KI-Wasserzeichen im Text: Wie sie funktionieren und was das für Ihre Inhalte bedeutet

Seit dem 11. August 2026 markiert Anthropic die Texte, die Claude schreibt. Nicht mit einem sichtbaren Hinweis. Nicht mit versteckten Sonderzeichen. Sondern mit einem statistischen Muster in der Wortwahl selbst.^[1] Google macht das bei Gemini seit 2024.^[3] Der Auslöser ist ein Gesetz, das seit dem 2. August 2026 gilt.

Flächendeckend ist das noch nicht. Die Markierung greift ab Werk bei Modellen, die am oder nach dem 2. August 2026 erschienen sind; ältere werden laut Anthropic in den kommenden Monaten nachgerüstet.^[2] Wo sie greift, gilt sie weltweit und über alle Zugangswege – Programmierschnittstelle, App und Entwicklerwerkzeuge gleichermaßen. Ein Ausschalten ist nirgends dokumentiert.

Für Unternehmen sind daran drei Dinge wichtig: Das Muster verschwindet nicht, wenn Sie den Text nur überarbeiten. Es ist bei kurzen Texten grundsätzlich nicht nachweisbar, bei langen mühelos. Und es sagt nichts darüber aus, wem der Text gehört. Dieser Beitrag erklärt beides: wie die Technik funktioniert und was Sie im Alltag damit machen.

Was ein Wasserzeichen im Text wirklich ist

Die meisten Menschen stellen sich unter einem digitalen Wasserzeichen etwas Eingebautes vor: ein verstecktes Zeichen, eine unsichtbare Signatur, irgendetwas, das man mit dem richtigen Werkzeug herausschneiden kann. Bei Bildern stimmt das ungefähr. Bei Text stimmt es nicht.

Ein Sprachmodell hat beim Schreiben ständig die Wahl. Nach „Die Auswertung zeigt, dass die“ passt „Zahlen“, „Ergebnisse“, „Werte“ oder „Daten“ – alle vier sind sinnvoll, und das Modell würfelt zwischen ihnen. Genau dieses Würfeln wird beim Wasserzeichen manipuliert. Anthropic beschreibt es in einem Satz: Verändert werde ausschließlich „die Quelle der Zufälligkeit, mit der zwischen Wörtern ausgewählt wird“.^[1]

Der Text sieht danach genauso aus wie vorher. Es ist nichts hinzugefügt worden, es gibt keine versteckten Zeichen, kein Zeichen und kein Wort verrät für sich genommen irgendetwas. Was sich ändert, ist die Statistik über den gesamten Text: Bestimmte Wörter erscheinen etwas häufiger, als der Zufall es erwarten ließe. Bei zwanzig Wörtern fällt das nicht auf. Bei zweitausend schon.

Wie ein Text in der KI überhaupt entsteht

Um zu verstehen, wo das Muster sitzt, brauchen Sie drei Begriffe. Sie sind einfacher, als sie klingen.

Token: Bruchstücke statt Wörter

Ein Sprachmodell liest keine Wörter, sondern Tokens. Das sind Bruchstücke: mal ein ganzes Wort, mal eine Silbe, mal zwei Buchstaben. Häufige Wörter sind ein einziges Token, seltene und lange zerfallen in mehrere. Deutsch ist dabei im Nachteil, weil wir Wörter zusammenkleben: „Arbeitsunfähigkeitsbescheinigung“ zerfällt in acht Stücke, das englische „house“ belegt genau eines.

Gemessen an je rund 40.000 Wörtern Fließtext braucht Deutsch 1,82 Tokens pro Wort, Englisch 1,28. Für Sie heißt das zweierlei: Deutsche Texte sind in der Nutzung teurer – und ein deutscher Text liefert pro Wort mehr Stellen, an denen ein Muster sichtbar werden kann.

Logit und Auswahl: das Würfeln

Für jede Position im Text berechnet das Modell für jedes Token seines Vokabulars eine Punktzahl, den sogenannten Logit. Aus diesen Punktzahlen wird eine Wahrscheinlichkeitsverteilung, und aus dieser Verteilung zieht das Modell dann eine Auswahl. Nicht immer die höchste – sonst käme bei jeder Anfrage exakt derselbe Text heraus.

