KI-Wasserzeichen: Wie Claude, ChatGPT und Gemini KI-Inhalte kennzeichnen

Seit dem 2. August 2026 gilt in der EU eine Pflicht, über die kaum jemand spricht: KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Gemeint ist ein technisches Signal im Inhalt selbst, das Maschinen auslesen können.

Die drei großen Anbieter setzen das unterschiedlich um, und die Unterschiede sind größer, als man erwarten würde. Bei einem Anbieter trägt jeder generierte Text ein Wasserzeichen. Bei einem anderen ausdrücklich keiner. Wer KI-Texte für Websites einsetzt, sollte wissen, in welchem der beiden Fälle er sich befindet.

Dieser Artikel erklärt, wie KI-Wasserzeichen technisch funktionieren, was Anthropic, OpenAI und Google konkret kennzeichnen, wo die Lücken klaffen und warum die verbreiteten KI-Detektoren keine Antwort auf die Frage geben, die alle stellen.

Warum seit dem 2. August 2026 gekennzeichnet wird

Artikel 50 der KI-Verordnung (EU) 2024/1689 verpflichtet Anbieter generativer KI-Systeme, ihre Ausgaben maschinenlesbar als künstlich erzeugt zu markieren. Die Vorschrift nennt vier Anforderungen an die Markierung: Sie muss wirksam, interoperabel, belastbar und zuverlässig sein, soweit das technisch machbar ist.

Zwei Fristen sind wichtig. Seit dem 2. August 2026 gelten die Transparenzpflichten, und neu auf den Markt gebrachte Systeme müssen ab Start kennzeichnen. Für Systeme, die vorher schon auf dem EU-Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Verstöße können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden.

Die Verordnung schreibt bewusst keine bestimmte Technik vor. Sie beschreibt ein Ziel und überlässt den Weg dorthin den Anbietern. In der Praxis hat sich trotzdem ein Zweischichtmodell durchgesetzt, weil keine einzelne Technik alle vier Anforderungen gleichzeitig erfüllt.

Wichtig für dich als Website-Betreiber: Artikel 50 richtet sich in Absatz 2 an die Anbieter der KI-Systeme, also an Anthropic, OpenAI und Google. Absatz 4 nimmt zusätzlich die Betreiber in die Pflicht, die mit KI erzeugte Inhalte veröffentlichen, die realen Personen, Orten oder Ereignissen zum Verwechseln ähnlich sehen. Für normale Textinhalte auf einer Unternehmensseite greift diese Deepfake-Regel nicht.

Zwei Techniken, die sich ergänzen

Die Anbieter setzen zwei grundverschiedene Verfahren ein. Das eine steckt im Inhalt selbst, das andere in der Datei drumherum. Beide haben komplementäre Stärken, und genau deshalb kommen sie zusammen zum Einsatz.

Statistische Wasserzeichen im Text

Ein Sprachmodell würfelt bei jedem Wort. Genauer: Es berechnet für jedes mögliche nächste Token eine Wahrscheinlichkeit und wählt dann eines davon aus. Ein Text-Wasserzeichen greift genau in diesen Moment ein.

Das Verfahren verschiebt die Wahrscheinlichkeiten leicht, sodass bestimmte Token systematisch etwas häufiger gewählt werden als andere. Welche das sind, bestimmt ein geheimer Schlüssel. Über einen ganzen Absatz hinweg entsteht so ein statistisches Muster, das man mit dem passenden Schlüssel nachrechnen kann. Für Leser bleibt es unsichtbar, weil an jeder einzelnen Stelle eine sprachlich völlig unauffällige Wahl getroffen wird.

Der Preis dieser Technik ist ihre Abhängigkeit von der Textmenge. Ein Wasserzeichen braucht Material, um aus dem Rauschen herauszustechen. Bei OpenAIs Prototyp waren „a few hundred tokens“ nötig, um ein belastbares Signal zu bekommen. Bei einer Überschrift oder einem Zweizeiler ist statistisch nichts zu holen.

Der zweite Schwachpunkt: Das Muster steckt in der konkreten Wortwahl. Wer den Text durch ein anderes Sprachmodell umschreiben lässt, ersetzt genau die Wortwahl, in der das Wasserzeichen sitzt. Übersetzen wirkt ähnlich. Auch gründliches Umschreiben von Hand entfernt das Signal, wobei dann ohnehin ein Mensch geschrieben hat.

