Claude Wasserzeichen: Was die KI-Markierung wirklich beweist

Das Claude Wasserzeichen markiert KI-Texte unsichtbar. Was der EU AI Act verlangt, was die Markierung beweist – und warum die Remover-Tools riskant sind.

Anthropic hat angekündigt, dass künftige Claude-Modelle jeden erzeugten Text mit einem unsichtbaren Wasserzeichen versehen. Das Claude Wasserzeichen ist die Antwort auf eine EU-Pflicht — und binnen weniger Tage ist darum ein ganzer Markt für „Watermark Remover” entstanden. Beides lohnt einen genaueren Blick, denn die Markierung beweist etwas anderes, als die meisten annehmen.

Was Anthropic tatsächlich angekündigt hat

Anthropic hat im Juli 2026 gemeinsam mit rund 190 weiteren Unterzeichnern den EU Code of Practice zur Transparenz KI-generierter Inhalte unterschrieben. Laut der offiziellen Support-Seite gilt: Claude-Modelle, die ab dem 2. August 2026 erscheinen, unterstützen maschinenlesbare Markierung ab Werk. Für ältere Modelle greift eine Übergangsfrist; die Nachrüstung soll über die kommenden Monate laufen.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

Technisch laufen zwei Verfahren parallel:

Text: ein eingebettetes, für Menschen nicht wahrnehmbares Wasserzeichen. Es steckt im Text selbst, wandert also beim Kopieren mit und übersteht möglicherweise leichte Bearbeitung.
Dateien: bei unterstützten Formaten wie .png, .jpg und .svg hängt Claude eine kryptografisch signierte Notiz nach dem offenen C2PA-Standard an die Metadaten an. Die Datei selbst bleibt unverändert.

Die Markierung sitzt auf Modellebene. Sie greift damit über die Claude-API, claude.ai, Claude Code, Claude Cowork und Claude Tag — und auch dann, wenn die Modelle über AWS, Google Cloud oder Microsoft Foundry laufen. Anthropic schränkt allerdings ein, dass nicht jede Plattform jede Markierungsart unterstützt, insbesondere bei den signierten Metadaten. Angewendet wird das Wasserzeichen weltweit, nicht nur in der EU — schlicht, weil es laut Anthropic derzeit keinen belastbaren Weg gibt, es regional zu begrenzen.

Wie das Claude Wasserzeichen technisch funktioniert

Anthropic beschreibt sein Verfahren als Variante des SynthID-Text-Ansatzes, den Google DeepMind 2024 in Nature veröffentlicht hat. Vereinfacht gesagt: Ein Sprachmodell wählt fortlaufend das nächste Wort aus mehreren plausiblen Kandidaten. Ob nach „Das Wetter war kalt und…” ein „bewölkt” oder ein „grau” folgt, ist für den Sinn egal — entschieden wird per Zufall. Beim Wasserzeichen ändert sich nicht der Text, sondern die Quelle dieses Zufalls: Ein geheimer Schlüssel und die vorangegangenen Wörter bestimmen, welcher Kandidat gewinnt.

Für den Leser sieht jede einzelne Entscheidung normal aus. Über einen längeren Text hinweg entsteht aber ein statistisches Muster, das sich mit dem passenden Schlüssel messen lässt. Es werden dabei keine versteckten Sonderzeichen eingefügt, keine zusätzlichen Tokens verbraucht und keine Mehrkosten verursacht. Wo nur eine Antwort richtig sein kann — bei Fakten und bei Code — greift der Mechanismus kaum. Eine Erkennungs-API kündigt Anthropic an, veröffentlicht ist sie noch nicht.

Ein Punkt, der in der Aufregung untergeht und für Unternehmen der wichtigste ist: Das Wasserzeichen enthält keine identifizierenden Informationen. Weder aus der Marke noch aus dem Schlüssel lässt sich laut Anthropic auf Nutzer, Organisation oder einzelne Chats zurückschließen. Wer hier eine Überwachungsfunktion vermutet, liegt nach dem veröffentlichten Stand daneben.

Der Haken: Die Marke beweist nicht, wer geschrieben hat

Diesen Punkt betont Anthropic selbst deutlich, und er geht in der Berichterstattung oft unter. Eine gefundene Marke bedeutet, dass der Inhalt von Claude verarbeitet wurde — nicht, dass Claude ihn verfasst hat. Sie kann „Claude hat das geschrieben” nicht von „Claude hat das stark überarbeitet” unterscheiden. Auch Übersetzungen tragen die Marke, weil dort jedes Wort vom Modell stammt.

Umgekehrt gilt genauso: Eine fehlende Marke ist kein Freispruch. Sie verschwindet bei einem vollständigen Umschreiben, bei sehr kurzen Passagen fehlt schlicht die statistische Grundlage, und reine Korrekturläufe hinterlassen zu wenige eigene Wortentscheidungen. Datei-Metadaten wiederum überleben kein erneutes Speichern, keine Formatkonvertierung und keinen Screenshot.

