“, mal „grau“, je nach Kontext. Wer aber den Schlüssel besitzt, kann nachträglich prüfen, ob die Kette der getroffenen Wortentscheidungen zu genau diesem Schlüssel passt – und daraus eine Wahrscheinlichkeit ableiten, dass Claude an dem Text beteiligt war. Wichtig: Das Modell wird dabei nie zu einem Wort gedrängt, das es sonst nicht gewählt hätte. Kein plötzliches „nubilös“, wo „bedeckt“ hingehört – die Auswahl bleibt im Kreis der ohnehin plausiblen Kandidaten.

Anthropic illustriert das mit einem Brettspiel-Bild, das ich in eigenen Worten wiedergebe, weil es wirklich gut trifft: Stellen Sie sich vor, Sie ersetzen beim Spielen die Würfelwürfe durch eine Ziffernfolge aus den Nachkommastellen von Pi, beginnend an einer zufälligen Stelle. Für die Spieler ändert sich nichts – die Züge sind praktisch genauso zufällig, das Spiel verläuft, wie es eben verläuft. Aber wer hinterher die komplette Zugfolge sieht und Pi kennt, kann feststellen: Diese Partie wurde sehr wahrscheinlich mit Pi „gewürfelt“. Das Spiel trägt ein Wasserzeichen, ohne dass sich ein einziger Zug anders angefühlt hätte.

Skizze 1: Das Funktionsprinzip – bei gleichwertigen Wortalternativen wird die Zufallsquelle ausgetauscht. Der Text liest sich identisch; nur wer den Schlüssel hat, kann die Beteiligung nachprüfen.

Herkunft des Verfahrens – und was es kostet: nichts

Technisch ist Claudes Wasserzeichen eine Variante von SynthID-Text, das Google DeepMind 2024 in Nature vorgestellt hat. Die Verfahrensfamilie geht auf einen Vorschlag von Scott Aaronson aus dem Jahr 2022 zurück; alle Vertreter teilen dasselbe Grundprinzip der ausgetauschten Zufallsquelle. Zur Qualitätsfrage gibt es belastbare Daten: DeepMind hat das Verfahren an einem Teil des Gemini-Live-Verkehrs getestet und in den Nutzerbewertungen keine statistisch signifikanten Unterschiede zur unmarkierten Variante gefunden; auch im direkten Seite-an-Seite-Vergleich durch menschliche Prüfer fiel kein Qualitätsunterschied auf. Anthropic berichtet aus internen Tests dasselbe Bild.

Ebenso wichtig ist, was das Wasserzeichen alles nicht tut: Es fügt dem Text nichts hinzu – keine unsichtbaren Unicode-Zeichen, keine versteckten Markierungen, keine zusätzlichen Tokens. Es macht die Modelle weder langsamer noch teurer. Und es transportiert keinerlei identifizierende Information: Im Wasserzeichen steckt nichts, was auf eine Person, eine Organisation oder einen konkreten Chat zurückführen würde. Markiert wird „Claude war beteiligt“ – nicht „dieser Kunde hat das erzeugt“.

Was das Wasserzeichen kann – und was nicht

Eine Wahrscheinlichkeit, kein Stempel

Die Prüfung mit dem Schlüssel beantwortet exakt eine Frage: Wie wahrscheinlich ist es, dass Claude an diesem Text mitgeschrieben hat? Mehr nicht. Sie beweist nicht, dass ein Text von einem Menschen stammt, und sie erkennt keine anderen KI-Modelle – die haben, sofern sie überhaupt markieren, eigene Schlüssel und teils ganz andere Verfahren. Und wie jede statistische Aussage braucht sie Material: Je länger der Text, desto mehr Wortentscheidungen liegen vor, desto belastbarer die Aussage. Bei sehr kurzen Passagen gibt es schlicht zu wenig zu prüfen.

Wo das Signal verhungert

Das Wasserzeichen lebt von Spielraum – von Stellen, an denen mehrere Wörter gleich gut passen. Daraus folgen seine Grenzen ganz natürlich. In faktenlastigen Passagen gibt es oft nur eine richtige Fortsetzung: Nach „Isaac Newtons berühmtestes Werk heißt Principia …“ muss „Mathematica“ kommen, da ist nichts zu markieren. Dasselbe gilt für Programmcode, der nun einmal exakt sein muss – Spielraum gibt es dort allenfalls in Kommentaren und frei wählbaren Bezeichnungen, auf den eigentlichen Code hat das Wasserzeichen praktisch keinen Einfluss. Und wenn Claude einen von Menschen geschriebenen Text lediglich Korrektur liest, stammen fast alle Wörter weiterhin vom Menschen; die wenigen Korrekturen bieten dem Wasserzeichen kaum Angriffsfläche. Übersetzungen sind der Gegenpol: Dort wählt Claude jedes einzelne Wort – volles Signal.

