Im August 2026 sagte Anthropic etwas Unscheinbares und Ungeheuerliches zugleich: Claude werde künftig eine Spur im Text lassen.
Kein Schild am Rand. Kein Satz written by AI. Kein Dateikopf, der beim Einfügen in ein anderes Dokument einfach abfällt.
Die Wörter sehen aus wie Wörter. Die Sätze bleiben lesbar. Verschoben wird etwas anderes: die Auswahl unter plausiblen Fortsetzungen. Aus vielen solchen Auswahlen kann ein Muster entstehen, das Kopieren, Einfügen und einiges Umschreiben überstehen soll — und später den Schluss erlaubt, das habe eine Maschine geschrieben.
Die Branche reagierte, wie sie auf neue Zwänge reagiert. Es ging um Privatsphäre, Autorschaft, Code. Es ging darum, wie man die Spur überhaupt findet. Und fast auf denselben Tag erschienen Werkzeuge, die versprachen, Herkunftssignale künstlicher Intelligenz zu tilgen.
Man hätte meinen können, ein neues technisches Problem sei eingetroffen. Es war keins. Dieselbe Frage hatte uns schon beschäftigt — für mich ziemlich persönlich.
Schon 2023 eine Werkstattfrage
2023, bei meinem früheren Startup MachinaLabs, entstand Kurz Notiert für die Basler Kantonalbank und Bank Cler.
Generative Modelle waren damals ein anderes Klima. ChatGPT war erst Ende 2022 öffentlich. Firmen tasteten. Richtlinien schwankten. Suchmaschinen schrieben um. Wo die Grenze später liegen würde, wusste niemand.
Für ein System, das Text zur echten Veröffentlichung liefern sollte, zählte uns eine Frage härter als die anderen:
Welche Spuren lässt die Maschine zurück?
Die Sorge war nachgelagert: maschinell erzeugter Text könnte erkannt werden, und das könnte veröffentlichtem Stoff schaden — zumal in der Suche.
Deshalb sass in unserem Verarbeitungsweg ein kleines, unspektakuläres Stück Konstruktion. Der Text sollte nicht von der Maschine geradlinig in den Satzspiegel. Er durchlief Umformungen, die unter anderem Merkmale dämpfen sollten, an denen sich generierter Text als generierter Text verrät.
Kein Produkt. Kein Markt. Ein Bauteil, das man erst sieht, wenn es fehlt.
Drei Jahre später sah ich, wie sich die Industrie an KI-Textwasserzeichen berauschte und an quelloffenen Werkzeugen, die Herkunftsspuren tilgen sollen. Die erste Regung war vorhersehbar: Moment. Das soll neu sein?
Weder Ja noch Nein trägt allein.
Die Markierung ist älter als das grosse Modell
Information in Sprache zu verstecken, ist älter als ChatGPT.
Natursprachliche Wasserzeichen wurden mindestens seit 2001 untersucht. Zwanzig Jahre später suchten Arbeiten wie der Adversarial Watermarking Transformer neuronale Wege, die Herkunft erzeugten Texts nachzuziehen.
Dann die grossen Sprachmodelle. Und fast sofort gehörte das Markieren zur Debatte.
Dezember 2022, nicht einmal zwei Wochen nach der öffentlichen Freigabe von ChatGPT: Scott Aaronson, damals bei OpenAI, schilderte Arbeiten zum statistischen Wasserzeichnen von Ausgaben der GPT-Klasse.
Die Einsicht ist schlicht. Ein Sprachmodell legt sich selten auf das eine nächste Wort fest. Es legt eine Verteilung.
Nach:
The cat sat on the...
kann mat nahe liegen. Ebenso floor, chair, sofa.
In dieser Freiheit sitzt der Hebel. Statt nur dem gewöhnlichen Ziehen aus der Verteilung zu folgen, kann der Erzeuger bestimmte Tokens nach einer geheimen Regel leicht bevorzugen. Kein skurriles Unicode. Kein verstecktes Feld. Nichts, das man an den Satz anhängt.
Die Markierung lebt in den Entscheiden. Ein Wort verrät fast nichts. Hunderte Entscheide können eine statistische Unterschrift bilden.
Das Wettrennen von 2023
Am 24. Januar 2023 legten John Kirchenbauer und Mitautorinnen und Mitautoren A Watermark for Large Language Models vor.
Ihr Verfahren zerlegte mögliche nächste Tokens in pseudozufällige Mengen und hob die Wahrscheinlichkeit der einen Menge leicht an. Bei genug Text kann ein Detektor prüfen, ob das Muster dem Zufall unwahrscheinlich ist. Lesbar sollte der Text bleiben.
