Am 11. August 2026 kündigte Anthropic an, unsichtbare, maschinenlesbare Wasserzeichen in alles einzubauen, was neue Claude-Modelle schreiben, weltweit, nicht nur für Nutzer:innen, die unter EU-Recht fallen. Ausgelöst wurde das durch Artikel 50 des EU AI Act, dessen Kennzeichnungspflichten für generierte Inhalte einen Tag zuvor in Kraft getreten waren. Fast zwei Jahre früher hatte Google DeepMind die Technik, die das überhaupt plausibel machte, aufs Cover von Nature gebracht: SynthID-Text, ein Wasserzeichen, das zu diesem Zeitpunkt schon leise unter fast 20 Millionen echten Gemini-Antworten lief.
In diesem Beitrag geht es genau um dieses Paper: wie SynthID-Text technisch funktioniert, warum es Gemini offenbar nicht schlechter oder langsamer macht, und dann, weil ein Wasserzeichen nur nützt, wenn es schwer auszuhebeln ist, was eine wachsende Zahl kritischer Studien darüber sagt, wie weit dieser Schutz wirklich reicht.
Ein Hinweis zu den Quellen. Alles zur gemessenen Wirkung von SynthID-Text weiter unten stammt aus DeepMinds eigener Berichterstattung, peer-reviewed und in Nature veröffentlicht, aber nicht unabhängig geprüft. Die Angriffe und Grenzen weiter unten stammen von separaten Forschungsgruppen, die kein Interesse daran haben, dass SynthID gut aussieht. Wir haben versucht, das durchgängig zu kennzeichnen.
Was ein Wasserzeichen in einem Satz überhaupt bedeutet
Ein Foto mit einem Wasserzeichen zu versehen ist intuitiv: Man versteckt ein Signal in den Pixeln, das Kompression und Zuschnitt überlebt, aber für das menschliche Auge unsichtbar bleibt. Bei Text muss man dasselbe Problem mit viel weniger Material lösen. Ein Foto hat Millionen Pixel, über die sich ein Signal verteilen lässt; ein Satz hat ein paar Dutzend Tokens, und jedes einzelne muss am Ende noch wie normale Sprache klingen.
Der Trick, der das überhaupt machbar macht: Ein großes Sprachmodell wählt kein vorbestimmtes nächstes Wort. An jeder Position berechnet es eine vollständige Wahrscheinlichkeitsverteilung über das Vokabular und zieht daraus eine Stichprobe. Diese Stichprobenziehung braucht irgendwo Zufall, und wenn man kontrolliert, wie dieser Zufall erzeugt wird, ohne zu verändern, welche Wörter wahrscheinlich werden, kann der Zufall selbst ein Signal tragen. Niemand, der den Satz liest, merkt etwas; wer die Regel kennt, mit der dieser Zufall erzeugt wurde, kann später statistisch danach suchen. Das ist die Grundidee hinter jedem der im Folgenden besprochenen Verfahren. Sie unterscheiden sich darin, wie stark sie den Sampling-Schritt verzerren, was das an Textqualität kostet, und wie schwer sich die Verzerrung ohne den Schlüssel erkennen oder entfernen lässt.
Im Inneren von SynthID-Text: Tournament Sampling
DeepMinds Mechanismus, so wie er im Nature-Paper beschrieben wird, läuft Token für Token ab:
- Ein Seed, verankert im Kontext. An jeder Position werden ein geheimer Wasserzeichen-Schlüssel und ein Hash der letzten vier bereits erzeugten Tokens (das Kontextfenster im Paper, H = 4) zu einem Seed kombiniert. Wer den Schlüssel besitzt, kann diesen exakten Seed später allein aus dem Text rekonstruieren, ohne das Modell zu brauchen, das ihn geschrieben hat.
- Ein Münzwurf pro Kandidat. Dieser Seed füttert eine pseudozufällige Funktion, die jedem Kandidaten-Token einen "g-Wert" zuweist: praktisch ein deterministisches, pseudozufälliges 0 oder 1 für genau diese Kombination aus Token und Kontext.
- Ein K.-o.-Turnier. Statt einen einzigen Token aus der Modellverteilung zu ziehen, zieht SynthID-Text viele Kandidaten-Tokens unabhängig aus genau dieser Verteilung (DeepMinds Standardeinstellung nutzt 30 Runden) und lässt sie in einem K.-o.-System gegeneinander antreten: In jeder Paarung kommt der Kandidat mit dem höheren g-Wert für diese Runde weiter, Gleichstände werden zufällig entschieden. Der Token, der nach allen Runden übrig bleibt, wird tatsächlich ausgegeben.
