KI-Wasserzeichen in Texten: So funktionieren sie, so liest man sie aus

Ein Wasserzeichen in einem Text klingt zunächst nach einem Widerspruch. Bei Bildern lassen sich Informationen in Pixelrauschen verstecken, bei Audio in Frequenzen, die niemand hört. Text dagegen besteht nur aus Zeichen. Jedes zusätzliche Zeichen wäre sichtbar oder ließe sich mit Suchen und Ersetzen entfernen. Die Wasserzeichen, die große Sprachmodelle inzwischen in ihre Antworten einbetten, arbeiten deshalb anders: Sie stecken nicht in einzelnen Zeichen, sondern in der Statistik der Wortwahl.

Das Prinzip: Zufall mit Schlüssel

Ein Sprachmodell schreibt Text Token für Token. Ein Token ist ein Wort oder ein Wortteil. Für jede Position berechnet das Modell eine Wahrscheinlichkeitsverteilung über sein gesamtes Vokabular und zieht daraus das nächste Token. Nach „Der Hund läuft“ kommen etwa „schnell“, „weg“ oder „über“ infrage, jeweils mit eigener Wahrscheinlichkeit. Normalerweise entscheidet an dieser Stelle ein Zufallsgenerator.

Genau dort setzen Text-Wasserzeichen an. Statt echtem Zufall nutzt das Modell eine Pseudozufallsfunktion. Sie hängt von einem geheimen Schlüssel und den zuletzt erzeugten Tokens ab. Für Leser sieht das Ergebnis aus wie ein normaler Text. Wer den Schlüssel kennt, kann aber nachrechnen, ob die Wortwahl auffällig oft zu dem passt, was die Funktion „bevorzugt“ hätte. Ein einzelnes Wort beweist nichts. Über einige hundert Tokens summiert sich die Abweichung aber zu einem statistisch messbaren Signal.

Bekannt wurde das Verfahren 2023 durch eine Arbeit von John Kirchenbauer und Kollegen an der University of Maryland. Ihr Ansatz teilt das Vokabular an jeder Position per Hash des Vorgänger-Tokens in eine „grüne“ und eine „rote“ Liste auf. Grüne Tokens bekommen einen kleinen Bonus. Ein menschlicher Text trifft im Schnitt etwa so viele grüne Tokens, wie der Zufall erwarten lässt. Ein markierter Text liegt deutlich darüber. Die Prüfung ist ein einfacher statistischer Test: Wie unwahrscheinlich ist dieser Grün-Anteil, wenn kein Wasserzeichen im Spiel ist?

Wichtig für die Praxis: Für die Prüfung braucht es weder das Sprachmodell noch den Prompt, nur den Text und den Schlüssel. Ohne Schlüssel ist das Muster dagegen nicht von gewöhnlicher Wortwahl zu unterscheiden. Darin liegt die Stärke des Verfahrens und zugleich sein größtes Problem.

Die Verfahren der Hersteller

Google: SynthID-Text

Google DeepMind setzt sein Verfahren SynthID-Text seit 2024 in der Gemini-App und im Web-Interface ein. Technische Details erschienen im Oktober 2024 in Nature. Statt einer grün-roten Liste nutzt SynthID ein mehrstufiges „Tournament Sampling“: Mehrere Kandidaten-Tokens treten in Runden gegeneinander an, und schlüsselabhängige Bewertungsfunktionen entscheiden, wer weiterkommt. Laut Paper werteten die Forscher Nutzerfeedback zu knapp 20 Millionen Gemini-Antworten aus. Einen messbaren Qualitätsunterschied zwischen markierten und unmarkierten Antworten fanden sie nicht.

Zeitgleich hat Google die Methode als Open Source in die Hugging-Face-Bibliothek Transformers eingebracht. Wer ein eigenes Modell betreibt, kann es damit selbst markieren und mit dem eigenen Schlüssel prüfen. Den Schlüssel für Gemini gibt Google nicht heraus.

