In einem älteren Artikel über die Kennzeichnung von KI-Inhalten zwischen Pflicht und Panikmache hab ich geschrieben: Ein KI-Text besteht aus denselben Buchstaben wie jeder andere, er hat keine unsichtbare Signatur. In meinem Test hat damals jeder einzelne Erkennungsdienst versagt. Diesen Satz muss ich jetzt korrigieren, zumindest zur Hälfte.
Anthropic webt ab sofort ein maschinenlesbares Wasserzeichen direkt in den Text, den Claude erzeugt. Nicht in eine Datei, nicht in Metadaten, in den Text selbst. Als zertifizierter KI-Beauftragter nach ISO 42001 verfolge ich die Umsetzung von Artikel 50 seit dem ersten Entwurf, und das ist der erste große Anbieter, der tatsächlich liefert.
Nach diesem Artikel weißt du, wie ein Wasserzeichen in einer reinen Markdown-Datei überhaupt funktionieren kann, welche Textsorten es gar nicht erwischt und warum sich an deiner eigenen Kennzeichnungspflicht dadurch exakt nichts ändert. Die Schlagzeilen dazu greifen nämlich deutlich zu weit, und genau dort fange ich an.
Kurz erklärt: Die drei Begriffe, die hier ständig durcheinandergehen
Eingebettetes Wasserzeichen meint ein Signal, das im Inhalt selbst steckt. Bei Bildern auf Pixelebene, bei Text im Muster der Wortauswahl. Es überlebt Kopieren, Einfügen und Formatwechsel, weil es kein Anhängsel ist.
Provenance-Metadaten nach C2PA sind ein separater, digital signierter Container, der an eine Datei drangehängt wird. Er sagt, mit welchem Werkzeug ein Inhalt entstanden ist. Er verschwindet, sobald jemand die Datei neu speichert, konvertiert oder einen Screenshot macht.
Anbieter und Betreiber sind im AI Act zwei völlig verschiedene Rollen. Anthropic ist Anbieter. Du, der ein KI-System beruflich einsetzt, bist Betreiber. Die Pflichten laufen getrennt, und das wird gleich noch wichtig.
Was hat Anthropic tatsächlich angekündigt?
Anthropic hat den Code of Practice zu Artikel 50 Absatz 2 der KI-Verordnung unterzeichnet und beschreibt die Umsetzung in einem eigenen Support-Artikel zur Markierung KI-generierter Inhalte. Zwei Verfahren laufen parallel: eingebettete Wasserzeichen in jedem generierten Text, und signierte C2PA-Metadaten bei erzeugten Dateien wie SVG, PNG oder JPG.
Drei Details, die in den meisten Meldungen untergehen.
Erstens: Es sind nicht alle Claude-Modelle. Betroffen sind Modelle, die ab dem 2. August 2026 gelauncht wurden. Für ältere Modelle gilt die Übergangsfrist, an der Nachrüstung wird gearbeitet. Bereits erzeugte Texte werden nicht rückwirkend markiert.
Zweitens: Die Markierung sitzt auf Modellebene, nicht auf Produktebene. Ob der Text aus der Claude-App kommt, aus der API, aus Claude Code oder aus Cowork, ist egal. Auch der Umweg über AWS, Google Cloud oder Microsoft Foundry hilft nicht.
Drittens, und das find ich den bemerkenswertesten Punkt: Anthropic wendet das weltweit an. Ein EU-Kodex verlangt nichts für einen Entwickler in Bangalore. Gemacht wird es trotzdem.
Was noch fehlt: die Detektoren. Anthropic kündigt Werkzeuge für Nutzer und Dritte an, die technische Dokumentation kommt später. Aktuell kann also niemand nachprüfen, ob ein konkreter Text markiert ist. Ein Wasserzeichen ohne Lesegerät ist erstmal eine Ankündigung, kein Werkzeug.
Wie kommt ein Wasserzeichen in eine Markdown-Datei?
