Claude bekommt ein Text-Wasserzeichen. Der Grund ist die EU

Anthropic hat am 14. August 2026 bestätigt, dass künftige Claude-Modelle ein Text-Wasserzeichen tragen werden [1]. Die virale Version dieser Nachricht liegt in zwei Punkten daneben. Das Wasserzeichen (englisch „watermark“) steckt nicht in versteckten Zeichen, sondern im Muster der Wörter, die Claude wählt. Und der erklärte Grund sind nicht chinesische Labore, die Claude kopieren, sondern der EU AI Act [1].

Auslöser war eine Grafik, die durch die sozialen Netzwerke ging: „Claude versieht KI-generierten Text jetzt mit einem unsichtbaren Wasserzeichen, sodass er sich auch nach dem Kopieren und Einfügen noch erkennen lässt.“ Als Ein-Satz-Zusammenfassung ist das erstaunlich genau. Falsch ist, was die Leute hineinlesen. „Unsichtbar“ wird als versteckte Zeichen verstanden, die in die Ausgabe geschmuggelt werden, und der Zeitpunkt wird so gelesen, als rüste sich Anthropic gegen die chinesischen Labore, denen es Anfang 2026 vorgeworfen hatte, Claudes Fähigkeiten illegitim abgegriffen zu haben. Die erste Lesart missversteht den Mechanismus, die zweite behauptet mehr, als die Dokumentation hergibt. Beide verdienen es, in Ruhe auseinandergenommen zu werden.

Wie überlebt ein Wasserzeichen Copy-and-paste ohne versteckte Zeichen?

Weil das Wasserzeichen nicht am Text hängt. Es ist der Text. Claude markiert seine Ausgabe allein dadurch, welche Wörter es an Stellen wählt, an denen mehrere Optionen gleich gut funktionieren würden, und das Claude Help Center nennt die Konsequenz direkt: Das Wasserzeichen ist Teil des Textes und wandert deshalb mit, wenn der Text kopiert und woanders eingefügt wird [2].

So beschreibt Anthropic den Mechanismus: Ein Sprachmodell schreibt, indem es immer wieder das nächste Wort wählt, und an vielen Stellen ist diese Wahl fast egal, weil mehrere Wörter passen würden. Normalerweise wählt das Modell unter diesen akzeptablen Wörtern zufällig. Das Wasserzeichen lässt die Wahl zufällig bleiben, ändert aber, woher der Zufall kommt: Statt eines beliebigen Zufallsgenerators nutzt das Modell einen geheimen Schlüssel zusammen mit einigen der vorangegangenen Wörter, um zu bestimmen, welche Option es nimmt [1]. Über die vielen unkritischen Entscheidungen einer Passage hinweg entsteht so ein Muster, das kein Leser sehen kann, auf das aber jeder testen kann, der den Schlüssel besitzt [1]. Dem Text wird nichts hinzugefügt, es gibt keine versteckten Zeichen, und das Wasserzeichen braucht keine zusätzlichen Token, es macht Claude also weder im Betrieb noch in der Nutzung teurer [1].

Genauso klar sagt Anthropic, was das Wasserzeichen nicht tut: Es drängt Claude nie zu einem Wort, das das Modell nicht ohnehin in Betracht gezogen hätte. Das Beispiel der Ankündigung ist „nubilous“, ein obskures englisches Wort für bewölkt, das Claude so gut wie nie verwenden würde; das Wasserzeichen ändert nur, wie die Wahl zwischen plausiblen Wörtern ausfällt [1].

Der Ansatz ist geliehen, und Anthropic macht daraus kein Geheimnis. Claudes Wasserzeichen ist eine Variante von SynthID-Text, das Google DeepMind 2024 in der Fachzeitschrift Nature veröffentlicht hat, und die Methodenfamilie geht auf einen Vorschlag von Scott Aaronson aus dem Jahr 2022 zurück [1]. DeepMinds eigene Beschreibung deckt sich mit der von Anthropic: SynthID verschiebt während der Generierung die Wahrscheinlichkeitswerte der Kandidaten-Token, und das entstehende Muster über die Wortwahlen des Modells ist das Wasserzeichen [3]. Wegen des Nature-Papers nehme ich die Behauptung ernst, dass die Qualität nicht leidet. In einem Live-Experiment im Produktivsystem von Gemini mit fast 20 Millionen Antworten unterschied sich die Thumbs-up-Rate des Modells mit Wasserzeichen um 0,01 % von der des Modells ohne, die Thumbs-down-Rate um 0,02 %, beides statistisch nicht signifikant [4]. Anthropic berichtet dasselbe aus eigenen internen Tests: kein messbarer Effekt auf Inhalt, Kreativität oder Lesbarkeit von Claudes Text [1].

