AI-Watermarks: Transparenz oder nur Scheintransparenz?

Anthropic hat angekündigt, von Claude generierte Inhalte künftig maschinenlesbar zu markieren. Neue Claude-Modelle, die seit dem 2. August 2026 in der EU eingeführt werden, sollen diese Markierung von Beginn an unterstützen. Für Text setzt Anthropic auf ein unsichtbares, in den Text eingebettetes Watermark. Für unterstützte Dateiformate kommen zusätzlich signierte Provenienz-Metadaten auf Basis von C2PA zum Einsatz. Die Markierungen sollen über Claude, die API, Claude Code, Claude Cowork und weitere Anthropic-Produkte hinweg eingesetzt werden.

Die Idee dahinter ist nachvollziehbar.

Wir produzieren immer mehr Inhalte mit generativer AI. Gleichzeitig wird es immer schwieriger festzustellen, wo ein Text, Bild oder Video herkommt. Der EU AI Act verpflichtet Anbieter deshalb seit dem 2. August 2026 grundsätzlich dazu, synthetische Inhalte maschinenlesbar zu markieren und als künstlich erzeugt oder manipuliert erkennbar zu machen. Die technische Lösung soll, soweit technisch möglich, effektiv, interoperabel, robust und zuverlässig sein.

Mehr Transparenz klingt also zunächst nach einer guten Sache.

Nur beginnt das eigentliche Problem an einer ganz anderen Stelle:

Was beweist ein solcher Marker eigentlich?

Anthropic beantwortet diese Frage überraschend deutlich.

Ein gefundener Claude-Marker bedeutet laut Anthropic nicht automatisch, dass Claude der Autor des Inhalts war. Die eigene Dokumentation sagt, dass ein positiver Treffer darauf hinweist, dass der Inhalt „may have been processed by Claude“. Anthropic schreibt zusätzlich ausdrücklich: „Claude may not be the original author.“

Anthropic nennt dafür selbst Beispiele.

Menschen können Claude verwenden, um einen bestehenden Text zu korrigieren, zu übersetzen, zusammenzufassen oder eine Datei zu konvertieren. Auch dann kann der resultierende Output einen Claude-Marker enthalten, obwohl die zugrunde liegenden Ideen, Texte oder Daten ursprünglich aus einer anderen Quelle stammen.

Und genau hier liegt für mich das Kernproblem.

„Claude hat diesen Output verarbeitet“ ist nicht dasselbe wie „Claude hat diesen Inhalt verfasst“.

Das klingt banal. In der Praxis kann dieser Unterschied aber gewaltig werden.

Grafik 1: Ein Befund, zwei Deutungen

Ausgabe des Detectors

Claude-Marker im Text gefunden 99,9 %

Was gemessen wurde

„Der Inhalt könnte von Claude verarbeitet worden sein.“

Was daraus gelesen wird

„Dieser Mensch hat den Text von AI schreiben lassen.“

Derselbe Messwert. Zwei Aussagen, die nicht dasselbe bedeuten.

Das Bachelorarbeits-Problem

Nehmen wir einen Studenten.

Er recherchiert seine Bachelorarbeit selbst. Er liest die Quellen. Er entwickelt die Argumentation. Er erstellt die Struktur. Er schreibt den Text.

Nach Monaten Arbeit ist die Thesis fertig.

Anschliessend gibt er sie Claude und sagt:

• Prüfe Rechtschreibung und Grammatik.
• Kontrolliere die Quellen nochmals.
• Weise mich auf unverständliche Formulierungen hin.
• Glätte sprachlich holprige Stellen.

Nehmen wir an, der Student verwendet anschliessend die von Claude bearbeitete Version.

Der Output kann nun einen Claude-Marker tragen. Genau einen solchen Fall beschreibt Anthropic selbst als mögliche Einschränkung seines Systems.

Ein halbes Jahr später prüft die Universität die Thesis mit einem entsprechenden Detector.

Claude-Marker gefunden.

Was können wir daraus schliessen?

Dass Claude die Bachelorarbeit geschrieben hat?

Nein.

Dass Claude die Argumentation entwickelt hat?

Nein.

Dass der Student seine Recherche nicht selbst gemacht hat?

Nein.

Dass Claude drei Tippfehler korrigiert hat?

Vielleicht.