Signierte Herkunftsdaten in Dateien

Bei Bildern, Video und Audio geht ein zweiter Weg. Der offene Standard C2PA der Coalition for Content Provenance and Authenticity hängt kryptografisch signierte Metadaten an die Datei. Diese sogenannten Content Credentials halten fest, welches Werkzeug die Datei erzeugt hat und wann.

Die Signatur bringt eine Eigenschaft mit, die dem Text-Wasserzeichen fehlt: Man kann prüfen, ob die Datei nach der Erzeugung verändert wurde. Dafür handelt man sich eine andere Schwäche ein. Metadaten leben außerhalb des Inhalts und verschwinden bei einem Screenshot, einer Formatkonvertierung oder dem erneuten Speichern in vielen Programmen.

Deshalb kombinieren die Anbieter bei Bildern beides: ein Wasserzeichen in den Pixeln, das einen Screenshot übersteht, und signierte Metadaten, die Manipulation nachweisbar machen.

Was Anthropic bei Claude kennzeichnet

Anthropic hat den Verhaltenskodex zur Transparenz KI-generierter Inhalte nach Artikel 50(2) unterzeichnet und kennzeichnet auf zwei Wegen. Der Umfang geht dabei über das hinaus, was die anderen beiden Anbieter für Text anbieten.

Laut der Support-Dokumentation von Anthropic unterstützen Claude-Modelle, die ab dem 2. August 2026 in der EU eingeführt werden, maschinenlesbare Kennzeichnung ab Start. Generierter Text bekommt ein eingebettetes Wasserzeichen, generierte Dateien erhalten signierte Herkunftsmetadaten nach C2PA, unterstützt sind unter anderem .svg, .png und .jpg.

Der entscheidende Punkt steht etwas versteckt in der Dokumentation: Die Wasserzeichnung wird auf Modellebene angewendet. Sie hängt also nicht daran, über welche Oberfläche der Text entsteht. Abgedeckt sind die Claude-Plattform (API), Claude, Claude Code, Claude Cowork und Claude Tag, außerdem der Zugriff über AWS, Google Cloud und Microsoft Foundry. Die Markierung gilt überall dort, wo Claude angeboten wird, also weltweit.

Für ältere Modelle, die vor dem 2. August 2026 erschienen sind, arbeitet Anthropic die Unterstützung nach. Ein Werkzeug zur Erkennung ist angekündigt, die technische Dokumentation dazu steht noch aus. Anthropic benennt die Grenzen selbst deutlich: Eine gefundene Markierung zeigt, dass Inhalte möglicherweise von Claude verarbeitet wurden, sie beweist keine Urheberschaft. Wer Claude zum Korrekturlesen oder Übersetzen nutzt, bekommt eine Markierung auf fremden Text.

Was OpenAI bei ChatGPT kennzeichnet

OpenAI kennzeichnet Bilder und Audio, Text bislang nicht. Das ist bemerkenswert, weil das Unternehmen die Technik dafür seit Jahren besitzt.

Bereits 2022 hatte der Informatiker Scott Aaronson als Gastforscher bei OpenAI ein kryptografisches Text-Wasserzeichen entwickelt, umgesetzt von dem Ingenieur Hendrik Kirchner. Das Verfahren wählt Token pseudozufällig über eine kryptografische Funktion aus, mit einem geheimen Schlüssel für das Einbetten und das Prüfen. Veröffentlicht wurde es nie.

Die Gründe, die OpenAI und externe Fachleute dafür nennen, sind nachvollziehbar. Ein Wasserzeichen lässt sich durch Umformulieren umgehen, was ihm den Wert als Nachweis nimmt. Es würde Menschen treffen, die Englisch als Fremdsprache schreiben und KI zum Formulieren nutzen. Und solange nicht alle Anbieter mitziehen, entsteht ein trügerisches Sicherheitsgefühl bei allen, die damit Texte prüfen wollen.

Bei Dateien ist OpenAI seit 2026 dagegen sehr aktiv. Am 19. Mai 2026 trat das Unternehmen dem Lenkungsausschuss der C2PA bei. Bilder aus ChatGPT, der OpenAI-API und Codex tragen seitdem Content Credentials und zusätzlich ein SynthID-Wasserzeichen, das über eine Zusammenarbeit mit Google eingebunden wird. Unterstützte Audiodateien bekommen ebenfalls SynthID. Zum Prüfen gibt es ein öffentliches Verify-Werkzeug, in das man ein Bild oder eine Audiodatei hochlädt.

