Claude-Wasserzeichen: SynthID, AI Act und Grenzen

Was hat Anthropic konkret eingeführt?

Anthropic erklärte am 14. August 2026, wie Ausgaben unterstützter Claude-Modelle maschinenlesbar markiert werden. Anlass sind die seit dem 2. August 2026 anwendbaren Transparenzpflichten des EU AI Act. Die technische Ausspielung ist aber nicht auf Europa beschränkt: Anthropic rollt die Markierung weltweit aus.

Neue Claude-Modelle, die am oder nach dem Stichtag starten, sollen die Funktion ab Veröffentlichung unterstützen. Ältere unterstützte Modelle will Anthropic schrittweise nachrüsten. Eine vollständige, dauerhaft gültige Modellliste und einen genauen Zeitplan nennt die Supportdokumentation nicht. Aussagen wie „Jede Claude-Ausgabe ist bereits markiert“ sind daher zu pauschal.

Das Textwasserzeichen wird auf Modellebene angewendet und kann deshalb in Claude selbst, über die API, in Claude Code, Claude Cowork, Claude Tag und bei unterstützten Cloud-Partnern auftreten. Signierte C2PA-Dateimetadaten hängen dagegen zusätzlich von Produkt, Plattform und Dateityp ab.

Ausgabe	Technik	Träger des Signals	Öffentlich prüfbar?
Text	Anthropic-Variante von SynthID-Text	statistische Token- beziehungsweise Wortwahl	Noch nicht mit einem offiziellen öffentlichen Claude-Detektor
PNG, JPG, SVG	C2PA/Content Credentials	kryptografisch signierte Provenienz-Metadaten	Mit kompatiblen C2PA-Werkzeugen, solange die Daten erhalten bleiben
Sourcecode	laut EU-Leitlinien vom Markierungsumfang ausgenommen	freie Textelemente wie Kommentare können dennoch Spielraum bieten	Kein verlässlicher Herkunftstest für funktionalen Code

Laut Anthropic kodiert das Textwasserzeichen keine Nutzer-, Account- oder Gesprächs-ID. Es verändert auch nicht die Eigentumsverhältnisse. Das Signal soll mögliche Claude-Verarbeitung anzeigen, nicht die Person hinter einer Ausgabe identifizieren.

Wie SynthID-Text technisch funktioniert

Ein Sprachmodell erzeugt eine Antwort Token für Token. An vielen Stellen sind mehrere Fortsetzungen plausibel. Bei einem normalen Sampling-Verfahren wird aus diesen Kandidaten entsprechend ihrer Wahrscheinlichkeit ausgewählt. Ein statistisches Wasserzeichen beeinflusst diese Auswahl mit einem geheimen Schlüssel so, dass sich über genügend viele Entscheidungen ein messbares Muster aufbaut.

Das Wasserzeichen ist damit kein zusätzlicher Datenblock und kein verstecktes Zeichen. Die Formulierung selbst trägt das Signal. Copy-and-paste entfernt es nicht automatisch, weil derselbe Wortlaut erhalten bleibt. Ein Cleaner für Zero-Width-Zeichen oder ungewöhnliche Unicode-Codepoints greift an dieser Stelle ins Leere.

Anthropic beschreibt das Verfahren als eigene Variante von SynthID-Text. Das zugrunde liegende Nature-Paper von Dathathri et al. erläutert unter anderem Seed-Generatoren, Tournament Sampling und statistische Scoring-Funktionen. Anthropic veröffentlicht aber weder den Schlüssel noch die genauen Parameter seiner Implementierung. Der Markenname allein macht die Systeme nicht messtechnisch austauschbar.

Drei Zahlen, die nicht auf Claude übertragbar sind

Das Nature-Paper berichtet für Googles Implementierung:

• einen Vergleich von rund 20 Millionen wassermarkierten und nicht wassermarkierten Gemini-Antworten, bei dem kein signifikanter Unterschied in den ausgewerteten Nutzerbewertungen festgestellt wurde,
• einen kontrollierten Test mit 3.000 ELI5-Fragen und Gemma-7B-IT, ebenfalls ohne signifikante Präferenzdifferenz,
• einen zusätzlichen Latenzanteil von 0,57 Prozent in einer konkreten Gemma-7B-Konfiguration.