Dass Claude dreissig Seiten vollständig neu formuliert hat?

Auch möglich.

Der Marker allein beantwortet diese Frage nicht.

Das ist der entscheidende Punkt.

Ein technisch korrekt erkannter Watermark könnte zuverlässig feststellen, dass Claude an einem bestimmten Output beteiligt war, und trotzdem keinerlei Antwort darauf liefern, welche Rolle Claude dabei gespielt hat.

War Claude Autor? Co-Autor? Lektor? Übersetzer? Zusammenfasser? Oder lediglich eine sehr teure Rechtschreibprüfung?

Anthropics derzeit veröffentlichte Beschreibung des Markers differenziert diese Rollen nicht. Ein positiver Treffer bestätigt laut Anthropic ausdrücklich nicht die vollständige Provenienz eines Inhalts.

Natürlich gibt es hier eine wichtige Einschränkung: Wenn eine Universität bereits jede Form von AI-Unterstützung, inklusive Proofreading, ausdrücklich verbietet, könnte auch eine minimale Verwendung regelwidrig sein. Das hängt von den jeweiligen Prüfungsregeln ab.

Aber auch in diesem Fall bleibt die technische Frage bestehen:

Der Marker sagt nicht, was tatsächlich passiert ist.

Und wenn Proofreading erlaubt, AI-Autorenschaft aber verboten ist, wird dieser Unterschied entscheidend.

Grafik 2: Zwei Bachelorarbeiten, ein Messergebnis

Anteil Mensch Anteil Claude

Szenario A Claude korrigiert 3 Tippfehler

100 Seiten Recherche, Argumentation und Text vom Studenten Marker vorhanden

Szenario B Claude formuliert 30 Seiten neu

70 Seiten vom Studenten, 30 Seiten von Claude geschrieben Marker vorhanden

Was der Detector in beiden Fällen ausgibt identisch

Detection ist nicht Contribution Tracking.

Interessanterweise unterscheidet der EU AI Act genau an dieser Stelle

Artikel 50 Absatz 2 des AI Acts verpflichtet Anbieter generativer AI-Systeme grundsätzlich dazu, synthetische Audio-, Bild-, Video- und Textinhalte maschinenlesbar zu markieren.

Aber der Gesetzgeber hat ausdrücklich eine Ausnahme vorgesehen.

Die Markierungspflicht gilt nicht, soweit ein AI-System lediglich eine unterstützende Funktion für Standard-Editing übernimmt oder den vom Nutzer bereitgestellten Input beziehungsweise dessen Semantik nicht wesentlich verändert.

Die finalen Guidelines der EU-Kommission bestätigen diese Ausnahme noch einmal ausdrücklich und enthalten praktische Beispiele dafür, was als Standard-Editing gilt und was darüber hinausgeht.

Das ist in diesem Zusammenhang ziemlich interessant.

Denn Anthropic sagt gleichzeitig selbst, dass Proofreading-Outputs einen Claude-Marker tragen können. Zudem kündigt Anthropic an, dass eingebettete Watermarks auf den generierten Text unterstützter Modelle angewendet werden sollen.

Damit kann Anthropics Produktpolitik offenbar auch Situationen erfassen, für die Artikel 50(2) gerade eine Ausnahme von der gesetzlichen Markierungspflicht vorsieht.

Das bedeutet nicht, dass Anthropic gegen den AI Act verstösst.

Die Ausnahme bedeutet, dass in solchen Fällen keine gesetzliche Pflicht zur Markierung besteht. Sie verbietet freiwillige Markierungen nicht. Der Code of Practice selbst ist ebenfalls freiwillig, während die zugrunde liegenden Anforderungen des AI Acts verbindlich sind. Anthropic gehört zu den offiziellen Unterzeichnern des Provider-Teils des Codes.

Die interessantere Frage lautet daher:

Warum entscheidet sich Anthropic für ein Signal, das möglicherweise breiter eingesetzt wird als gesetzlich zwingend erforderlich?

Und vor allem:

Welche Folgen entstehen, wenn dieses freiwillig breitere Signal anschliessend von Dritten als Beweis für AI-Autorenschaft interpretiert wird?