Skizze 2: Signalstärke nach Textart. Frei formulierter Fließtext und Übersetzungen tragen ein starkes Wasserzeichen; Faktenpassagen, Code und Korrektorat bieten kaum Angriffsfläche.

Lässt es sich umgehen? Teilweise – und genau das ist interessant

Leichtes Redigieren entfernt das Wasserzeichen in aller Regel nicht – dafür stecken zu viele markierte Entscheidungen im Text. Wer es vollständig loswerden will, muss den Text so gründlich umschreiben, dass am Ende jedes Wort ersetzt ist. Nur: Dann ist es auch kein KI-generierter Text mehr, sondern ein selbst geschriebener. Das Schlupfloch schließt sich gewissermaßen von selbst – wer hindurch will, muss die Arbeit leisten, die er sich sparen wollte. Merken Sie sich diesen Gedanken; er kommt im 1887-Kapitel wieder.

Und Dateien? C2PA statt Wasserzeichen

Für Dateien geht Anthropic einen anderen Weg. Erzeugt oder verarbeitet Claude eine Datei eines unterstützten Typs – etwa PNG, JPG oder SVG –, wird ein kryptografisch signierter Herkunftsvermerk in die Metadaten geschrieben: ein Content Credential nach dem offenen Industriestandard C2PA, demselben Standard, den Kamerahersteller und Bildbearbeitungssoftware nutzen, um die Herkunft von Fotos zu dokumentieren. Der Unterschied zum Textwasserzeichen ist grundsätzlich: Am Dateiinhalt selbst ändert sich nichts, es wird nichts eingebettet oder versteckt – der Vermerk liegt offen in den Metadaten und kann von jedem C2PA-fähigen Werkzeug gelesen werden. Auch hier gilt: Der Vermerk sagt „mit Claude erstellt oder verarbeitet“ und enthält keine identifizierenden Angaben zum Nutzer. Anthropic hat zudem ein eigenes Prüfwerkzeug angekündigt, in das man eine Datei einfach hineinziehen kann.

Abgrenzung: Wasserzeichen vs. KI-Detektoren

Wasserzeichenprüfung und die bekannten KI-Detektoren wie Pangram werden gern in einen Topf geworfen – dabei arbeiten sie fundamental verschieden. Detektoren haben keinen Schlüssel. Sie raten anhand von Stilmustern: auffällige Lieblingskonstruktionen, verdächtig häufige Wörter, die typischen Verlegenheitsfloskeln maschineller Prosa. Das funktioniert erstaunlich oft, bleibt aber Mustererkennung – mit allen Fehlerquellen, die Mustererkennung nun einmal hat, in beide Richtungen. Die Wasserzeichenprüfung dagegen ist Mathematik mit Schlüssel: Sie prüft eine konkrete, absichtlich hinterlegte Signatur und liefert eine sauber quantifizierbare Wahrscheinlichkeit. Dafür ist sie auf genau ein Modell beschränkt. Anthropic hat angekündigt, eine Detection-API bereitzustellen, über die sich Texte auf das Claude-Wasserzeichen prüfen lassen; die Details der Umsetzung werden derzeit ausgearbeitet.

1887, zweiter Aufguss: der Merchandise Marks Act kehrt zurück

Und damit zur Geschichte, die sich gerade wiederholt. Ende des 19. Jahrhunderts wollte das britische Parlament die heimische Industrie vor deutscher Billigkonkurrenz schützen und verordnete mit dem Merchandise Marks Act von 1887 eine Herkunftskennzeichnung für Importware. „Made in Germany“ war als Brandmarke gedacht, als Warnung vor minderwertiger Nachahmerware. Die deutsche Industrie hätte jammern, tricksen oder Etiketten abkratzen können. Sie tat etwas anderes: Sie wurde besser – und binnen einer Generation stand der verordnete Warnhinweis weltweit für Präzision und Verlässlichkeit. Wie diese Geschichte im Detail verlief und warum ich meine eigene KI-Kennzeichnung genau deshalb offen trage, habe ich an anderer Stelle ausführlich beschrieben.