Genau in diesem Ziehen steckt der Spielraum, den ein Wasserzeichen braucht. Und genau deshalb ist es dort schwach, wo es keinen Spielraum gibt: bei Zahlen, Eigennamen, Zitaten und in Programmcode. Anthropic sagt das selbst – in faktenlastigen Passagen sei die Markierung dünner, in Code praktisch nicht vorhanden.^[1]

Wie das Muster in den Text kommt

Es gibt zwei Verfahrensfamilien. Die eine ist gut dokumentiert und leicht zu erklären, die andere läuft tatsächlich im Einsatz. Beide führen zum selben Ergebnis.

Variante 1: die grüne und die rote Liste

Das offengelegte Forschungsverfahren stammt von Kirchenbauer und Kollegen aus dem Jahr 2023.^[4] Es funktioniert so: Vor jedem einzelnen Token wird das gesamte Vokabular in zwei Hälften geteilt – eine „grüne“ und eine „rote“. Welche Wörter in welche Hälfte fallen, entscheidet ein Zufallsgenerator, der aus den unmittelbar vorangegangenen Tokens gestartet wird – in der für den Praxiseinsatz gedachten Fassung zusätzlich mit einem geheimen Schlüssel. Die Aufteilung hängt damit vom Zusammenhang ab: An verschiedenen Stellen im Text sieht sie verschieden aus, bei gleichem Vorlauf wieder gleich. Für den Schlüsselinhaber ist sie exakt nachrechenbar, für alle anderen nicht.

Anschließend bekommen alle grünen Kandidaten einen kleinen Bonus auf ihre Punktzahl. Nicht so viel, dass Unsinn entsteht – nur so viel, dass bei mehreren gleich guten Optionen häufiger die grüne gewinnt.

Variante 2: das Turnier – und das läuft wirklich

Google hat 2024 ein anderes Verfahren in Nature veröffentlicht und in Gemini ausgerollt: SynthID-Text.^[3] Es verändert die Punktzahlen gar nicht. Stattdessen lässt es Kandidaten in einem K.-o.-Turnier gegeneinander antreten. Wer gewinnt, entscheidet eine pseudozufällige Bewertung, die wieder aus den vorherigen Wörtern und dem Geheimschlüssel abgeleitet wird.

Der Charme daran: Bei genau zwei Teilnehmern pro Paarung bleibt die Ausgabeverteilung im Mittel unverändert. Das Verfahren ist im Fachjargon non-distortionary – es verzerrt die Qualität nicht. In einem Praxistest über rund 20 Millionen Gemini-Antworten war der Qualitätsunterschied statistisch nicht messbar, und die zusätzliche Rechenzeit lag bei 0,57 Prozent.^[3]

Anthropic nutzt für Claude eine Variante genau dieses Verfahrens. Das steht so in der Ankündigung.^[1]

Ganz sauber lassen sich die beiden Familien übrigens nicht trennen. Die verbreitete Darstellung – hier Punktzahl-Bonus, dort reine Auswahl – trifft die Sache im Kern, aber eine Analyse der ETH Zürich ordnet das Turnier-Verfahren als Verallgemeinerung derselben Grundidee ein und weist es sogar mit den Prüfverfahren für grüne und rote Listen nach. Für den Alltag ändert das nichts: Beide Wege hinterlassen dasselbe Muster, und beide verschwinden auf demselben Weg wieder.

Warum man das Muster wiederfindet: der z-Wert

Die Prüfung ist erstaunlich simpel. Wer den Schlüssel hat, geht den Text Token für Token durch, rekonstruiert an jeder Stelle die Aufteilung und zählt: Wie viele der tatsächlich verwendeten Tokens lagen in der grünen Hälfte?

Bei einem Text ohne Wasserzeichen sind das im Mittel genau die Hälfte. Mehr wäre Zufall. Die Frage ist nur: Wie viel mehr ist zu viel für Zufall? Genau das misst der z-Wert. Er sagt, um wie viele Standardabweichungen das Ergebnis über dem liegt, was man ohne Wasserzeichen erwarten würde.

Ab welchem Wert redet man von einem Nachweis? Die Forschungsarbeit setzt die Schwelle bei z = 4. Das entspricht einer Falsch-Alarm-Rate von etwa 1 zu 31.574. Anders gesagt: Von 31.574 Texten, die nie eine KI gesehen haben, würde einer fälschlich auffallen.

Warum kurze Texte praktisch nie nachweisbar sind

Das ist der wichtigste praktische Punkt, und er wird fast überall falsch dargestellt. Der z-Wert wächst mit der Wurzel aus der Textlänge. Vervierfachen Sie die Länge, verdoppelt sich der Nachweis. Das klingt harmlos, hat aber eine harte Konsequenz an beiden Enden der Skala.

