Claude-Textwasserzeichen trifft auf Open-Source-Entfernungs-Tool: Was das GitHub-Projekt tatsächlich offenbart

Einleitung

Anthropic hatte gerade erklärt, wie die neuen Textwasserzeichen von Claude funktionieren, da begann ein Open-Source-Repository, das sich auf die Entfernung von KI-Herkunftssignalen konzentriert, auf GitHub rasch an Popularität zu gewinnen.

Das Projekt guillaumemeyer/watermarks-remover bezeichnet sich selbst als Agenten-Fähigkeit plus Python-Dienst zum Entfernen mehrerer Kategorien von KI-Herkunftsmarkierungen aus nutzereigenen Texten und Dateien. Zum Zeitpunkt der Datenerfassung des Quellartikels hatte das Repository etwa 11.000 GitHub-Sterne erreicht und verwandelte ein eher technisches Herkunftsthema in eine breitere Debatte über KI-generierte Inhalte, Nutzerkontrolle und die Beständigkeit von Wasserzeichensystemen.

Der Quellartikel betrachtet das Projekt als Beleg dafür, dass Claudes Wasserzeichen über Nacht effektiv geknackt wurden. Dieser Titel ist dramatischer, als es die vorhandenen Belege rechtfertigen.

Die präzisere Schlussfolgerung lautet: Verschiedene Herkunftssysteme versagen auf unterschiedliche Weise, und keine einzelne Markierungsmethode kann garantieren, dass sie unter allen Transformationen überlebt. Anthropic selbst räumt ein, dass die Wasserzeichenerkennung Grenzen hat, Google beschreibt SynthID als robust, nicht als unknackbar, OpenAI warnt ausdrücklich, dass Herkunftssignale manchmal entfernt werden können, und C2PA ist als Herkunftsstandard konzipiert, nicht als unzerstörbare DRM-Schicht.

Das GitHub-Projekt ist daher nicht deshalb interessant, weil es beweist, dass alle KI-Wasserzeichen nutzlos sind, sondern weil es zeigt, wie schnell Open-Source-Forscher die Annahmen hinter mehreren Herkunftsschichten überprüfen können.

Warum das Projekt viral ging

Das Repository erschien zum perfekten Zeitpunkt.

Am
14. August 2026 veröffentlichte Anthropic eine ausführliche Erläuterung zu den Textwasserzeichen, die in zukünftigen Claude-Modellen eingesetzt werden sollen. Vier Tage später hob ein gemeinsam veröffentlichter Artikel von BAAI watermarks-remover als schnell aufsteigendes Gegenbeispiel in der Open-Source-Community hervor.

Die Dokumentation des Repositories selbst stellt klar, dass es sich gegen mehrere verschiedene Kategorien von Herkunftssignalen richtet, nicht gegen ein einziges allgemeines „Claude-Wasserzeichen“.

Die Abdeckungsmatrix unterteilt diese Signale in mehrere Hauptkategorien:

• Unsichtbare oder ungewöhnliche Unicode- und Textformatierungsmarkierungen
• Statistische Token-Sampling-Wasserzeichen
• C2PA-, EXIF-, XMP- und Dokumentmetadaten
• Teilweise bildbasierte Wasserzeichenmethoden über externe Forschungs-Backends

Diese Unterscheidung ist wichtig, da diese Mechanismen auf völlig unterschiedlichen Ebenen wirken.

Das Entfernen von Metadaten aus Dateien ist nicht dasselbe Problem wie das Schwächen statistischer Textwasserzeichen. Ebenso unterscheidet sich das Verändern von Bildpixeln grundlegend vom Löschen unsichtbarer Unicode-Zeichen.

Das Projekt ist unter der MIT-Lizenz lizenziert und

seine README positioniert das Tool ausdrücklich als Dienst für Datenschutz und Hygiene nutzereigener Inhalte.

Anthropics Wasserzeichen ist kein Trick mit versteckten Zeichen

Um zu verstehen, warum das Repository so viel Aufmerksamkeit erregt, ist es notwendig zu klären, was Anthropic tatsächlich veröffentlicht hat.

Claudes Textwasserzeichen fügt keine versteckten Strings, Nullbreitenzeichen oder geheimen Tags in die Ausgabe ein.

Anthropic gibt an, dass sein Wasserzeichen auf SynthID-Text basiert, einer statistischen Wasserzeichenmethode, die von Google DeepMind entwickelt und 2024 in der Zeitschrift Nature veröffentlicht wurde.