Anthropic: Claude markiert weltweit

Anthropic hat im August 2026 angekündigt, Texte aus Claude zu markieren. Betroffen sind laut Anthropics Hilfeseite alle Modelle, die ab dem 2. August 2026 erschienen sind. Ältere Modelle wie Opus 4.5 und Sonnet 4.5 wurden nachgerüstet. Die Markierung greift auf Modellebene und damit in allen Produkten, von der Claude-App über die API bis zu Claude Code, und zwar weltweit, nicht nur in der EU. Eine Opt-out-Möglichkeit nennt Anthropic nicht.

Welches Verfahren dahintersteckt, schreibt Anthropic auf seiner Hilfeseite nicht. Mehrere Berichte und eine aktuelle Studie gehen davon aus, dass es auf SynthID-Text aufbaut. Nach Anthropics Angaben enthält das Wasserzeichen keine Nutzer- oder Kontodaten, sondern nur das Signal „von Claude verarbeitet“. Dateien wie PNG oder JPEG erhalten zusätzlich signierte Metadaten nach dem offenen Standard C2PA.

OpenAI: textGrain, vorerst nur in der EU

OpenAI hatte schon 2024 ein funktionierendes Text-Wasserzeichen in der Schublade, es aber nicht veröffentlicht. Als Gründe nannte das Unternehmen damals unter anderem das Risiko, Nicht-Muttersprachler zu stigmatisieren, und die Sorge, Nutzer an die Konkurrenz zu verlieren. Am 5. Oktober 2026 folgte dann textGrain. ChatGPT und Codex sollen ihre Texte in der EU über mehrere Wochen hinweg markieren. API-Kunden weltweit können das Verfahren für ausgewählte Modelle freiwillig einschalten. Ein globaler Standard ist es ausdrücklich nicht.

Laut technischem Bericht, den OpenAI mit Forschern der University of Pennsylvania und der Yale University verfasst hat, teilt textGrain das Vokabular abhängig von Schlüssel und Kontext in Blöcke auf. Der Schlüssel bestimmt, aus welchem Block das Modell zieht. Innerhalb des Blocks gelten die ursprünglichen Wahrscheinlichkeiten. Wie viel Zufall das Modell dafür abgibt, regelt ein „Entropiebudget“.

Bemerkenswert offen ist OpenAI bei den Grenzen. Bei einer Fehlalarmrate von einem Prozent erkannte der Detektor das Wasserzeichen in rund 80 Prozent der Texte mit 200 Tokens und in rund 95 Prozent bei 400 Tokens. Ersetzte man in 400-Token-Texten zehn Prozent der Wörter durch Synonyme, sank die Erkennungsrate von etwa 92 auf 66 Prozent. Bei einem Viertel ausgetauschter Wörter lag sie nur noch bei 17 Prozent. Schwächer schneidet das Verfahren bei Mathematik ab, weil das Modell dort wenig Spielraum bei der Wortwahl hat.

Und der Rest?

Meta, Microsoft, Mistral, Cohere und Aleph Alpha haben den EU-Verhaltenskodex zur Kennzeichnung von KI-Inhalten ebenfalls unterzeichnet. Ein Verfahren für Texte haben sie bislang nicht öffentlich dokumentiert. Grundsätzlich ungelöst ist das Problem bei offenen Modellen: Wer Llama, Mistral oder Gemma auf dem eigenen Rechner laufen lässt, entscheidet selbst, ob ein Wasserzeichen eingebaut wird.

Wer kann die Wasserzeichen auslesen?

Kurz gesagt: derzeit kaum jemand außerhalb der Hersteller. Weil die Prüfung den geheimen Schlüssel braucht, muss jeder Anbieter einen eigenen Detektor betreiben. Ein öffentliches Werkzeug, in das man einen beliebigen Text einfügt und eine verlässliche Antwort bekommt, gibt es für keinen der großen Anbieter.