Für Text formuliert OpenAI ein Ziel, keinen Termin: Man wolle die Herkunftssignale auf alle Modalitäten ausweiten, sobald Standards und Werkzeuge reifer sind.

Was Google bei Gemini kennzeichnet

Google betreibt mit SynthID das technisch am weitesten entwickelte Verfahren und hat dabei gleichzeitig die größte Lücke im Angebot.

SynthID deckt laut Google DeepMind Bilder, Video, Audio und Text ab. Bei Text arbeitet es nach dem oben beschriebenen Prinzip und verschiebt die Wahrscheinlichkeiten bei der Token-Auswahl. Bei Bildern übersteht das Wasserzeichen Zuschnitt, Filter, Komprimierung und Änderungen der Bildrate, bei Audio auch MP3-Komprimierung und Tempoänderungen.

Ungewöhnlich für ein Produkt dieser Art: Google hat den Textalgorithmus offengelegt. SynthID-Text wurde im Oktober 2024 in Nature begutachtet veröffentlicht, liegt als Quellcode auf GitHub und steckt ab Version 4.46 in Hugging Face Transformers. Jeder, der ein eigenes Modell betreibt, kann das Verfahren einsetzen.

Und jetzt die Lücke. Das Text-Wasserzeichen gilt für die Gemini-App und die Weboberfläche, also für Endnutzer. Auf die Frage eines Entwicklers, ob auch der über die Gemini-API erzeugte Text ein SynthID-Wasserzeichen trägt, antwortete ein Google-Mitarbeiter am 5. August 2026 im offiziellen Entwicklerforum unmissverständlich: Text aus der API sei nicht mit SynthID markiert, es gebe kein maschinenlesbares Herkunftssignal, und ein natives Text-Wasserzeichen sei derzeit auch nicht geplant.

Beim Prüfen ist Google zurückhaltender als OpenAI. Der SynthID Detector ist ein Portal mit Warteliste, das sich zunächst an Journalisten und Medienschaffende richtet.

Der Vergleich auf einen Blick

Daraus folgt: Anthropic ist derzeit der einzige der drei Anbieter, der auch API-generierten Text markiert. Bei Bildern und Audio ist die Lage umgekehrt, dort liegen OpenAI und Google vorn. Wer also KI-Texte programmatisch erzeugt und wissen will, ob sie ein Herkunftssignal tragen, findet die Antwort beim jeweiligen Anbieter.

Die Lücke: API-Texte tragen meist keine Markierung

Genau hier liegt der praktische Kern für Unternehmen. Der Großteil des KI-Texts, der auf Websites landet, entsteht nicht im Chatfenster. Er entsteht in Redaktionswerkzeugen, CMS-Plugins, Produkttext-Generatoren und Übersetzungspipelines, und die sprechen alle über APIs mit den Modellen.

Bei zwei von drei großen Anbietern trägt dieser Text derzeit kein maschinenlesbares Signal. Bei Google ist das eine ausdrückliche Entscheidung, kein technisches Versäumnis. Das Verfahren existiert, ist veröffentlicht und wird für die Endnutzer-App eingesetzt, für die API aber nicht.

Für dich heißt das zweierlei. Erstens: Du kannst dich nicht darauf verlassen, dass KI-Text auf deiner Seite automatisch gekennzeichnet ist. Zweitens, und das ist die entlastende Nachricht: Die Kennzeichnungspflicht aus Artikel 50(2) trifft die Anbieter der KI-Systeme, nicht dich als Anwender. Deine eigenen Pflichten aus Absatz 4 greifen erst bei Inhalten, die reale Personen oder Ereignisse täuschend echt nachbilden.

In unseren eigenen Projekten behandeln wir die Kennzeichnung deshalb als redaktionelle Entscheidung. Wir halten in der Redaktionsrichtlinie fest, welche Textarten mit KI-Unterstützung entstehen dürfen und wo ein sichtbarer Hinweis sinnvoll ist. Das ist keine juristische Pflicht für normale Website-Texte, aber es beantwortet die Frage, bevor sie jemand stellt.

Warum KI-Detektoren das Problem nicht lösen

Neben den Wasserzeichen der Anbieter gibt es einen zweiten, viel bekannteren Ansatz: Werkzeuge wie GPTZero, ZeroGPT oder Scribbr, die einen Text analysieren und einen Prozentwert ausgeben. Diese Werkzeuge arbeiten ohne Schlüssel und ohne Kooperation der Anbieter, und genau daran scheitern sie.