Sprachmodelle wählen ohnehin aus Wahrscheinlichkeiten

Sprachmodelle erzeugen Text Token für Token.

Bei jedem Schritt weisen sie möglichen nächsten Token Wahrscheinlichkeiten zu. Ein Token kann äußerst wahrscheinlich sein, andere plausibel, und viele Möglichkeiten haben geringe Wahrscheinlichkeit.

Der normale Generierungsprozess nutzt dann Zufälligkeit, um aus diesen Möglichkeiten zu wählen.

Statistische Wasserzeichen modifizieren diese Zufallsquelle auf kontrollierte Weise. Der Text wirkt für Leser weiterhin natürlich, aber die Sequenz der Token-Wahlen kann ein statistisches Muster enthalten, das ein Detektor mit dem entsprechenden Schlüssel erkennen kann.

Google DeepMinds Beschreibung von SynthID-Text ähnelt dem: Es passt die Token-Wahrscheinlichkeitswerte während der Generierung an und bettet so ein erkennbares Signal ein, ohne sichtbare Zeichen hinzuzufügen.

Anthropics Analogie „Pi statt Würfel“

Anthropic verwendete eine Analogie mit einem Brettspiel.

Stellen Sie sich vor, Spieler würfeln normalerweise, um Zugweiten zu bestimmen. Statt eines wirklich zufälligen Würfels verwendet das Spiel heimlich eine bekannte Zahlenfolge wie die Ziffern von Pi.

Für die Spieler wirken die Züge weiterhin zufällig. Aber wer die Folge kennt, kann später die Muster überprüfen und abschätzen, ob diese Zufallsquelle verwendet wurde.

Claudes Wasserzeichen folgt derselben Grundidee: Es verändert den statistischen Prozess hinter der Token-Wahl, anstatt sichtbare Etiketten in den Text einzufügen.

Was das Wasserzeichen beweisen kann und was nicht

Anthropic ist bei den Implikationen des Detektors vorsichtig.

Der Wasserzeichen-Detektor soll abschätzen, wie wahrscheinlich es ist, dass Claude zu einem Text beigetragen hat. Er kann nicht beweisen, ob ein Text von einem Menschen verfasst wurde, und er identifiziert auch nicht automatisch Texte, die von allen anderen KI-Systemen generiert wurden.

Die Erkennung ist bei kurzen Texten sowie bei stark eingeschränkten faktischen Texten weniger zuverlässig, da das Modell dort weniger plausible Wortwahlmöglichkeiten hat.

Korrekturlesen ist eine weitere Schwachstelle. Wenn Claude nur Satzzeichen oder einige wenige Wörter geändert hat, könnte es zu wenig von dem Modell gewählten Text geben, als dass das statistische Wasserzeichen erkannt werden könnte.

Diese Einschränkungen sind wichtig, weil der Quellartikel das System fast als absolut darstellt. Anthropics eigene Dokumentation macht diese Behauptung nicht.

Wie das Open-Source-Projekt das Problem schichtet

Das Repository organisiert die Forschung zur Entfernungs-Herkunft in Ebenen.

Dieser Artikel behält diese Architektur bei, weil sie hilft, die technische Debatte zu verstehen, aber dieser Artikel bietet keine operative Anleitung zum Umgehen von Wasserzeichen.

Quellsysteme. Wichtig ist, zwischen Mechanismen zu unterscheiden.

Ebene 1: Unsichtbare Text-Hygiene

Die einfachste Klasse von Markierungen ist auch am leichtesten zu verstehen.

Text kann unsichtbare oder visuell mehrdeutige Zeichen enthalten, darunter ungewöhnliche Leerzeichen, bidirektionale Steuerzeichen, Tabulatorzeichen oder andere Unicode-Formatierungssymbole.

Die Codebasis beschreibt eine deterministische Text-Hygieneschicht, die Zeichen dieser Kategorien erkennt und normalisiert.

Dies unterscheidet sich grundlegend von Claudes neuem SynthID-artigen statistischen Wasserzeichen.

Anthropic stellt ausdrücklich fest, dass sein Wasserzeichen nicht auf versteckten Zeichen basiert. Daher wird das bloße Bereinigen von Unicode voraussichtlich nicht das von Anthropic beschriebene statistische Signal besiegen.

Dies ist einer der Gründe, warum die Codebasis Unicode-Bereinigung und statistische Wasserzeichen als getrennte Ebenen betrachtet.