Wie ein Text-Watermark technisch funktioniert

Anthropic hat nicht veröffentlicht, wie das Text-Watermark von Claude im Detail arbeitet, und verweist auf eine kommende technische Dokumentation. Die Aussage „Claude verwendet Google SynthID“ wäre deshalb falsch. Wir wissen es nicht.

Dokumentiert ist dagegen SynthID-Text von Google DeepMind: beschrieben in einem Nature-Paper, produktiv im Einsatz und damit das konkreteste öffentlich nachvollziehbare Beispiel für ein generatives Text-Watermark. Daran lässt sich zeigen, was ein solches Verfahren tut und was daraus folgt.

Der Eingriff passiert beim Sampling, nicht im Training

Ein Sprachmodell erzeugt Text Token für Token. Für jeden Schritt berechnet es, welche Fortsetzungen im aktuellen Kontext wie wahrscheinlich sind. Bei „Der Himmel ist …“ bekommt „blau“ einen hohen Wert, ein unpassendes Wort einen niedrigen.

An diesem Modell ändert SynthID-Text nichts. Laut Nature-Paper greift das Verfahren ausschliesslich in das Sampling ein, also in die Entscheidung, welches der möglichen Tokens tatsächlich genommen wird. Das Training bleibt unangetastet. Google beschreibt den Eingriff als Anpassung der Wahrscheinlichkeits-Scores während der Textgenerierung.

Das Watermark ist ein Muster, kein markiertes Wort

Entscheidend ist, was daraus im fertigen Text entsteht. Kein einzelnes Wort trägt die Markierung. Erst das Zusammenspiel aus den tatsächlich gewählten Wörtern und den dafür angepassten Scores ergibt ein Muster über den gesamten Text. Genau dieses Muster vergleicht der Detector anschliessend mit dem, was für markierten und für nicht markierten Text zu erwarten wäre.

Grafik 3: Wie ein generatives Watermark entsteht und wieder gefunden wird

1 · Beim Generieren

Für „Der Himmel ist …“ berechnet das Modell, wie wahrscheinlich jedes mögliche nächste Wort ist. Das Watermark-Verfahren verschiebt diese Werte kontrolliert, und zwar so wenig, dass der Text gleichwertig bleibt.

Score des Modells nach der Anpassung

• blau 42 % 38 %
• klar 17 % 21 %
• hell 11 % 12 %
• grau 8 % 7 %

2 · Im fertigen Text

Vielen Dank für Ihre Anfrage. Gerne sende ich Ihnen die gewünschten Unterlagen bis Ende Woche zu und melde mich anschliessend für einen kurzen Termin.

Anpassung schwach bis stark

Wahrscheinlichkeit für ein Watermark 99,9 %

Wo viele Formulierungen passen, kann das Verfahren stärker eingreifen, und das Wort trägt mehr Signal. Wo kaum eine Alternative bleibt, trägt es fast keines: nach „Vielen“ ist „Dank“ praktisch vorgegeben, dort bleibt nichts einzubetten. Genau diese Abhängigkeit wird weiter unten bei wörtlichen Zitaten wichtig.

Wichtig: Aufbau und Werte folgen der Erklärung, die Google DeepMind für SynthID veröffentlicht hat. Es ist eine Illustration dieses Verfahrens, nicht die bestätigte Funktionsweise von Claude. Die Zahlen sind Beispielwerte.

Deshalb rät ein Detector nicht, ob ein Text „nach AI klingt“

Der Unterschied zu einem reinen Stil-Detector ist grundlegend, und er wird regelmässig übersehen.

Ein Stil-Detector fragt: Sieht diese Wortfolge statistisch nach einem Sprachmodell aus? Das ist eine Schätzung. Sie muss an Menschen scheitern, die nüchtern und strukturiert schreiben, und sie lässt sich durch Umformulieren aushebeln.

Ein generatives Watermark fragt etwas anderes: Enthält dieser Text das Signal, das beim Sampling eingebettet wurde? Das ist keine Vermutung über den Stil, sondern eine Messung an einer Eigenschaft, die absichtlich hineingelegt wurde.

Genau deshalb ist der Einwand „AI wurde doch auf menschlichen Texten trainiert, wie will man das je unterscheiden“ hier nicht anwendbar. Er trifft Stil-Detektoren. Ein generatives Watermark sucht nicht nach menschlichen oder maschinellen Sprachmustern, sondern nach einer Zutat, die im normalen Text gar nicht vorkommt.