Die Erkennung nutzt denselben Mechanismus in umgekehrter Richtung. Mit dem Schlüssel kann ein Detektor prüfen, ob eine Passage die Wortwahlen, die eine Generierung mit Wasserzeichen bevorzugt hätte, deutlich häufiger enthält, als der Zufall erklärt. Das Signal sammelt sich Entscheidung für Entscheidung an, die Gewissheit über Claudes Beteiligung wächst also mit der Länge der Passage, und eine sehr kurze enthält zu wenige Entscheidungen, um irgendetwas zu belegen [1]. Die Copy-and-paste-Hälfte der viralen Grafik stimmt also, und zwar aus einem Grund, den die Grafik nicht zeigen kann: Es gibt nichts im Text, was man herauslösen könnte. Die „Warum jetzt“-Hälfte ist die, bei der die Geschichte meistens falsch erzählt wird.

Warum macht Anthropic das?

Um den EU AI Act zu erfüllen. Anthropic sagt das direkt: Das Unternehmen führt das Wasserzeichen ein, zusammen mit mehreren anderen großen KI-Anbietern, um den EU AI Act einzuhalten [1]. Artikel 50 Absatz 2 des Gesetzes, offiziell Verordnung (EU) 2024/1689 und im Deutschen meist KI-Verordnung genannt, verpflichtet Anbieter von KI-Systemen, die Text, Audio, Bilder oder Video generieren, ihre Ausgaben in einem maschinenlesbaren Format zu kennzeichnen, erkennbar als künstlich erzeugt [5].

Die Fristen erklären, warum es gerade August wurde. Die FAQ der Europäischen Kommission zu Artikel 50 hält fest, dass die Pflichten ab dem 2. August 2026 gelten, mit einer schmalen Übergangsfrist: Systeme, die vor diesem Datum bereits auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, die Kennzeichnungs- und Erkennungspflicht zu erfüllen [6]. Und es geht nicht um symbolische Beträge, denn die Bußgelder können 15 Millionen Euro oder 3 % des gesamten weltweiten Umsatzes des vorangegangenen Geschäftsjahres erreichen [6].

Anthropic hat außerdem den berechenbareren der beiden Compliance-Wege gewählt. Im Juli 2026 unterzeichnete das Unternehmen den EU Code of Practice on Transparency of AI-Generated Content [1], und die Seite der Kommission zu dem Kodex erklärt, warum ein Anbieter das tut: Unterzeichner können sich auf die Maßnahmen des Kodex stützen, um Compliance nachzuweisen, während Anbieter mit eigenem Ansatz die Marktaufsichtsbehörden einzeln davon überzeugen müssen, dass ihre Maßnahmen ausreichen [7]. Bis Ende Juli 2026 hatten rund 190 Organisationen unterschrieben, und zu den prominenten KI-Unterzeichnern, die die Kommission nennt, gehören Anthropic, Google, Meta, Microsoft, Mistral und OpenAI [8]. Was auch immer aus Text-Wasserzeichen wird, eine Claude-Eigenheit werden sie nicht sein.

Was will die EU eigentlich verhindern? Die Leitlinien der Kommission zu diesen Transparenzpflichten beschreiben das Problem so: KI-Inhalte sind kaum noch von menschlichen zu unterscheiden, und das erhöht die Risiken von Desinformation und Manipulation im großen Maßstab, Betrug, Identitätsmissbrauch und Verbrauchertäuschung [9].