Ebene 2: Statistische Wasserzeichen sind ein Umschreibeproblem

Statistische Textwasserzeichen sind schwieriger zu behandeln, da das Signal in den Token-Wahlmustern liegt, nicht in Dateimetadaten oder versteckten Zeichen.

Die Dokumentation der Codebasis listet großflächiges Umschreiben oder Paraphrasieren als relevante Angriffskategorie auf. Das übergeordnete Prinzip ist einfach: Wenn genügend Token-Wahlen von einem anderen Modell oder Sampling-Prozess neu erzeugt werden, kann das ursprüngliche statistische Muster abgeschwächt werden.

Dies ist keine überraschende Eigenschaft für die statistische Wasserzeichenforschung. Die Robustheit von Wasserzeichen wird typischerweise gegen Transformationen wie Paraphrasierung, Übersetzung, Bearbeitung und Neugenerierung bewertet.

Der Kompromiss ist ebenso wichtig: Stärkeres Umschreiben kann auch Semantik, Terminologie, Stil, faktische Genauigkeit oder Autorensignale verändern.

Der Quellartikel erwähnt kurz dieses Degradierungsrisiko, was einer der Hauptgründe dafür ist, dass erfolgreiche Detektionsumgehungsexperimente nicht automatisch als verlustfreie Transformation betrachtet werden sollten.

Warum "Wasserzeichen entfernt" schwer zu beweisen ist

Anthropic hat noch keine öffentlich zugängliche Claude-Wasserzeichenerkennungs-API veröffentlicht. Das Unternehmen gibt an, dass der Detektorzugang zu einem späteren Zeitpunkt bereitgestellt wird.

Das bedeutet, dass externe Projekte derzeit keine autoritativen End-to-End-Tests gegen Anthropics Produktionsschlüssel und Detektoren durchführen können.

Das Projekt watermarks-remover selbst verwendet an mehreren Stellen der statistischen Wasserzeichenkategorie die Formulierung "Best-Effort". Diese Ausdrucksweise ist technisch verantwortungsvoller als die Behauptung einer garantierten Entfernung.

Bis offizielle Detektoren und reproduzierbare Evaluierungsbedingungen verfügbar sind, sollten Behauptungen, dass Claude-Wasserzeichen "vollständig entfernt" wurden, mit Vorsicht betrachtet werden.

Ebene 3: C2PA und Dateimetadaten

Ein weiterer unabhängiger Teil der Codebasis befasst sich mit Dateiebene-Herkunftsdaten.

Dazu gehören Metadaten, die mit Formaten wie Bildern und Dokumenten verbunden sind, einschließlich C2PA Content Credentials, EXIF, XMP und Dokumenteigenschaften.

C2PA ist ein offener Standard zur Aufzeichnung von Herkunft und Verlauf digitaler Assets. Er kann signierte Informationen über den Ursprung von Inhalten, die verwendeten Werkzeuge und Änderungen im Laufe der Zeit tragen.

Ein wichtiger Unterschied besteht darin, dass C2PA-Metadaten nicht dasselbe sind wie eingebettete statistische Wasserzeichen.

OpenAIs aktuelle Herkunftsdokumentation macht ebenfalls diese Unterscheidung.

Unterschied. Von OpenAI unterstützte generierte Bilder können sowohl C2PA Content Credentials als auch SynthID-Wasserzeichen tragen. OpenAI gibt an, dass Metadaten bei Bearbeitung, Konvertierung, Weitergabe oder Screenshots verloren gehen oder entfernt werden können, während eingebettete Wasserzeichen bestimmte Konvertierungen überdauern können.

Deshalb kombinieren moderne Herkunftssysteme zunehmend mehrere Signale, statt sich nur auf Metadaten zu verlassen.

C2PA ist ein Herkunftsmechanismus, kein digitales Rechtemanagement

Die C2PA-Spezifikation soll überprüfbare Herkunftsinformationen aufzeichnen.

Sie ist nicht als nicht-entfernbares digitales Rechteverwaltungssystem konzipiert.

Die C2PA-Dokumentation beschreibt Content Credentials ausdrücklich als parallel zu Standard-Metadatenformaten wie XMP und EXIF arbeitend. Dateien können bei Konvertierungen Metadaten verlieren; in diesem Fall verlässt sich das Ökosystem auf Verifizierung, dauerhafte Bindung, Wasserzeichen oder andere ergänzende Signale zur Erhöhung der Robustheit.

