Unsichtbare Wasserzeichen für KI-Inhalte erklärt

Anthropic hat mit der Ankündigung unsichtbarer Wasserzeichen für Texte bei seinen Claude-Modellen für Aufsehen gesorgt. Schaust Du genauer hin, wird aber klar: Auch andere KI-Anbieter tun dasselbe oder arbeiten an ähnlichen Funktionen. Ein Grund dafür ist der regulatorische Druck. Der EU AI Act ist ein prominentes Beispiel, das die Unternehmen dazu zwingt, KI-generierte Inhalte erkennbar zu machen. Weitere Gesetze andernorts gehen in dieselbe Richtung.

In diesem Artikel gebe ich Dir einen Überblick über den aktuellen Stand der Dinge. Du erfährst, was eigentlich als echtes Wasserzeichen zählt, wie und wo solche Funktionen zu finden sind, wie Du Mediendateien auf KI-Nutzung prüfen kannst und was das alles für Deinen Content-Alltag bedeutet.

Warum jetzt?

Seit dem 2. August 2026 sind alle großen KI-Anbieter, darunter Anthropic, Google, OpenAI, Meta, Microsoft und Mistral, nach dem EU AI Act gesetzlich verpflichtet, ihre KI-generierten Ausgaben zu kennzeichnen. Ähnliche Gesetze gelten auch in Kalifornien und China.

Was diese Gesetze verlangen und wen sie betreffen, unterscheidet sich im Detail. Die Richtung ist aber klar: KI-generierte Inhalte sollen erkennbar sein.

Theoretisch ist das der Moment, in dem unsichtbare Wasserzeichen zum Standard werden sollten. In der Praxis funktioniert aber noch nicht viel.

Kein aktuelles Claude-Modell versieht seinen Output mit einem Text-Wasserzeichen, trotz der vieldiskutierten Ankündigung. Öffentlich zugängliche Prüftools gibt es zudem kaum, und wo es sie gibt, decken sie nur einen kleinen Teil dessen ab, was im Umlauf ist. Kurz gesagt: Die gesetzliche Pflicht zur Kennzeichnung von KI-Inhalten ist zwar da, die Umsetzung und erst recht die Erkennung aber hinken hinterher.

Das hat direkte Auswirkungen auf Deine Arbeit. Fragt Dich ein Kunde, eine Redaktion oder eine Leserin, ob ein Text von einer KI stammt, lautet die ehrliche Antwort heute meist: Das lässt sich derzeit weder beweisen noch widerlegen.

Folgend zeige ich Dir, was schon läuft, was noch reines Versprechen ist und was das für Dein Redigieren, die Kennzeichnung der Inhalte und die Verteidigung Deiner eigenen Arbeit bedeutet. Der erste Schritt dahin ist eine wichtige Unterscheidung: Es gibt nicht „das eine“ KI-Wasserzeichen. Es gibt mindestens drei.

Nicht alle „Wasserzeichen“ sind gleich

Als „KI-Wasserzeichen“ werden oftmals drei verschiedene Techniken bezeichnet, die sich in mehreren Punkten unterscheiden:

In-Content-Wasserzeichen sind direkt in den generierten Inhalt selbst eingebaut. Für Menschen sind sie unsichtbar. Ein Algorithmus aber, der weiß, wonach er suchen muss, kann sie erkennen. So funktioniert das künftig bei Claude und außerdem bei Googles SynthID-Text, SynthID-Image und Metas Seal-Tools. Sie verschieben Pixelwerte oder Wortwahl nach einem Muster, das ein passender Detektor lesen kann. Weil die Markierung im Inhalt selbst steckt, übersteht sie meist die normale Handhabung wie einen Screenshot oder ein erneutes Abspeichern, zumindest bei Bildern und Audio. Text ist das schwächste Beispiel. Die Gründe erkläre ich weiter unten.

C2PA-Metadaten, gegenüber der Allgemeinheit als „Content Credentials“ vermarktet, funktionieren anders: Es ist ein signierten Eintrag, der an eine Datei angehängt wird. Er hält fest, welches Tool sie wann erstellt oder bearbeitet hat. Es ist der einzige wirklich offene, herstellerübergreifende Standard in diesem Bereich, mittlerweile sogar ein ISO-Standard. Seine Schwäche: Der Eintrag steckt im Container der Datei, nicht im Inhalt selbst. Er ist also weg, sobald eine Datei erneut gespeichert, konvertiert oder auf eine Plattform hochgeladen wird, die ihn entfernt.