Für Ihren Alltag heißt das:

• Kurze Texte sind faktisch unantastbar. Betreffzeilen, Produkttitel, Meta-Beschreibungen, Anzeigentexte, Social-Media-Posts: Selbst wenn jedes einzelne Wort aus dem Modell kommt, reicht die Datenmenge für keine Aussage. Bei 25 Tokens müssten 23 davon grün sein, damit die Schwelle fällt – das erreicht normales Formulieren praktisch nie.
• Lange Texte sind es nicht. Genau die Formate, in die Unternehmen am meisten investieren – Ratgeber, Whitepaper, Pillar-Seiten, Fachbeiträge – liegen weit über der Schwelle. Wer 2.000 Wörter generieren lässt und leicht überarbeitet, hinterlässt ein Muster, das statistisch nicht zu bestreiten ist.
• Faktentexte sind schwächer markiert. Wo wenig Formulierungsspielraum besteht, kann das Verfahren wenig verschieben. Eine Tabellenauswertung trägt weniger Signal als ein erzählender Abschnitt.

Die KI ist ein Pinsel. Der Pinsel malt trotzdem nicht das Bild

Jetzt zum eigentlich wichtigen Teil. Ein Wasserzeichen sagt aus, dass Text durch ein bestimmtes Modell gelaufen ist. Es sagt nichts darüber aus, wer den Text zu verantworten hat und wem er gehört. Das sind zwei verschiedene Fragen, und sie werden ständig in einen Topf geworfen.

Niemand käme auf die Idee, einem Fotografen das Urheberrecht abzusprechen, weil die Kamera das Bild aufgezeichnet hat. Niemand behauptet, ein Text gehöre Microsoft, weil er in Word getippt wurde. Bei Sprachmodellen ist die Sache trotzdem komplizierter – nicht wegen des Wasserzeichens, sondern weil das Urheberrecht eine ganz eigene Frage stellt.

Was das deutsche Recht verlangt

§ 2 Absatz 2 des Urheberrechtsgesetzes schützt nur „persönliche geistige Schöpfungen“. Eine KI ist keine Person und kann nach § 7 UrhG kein Urheber sein. Rein KI-generierter Text gilt danach in Deutschland als nicht urheberrechtlich geschützt. Er ist nicht verboten, nicht ehrenrührig, nicht schlechter – er ist nur schutzlos.

Das Amtsgericht München hat das am 13. Februar 2026 für KI-generierte Logos ausdrücklich entschieden (Az. 142 C 9786/25): Anweisungen, die „weitgehend allgemein oder technisch“ sind, und iteratives Nachjustieren wie Farbanpassungen seien „überwiegend handwerkliche Tätigkeiten“.^[8] Ein besonders langer, cleverer Prompt begründet also kein Urheberrecht am Ergebnis. Das US Copyright Office kam am 29. Januar 2025 zum selben Schluss.^[9]

Und jetzt die andere Seite derselben Entscheidung, die viel seltener zitiert wird: Das Gericht unterscheidet ausdrücklich zwischen rein KI-generierten Werken und KI-gestützten. Wenn ein Mensch die werkbestimmenden Gestaltungsentscheidungen trifft und die KI nur ausführt, kann sehr wohl ein geschütztes Werk entstehen. Das US Copyright Office nennt drei Anker: im Ergebnis erkennbare, selbst verfasste Inhalte, die kreative Auswahl und Anordnung von KI-Material, und kreative Bearbeitungen des Outputs.^[9]

Was in den AGB der Anbieter steht – und was das wert ist

Anthropic und OpenAI treten Ihnen in ihren Bedingungen alle Rechte am Output ab. Anthropic formuliert: „we assign to you all our right, title, and interest (if any) in Outputs“.^[10] Die zwei Wörter in Klammern sind der ganze Punkt. Abgetreten wird, was besteht. Besteht mangels persönlicher geistiger Schöpfung kein Urheberrecht, geht die Abtretung ins Leere. Sie bekommen eine vertragliche Position gegenüber dem Anbieter – aber kein Ausschließlichkeitsrecht gegenüber Dritten.

Das unangenehme Detail: auch Feinschliff hinterlässt das Muster

Hier liegt das eigentliche Missverständnis. Viele gehen davon aus: „Ich lasse mir nur helfen, ich schreibe ja selbst – bei mir ist nichts drin.“ Das stimmt so nicht.