Daher zeigen Tools, die Metadaten entfernen können, lediglich die bekannten Grenzen metadatenbasierter Herkunftsmechanismen auf und widerlegen an sich nicht das breitere C2PA-Modell.

Bild-Wasserzeichen sind ein weiteres separates Forschungsgebiet

Der Quellartikel wechselt anschließend von Text und Metadaten zu Bild-Wasserzeichen.

Auch dies ist wieder ein eigenständiges Thema.

Googles SynthID-Bildwasserzeichen bettet nicht wahrnehmbare Signale direkt in generierte Bildinhalte ein. Google gibt an, dass das Wasserzeichen so konzipiert ist, dass es nach gängigen Modifikationen wie Zuschneiden, Filtern, Framerate-Änderungen und verlustbehafteter Kompression weiterhin erkennbar bleibt.

Das Open-Source-Repository verweist auf externe Forschungssysteme, die Re-Engenerierungsangriffe sowie potenzielle oder Pixelebene-Wasserzeichen bewerten.

Das Projekt referenziert außerdem MarkDiffusion, ein Open-Source-Toolkit für generative Wasserzeichenforschung mit latenten Diffusionsmodellen.

MarkDiffusion selbst ist nicht nur ein "Wasserzeichenentferner". Sein erklärter Zweck ist umfassender: Implementierung, Visualisierung und Evaluierung generativer Wasserzeichenalgorithmen, einschließlich ihrer Erkennbarkeit, Robustheit und Ausgabequalität.

Dies erinnert uns daran, dass Wasserzeichenforschung schon immer beide Seiten des Problems umfasst:

Einbetten von Herkunftssignalen
↓
Anwenden von Bearbeitungen oder Transformationen
↓
Testen, ob das Signal überlebt
↓
Messen von Qualität und Erkennbarkeit
↓
Verbessern von Wasserzeichen

Robuste Wasserzeichen sind erst nach Tests mit realen Transformationen aussagekräftig.

MarkLLM bietet einen Forschungsrahmen für Text-Wasserzeichen

Das Repository referenziert außerdem MarkLLM, ein Open-Source-Toolkit, das von Forschern der Tsinghua-Universität und Kooperationspartnern entwickelt wurde, um Wasserzeichenmethoden für große Sprachmodelle zu implementieren und zu evaluieren.

MarkLLM unterstützt mehrere Klassen von Text-Wasserzeichenalgorithmen, darunter KGW, SynthID-Text, Unigram, SWEET, SIR und andere.

Seine Bedeutung liegt darin, dass es Forschern eine gemeinsame Umgebung bietet, um folgende Fragen zu untersuchen:

• Wie gut ist die Erkennbarkeit des Wasserzeichens?
• Wie wirkt es sich auf die Textqualität aus?

Wie vergleichen sich verschiedene Wasserzeichenalgorithmen miteinander?

Dieser Forschungskontext ist wertvoller als der einfache Rahmen "Wasserzeichen gegen Wasserzeichenentferner".

Das eigentliche technische Problem ist ein fortlaufender Abwägungsprozess zwischen Erkennbarkeit, Robustheit, Qualität, Datenschutz, Interoperabilität und Fehlalarmrisiken.

Das Projekt ist breit angelegt, aber nicht allumfassend

Die Abdeckungsmatrix auf GitHub ist ehrgeizig, enthält aber auch klare Einschränkungen.

Einige Mechanismen sind als Best-Effort aufgeführt. Einige Bildmethoden verlassen sich auf externe Backends. Einige Kategorien von Markierungen liegen außerhalb des Anwendungsbereichs. Verschiedene Anbieter legen unterschiedliche Herkunftssysteme in unterschiedlichen Produkten und Modalitäten offen.

Dies ist besonders wichtig für Behauptungen über OpenAI.

Das Repository listet OpenAI-bezogene Herkunftsflächen in seiner Anbieterabdeckung auf, aber dies sollte nicht als Beweis dafür interpretiert werden, dass OpenAI derzeit ein universelles unsichtbares statistisches Wasserzeichen in allen generierten Texten verwendet.

OpenAIs offizielle Dokumentation von 2026 besagt, dass unterstützte Bilder C2PA-Metadaten plus SynthID verwenden, während unterstütztes Audio SynthID verwendet. OpenAI erklärt außerdem, dass die Herkunftsarbeit auf mehrere Modalitäten einschließlich Text ausgeweitet wird, die Abdeckung jedoch je nach Produkt, Modell, Exportpfad, Dateityp und Datum variiert.