Diese Werte zeigen, dass statistische Textwasserzeichen in großem Maßstab einsetzbar sein können. Sie belegen keine Claude-Erkennungsrate, keine Claude-Qualität und keine Claude-Latenz. Wer daraus eine konkrete Treffer- oder Fehlalarmquote für Anthropic ableitet, vermischt zwei Implementierungen.

Wo das Signal schwach wird

Die Zuverlässigkeit hängt davon ab, wie viele freie Entscheidungen das Modell während der Generierung treffen kann.

Fall	Technische Grenze
Kurze Antwort	Zu wenige Token für ein starkes statistisches Signal
Faktenpassage	Korrekte Eigennamen, Zahlen oder feste Begriffe lassen wenig Auswahl
Korrekturlesen	Grammatik- und Zeichensetzungskorrekturen verändern oft zu wenige Wörter
Programmcode	Syntax und Semantik begrenzen alternative Fortsetzungen stark
Leichte Redaktion	Ein über längere Passagen verteiltes Signal kann teilweise erhalten bleiben
Starkes Umschreiben	Neue Wortwahl kann das ursprüngliche Muster schwächen oder zerstören
Externe Übersetzung	Kann die Tokenfolge umfassend ersetzen und damit die Erkennung beeinträchtigen

Anthropic erwartet, dass kleinere Kürzungen, Korrekturen und Umstellungen das Signal nicht zwingend beseitigen. Eine exakte Robustheitsschwelle veröffentlicht das Unternehmen nicht. Die ACL-Studie „Can Watermarks Survive Translation?“ zeigt zudem, dass Übersetzung die Erkennung mehrerer damaliger Textwasserzeichen deutlich schwächen kann. Sie testet nicht Claudes unveröffentlichte Implementierung. Das Ergebnis ist deshalb ein allgemeiner Gegenbeleg gegen „unzerstörbare“ Wasserzeichen, aber keine gemessene Claude-Quote.

Warum C2PA etwas anderes ist

Für unterstützte, von Claude erzeugte PNG-, JPG- und SVG-Dateien verwendet Anthropic C2PA. Dabei wird ein kryptografisch signiertes Manifest mit der Datei verknüpft. Kompatible Prüfwerkzeuge können Signatur, Signier-Credential beziehungsweise Generator, Vertrauenskette und Bindung an das konkrete Asset prüfen. Das identifiziert nicht automatisch eine natürliche oder juristische Person. Eine Änderung kann die alte Bindung ungültig machen oder durch ein neues gültiges Manifest dokumentiert werden.

Das ist eine andere Beweislogik als bei SynthID-Text:

Kriterium	SynthID-Text	C2PA bei Bildern
Signaltyp	statistisch	kryptografisch signiert
Position	in der Wortwahl	in beziehungsweise bei der Datei
Ergebnis	Wahrscheinlichkeit einer passenden Generierung	prüfbare Provenienz innerhalb einer Vertrauenskette
Robustheit	abhängig von Textlänge und Bearbeitung	abhängig vom Erhalt des Manifests
Typischer Verlust	starke Neuformulierung oder Übersetzung	Plattformverarbeitung, Konvertierung oder Screenshot
Aussage	mögliche Claude-Beteiligung an der Formulierung	signierte Herkunft und Bearbeitung der konkreten Datei

Auch ein gültiger C2PA-Nachweis beweist nicht, dass der sichtbare Inhalt wahr ist. Er dokumentiert Provenienz, nicht Faktizität. Umgekehrt macht ein fehlendes Manifest ein Bild nicht automatisch menschlich. Metadaten können auf normalen Verarbeitungswegen verloren gehen, ohne dass jemand eine Täuschung beabsichtigt hat.

Detektion, Urheberschaft und Beweiswert sauber trennen

Ein positiver Claude-Detektor könnte darauf hindeuten, dass Claude den Text erzeugt, übersetzt oder umfangreich umgeschrieben hat. Er könnte aber nicht unterscheiden, wer die Ideen geliefert, die Quellen ausgewählt oder die Aussagen geprüft hat. Auch menschliche Vorarbeit verschwindet nicht rückwirkend, nur weil Claude die finale Formulierung geprägt hat.