2026 klingt das bereits nach Alltag. Der zweite Akt zählt mehr.
Die Forschung erfand 2023 nicht nur die Markierung. Sie versuchte sie sogleich zu zerstören.
Im März veröffentlichten Vinu Sankar Sadasivan und Mitautoren Can AI-Generated Text be Reliably Detected? Sie setzten Erkennung — auch wasserzeichenbasierte — gegen rekursives Umschreiben: denselben maschinellen Text immer wieder neu formulieren. Das Ergebnis war unbequem. Die Erkennung liess sich stark schwächen, während viel von der Qualität blieb.
Bis Mai arbeiteten Miranda Christ, Sam Gunn und Or Zamir an einer noch seltsameren Figur: kryptographisch angelegten Wasserzeichen, die ohne den Geheimschlüssel nicht einmal als vorhanden nachweisbar sein sollten.
Im Juni untersuchten Kirchenbauer und Mitautoren, was geschieht, wenn Menschen den markierten Text umschreiben, ein anderes Modell ihn paraphrasiert oder er in menschlich geschriebenen Stoff gemischt wird.
Im Juli schlugen Forscherinnen und Forscher in Stanford verzerrungsfreie Wasserzeichen vor, die starke Störung überstehen sollten.
Binnen etwa eines halben Jahres war das Feld von Können wir maschinellen Text markieren? über Kann man die Markierung tilgen? und Hält sie Umschreiben stand? bis zu Kann man eine Markierung bauen, deren blosse Existenz ohne Schlüssel unsichtbar bleibt? gelaufen.
Der Wettstreit, der 2026 neu wirkt, war 2023 bereits eröffnet.
Was sich belegen lässt
Verlockend wäre der Satz:
2023 haben wir bei MachinaLabs KI-Wasserzeichen entfernt.
Eine schöne Geschichte. Und mehr, als die erhaltenen Belege heute tragen.
Absichtliche Markierung und maschineller Fingerabdruck sind nicht dasselbe. Die Markierung setzt der Erzeuger bewusst. Der Fingerabdruck kann entstehen, weil maschinelle Sprache statistisch anders liegt als menschliche. Frühe Detektoren jagten genau diese Lage. Dazu kommen Metadaten, Formatspuren, andere Herkunftshinweise.
Sagen kann ich das: 2023 behandelten wir maschinelle Erkennbarkeit bereits als Konstruktionsfrage in einem produktiven Veröffentlichungssystem. Ob die vorgelagerten Modelle, die wir nutzten, ihre Ausgabe bewusst wasserzeichneten, ist eine andere historische Frage. Sie gehört an Belege, nicht an Erinnerung.
Geschichte, die man nachträglich schöner macht, taugt weniger.
Wo wir uns geirrt haben
Unsere Sorge hiess Suche. Weit verbreitet war die Angst, KI-erzeugter Stoff werde in Suchmaschinen bestraft.
Googles öffentliche Lage war feiner. Am 8. Februar 2023 schrieb Google, die Rangordnung solle nützlichen Inhalt belohnen, unabhängig vom Entstehungsweg. Künstliche Intelligenz selbst war nicht der Verstoss. Automation vor allem zur Manipulation von Ranglisten war es.
Deshalb würde ich unser damaliges Bauteil nicht mehr als Antwort auf eine bekannte Google-Strafe gegen KI-Text beschreiben. Eine so glatte Regel gab es nicht. Wir antworteten auf Risiko unter Unsicherheit.
Der Unterschied zählt. Er trifft auch etwas, das sich 2026 schwer zurückbauen lässt: 2023 gab es kein Betriebshandbuch. Die Technik rannte vor Firmenpolitik, Suchpolitik, Regulierung und Gewohnheit. Ein Produktionsteam musste entscheiden, bevor jemand sagen konnte, welche Entscheide später nötig gewesen wären.
Manchmal entstand überflüssige Konstruktion. Manchmal überraschend treffende. Meist wussten wir noch nicht, welche von beiden.
Der Kalender rückt nach
Google holte die Idee in den Betrieb: SynthID. 2024 kündigte Google DeepMind SynthID Text für Gemini an. Wie die akademischen Vorläufer greift es während der Erzeugung in Token-Wahrscheinlichkeiten ein und legt ein unmerkliches statistisches Signal. Später kam eine Referenzimplementierung. Aus einem Randproblem der Forschung wurde Infrastruktur.
Dann das Recht. Artikel 50 der KI-Verordnung der Europäischen Union verpflichtet Anbieter von Systemen, die synthetischen Text, Bilder, Ton und Video erzeugen, ihre Ausgaben maschinenlesbar zu markieren und als künstlich erzeugt oder manipuliert erkennbar zu halten — soweit technisch machbar.