Der Remover-Markt — und was er wirklich kann

Wenige Tage nach der Ankündigung tauchten die ersten Entfernungswerkzeuge auf. Das größte GitHub-Projekt, MIT-lizenziert, stand am 13. August bei rund 4.500 Sternen — Stand heute sind es über 9.700. Dazu kommen mehrere frisch registrierte Webdienste und etablierte Anbieter zur Umgehung von KI-Detektoren. Überprüfen lässt sich keine dieser Behauptungen, denn die Erkennungs-API von Anthropic existiert noch nicht.

Was diese Werkzeuge nachweislich können, ist das Entfernen versteckter Unicode-Zeichen und das Strippen von C2PA-, EXIF- und XMP-Metadaten. Wie BleepingComputer anmerkt, ist das keine große Leistung: Metadaten überstehen eine Konvertierung ohnehin nicht. Das eigentliche Wasserzeichen liegt dagegen in der Wortwahl selbst, und die lässt sich nur durch ein umfassendes Umschreiben verändern — wofür man ein zweites Modell braucht. Der Entwickler des größten Projekts räumte anfangs offen ein, dass sein Werkzeug nur Metadaten entfernt. Inzwischen gibt es dort auch einen Umschreib-Modus, den das Projekt selbst als „best effort” bezeichnet: Kein Tool könne redlich behaupten, den offiziellen Test zu bestehen.

Was das für dich bedeutet

Aus Sicherheitssicht ist nicht die Markierung das Problem, sondern der Markt, der um sie herum entstanden ist. Diese Werkzeuge werden als Agent-Skills in lokale Pipelines eingebunden, ziehen fremde Repositories nach und bekommen dabei Zugriff auf genau die Dokumente, die sie „säubern” sollen. Das ist ein Lieferketten-Risiko in Reinform: unvalidierter Code, den man freiwillig an sensible Inhalte lässt — für einen Nutzen, der nicht belegt ist. Dass ein Projekt binnen fünf Tagen von 4.500 auf über 9.700 Sterne springt, zeigt vor allem, wie groß die Nachfrage ist. Genau solche Kategorien ziehen erfahrungsgemäß Trittbrettfahrer an.

Der zweite Punkt betrifft die Beweisführung. Ich rechne damit, dass in Personalabteilungen, Schulen und Redaktionen sehr bald Entscheidungen auf „das Tool hat ein Wasserzeichen gefunden” gestützt werden. Anthropic schreibt selbst, die Marke sei „nicht abschließend” und sage nichts über Urheberschaft aus. Sie ist ein Indiz für Verarbeitung — und ihr Fehlen ist gar nichts.

Und drittens: Wer selbst Produkte auf Claude aufbaut, hat eigene Transparenzpflichten aus Artikel 50 des EU AI Act. Anthropic stellt in seiner Dokumentation klar, dass Kunden das unabhängig prüfen müssen. Bei Verstößen gegen Artikel 50 sieht Artikel 99 Absatz 4 Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor — je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen gilt umgekehrt der jeweils niedrigere Wert.

Konkrete Empfehlungen

KI-Nutzung dokumentieren statt verschleiern. Eine interne Regel, wo und wie KI eingesetzt wird, ist billiger als jede spätere Diskussion über Wasserzeichen.
Keine Remover-Tools in produktive Pipelines. Wenn Metadaten wirklich weg müssen, geht das mit Bordmitteln: exiftool -all= -overwrite_original datei.jpg entfernt auch den Container, in dem die C2PA-Notiz steckt. Reine EXIF-Cleaner lassen sie oft stehen; SVG ist als XML gesondert zu behandeln.
Detektionsergebnisse nicht als Beweis behandeln. Wer Bewerbungen, Prüfungen oder Kündigungen darauf stützt, baut auf einem Indiz mit bekannten Fehlerquellen.
C2PA nicht als Echtheitssiegel verkaufen. Ein Screenshot entfernt die Metadaten vollständig. Für Bildbeweise taugt das nicht.
Eigene Art-50-Pflichten prüfen, wenn du Claude in ein eigenes Produkt einbaust. Die Pflicht des Anbieters ersetzt deine nicht.

Wer tiefer einsteigen will, wie KI-Systeme und ihre Sicherheitsfragen zusammenhängen: In meinem Ratgeber zu den besten Fachbüchern zu KI und Cybersecurity steht, welche Titel dafür wirklich taugen. Zum Anbieter selbst passt außerdem mein Beitrag zu Anthropics eigenem Chip-Team.

Quellen

Dranbleiben

Diese Analysen als Newsletter

Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.

Jetzt anmelden

Claude Wasserzeichen: Was Anthropics KI-Markierung wirklich beweist