Damit ist zugleich gesagt, was ein solches Verfahren im besten Fall leisten kann: Es stellt fest, dass ein Text durch ein bestimmtes System gelaufen ist. Nicht, was dort mit ihm passiert ist.

Die eigentliche Blackbox liegt woanders

Claude ist ein proprietäres System.

Aber daraus folgt nicht automatisch, dass ein Watermark nicht unabhängig überprüfbar sein kann.

SynthID zeigt genau das Gegenteil: Der veröffentlichte Detector-Ansatz benötigt laut Google DeepMinds Nature-Paper keinen Zugriff auf das zugrunde liegende LLM.

Theoretisch könnte Anthropic also ein überprüfbares Detection-System anbieten, ohne seine Claude-Modellgewichte offenzulegen.

Das Problem ist momentan ein anderes: Uns fehlen die technischen Details.

Anthropic sagt selbst, dass die entsprechende Dokumentation noch folgen wird.

Damit sind derzeit zentrale Fragen offen.

• Wie hoch ist die False-Positive-Rate?
• Wie hoch ist die False-Negative-Rate?
• Wie viel Text benötigt der Detector?
• Wie verändert sich die Zuverlässigkeit je nach Sprache?
• Kann ein Detector einzelne Abschnitte erkennen oder nur komplette Dokumente bewerten?
• Was passiert bei gemischten Texten aus menschlichen und AI-generierten Passagen?
• Wie stark kann ein Text bearbeitet werden, bevor der Marker verschwindet?
• Kann ein unabhängiger Wissenschaftler die angegebenen Fehlerraten reproduzieren?
• Welche Schwelle führt zu einem positiven Treffer?

Und vielleicht am wichtigsten: Wie kann ein betroffener Mensch einen Treffer anfechten?

Anthropic räumt selbst mehrere Grenzen ein. Ein fehlender Marker beweist nicht, dass ein Text ohne AI entstanden ist. Starke Überarbeitung, Paraphrasierung oder Übersetzung kann die Erkennung beeinträchtigen. Sehr kurze Texte können schlicht zu wenig Information enthalten, um ein zuverlässiges Signal zu liefern.

Damit erhalten wir eine interessante Asymmetrie: Ein positiver Treffer kann bedeuten, dass Claude diesen Inhalt verarbeitet haben könnte. Er bedeutet nicht automatisch, dass Claude diesen Inhalt geschrieben hat. Und kein Treffer bedeutet ebenfalls nicht automatisch, dass dieser Inhalt menschlich geschrieben ist.

Das Watermark ist also weder vollständiger Herkunftsnachweis noch universeller AI-Detector.

Anthropic sagt das im Grunde selbst.

Grafik 4: Was ein Claude-Marker beantworten kann

Frage an den Marker	Antwort
Trägt der Text einen unterstützten Claude-Marker?	beantwortet
Könnte Claude den Output verarbeitet haben?	beantwortet
Hat Claude den Text ursprünglich geschrieben?	offen
Wie viel davon hat Claude geschrieben?	offen
Hat Claude nur die Rechtschreibung korrigiert?	offen
Stammt die Recherche vom Menschen?	offen
Wurde gegen Prüfungsregeln verstossen?	offen
Wurde der Text nach Claudes Bearbeitung noch verändert?	offen

6 von 8 Fragen bleiben offen, und es sind genau die, wegen derer jemand den Detector überhaupt laufen lässt.

Und was passiert bei wörtlichen Zitaten?

Jetzt wird es technisch besonders interessant.

Generative Text-Watermarks wie SynthID benötigen Wahlfreiheit während der Token-Auswahl.

Das Nature-Paper beschreibt zwei zentrale Faktoren für eine zuverlässige Erkennung: die Länge des Textes und die Entropie der Token-Verteilung.

Entropie bedeutet in diesem Zusammenhang vereinfacht: Wie viele plausible Möglichkeiten hat das Modell für das nächste Token?

Wenn viele verschiedene Formulierungen möglich sind, kann das Watermarking-Verfahren zwischen Alternativen wählen und dabei sein statistisches Signal einbetten.

Wenn praktisch nur eine korrekte Ausgabe möglich ist, wird das schwieriger.