Die Transparenzpflichten gelten ab dem 2. August 2026. Neun Tage später stand Anthropics Umsetzung in den Technikschlagzeilen. Claude würde erzeugten Text auf Modellebene wasserzeichnen; die Markierung sollte mit kopiertem Text mitgehen und einiges an Änderung ertragen; Erkennungswege würden folgen. Die Berichte rückten das statistische Wasserzeichen neben Herkunftsstandards wie C2PA für Text und Bilder. Es ging nicht nur um ein Muster in der Wortwahl. Es ging um ein Bündel von Herkunft.
Plötzlich hatte die alte Frage Nutzende, Recht, Schlagzeilen, Widerstand — und, selbstverständlich, Entferner.
Neu, sobald es auffällt
Die Technikbranche datiert Ideen gern ab dem Tag, an dem sie laut werden.
Ein Forschungsproblem wird zur neuen Technologie, wenn ein Grosses sie ausrollt. Eine technische Fähigkeit wird zum neuen Markt, wenn Regulierung jemanden zwingt, hinzusehen. Eine Schwäche wird zum neuen Problem, wenn genug Leute ihr gleichzeitig begegnen.
Erfindung, Relevanz und Anerkennung sind drei Daten. KI-Textwasserzeichen zeigt das ungewöhnlich scharf.
Natursprachliche Wasserzeichen gab es vor der heutigen generativen KI. Das Markieren grosser Modelle wurde Ende 2022 öffentlich verhandelt. Anfang 2023 lagen praktische statistische Verfahren da. Binnen Monaten kamen Umschreibeangriffe, robustere Gegenentwürfe, kryptographische Konstruktionen. 2024 setzte Google die Idee im Betrieb ein. 2026 half europäisches Recht, daraus eine Branchenpflicht zu machen.
Am Gedanken selbst geschah im August 2026 nichts Magisches.
Der Kalender zog nach.
Was MachinaLabs nicht rettet
MachinaLabs ist gescheitert.
Der Satz muss stehen.
Es gibt eine gefährliche Erzählung über gescheiterte Firmen: jedes aufgegebene Bauteil wird zum Beweis, die Gründer seien heimlich Seher gewesen, der Markt nur zu träge. Diese Erzählung will ich nicht.
Ein Unternehmen gewinnt nicht, indem es treffende Vermutungen über morgen stapelt. Es gewinnt, indem es etwas Nötiges in etwas Verwendbares verwandelt — in einem Augenblick, in dem die Leute bereit sind, es zu verwenden. Das sind verschiedene Künste.
Bei MachinaLabs bauten wir viele kleine Stücke Infrastruktur, weil wir sie für ernsthaften Produktionseinsatz generativer Modelle für nötig hielten. Manche waren es nicht. Manche lagen daneben. Manche waren schlicht überkonstruiert.
Und dann solche Momente. Eine kleine technische Sorge aus einer Veröffentlichungstrecke von 2023 taucht drei Jahre später als Branchengespräch auf: Anthropic, Google, quelloffene Entwicklerinnen und Entwickler, europäisches Recht.
Daraus folgt nicht, MachinaLabs hätte gelingen müssen. Es folgt etwas Brauchbareres.
Recht zu haben über die Zukunft ist nicht dasselbe wie ein Geschäft in der Gegenwart.
Zwei Uhren
Ich hielt Vorsprung früher für einen Vorteil. Heute bin ich weniger sicher.
Technik scheint auf zwei Uhren zu laufen.
Die erste ist die Konstruktionsuhr. Sie startet, wenn etwas technisch geht. Die Forschung sieht es. Wer baut, tastet. Ein paar merkwürdige Firmen legen sich drum. Probleme folgen, Gegenmittel auch.
Die zweite ist die Marktuhr. Sie startet, wenn genug Leute begreifen, warum sie hinsehen sollen. Dazwischen können Jahre liegen.
Kapital muss die Jahre überstehen. Teams auch. Gründerinnen und Gründer auch. Und das Produkt muss irgendwie lange genug leben, bis die Sprache darum herum selbstverständlich klingt.
Deshalb ist Marketing keine Verzierung der Technik. Im besten Fall stellt es die Uhren gleich. Es gibt einer technischen Fähigkeit ein verständliches Problem, dem Problem einen Namen, und dem Markt den Grund, warum das Problem jetzt zählt.
Ohne das sieht Frühsein dem Irrtum täuschend ähnlich.
Archäologie statt Nachruf
Wer ein Unternehmen gebaut hat, das scheiterte, könnte mehr tun als die übliche Nachlese.