Eine vereinfachte Version mit zwei Runden macht die Mechanik konkret:
Ziehungen aus der Modellverteilung: "schnell" (g=1), "flott" (g=0), "schnell" (g=1), "rasch" (g=1)
Runde 1: "schnell"(1) vs "flott"(0) -> "schnell" kommt weiter
"schnell"(1) vs "rasch"(1) -> Gleichstand, Münzwurf wählt "schnell"
Runde 2 (Finale): "schnell" vs "schnell" -> "schnell" wird ausgegeben
Echte Turniere laufen über deutlich mehr Runden und Kandidaten, aber die Paarungs- und K.-o.-Logik ist genau diese.
Weil jeder Kandidat ursprünglich aus der echten Modellverteilung gezogen wurde und die Entscheidung bei Gleichstand kein bestimmtes Wort bevorzugt, lässt sich das Verfahren so einstellen, dass der ausgegebene Token im Schnitt weiterhin derselben Verteilung folgt, die ein Modell ohne Wasserzeichen verwendet hätte. DeepMind nennt das die nicht-verzerrende Konfiguration. Es gibt außerdem eine verzerrende Variante, die die Neigung stärker in Richtung besserer Erkennbarkeit drückt, zulasten dieser Garantie. Das Paper vergleicht sie mit Kirchenbauers älterem "Soft Red List"-Wasserzeichen, dazu weiter unten mehr.
Die Erkennung läuft umgekehrt: Für jeden Token im zu prüfenden Text wird mit dem Schlüssel derselbe Seed und g-Wert neu berechnet und der Durchschnitt gebildet. Text ohne Wasserzeichen pendelt sich nahe der Münzwurf-Basislinie von 0,5 ein; Text mit Wasserzeichen liegt messbar höher. DeepMind gibt das als True-Positive-Rate bei einer fest eingestellten False-Positive-Rate von 1 % an. Praktisch nützlich daran ist, dass die Erkennung nur den Schlüssel und den Text braucht, nie das Modell selbst, weshalb sie auch sprachübergreifend konsistent funktioniert, was trainierte KI-Text-Klassifikatoren (Tools im Stil von GPTZero) in der Regel nicht schaffen.
Kostet das wirklich nichts?
Das ist der Teil, für den DeepMind sich auf das Peer-Review von Nature gestützt hat, und er liefert die stärkste Evidenz im Paper.
Der echte Gemini-Traffic wurde ungefähr zur Hälfte auf Antworten mit und ohne Wasserzeichen aufgeteilt, das eingebaute Daumen-hoch/Daumen-runter-Feedback über knapp 20 Millionen Antworten hinweg ausgewertet. Die Daumen-hoch-Rate für Antworten mit Wasserzeichen lag 0,01 Prozentpunkte höher; Daumen-runter lag 0,02 Punkte niedriger. Beide Unterschiede waren statistisch nicht signifikant. Eine separate, kontrollierte Studie ließ menschliche Bewerter:innen 3.000 ELI5-artige Fragen entlang fünf Dimensionen bewerten (Kohärenz, Relevanz, Korrektheit, Hilfreichkeit, Gesamtqualität) und fand auch dort keine signifikante Präferenz in eine Richtung.
Latenz: Auf einem Gemma-7B-IT-Modell lief einfaches Sampling mit 15,527 ms pro Token; die 30-Runden-Turnierversion mit 15,615 ms, ein Anstieg von 0,57 %. Es lohnt sich, hier genau zu bleiben statt DeepMinds Zahl unkommentiert zu übernehmen: Das ist tatsächlich langsamer als die zwei Vergleichswerte in derselben Tabelle, Gumbel Sampling (0,26 %) und Soft Red List (0,28 %). Der Kompromiss aus Qualität und Erkennbarkeit, den Tournament Sampling erkauft, ist bei der Latenz nicht ganz kostenlos. Die Zahl ist klein genug, um kein Grund zur Sorge zu sein, aber es ist auch nicht ganz das kostenlose Extra, das eine Ein-Satz-Überschrift wie "0,57 % Mehraufwand" suggeriert.