Heuristische KI-Text-Detektoren sind Tools wie GPTZero, Turnitin und Pangram. Sie lesen kein Wasserzeichen. Stattdessen erkennen sie Muster im Schreibstil: Satzrhythmus, Wortwahl, die statistische Form KI-generierter Prosa. Das macht sie zu einer ganz anderen, und deutlich unzuverlässigeren, Technologie als die beiden oben genannten. Es hat sich wiederholt gezeigt, dass diese KI-Detektoren nicht vertrauenswürdig sind.

Claudes Wasserzeichen

Ein prominentes Beispiel für einen KI-Anbieter, der aktuell Wasserzeichen einführt, ist nun also Anthropic. Das Unternehmen hat seine Pläne im August bestätigt und erläutert. Wichtig zu wissen: Noch ist nichts live. Es greift erst bei Modellen, die am oder nach dem 2. August 2026 eingeführt wurden. Die Unterstützung älterer Modelle ist in Arbeit, ein Termin steht aber noch nicht fest.

Der Mechanismus selbst ist einfach erklärt. Claude erzeugt Text Wort für Wort, und immer wieder stehen dabei mehrere nahezu gleichwertige Optionen zur Wahl. Statt zufällig zu entscheiden, nutzt das Wasserzeichen einen geheimen Schlüssel. So entsteht ein statistisches Muster, das für menschliche Leser unsichtbar bleibt, aber von allen ausgelesen werden kann, die den Schlüssel kennen. Hier erfährst Du mehr darüber, wie Claudes Wasserzeichen funktioniert.

Bei Bildern, SVGs und anderen Dateien, die Claude erzeugt, sieht der Ansatz anders aus: Statt die Datei selbst zu verändern, hängt Anthropic signierte C2PA-Metadaten an, die festhalten, dass Claude sie erstellt hat.

Anthropic zufolge hat das Text-Wasserzeichen keine messbaren Auswirkungen auf die Qualität, erzeugt weder zusätzliche Tokens noch Kosten und sorgt nur für kleine Verzögerungen. Das Unternehmen beruft sich dabei auf dieselben Studien, die Google zu SynthID-Text veröffentlicht hat.

Für Redakteurinnen und Autoren zählt vor allem ein Detail: Das Wasserzeichen erfasst nur Wörter, die Claude tatsächlich erzeugt hat. Lässt Du Claude einen selbst geschriebenen Text Korrektur lesen oder leicht überarbeiten, stammt der Großteil der Wörter weiterhin von Dir, sodass für das Wasserzeichen kaum etwas übrig bleibt. Eine vollständige Übersetzung dagegen trägt das Wasserzeichen komplett, weil hier jedes Wort Claudes Wahl ist.

Abschalten lässt sich das Ganze nicht. Es gilt außerdem weltweit, weil es laut Anthropic keine verlässliche Möglichkeit gibt, die Wasserzeichen-Funktion auf einzelne Regionen zu begrenzen.

Die Wasserzeichen der anderen

Anthropic hat zwar die meiste Aufmerksamkeit abbekommen (und einige wütende Kommentare), doch die Selbstverpflichtung nach dem Code of Practice der EU ist fast universell: Bis Ende Juli 2026 hatten rund 190 Organisationen unterschrieben. Was jedes Unternehmen tatsächlich umgesetzt hat, steht auf einem anderen Blatt. Auffällig: Bilder sind weitgehend abgedeckt, Text so gut wie nie.

• Google / SynthID: Das größte Beispiel in dieser Gruppe. Hinter diesem einen Namen stecken vier verschiedene Mechanismen für Text, Bild, Audio und Video. Die Text-Bibliothek ist Open Source, der Rest ist proprietär. Google berichtete, bis Mitte 2026 mehr als 100 Milliarden Bilder und Videoframes markiert zu haben, zehnmal so viel wie im Jahr zuvor.
• OpenAI: Seit Mai 2026 bei Bildern im Einsatz. Jedes Bild aus ChatGPT, der API und Codex trägt sowohl ein SynthID-Wasserzeichen als auch ein C2PA-Manifest. Die Lücke ist Text: OpenAI hat sich zur Kennzeichnung von Text verpflichtet, aber noch nichts ausgeliefert.
• Meta: Auf dem Papier am offensten, in der Praxis am wenigsten dokumentiert. Die Forschungsabteilung veröffentlicht eine ungewöhnlich vollständige Open-Source-Suite für Wasserzeichen bei Audio, Video und Bildern, meist unter freizügigen Lizenzen. Die im Juli 2026 gestartete Funktion Content Seal aber nutzt Technik, die weder mit SynthID noch mit C2PA kompatibel ist.
• Adobe und Microsoft: Keines der beiden Unternehmen setzt auf ein In-Content-Wasserzeichen. Stattdessen nutzen beide C2PA. Adobe hat die tiefste Integration aller Anbieter und bettet die Content Credentials standardmäßig in Photoshop, Lightroom und Firefly ein. Microsoft hat sie in Copilot, Designer und Bing Image Creator integriert, M365-Dokumente ziehen langsam nach.
• Die Nachzügler: Midjourney hat bislang gar kein Wasserzeichen, weder SynthID noch C2PA-Metadaten, und gerät damit gleich mit mehreren Gesetzen in Konflikt: mit dem oben behandelten EU AI Act und mit Kaliforniens SB 942, einem parallelen Gesetz, das eine vergleichbare maschinenlesbare Kennzeichnung für Bilder, Audio und Video verlangt. Es wird seit dem 2. August 2026 mit täglichen Bußgeldern durchgesetzt. Midjourney hat sich bislang nicht öffentlich dazu geäußert, wie es die Gesetze erfüllen will. Stability AI wiederum hat den EU Code of Practice unterschrieben, aber noch kein bestätigtes In-Content-Wasserzeichen für die eigenen Outputs ausgeliefert.
  