Die SynthID-Forscher schreiben ausdrücklich, dass eine sehr niedrige Entropie die Watermark-Erkennung schwächt. Wenn das Modell praktisch immer dieselbe Antwort liefern muss, kann das Sampling kaum Tokens auswählen, die das Watermark stärker tragen.

Und damit kommen wir zu einem sehr einfachen Beispiel.

Ich sage zu Claude:

• Gib mir diesen Gesetzesabsatz exakt und wortwörtlich wieder.
• Gib mir diesen Bibelvers wortwörtlich wieder.
• Übernimm dieses Zitat exakt, ohne ein einziges Wort zu verändern.

Dann soll Claude gerade keine alternative Formulierung auswählen.

Es gibt keinen Spielraum für ein Synonym. Keine bessere Satzstellung. Keine stilistische Variante.

Der korrekte Output ist bereits vorgegeben.

Falls Anthropic tatsächlich ein SynthID-artiges generatives Watermark verwendet, entsteht damit eine sehr konkrete technische Frage:

Woher kommt bei einem weitgehend deterministischen Output genügend Kapazität für einen zuverlässigen Watermark?

Wir kennen die Antwort für Claude noch nicht.

Vielleicht hat Anthropic dafür andere Mechanismen. Vielleicht kombiniert Anthropic verschiedene Verfahren. Vielleicht gelten für solche Outputs andere Detection-Grenzen.

Aber genau deshalb brauchen wir die angekündigte technische Dokumentation.

Und es ist interessant, dass Anthropic bereits selbst zugibt, dass sehr kurze Textpassagen möglicherweise zu wenig Material für einen zuverlässigen Treffer enthalten.

Dann kommt Claude Code

Auch hier lohnt es sich, sehr genau zu formulieren.

Anthropic sagt, dass die Markierungen über unterstützte Claude-Modelle hinweg in Produkten wie Claude, Claude Platform, Claude Code, Claude Cowork und Claude Tag eingesetzt werden sollen. Anthropic schreibt ausserdem, dass eingebettete Watermarks für den generierten Text gelten sollen.

Die finalen EU-Guidelines nennen Source Code hingegen ausdrücklich als Beispiel für Output, der ausserhalb der Markierungspflicht nach Artikel 50(2) liegt.

Daraus dürfen wir aktuell nicht automatisch schliessen: Claude watermarkt jeden Source-Code-Block.

Das hat Anthropic so noch nicht erklärt.

Aber daraus entsteht eine ziemlich interessante Fragestellung.

Was genau wird in Claude Code markiert? Nur natürlichsprachliche Antworten? Kommentare? Dokumentation? Commit Messages? Oder tatsächlich generierter Source Code?

Und falls Source Code markiert wird: Warum entscheidet sich Anthropic dafür, obwohl die EU-Guidelines Source Code ausdrücklich aus dem Scope dieser gesetzlichen Markierungspflicht herausnehmen?

Auch technisch wird das interessant.

Natürlich gibt es bei Code häufig verschiedene Wege, dasselbe Problem zu lösen. Architektur, Variablennamen, Kontrollfluss, APIs und Struktur bieten durchaus Wahlmöglichkeiten.

Aber es gibt ebenso Stellen mit sehr geringer Freiheit.

Eine Funktionssignatur muss stimmen. Ein bestimmtes Keyword muss stimmen. JSON muss syntaktisch korrekt sein. Eine API kann einen exakt definierten Parameter erwarten. Eine Konstante kann exakt vorgegeben sein.

Die pauschale Aussage „bei Code gibt es immer nur richtig oder falsch“ wäre deshalb zu grob.

Aber die Frage nach der verfügbaren Watermark-Kapazität bei stark eingeschränkten Outputs bleibt technisch legitim, insbesondere wenn ein generatives Token-Watermark verwendet wird. SynthID selbst beschreibt die Abhängigkeit seiner Detection von der verfügbaren Entropie.

Das eigentliche Problem ist nicht Detection. Es ist Provenienz.

Damit kommen wir für mich zum wichtigsten Punkt dieser gesamten Diskussion.

Angenommen, Anthropic veröffentlicht morgen seine technische Dokumentation. Unabhängige Forscher testen das Verfahren. Die Ergebnisse sind hervorragend. Kaum False Positives. Kaum False Negatives. Sehr robuste Erkennung.