Wo das Signal dünn wird: Text mit niedriger Entropie
Das Paper ist ungewöhnlich offen über eine strukturelle Grenze: Ein Wasserzeichen funktioniert, indem es beeinflusst, welcher Token unter mehreren plausiblen gewählt wird, und dafür muss das Modell zwischen Kandidaten tatsächlich unsicher sein. Bei "Was ist die Hauptstadt von Frankreich?" gibt es genau einen guten nächsten Token, da bleibt nichts zu verzerren. Die Autoren schreiben es direkt: Tournament Sampling "funktioniert besser, wenn die Verteilung des LLM mehr Entropie hat, und ist weniger wirksam, wenn sie weniger Entropie hat." Code, Rechenaufgaben und kurze Faktenantworten sind genau die Kategorien, in denen das am stärksten zuschlägt, und das ist eine Einschränkung, die jedes Wasserzeichenverfahren in diesem Bereich teilt, nichts Spezifisches an SynthID-Text. Eine Nuance, die man im Kopf behalten sollte: SynthID-Texts Vorteil gegenüber dem älteren Gumbel-Sampling-Verfahren ist bei niedriger Entropie sogar größer, und beide gleichen sich an, je höher die Entropie wird, es ist also nicht nur schlechte Nachricht im Vergleich zum bisherigen Stand der Technik, sondern nur in absoluten Zahlen.
Das ältere Verfahren, mit dem verglichen wird
SynthID-Text ist nicht das erste LLM-Wasserzeichen. Kirchenbauer, Geiping, Wen, Katz, Miers und Goldsteins Verfahren aus 2023 geht direkter vor: An jedem Schritt teilt eine pseudozufällige Funktion, die von vorherigen Tokens abhängt, das Vokabular in eine "Green List" und eine "Red List" auf, und die Logits der Green-List-Tokens bekommen vor dem Sampling einen festen Bonus. Die Erkennung zählt einfach, wie oft der gewählte Token zufällig auf der Green List stand.
Das lässt sich einfacher umsetzen als ein mehrstufiges Turnier, und genau diese Einfachheit ist auch die Schwachstelle. Der Bonus verzerrt die Ausgabeverteilung direkt, am sichtbarsten bei Text mit mittlerer Entropie, weshalb mehrere Folgearbeiten genau dieses Problem zu beheben versuchten. Weil das zugrunde liegende Signal "stand der gewählte Token auf einer Liste" ist und keine mehrschichtige statistische Struktur, ist es außerdem das meistuntersuchte Ziel für die Angriffe im nächsten Abschnitt.
Wie robust ist das Ganze wirklich?
Hier gehen Marketing-Framing und kritische Forschung deutlich auseinander, und das Thema verdient es, ernst genommen zu werden, statt Wasserzeichen als gelöstes Problem zu behandeln.
Umformulieren bricht es, zuverlässig. Mehrere Studien aus 2024 und 2025, unabhängig von DeepMind, fanden heraus, dass ein einzelner Durchlauf durch einen LLM-Paraphrasierer die Erkennungsrate mehrerer Wasserzeichenverfahren unter 30 % drücken kann. Das SRI Lab der ETH Zürich hat das gezielt gegen SynthID-Text getestet und fand, dass einfache, frei verfügbare Paraphrasierer über 90 % Erfolg beim Entfernen des Wasserzeichens erzielten.
Es gibt einen Beweis, keine bloße Anekdote, dass sich das nicht vollständig beheben lässt. Zhang, Edelman, Francati, Venturi, Ateniese und Baraks Paper "Watermarks in the Sand" (ICML 2024) zeigt unter recht allgemeinen Annahmen, dass "starke" Wasserzeichen, also solche, die kein rechnerisch begrenzter Angreifer entfernen kann, ohne die Qualität sichtbar zu verschlechtern, beweisbar unmöglich sind, selbst wenn der Angreifer den geheimen Schlüssel nie erfährt. Das macht Wasserzeichen nicht sinnlos: Es bedeutet, dass kein zukünftiges Verfahren dieser Art gegen jemanden unangreifbar sein wird, der bereit ist, Rechenleistung ins Umschreiben zu stecken, während es gegen den weitaus häufigeren Fall von achtlosem Copy-Paste durchaus nützlich bleibt.