Ein Detail wirkt für eine EU-Regel seltsam: Das Wasserzeichen kommt weltweit. Anthropics Erklärung dafür ist operativ, nicht juristisch. Das Unternehmen hat bisher keinen zuverlässigen Weg, das Wasserzeichen regional zu begrenzen, also gilt es zum Start global, und Anthropic sagt, es prüfe weiter andere Ansätze [1]. Das Claude Help Center bestätigt den Geltungsbereich: Die Kennzeichnung gilt für Ausgaben unterstützter Modelle überall dort, wo Claude angeboten wird [2]. Merk dir dieses Detail, es wird im nächsten Abschnitt gebraucht.

Die China-Theorie, ernst genommen

Die konkurrierende Erklärung verdient mehr als eine Abfuhr, denn jeder Fakt, auf dem sie steht, ist real. Die Theorie geht so: Anthropic hat 2026 chinesische Labore der Destillation beschuldigt, also der Praxis, das eigene Modell mit den Ausgaben eines fremden Modells zu trainieren (englisch „model distillation“), und die Forschung zeigt, dass Wasserzeichen in Modelle durchsickern können, die auf markiertem Text trainiert wurden. Also müsse das Wasserzeichen in Wahrheit ein Werkzeug sein, um diese Labore zu überführen, und der EU AI Act sei die bequeme Tarnung.

Der Destillationsstreit ist gründlich dokumentiert. Am 23. Februar 2026 erklärte Anthropic, es habe industrielle Kampagnen von DeepSeek, Moonshot und MiniMax identifiziert, die Claudes Fähigkeiten abgreifen sollten: mehr als 16 Millionen Interaktionen mit Claude über ungefähr 24.000 betrügerische Konten, gerichtet auf Claudes Fähigkeiten als Agent, im Tool-Einsatz und beim Programmieren [10]. Reuters berichtete am selben Tag über die Vorwürfe und hielt fest, dass keines der drei Unternehmen unmittelbar reagierte [11]. Die Juni-Runde war größer. Am 24. Juni 2026 berichtete Reuters unter Berufung auf einen Brief Anthropics an zwei US-Senatoren, dass mit Alibaba und dessen Qwen-Labor verbundene Akteure zwischen dem 22. April und dem 5. Juni 2026 mehr als 28,8 Millionen Interaktionen über knapp 25.000 betrügerische Konten erzeugten, was Anthropic den größten bekannten Angriff dieser Art auf das Unternehmen nannte. Auch Alibaba reagierte zunächst nicht [12].

Auch die Forschungshälfte hält stand. In einem auf der NeurIPS 2024 vorgestellten Paper zeigten Tom Sander und Kollegen, dass Wasserzeichen Sprachmodelle „radioaktiv“ machen: Ein Modell, das auf markiertem Text feinabgestimmt wurde, erbt schwache, aber nachweisbare Spuren des Wasserzeichens, und bei einem Open-Weights-Modell konnten sie das Training auf markierten Instruktionen selbst dann mit hoher Sicherheit belegen, wenn nur 5 % des Trainingstexts ein Wasserzeichen trugen [13].

Die Gegenforschung ist genauso real. Ein Paper von Leyi Pan und Kollegen, für die ACL 2025 angenommen, prüfte, ob Wasserzeichen unautorisierte Wissensdestillation verhindern können, und fand zwei Wege daran vorbei: die Trainingsdaten vor der Destillation paraphrasieren oder das Wasserzeichen nach dem Training zur Laufzeit neutralisieren. Beides entfernte die geerbten Markierungen gründlich, und die Laufzeit-Methode schaffte das, ohne die übernommene Fähigkeit einzubüßen und mit geringem Zusatzaufwand [14]. Das Wettrüsten hat inzwischen Wasserzeichen hervorgebracht, die genau für diesen Kampf gebaut sind: Im Mai 2026 veröffentlichten Forscher aus Metas FAIR-Labor, darunter die Hauptautoren des Radioaktivitäts-Papers, TextSeal, ein Wasserzeichen, das Destillation nachweisbar überstehen soll und sich direkt mit SynthID-Text vergleicht [15].

