Die Fallstricke des Claude-Wasserzeichens

Am 11. August hat Anthropic angekündigt, dass Claude künftig eine unsichtbare Signatur in alles einwebt, was das Modell schreibt. Die Deutung fiel fast überall gleich aus: Jetzt fliegen die Schummler auf. Tatsächlich beschreibt die Dokumentation des Unternehmens einen Mechanismus, der ziemlich genau an denen vorbeigeht, die man vor Augen hat.

Und vor allem anderen: Markiert wird derzeit gar nichts.

Was angekündigt ist, und was existiert

Die Ankündigung steckt in einer einzigen Seite des Claude-Hilfecenters, der bislang einzigen Äußerung von Anthropic zum Thema. Kein Blogbeitrag, keine Zeile in den Release Notes. Die Transparenzseite des Unternehmens sagt weiterhin nur, man bereite sich auf die Konformität vor. Die Hilfeseite selbst sagt von sich, sie beschreibe „how we're planning to put those commitments into practice“, also wie die Zusagen in die Praxis kommen sollen.

Der Zeitplan dagegen ist eindeutig. Modelle, die ab dem 2. August 2026 erscheinen, markieren ihre Ausgaben vom ersten Tag an. Für ältere Modelle gilt eine Übergangsphase, an der Anthropic nach eigenen Angaben arbeitet.

Nur: Kein Claude-Modell im Betrieb ist jünger als dieses Datum. Die Release Notes von Anthropic nennen Fable 5 am 9. Juni, Sonnet 5 am 30. Juni und Opus 5 am 24. Juli. Seit dem 2. August kein einziger Start.

Lesen könnte die Markierung ohnehin niemand: Ein Detektor ist nicht veröffentlicht, und die Seite verweist gleich zweimal auf eine Dokumentation, die noch kommen soll. Das Schloss ist angekündigt, der Schlüssel folgt später. Die reale Frist haben wir hier vor zwölf Tagen datiert, in unserer Analyse zu Artikel 50 und der Frist vom 2. August: Für Systeme, die vor diesem Stichtag auf den Markt kamen, läuft die Schonfrist bis zum 2. Dezember 2026.

In der Sache lag die Presse richtig, die die Ankündigung aufgegriffen hat. Es ist tatsächlich Anthropic, das sich schon im ersten Satz seiner Seite auf die europäische Verordnung beruft: Das Unternehmen hat den Verhaltenskodex zu Artikel 50 Absatz 2 über die Transparenz generierter Inhalte unterzeichnet.

Was die Markierung beweisen wird

Das Prinzip: eine Signatur, direkt in den Text eingewebt, während das Modell ihn schreibt. Unsichtbar, ohne Wirkung auf Sinn und Lesbarkeit, und auf Modellebene angewandt: Sie ist da, gleich durch welches Produkt der Text herauskommt, API, App, Claude Code oder Cowork.

Sie reist mit dem Text mit, wenn man ihn kopiert und einfügt. Sie „may persist through some editing“, schreibt Anthropic, ohne je zu sagen, wo die Grenze verläuft.

Dann folgt der Absatz, der die ganze Sache in ein anderes Licht rückt, und er steht in der Liste der Einschränkungen, die Anthropic selbst veröffentlicht: „Claude may not be the original author. People often use Claude to proofread, translate, summarize, or convert files.“ Die Ausgabe kann die Markierung also auch dann tragen, wenn Ideen, Text oder Daten von woanders stammen.

Das ist ein Poststempel. Er belegt, dass der Brief am Schalter war, nicht, wer ihn geschrieben hat.

Die Ausnahme, die Brüssel geschrieben hatte

Die Verordnung hatte den Fall vorgesehen. In ihren FAQ zu den Transparenzpflichten wird die Europäische Kommission deutlich: Die Kennzeichnungspflicht „does not apply when the AI system performs an assistive function for standard editing“. Wer beim Korrigieren eines Textes hilft, muss nicht markieren. Quellcode ebenso wenig, zu kurze Sequenzen auch nicht.

Anthropic markiert trotzdem, und einheitlich. Beide Positionen lassen sich vertreten: Auf Modellebene zu markieren ist einfacher und robuster, als jede Nutzung einzeln einzuordnen. Nur ist die Tür, die der europäische Text offen gelassen hatte, damit zugemauert.

