Drei Monate KI-Kennzeichnung: Was Wasserzeichen und Detektoren wirklich beweisen

Darum geht es

Seit dem 2. August 2026 gilt Artikel 50 des EU-KI-Gesetzes (AI Act). Wer generative KI anbietet, muss deren Ausgaben maschinenlesbar als künstlich erzeugt markieren. Deepfakes und KI-Texte zu Themen von öffentlichem Interesse brauchen zusätzlich ein sichtbares Label. Seitdem setzt Anthropic Wasserzeichen in Claude-Texte, OpenAI hat im Oktober „textGrain“ für ChatGPT in der EU angekündigt, Google markiert mit SynthID, Meta mit „Content Seal“. Am 4. November hat Pangram zudem zwei Detektoren für Bilder und Videos vorgestellt.

Nach drei Monaten wollen wir wissen: Was kann eine Journalistin, ein Lehrer oder eine Plattform heute tatsächlich zuverlässig nachweisen? Dafür haben wir vier Ebenen getrennt betrachtet: Text-Wasserzeichen, Bild-Wasserzeichen, C2PA-Metadaten und nachträgliche Detektoren.

Vorab zwei Korrekturen an verbreiteten Darstellungen. Erstens ist die EU nicht mehr unentschlossen: Laut der Kanzlei Reed Smith hat die Kommission den freiwilligen Kodex vom Juni am 8. Juli 2026 als angemessen eingestuft, das KI-Gremium der Mitgliedstaaten (AI Board) folgte am 9. Juli. Wer unterschreibt, kann sich darauf berufen. Ein sicherer Freibrief ist das aber nicht, Behörden dürfen trotzdem prüfen. Rund 190 Organisationen hatten bis Ende Juli unterzeichnet. Laut Faegre Drinker drohen Bußgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Systeme, die schon vorher auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit. Bis zum 2. Februar 2027 müssen die Unterzeichner Prüfwerkzeuge anbieten, die anbieterübergreifend funktionieren. Zweitens ist „umgangen“ beim Claude-Wasserzeichen eine Frage der Nuance, dazu gleich mehr.

Text-Wasserzeichen: messbar, aber nur für Eingeweihte

Anthropic nutzt eine Variante von Googles SynthID-Text. Ein geheimer Schlüssel bevorzugt bei der Wortwahl bestimmte Kandidaten. Wer den Schlüssel hat, zählt diese Treffer und schätzt statistisch ab, ob der Text vom Modell stammt. Versteckte Zeichen gibt es keine.

Was das in der Praxis leistet, lässt sich von außen kaum prüfen. Forscher der Case Western Reserve University (Nemecek, Chaudhary, Ayday) haben im Paper „Watermarks Without Verification“ deshalb die quelloffene SynthID-Text-Umsetzung an zwei offenen Modellen getestet, Gemma-2-9B und Llama-3.1-8B. Bei einer Fehlalarmquote von 1 Prozent erkannten sie nur 39 Prozent der markierten Texte mit 200 Token (ein Token entspricht etwa einem Wortteil). Bei 400 Token waren es 56 bis 59 Prozent, bei Code lag die Erkennung praktisch beim Zufall. Die Textqualität litt dagegen kaum messbar. Die Autoren halten die fehlende Überprüfbarkeit für das eigentliche Versagen, nicht das Wasserzeichen selbst.

OpenAI nennt für textGrain bessere Zahlen, allerdings aus eigener Messung. Laut OpenAI werden bei 1 Prozent Fehlalarmen etwa 80 Prozent der 200-Token-Texte erkannt und 95 Prozent der 400-Token-Texte. Ersetzt man 10 Prozent der Wörter durch Synonyme, fällt die Erkennung von rund 92 auf 66 Prozent. Bei 25 Prozent ersetzten Wörtern bleiben noch 17 Prozent. Prüfen lassen sich diese Werte nicht, denn auch OpenAIs Detektor ist nur für „zugelassene Forscher und Expertenorganisationen“ zugänglich.