Nehmen wir für einen Moment sogar den theoretischen Extremfall: Der Detector funktioniert perfekt.

Dann haben wir das Bachelorproblem immer noch nicht gelöst.

Ein perfekter Detector könnte sagen: „Dieser Text enthält einen gültigen Claude-Marker.“

Er sagt dadurch aber nicht: „Claude hat Kapitel 4 geschrieben.“

Er sagt nicht: „Claude hat 67 Prozent der Formulierungen erzeugt.“

Er sagt nicht: „Der Student hat alles selbst geschrieben und Claude hat lediglich 23 Rechtschreibfehler korrigiert.“

Er sagt nicht: „Diese Idee stammt von Claude.“

Und er sagt auch nicht: „Diese Idee stammt vom Studenten.“

Das ist keine Frage der Detection Accuracy. Es ist eine andere Kategorie von Information.

Detection ist nicht Provenienz.

Ein Watermark sagt möglicherweise, dass etwas passiert ist. Provenienz müsste erklären, was passiert ist.

Wie könnte echte Nachvollziehbarkeit aussehen?

Interessanterweise verwendet Anthropic für unterstützte Dateien bereits einen zweiten Ansatz: C2PA-basierte Provenienz-Metadaten.

C2PA ist ein offener Standard für Content Credentials und kann wesentlich reichhaltigere Informationen als ein einfacher Watermark abbilden. Der Standard kennt unter anderem sogenannte „actions“, mit denen Bearbeitungsschritte dokumentiert werden können, und „ingredients“, mit denen Ausgangsmaterialien und deren Beziehung zum resultierenden Asset beschrieben werden können. Die aktuelle Spezifikation kann zudem festhalten, welche Software bestimmte Aktionen ausgeführt hat.

C2PA beschreibt ausdrücklich, dass Bearbeitungsschritte durch Menschen oder AI-Systeme dokumentiert werden können.

Das kommt der eigentlich relevanten Fragestellung wesentlich näher.

Bei einer Bachelorarbeit wäre im Idealfall nicht nur interessant, dass Claude irgendwann beteiligt war, sondern was er getan hat: welches Dokument hineinging, in welcher Rolle er daran arbeitete, wie viele Eingriffe es waren und was er ausdrücklich nicht angefasst hat.

Der Unterschied zum Watermark ist dann kein gradueller mehr. Es sind zwei verschiedene Arten von Auskunft.

Natürlich wirft auch ein solches System erhebliche Fragen zu Datenschutz, Speicherpflichten, geistigem Eigentum und Vertraulichkeit auf. Gerade bei wissenschaftlichen, juristischen oder geschäftlichen Dokumenten möchte man nicht zwangsläufig komplette Inputs dauerhaft auf Servern speichern.

Es müsste also durchdacht werden, wie ein solcher Nachweis datensparsam und kryptografisch überprüfbar funktionieren könnte.

Aber genau das ist der Punkt: Ein Watermark beantwortet diese Frage nicht.

Anthropic sagt bei seinen C2PA-Metadaten bisher lediglich, dass unterstützte Dateien signierte Provenienzinformationen erhalten sollen, die anzeigen können, dass eine Datei von Claude verarbeitet wurde, und mit denen Manipulationen an der Datei erkannt werden können. Anthropic verspricht aktuell keine detaillierte Contribution History nach dem Muster „Mensch 98 Prozent, Claude 2 Prozent“.

Und auch C2PA selbst weist darauf hin, dass Provenienz nicht zwangsläufig vollständig ist und dass Provenienzinformation allein nicht beweist, ob der Inhalt eines Assets wahr oder korrekt ist.

Grafik 5: Dieselben Felder, zweimal abgefragt

Watermark-Befund

• SystemClaude
• Autornicht enthalten
• Rollenicht enthalten
• Umfangnicht enthalten
• Änderungennicht enthalten
• Unverändertnicht enthalten

Provenienz-Eintrag

• SystemClaude, Modellversion X
• AutorVersion des Studenten
• RolleProofreading
• Umfang18 Eingriffe auf 100 Seiten
• Änderungen12 Rechtschreibung, 4 Grammatik, 2 Stil
• UnverändertRecherche, Quellen, Argumentation

„AI involved“ ist nicht dasselbe wie „AI authored“.