Jedes Token, das aus dem Modell kommt, trägt die Verschiebung. Ob es aus einem komplett generierten Absatz stammt oder aus einer geglätteten Formulierung, macht keinen Unterschied. Was zählt, ist der Anteil. Und die Mathematik dazu ist unangenehm eindeutig:

Daraus folgt eine Regel, die man sich merken kann: Halbieren Sie den KI-Anteil, brauchen Sie die vierfache Textlänge, damit es trotzdem auffällt. Umgekehrt gilt aber genauso: Wenn der Text nur lang genug ist, reicht auch ein kleiner Anteil.

Lesen Sie die vorletzte Zeile noch einmal. Ein Ratgeber mit 1.200 Wörtern, den Sie selbst geschrieben und anschließend nur haben glätten lassen, liegt über der Schwelle. Nicht weil Sie geschummelt hätten – sondern weil ein Viertel der Formulierungen aus dem Modell stammt und der Text lang genug ist, damit das messbar wird.

Anthropic bestätigt das in einem knappen Satz: „Leichtes Redigieren entfernt das Wasserzeichen wahrscheinlich nicht vollständig; ein vollständiges Umschreiben, bei dem jedes Wort ersetzt wird, schon.“^[1] Die Forschung zum offengelegten Verfahren beziffert es genauer: Aus 1.000 Tokens muss rund ein Viertel aller Tokens geändert werden, um das Muster zu beseitigen – und zwar von jemandem, der das Verfahren vollständig kennt.^[4]

Was das für SEO bedeutet – und was nicht

Kurze Antwort: viel weniger, als der Markt Ihnen erzählen will. Die längere lohnt sich trotzdem, weil hier besonders viel Unsinn im Umlauf ist.

Google bestraft keine KI-Texte

Googles offizielle Position steht seit Februar 2023 unverändert im Netz: „Der angemessene Einsatz von KI oder Automatisierung verstößt nicht gegen unsere Richtlinien.“^[11] Verboten ist nur der manipulative Einsatz – Inhalte in Masse zu erzeugen, deren Hauptzweck die Beeinflussung von Rankings ist.

Die Spam-Regel dazu heißt Scaled Content Abuse und wurde bewusst produktionsneutral formuliert: Sie greift unabhängig davon, ob Automatisierung, Menschen oder eine Mischung am Werk waren.^[12] Eine Textwüste ohne Mehrwert ist ein Problem – egal, wer sie geschrieben hat.

Es gibt bis heute keinen einzigen dokumentierten Fall, in dem Google eine Seite abgestraft hätte, weil der Text von einer KI stammte. Die großen Sichtbarkeitsverluste bei Forbes Advisor, CNN Underscored und der WSJ Buy Side hatten einen ganz anderen Grund: Site Reputation Abuse, also Fremdinhalte auf starken Domains ohne echte redaktionelle Kontrolle.^[13] Wer das verwechselt, zieht die falschen Schlüsse.

Wasserzeichen sind kein Ranking-Signal

Google hat im Mai 2026 angekündigt, SynthID und C2PA-Daten in Search und Chrome auszulesen. Diese Prüfung deckt ausdrücklich Bild, Video und Audio ab – nicht Text, und sie ist eine Information für Nutzer, kein Ranking-Faktor.^[14] Für Fließtext auf Ihrer Website existiert kein Wasserzeichen, das Google ausliest. Auch für einen KI-Detektor im Ranking gibt es keinen Beleg.

Was die Zahlen wirklich sagen

Zwei viel zitierte Studien wirken auf den ersten Blick widersprüchlich und werden ständig gegeneinander gestellt. Sie messen einfach Verschiedenes:

Dass KI-Artikel seltener auf Platz 1 stehen, ist kein Beleg für eine Bestrafung. Die naheliegendere Erklärung ist Qualität und Domainstärke. Graphite schreibt selbst, dass Rankings von vielen verborgenen Variablen abhängen.

Ein Detail ist trotzdem interessant: Die Antwortmaschinen zitieren zu 82 Prozent menschlich verfasste Quellen – sowohl ChatGPT als auch Perplexity. Wenn Sie in KI-Antworten vorkommen wollen, hilft eigener Standpunkt mehr als Textmenge.