Die Theorie ist also in sich stimmig. Was ihr fehlt, ist die Dokumentation. Es gibt keine öffentliche Aussage, die Claudes Wasserzeichen mit Destillation verbindet; der Grund, den Anthropic nennt, ist der EU AI Act [1]. Anthropics Februar-Beitrag zu den Destillationsangriffen zählt die eigenen Abwehrmaßnahmen auf, und das Wasserzeichen steht nicht auf der Liste: Klassifikatoren und Verhaltens-Fingerprinting für API-Traffic, Erkennung koordinierter Aktivität über Konten hinweg, strengere Verifizierung für die am häufigsten missbrauchten Kontotypen und Gegenmaßnahmen, die Ausgaben für illegitime Destillation weniger nützlich machen sollen [10]. Und jetzt leistet das Rollout-Detail aus dem vorigen Abschnitt seine Arbeit. Anthropic wendet das Wasserzeichen nur deshalb weltweit an, weil ihm ein zuverlässiger Weg fehlt, es regional zu begrenzen, und es sucht weiter nach einem [1]. Ein Labor, das das Wasserzeichen gebaut hätte, um Destillation aufzudecken, würde nicht daran arbeiten, es außerhalb Europas abschalten zu können.

Der Zeitplan zeigt in dieselbe Richtung. Die Wasserzeichen-Ankündigung kam zwölf Tage, nachdem Artikel 50 anwendbar wurde, und deutlich vor der Frist am 2. Dezember 2026 für ältere Systeme; auf die DeepSeek-Vorwürfe folgte sie mit fast sechs Monaten Abstand, auf den Alibaba-Brief mit sieben Wochen. Leg die beiden Kalender nebeneinander, und die Compliance-Erklärung braucht schlicht weniger Annahmen: Jedes Wasserzeichen-Datum folgt einer EU-Pflicht, während die Destillationsdaten Monate entfernt liegen.

1. 23. Feb. 2026

   Destillationsvorwürfe

   Anthropic nennt DeepSeek, Moonshot und MiniMax.

2. 24. Juni 2026

   Alibaba-Vorwurf

   Reuters berichtet von 28,8 Millionen Interaktionen über betrügerische Konten.

3. 31. Juli 2026

   Stand beim Code of Practice

   Die Kommission zählt rund 190 Unterzeichner, darunter Anthropic.

4. 2. Aug. 2026

   Artikel 50 gilt

   Neue KI-Systeme müssen generierte Inhalte kennzeichnen.

5. 14. Aug. 2026

   Wasserzeichen angekündigt

   Künftige Claude-Modelle markieren ihren Text.

6. 2. Dez. 2026

   Frist für ältere Systeme

   Die Pflicht erreicht Systeme, die vor dem 2. August 2026 auf dem Markt waren.

Nichts davon beweist ein Motiv, und ein Unternehmen kann zwei Gründe haben und einen veröffentlichen. Was ich trennen kann: das Dokumentierte vom Undokumentierten. Der Destillationsstreit ist real, und Anthropic führt ihn mit benannten Werkzeugen. Das Wasserzeichen hat genau einen erklärten Zweck: EU-Compliance. Und falls markierte Claude-Ausgaben doch in fremden Trainingsdaten landen, legt die Radioaktivitätsforschung nahe, dass Anthropic als Nebeneffekt eine Nachweismöglichkeit gewinnt, ob das nun jemand so geplant hat oder nicht [13]. Was so ein Nachweis tatsächlich belegen würde, ist eine eigene Frage.

Was beweist ein positiver Nachweis wirklich?

Dass Claude wahrscheinlich beteiligt war, und viel mehr nicht. Anthropic erklärt, sein Schlüssel beantworte eine einzige Frage: wie wahrscheinlich es ist, dass ein Text teilweise von Claude geschrieben wurde. Ein Treffer kann „Claude hat das geschrieben“ nicht von „Claude hat das stark überarbeitet“ unterscheiden, kann nicht bestätigen, dass ein Text von einem Menschen stammt, und erkennt keine fremde KI, denn die würde einen anderen Schlüssel oder eine andere Methode verwenden [1].

Eine Markierung kann Beteiligung sogar übertreiben. Das Claude Help Center weist darauf hin, dass Ausgaben eine Claude-Markierung tragen können, obwohl die Ideen, Texte oder Daten dahinter aus einer anderen Quelle stammen. Ein Nachweis sagt also, dass Claude die Wörter irgendwann verarbeitet hat, nicht, woher die Ideen kommen [2].