Perplexity und Burstiness

Die klassischen Detektoren stützen sich auf zwei statistische Kennzahlen. Perplexity misst, wie überrascht ein Sprachmodell von der Wortwahl eines Textes ist. Der Satz „Zum Mittag habe ich eine Schale Suppe gegessen“ hat eine niedrige Perplexity. Ersetzt man Suppe durch Spinnen, schnellt sie hoch, weil diese Wortfolge selten vorkommt.

Burstiness misst die Schwankung dieser Perplexity über den Text hinweg. Menschen schreiben ungleichmäßig: ein langer verschachtelter Satz, dann ein kurzer. Eine überraschende Formulierung, dann drei erwartbare. Modelle produzieren gleichmäßigere Texte, also durchgehend niedrige Perplexity bei geringer Schwankung.

Die Logik der Detektoren lautet damit: Niedrige Perplexity plus niedrige Burstiness gleich KI. Das klingt plausibel, hält der Praxis aber nicht stand.

Warum diese Werte systematisch danebenliegen

Der schwerwiegendste Befund kommt aus Stanford. Eine 2023 in der Fachzeitschrift Patterns erschienene Untersuchung von Liang und Kollegen hat sieben verbreitete Detektoren auf TOEFL-Aufsätze losgelassen, die nachweislich unter Aufsicht von Menschen geschrieben wurden. TOEFL steht für Test of English as a Foreign Language und ist der Standardtest, mit dem Hochschulen weltweit die Englischkenntnisse ausländischer Bewerber prüfen. Ergebnis: Mehr als 61 Prozent dieser Aufsätze wurden als KI-generiert eingestuft. Aufsätze von US-amerikanischen Achtklässlern erkannten dieselben Werkzeuge nahezu fehlerfrei als menschlich.

Der Grund ist strukturell. Wer in einer Fremdsprache schreibt, greift auf einen kleineren Wortschatz und auf erwartbarere Satzmuster zurück. Genau das erzeugt niedrige Perplexity und niedrige Burstiness. Die Detektoren messen nicht, ob eine Maschine geschrieben hat, sie messen die Abweichung von muttersprachlicher Routine.

Dazu kommen drei weitere Probleme. Texte, die in den Trainingsdaten häufig vorkommen, erzeugen sehr niedrige Perplexity und werden deshalb als KI eingestuft, was etwa die amerikanische Unabhängigkeitserklärung zuverlässig trifft. Der gemessene Wert hängt außerdem davon ab, welches Modell zum Messen benutzt wird. Und die großen kommerziellen Modelle geben ihre Token-Wahrscheinlichkeiten gar nicht heraus, sodass die Rechnung mit einem Ersatzmodell erfolgen muss.

Aus unserer Erfahrung heißt das für den Alltag: Ein Detektor-Prozentwert ist kein Beweis. Wir raten Kunden davon ab, redaktionelle Entscheidungen oder gar arbeitsrechtliche Konsequenzen darauf zu stützen. Als grober Hinweis, dass ein Text sprachlich sehr gleichförmig geraten ist, taugt er, mehr nicht.

Die Humanizer-Industrie

Rund um diese Detektoren ist ein Markt für Werkzeuge entstanden, die KI-Text so umschreiben, dass er die Prüfung besteht. Anbieter wie StealthGPT werben damit, Perplexity und Burstiness gezielt anzuheben, und nennen Erfolgsquoten von 99 Prozent.

Unabhängige Tests zeichnen ein zurückhaltenderes Bild. In mehreren Vergleichen stuften Detektoren sowohl den Ursprungstext als auch die bearbeitete Fassung als KI-generiert ein. Das Muster ist über die Tests hinweg ähnlich: Die Werte sinken etwas, ein sauberes Ergebnis kommt selten heraus.

Interessanter als die Erfolgsquoten ist die Frage, warum es diesen Markt überhaupt gibt. Wer einen Text unter eigenem Namen veröffentlicht, möchte selten, dass er auf den ersten Blick als Maschinenausgabe durchgeht. Es geht um Glaubwürdigkeit, und die steht bei einer Bewerbung genauso auf dem Spiel wie bei einer Doktorarbeit, einer Produktbeschreibung oder einer Kampagne. Dazu kommt die Sorge, Suchmaschinen könnten KI-Texte irgendwann schlechter bewerten.