Ein Treffer beweist insbesondere nicht:

• dass der gesamte Text ohne menschliche Arbeit entstanden ist,
• dass Claude die enthaltenen Fakten oder Argumente erfunden hat,
• wem der Text gehört,
• wer redaktionell oder rechtlich verantwortlich ist,
• ob der Inhalt korrekt, hilfreich oder plagiiert ist,
• ob bei der Veröffentlichung gegen den EU AI Act verstoßen wurde.

Ebenso problematisch ist der umgekehrte Schluss. Ein Nicht-Treffer kann durch ein altes oder noch nicht unterstütztes Modell, eine kurze Antwort, eine faktisch stark gebundene Passage, umfassende Bearbeitung, Übersetzung oder ein anderes KI-System entstehen. Ohne veröffentlichte Claude-spezifische Fehlalarm- und Falsch-negativ-Raten ist „kein Treffer“ kein Echtheitszertifikat.

Für Schulen, Unternehmen und Auftraggeber folgt daraus eine klare Grenze: Ein Detektorwert darf nicht allein über Täuschung, Vergütung oder Sanktionen entscheiden. Er ist höchstens ein Indiz, das mit Versionshistorie, Quellen, Briefing, Arbeitsständen und menschlicher Prüfung zusammen bewertet werden muss.

EU AI Act: Anbieter und Publisher haben andere Pflichten

Die häufigste Fehlinterpretation lautet: „Der AI Act verlangt, dass jeder KI-Text sichtbar als solcher gekennzeichnet wird.“ Das steht so nicht in der Verordnung. Artikel 50 der Verordnung (EU) 2024/1689 trennt Pflichten für Anbieter und Betreiber beziehungsweise Deployer.

Artikel 50 Absatz 2: Anbieter markieren Ausgaben

Anbieter generativer KI-Systeme müssen synthetische Audio-, Bild-, Video- und Textausgaben in einem maschinenlesbaren Format markieren und als künstlich erzeugt oder manipuliert erkennbar machen, soweit dies technisch machbar ist. Anthropic erklärt, SynthID-Text und C2PA zur Umsetzung seiner Verpflichtungen aus Artikel 50 und dem Code einzuführen. Ob dies im jeweiligen Produktpfad alle gesetzlichen Anforderungen erfüllt, ist durch die Herstellerankündigung allein nicht bewiesen.

Die FAQ und Leitlinien der EU-Kommission grenzen unter anderem Sourcecode, kurze Folgen aus Zahlen, Symbolen oder Buchstaben, bestimmte rein maschinelle Kommunikation sowie Standardbearbeitung aus, die Eingabe oder Semantik nicht wesentlich verändert. Für vor dem Stichtag in Verkehr gebrachte Systeme nennt die Kommission für Artikel 50 Absatz 2 eine begrenzte Frist bis zum 2. Dezember 2026.

Artikel 50 Absatz 4: Bestimmte Veröffentlichungen offenlegen

Deployer müssen künstlich erzeugte oder manipulierte Texte offenlegen, wenn sie diese mit dem Zweck veröffentlichen, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Die Pflicht entfällt laut Verordnung, wenn der Inhalt einen Prozess menschlicher Prüfung oder redaktioneller Kontrolle durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Eine oberflächliche Rechtschreib- oder Grammatikprüfung genügt laut Kommissions-FAQ nicht. Die FAQ verlangt eine substanzielle Prüfung durch fachkundige Personen oder tatsächliche redaktionelle Kontrolle, einschließlich Faktencheck und Bewertung der Quellenvertrauenswürdigkeit. Praktisch können Publisher zusätzlich Struktur, Gewichtung und bewusste Freigabe dokumentieren.

Damit besteht keine pauschale Kennzeichnungspflicht für jeden Blogartikel, jede Produktbeschreibung oder jeden privaten Beitrag. Veröffentlichungszweck, öffentlicher Kontext, Rolle des Deployers und Qualität der menschlichen Kontrolle entscheiden. Das ist eine technische und redaktionelle Einordnung, keine Rechtsberatung für den Einzelfall.

Anthropic hat außerdem den freiwilligen EU Code of Practice on Transparency of AI-generated Content unterzeichnet. Der Code konkretisiert die Umsetzung, ersetzt aber weder den Gesetzestext noch garantiert die Unterzeichnung automatisch Rechtskonformität.