Ein negatives Ergebnis beweist noch weniger. Das Help Center listet die Situationen auf, in denen markierter Inhalt nicht mehr nachweisbar ist: Die Passage ist sehr kurz, oder der Text wurde stark bearbeitet, paraphrasiert, übersetzt oder mit anderem Text vermischt [2]. Text kann auch von einem Claude-Modell stammen, das noch gar nicht markiert, denn Modelle mit Start vor dem 2. August 2026 sind noch in der Umstellung; Anthropic sagt, das Wasserzeichen werde für diese Modelle in den kommenden Monaten ausgerollt [1] [2]. Beim Thema Übersetzung braucht es einen genauen Satz, denn der Effekt läuft in beide Richtungen: Eine Übersetzung, die Claude anfertigt, trägt ein frisches Wasserzeichen, weil jedes Wort darin Claudes Wahl ist [1], während bereits markierter Text, der durch einen anderen Übersetzer läuft, seine Wortwahlen und damit womöglich das Signal verliert [2].

Das Wasserzeichen ist außerdem absichtlich ungleichmäßig. Wo nur eine Ausgabe richtig ist, wird es nicht angewendet, weil ein anderes Wort den Text falsch machen würde. Anthropics Beispiel ist die Vervollständigung von „Isaac Newtons berühmtestes Werk hieß Principia“, wo „Mathematica“ die einzige richtige Antwort ist; das Wasserzeichen hat dort nichts, woran es ansetzen könnte [1]. Dieselbe Logik dünnt die Markierung in Code aus, der meist exakt sein muss; freie Entscheidungen wie die Formulierung von Kommentaren können sie tragen, aber Anthropic erwartet einen vernachlässigbaren Effekt auf den eigentlichen Code [1]. Korrekturlesen verhält sich genauso: Wenn Claude in einem menschlichen Text nur Grammatik und Zeichensetzung repariert, kann das Wasserzeichen nur in der Handvoll Korrekturen leben, und die reichen womöglich nicht für einen Nachweis [1]. Das passt zum Gesetz, denn Artikel 50 nimmt KI aus, die eine unterstützende Funktion für übliche Bearbeitung erfüllt oder die Eingabe nicht wesentlich verändert [5].

Kann jemand das Wasserzeichen gezielt entfernen? Claudes Version hat außerhalb von Anthropic noch niemand getestet, aber die SynthID-Text-Familie wurde untersucht. Im Dezember 2024 nahm das SRI Lab der ETH Zürich SynthID-Text auf einem lokal betriebenen Llama-Modell unter die Lupe und fand es schwerer zu fälschen als vergleichbare Verfahren, aber leichter zu entfernen: Paraphrasieren beseitigte es leichter als andere aktuelle Wasserzeichen, selbst wenn der Angreifer nichts weiter als frei verfügbare Paraphrasier-Tools benutzte [16]. Anthropic räumt den Endpunkt selbst ein: Leichte Bearbeitung entfernt das Wasserzeichen wahrscheinlich nicht vollständig, eine komplette Neuformulierung, bei der jedes Wort ersetzt wird, schon, und an dem Punkt lässt sich darüber streiten, ob der Text überhaupt noch KI-generiert ist [1].

Zwei weitere Grenzen zählen. Das Wasserzeichen trägt nichts über dich in sich: Anthropic erklärt, weder im Wasserzeichen noch in seinem Schlüssel stecke etwas, womit sich Informationen über Nutzer, Organisation oder Unterhaltungen rekonstruieren ließen, und eine Markierung ändert nichts an Eigentum oder Nutzerrechten [1]. Und im Moment kann ohnehin niemand prüfen. Der Nachweis braucht den Schlüssel, weshalb KI-Detektoren von Drittanbietern andere Methoden verwenden [1], und die Erkennungs-API, die Anthropic bald anbieten will, hatte am 17. August 2026 weder veröffentlichte Implementierungsdetails noch Schwellenwerte oder ein Zugangsmodell [1].