Das war meine erste Frage, und sie ist der eigentlich interessante Teil. Eine .md-Datei ist reiner Text. Kein EXIF, kein XMP, kein Container, in den man etwas hineinschreiben könnte. Alles, was man dort verstecken könnte, wäre ein Unicode-Trick mit Zero-Width-Zeichen, und der überlebt keinen einzigen sed-Lauf und keinen Import in Elementor.
Die Lösung ist eleganter: Das Wasserzeichen liegt in der Wortwahl selbst.
Anthropic hat die Methode nicht offengelegt. Der Forschungsstand kennt aber zwei Verfahren, an denen sich das mit hoher Wahrscheinlichkeit orientiert. Beim Green-List-Ansatz teilt ein Hash des jeweils vorherigen Tokens den gesamten Wortschatz pseudozufällig in eine grüne und eine rote Liste. Die Wahrscheinlichkeit der grünen Tokens wird minimal angehoben. Überall dort, wo mehrere Formulierungen gleich gut passen, gewinnt statistisch das grüne Wort. Googles SynthID-Text macht es über sogenanntes Tournament Sampling, mehrere Runden Pseudozufall entscheiden zwischen gleichwertigen Kandidaten. Das Prinzip ist dasselbe.
Erkannt wird das Ganze statistisch. Der Detektor kennt den Schlüssel, zählt über den ganzen Text hinweg den Anteil der grünen Tokens und rechnet aus, wie unwahrscheinlich diese Verteilung bei einem menschlich geschriebenen Text wäre. Bei Menschentext landest du ungefähr bei der Hälfte. Bei markiertem Text deutlich darüber.
Das Wasserzeichen sitzt nicht in der Datei, sondern in der Reihenfolge der Wörter, erklärt Alex Januschewsky, KI-Berater und Betreiber von digitalhandwerk.rocks.
Daraus folgt alles Weitere. Das Dateiformat ist völlig irrelevant. Markdown, TXT, Word, HTML im WordPress-Editor, ein Absatz in einer Mail: Solange die Wortfolge steht, steht das Signal. Und im Gegensatz zu C2PA-Metadaten übersteht es jede Formatkonvertierung. Das Bild hinkt leicht, aber es trifft den Kern: C2PA ist der Aufkleber auf der Verpackung, das Textwasserzeichen ist die Prägung im Material.
Genau diese Unterscheidung hab ich schon beschrieben, als SynthID durch Google und OpenAI zur Infrastruktur wurde. Neu ist nur, dass es jetzt bei Text ernst wird.
Welche Texte das Wasserzeichen gar nicht erwischt
Hier ist der Punkt, an dem es für die Praxis interessant wird. Das Verfahren braucht Entropie, also echte Wahlfreiheit des Modells zwischen mehreren gleich guten Formulierungen. Wo diese Freiheit fehlt, kann kein Signal entstehen.
Betroffen sind damit kaum bis gar nicht:
- Code. Die Syntax erzwingt die Tokens. Was Claude Code mir an PHP für ein Mittwald-Projekt schreibt, trägt praktisch nichts.
- JSON-LD, YAML, Schema-Markup. Strukturierte Ausgaben haben zu wenig Spielraum. Das gilt auch für das Schema, das ich für meine eigenen Seiten generieren lasse.
- Kurze Passagen. Ein Betreff, ein Absatz, eine Bildunterschrift. Zu wenig Material für einen belastbaren Wert.
- Wörtliche Zitate, Zahlenreihen, Faktenlisten. Kein Formulierungsspielraum, kein Signal.
Der Sweet Spot ist Fließtext ab ein paar hundert Wörtern. Also exakt die Textsorte, um die alle streiten: Blogartikel, Bewerbungsschreiben, Seminararbeit, Pressetext.
Und was das Signal zuverlässig zerstört, ist banal: Umschreiben. Wer den Text durch ein anderes Modell mit dem Auftrag „formuliere komplett neu“ jagt, ist raus. Wer, so wie ich, ohnehin jeden Entwurf gegen eine eigene Stilliste bürstet, Satzbau umstellt und ganze Absätze neu schreibt, schwächt es massiv.
