Claudes Wasserzeichen lässt sich wohl nur schwer entfernen

Seit dem 2. August 2026 versieht Anthropic KI-generierte Inhalte von Claude bekanntlich mit einem Wasserzeichen und C2PA-Metadaten. Mittlerweile hat das Unternehmen auch genauer erklärt, wie das Wasserzeichen für Texte aus Claude funktioniert. Das Verfahren soll erkennbar machen, ob ein Text von Claude stammt, ohne dabei Rückschlüsse auf den jeweiligen Nutzer oder Chat zu ermöglichen.

Technisch greift Anthropic unter anderem auf SynthID Text von Google DeepMind zurück. Bei der Texterzeugung entscheidet ein Sprachmodell normalerweise mithilfe eines Zufallsprozesses zwischen mehreren passenden Wörtern. Claude ersetzt diesen Zufall durch einen kryptografischen Schlüssel. Dadurch bleibt die Auswahl sinnvoll, hinterlässt aber gleichzeitig ein statistisches Muster, das sich mit dem passenden Schlüssel nachweisen lässt. Die zugrunde liegende Idee geht laut Anthropic auf Arbeiten des Informatikers Scott Aaronson aus dem Jahr 2022 zurück.

Wie zuverlässig sich das Wasserzeichen erkennen lässt, hängt allerdings stark vom Text ab. Bei längeren Inhalten soll das Verfahren besonders gut funktionieren, während kurze Texte, reine Fakten oder Quellcode weniger geeignete Stellen für das Muster bieten. Auch beim Korrekturlesen menschlicher Texte kann die Zahl der von Claude veränderten Wörter zu gering sein. Übersetzungen durch Claude werden dagegen ebenfalls markiert, weil das Modell dabei praktisch jedes Wort neu auswählt.

Für Nutzer soll das Verfahren angeblich kaum spürbare Nachteile haben. Das Wasserzeichen enthält bislang laut Anthropic keine personenbezogenen Informationen, erzeugt keine zusätzlichen Tokens und hat nur minimalen Einfluss auf Geschwindigkeit und Kosten. Eine eigene Schnittstelle zur Überprüfung der Wasserzeichen befindet sich allerdings noch in der Entwicklung.

Anthropic geht davon aus, dass sich das Wasserzeichen durch leichte Bearbeitungen kaum beseitigen lässt. Erst wenn nahezu jedes Wort verändert wird, verschwindet das erkennbare Muster. Kritiker halten Wasserzeichen dieser Art grundsätzlich für angreifbar und verweisen auf Versuche, SynthID durch starkes Umformulieren zu umgehen. Ob das auch für Anthropics konkrete Umsetzung gilt, lässt sich derzeit jedoch nicht abschließend beurteilen, da der verwendete Schlüssel und die genaue Implementierung nicht öffentlich sind.