Inhalte

Wasserzeichen für KI-Texte: Wie SynthID funktioniert undwarum es gerade zum Industriestandard wird

Seit dem 2. August 2026 gilt Artikel 50 der europäischenKI-Verordnung (KI-VO): Anbieter generativer KI-Systeme müssen ihre Ausgaben sokennzeichnen, dass Software sie automatisch als KI-generiert erkennen kann. Fast zeitgleich hat Anthropic bekanntgegeben, dass Claude-Antworten künftig einunsichtbares Wasserzeichen tragen und beruft sich dabei explizit auf eineMethode, die Google DeepMind bereits 2024 in Nature veröffentlicht hat: SynthID-Text.
Grund genug, sich die zugrundeliegende Technik einmal genauer anzuschauen.

Das Problem

Moderne Sprachmodelle erzeugen Text, der sich stilistischkaum noch von menschlich verfasstem Text unterscheidet. Das eröffnet eine Vielzahl von neuen Möglichkeiten, aber auch Risiken, wie etwa Desinformation, akademischen Betrugoder die schleichende Verwässerung des Informationsraums, wenn Trainingsdaten künftiger Modelle zunehmend aus KI-generiertem Text bestehen. Wasserzeichen gelten seit Jahren als vielversprechender Lösungsansatz, scheiterten in der Praxis aber lange an drei Anforderungen: Die Qualität der Texte darf nicht leiden, die Erkennung muss zuverlässig funktionieren und das Ganze muss sich rechnen, ohne spürbare Verzögerung und ohne nennenswerte zusätzliche Kosten im Betrieb.

Genau hier setzt im Oktober 2024 in Nature erschienene Paper von Sumanth Dathathri, Abigail See und ihrem Team bei Google DeepMind an. Es beschreibt SynthID-Text als produktionsreifes Wasserzeichenverfahren, das nach eigenen Angaben all diese Anforderungen gleichzeitig erfüllt und legt damit den Grundstein für das, was heute reihenweise bei großen KI-Anbietern zum Einsatz kommt.

Die Grundidee

Sprachmodelle erzeugen Text Wort für Wort (genauer: Token für Token). Bei jedem Schritt wählt das Modell aus mehreren möglichen Kandidaten aus, oft ist die Wahl zwischen zwei ungefähr gleich guten Wörternbeliebig. Nehmen wir den Satz "Das Wetter heute war kühl und …": Ob als Nächstes "bewölkt" oder "grau" folgt, ändert an der Bedeutung kaum etwas. Genau diese Fälle nutzt SynthID-Text aus.

Statt den fertigen Text nachträglich zu manipulieren oder sichtbare Zeichen einzufügen, greift SynthID-Text schon während der Texterzeugung ein: Es verändert nicht, welches Wort gewählt werden könnte,sondern woher der Zufall stammt, der bei mehreren gleich guten Kandidaten die Entscheidung trifft. Technisch geschieht das über einen sogenannten"Tournament-Sampling"-Mechanismus: Aus der Wahrscheinlichkeitsverteilung des Modells werden mehrere Kandidatentokengezogen, die dann anhand einer pseudozufälligen, aus einem geheimen Schlüsselabgeleiteten Bewertungsfunktion gegeneinander antreten. Runde um Runde, bis ein Gewinner-Token übrig bleibt. Wer den Schlüssel kennt, kann im fertigen Textnachträglich prüfen, ob die getroffenen Wortentscheidungen statistisch zudiesem Muster passen. Je länger der Text, desto sicherer die Erkennung.

Das Prinzip lässt sich mit einem Würfelspiel vergleichen: Ob die Würfel wirklich zufällig fallen oder ihr Ergebnis aus einer festen, aber unbekannten Zahlenfolge abgeleitet wird, macht für den Spielverlauf keinen Unterschied. Wer die Zahlenfolge aber kennt, kann im Nachhinein erkennen, ob sie verwendet wurde.

Von der Forschung in die Praxis

Was das Nature-Paper von vielen früheren Wasserzeichen-Ansätzen abhebt, ist der Praxistest: Google DeepMind hat SynthID-Text produktiv in Gemini eingebaut und die Ergebnisse anhand vonRückmeldungen aus fast 20 Millionen echten Chatbot-Antworten ausgewertet. Nutzerinnen und Nutzer bewerteten wasserzeichenversehene Antworten dabei nicht schlechter als unmarkierte. Ein wichtiger Beleg dafür, dass die Methode in der Praxis funktioniert, ohne die Qualität der Ausgaben spürbar zu beeinträchtigen. Zusätzlich ist die Erkennung recheneffizient, weil dafür nicht erneut das gesamte Sprachmodell aufgerufen werden muss, und lässt sich mit Techniken wie"Speculative Sampling" kombinieren, die viele Anbieter ohnehin zur Beschleunigung der Texterzeugung nutzen.

Google hat den Ansatz inzwischen quelloffen zur Verfügunggestellt, unter anderem als fertige Implementierung in der weit verbreiteten Hugging-Face-"Transformers"-Bibliothek. Wer ein eigenes Modell mitSynthID-Text versehen will, muss es dafür nicht neu trainieren. Es genügt, beim Erstellen eine passende Konfiguration zu übergeben, die im Kern zwei Stellschrauben festlegt: eine Liste geheimer Schlüssel, die festlegt, wie viele "Ebenen" das Turnier hat, und eine Fenstergröße, die abwägt, wierobust das Wasserzeichen gegenüber späteren Textänderungen ist, gegenüber wiegut es sich erkennen lässt.