Faktencheck: Entfernt `watermarks-remover` das Claude-Signal?

Das Repository `guillaumemeyer/watermarks-remover` verbreitete sich wenige Tage nach seiner Erstellung stark. Beim Live-Snapshot am 15. August 2026 um 15:03 UTC lag es bei 9.329 GitHub-Stars. Das Projekt wurde am 11. August 2026 angelegt, stand bei Release v0.5.0 vom 14. August 2026 und war unter MIT-Lizenz veröffentlicht. Der Default-Branch stand bei `92f38b10b247788c1d2e2807251e755c315918a8`; Release `v0.5.0` zeigt auf `dc0ff78f39bedfe0a1986eef54efb297645372ba`. An beiden erreichbaren Ständen liefen 227 Tests erfolgreich, ein Test wurde übersprungen.

Diese Daten belegen Aufmerksamkeit und aktive Entwicklung. Sie belegen nicht, dass das Tool den offiziellen Claude-Check besteht.

Was das Repository nachweislich kann

Das Tool trennt mehrere technisch verschiedene Aufgaben:

1. Es entfernt definierte unsichtbare Unicode-, Steuer- und Leerzeichen aus Texten.
2. Es bereinigt EXIF-, XMP- und C2PA-Metadaten aus unterstützten Dateicontainern.
3. Es bindet Test-Harnisse für bekannte beziehungsweise offene Wasserzeichenschemata ein.
4. Es kann Texte über externe Modelle umschreiben lassen, um statistische Muster zu verändern.

Die ersten beiden Kategorien lassen sich deterministisch prüfen: Codepoints sind nach der Bereinigung vorhanden oder nicht; Metadaten können vor und nach der Verarbeitung ausgelesen werden. Der vierte Punkt ist dagegen ein Best-Effort-Verfahren. Umschreiben ersetzt einen Teil der Tokenfolge, liefert aber keinen mathematischen Nachweis, dass ein proprietärer Detektor anschließend negativ reagiert.

Warum der Claude-Claim unbewiesen bleibt

Claude verwendet laut Anthropic gerade keine versteckten Unicode-Zeichen. Der Unicode-Cleaner beseitigt daher nicht Claudes SynthID-Text-Signal. Für einen belastbaren End-to-End-Test bräuchte das Repo entweder Anthronics geheimen Schlüssel und die exakte Detektorlogik oder Zugriff auf eine offizielle Detector API. Beides war beim geprüften Stand nicht öffentlich verfügbar.

Der Repo-Autor weist selbst darauf hin, dass ohne öffentliche Herstellerdetektoren und Schlüssel kein Tool ehrlich zertifizieren kann, ob eine Datei oder ein Text den offiziellen Check besteht. Auch lokale MarkLLM-Tests sind kein Ersatz: Sie prüfen die dort konfigurierte Methode mit bekannten Parametern, nicht automatisch Anthronics Produktionssystem.

Hinzu kamen beim Snapshot vier offene Issues zu DOCX, ODT, HTML, Markdown und verbliebenen Metadaten. Solche Meldungen sind noch kein Beweis für einen systematischen Defekt, zeigen aber, dass selbst die deterministische Dateibereinigung formatabhängig bleibt. Die sichere Einordnung lautet deshalb: Das Repo kann bekannte Unicode-Zeichen und Metadaten entfernen sowie Text umschreiben. Es ist kein verifizierter Claude-Wasserzeichen-Entferner.

Folgen für SEO, GEO und redaktionelle Arbeit

Google Search Central bewertet generative KI nicht pauschal negativ. Entscheidend sind hilfreiche, zuverlässige und nutzerorientierte Inhalte. Problematisch wird Automatisierung, wenn viele Seiten primär zur Manipulation von Rankings und ohne echten Mehrwert erzeugt werden. Google bezeichnet das als `scaled content abuse`.

In der geprüften Google-Search-Central-Dokumentation findet sich keine Aussage, dass ein Claude-Wasserzeichen ein Rankingfaktor sei, zu automatischer Deindexierung führe, AI-Overview-Sichtbarkeit mindere oder Google Zugriff auf Anthronics Schlüssel habe. Die Dokumentation behandelt stattdessen Genauigkeit, Qualität, Relevanz, Nutzermehrwert und `scaled content abuse`.