Die Risiken, über die SEO-Artikel nicht schreiben

• KI-Detektoren produzieren Fehlalarme, und zwar systematisch. OpenAI hat den eigenen Detektor im Juli 2023 abgeschaltet: Er erkannte 26 Prozent der KI-Texte und markierte 9 Prozent menschlicher Texte falsch. Eine Stanford-Untersuchung fand, dass ein Detektor 97 Prozent der Aufsätze von Nicht-Muttersprachlern fälschlich als KI einstufte. Wenn Ihre englischen Inhalte im Haus geschrieben werden, betrifft Sie das direkt.
• Plattformen sind strenger als Google. Amazon KDP verlangt eine verpflichtende Offenlegung KI-generierter Inhalte beim Hochladen; fehlt sie, droht die Sperrung. Medium schließt nicht gekennzeichnete KI-Texte von der Distribution aus. Wissenschaftsverlage lassen KI grundsätzlich nicht als Autor zu. LinkedIn dagegen verlangt keine Kennzeichnung und macht Reichweite ausdrücklich am Mehrwert fest.
• Verträge sind das eigentliche Minenfeld. Ausschreibungen und Rahmenverträge mit „kein KI-generierter Content“-Klauseln nehmen zu. Wer unterschreibt, sollte wissen, was im eigenen Prozess passiert.

Was rechtlich gilt: Kennzeichnung, Pflichten, Entfernen

Der Auslöser für die ganze Wasserzeichen-Welle ist Artikel 50 der EU-KI-Verordnung. Er gilt seit dem 2. August 2026. Und er wird fast überall falsch wiedergegeben.

Wen die Pflicht trifft

Artikel 50 Absatz 2 richtet sich an Anbieter generativer KI-Systeme – also an OpenAI, Anthropic, Google, Adobe. Sie müssen ihre Ausgaben maschinenlesbar markieren. Genau deshalb hat Anthropic das Wasserzeichen eingeführt. Diese Pflicht trifft Sie als Unternehmen, das Texte veröffentlicht, nicht.^[7]

Für Sie als Betreiber gilt Absatz 4. Und der ist eng: Offenlegen müssen Sie bei Deepfakes – und bei Texten, die veröffentlicht werden, „um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“. Die finalen Leitlinien der Kommission vom 20. Juli 2026 ordnen Werbe- und Marketinginhalte ausdrücklich nicht dieser Kategorie zu.^[15]

Und selbst dort, wo die Pflicht greift, entfällt sie wieder, wenn der Inhalt „einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde“ und eine Person die redaktionelle Verantwortung trägt. Wichtig: Eine Pro-forma-Prüfung genügt dafür nicht. Reine Rechtschreib- und Formatkontrolle auch nicht.

Darf man ein Wasserzeichen entfernen?

Ein ausdrückliches Verbot ist uns nicht bekannt: Die KI-Verordnung enthält keine an Endnutzer gerichtete Norm, die das Entfernen einer Markierung untersagt. Die Pflichten knüpfen an den tatsächlichen KI-Einsatz an, nicht an das Fortbestehen der technischen Markierung.

Zwei Klarstellungen dazu, weil sie in Ratgebern regelmäßig falsch stehen:

• § 95c UrhG greift hier nicht. Die Norm schützt Informationen zur Rechtewahrnehmung an einem Werk und setzt voraus, dass man damit eine Urheberrechtsverletzung ermöglicht oder verschleiert. Bei reinem KI-Text fehlt es schon am Werk. Wer sich pauschal auf § 95c beruft, liegt falsch.
• Die Offenlegungspflicht bleibt trotzdem bestehen. Wer nach Absatz 4 offenlegen müsste und stattdessen die Markierung entfernt, hat die Pflicht immer noch nicht erfüllt – und riskiert zusätzlich eine wettbewerbsrechtliche Abmahnung wegen Irreführung. Das Wasserzeichen zu entfernen ist eine technische Handlung, keine rechtliche.

Wenn Sie tiefer in die Kennzeichnungsfrage einsteigen wollen: Wir haben die Pflichten aus dem EU AI Act in einem eigenen Beitrag zur KI-Kennzeichnungspflicht aufgeschlüsselt – dort geht es um Texte, Bilder, Videos, Chatbots und Social Media.

Der reale Hebel liegt auf der Vertragsebene: Die Nutzungsbedingungen der Anbieter können das Umgehen von Kennzeichnungsmechanismen untersagen. Bei Anthropic steht die Abtretung der Output-Rechte ausdrücklich unter dem Vorbehalt, dass Sie sich an die Bedingungen halten.^[10] Das ist dann Vertragsbruch, kein Gesetzesverstoß – aber es kann Ihr Konto kosten.