Unsere Analyse vom 1. August hielt fest, dass die Markierung aus Artikel 50 Absatz 2 maschinenlesbar ist und den Anbieter trifft, nicht den Nutzer. Das gilt weiterhin. Nur bleibt die Pflicht beim Anbieter, während die Markierung mit dem Text der Nutzerinnen und Nutzer weiterzieht.

Die Asymmetrie

Die Liste der Einschränkungen geht weiter, und hier kippt der Mechanismus. Eine Markierung könnte unerkannt bleiben, wenn der Text „heavily edited, paraphrased, translated, or mixed into other writing“ wurde, oder wenn die Passage zu kurz ist.

Nehmen wir die Szene, die alle im Kopf haben. Wer die Herkunft eines Textes verschleiern will, formuliert um, schickt ihn durch eine andere Sprache, mischt Stücke davon unter eigene. Genau diese Handgriffe löschen die Signatur.

Wer dagegen seinen Entwurf selbst geschrieben und nur um eine Korrektur gebeten hat, fügt die Antwort unverändert ein. Er behält sie. Das Netz lässt durch, worauf es gezielt hatte, und hält fest, was zufällig vorbeikam.

Zwei gewöhnliche Fälle. Ein Angestellter, dessen Arbeitgeber KI verbietet und zugleich die Produktivität erwartet, die sie ermöglicht. Eine Studentin, die in einer Sprache schreibt, die nicht ihre eigene ist, und ihre Syntax korrigieren lässt, bevor sie abgibt. Keiner von beiden hat weniger selbst geschrieben als der Sitznachbar, und beide tragen ein Signal, das dieser Nachbar, geschickter oder skrupelloser, nicht hat.

Wenn Sie eine heikle Mail vor dem Absenden gegenlesen lassen, dann sind genau Sie dieser Fall, und nicht der Betrüger. Eine Transparenzpflicht, gedacht, um Maschinen nachvollziehbar zu machen, wird am Ende an Menschen abgelesen, und sie liest die Ehrlichen besser als die anderen.

Zum Ärger: was sich belegen lässt

Bleibt die Reaktion, und hier ist Vorsicht geboten. Der Bericht, der die Sache in Umlauf brachte, titelt über „some Claude users“ und zitiert drei Threads: einen Beitrag auf r/artificial, einen auf r/Anthropic, einen Kommentar auf r/ClaudeAI. Er zitiert auch einen Gegenkommentar.

Wir haben diese Reaktion nicht selbst quantifiziert, und niemand sonst hat es getan. In unserer eigenen Rechercheunterlage stand dennoch, die Wut wachse: Da hatten wir eine Quelle verschärft, die das nicht hergab. Drei Threads sind keine Bewegung, und niemand kann heute sagen, wie eine Markierung aufgenommen wird, die noch niemand gesehen hat.

Zwei Details, die den Rest erzählen

Markiert wird „wherever Claude is offered, worldwide“. Eine europäische Regel, weltweit angewandt von einem amerikanischen Unternehmen, ohne dass Anthropic diese Wahl erklärt.

Und der Quellcode, den die Kommission ausdrücklich außen vor lässt, wird trotzdem markiert: Anthropic kündigt an, den gesamten generierten Text abzudecken, Claude Code eingeschlossen.

Was sich lesen lässt, und was nicht

Wir machen dieses Medium und benutzen diese Werkzeuge täglich, was die Frage unbequemer macht, als sie aussieht. Die Verordnung erkennt das auf ihre Weise an: Ein Text, der zur Information der Öffentlichkeit erscheint, entgeht der Kennzeichnung, wenn er menschlicher redaktioneller Kontrolle unterlag und jemand die rechtliche Verantwortung dafür trägt. Im nächsten Satz schließt die Kommission die Tür wieder: Prüfungen, die oberflächlich, rein formal oder verfahrensmäßig sind, genügen nicht; als Beispiel nennt sie die Rechtschreib- und Grammatikkorrektur. Die Ausnahme erkauft man sich, indem man Fakten und Quellen prüft, nicht indem man gegenliest.

Ab dem 2. Dezember werden Texte anfangen, eine Signatur zu tragen, und sie wird sagen, dass sie durch eine Maschine gegangen sind. Was ein Autor hineingelegt hat, dazu hat das Unternehmen, das die Markierung baut, in seiner eigenen Dokumentation längst geantwortet: „Claude may not be the original author.“