• Anthropic bietet eine Detection-API in einer geschlossenen Vorschau an. Zugang erhalten auf Antrag Aufsichtsbehörden, Strafverfolger, Medien, Faktenchecker, unabhängige Forscher, Bildungseinrichtungen, zivilgesellschaftliche Organisationen aus der EU sowie Unternehmen mit eigenen Prüfpflichten. Der öffentliche „Claude Content Checker“ prüft nur C2PA-Metadaten in Dateien, keine Texte.
• OpenAI nimmt seit dem 5. Oktober Anträge von Forschern und Fachorganisationen entgegen und entscheidet im Einzelfall. Als erste Partner nennt das Unternehmen unter anderem Martin Vechev (ETH Zürich und INSAIT) und John Thickstun (Cornell University).
• Google hat sein Prüfportal SynthID Detector 2025 zunächst für Journalisten geöffnet und inzwischen für alle freigegeben. Googles eigene Produktseite nennt als prüfbare Formate allerdings nur Bilder, Video und Audio. Ob und für wen die Textprüfung verfügbar ist, ist widersprüchlich dokumentiert.

Die Zurückhaltung hat einen nachvollziehbaren Grund. Forscher haben mehrfach gezeigt, dass ein frei zugänglicher Detektor Angreifern hilft: Wer beliebig oft prüfen kann, kann einen Text so lange umformulieren, bis das Wasserzeichen verschwindet. Oder er bringt umgekehrt einem menschlichen Text das Muster bei, um ihn fälschlich als KI-Text erscheinen zu lassen („Spoofing“).

Wichtig ist außerdem: Gängige KI-Detektoren lesen keine Wasserzeichen. Sie schätzen anhand von Stilmerkmalen, ob ein Text maschinell klingt. Das gilt auch für unseren KI-Muster-Check, der bewusst nur auffällige Muster anzeigt und kein Urteil fällt. Ein Wasserzeichen-Nachweis ist etwas grundlegend anderes. Er weist nicht auf einen Stil hin, sondern auf eine konkrete Signatur, die nur der Hersteller kennt.

Wie robust sind die Markierungen?

Alle Hersteller räumen ein, dass ihre Wasserzeichen keine Beweiskraft haben. Gründe für ein fehlendes Signal gibt es viele: Der Text ist zu kurz, stark überarbeitet, paraphrasiert oder übersetzt, oder er stammt von einem Modell ohne Markierung. Umgekehrt beweist ein gefundenes Wasserzeichen nicht, dass die KI den Text geschrieben hat. Anthropic weist ausdrücklich darauf hin, dass Claude einen Text womöglich nur Korrektur gelesen, übersetzt oder zusammengefasst hat.

Die Forschung bestätigt das. Schon 2024 zeigten Forscher der ETH Zürich mit „Watermark Stealing“, dass sich die Regeln eines Wasserzeichens aus genügend markierten Texten näherungsweise rekonstruieren lassen. Damit lassen sie sich gezielt entfernen oder fälschen. Paraphrasier-Modelle wie DIPPER schreiben Texte so um, dass das Signal unter die Nachweisgrenze fällt. Mehrfache Übersetzung wirkt ähnlich.

Eine im September 2026 veröffentlichte Studie von Alexander Nemecek, Vipin Chaudhary und Erman Ayday benennt ein weiteres Problem: Niemand außerhalb der Hersteller kann deren Angaben zu Qualität und Robustheit überprüfen. Die Forscher testeten deshalb die Open-Source-Variante von SynthID-Text an zwei offenen Modellen. Ein Qualitätsverlust bei Fließtext war nicht messbar. Die Erkennung lag in ihrem Aufbau allerdings nahe am Zufall. Die Autoren fordern unabhängige Audits und ein gemeinsames Prüfprotokoll.

Ein verbreiteter Irrtum betrifft unsichtbare Sonderzeichen. Immer wieder kursieren Berichte über ungewöhnliche Leerzeichen oder Steuerzeichen in KI-Antworten, die als Wasserzeichen gedeutet werden. Mit den hier beschriebenen Verfahren haben sie nichts zu tun: Diese stecken ausschließlich in der Wortwahl. Wer Sonderzeichen entfernt, entfernt also kein Wasserzeichen.