Wie prüfst Du auf Wasserzeichen?

Eine weitere Herausforderung: Selbst wenn unsichtbare Wasserzeichen vorhanden sind, ist es für Normalsterbliche nicht einfach, sie zu finden. Ein kurzer Überblick:

• Anthropic / Claude: Öffentlich existiert bislang nichts. Ein Anthropic-Ingenieur sagte Mitte August, eine Self-Service-Erkennungs-API sei in Arbeit, nannte aber keinen Termin. Selbst wenn bald ein Claude-Modell mit Wasserzeichen kommt, gibt es also außerhalb von Anthropic noch keinen Detektor.
• Google / SynthID: Ein zugangsbeschränktes Portal namens SynthID Detector, über eine Warteliste zugänglich und vor allem für Journalistinnen und Forscher reserviert. Der Code für die Text-Wasserzeichen ist Open Source, Du kannst ihn also selbst ausführen, aber nur für Inhalte, die Du mit Deinem eigenen Schlüssel markiert hast. Deshalb kannst Du Inhalte anderer damit nicht prüfen. Das ist also, diplomatisch gesagt, wenig nützlich.
• OpenAI: Unter openai.com/verify gibt es ein öffentliches Prüftool, das aber nur OpenAIs eigene Bilder prüft. Da ChatGPT noch kein Wasserzeichen für Text hat, gibt es auch kein entsprechendes Tool.
• Meta: Kein gehostetes Portal vorhanden. Die Seal-Tools sind Open Source, sodass technisch versierte Personen einen Detektor selbst hosten können, aber es gibt kein Angebot für normale Nutzerinnen und Nutzer, um einfach eine Datei hochzuladen.
• C2PA (die herstellerübergreifende Ebene): Jedes C2PA-fähige Tool, etwa contentcredentials.org/verify, kann ein Manifest auslesen, sofern es noch vorhanden ist. Das kommt einer universellen Prüfung am nächsten, ihre größte Einschränkung habe ich bereits oben beschrieben: Die Metadaten können bereits verschwunden sein, bevor Du die Datei überhaupt in die Hände bekommst.

Einen herstellerübergreifenden Wasserzeichen-Detektor gibt es nicht. Jeder Anbieter nutzt seine eigene Methode und seinen eigenen privaten Schlüssel. Googles Tool kann Anthropics Markierung also nicht lesen, und OpenAIs Prüftool erkennt nur die eigenen Outputs.

Die meisten Menschen greifen heute deshalb auf einen heuristischen KI-Text-Detektor wie GPTZero oder Turnitin zurück. Die aber sind, wie oben bereits erwähnt, eine deutlich unzuverlässigere Option.

Wie vertrauenswürdig sind Wasserzeichen?

Aber selbst wenn ein Wasserzeichen existiert und Du es irgendwie schaffst, es zu prüfen: Wie zuverlässig und vertrauenswürdig sind die Ergebnisse?