Wasserzeichen lassen sich stehlen und auf Text fälschen, der nie ein Wasserzeichen hatte. Jovanović, Staab und Vechev zeigten, ebenfalls auf der ICML 2024, dass es reicht, die öffentliche API eines wasserzeichenversehenen Modells abzufragen, um dessen Green/Red-Muster näherungsweise zu rekonstruieren, gut genug, um das echte Wasserzeichen schneller zu entfernen und um es zu spoofen: neuen, wasserzeichenfreien Text zu erzeugen, der fälschlich als "kommt von unserem Modell" erkannt wird. Sie berichten Erfolgsraten über 80 % für unter 50 US-Dollar an API-Kosten gegen Verfahren, die zuvor "als sicher galten." Das gezielte Testen von SynthID-Text durch das SRI Lab fand es deutlich schwerer zu spoofen als die verglichenen Verfahren, aber nicht immun: Spoofing gelang trotzdem in 4 bis 15 % der Fälle, abhängig davon, wie viel wasserzeichenversehenen Text die Angreifer sammeln konnten, und die Anwesenheit des Wasserzeichens selbst ließ sich allein aus Black-Box-Anfragen ableiten, obwohl das nicht die beabsichtigte Eigenschaft war.
Zu DeepMinds Ehrenrettung: Nichts davon wird im Paper verschwiegen, es nennt die Schwäche bei niedriger Entropie und Stealing sowie Scrubbing selbst als offene Probleme, was mehr Offenheit ist, als die meisten Forschungspapiere aus der Industrie zeigen. Die ehrliche Zusammenfassung lautet: SynthID-Text ist real, läuft im Maßstab von Gemini produktiv, kostet offenbar keine Qualität, und übersteht trotzdem meist keinen entschlossenen Angreifer, der bereit ist, den Text umzuschreiben.
Nicht der einzige Weg, Herkunft zu belegen
Wasserzeichen in Text sind nur ein Zweig eines größeren Baums. Bei Bildern, Video und Audio hat sich die Branche größtenteils auf einen anderen Ansatz geeinigt: C2PA / Content Credentials, ein kryptographisch signiertes Metadaten-Manifest, das festhält, woher ein Inhalt stammt und wie er bearbeitet wurde, getragen von einer Koalition, Adobe, Microsoft, Google, Intel, Sony, Amazon, OpenAI und tausenden weiteren Mitgliedern, die inzwischen die meisten großen Kamera- und Kreativsoftware-Hersteller umfasst. Das ist ein Label, das neben dem Inhalt hängt, statt ein Signal, das in ihn eingewoben ist, und genau deshalb passt es schlecht zu reinem Text: Abschreiben, erneutes Speichern oder ein Screenshot entfernt Metadaten trivial, während ein statistisches Wasserzeichen genau diese Art von Kopie überstehen soll.
OpenAI ist das klarste Beispiel für einen Anbieter, der sich bewusst anders entschieden hat. Man baute ein funktionierendes Text-Wasserzeichen, angeblich wirksam gegen simples Copy-Paste, entschied sich aber, es nicht in ChatGPT auszurollen. Eine interne Umfrage soll ergeben haben, dass fast 30 % der Nutzer:innen das Produkt seltener nutzen würden, wenn es käme; das Unternehmen befürchtete, dass Falsch-Positive überproportional Menschen träfen, die nicht auf Englisch als Muttersprache schreiben; und OpenAIs eigene Einschätzung war, dass sich das Wasserzeichen, wörtlich, leicht durch Umformulieren oder Übersetzen umgehen ließe. Stattdessen hat man SynthID für generierte Audioinhalte übernommen und sich dem C2PA-Lenkungsausschuss für Bild-Herkunftsnachweise angeschlossen, ohne je ein Text-Wasserzeichen für ChatGPT selbst auszuliefern, soweit öffentliche Berichte bis 2026 zeigen.
Die Regulierung, die das gerade zu jedermanns Problem macht
Artikel 50 des EU AI Act verpflichtet Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, diese Ausgaben in einem maschinenlesbaren Format zu kennzeichnen, das als KI-generiert erkennbar ist. Die Pflichten sind am 2. August 2026 in Kraft getreten, mit einer Übergangsfrist bis zum 2. Dezember 2026 für Systeme, die schon vorher auf dem Markt waren. Wichtig ist, genau zu lesen, was der Artikel nicht sagt: Er schreibt kein Wasserzeichen als vorgeschriebene Technik vor. Die Compliance-Leitlinien behandeln Metadaten-Tagging, kryptographische Herkunftsnachweise, maschinenlesbare Audit-Logs und Wasserzeichen als gleichwertige Optionen; ein Anbieter kann wählen, was zum jeweiligen Inhaltstyp passt.