Das reale Risiko entsteht an anderer Stelle:

Risiko	Besserer Prozess
Falsche Fakten aus KI-Ausgaben	Primärquellen prüfen und direkt verlinken
Unklare Verantwortlichkeit	Verantwortliche Person und Freigabe dokumentieren
Blindes Remover-Umschreiben	Änderungen gegen Original, Quellen und Terminologie prüfen
Verlorene Bildprovenienz	C2PA-Erhalt im CDN- und Optimierungsprozess testen
Detektor als Betrugsbeweis	Arbeitsstände, Briefing und Versionshistorie einbeziehen
Massenproduktion ohne Mehrwert	Eigene Erfahrung, Daten, Analyse und klare Auswahl ergänzen

Für SEO lässt sich aus der verlinkten Google-Dokumentation nur ableiten, dass Genauigkeit, Qualität, Relevanz und Nutzermehrwert zählen. Zu einem GEO- oder AI-Overview-Vorteil klarer Aussagen beziehungsweise zugänglicher Primärquellen liefert sie keinen Beleg. Ein zweites Modell nur zum „Entfernen“ eines Wasserzeichens einzusetzen, kann Fachbegriffe, Zahlen, Quellenbezug und Stil verschlechtern.

Praktische Checkliste für Publisher

1. Dokumentiere Briefing, Recherchequellen und wesentliche redaktionelle Entscheidungen.
2. Prüfe Zahlen, Zitate, Produktstatus und Rechtsclaims gegen Primärquellen.
3. Benenne eine Person, die inhaltlich freigibt und redaktionelle Verantwortung übernimmt.
4. Bewahre Zwischenstände oder eine nachvollziehbare Versionshistorie auf.
5. Nutze Detektoren nur als Indiz, nie als alleinige Entscheidungsgrundlage.
6. Teste bei Bildern, ob CMS, CDN und Konvertierung C2PA-Metadaten erhalten.
7. Schicke Texte nicht blind durch einen Remover; vergleiche jede starke Neuformulierung mit den Quellen.
8. Trenne KI-Beteiligung, Urheberschaft, Eigentum, Qualität und Compliance als eigenständige Fragen.

Wer Claude Code in einem Entwicklungsprozess nutzt, sollte dieselbe Trennung beachten. Ein statistisches Signal in Kommentaren sagt wenig über Herkunft und Qualität des funktionalen Codes. Entscheidend bleiben Reviews, Tests und verständliche Architektur. Das Problem von schwer überprüfbarem KI-Code habe ich bereits in Dark Code eingeordnet.

Einschränkungen der aktuellen Einordnung

Der technische Stand ist dynamisch. Anthropic kündigt weitere Detektionsdokumentation und eine Detector API an, hat aber noch keine Claude-spezifischen Schwellen, Robustheitswerte oder Fehlalarmquoten veröffentlicht. Deshalb lässt sich weder die Stärke des Signals seriös beziffern noch die Wirksamkeit eines Removers abschließend messen.

Auch GitHub-Zahlen, Releases und Issues ändern sich schnell. Die Repo-Angaben sind ein Snapshot vom 15. August 2026 und dürfen nicht mit späteren Werten vermischt werden. Die rechtliche Einordnung stützt sich auf Verordnung und Kommissionshinweise, ersetzt aber keine Prüfung des konkreten Veröffentlichungsfalls.

FAQ: Häufige Fragen zu Claude-Wasserzeichen

Fazit

Claudes Wasserzeichen ist ein nützliches Provenienzsignal, aber kein universeller KI-Detektor. SynthID-Text arbeitet statistisch, C2PA kryptografisch; beide Verfahren haben unterschiedliche Grenzen und beweisen weder Wahrheit noch vollständige Autorenschaft. Quellenprüfung, substanzielle Bearbeitung und klare Verantwortung sind für redaktionelle Qualität und die Ausnahme nach Artikel 50 Absatz 4 unmittelbar relevant. Einen zusätzlichen Ranking- oder GEO-Vorteil gegenüber einem Detektorwert belegen die geprüften Quellen nicht.