„Text is text, so when you copy text, what are the possible avenues for having watermarks? If you use basic ASCII in its most primitive form with uniform spacing, which is industry standard, there is literally no possible way to have a watermark.“ – Daniel Miessler schreibt das in einem neuen Essay. Auf der reinen Byte-Ebene hat er recht. Die eigentliche Antwort liegt woanders.
Anthropic hat am 11. August 2026 angekündigt, alle Texte von Claude mit einem unsichtbaren Wasserzeichen zu versehen. Bei Bildern und anderen Dateien geschieht das über den C2PA-Standard, eine signierte Metadaten-Provenienz, die am Dateianhang klebt. Bei einfachem Text nennt das Unternehmen ein „imperceptible watermark“, das auch dann erhalten bleibt, wenn man den Text kopiert und anderswo einfügt. Die Ankündigung verrät nicht, wie diese Textversion funktioniert. Es gibt weder einen veröffentlichten Algorithmus noch einen Detektor. Was wir im Folgenden erklären, ist eine Rekonstruktion – basierend auf den wenigen öffentlichen Aussagen und auf dem, was man über typische Wassereichenverfahren weiß.
Die Ankündigung von Anthropic: Was genau passiert?
Die Datei-Version ist simpel. Ein C2PA-Manifest ist eine Signatur, die an die Datei angehängt wird. Sobald jemand ein Bild abfotografiert oder in ein anderes Format konvertiert, ist sie weg. Die Textversion ist anders. Miessler hat zuerst bezweifelt, dass sie überhaupt existieren kann. Sein Einwand zielt auf die kleinste gemeinsame Basis: Wenn Text nur aus 7-Bit-ASCII und einfachen Leerzeichen besteht, gibt es keine versteckten Bits, keine unsichtbaren Zeichen, keinen Platz für irgendetwas Zusätzliches. Zwei Personen, die denselben Satz tippen, erzeugen identische Dateien – Byte für Byte. Wir haben das selbst überprüft: Mit einem Skript, das die Code Points von Claudes Ausgabe liest, finden sich keine Zero-Width-Zeichen, keine ungewöhnlichen Abstände, nichts. Die Ausgabe ist normales, druckbares ASCII.
Der Einwand übersieht eine Ebene. Das Wasserzeichen muss nicht in den Bytes der Datei stecken. Es kann auch in der Wahl der Wörter liegen, die das Modell beim Schreiben trifft. Jeder Satz, den ein Sprachmodell erzeugt, ist eine Kette von Entscheidungen. An jedem Schritt gibt es mehrere plausible Wörter, das Modell entscheidet sich für eines. In diesen Entscheidungen kann ein Signal versteckt werden – unsichtbar für das Auge, aber messbar für jemanden mit dem richtigen Schlüssel.
Die vier Ebenen, auf denen ein Wasserzeichen sitzen kann
Diese Entscheidungen lassen sich in vier Schichten einteilen, die von der Oberfläche bis zur Bedeutung reichen. Die obersten beiden Schichten hat Miessler im Blick: die Codierung und die Formatierung. Dort kann man Bits in Zero-Width-Zeichen verstecken oder Buchstaben aus anderen Alphabeten verwenden, die optisch identisch zu den lateinischen sind. Auch die Zeilenumbruchpositionen bieten einen versteckten Kanal. Aber all das verschwindet, sobald der Text in reines ASCII zurückgezwungen wird. Deshalb nutzen Wassereichenverfahren diese Ebenen nicht.
Die dritte Ebene ist die Wortwahl. Hier liegt der Schlüssel zu dem, was Anthropic vermutlich einsetzt. Man gibt dem Modell einen geheimen Schlüssel. Bei jedem Schritt neigt das Modell leicht zu bestimmten Wörtern, die dieser Schlüssel bevorzugt. Für einen normalen Leser sieht der Text gewöhnlich aus. Wer den Schlüssel kennt, kann die leichten statistischen Abweichungen messen und nachweisen, dass der Text von Claude stammt. Weil das Signal in den Wörtern selbst liegt, überlebt es das Kopieren und Einfügen. Und weil jede Bearbeitung Wörter ersetzt, wird das Signal mit jeder Änderung schwächer.
Es gibt zwei publizierte Methoden, wie diese dritte Ebene funktioniert: die Green-List-Methode von Kirchenbauer und das Tournament-Sampling, das Google in Gemini verwendet. Beide sind in der Fachliteratur beschrieben und dienen als Grundlage für viele Wassereichen-Systeme. Was Anthropic genau nutzt, ist nicht bestätigt. Es könnte auch tiefer gehen, in die vierte Ebene, wo das Signal in der Bedeutung des Textes lebt und selbst eine leichte Umschreibung übersteht. Oder es könnte ein völlig neues Verfahren sein. Ohne einen offiziellen Detektor kann niemand von außen sicher sein.