Jetzt schauen Sie sich an, was 2026 passiert: Wieder verordnet ein Gesetzgeber eine Herkunftskennzeichnung. Wieder trifft sie eine Kategorie von Erzeugnissen, die pauschal unter Minderwertigkeitsverdacht steht – diesmal nicht „aus Deutschland“, sondern „aus der Maschine“. Der Unterschied liegt in der Umsetzung, und der hat es in sich: 1887 klebte das Etikett auf der Kiste. 2026 steckt es in der Statistik der Wortwahl selbst. Ein Etikett konnte man abkratzen; das Wasserzeichen kann man nur wegschleifen, indem man den Text vollständig umschreibt – womit man die Arbeit dann eben doch selbst gemacht hat. Die Ausweichbewegung, die sich gerade als eigene kleine Industrie etabliert – „Humanizer“-Werkzeuge, die KI-Text auf unauffällig trimmen –, ist nichts anderes als das Etiketten-Abkratzen von 2026. Und sie verrät dasselbe wie damals: Wer die Herkunft verbergen muss, hat sein Qualitätsproblem woanders.

Die Wahl ist also exakt dieselbe wie vor knapp 140 Jahren: verstecken oder besser werden. Und wie damals wird nicht die Kennzeichnung selbst über das Image entscheiden, sondern die Qualität derer, die sie offen tragen.

Skizze 3: Die Parallele von 1887 und 2026 – und die zwei Fragen, von denen das Wasserzeichen nur die erste beantwortet. Zum Gütesiegel wird die Kennzeichnung erst durch nachweisbare Qualität.

Kennzeichnung ist Herkunft – Qualität ist Prozess

Bevor wir das zusammensetzen, ein Gedanke, der die Perspektive geraderückt. Unter jeder Antwort eines KI-Assistenten steht heute ein Warnhinweis – bei Claude etwa: „Claude ist eine KI und kann Fehler machen. Bitte überprüfe die Antworten.“ Ein ehrlicher Satz – und ein bemerkenswerter, denn unter menschlicher Arbeit stand er noch nie. Dabei gehörte er dorthin genauso: Uli ist ein Mensch und macht auf jeden Fall Fehler. Jeder Fachautor, jeder Berater, jeder Gutachter tut das – es schreibt nur niemand dazu.

Mit dem Wasserzeichen wird diese Schieflage noch besser sichtbar. Die Maschine trägt künftig beides: den Warnhinweis unter der Antwort und den maschinenlesbaren Herkunftsnachweis im Text. Der Mensch trägt weiterhin keines von beidem – obwohl seine Fehlerquote keineswegs bei null liegt, sie wird nur nirgends deklariert. Wer daraus ableitet, Menschentext sei die sichere Wahl, verwechselt das Etikett mit dem Inhalt: Geprüft werden muss beides. Und genau deshalb ist die richtige Reaktion auf das Wasserzeichen nicht die Frage „Wie werde ich es los?“, sondern die Frage „Wie sieht mein Prüfprozess aus?“

Damit sind wir beim Kern. Das Wasserzeichen beantwortet die Frage „Woher stammt der Text?“ – zuverlässig, elegant, maschinenlesbar. Die Frage „Taugt der Text etwas?“ beantwortet es nicht, und es behauptet das auch gar nicht. Qualität ist keine Eigenschaft der Herkunft, weder der menschlichen noch der maschinellen – Qualität ist eine Eigenschaft des Prozesses: Wurde recherchiert, und zwar gegen Primärquellen? Wurde gegengelesen, und zwar von Instanzen, die einander misstrauen? Steht am Ende ein benennbarer Fachmann, der jedes Wort geprüft hat und dafür einsteht? Wie so ein Prozess konkret aussieht – bei mir mit mehreren KI-Systemen, die sich wechselseitig kontrollieren, und der Hausregel, dass kein Buchstabe ungelesen das Haus verlässt –, habe ich im Artikel über punktuellen KI-Einsatz beschrieben.

Vor diesem Hintergrund ist meine Einordnung des Wasserzeichens denkbar unaufgeregt: Für alle, die sauber arbeiten und ihren KI-Einsatz ohnehin offen kennzeichnen, ändert sich – nichts. Das Wasserzeichen bestätigt maschinenlesbar, was bei mir längst an jedem Seitenfuß steht. Es ist keine Drohung, sondern eine Beglaubigung. Nervös werden muss nur, wer bislang von der Unsichtbarkeit lebte: die Content-Fabriken, die ungeprüfte Massenware als Handarbeit ausgeben. Für die wird die Luft dünner, und das ist auch gut so – denn genau diese Ware ist es, die dem Etikett „KI-generiert“ seinen schlechten Ruf eingebrockt hat. Man könnte sagen: Das Wasserzeichen sortiert den Markt. Es trennt die, die zu ihrer Arbeitsweise stehen können, von denen, die es nicht können. 1887 hat diese Sortierung eine Generation gedauert. Ich vermute, diesmal geht es schneller.

Was heißt das für Unternehmen?