Gegen gezieltes Umschreiben (Paraphrasieren) helfen die Verfahren kaum. Eine Studie von Tamim und Khan (arXiv, Juli 2026) prüfte drei Verfahren an den Zulassungskriterien US-amerikanischer Gerichte. Nach dem Paraphrasieren verlor SynthID-Text in 98,3 Prozent der Fälle das Zeichen. Gleichzeitig hielt es 5,4 Prozent umgeschriebener menschlicher Kontrolltexte für KI. Das Urteil der Autoren:

„Diese Konfigurationen erfüllen, so wie getestet, nicht die Beweisanforderungen, die Gerichte stellen.“

Bleibt das viel beachtete Remover-Tool von Guillaume Meyer, das inzwischen über 26.000 GitHub-Sterne hat. Was das Werkzeug verspricht, ist überraschend bescheiden. Unsichtbare Unicode-Zeichen und Datei-Metadaten entfernt es nachprüfbar. Gegen das eigentliche Text-Wasserzeichen lässt es ein anderes Modell umschreiben und nennt das selbst „best effort“. Im README steht, solange Anbieter keine öffentlichen Detektoren und Schlüssel veröffentlichen, könne „kein Werkzeug ehrlich zusichern“, dass die offizielle Prüfung scheitert. Belegt ist dagegen eine Lücke, die Anthropic selbst einräumt: Bei Opus 4.6 und Sonnet 4.6 erscheint das Zeichen laut Hilfeseite und The Decoder nicht zuverlässig, wenn temperature, top_p oder top_k vom Standard abweichen. Diese Einstellungen steuern, wie zufällig das Modell Wörter auswählt.

Ein Detail aus den Leitlinien der Kommission vom 20. Juli verschärft die Lage für Lehrkräfte. Laut Faegre Drinker gelten KI-Übersetzungen dort als normale Bearbeitung und müssen nicht markiert werden. Claude markiert Übersetzungen aber trotzdem voll, weil das Modell jedes Wort selbst wählt. Wer also nur übersetzen lässt, trägt ein Zeichen, das rechtlich gar nicht nötig wäre.

Bild-Wasserzeichen: robuster, aber nicht unknackbar

Bei Bildern ist mehr Spielraum, ein Signal unsichtbar in Pixeln zu verstecken. Google DeepMind gab im Oktober 2025 an, SynthID stecke in über 10 Milliarden Bildern und Videobildern. Angriffe gibt es trotzdem, mit sehr unterschiedlicher Beweislage:

• UnMarker (IEEE Symposium on Security and Privacy 2025, also begutachtet, nicht wie oft zu lesen USENIX): Laut IEEE Spectrum entfernte es je nach Verfahren 57 bis 100 Prozent der Wasserzeichen. Bei SynthID senkte es nach Angaben des Autors Andre Kassis die Erkennung von 100 auf etwa 21 Prozent. Google DeepMind bestritt diese Erfolgsquote.
• reverse-SynthID (rund 5.000 Sterne): Der Entwickler fand per Frequenzanalyse ein festes Trägermuster und meldet eine 91-prozentige Schwächung der wichtigsten Signalanteile. Für die neueste Version listet er 20 Bilder, die den Gemini-Detektor überlistet hätten, manuell geprüft in der Gemini-App. Laut Berichten über Recherchen von The Verge erklärte Google-Sprecherin Myriam Khan, es sei falsch, dass das Tool SynthID systematisch entfernen könne.
• Metas Content Seal: Laut einer Reuters-Analyse vom Juli erkannte Metas Detektor alle 40 Original-Bilder. Nach einem Zuschnitt auf ein Drittel bis die Hälfte der Größe übersah er 55 Prozent, obwohl Meta auf seiner Website das Gegenteil verspricht.

Ein Gegenbefund aus diesem Jahr: Laut einem Preprint (arXiv 2605.09203) hinterlassen sechs getestete Entfernungswerkzeuge, darunter UnMarker, eigene Spuren. Speziell trainierte Detektoren fanden diese Spuren in über 98 Prozent der Fälle bei 1 Prozent Fehlalarmen. Nach starker JPEG-Kompression sank der Wert allerdings deutlich, bei UnMarker auf 74,5 Prozent.