An dieser Stelle gehen Herstellerangaben und unabhängige Forschung auseinander, besonders bei Text. Mehrere Studien und Preprints zeigen, dass die Erkennung von SynthID-Text bei Paraphrasierung, Rückübersetzung und Verwässerung durch Copy-Paste zusammenbricht. Ein Team der ETH Zürich berichtete von einer Entfernungsrate von über 90 Prozent in Kombination mit speziellen Techniken zum „Wasserzeichen-Diebstahl“. Auch die Länge spielt eine Rolle: Das Referenzpapier zur Technik selbst nutzt 200 Tokens (rund 150 Wörter) als Basislänge für Tests, unabhängige Tests bei 50 Tokens fanden eine Erkennungsrate von nur 30 Prozent. Entfernungswerkzeuge ließen ebenso wenig auf sich warten: Ein Skript zum Entfernen von Claudes Wasserzeichen tauchte einen Tag nach Anthropics Ankündigung auf GitHub auf.

Auch die Robustheit hängt vom Format ab. Kompression, Größenänderung und moderates Zuschneiden überstehen Bild-Wasserzeichen meist. Eine ähnliche Behandlung, oder ein Durchlauf mithilfe eines zweiten Modells, hebelt ein Text-Wasserzeichen dagegen regelmäßig aus.

C2PA-Metadaten stehen außerhalb dieses Vergleichs: Sie werden von so gut wie jedem erneuten Speichern oder Hochladen entfernt, unabhängig vom Format. Deshalb habe ich sie oben als schwache Lösung eingestuft.

All das macht ein „verifiziertes“ Ergebnis in einem Prüftool nicht völlig bedeutungslos. Aber es hat klare Grenzen. Es zeigt, dass das Modell den Inhalt wahrscheinlich in irgendeiner Form angefasst hat. Aber es zeigt nicht, wer ihn geschrieben oder wie sehr er ihn verändert hat. Ein negatives Ergebnis sagt Dir noch weniger, weil die meisten Wasserzeichen noch gar nicht integriert sind.

Was das für Deine Workflows bedeutet

Was musst Du jetzt tun? Kurz gesagt: keine grundlegende Überarbeitung Deiner Richtlinien, sondern eher Anpassungen daran, was Du anderen erzählst und wie Du mit manchen Medien umgehst.

Wenn Du KI-unterstützte Texte vor der Veröffentlichung redaktionell prüfst, befreien Dich die EU-Regeln in der Regel von einer Kennzeichnungspflicht. Dokumentiere diese Prüfung. Wenn Du mehr wissen willst: Ich habe einen ausführlichen Bericht über die Transparenzpflichten der EU für KI-Inhalte geschrieben. Er behandelt auch die Regeln für Audio, Video und Bilder.

Erzähl Kunden oder Mitarbeitenden nicht, dass sich Claude- oder ChatGPT-Texte jetzt nachverfolgen lassen. Das stimmt noch nicht, und selbst wo eine Markierung existiert, gibt es keine öffentliche Möglichkeit, sie zu prüfen.

Ist Dir die Herkunft von Bildern wichtig? Dann verlass Dich nicht blind auf ein Label. Lade ein Testbild in Dein CMS, Deinen Bildkompressor und Deine Social-Media-Konten hoch und prüfe anschließend mit einem Tool wie contentcredentials.org/verify, ob die Informationen die Reise überstanden haben.

Und behalte immer im Hinterkopf, dass selbst die Ergebnisse einer Wasserzeichen-Prüfung keine 100% exakte Antwort liefern. Ganz zu schweigen von heuristischen KI-Detektoren.

Worauf Du achten solltest

Wie Du inzwischen sicher bemerkt hast: Dieses Feld ist neu, und es bewegt sich viel. In den kommenden Monaten wird sich einiges ändern. Behalte diese drei Punkte im Auge:

Der erste Punkt: Anthropic liefert ein neues Modell aus, das dann mit einem Wasserzeichen kommt. Außerdem gibt das Unternehmen eine funktionierenden Möglichkeit frei, dieses Wasserzeichen zu prüfen. Das ist der Moment, in dem Claudes Wasserzeichen von einer bloßen Ankündigung zu etwas Realem wird.

Der zweite Punkt: Google öffnet den SynthID Detector für alle, nicht nur für Journalistinnen und Forscher auf einer Warteliste. Das allein würde die Prüfung vieler Bilder und Videos deutlich praktikabler machen, als sie es heute ist.

Der dritte Punkt ist ein fester Termin: Bis zum 2. Februar 2027 verlangt das EU-Recht von den Anbietern, eine funktionierende Möglichkeit zur Prüfung ihrer eigenen Wasserzeichen bereitzustellen. Das ist der Zeitpunkt, an dem die Regulierung die Erkennungslücke zwangsweise schließen sollte.

Wenn Du über diese und andere Entwicklungen auf dem Laufenden bleiben willst: Abonniere den zweiwöchentlichen Smart Content Report Newsletter!

Trag hier einfach Deine beste E-Mail-Adresse ein: