Wie funktioniert das Claude-Text-Watermarking?

Was Claude-Text-Watermarking ist

Claude-Text-Watermarking ist eine Verzerrung, die angewendet wird, während das Modell Wörter auswählt. Es handelt sich nicht um ein am Dateianhang angebrachtes Tag und auch nicht um eine Folge unsichtbarer Unicode-Zeichen, die Sie mit einem regulären Ausdruck entfernen könnten. Anthropic beschreibt das Verfahren in How Claude's text watermarking works, datiert auf den 14. August 2026: Das Verfahren „ändert nur die Quelle der Zufallswerte, die zur Auswahl zwischen Wörtern verwendet werden“, und nutzt dafür einen geheimen Schlüssel sowie die wenigen zuvor verwendeten Wörter. Da die Markierung darin besteht, welche Wörter ausgewählt wurden, bleibt sie beim Kopieren und Einfügen erhalten. Sie verschwindet, sobald sich die Wörter ändern.

Daraus folgen zwei Punkte, die erklären, warum nach diesem Thema gesucht wird. Die Erkennung ist ein statistischer Test, der viele Wörter benötigt, bevor sein Ergebnis aussagekräftig ist. Für einen einzelnen Satz kann er daher keine nützliche Aussage liefern. Auch ein negatives Ergebnis beweist nichts: Das Anthropic Help Center erklärt, dass das „Fehlen einer erkannten Markierung nicht bedeutet, dass der Inhalt nicht durch KI erzeugt oder verarbeitet wurde“.

Die am 18. August 2026 gelesene Hilfeseite How Claude marks AI-generated content nennt die unterstützten Oberflächen: „Claude Platform (API), Claude, Claude Code, Claude Cowork und Claude Tag“, einschließlich des Zugriffs über AWS, Google Cloud und Microsoft Foundry. Modelle, die am oder nach dem 2. August 2026 veröffentlicht wurden, unterstützen die maschinenlesbare Markierung bereits bei ihrer Einführung. Bei früheren Modellen befindet sich diese Unterstützung laut Beschreibung noch in Arbeit. Dieses Datum ist kein Zufall. Artikel 50 des EU AI Act gilt ab dem 2. August 2026. Er verpflichtet Anbieter von Systemen zur Erzeugung synthetischer Texte, die Ausgabe „in einem maschinenlesbaren Format zu markieren und als künstlich erzeugt oder manipuliert erkennbar zu machen“. Anthropic erklärt, die Markierung weltweit und nicht nur für EU-Datenverkehr anzuwenden.

Bei Dateien funktioniert das anders. Laut Hilfeseite enthalten unterstützte erzeugte Dateien (".svg, .png oder .jpg") kryptografisch signierte Herkunftsmetadaten nach dem C2PA-Standard (Coalition for Content Provenance and Authenticity). Dabei handelt es sich um Metadaten, die neben den Dateiinhalten gespeichert werden, nicht um eine Änderung der Inhalte. Deshalb lassen sie sich so leicht entfernen.

Wie das Wasserzeichen die Token-Auswahl beeinflusst

Bei jedem Schritt berechnet ein Sprachmodell für jedes Token eine Wahrscheinlichkeit. Ein Token kann ein Wort oder ein Teil eines Wortes sein, das als Nächstes geschrieben werden könnte. Ein Sampler wählt eines davon aus. Normalerweise stammt die Zufälligkeit für diese Auswahl aus einer gewöhnlichen Zufallsquelle. Ein Watermarking-Sampler ersetzt diese Quelle durch eine schlüsselabhängige Pseudozufallsfunktion. Ihre Eingaben sind der geheime Schlüssel und die letzten Tokens. Dadurch ist die Auswahl für jeden reproduzierbar, der den Schlüssel besitzt, und wirkt für alle anderen wie gewöhnliche Variation.

Die erste weithin zitierte öffentliche Version ist A Watermark for Large Language Models (Kirchenbauer et al., ICML 2023). Vor jedem Token wählen der Schlüssel und die vorhergehenden Tokens eine pseudozufällige „grüne“ Teilmenge des Vokabulars aus. Der Sampler addiert einen kleinen Bonus auf den Score dieser Tokens. Nichts ist verboten. Dadurch bleibt der Text flüssig. Grüne Tokens treten jedoch etwas häufiger auf, als es der Zufall erwarten ließe.

Anthropic schreibt, dass seine Implementierung auf SynthID-Text basiert. Google DeepMind veröffentlichte SynthID-Text im Oktober 2024 in Nature unter dem Titel Scalable watermarking for identifying large language model outputs. Laut Anthropic gehen diese Ideen auf einen Vorschlag von Scott Aaronson aus dem Jahr 2022 zurück. SynthID-Text zieht mehrere Kandidaten aus der eigenen Verteilung des Modells und führt zwischen ihnen ein K.-o.-Turnier durch. Die schlüsselabhängige Funktion bewertet dabei die Kandidaten. Dadurch ist das überlebende Token tendenziell eines, das der Schlüssel bevorzugt. Die Kandidaten stammen aus der eigenen Verteilung des Modells. Deshalb berichtet die veröffentlichte Evaluierung keinen messbaren Qualitätsverlust.

Die entscheidende Folge betrifft die Entropie. Die Verzerrung kann nur dort wirken, wo das Modell tatsächlich eine Auswahl hatte. Wenn das einzig korrekte nächste Token Paris ist, kann kein Verfahren es verschieben, ohne den Text falsch zu machen. Anthropic erklärt dies ausdrücklich: Watermarking „ist bei faktischen Passagen weniger dicht, bei denen weniger Auswahlmöglichkeiten bestehen, ohne die Genauigkeit des Textes zu verringern“. Auch Code „weist im Allgemeinen weniger Watermarking auf als andere Textformen“, weil er meist exakt sein muss. Die Signaldichte hängt davon ab, wie frei das Modell formulieren konnte. Ein langer, frei formulierter Text trägt daher ein starkes Signal, während eine kurze faktische Antwort fast keines trägt.

Eine wichtige Einschränkung gilt für alle obigen Aussagen. Am 18. August 2026 hat Anthropic die Familie veröffentlicht, zu der sein Verfahren gehört, nicht jedoch die Parameter oder den Schwellenwert des Detektors. Die Mechanismen in diesem Abschnitt stammen aus den zitierten Veröffentlichungen. Verstehen Sie sie als das veröffentlichte Design, das Anthropic nennt, nicht als Beschreibung der exakten Konfiguration von Claude.

Warum Erkennung ein Hypothesentest und kein Stempel ist

Ein Detektor verarbeitet den Text und den Schlüssel. Er durchläuft den Text, berechnet an jeder Position neu, welche Auswahl der Schlüssel bevorzugt hätte, bewertet jedes Token und addiert die Bewertungen. Die Nullhypothese lautet, dass der Text ohne diesen schlüsselgesteuerten Sampler erstellt wurde. Dann verhalten sich die Bewertungen wie Münzwürfe, und die Gesamtsumme liegt nahe am erwarteten Wert. Bei wassermarkiertem Text liegt sie darüber. Das Ergebnis ist ein p-Wert. Er gibt die Wahrscheinlichkeit an, bei nicht wassermarkiertem Text eine derart hohe Gesamtsumme zu erhalten. Das Urteil „erkannt“ ergibt sich aus dem Vergleich dieses p-Werts mit einem festgelegten Schwellenwert.

Dieses Design hat zwei Auswirkungen, die in der Praxis spürbar sind. Mit zunehmender Textlänge steigt die Sicherheit, weil jedes zusätzliche Token ein weiteres schwaches Indiz liefert. Anthropic formuliert es so: „Auch die Erkennung einer Wasserzeichenmarkierung funktioniert bei kleinen Stichproben nicht gut, weil es dort weniger Wortauswahlen und somit weniger Informationen gibt, auf die man sich stützen kann.“ Der Schwellenwert ist außerdem ein Kompromiss. Wenn Sie ihn niedrig genug setzen, um einen Absatz zu markieren, werden Sie bald auch menschliche Absätze zufällig markieren.

Sie können diesen Test derzeit noch nicht selbst ausführen. In einem Beitrag von Anthropic heißt es, dass das Unternehmen „bald eine API zur Erkennung von Wasserzeichen anbieten wird“ und sich „noch in der Ausarbeitung der Details zur Implementierung befindet“. Daher gibt es am 18 August 2026 keinen öffentlichen Claude-Detektor für Wasserzeichen. Niemand außerhalb von Anthropic kann bestätigen oder widerlegen, dass ein bestimmter Text die Markierung trägt.

Diese Lücke ist wichtig, weil Menschen stattdessen auf andere Werkzeuge zurückgreifen. Die kommerziellen „KI-Detektoren“, die an Schulen und für Redaktionen verkauft werden, sind Klassifikatoren, die anhand von Schreibstil trainiert wurden. Sie besitzen keinen Schlüssel und führen keinen Test dieser Art aus. Ihr Fehlverhalten ist dokumentiert: GPT detectors are biased against non-native English writers (Liang et al., Patterns, 2023) stellten fest, dass weit verbreitete Detektoren mehr als die Hälfte einer Sammlung von TOEFL-Aufsätzen nicht muttersprachlicher Autoren als KI-generiert markierten, während sie die Beispiele muttersprachlicher Autoren korrekt klassifizierten. Ein Wasserzeichen-Detektor und ein Stilklassifikator sind unterschiedliche Systeme. Lassen Sie sich nicht das zweite System als das erste ausgeben.

Was entfernt das Wasserzeichen

Kurze Ausgaben. Eine einzeilige Antwort enthält zu wenige Entscheidungen, um eine Statistik zu verändern. Es gibt keine Abhilfe, weil dies eine Eigenschaft des Tests und keine Lücke in der Implementierung ist.

Eine Neufassung. Anthropic zufolge kann eine geringfügige Bearbeitung die Markierung lesbar lassen, während „eine vollständige Neufassung, bei der jedes Wort ersetzt wird“, sie entfernt. Jedes ersetzte Wort ist ein Wort, das der Schlüssel nicht mehr erklären kann.

Paraphrasieren mit einem anderen Modell. Ein zweites Modell wählt jedes Token mit seinem eigenen Sampler und ohne Schlüssel neu aus. Das Ergebnis trägt daher die Markierung dieses Modells, sofern es eine besitzt, und nicht die von Claude.

Übersetzung, mit einer Ausnahme. Wenn Sie den englischen Text von Claude durch einen anderen Übersetzer laufen lassen, wird das Signal zerstört, weil ein neuer Sampler jedes Zielwort auswählt. Anthropic weist auf den umgekehrten Fall hin: „Eine von Claude erzeugte Übersetzung trägt ein Wasserzeichen, weil in diesem Fall jedes Wort von Claude ausgewählt wird.“

Code, überwiegend. Korrekt funktionierender Code bietet nur wenige austauschbare Auswahlmöglichkeiten. TechCrunch berichtete am 15 August 2026, dass Anthropic einen „vernachlässigbaren Effekt auf den tatsächlich erzeugten Code“ erwartet, wobei Markierungen eher in Kommentaren auftreten. Dies ist der Bericht über eine Unternehmensaussage und keine veröffentlichte Dokumentation. Behandeln Sie die Angabe zu Kommentaren daher als unbestätigt. Kommentare und Bezeichnernamen sind die Teile eines Patches, bei denen tatsächlich Auswahlmöglichkeiten bestehen.

Metadaten entfernen, bei Dateien. C2PA-Provenienz befindet sich neben den Bilddaten. Daher entfernt eine erneute Codierung der Datei sie normalerweise, sofern nicht festgelegt ist, dass sie erhalten bleiben soll. Dazu gehört auch der Bildoptimierer in einem normalen Build einer statischen Website. Auf der Hilfeseite von Anthropic wird das Entfernen von Metadaten als einer der Gründe aufgeführt, aus denen eine Markierung fehlt.

Was ein erkanntes Mark tatsächlich beweist

Weniger, als das Wort „Wasserzeichen“ vermuten lässt. Anthropic formuliert es deutlich: „Ein Wasserzeichen kann nur feststellen, dass Claude wahrscheinlich irgendwann an der Erstellung des Inhalts beteiligt war. Es kann nicht zwischen ‚Claude hat diesen Inhalt geschrieben‘ und ‚Claude hat diesen Inhalt umfassend bearbeitet‘ unterscheiden.“ Auf der Hilfeseite wird außerdem erklärt, dass „Claude möglicherweise nicht der ursprüngliche Autor ist“, weil Menschen Claude zum Bearbeiten von Texten verwenden, die sie selbst erstellt haben. Außerdem kann sich der Inhalt geändert haben, nachdem Claude ihn bearbeitet hat.

In den veröffentlichten Materialien von Anthropic wird kein Signal beschrieben, das einem Konto oder Benutzer zugeordnet ist. Das dokumentierte Mark zeigt an, dass ein Claude-Modell beteiligt war. Wenn jemand behauptet, ein Wasserzeichen verrate, welcher Benutzer oder welcher API-Schlüssel eine Passage erzeugt hat, findet sich diese Aussage mit Stand vom 18. August 2026 nicht in den Primärquellen.

Ändert das Veröffentlichen von KI-gestütztem Code von Ihrem Server aus?

Für Code lautet die technische Antwort aus zwei bereits genannten Gründen überwiegend nein: Das Signal ist in exakt übernommenem Code schwach, und es gibt keinen öffentlichen Detektor. Entscheidend dafür, ob Sie den Code veröffentlichen dürfen, ist die Richtlinie. Daran hat sich nichts geändert. Open-Source-Projekte haben eigene Regeln für KI-gestützte Beiträge festgelegt. Diese Regeln setzt ein Maintainer durch, der Ihren Pull Request liest, nicht ein Detektor, der Ihre Tokens analysiert.

Bei Texten, die Ihr Server erzeugt, lautet die Antwort in einer bestimmten Hinsicht ja. Wenn ein API-Aufruf Ihre Release Notes oder Produktseiten erstellt, stammen die Wörter von Claude. Das Markierungsmerkmal steckt daher in diesen Wörtern. Das Rendern von Markdown in HTML, das Minimieren, das Speichern des Ergebnisses in Postgres und die Auslieferung über ein CDN ändern die Wörter nicht. Daher bleibt das Markierungsmerkmal bei all diesen Schritten erhalten. Eine menschliche Redaktion, die die Sätze umschreibt, schwächt es ab.

Sie können die Wasserzeichenmarkierung nicht durch einen Prompt entfernen. Sie wird in der Sampling-Schicht angewendet, unterhalb des vom Modell erzeugten Texts. Eine Anweisung wie „diesen Text nicht mit einem Wasserzeichen versehen“ hat daher keinen Ansatzpunkt. Das unterscheidet sich von den üblichen Gründen, aus denen ein Agent eine von Ihnen geschriebene Anweisung ignoriert. In diesem Fall hat die Anweisung das Modell erreicht und wurde von etwas anderem überstimmt. Für API-Kunden gibt es mit Stand vom 18 August 2026 keine dokumentierte Opt-out-Möglichkeit.

Wenn Sie Claude zum Betreiben eines Servers verwenden und nicht zum Schreiben von Texten, ändert sich dadurch nur sehr wenig. Shell-Befehle und Konfigurationsausschnitte sind kurz und stark eingeschränkt. Sie enthalten daher fast kein Signal. Außerdem hat die Markierung keinen Einfluss darauf, was auf Ihrem System ausgeführt wird. Der tägliche Betrieb von Systemen mit Claude wirft eine andere Frage auf: Was verlässt Ihr System überhaupt? Siehe welche Daten ein Coding-Agent tatsächlich von Ihrem Server überträgt.

Was Sie offenlegen sollten

Die Offenlegung ist eine Frage der geltenden Regeln, nicht der Erkennung. Ein Wasserzeichen begründet keine Offenlegungspflicht und hebt sie auch nicht auf. Ermitteln Sie, welche Regel für Sie gilt, und befolgen Sie sie unabhängig davon, ob eine Erkennung möglich wäre.

Der EU AI Act teilt die Aufgabe in zwei Teile. Artikel 50(2) legt die Kennzeichnungspflicht dem Anbieter auf, also Anthropic. Diese Pflicht erfüllt diese Einführung. Artikel 50(4) verpflichtet den Betreiber: Wer KI-generierten Text veröffentlicht, „um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“, muss offenlegen, dass er künstlich erzeugt wurde. Dafür gibt es eine Ausnahme, unter die die meisten Redaktionsteams fallen, wenn „der KI-generierte Inhalt einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt“. Beide Bestimmungen gelten ab 2 August 2026. Ein geprüfter Beitrag mit einem namentlich genannten Redakteur dahinter wird anders behandelt als ein Feed, der Inhalte veröffentlicht, ohne dass eine Person sie liest. Dies ist eine Auslegung des Verordnungstextes und keine Rechtsberatung.

Andere Regeln gehen über die gesetzlichen Anforderungen hinaus. Ihr Arbeitsvertrag, Ihre Vereinbarung mit einem Kunden, die Beitragsrichtlinien des Projekts, an das Sie Patches senden, und die Richtlinien des Verlags, für den Sie schreiben, können jeweils mehr verlangen. Außerdem handelt es sich dabei um die Regeln, deren Einhaltung tatsächlich jemand prüfen wird.

Wenn Sie etwas offenlegen, geben Sie an, was das Modell getan hat und was Sie überprüft haben. „Entwurf mit Claude erstellt, jeder Befehl vor der Veröffentlichung auf einer sauberen Ubuntu 24.04-Installation ausgeführt“ vermittelt einem technischen Leser eine konkrete Information. Ein allgemeines Kennzeichen „KI verwendet“ tut das nicht, denn die Prüfung ist der Teil, den ein Modell Ihnen nicht abnehmen kann.

Verwenden Sie ein Wasserzeichenergebnis außerdem nicht als Anschuldigung. Ein positives Ergebnis bedeutet, dass irgendwo ein Claude-Modell beteiligt war, auch als Redakteur eines eigenen Textes. Ein negatives Ergebnis sagt überhaupt nichts aus.

FAQ

Kann ich Claudes Text-Wasserzeichen deaktivieren?

Stand 18 August 2026 gibt es keine dokumentierte Möglichkeit, sich davon abzumelden. Die Hilfeseite von Anthropic beschreibt die Markierung für Claude, die Claude Platform (API), Claude Code, Claude Cowork und Claude Tag, einschließlich des Zugriffs über AWS, Google Cloud und Microsoft Foundry. Eine Einstellung zum Deaktivieren wird nicht genannt. Auch die Aufforderung an das Modell, seine Antwort nicht mit einem Wasserzeichen zu versehen, hat keinen Effekt. Die Markierung wird vom Sampler angewendet, der Tokens auswählt, und nicht vom Modell, das Ihre Anweisung befolgt.

Wird das Wasserzeichen in von Claude geschriebenem Code sichtbar?

Kaum. Das Wasserzeichen funktioniert, indem zwischen mehreren akzeptablen Optionen gewählt wird. Korrekt ausführbarer Code bietet dafür nur selten viele Möglichkeiten. Anthropic erklärt, Code enthalte „im Allgemeinen weniger Wasserzeichen als manche anderen Textformen“, weil er meist exakt sein muss. TechCrunch berichtete am 15 August 2026, Anthropic erwarte nur vernachlässigbare Auswirkungen auf den Code selbst. Markierungen seien eher in Kommentaren zu erwarten. Dabei handelt es sich um einen Pressebericht über eine Aussage, nicht um veröffentlichte Dokumentation. Teile eines Patches mit Variationsspielraum sind Kommentare und Bezeichnernamen.

Beweist ein fehlendes Wasserzeichen, dass ein Mensch den Text geschrieben hat?

Nein. Das ist der häufigste Fehler beim Umgang mit Wasserzeichen. Auf der eigenen Seite von Anthropic heißt es, ein „fehlendes erkanntes Zeichen bedeutet nicht, dass der Inhalt nicht von einer KI erzeugt oder verarbeitet wurde“. Der Text ist möglicherweise zu kurz für eine Prüfung. Er kann bearbeitet oder paraphrasiert worden sein. Er kann von einem Modell stammen, das vor der Einführung der Markierung veröffentlicht wurde. Oder er kann von einem anderen Anbieter stammen. Der Test ist einseitig: Er kann das Vertrauen erhöhen, dass Claude beteiligt war. Er kann niemals zeigen, dass Claude nicht beteiligt war.

Entfernt Paraphrasieren oder Übersetzen das Wasserzeichen?

Das Paraphrasieren durch ein anderes Modell entfernt das Wasserzeichen. Dieses Modell wählt jedes Wort mit seinem eigenen Sampler und ohne denselben Schlüssel neu aus. Das Übersetzen mit einem externen Tool entfernt es aus demselben Grund. Die Ausnahme gilt in die andere Richtung: Anthropic erklärt, „eine von Claude erstellte Übersetzung trägt ein Wasserzeichen, weil in diesem Fall jedes Wort von Claude ausgewählt wird“. Wenn Sie Ihren eigenen Text mit Claude übersetzen, fügt Claude daher eine Markierung hinzu, die zuvor nicht vorhanden war.

Kann ich ein Dokument selbst auf ein Claude-Wasserzeichen prüfen?

Noch nicht. Für die Erkennung ist der Schlüssel erforderlich. Sie kann daher weder durch das Lesen des Textes noch mit einem Offline-Tool durchgeführt werden. Anthropic erklärt, das Unternehmen werde „bald eine API zur Erkennung von Wasserzeichen anbieten“, arbeite aber noch an den Details. Stand 18 August 2026 gibt es daher keinen öffentlichen Detektor. Alles, was derzeit als Claude-Detektor verkauft wird, ist ein Stilklassifikator. Dabei handelt es sich um einen anderen Mechanismus mit einem dokumentierten Problem durch falsch positive Ergebnisse bei Texten von Personen, deren Erstsprache nicht Englisch ist (Liang et al., Patterns, 2023).