Das gefährlichste Szenario ist vielleicht nicht, dass das Watermark schlecht funktioniert

Sondern dass es hervorragend funktioniert.

Denn sobald ein technisches System einen scheinbar objektiven Wert ausgibt, entsteht schnell der Eindruck: Maschine sagt ja. Fall erledigt.

Genau das wäre fatal.

Nicht weil das Watermark zwingend falsch wäre. Sondern weil die Interpretation falsch sein könnte.

• Eine Universität könnte aus „Claude-Marker erkannt“ versehentlich „von Claude geschrieben“ machen.
• Ein Arbeitgeber könnte aus „AI verarbeitet“ auf fehlende Eigenleistung schliessen.
• Eine Redaktion könnte einen menschlichen Autor unter Verdacht stellen, obwohl lediglich ein Korrekturwerkzeug eingesetzt wurde.
• Ein Anwalt könnte erklären müssen, warum ein Dokument einen AI-Marker enthält, obwohl die eigentliche juristische Analyse vollständig von ihm stammt.

Das Watermark wäre in allen diesen Fällen technisch korrekt.

Und trotzdem könnte die daraus gezogene Schlussfolgerung falsch sein.

Das ist für mich das eigentliche Risiko der Scheintransparenz.

Nicht Transparenz, die technisch gar nicht funktioniert. Sondern Transparenz, die so aussieht, als würde sie mehr erklären, als sie tatsächlich erklärt.

Deshalb brauchen wir Antworten von Anthropic

Bevor Claude-Watermarks in Universitäten, Unternehmen, Redaktionen oder anderen Institutionen als belastbares Signal verwendet werden, sollten mindestens folgende Fragen beantwortet sein:

1. Was bedeutet ein positiver Claude-Treffer exakt: „generated by Claude“ oder lediglich „processed by Claude“?
2. Kann das Detection-System unterscheiden, ob Claude einen Text erzeugt, korrigiert, übersetzt, zusammengefasst oder umformuliert hat?
3. Kann erkannt werden, welche Teile eines gemischten Dokuments von Claude stammen?
4. Kann der Umfang der Claude-Beteiligung quantifiziert werden?
5. Welche False-Positive- und False-Negative-Raten gelten für unterschiedliche Textlängen, Sprachen und Dokumenttypen?
6. Wie verhält sich das Verfahren bei wörtlichen Zitaten und anderen Low-Entropy-Ausgaben?
7. Was genau wird in Claude Code markiert?
8. Warum können Proofreading-Outputs einen Marker erhalten, obwohl der AI Act Standard-Editing ausdrücklich von der gesetzlichen Markierungspflicht ausnimmt?
9. Welches Verfahren existiert, damit ein Betroffener einen positiven Treffer anfechten kann?
10. Gibt es zusätzlich zum Watermark eine überprüfbare Provenienz, anhand derer rekonstruiert werden kann, was Claude tatsächlich getan hat?

Anthropic hat angekündigt, weitere technische Dokumentation zu veröffentlichen. Erst dann können einige dieser Fragen seriös beantwortet werden.

Mein Fazit: Ein Signal ist noch kein Beweis

Ich halte die grundsätzliche Idee hinter maschinenlesbaren AI-Markierungen für sinnvoll.

Wenn Milliarden synthetischer Texte, Bilder, Videos und Audiodateien produziert werden, brauchen wir technische Mechanismen, um Herkunft besser nachvollziehen zu können.

Google SynthID zeigt, dass generatives Text-Watermarking technisch realisierbar ist und in Produktionssystemen eingesetzt werden kann.

Anthropic verfolgt mit seinen Watermarks und C2PA-Metadaten deshalb ein grundsätzlich nachvollziehbares Ziel.

Aber wir dürfen nicht zwei Fragen miteinander verwechseln.

Frage 1: War Claude an diesem Output beteiligt? Ein Watermark kann darauf möglicherweise eine belastbare Antwort geben.

Frage 2: Wer hat diesen Inhalt erstellt und welche geistige Leistung stammt von wem? Darauf gibt derselbe Marker keine ausreichende Antwort.

Anthropic sagt das selbst.

Ein positiver Marker bestätigt nicht die vollständige Provenienz. Claude muss nicht der ursprüngliche Autor gewesen sein. Der Output könnte lediglich korrigiert, übersetzt oder zusammengefasst worden sein.

