ChatGPT und Claude markieren ihre Texte: was das unsichtbare Wasserzeichen für Firmen bedeutet

Seit dem 5. Oktober 2026 steckt in Texten, die ChatGPT für Nutzer in der EU schreibt, ein unsichtbares Wasserzeichen. OpenAI nennt das Verfahren textGrain. Anthropic ist schon weiter: Jedes Claude-Modell, das seit dem 2. August 2026 erschienen ist, markiert seine Texte, und zwar weltweit und ohne Schalter zum Abschalten.

Für viele Firmen wirft das Fragen auf. Kann jetzt jeder sehen, dass das Angebot an den Kunden aus ChatGPT stammt? Fliegt die Bewerbung auf? Muss man etwas tun, wenn man einen eigenen Chatbot über die OpenAI-API betreibt? Und lässt sich das Wasserzeichen einfach löschen, wie es manche Werkzeuge im Netz versprechen?

Wir haben die Hilfeseite von OpenAI, die Erklärung von Anthropic, den technischen Bericht zu textGrain und den Verhaltenskodex der EU-Kommission im Wortlaut gelesen. Dazu haben wir 784 gespeicherte Antworten aus unseren eigenen Modelltests auf versteckte Zeichen untersucht. Die Quellen stehen am Ende.

Offenlegung: Wir schreiben unsere Beiträge mit Unterstützung von Claude. Dieser Text trägt also sehr wahrscheinlich selbst ein Wasserzeichen. Jede Zahl und jede Rechtsaussage darin haben wir vor der Veröffentlichung an der Quelle geprüft, die redaktionelle Verantwortung liegt bei Krynex Labs (siehe Impressum). Wir sind mit keinem der genannten Hersteller verbunden.

Was das Wasserzeichen ist

Ein Sprachmodell schreibt Wort für Wort. An vielen Stellen sind mehrere Wörter etwa gleich gut: Nach „Das Wetter war heute kalt und“ passt „grau“ ebenso wie „trüb“. Welches Wort kommt, entscheidet normalerweise ein Zufallswert.

Beim Wasserzeichen kommt dieser Zufall nicht mehr aus einem gewöhnlichen Zufallsgenerator, sondern aus einem geheimen Schlüssel und den Wörtern davor. Für den Leser bleibt die Wahl zufällig. Wer aber den Schlüssel hat, kann über einen ganzen Absatz hinweg prüfen, ob die Wörter häufiger zum Schlüssel passen, als es der Zufall erwarten ließe. Anthropic erklärt das mit einem Brettspiel, in dem statt eines Würfels die Ziffern der Kreiszahl Pi die Züge bestimmen: Den Spielern fällt nichts auf, aber wer Pi kennt, kann hinterher erkennen, dass nicht gewürfelt wurde.

Wichtig für die Praxis sind drei Aussagen, die beide Hersteller fast gleichlautend machen. Das Wasserzeichen fügt keine Zeichen ein, verbraucht keine zusätzlichen Token und enthält nichts, was auf einen Nutzer, eine Firma oder ein Gespräch schließen lässt. OpenAI schreibt außerdem, die Qualität der Antworten habe sich in den eigenen Messungen nicht verändert. Anthropic sagt dasselbe und verweist auf den Test von Google DeepMind mit echtem Gemini-Verkehr.

OpenAI und Anthropic im Vergleich

	OpenAI (textGrain)	Anthropic (SynthID-Text)
Seit	5. Oktober 2026	Modelle ab 2. August 2026
Wo	ChatGPT, nur in der EU	weltweit, in allen Produkten
API	weltweit zuschaltbar, ab Werk aus	immer an, auch bei AWS, Google Cloud und Microsoft Foundry
Abschalten	in ChatGPT in der EU nein	nein
Ältere Modelle	API: alle Altmodelle „in den kommenden Wochen“	„in den kommenden Monaten“
Detektor	nur zugelassene Forschung	geschlossene Vorschau, auch für verpflichtete Unternehmen
Verfahren	eigene Entwicklung, soll Open Source werden	Variante von Google DeepMinds SynthID-Text

Warum der Unterschied bei der Region? Anthropic schreibt offen, man habe das Wasserzeichen weltweit eingeschaltet, weil man es noch nicht verlässlich auf einzelne Regionen begrenzen könne. OpenAI beschränkt es in ChatGPT auf die EU. In der API von OpenAI gibt es den Schalter unter Organization settings → Data controls → Text provenance oder je Projekt, jeweils mit Auswahl der Modelle.

Ob Codex ebenfalls markiert, sagt die Hilfeseite von OpenAI nicht ausdrücklich, dort ist nur von ChatGPT die Rede. Mehrere Berichte nennen Codex, darunter TechCrunch.

Unsere Prüfung: keine versteckten Zeichen

Im Netz kursieren Werkzeuge, die versprechen, „KI-Wasserzeichen“ aus Texten zu entfernen. Die meisten löschen unsichtbare Unicode-Zeichen, etwa Null-Breite-Leerzeichen oder weiche Trennstriche. Das wäre nur dann ein Wasserzeichen, wenn die Modelle solche Zeichen einfügen würden.