Diese Werkzeuge entfernen im selben Arbeitsgang auch ein vorhandenes Wasserzeichen des ursprünglichen Anbieters. Das gehört zum Kern des Angebots: Das Wasserzeichen steckt in der Wortwahl, und genau die wird ersetzt. Wer einen Claude-Text durch ein solches Werkzeug schickt, hebelt damit die Kennzeichnung nach Artikel 50 aus. Genau diese Angreifbarkeit war einer der Gründe, aus denen OpenAI sein Text-Wasserzeichen nie veröffentlicht hat.

Was das für deine Website bedeutet

Aus der Gemengelage lassen sich vier praktische Schlüsse ziehen.

Kläre, welcher Anbieter hinter deinen Werkzeugen steckt. Ob dein CMS-Plugin oder dein Übersetzungsdienst im Hintergrund Claude, GPT oder Gemini anspricht, entscheidet darüber, ob deine Texte ein Herkunftssignal tragen. Diese Information steht meist in der Dokumentation des Anbieters.

Verlass dich bei Bildern auf die Metadaten, aber wisse um ihre Zerbrechlichkeit. C2PA-Daten überstehen den Upload in vielen Systemen nicht. Wenn dir die Herkunft eines Bildes wichtig ist, dokumentiere sie zusätzlich in deiner eigenen Mediendatenbank, statt dich allein auf die Datei zu verlassen.

Nutze Detektor-Werte nicht als Beleg. Weder um fremde Texte zu bewerten noch um eigene zu verteidigen. Die Fehlerquote ist zu hoch und trifft ausgerechnet Menschen, die in einer Fremdsprache schreiben.

Lass dich von der SEO-Sorge nicht treiben. Google bewertet nach eigener Aussage die Qualität eines Inhalts und lässt offen, mit welchem Werkzeug er entstanden ist. Abgestraft wird massenhaft erzeugter Inhalt ohne redaktionelle Kontrolle, den Google seit März 2024 als Missbrauch mit massenhaft generierten Inhalten führt. Ein mit KI-Unterstützung geschriebener und redaktionell geprüfter Artikel fällt nicht darunter.

Regele die Kennzeichnung redaktionell. Für gewöhnliche Website-Texte gibt es keine gesetzliche Pflicht zum sichtbaren Hinweis. Eine schriftlich festgehaltene Haltung dazu, welche Inhalte mit KI-Unterstützung entstehen, hilft dir trotzdem, wenn ein Kunde oder eine Redaktion nachfragt.

Fazit

Die Kennzeichnung KI-generierter Inhalte ist 2026 aus dem Stadium der Absichtserklärung heraus, aber noch weit von einem geschlossenen System entfernt. Bei Bildern und Audio funktioniert das Zusammenspiel aus Wasserzeichen und signierten Metadaten inzwischen ordentlich. Beim Text hängt es am Anbieter, und bei zwei von drei großen Anbietern hängt es an gar nichts.

Die Detektoren, die diese Lücke füllen sollen, messen etwas anderes, als ihre Prozentzahl suggeriert. Wer eine Antwort auf die Frage sucht, ob ein Text von einer Maschine stammt, bekommt sie derzeit nur dort, wo der Anbieter selbst ein Signal hinterlassen hat und den Schlüssel zum Prüfen herausgibt. Das ist ein schmaler Ausschnitt, und man sollte ihn nicht mit dem ganzen Bild verwechseln.

Für die kommenden Jahre zeichnet sich ein Wettlauf ab. Auf der einen Seite stehen die Anbieter, die aus rechtlichen und kommerziellen Gründen immer zuverlässiger markieren werden. Auf der anderen Seite stehen Werkzeuge, die diese Muster überschreiben. Wer heute darauf baut, dass KI-Text dauerhaft unerkennbar bleibt, wettet gegen die Richtung, in die sich die Technik bewegt.

Damit bleibt eine Methode, die verlässlich funktioniert: den Text selbst schreiben. Das klingt banal, ist aber die einzige Variante, die auch in fünf Jahren noch hält. Vielleicht führt gerade der Druck zur Kennzeichnung zu einer Renaissance von Textern, Übersetzern, Fotografen und Videografen, die ihr Handwerk beherrschen. Das wäre am Ende kein schlechtes Ergebnis.