Das andere Problem: unsichtbare Zeichen im CMS

Unsichtbare Unicode-Zeichen sind kein Wasserzeichen. Sie sind trotzdem ein echtes Problem – nur ein ganz anderes. Sie stammen aus Trainingsdaten, aus Word, aus Google Docs, aus kopierten PDFs. Und sie machen im Betrieb überraschend viel kaputt:

• Die Suche findet nichts mehr. Steht in Ihrem Text ein geschütztes Leerzeichen statt eines normalen, findet die Suche nach „Preis: 100″ den Eintrag „Preis: 100″ nicht. Das Zeichen sieht identisch aus.
• Ein Nullbreiten-Leerzeichen überlebt jede Standardbereinigung. Es gilt weder in JavaScript noch in Python als Leerzeichen. Es zerlegt trotzdem jedes Wort für Suchfunktionen und Screenreader.
• URLs kippen unbemerkt. Ein geschütztes Leerzeichen im Slug wird zu %C2%A0. Im Backend sieht alles richtig aus, live entsteht eine 404 oder ein Duplikat.
• Im Diff sehen Sie nichts. Zwei Zeilen unterscheiden sich, sehen aber im Terminal exakt gleich aus. Das kostet in der Fehlersuche real Zeit.

So finden Sie die Zeichen selbst

Ein Hinweis vorweg, weil er in fast jedem Ratgeber falsch steht: Die gern empfohlene Regex \p{Cf} findet die wichtigsten Zeichen nicht. Geschützte und schmale Leerzeichen gehören zur Unicode-Kategorie Zs, Variantenselektoren zu Mn. In einem Test mit zwölf typischen Problemzeichen fand \p{Cf} genau vier davon.

Das hier funktioniert. In der Konsole, mit ripgrep:

rg -n '[\x{00A0}\x{00AD}\x{200B}-\x{200F}\x{202A}-\x{202E}\x{2060}\x{202F}\x{FEFF}\x{E0000}-\x{E007F}]' .

In Python, wenn Sie eine ganze Inhaltsdatenbank prüfen wollen:

import re, unicodedata

VERDAECHTIG = re.compile(
    '[\u00a0\u00ad\u180e\u2000-\u200f\u2028-\u202f'
    '\u205f-\u2064\u2066-\u206f\ufeff\ufff9-\ufffb]'
    '|[\U000e0000-\U000e007f]|[\ufe00-\ufe0f]'
)

def pruefe(text):
    for treffer in VERDAECHTIG.finditer(text):
        z = treffer.group()
        print(f"{treffer.start():>8}  U+{ord(z):04X}  {unicodedata.name(z, '?')}")

def bereinige(text):
    # Exotische Leerzeichen zu normalen, unsichtbare Steuerzeichen raus.
    text = re.sub('[\u00a0\u2000-\u200a\u202f\u205f\u3000]', ' ', text)
    text = re.sub('[\u00ad\u200b-\u200f\u2060-\u2064\ufeff]', '', text)
    text = re.sub('[\U000e0000-\U000e007f]', '', text)
    return re.sub('[ \t]{2,}', ' ', text)

Und in VS Code brauchen Sie gar nichts: Seit Version 1.63 markiert der Editor unsichtbare Zeichen von sich aus. Die Einstellung heißt editor.unicodeHighlight.invisibleCharacters.

Wie Sie das Muster wirklich loswerden

Vorweg die Einordnung, damit der Rest dieses Abschnitts richtig gelesen wird: Es geht hier nicht darum, Herkunft zu verschleiern. Es geht um zwei nachvollziehbare Ziele. Erstens: technisch saubere Texte, die im CMS, in der Suche und im Export nicht kaputtgehen. Zweitens: Texte, die genug Eigenleistung enthalten, dass sie Ihnen auch rechtlich gehören. Wer offenlegungspflichtig ist, bleibt es – daran ändert kein Werkzeug etwas.

Diese beiden Ziele erfordern zwei völlig verschiedene Arbeitsschritte. Der erste ist trivial und überprüfbar. Der zweite ist Arbeit.

Schritt 1: Zeichen bereinigen (5 Minuten, nachprüfbar)

Das betrifft die unsichtbaren Zeichen aus dem vorherigen Abschnitt. Ein Hinweis, der fast überall fehlt: Unicode-Normalisierung allein reinigt nichts. In einem Test blieben Nullbreiten-Leerzeichen, weiches Trennzeichen, Wortverbinder und der komplette Tag-Block nach NFKC unverändert erhalten. Sie brauchen einen expliziten Filter.