Wir haben das an unseren eigenen Daten nachgesehen. In unserem Prüfstand liegen die Antworten aus mehreren Testläufen vom 2. und 7. Oktober 2026 im Wortlaut, 784 Antworten von neun Modellen, zusammen rund 237.000 Zeichen. Darunter sind 60 Antworten von Claude Sonnet 5.5, das am 28. September erschienen ist und damit laut Anthropic markiert wird, dazu GPT-6 Luna, Mistral, DeepSeek, Gemini, Perplexity und zwei lokale Modelle. Gesucht haben wir nach allen Unicode-Formatzeichen, Null-Breite-Zeichen, geschützten und schmalen Leerzeichen, weichen Trennstrichen, Tag-Zeichen und Variantenwählern.

Das Ergebnis: kein einziges verstecktes Steuerzeichen. Der einzige Fund war ein Variantenwähler hinter einem Warn-Emoji in einer Antwort von DeepSeek, der gehört zum Emoji und ist kein Wasserzeichen. Dasselbe gilt für unsere 56 Blogbeiträge, von denen viele mit Claude-Unterstützung entstanden sind.

Das passt zu dem, was beide Hersteller schreiben. Es heißt umgekehrt: Wer Zeichen löscht, löscht kein Wasserzeichen. Das Wasserzeichen steckt in den Wörtern selbst.

Was wir nicht prüfen konnten, ist das Wasserzeichen selbst. Dafür bräuchte man den Detektor, und den haben wir nicht.

Was das Wasserzeichen beweist und was nicht

Hier liegen die Grenzen, und sie sind wichtiger als die Technik.

Kurze Texte bleiben praktisch unmarkiert. Der Verhaltenskodex der EU-Kommission verlangt das Wasserzeichen erst für Texte ab 200 Token, laut OpenAI etwa 150 englische Wörter. Darunter gilt ein Text als „sehr kurz“. Eine Betreffzeile, eine kurze Antwort im Chat oder eine Produktbeschreibung in zwei Sätzen trägt also kaum ein erkennbares Signal.

Sachliche Texte tragen weniger. Wo es nur ein richtiges Wort gibt, eine Zahl, einen Namen oder ein Ergebnis, hat das Wasserzeichen keinen Spielraum. Beide Hersteller nennen Mathematik als Beispiel. Bei Code ist es ähnlich: Laut Anthropic sitzt das Wasserzeichen dort vor allem in den Kommentaren.

Korrekturlesen hinterlässt fast nichts. Wenn Claude in einem Text nur Rechtschreibung und Zeichensetzung verbessert, kann das Wasserzeichen nur in den wenigen geänderten Stellen sitzen. Bei einer Übersetzung durch Claude ist es dagegen vollständig drin, weil jedes Wort vom Modell stammt.

Umschreiben schwächt es. Leichte Änderungen soll es überstehen, ein gründliches Umformulieren oder Übersetzen nicht. Das schreiben beide Hersteller.

Deutsch ist schwieriger als Englisch. OpenAI hat 500 englische Testfragen in alle 24 Amtssprachen der EU übersetzt und gemessen, wie oft der Detektor das Wasserzeichen findet, wenn er höchstens ein Prozent menschlicher Texte fälschlich als markiert meldet. Spitzenreiter war Spanisch mit 69,0 Prozent, Schlusslicht Rumänisch mit 42,2 Prozent. Den Wert für Deutsch nennt OpenAI nur in einer Grafik. In Sprachen unter 60 Prozent hat OpenAI das Signal nach eigener Aussage verstärkt.

Ein Fund beweist keine Urheberschaft. Das ist der Satz, den Personalabteilungen und Lehrkräfte kennen sollten. Anthropic schreibt, das Wasserzeichen könne nur zeigen, dass Claude irgendwann beteiligt war, nicht ob Claude den Text geschrieben oder stark überarbeitet hat. OpenAI schreibt sinngemäß dasselbe und fügt hinzu: Es sagt nichts darüber, wem der Text gehört oder wer rechtlich dafür verantwortlich ist.

Fehlt das Wasserzeichen, heißt das nichts. Der Text kann von einem anderen Modell stammen, zu kurz sein, überarbeitet oder älter als die Einführung. Jeder Detektor kennt nur seinen eigenen Schlüssel. Ein Text von Mistral, DeepSeek oder einem lokalen Modell bleibt für den Detektor von OpenAI unsichtbar.

Wer das Wasserzeichen prüfen kann

Im Moment fast niemand. OpenAI gibt den Text-Detektor nur an zugelassene Organisationen aus Forschung und Wissenschaft, genannt werden unter anderem die Cornell University, die ETH Zürich und das slowakische Kempelen-Institut. Für Bilder und Audio gibt es dagegen eine öffentliche Prüfseite unter openai.com/verify.

Anthropic bietet eine Erkennungs-API in einer geschlossenen Vorschau an. Laut Anthropic steht sie Behörden, Strafverfolgung, Medien, Faktenprüfern, unabhängiger Forschung, Bildungseinrichtungen und Gruppen der EU-Zivilgesellschaft offen, außerdem Unternehmen, die nach der KI-Verordnung selbst prüfen müssen, ob die Markierung funktioniert.