Warum das Wasserzeichen die falschen Leute trifft
Anthropic ist erfreulich ehrlich bei den Grenzen. Ein gefundenes Zeichen belegt nur, dass Claude beteiligt war. Nicht, dass Claude der Autor ist. Wer seinen selbst geschriebenen Text zum Korrekturlesen oder Übersetzen gibt, bekommt das Zeichen trotzdem.
Umgekehrt gilt: Kein Zeichen ist kein Freispruch. Bei alten Modellen, bei stark überarbeitetem Text, bei kurzen Passagen fehlt es einfach.
Damit steht die Sache auf dem Kopf. Wer täuschen will, braucht einen Umschreibe-Durchlauf und ist sauber. Wer KI ehrlich als Assistenz nutzt, trägt den Stempel. Das System selektiert nach Aufwand, nicht nach Absicht. Ich bin mir nicht sicher, ob das den Beteiligten in dieser Deutlichkeit bewusst war, aber mein Eindruck ist: eher nicht.
Für die Beratungspraxis heißt das etwas sehr Konkretes. Sobald die Detektoren da sind, wird jemand sie einsetzen: eine Schule, eine Redaktion, ein Auftraggeber. Und die Antwort „Claude war beteiligt“ wird in neun von zehn Fällen als „das hat die KI geschrieben“ gelesen. Das ist kein technisches Problem mehr, das ist ein Kommunikationsproblem.
Ändert sich damit etwas an deiner Kennzeichnungspflicht?
Nein. Kein Komma.
Das Wasserzeichen von Anthropic erfüllt die Anbieterpflicht aus Artikel 50 Absatz 2. Deine Pflicht als Betreiber ist eine andere, und die habe ich ausführlich beschrieben, als Artikel 50 für KI-Bilder und Chatbots scharf gestellt wurde. Anthropic sagt das im eigenen Support-Artikel übrigens selbst: Wer Claude in ein eigenes Produkt einbaut, muss unabhängig prüfen, was Artikel 50 von ihm verlangt.
Maschinenlesbar ist nicht wahrnehmbar. Ein Wasserzeichen, das niemand sieht, ersetzt kein Label am Inhalt. Für die sichtbare Ebene bleiben die standardisierten EU-Icons für KI-Kennzeichnung der einfachste Weg. Bei mir laufen sie über ein selbst geschriebenes Plugin auf jedem Beitragsbild, und daran ändert sich durch diese Ankündigung genau nichts.
Was ich ab heute anders mache
Drei Dinge, alle unspektakulär.
- Ich dokumentiere weiter, aber genauer. Bisher hab ich pro Beitrag festgehalten, ob KI im Spiel war. Ab jetzt auch, in welcher Rolle: Recherche, Rohentwurf, Korrektorat, Übersetzung. Wenn die Frage kommt, will ich eine Antwort haben und nicht eine Erinnerung.
- Ich rede mit Kunden über den Umkehrfall. Nicht „wie vermeide ich das Wasserzeichen“, sondern „was sagst du, wenn jemand es findet“. Das ist die Frage, auf die niemand vorbereitet ist.
- Ich warte auf den Detektor, bevor ich irgendwem irgendwas verspreche. Ohne technische Dokumentation lässt sich weder Robustheit noch Fehlerrate beurteilen. Schauen wir mal, was da kommt.
Ein letzter Gedanke, und der geht in die andere Richtung als der ganze Rest. Ein Wasserzeichen erlaubt auch das Gegenteil vom Verdacht: den Nachweis, dass ein Text eben nicht aus der Maschine kommt. Wer sauber dokumentiert, wie seine Inhalte entstehen, hat genau dann etwas in der Hand, wenn andere sich rechtfertigen müssen. Das zahlt auf Search Everywhere Optimization ein, weil Sprachmodelle überprüfbare Signale zur Arbeitsweise einer Quelle auswerten.
Du kannst warten, bis dich jemand fragt. Oder du legst dir die Dokumentation an, solange dich noch niemand fragt.