Und noch ein Hinweis: Nehmen Sie NFC, nicht NFKC. NFKC macht aus „m²“ ein „m2″, zerlegt Ligaturen und verwandelt „½“ in eine Zeichenfolge mit einem exotischen Schrägstrich. Für deutsche Fachtexte mit Flächen- und Paragrafenangaben ist das gefährlich. Die verbreitete Warnung, NFKC zerstöre Umlaute, ist dagegen falsch – ü bleibt ü und ß bleibt ß.

// Node: reinigt Text, ohne Inhalte zu zerstören.
const UNSICHTBAR = /[\u00ad\u200b-\u200f\u2060-\u2064\u2066-\u206f\ufeff]/g
const TAGS       = /[\u{E0000}-\u{E007F}]/gu
const LEERZEICHEN = /[\u00a0\u2000-\u200a\u202f\u205f\u3000]/g

export function reinige(text) {
  return text
    .replace(TAGS, '')
    .replace(UNSICHTBAR, '')
    .replace(LEERZEICHEN, ' ')
    .normalize('NFC')          // NICHT NFKC – das frisst m² und Ligaturen
    .replace(/[ \t]{2,}/g, ' ')
}

Diese Logik hat drei sinnvolle Andockpunkte, und die Wahl hängt nur davon ab, wo Ihre Texte entstehen: als Pre-Commit-Hook im Repository, als Speicherfilter im CMS oder als Prüfschritt in der Auslieferung. Der Code ist überall derselbe.

Bei Dateien geht es zusätzlich um Metadaten. Anthropic hängt an erzeugte Bilder und SVGs kryptografisch signierte Herkunftsdaten nach dem C2PA-Standard. Die verschwinden ohnehin bei jeder Formatumwandlung, jedem erneuten Speichern und jedem Screenshot. Wenn Sie sie gezielt entfernen wollen, reicht eine Zeile:

exiftool -all= bild.png

Schritt 2: Umschreiben (das eigentliche Thema)

Gegen das statistische Muster hilft nur eines: Die Wörter müssen andere werden. Anthropic formuliert die Grenze selbst – leichtes Redigieren reicht nicht, ein vollständiges Umschreiben schon. Die Messwerte zu SynthID-Text bestätigen die Richtung: Selbst ein Austausch von 70 Prozent der Wörter durch Synonyme drückt die Erkennungsgüte nur von 1,0 auf 0,88. Erst Rückübersetzung über eine andere Sprache bringt sie auf 0,71 – und richtet dabei inhaltlichen Schaden an.^[19]

Drei Wege, in der Reihenfolge, in der wir sie empfehlen:

Welche Werkzeuge dafür wirklich zur Verfügung stehen

Wenn Sie DeepL Write per Schnittstelle einbinden, sind drei Details wichtig, an denen die meisten Beispiele im Netz scheitern: Die Zielsprache muss dieselbe sein wie die Quellsprache (Write übersetzt nicht, es formuliert innerhalb einer Sprache um), der Anfragekörper ist auf 10 KiB begrenzt – also absatzweise arbeiten, nicht am ganzen Dokument – und writing_style und tone dürfen nicht gleichzeitig gesetzt werden.^[18]

curl -X POST https://api.deepl.com/v2/write/rephrase \
  -H "Authorization: DeepL-Auth-Key IHR_SCHLUESSEL" \
  -H "Content-Type: application/json" \
  -d '{
    "text": ["Der Absatz, der neu formuliert werden soll."],
    "target_lang": "de",
    "writing_style": "prefer_business"
  }'

Nutzen Sie die prefer_-Varianten. Ohne dieses Präfix antwortet die Schnittstelle bei nicht unterstützten Sprachen mit einem Fehler, statt still auf die Standardeinstellung zurückzufallen.

Für den datenschutzfreundlichsten Weg brauchen Sie keine Schnittstelle nach außen. Ein lokales Modell stellt einen kompatiblen Endpunkt bereit, und der Text verlässt das Gerät nie:

const antwort = await fetch('http://localhost:11434/v1/chat/completions', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({
    model: 'qwen3:8b',
    messages: [
      { role: 'system', content: 'Formuliere den Absatz auf Deutsch neu. '
        + 'Behalte Fakten, Zahlen und Eigennamen exakt bei. Antworte nur mit dem Text.' },
      { role: 'user', content: absatz },
    ],
    temperature: 0.7,
  }),
})

Zu den Kosten: Ein Artikel mit 1.200 Wörtern sind grob 2.200 Tokens hinein und ebenso viele hinaus. Bei den Preisen kleinerer Modelle bewegt sich das im niedrigen Cent-Bereich pro Artikel. Der Aufwand liegt nicht im Budget, sondern in der Prüfung danach.