Anthropics Ankündigung, wenige Tage nach dieser Frist, setzt bei Text auf statistische Wasserzeichen und bei generierten Bilddateien auf signierte C2PA-Metadaten, beides weltweit angewendet und nicht nur dort, wo das Gesetz formal greift. Die Berichterstattung über die Ankündigung bestätigte den zugrunde liegenden Mechanismus nicht, es wäre also ein Fehler anzunehmen, dass darunter SynthID steckt. Es handelt sich um eine separate, derzeit nicht offengelegte Umsetzung mit demselben regulatorischen Ziel.
Warum ein Anbieter das freiwillig wollen könnte
Die bisherige Darstellung liest sich wie eine Reaktion: Artikel 50 trat in Kraft, Anthropic kündigte seine Maßnahme wenige Tage später an. Das Timing stützt diese Lesart. Es erklärt aber ein Detail nicht vollständig: Anthropic kündigte an, weltweit zu kennzeichnen, nicht nur für den Traffic, den das Gesetz tatsächlich erfasst. Eine reine Compliance-Maßnahme würde an der Grenze enden, die das Gesetz zieht.
Es gibt einen eigennützigen Grund, weiter zu gehen, der mit keiner Regulierung zu tun hat: der Schutz der Daten, mit denen das nächste Modell trainiert wird. Ein Nature-Paper von Shumailov et al. aus 2024 beschreibt "Model Collapse": Trainiert man ein Modell wiederholt mit Daten, die selbst zunehmend KI-generiert sind, verschlechtert sich die Qualität über die Generationen hinweg. Seltene Muster und lange Ausläufer der Verteilung erodieren zuerst, die Ausgabe driftet zu einem schmaleren, generischeren Durchschnitt. Das Web, das jeder Anbieter für den nächsten Trainingslauf crawlt, füllt sich genau mit dieser Art Text, schneller, als jede menschliche Kuratierung das herausfiltern könnte.
Ein Wasserzeichen, das simples Kopieren übersteht, auch wenn es einem entschlossenen Paraphrasierungs-Angriff nicht standhält, gibt einem Anbieter ein günstiges, eigenes Mittel, um "das haben wir generiert" in der eigenen Crawling-Pipeline zu markieren und vor dem nächsten Trainingslauf herunterzugewichten oder auszuschließen, ohne auf den Klassifikator eines anderen angewiesen zu sein. So betrachtet ist ein Wasserzeichen kein reiner Compliance-Aufwand mehr. Es dient nebenbei als Qualitätssicherung für die nächste Modellgeneration, und Artikel 50 zu erfüllen ist eher ein willkommener Nebeneffekt als das ganze Motiv.
Zur Einordnung: Das steht so in keiner der oben zitierten Quellen, es ist ein plausibler Anreiz, kein bestätigter. Aber er würde genau das erklären, was die reine Regulierungs-Geschichte offenlässt: warum weiter gehen, als das Gesetz verlangt.
Was das für dich bedeutet, wenn du mit LLMs baust
Wenn dein Produkt Text, Zusammenfassungen oder Übersetzungen für Nutzer:innen in der EU erzeugt, ist Artikel 50 etwas, das du jetzt einplanen solltest, kein Thema für später. Überlege, welche der zulässigen Optionen, Wasserzeichen, Metadaten oder Herkunfts-Log, zu der Art passt, wie dein Content tatsächlich weiterverarbeitet und bearbeitet wird, denn "als KI-generiert erkennbar" muss überstehen, wie deine Nutzer:innen die Ausgabe realistisch verwenden.
Und wenn du "KI-Content-Detektoren" evaluierst, egal ob um KI-geschriebene Studienarbeiten, gefälschte Bewertungen oder Spam zu erkennen, dann behalte die Forschung von oben im Blick. Trainierte Klassifikatoren sind sprachübergreifend unzuverlässig und lassen sich mit einem einzigen Umformulierungsdurchgang leicht täuschen. Selbst ein modell-eigenes, statistisch fundiertes Wasserzeichen wie SynthID-Text braucht die Mitwirkung des Modell-Anbieters und den geheimen Schlüssel, um überhaupt zu erkennen, und übersteht trotzdem meist keinen Paraphrasierungs-Angriff. Wasserzeichen sind echtes, nützliches Engineering, kein Compliance-Häkchen, das nebenbei auch Missbrauch abfängt. Plane damit, was es wirklich ist.