Daher ist die Aussage "versteckte Marker von OpenAI entfernen" zu vage und ohne Angabe des Inhaltstyps und des Herkunftsmechanismus nicht präzise.

Warum Claude möglicherweise die Hilfe beim Entfernen von Herkunftssignalen verweigert

Der Quellartikel enthält Screenshots von Nutzern, die angeblich versuchten, Claude dazu zu bringen, Entfernungswerkzeuge zu bedienen, und dabei abgelehnt wurden.

Dieses Verhalten steht im Einklang mit der Sicherheitsrichtlinien-Unterscheidung, die viele KI-Anbieter zwischen der Analyse von Herkunftssystemen und der direkten Hilfe beim Umgehen derselben treffen.

Nutzer haben legitime Gründe, Metadaten oder datenschutzsensible Felder in Dateien zu prüfen, die ihnen gehören. Gleichzeitig können Herkunftssignale für Authentizität, Betrugsprävention, Plattformtransparenz und Compliance wichtig sein.

Daher ist die sicherste Verwendung solcher Projekte für Forschung, Interoperabilitätstests, Datenschutzprüfungen oder kontrollierte Evaluierung von Inhalten, die Ihnen gehören – nicht, um synthetische Inhalte als unabhängige menschliche Schöpfungen zu tarnen oder Offenlegungspflichten zu umgehen.

Der Quellartikel behauptet außerdem, andere Modelle hätten das Projekt ohne Einwände installiert. Diese Anekdoten sind von Nutzern berichtetes Verhalten und keine zuverlässige, modellübergreifende Richtlinien-Benchmark; sie sollten daher nicht zu Aussagen verallgemeinert werden, dass Modelle eines Landes "Wasserzeichenentfernung erlauben" während Modelle eines anderen Unternehmens dies nicht tun.

Warum Anthropic weltweit Wasserzeichen hinzufügt

Der politische Hintergrund ist der EU AI Act.

Artikel 50 verpflichtet Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, diese Ausgaben maschinenlesbar zu machen und als künstlich erzeugt oder manipuliert erkennbar zu gestalten, vorbehaltlich der detaillierten Ausnahmen und Umfangsbestimmungen des Gesetzes.

Die Transparenzpflichten aus Artikel 50 gelten ab dem 2. August 2026.

Die Europäische Kommission hat außerdem einen freiwilligen Verhaltenskodex zur Transparenz KI-generierter Inhalte veröffentlicht, um Anbietern und Bereitstellern den Nachweis der Einhaltung zu erleichtern.

Anthropic hat angegeben, diesen Verhaltenskodex unterzeichnet zu haben, und implementiert Text-Wasserzeichen als Teil der Compliance-Bemühungen.

Warum Nutzer außerhalb Europas dieselben Systeme sehen

Dieser Teil des Quellartikels ist im Wesentlichen korrekt, wenn auch konfrontativ formuliert.

Anthropic selbst erklärte in seinem Beitrag vom
14. August, dass es bei der Veröffentlichung weltweit Wasserzeichen anwendet, da es noch keine dauerhafte Möglichkeit habe, das System regional zu begrenzen.

Anthropic erklärte außerdem, weiterhin andere Optionen zu prüfen.

Die globale Ausweitung wird also nicht aus Nutzerverhalten abgeleitet; sie wurde von Anthropic direkt erklärt.

Die EU-Regeln gehen weiter als "allen Inhalten ein Wasserzeichen hinzufügen"

Der Quellartikel reduziert den AI Act auf eine einzige Anforderung.

Der tatsächliche Rechtsrahmen ist differenzierter.

Artikel 50 legt Transparenzpflichten für Anbieter und Bereitsteller bestimmter KI-Systeme fest. Die Leitlinien der EU-Kommission von 2026 erläutern, dass Anbieter maschinenlesbare Kennzeichnungen hinzufügen müssen, damit KI-generierte oder -manipulierte Inhalte erkannt werden können, während Bereitsteller separate Kennzeichnungspflichten für Deepfakes und bestimmte KI-generierte Veröffentlichungen haben.

Der Verhaltenskodex ist freiwillig. Die Pflichten aus Artikel 50 darunter sind es nicht.

Diese Unterscheidung ist wichtig, wenn es darum geht zu erörtern, warum Unternehmen wie Anthropic, Google und OpenAI in Herkunftsnachweissysteme investieren.