Und genau deshalb sollten wir extrem vorsichtig sein, wenn aus solchen technischen Signalen Konsequenzen für Menschen entstehen.

Ein Watermark ist ein Signal. Keine vollständige Provenienz. Kein Mass für menschliche Eigenleistung. Und kein automatischer Beweis für AI-Autorenschaft.

Die wichtigste Frage rund um Claudes neue Watermarks ist deshalb nicht: „Können wir erkennen, dass AI beteiligt war?“

Sondern: „Können wir nachvollziehen, was die AI tatsächlich gemacht hat?“

Solange nur die erste Frage beantwortet wird, entsteht mehr technische Transparenz, aber keine Nachvollziehbarkeit. Und damit ist die Frage aus der Überschrift beantwortet: Was Anthropic hier einführt, ist echte Technik, aber vorerst nur Scheintransparenz. Nicht weil das Verfahren nicht funktioniert, sondern weil es mehr zu erklären scheint, als es erklärt. Das Watermark ist nicht das Problem. Das Vertrauen, das ihm entgegengebracht werden wird, ist es.

Was daraus für die Praxis folgt

Den Organisationen, mit denen wir arbeiten, rate ich zu drei Dingen:

1. Ein Marker-Treffer ist kein Beweis, sondern ein Anlass für ein Gespräch. Wer daraus allein eine Konsequenz für einen Menschen ableitet, entscheidet auf einer Grundlage, die diese Entscheidung nicht trägt. Das gilt für Prüfungskommissionen genauso wie für Personalabteilungen und Redaktionen.
2. Erst die Regel, dann das Werkzeug. Wer AI-Nutzung regeln will, muss vorher festlegen, was erlaubt ist: Korrektorat ist etwas anderes als Autorenschaft. Ein Detector unterscheidet das nicht, also muss es die Regel tun. Wer zuerst misst und dann interpretiert, hat die Reihenfolge vertauscht.
3. Nach Provenienz fragen, nicht nach Detection. Wenn Sie AI im eigenen Haus einsetzen, ist die belastbare Frage nicht, ob ein fremder Detector Ihre Texte erkennt. Sondern ob Sie selbst belegen können, welches System wann was getan hat. Diese Nachweiskette baut man sich. Sie entsteht nicht dadurch, dass ein Anbieter etwas markiert.

Bis Anthropic seine technische Dokumentation nachliefert, bleibt es dabei: Ein gefundener Marker sagt, dass etwas passiert ist. Er sagt nicht, was.

---

Quellen und weiterführende Dokumente

Anthropic: „How Claude marks AI-generated content“. Enthält die aktuelle Beschreibung von Text-Watermarks, C2PA-Metadaten, Detection und den von Anthropic selbst genannten Einschränkungen.

EU AI Act, Artikel 50: Maschinenlesbare Markierung synthetischer Inhalte sowie die Ausnahme für Standard-Editing und nicht wesentliche Änderungen.

EU-Kommission, Guidelines und FAQ zu Artikel 50: Unter anderem mit der Klarstellung, dass Source Code ausserhalb des Scopes der Markierungspflicht liegt und Standard-Editing ausgenommen ist.

EU Code of Practice on Transparency of AI-generated Content: Freiwilliger Compliance-Rahmen für Markierung und Detection. Anthropic ist offizieller Unterzeichner des Provider-Teils.

Google DeepMind, SynthID: Beschreibung des generativen Text-Watermarkings über den Sampling-Prozess. Ergänzend „Watermarking AI-generated text and video with SynthID“. Dieser Beitrag erklärt, dass erst das Zusammenspiel aus gewählten Wörtern und angepassten Scores das Muster ergibt und wie der Detector es gegen die Erwartungswerte prüft. Grafik 3 folgt dieser Darstellung.

Dathathri et al., „Scalable watermarking for identifying large language model outputs“, Nature 2024: Technisches Paper zu SynthID-Text, Sampling, Detection und Abhängigkeit von Textlänge und Entropie.

C2PA Specification: Technischer Standard für signierte Provenienz, Actions, Ingredients und Content Credentials.

Daniel Fankhauser berät mit KI-Beratung.ch Schweizer Unternehmen beim Einsatz von künstlicher Intelligenz und ist Mitglied im Anthropic Partner Network.