C2PA: Die Signatur, die beim Hochladen verschwindet

C2PA („Content Credentials“) ist kein Wasserzeichen, sondern ein signierter Herkunftsnachweis in der Datei, vergleichbar mit einem versiegelten Beipackzettel. Jeder kann ihn kostenlos auslesen, etwa mit Anthropics „Claude Content Checker“. Das Problem ist, dass er selten bis zum Leser kommt. Bei einem Test der Washington Post im Oktober 2025 entfernten laut Sekundärberichten sieben von acht Plattformen die Daten, nur YouTube zeigte einen versteckten Hinweis. Meta liest C2PA nach mehreren Berichten beim Hochladen aus, um sein „KI-Info“-Label zu setzen, und liefert die Datei danach ohne Nachweis aus. WhatsApp verwirft die Daten beim normalen Fotoversand. Diese Plattformangaben stammen überwiegend aus Anbieter-Blogs und sind nicht offiziell bestätigt. Ein Screenshot genügt ohnehin, um den Nachweis zu entfernen, und Meyers Tool entfernt C2PA auf Knopfdruck.

Nachträgliche Detektoren: Pangrams 99,2 Prozent im Faktencheck

Detektoren wie Pangram brauchen kein Wasserzeichen, sie suchen nach Spuren der Erzeugung. Die Zahlen hinter Pangram Image 1.0:

DF26 ist ein unabhängiger Datensatz aus 271 echten und 2.420 gefälschten Sprechervideos. Menschen erkannten darin nur 52,6 Prozent der Fälschungen. Pangram nennt seinen Wert „29 Punkte“ besser als der nächstbeste Detektor. Im DF26-Paper liegt der beste Wert bei 69,7 AUROC, einem Maß dafür, wie gut ein Detektor echt und unecht auseinanderhält. Dieser Wert stammt aber von neun akademischen Detektoren, die auf älteren Daten (FaceForensics++) trainiert waren. Kommerzielle Dienste waren nicht dabei. Unsere Einschätzung: Der Vergleich stellt Pangrams Genauigkeitswert einer anderen Kennzahl gegenüber und sagt wenig über Konkurrenten wie Hive oder Reality Defender.

Gerechnet für eine Plattform: 0,27 Prozent Fehlalarme bedeuten, dass etwa jedes 370. echte Foto unter Verdacht gerät. Bei einer Million hochgeladener Fotos wären das rund 2.700 falsche Treffer. Selbst Pangram hatte damit zu kämpfen: Laut Engadget verschob die Firma den Start, weil das Modell Fotos des iPhone 18 Pro für KI hielt. Smartphones schärfen Bilder ohnehin per KI nach. In einem Test, den Mitgründer Max Spero teilte, stufte die Browser-Erweiterung zwei offensichtliche KI-Bilder nur als „unsicher“ ein. Kostenlos sind fünf Bilder pro Tag, Video nur im Abo.

Wie stark Detektoren im Alltag schwanken, zeigte NewsGuard im Mai mit 45 Bildern zum Iran-Krieg. Die Fehlalarmquote bei echten Fotos reichte je nach Werkzeug von 0 Prozent (Hive, Sightengine) bis 40 Prozent (ScamAI). Sightengine übersah dafür zwei Drittel der stark manipulierten Bilder. Bei 35 von 45 Bildern widersprachen sich die Werkzeuge mindestens einmal. Hive hielt ein echtes Video von Netanjahu mit 96,9 Prozent für KI.

Wer kann heute was nachweisen?

Einordnung

Unsere Einschätzung: Die Kennzeichnung funktioniert dort, wo niemand täuschen will, etwa wenn eine Plattform ehrlich hochgeladene Gemini-Bilder labelt. Wer gezielt täuscht, hat bei Text leichtes Spiel, bei Bildern mehr Aufwand. Für Lehrkräfte ist die Lage am heikelsten: Sie bekommen keinen Zugang zu den Text-Detektoren. Und ein Treffer könnte auch eine erlaubte Übersetzung oder Korrektur sein. Journalisten können Bild-Wasserzeichen und C2PA nutzen, sollten einen negativen Befund aber nie als Echtheitsbeweis lesen. Für Plattformen sind Detektoren nur ein Filter, kein Urteil.

Dass Anbieter laut Kodex künftig „grundsätzlich kostenlose“ Prüfwerkzeuge anbieten sollen, ist bisher eher ein Häkchen auf dem Papier. Faktisch prüfen bei Text nur ausgewählte Organisationen, und unabhängige Fehlerraten der eingesetzten Systeme gibt es nicht. Ob Anthropic, OpenAI und Google bis Februar 2027 offene, gemeinsam nutzbare Prüfstellen liefern, ist der eigentliche Test dieser Regulierung. Pangrams neue Zahlen sind bis zu einem unabhängigen Vergleich Herstellerangaben, mehr nicht.