Eigentlich geht es in der Debatte um Autorschaft, Herkunft und Nutzerkontrolle

Im letzten Abschnitt des Quellartikels wird argumentiert, dass Nutzer es nicht mögen, wenn sogenannte „Web-Marken“ an ihren Werken haften.

Hier besteht durchaus eine Spannung, aber sie ist komplexer als die schärfsten Formulierungen beider Seiten.

Eine Person kann stundenlang recherchieren, gliedern und ein Dokument verfassen und dann lediglich ein KI-Modell zur Bearbeitung nutzen. Anthropic räumt diesen Fall selbst ein und erklärt, dass leichtes Korrekturlesen so wenig vom Modell generierten Text hinterlassen kann, dass der Wasserzeichenmechanismus dies nicht robust erfassen kann.

Diese Nuance ist wichtig.

Die Nutzung von KI löst nicht automatisch Fragen zu Autorschaft, Eigentum oder kreativem Beitrag. Herkunftssignale beantworten eine engere Frage: Könnte ein bestimmtes Tool bei der Erstellung oder Änderung dieses Inhalts beteiligt gewesen sein?

Sie entscheiden nicht darüber, ob ein Werk korrekt, originell, legal, ethisch, menschenzentriert oder von professionellem Wert ist.

OpenAI vertritt in seiner Verifizierungsdokumentation denselben Standpunkt: Der Nachweis eines Herkunftssignals kann darauf hindeuten, dass ein unterstütztes OpenAI-Tool eine Datei erstellt oder exportiert hat, bestätigt jedoch nicht Authentizität, Eigentum oder Kontext.

Wasserzeichen und ihre Entfernung bleiben ein Katz-und-Maus-Spiel

Das Schlussargument des Quellartikels ist überzeugender als sein Titel: Dies ist noch kein entschiedenes Rennen.

Anthropic hat seinen öffentlichen Textwasserzeichen-Detektor noch nicht veröffentlicht. Daher kann das GitHub-Projekt keine schlüssigen Belege für die Entfernungsleistung gegenüber Anthropics Produktionsdetektor und den zugehörigen Schlüsseln erbringen.

Ebenso werden sich Wasserzeichensysteme weiterentwickeln, wenn Forscher herausfinden, welche Transformationen sie schwächen.

Das Zukunftsszenario ist nicht ein perfektes Wasserzeichen.

Sondern ein mehrschichtiger Herkunfts-Stack:

Ein ausgereiftes System könnte mehrere dieser Technologien kombinieren, statt nur einer zu vertrauen.

Was bestätigt ist und was weiterhin eine Behauptung darstellt

Von Anthropic bestätigt

• Zukünftige Claude-Modelle werden ein auf SynthID-Text basierendes Textwasserzeichen verwenden.
• Das Wasserzeichen verändert die statistische Quelle der Zufälligkeit bei der Token-Generierung, nicht aber durch Einfügen versteckter Zeichen.
• Die Erkennungszuverlässigkeit ist bei kurzen Proben sowie leicht bearbeiteten oder faktischen Texten geringer.
• Anthropic plant die Bereitstellung einer API zur Wasserzeichenerkennung.
• Anthropic wendet das System bei der Veröffentlichung weltweit an, da eine zuverlässige regionale Eingrenzung derzeit nicht möglich ist.
• Die Bereitstellung steht im Zusammenhang mit den Anforderungen des EU AI Acts und des Verhaltenskodex für Transparenz.

Vom GitHub-Repository bestätigt

• watermarks-remover ist unter der MIT-Lizenz lizenziert.
• Das Repository zielt auf mehrere Arten von KI-Herkunftssignalen ab, nicht auf ein einzelnes Wasserzeichen.
• Die Dokumentation trennt Unicode-Bereinigung, statistische Wasserzeichentransformationen, Dateimetadaten und bildbezogene Forschungs-Backends.
• Die statistische Wasserzeichenverarbeitung wird an mehreren Stellen als „Best Effort“ und nicht als garantierte Wirksamkeit beschrieben.
• Der erklärte Zweck des Projekts ist der Datenschutz und die Hygiene für Nutzer, die über eigene Inhalte verfügen.

Von Google DeepMind bestätigt

• SynthID kann KI-generierte Texte, Bilder, Audios und Videos mit Wasserzeichen versehen.
• SynthID-Text verändert die Token-Wahrscheinlichkeitswerte während der Generierung.
• Bild- und Medienwasserzeichen sind darauf ausgelegt, einer Reihe gängiger Transformationen standzuhalten, aber Google beansprucht keine absolute Unzerstörbarkeit.