Nicht nur den Nachruf. Eine Grabung.
Die Repositories noch einmal. Die alten Architekturskizzen. Die seltsamen Hilfsprogramme, an die sich niemand erinnert. Der defensive Code für Sorgen, die Kundinnen und Kunden kaum kannten. Dann die Fragen:
Welche Annahmen waren falsch?
Welche Annahmen warten noch?
Und die interessanteste:
Mit welchen Annahmen ist die Welt still nachgezogen?
Nicht weil alter Code auferstehen müsste. Meistens nicht. Sondern weil gescheiterte Produkte Auskunft geben. Sie halten fest, was ein Team zu einem Zeitpunkt über die Zukunft glaubte. Drei Jahre später lässt sich die Vermutung an der Wirklichkeit messen.
Genau das will ich mit MachinaLabs tun. Nicht um zu beweisen, dass wir recht hatten. Um zu sehen, wo wir standen.
Das ist ein Unterschied.
Und unter den vergessenen Kleinteilen liegen vielleicht ein paar Fragen, deren Marktuhr endlich angelaufen ist.
Quellen
-
Anthropic, Claude und das Wasserzeichen — The Verge, 12. August 2026 Technischer Überblick zur Ankündigung und dazu, wie das Signal mit Text mitgehen soll; die Berichterstattung stellt das statistische Wasserzeichen neben C2PA für Text und Bilder. The Verge
-
Anthropic says it will watermark text generated by its AI models — TechCrunch, 11. August 2026 Bericht über den Entscheid, modellgenerierten Text zu wasserzeichnen. TechCrunch
-
Anthropic Claude text watermark — developer concerns — Business Insider, 14. August 2026 Umsetzung, Erkennung und Einwände in der Entwicklergemeinschaft. Business Insider
-
Verordnung (EU) 2024/1689 — KI-Verordnung, Artikel 50 Transparenzpflichten für Anbieter von Systemen zur Erzeugung synthetischer Inhalte, einschliesslich maschinenlesbarer Markierung soweit technisch machbar. EUR-Lex
-
Europäische Kommission — Code of Practice on Transparency of AI-Generated Content Begleitmaterial zur Transparenz KI-erzeugter Inhalte im EU-Rahmen. European Commission
-
EU AI Act Service Desk — Artikel 50 Orientierung zu Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme. AI Act Service Desk
-
John Kirchenbauer et al. — A Watermark for Large Language Models, Januar 2023; ICML 2023 Statistisches Grundverfahren für grosse Sprachmodelle über pseudozufällige Token-Greenlists. arXiv:2301.10226 · ICML proceedings
-
Scott Aaronson / OpenAI, Wasserzeichenarbeit — Dezember 2022 Frühe öffentliche Diskussion statistischen Wasserzeichens für Ausgaben der GPT-Klasse, kurz nach der Freigabe von ChatGPT. TechCrunch
-
Vinu Sankar Sadasivan et al. — Can AI-Generated Text be Reliably Detected?, März 2023 Angriffsstudie: rekursives Umschreiben kann Wasserzeichen- und andere KI-Text-Erkennung erheblich schwächen. arXiv:2303.11156
-
Miranda Christ, Sam Gunn & Or Zamir — Undetectable Watermarks for Language Models, 2023 Kryptographisch angelegte Wasserzeichen, die ohne Geheimschlüssel nicht nachweisbar sein sollen. arXiv:2306.09194
-
John Kirchenbauer et al. — On the Reliability of Watermarks for Large Language Models, Juni 2023 Überlebensfähigkeit unter menschlichem Umschreiben, Modell-Paraphrase und Mischung mit menschlichem Text. arXiv:2306.04634
-
Rohith Kuditipudi et al. — Robust Distortion-free Watermarks for Language Models, Juli 2023 Verzerrungsfreie Konstruktionen für erhebliche Störung; auch von Stanford CRFM zusammengefasst. arXiv:2307.15593 · Stanford CRFM
-
Google DeepMind — SynthID Text (2024) Industrieller Einsatz statistischen Textwasserzeichens für Gemini, mit öffentlicher Referenzimplementierung. DeepMind blog · SynthID · Reference implementation
-
Google Search Central — Orientierung zu KI-erzeugtem Inhalt, 8. Februar 2023 Öffentliche Position: Rangordnung belohnt nützlichen Inhalt unabhängig vom Erzeugungsweg und sanktioniert Automation zur Rangmanipulation. Google Search Central
-
Guillaume Meyer — watermarks-remover Quelloffene Diskussion und Werkzeuge zum Tilgen von KI-Herkunfts- bzw. Wasserzeichensignalen aus Text. GitHub