Wo die Methode an ihre Grenzen stößt

So elegant das Verfahren ist, es hat klare Grenzen, auf die sowohl Google als auch Anthropic in ihrer jeweiligen Dokumentation hinweisen:

Sachliche Texte bieten wenig Angriffsfläche. Wenn es für ein Token nur eine richtige Antwort gibt, wie etwa bei Formeln, Fakten oder Code, der sonst nicht mehr funktioniert, gibt es keine gleichwertigen Alternativen, zwischen denen das Wasserzeichen wählen könnte. Entsprechend schwächer ist die Markierung in stark faktenbasierten oder technischen Texten.
Kurze Texte sind schwerer zu erkennen. Je weniger Wortentscheidungen vorliegen, desto weniger statistische Evidenz gibt es für eine zuverlässige Erkennung.
Vollständiges Umschreiben kann das Muster zerstören. Wird jedes Wort ersetzt oder der Text in eine andere Sprache übersetzt, sinkt die Erkennungssicherheit erheblich. Leichte Bearbeitungen übersteht das Wasserzeichen dagegen meist.
Ein Wasserzeichen beweist keine Autorschaft im rechtlichen Sinn. Es lässt lediglich eine Wahrscheinlichkeitsaussage zu, ob ein bestimmtes Modell an der Texterzeugung beteiligt war. Es lässt nicht erkennen, ob ein Mensch den Text redigiert, übernommen oder nur grob geprüft hat.

Der aktuelle Stand

Der Blick auf die letzten Wochen zeigt, wie schnell sich das Thema entwickelt hat. Am 14. August 2026 hat Anthropic öffentlich erklärt, dass Claude-Modelle nun ebenfalls Text mit einem Wasserzeichen versehen und dass die eigene Umsetzung ausdrücklich eine Variante des in dem Nature-Papervorgestellten SynthID-Text-Ansatzes ist. Anthropic betont dabei dieselbenKernpunkte wie Google: keine erkennbaren Qualitätseinbußen, keine zusätzlichenToken oder Kosten, keine Rückführbarkeit auf einzelne Personen oder Chats. Auchbei Code wird die Markierung nur dort gesetzt, wo tatsächlich eine beliebige Wahl zwischen gleichwertigen Formulierungen besteht, etwa in Kommentaren. Ameigentlichen Programmcode ändert sich praktisch nichts.

Ausdrücklich begründet Anthropic diesen Schritt mit der Erfüllung der Kennzeichnungspflicht aus der KI-VO: Insgesamt rund 190 Unterzeichnern, darunter mehrere andere große Anbieter, hat Anthropicim Juli 2026 den freiwilligen "Code of Practice on Transparency of AI-Generated Content" unterschrieben. Dieser Verhaltenskodexkonkretisiert, wie Anbieter die in Artikel 50 Absatz 2 KI-VO verlangte maschinenlesbare Kennzeichnung technisch umsetzen können und wer ihn unterzeichnet, kann sich laut dem Kodex auf eine Vermutungswirkung berufen, die Vorgaben damit zu erfüllen. Interessant ist dabei: Weil es noch keinen verlässlichen Weg gibt, die Markierung nur für den EU-Markt zu aktivieren,wendet Anthropic das Wasserzeichen weltweit an und nicht nur für europäische Nutzerinnen und Nutzer.

Wichtig für die Einordnung: Die Anbieter setzen die Vorgabetechnisch unterschiedlich um. Google nutzt SynthID inzwischen nicht nur fürText, sondern auch für Bilder, Audio und Video. Anthropic konzentriert sich beiText auf eine eigene SynthID-Text-Variante, kennzeichnet erzeugte Bild- und Dateiformate aber über den offenen Herkunftsstandard C2PA statt über ein unsichtbares Wasserzeichen.

Für ältere, bereits vor dem 2. August 2026 veröffentlichte Modelle gilt eine Übergangsfrist: Die technische, maschinenlesbare Kennzeichnungspflicht nach Artikel 50 Absatz 2 KI-VO greift für sie erst zum 2.Dezember 2026 verbindlich und entsprechend kündigen sowohl Google als auch Anthropic an, die Markierung in den kommenden Monaten auch auf ältere Modelle auszurollen.

Fazit

SynthID-Text zeigt beispielhaft, wie aus einer soliden Forschungsidee innerhalb weniger Jahre ein Industriestandard werden kann, derheute maßgeblich mitbestimmt, wie große KI-Anbieter ihre gesetzlichen Transparenzpflichten erfüllen. Perfekt ist die Methode nicht: Wer einen Textkomplett neu formuliert, kann das Wasserzeichen weitgehend entfernen und beisachlichen oder sehr kurzen Texten bleibt die Erkennung unsicher. Als einBaustein unter mehreren und neben Metadaten-Standards wie C2PA, redaktioneller Kennzeichnung und Aufklärung der Nutzer, dürfte SynthID-Text aber in denkommenden Jahren zum festen Bestandteil der KI-Infrastruktur werden. Eine öffentlich zugängliche Erkennungs-API, wie sie Anthropic bereits angekündigthat, wäre dabei der nächste logische Schritt, um die Technik auch außerhalb dereigenen Systeme nutzbar zu machen.

Quellen