Von OpenAI bestätigt

• Unterstützte OpenAI-generierte Bilder können sowohl C2PA-Content-Credentials als auch SynthID-Wasserzeichen enthalten.
• Unterstützte OpenAI-generierte Audiodateien können SynthID enthalten.
• OpenAI weist ausdrücklich darauf hin, dass Metadaten entfernt werden können und keine einzelne Herkunftstechnologie unfehlbar ist.

Behauptungen, die mit Vorsicht zu behandeln sind

• Die Behauptung, Clues Wasserzeichen sei „vollständig geknackt“ worden, bevor Anthropics Produktionsdetektor öffentlich testbar ist.
• Die Behauptung, das Projekt garantiere die Entfernung aller SynthID- oder statistischer Wasserzeichen.
• Die Behauptung, OpenAI verwende in allen Produkten ein einheitliches unsichtbares Textwasserzeichen.
• Die Behauptung, alle Modellanbieter hätten dieselbe Politik bezüglich der Entfernung von Herkunftsnachweisen.
• Die Behauptung, ein nicht erkanntes Wasserzeichen beweise, dass Inhalte von Menschen verfasst wurden.

Häufig gestellte Fragen

Was ist das neue Textwasserzeichen von Claude?

Das Textwasserzeichen von Claude ist ein statistisches Wasserzeichen, das auf der SynthID-Text-Methode von Google DeepMind basiert. Es verändert während der Generierung die Wahrscheinlichkeiten der Token-Auswahl, sodass ein Detektor mit dem entsprechenden Schlüssel abschätzen kann, ob Claude wahrscheinlich an der Generierung eines Textabschnitts beteiligt war.

Verwendet das Wasserzeichen von Claude unsichtbare Unicode-Zeichen?

Nein. Anthropic gibt an, dass das neue Wasserzeichen nicht auf versteckten Zeichen beruht. Das Entfernen unsichtbarer Unicode-Zeichen ist ein separater Bereich der Texthygiene und zielt selbst nicht auf SynthID-artige statistische Signale ab.

Hat das Open-Source-Projekt das Wasserzeichen von Claude nachweislich geknackt?

Das kann noch nicht abschließend beurteilt werden. Anthropic hat seine öffentliche Erkennungs-API noch nicht veröffentlicht, sodass unabhängige Projekte ihre Ergebnisse nicht umfassend gegen den Produktionsdetektor und die zugehörigen Schlüssel validieren können. Das Code-Repository selbst verwendet in der Kategorie der statistischen Wasserzeichen eine „Best Effort“-Formulierung.

Was ist der Unterschied zwischen SynthID und C2PA?

SynthID bettet Wasserzeichensignale in generierte Inhalte ein, während C2PA-Content-Credentials signierte Herkunftsinformationen und Bearbeitungshistorie an digitale Assets anhängen. Beide ergänzen sich: Metadaten können reichhaltigeren Kontext tragen, während eingebettete Wasserzeichen Transformationen überleben können, bei denen Metadaten entfernt werden.

Können C2PA-Metadaten aus einer Datei entfernt werden?

Metadaten können durch Bearbeitung, Formatkonvertierung, Export, Freigabeplattformen oder absichtliches Entfernen verloren gehen. Dies ist eine bekannte Einschränkung, weshalb Herkunftssysteme zunehmend Content-Credentials mit eingebetteten Wasserzeichen und Verifizierungsdiensten kombinieren.

Warum wendet Anthropic das Claude-Wasserzeichen auch außerhalb der EU an?

Anthropic gibt an, das Wasserzeichen weltweit einzuführen, da es derzeit keine dauerhafte Methode gibt, das System auf eine bestimmte Region zu beschränken. Das Unternehmen erklärt, weiterhin andere Optionen zu prüfen.

Verlangt der EU AI Act, dass KI-generierte Inhalte erkennbar sind?

Artikel 50 verlangt, dass Anbieter bestimmter generativer KI-Systeme sicherstellen, dass einschlägige synthetische Ausgaben in maschinenlesbarer Form gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die Transparenzpflichten gelten seit dem
2. August 2026 und werden durch detaillierte Leitlinien sowie einen freiwilligen Verhaltenskodex zur Einhaltung unterstützt.