Was nicht funktioniert

Rund um das Thema ist innerhalb weniger Tage ein ganzer Markt entstanden. Ein paar Dinge daraus können nachweislich nicht leisten, was sie versprechen.

• Unicode-Reiniger gegen das statistische Muster. Es gibt dort keine Zeichen zu entfernen. Ein Werkzeug, das nur unsichtbare Zeichen löscht, hat das Wasserzeichen nicht einmal berührt.
• „Kopier den Text in einen einfachen Editor.“ Entfernt Formatierung. Sonst nichts.
• Detektor-Screenshots als Erfolgsnachweis. „Mein Text zeigt 0 % KI“ beweist gar nichts. Detektoren messen Stilmerkmale wie Vorhersagbarkeit und Satzlängenvariation – nicht die Herkunft und schon gar kein Wasserzeichen. Die beiden Verfahren haben technisch nichts miteinander zu tun.
• Detektoren überhaupt. Eine viel zitierte Untersuchung fand, dass sieben gängige Detektoren Texte von Nicht-Muttersprachlern in 61 Prozent der Fälle fälschlich als KI einstuften – bei rund einem Fünftel der Arbeiten waren sich alle sieben einig. Bei Muttersprachlern lagen dieselben Werkzeuge fast fehlerfrei. Der Seniorautor der Studie rät ausdrücklich vom Einsatz ab.^[17]
• „Humanizer“-Dienste. Sie können ihr Versprechen nicht belegen, weil es keinen öffentlichen Detektor gibt – niemand kann prüfen, ob etwas entfernt wurde, auch der Anbieter nicht. Dazu kommen zwei reale Risiken: Sie schicken möglicherweise vertrauliche Inhalte durch fremde Server, und Sie installieren im Zweifel ungeprüften Fremdcode.
• Die Domain-Schwemme. Innerhalb von Tagen sind ein Dutzend fast gleichnamiger Angebote entstanden. Ein Namensfeld, das so schnell so voll wird, folgt selten einem technischen Bedarf.

Der Workflow, den wir empfehlen

Die gute Nachricht zum Schluss: Es gibt einen Arbeitsschritt, der drei Probleme gleichzeitig löst. Wenn ein Mensch den Rohentwurf fachlich prüft, ihn mit eigenen Beispielen und eigener Wertung umschreibt und ihn namentlich freigibt, dann

• greift die Ausnahme von der Offenlegungspflicht in der KI-Verordnung, weil genau diese redaktionelle Kontrolle verlangt wird,
• entsteht der menschliche Gestaltungsanteil, der urheberrechtlichen Schutz begründet,
• und das statistische Muster verschwindet als Nebeneffekt, weil die Wörter andere geworden sind.

Ein Arbeitsschritt, drei Wirkungen. Deshalb ist „Wasserzeichen entfernen“ die falsche Frage. Die richtige lautet: Wie kommt genug Eigenleistung in den Text, und wie belegen wir das später?

Fünf Dinge, die Sie dokumentieren sollten

Wenn irgendwann jemand fragt, wer diesen Text geschrieben hat, entscheidet nicht Ihr Gefühl, sondern was Sie zeigen können. Diese fünf Dinge fallen bei ordentlicher Arbeit ohnehin an:

1. Das Briefing mit Datum, Verfasser, These und Zielgruppe.
2. Recherchenotizen mit Quelle und Abrufdatum.
3. Die Versionshistorie vom Rohentwurf zur Endfassung. Der Unterschied zwischen beiden ist genau der urheberrechtlich relevante Beitrag – sichtbar, zeitgestempelt, zeilenweise.
4. Ein knappes Protokoll, welches Modell in welcher Fassung wofür eingesetzt wurde.
5. Die Freigabe mit Namen und Zeitstempel.

Das ist kein Aktenordner. Das sind fünf Nebenprodukte eines sauberen Prozesses. Wer mit Git oder einem CMS mit Revisionen arbeitet, hat Punkt 3 automatisch.

Häufige Fragen

Quellen