Der rechtliche Rahmen: AI Act und China

Treiber der Entwicklung ist Artikel 50 des europäischen AI Act. Seit dem 2. August 2026 müssen Anbieter generativer KI ihre Ausgaben maschinenlesbar als künstlich erzeugt kennzeichnen, soweit das technisch machbar ist. Wie das konkret aussehen kann, beschreibt ein freiwilliger Verhaltenskodex, den die EU-Kommission am 10. Juni 2026 veröffentlicht hat. Rund 190 Organisationen haben ihn unterzeichnet.

Für Text verlangt der Kodex eine Markierungstechnik. Für Bilder, Audio und Video sind es mindestens zwei, etwa Wasserzeichen plus signierte Metadaten. Texte unter 200 Tokens, also etwa 150 Wörter, sind von der Wasserzeichenpflicht ausgenommen. Anbieter müssen einen Prüfmechanismus bereitstellen, grundsätzlich kostenlos. Behörden, Medien, Forschung und Zivilgesellschaft sollen freien Zugang erhalten. Bis zum 2. Februar 2027 sollen die Detektoren verschiedener Anbieter zusammenarbeiten, sodass man einen Text nicht bei jedem Hersteller einzeln prüfen muss. Für Systeme, die schon vor August auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026. Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden.

China ist schon weiter. Seit dem 1. September 2025 müssen KI-generierte Inhalte dort sichtbare und versteckte Kennzeichnungen tragen. Bei Text setzen die Regeln vor allem auf Metadaten. Echte Wasserzeichen in der Wortwahl werden empfohlen, aber nicht vorgeschrieben.

Fazit

Text-Wasserzeichen sind technisch elegant und kosten offenbar kaum Qualität. Sie lösen aber nicht das Problem, für das viele sie halten. Eine Lehrkraft kann einen Aufsatz damit heute nicht prüfen, und ein Treffer wäre auch kein Beweis. Worauf es bei Hausarbeiten stattdessen ankommt, zeigt unser Artikel KI in Hausarbeiten erkennen. Ihr Nutzen liegt eher in der Masse: Plattformen, Faktenchecker und Behörden können künftig größere Mengen an Text auf maschinelle Herkunft scannen. Ob das klappt, hängt davon ab, ob die versprochenen Prüfzugänge tatsächlich kommen und ob unabhängige Forscher die Angaben der Hersteller überprüfen dürfen.

Häufige Fragen

Kann ich selbst prüfen, ob ein Text ein KI-Wasserzeichen enthält?

Derzeit nicht verlässlich. Anthropic und OpenAI geben ihre Detektoren nur an zugelassene Organisationen heraus. Öffentliche KI-Detektoren lesen keine Wasserzeichen, sondern bewerten den Stil.

Lässt sich ein KI-Wasserzeichen entfernen?

Ja, zumindest teilweise. Umformulieren, Übersetzen oder das Austauschen vieler Wörter schwächt das Signal deutlich. Laut OpenAI senkt schon der Austausch eines Viertels der Wörter die Erkennungsrate von textGrain auf etwa 17 Prozent.

Enthält das Wasserzeichen persönliche Daten?

Nach Angaben von Anthropic und OpenAI nicht. Das Wasserzeichen verrät weder Konto noch Prompt noch Gesprächsverlauf, nur dass der Text vom jeweiligen Modell stammt oder verarbeitet wurde. Unabhängig überprüfen lässt sich das bislang nicht.

Beweist ein Wasserzeichen, dass ein Text von einer KI stammt?

Nein. Ein Treffer zeigt nur, dass das Modell an dem Text beteiligt war, etwa beim Korrigieren oder Übersetzen. Ein fehlender Treffer beweist ebenso wenig, dass ein Mensch den Text geschrieben hat.