Beweist das Fehlen eines Wasserzeichens, dass Inhalte von Menschen verfasst wurden?

Nein. Anthropic, Google und OpenAI beschreiben die Herkunftserkennung durchweg als probabilistisch oder signalbasiert, nicht als Beweis menschlicher Autorschaft. Signale können aufgrund nicht unterstützter Formate, zu kurzer Proben, inhaltlicher Transformationen oder anderer Einschränkungen fehlen.

Verwandte Werkzeuge

• Anthropic Claude Textwasserzeichen: Offizielle Informationen von Anthropic zum SynthID-Text-basierten Wasserzeichen, seinen Grenzen und der globalen Einführung.
• Google DeepMind SynthID: Offizieller Überblick von Google zu Wasserzeichen und Erkennung für KI-generierte Texte, Bilder, Audios und Videos.
• C2PA: Offizielle Standardorganisation für Content-Credentials und interoperable Medienherkunft.
• MarkLLM: Open-Source-Forschungswerkzeugkasten zur Implementierung und Bewertung von LLM-Wasserzeichenalgorithmen.
• MarkDiffusion: Open-Source-Forschungswerkzeugkasten für Wasserzeichen in latenten Diffusionsmodellen.

watermarks-remover: Das im Quellartikel diskutierte MIT-lizenzierte Code-Repository; seine eigene Dokumentation rahmt den Zweck als Nutzungsszenario für Inhalte ein, die sich im Besitz des Nutzers befinden.

Verwandte Links

• Anthropic: Wie Claude-Textwasserzeichen funktionieren: Hauptquelle zu Design, Erkennungsgrenzen, EU-Konformitätsbegründung und globaler Einführung der Claude-Wasserzeichen.
• Google DeepMind: SynthID: Hauptquelle zur Beschreibung, wie SynthID Text und andere Medieninhalte kennzeichnet.
• EU-Verhaltenskodex für Transparenz bei KI-generierten Inhalten: Leitlinien der Europäischen Kommission zur Unterstützung der Einhaltung der Transparenzpflichten gemäß Artikel 50.
• EU-KI-Verordnung, Verordnung (EU) 2024/1689: Amtlicher Rechtstext mit den Anforderungen aus Artikel 50 zu maschinenlesbarer Kennzeichnung und Erkennung synthetischer Inhalte.
• OpenAI: Fortschritte bei der Inhaltsherkunft: OpenAIs Erläuterung zu C2PA, SynthID, Verifizierung und den Grenzen einzelner Herkunftssignale.
• C2PA-Technische Spezifikation: Offizielle Spezifikation und Umsetzungsleitfaden für Inhaltszertifikate.
• MarkLLM GitHub-Repository: Forschungsframework, das verschiedene LLM-Wasserzeichen- und Robustheitsmethoden abdeckt.

Zusammenfassung

Ein auf die Entfernung von KI-Herkunftsnachweisen spezialisiertes Open-Source-Repository wurde auf GitHub innerhalb weniger Tage nach der Ankündigung von Anthropic, dass Claude die auf SynthID basierende Textwasserzeichen-Technologie übernehmen werde, schnell populär. Dieser Zeitpunkt ist dramatisch, doch die Belege stützen nicht die Behauptung, dass Claude-Wasserzeichen vollständig geknackt wurden.

Die wertvollere Erkenntnis ist, dass Herkunftsnachweise mehrschichtig sind. Unsichtbare Unicode-Zeichen, statistische Textwasserzeichen, C2PA-Metadaten und eingebettete Medienwasserzeichen sind unterschiedliche Mechanismen mit jeweils eigenen Stärken und Versagensmustern. Techniken, die ein Signal entfernen können, wirken möglicherweise nicht auf andere, und starke Transformationen, die Wasserzeichen schwächen, können gleichzeitig die Qualität des Inhalts selbst mindern.

Anthropic, Google, OpenAI, C2PA, MarkLLM und MarkDiffusion verweisen alle auf dieselbe übergeordnete Schlussfolgerung: Herkunftsnachweise funktionieren am besten als Kombination aus Signal- und Verifizierungswerkzeugen, nicht als einzelnes permanentes Kennzeichen.

KI-Wasserzeichen sind nicht absolut unknackbar, und Wasserzeichenentfernung ist keine vollständige Auslöschung – das eigentliche Problem besteht darin, Herkunftsmechanismen zu entwickeln, die unter realen Transformationsbedingungen praktisch nutzbar bleiben.