Zum Schluss der praktische Teil, denn die Frage kommt in Beratungsgesprächen garantiert: „Müssen wir uns jetzt Sorgen machen?“ Die kurze Antwort: Sorgen nein, Gedanken ja. Sorgen nicht, weil das Wasserzeichen keinerlei Personenbezug hat – niemand kann aus einem markierten Text ablesen, welches Unternehmen oder welcher Mitarbeiter ihn erzeugt hat. Gedanken schon, weil mit der angekündigten Detection-API die Herkunftsfrage künftig jeder stellen kann: Kunden, Bewerber, Journalisten, Wettbewerber. Und dann entscheidet nicht die Beteiligung von KI über die Blamage, sondern das Leugnen. Peinlich ist 2026 nicht „mit KI erstellt“ – peinlich ist „mit KI erstellt, ungeprüft veröffentlicht und auf Nachfrage abgestritten“.

Konkret heißt das: Verschaffen Sie sich zunächst einen Überblick, wo in Ihrem Haus überhaupt KI-Text entsteht, der das Haus verlässt – Angebote, Gutachten, Pressetexte, Stellenausschreibungen, Kundenkommunikation. In den meisten Unternehmen ist diese Liste deutlich länger, als das Management ahnt, weil die Belegschaft längst Werkzeuge nutzt, nach denen niemand gefragt hat. Legen Sie dann fest, wie mit dieser Herkunft umgegangen wird: Wer prüft, wer gibt frei, wer verantwortet – und wird gekennzeichnet oder nicht? Meine Empfehlung kennen Sie: kennzeichnen, und zwar bevor es jemand anderes für Sie tut. Ein Unternehmen, das seinen KI-Einsatz offen deklariert und einen Prüfprozess vorweisen kann, hat von keiner Detection-API der Welt etwas zu befürchten.

Häufige Fragen zum Claude-Textwasserzeichen

Sieht oder spürt man dem Text das Wasserzeichen an?

Nein. Es werden keine Zeichen eingefügt und keine ungewöhnlichen Wörter erzwungen; die Auswahl erfolgt weiterhin unter den ohnehin plausiblen Kandidaten. Sowohl DeepMinds Feldtest mit Live-Verkehr als auch direkte Vergleiche durch menschliche Prüfer fanden keinen erkennbaren Qualitätsunterschied zwischen markiertem und unmarkiertem Text.

Kann das Wasserzeichen auf mich oder mein Unternehmen zurückgeführt werden?

Nein. Weder im Wasserzeichen noch im Schlüssel steckt irgendeine Information über Nutzer, Organisation oder Chatinhalte. Die Prüfung kann ausschließlich feststellen, dass Claude wahrscheinlich beteiligt war – von wem der Text in Auftrag gegeben wurde, bleibt prinzipbedingt unbekannt.

Wird Claude dadurch langsamer oder teurer?

Nein. Das Verfahren erzeugt keine zusätzlichen Tokens und hat vernachlässigbaren Einfluss auf die Geschwindigkeit. An den Kosten ändert sich nichts.

Gilt das Wasserzeichen auch für Programmcode?

Praktisch kaum. Code muss exakt sein – wo es keine gleichwertigen Alternativen gibt, wird auch nichts markiert. Spielraum besteht allenfalls in Kommentaren und frei wählbaren Formulierungen; auf den eigentlichen Code hat das Wasserzeichen definitionsgemäß vernachlässigbaren Einfluss.

Was ist mit Texten, die Claude nur Korrektur gelesen hat?

Dort greift das Wasserzeichen kaum, denn es haftet nur an Wörtern, die Claude selbst gewählt hat. Bei einem lediglich korrigierten Menschentext stammen fast alle Wörter weiterhin vom Menschen – die wenigen Korrekturen reichen je nach Umfang nicht aus, um eine Beteiligung nachweisbar zu machen. Übersetzungen sind das Gegenteil: volles Wasserzeichen, weil jedes Wort von Claude gewählt wird.

Betrifft das auch ältere Claude-Modelle?

Für Modelle, die vor dem 2. August 2026 erschienen sind, sieht die EU-Regelung eine Übergangsfrist vor. Anthropic hat angekündigt, das Wasserzeichen in den kommenden Monaten auch für diese Modelle auszurollen.

Wie kann ich prüfen, ob ein Text von Claude stammt?

Anthropic hat eine Detection-API angekündigt; die Details der Umsetzung werden derzeit ausgearbeitet. Für Dateien wie PNG, JPG oder SVG kommt zusätzlich ein Prüfwerkzeug für die C2PA-Herkunftsvermerke – die lassen sich aber schon heute mit jedem C2PA-fähigen Tool auslesen.