Wie die Green-List- und Tournament-Sampling-Methode funktioniert
Die Green-List-Methode ist ein Beispiel für die Wortwahl-Ebene. Man legt eine Liste von „grünen“ Wörtern fest, die bei jedem Schritt bevorzugt werden. Das Modell hat für jeden möglichen nächsten Token eine Wahrscheinlichkeitsverteilung. Normalerweise wählt es das wahrscheinlichste Wort. Mit dem Wasserzeichen wird eine Zufallsentscheidung getroffen, aber das Modell wird so beeinflusst, dass es häufiger Wörter von der grünen Liste wählt. Das gelingt, indem man die Wahrscheinlichkeiten leicht anhebt, aber nicht so stark, dass die Textqualität leidet. Ein Detektor, der den Schlüssel kennt, kann die Ausgabe statistisch analysieren: Ist der Anteil grüner Wörter höher als bei einem normalen Text, ist das Wasserzeichen vorhanden.
Tournament-Sampling geht einen Schritt weiter. Statt einer festen Liste werden bei jeder Token-Auswahl mehrere Kandidaten per Turnier gegeneinander antreten gelassen. Der Schlüssel bestimmt, welcher Kandidat gewinnt. Das macht es für Angreifer schwerer, das Muster zu erkennen, weil die Auswahl auf mehreren Parametern basiert. Beide Verfahren sind so konzipiert, dass sie die Textqualität kaum beeinflussen. Der Preis dafür ist die Robustheit: Je stärker das Signal, desto mehr leidet die Qualität. Deshalb ist die Stärke in der Praxis oft ein Kompromiss.
Um diese Technik zu verstehen, hilft eine Analogie: Eine Fluggesellschaft druckt jeden Passagier mit einem geheimen Code auf das Ticket. Der Code ist in die Sitzplatzwahl eingewoben. Jeder Sitzplatz hat eine Nummer, aber die Kombination aus Reihe und Fensterplatz ergibt ein Muster, das nur der Fluggesellschaft etwas sagt. Ein Passagier merkt nichts, aber das Unternehmen kann bei jedem Ticket nachweisen, dass es das Muster erzeugt hat. So funktionieren die Wortwahl-Wasserzeichen.
Wie man das Wasserzeichen entfernt: Zwei Wege
Die Ebenen zeigen auch, wie man das Wasserzeichen loswird. Es gibt zwei grundlegende Methoden, die an entgegengesetzten Enden des Stapels arbeiten. Die erste ist die „santialisierte Neuerzeugung“: Man nimmt den Text und führt ihn durch einen deterministischen Pass, der ausschließlich reines ASCII und normalisierte Leerzeichen ausgibt. Alles, was in der Codierung oder Formatierung versteckt war, ist damit verschwunden. Miessler beschreibt es als „Complete sanitized regeneration of the text using a separate method that produces the canonicalized ASCII-only pure text format with validation“. Das funktioniert, weil das Format danach keinen Platz mehr für versteckte Daten bietet.
Die zweite Methode ist die Umschreibung. Sie greift auf der Wortwahl-Ebene an. Jedes ausgetauschte Wort entfernt ein Stück des statistischen Signals. Eine gründliche Paraphrase verwässert das Signal so weit, dass ein Detektor nichts mehr findet. Wer beide Methoden kombiniert, deckt den gesamten Stapel ab. Allerdings hat die Umschreibung eine wichtige Einschränkung: Wenn ein anderes KI-Modell die Umschreibung übernimmt, tauscht es nur das Wasserzeichen von Claude gegen das des anderen Modells – es entfernt es nicht wirklich. Eine Umschreibung, die nichts hinterlässt, muss von einem Menschen kommen, der den Text wirklich neu denkt. Und genau dieser Fall war von Anfang an unsichtbar für solche Detektionssysteme.
Was der Nachweis wirklich bedeutet – und was nicht
Anthropic ist vorsichtig mit einer Behauptung, die man leicht überlesen kann. Ein erkanntes Wasserzeichen beweist, dass der Text irgendwann von Claude verarbeitet wurde. Es beweist nicht, dass Claude der Autor ist. Wenn du deinen eigenen Absatz einfügst und Claude bittest, die Grammatik zu korrigieren, kann das Ergebnis mit dem Wasserzeichen zurückkommen. Und wenn kein Wasserzeichen vorhanden ist, heißt das auch nicht viel: Kurze Passagen, bearbeitete Texte und Ausgaben älterer Modelle kommen alle ohne Markierung zurück.
Das Wasserzeichen unterstützt also nur die Aussage, dass eine Maschine an den Wörtern beteiligt war. Es kann weder sagen, wer letztlich geschrieben hat, noch wie viel der Arbeit tatsächlich maschinell war. Und selbst diese schwache Aussage hängt von einem Detektor ab, den bisher niemand außerhalb von Anthropic gesehen hat. Wir bewegen uns also im Bereich der Spekulation.
Wenn du wissen willst, ob ein Text von Claude stammt, wirst du es momentan nicht zuverlässig feststellen können. Du kannst dich nur auf Wahrscheinlichkeiten stützen. Und wenn du selbst KI-Texte erstellst und ein Wasserzeichen vermeiden willst, hilft nur eine ehrliche Umschreibung. Das ist arbeitsintensiv, aber es ist die einzige Methode, die wirklich funktioniert. Jede neue Technik erzeugt neue Gegenmittel. Solange Menschen selbst denken und schreiben, kann kein Algorithmus sie vollständig ersetzen oder überwachen.
Quelle: danielmiessler.com