Was das für Code, Dateien und den Arbeitsalltag bedeutet

Die Erkennung ist vorerst nicht zugänglich, die Markierung wartet aber nicht, also lohnt es sich zu wissen, wo die Markierungen auftauchen werden und wo nicht. Der Rollout folgt Modellen, nicht Produkten: Das Wasserzeichen wird auf Modellebene angewendet, ein unterstütztes Modell markiert seinen Text also überall, wo es läuft, ob in den Claude-Apps, über die API der Claude Platform, in Claude Code, Claude Cowork oder Claude Tag oder im Zugriff über AWS, Google Cloud und Microsoft Foundry [2]. Anthropic schränkt ein, dass manche Plattformen oder Funktionen nicht jede Markierungsart unterstützen [2]. Modelle mit Start am oder nach dem 2. August 2026 markieren von Anfang an; ältere Modelle bekommen die Fähigkeit, sobald die Umstellung sie erreicht [2]. Es gibt keinen Stichtag, an dem aller Claude-Text markiert ist, und damit auch keinen Stichtag, ab dem die Erkennung flächendeckend verlässlich wird.

Für Programmierer dürften die praktischen Auswirkungen klein bleiben. Code muss meist exakt sein, exakte Ausgaben werden nicht markiert, und Anthropic erwartet einen vernachlässigbaren Effekt auf den Code, den Claude tatsächlich produziert; in einer Coding-Session lebt das Signal vor allem dort, wo Formulierungen frei sind, etwa in Kommentaren [1]. Gewöhnliche Prosa ist der Ort, an dem das Wasserzeichen Raum hat, und dort sagen sowohl Anthropics interne Tests als auch DeepMinds Gemini-Experiment, dass sich die Qualität nicht messbar bewegt [1] [4].

Dateien werden völlig anders behandelt. Wenn Claude einen unterstützten Dateityp erzeugt, etwa .png, .jpg oder .svg, hängt es ein Content Credential an: einen kleinen, kryptografisch signierten Vermerk in den Metadaten der Datei, der festhält, dass die Datei mit Claude erstellt oder verarbeitet wurde [1]. Das Format ist C2PA von der Coalition for Content Provenance and Authenticity, ein offener technischer Standard zum Nachweis von Herkunft und Bearbeitungsgeschichte digitaler Inhalte, derselbe, den auch Kamerahersteller und Bildbearbeitungssoftware verwenden [1] [17]. Jedes C2PA-fähige Tool kann das Credential lesen, und Anthropic will ein eigenes Prüfwerkzeug anbieten [1].

Meine Lesart der beiden Mechanismen: Sie versagen in entgegengesetzte Richtungen. Das Text-Wasserzeichen überlebt Copy-and-paste, weil es aus den Wörtern selbst besteht, und es verblasst erst, wenn diese Wörter beim Bearbeiten ersetzt werden [2]. Das Datei-Credential lässt den Inhalt der Datei unangetastet, lebt aber in Metadaten, und die gehen verloren, sobald jemand einen Screenshot macht, das Format konvertiert oder die Datei neu speichert [2].

Eigenschaft	Text-Wasserzeichen	C2PA-Datei-Credential
Wo das Signal lebt	Im Muster der Wortwahlen	In signierten Metadaten der Datei
Verändert den Inhalt selbst	✗ Nein	✗ Nein
Überlebt Copy-and-paste	Ja, die Markierung ist der Text	Nur wenn die Metadaten mitkommen
Was die Markierung entfernt	Eine Neuformulierung, die die Wörter ersetzt	Screenshots, Formatkonvertierung, Neu-Speichern
Identifiziert den Nutzer	✗ Nein	✗ Nein
Wie man prüft	Anthropics Schlüssel; eine Erkennungs-API ist geplant	Jedes C2PA-fähige Tool

Was hier kommt, ist nicht der KI-Detektor, nach dem Lehrer und Redakteure ständig fragen, und Anthropic behauptet das auch nicht: Ohne den Schlüssel gibt es nichts zu prüfen, und selbst mit ihm ist die Antwort eine Wahrscheinlichkeit, kein Urteil [1]. Was hier kommt, ist ein Herkunftsnachweis, der in die Modelle selbst eingebaut ist, weil ein Gesetz ihn verlangt und rund 190 Organisationen sich darauf geeinigt haben, wie er auszusehen hat [8]. Mein eigener nächster Schritt ist konkret: Sobald die Erkennungs-API erscheint, schicke ich meine veröffentlichten Artikel und einen Stapel Claude-Transkripte hindurch und schreibe auf, was die Konfidenzwerte bei unterschiedlichen Textlängen tatsächlich tun.