Das ist so gewollt. Der Verhaltenskodex erlaubt es ausdrücklich, den Zugang zu Text-Detektoren auf geprüfte Fachleute zu beschränken, weil die Erkennung bei Text weniger zuverlässig ist als bei Bildern. Ein offener Detektor ließe sich außerdem dazu benutzen, Texte so lange umzuschreiben, bis er nichts mehr findet.

Die bekannten „KI-Detektoren“ im Netz arbeiten anders. Sie lesen keine Wasserzeichen, sondern raten anhand typischer Formulierungen. Anthropic erwähnt dazu trocken, dass KI-Modelle die Wendung „das ist nicht X, sondern Y“ auffällig gern benutzen. Solche Werkzeuge waren schon vorher unzuverlässig und werden durch die Wasserzeichen nicht besser.

Was die KI-Verordnung verlangt

Die Pflicht zur Markierung steht in Art. 50 Abs. 2 der KI-Verordnung und trifft den Anbieter des KI-Systems, also OpenAI und Anthropic. Sie gilt seit dem 2. August 2026. Für Systeme, die vorher schon auf dem Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Deshalb kommen die Wasserzeichen jetzt.

Wie die Markierung aussehen soll, beschreibt der Verhaltenskodex der EU-Kommission vom Juni 2026, den Anthropic nach eigener Aussage zusammen mit rund 190 anderen unterzeichnet hat, OpenAI ebenfalls. Normalerweise verlangt er zwei Verfahren zugleich, etwa signierte Metadaten und ein Wasserzeichen. Für reinen Fließtext reicht eines, weil Text keine Metadaten tragen kann.

OpenAI schreibt, der Kodex verlange keine Wasserzeichen in Code. Im Text des Kodex haben wir diese Ausnahme nicht gefunden, dort ist nur von „sehr kurzen Texten“ unter 200 Token die Rede. Praktisch ändert das wenig, weil Code ohnehin kaum Raum für ein Wasserzeichen lässt.

Davon getrennt ist Ihre eigene Pflicht als Unternehmen. Wer Texte veröffentlicht, die die Öffentlichkeit über Fragen von öffentlichem Interesse informieren, muss sie nach Art. 50 Abs. 4 als KI-erzeugt kennzeichnen, außer ein Mensch hat sie inhaltlich geprüft und eine benannte Person trägt die redaktionelle Verantwortung. Was dafür genau nötig ist, haben wir in KI-Kennzeichnungspflicht: was seit August gilt aufgeschrieben. Das Wasserzeichen ändert daran nichts. OpenAI schreibt selbst, Wasserzeichen ersetzten keine sichtbaren Hinweise, die vorgeschrieben sein können.

Was Firmen jetzt tun sollten

Nichts überstürzen bei Mails und Angeboten. Ein Kunde oder Lieferant kann das Wasserzeichen in Ihren Texten nicht prüfen, weil er keinen Detektor hat. Und selbst wenn: Mit KI-Hilfe ein Angebot zu schreiben, ist nicht verboten.

Keine Entscheidungen auf Erkennungswerkzeuge stützen. Wer Bewerbungen, Hausarbeiten oder Lieferantentexte mit einem KI-Detektor aus dem Netz prüft, bekommt eine Schätzung, keinen Beweis. Auch ein echter Wasserzeichen-Fund zeigt nur, dass ein bestimmtes Modell beteiligt war. Eine Absage oder Abmahnung darauf zu stützen, halten wir für riskant.

Eigene Chatbots prüfen. Wenn Sie einen Chatbot oder ein Textwerkzeug auf Basis der OpenAI-API unter eigenem Namen anbieten, können Sie nach der Leitlinie der Kommission selbst Anbieter im Sinne von Art. 50 sein. Dann schulden Sie die maschinenlesbare Markierung, und der Schalter Text provenance in den OpenAI-Einstellungen ist der einfachste Weg dahin. Wer Claude nutzt, bekommt das Wasserzeichen ohnehin mit, bei älteren Claude-Modellen aber erst im Laufe der nächsten Monate. Bei Mistral, DeepSeek oder lokalen Modellen müssen Sie selbst nachsehen, was der Hersteller anbietet.

Redaktionsweg festhalten. Für Texte auf Website, Blog oder im Newsletter zählt nicht das Wasserzeichen, sondern ob ein Mensch sie geprüft hat und wer dafür geradesteht. Das sollte schriftlich geregelt sein, mit Namen im Impressum.

Mitarbeitende informieren. Viele werden in den nächsten Wochen lesen, dass „ChatGPT jetzt alles markiert“. Eine kurze Erklärung im Team erspart Ihnen Gerüchte und Umwege über private Konten oder fragwürdige „Wasserzeichen-Entferner“. Wie man so etwas in eine KI-Richtlinie schreibt, steht in unserem Beitrag zur Schatten-KI.

Ob Ihre Website, Ihre Chat-Fenster und Ihre Bilddateien die Vorgaben aus Art. 50 erfüllen, prüfen wir im Kennzeichnungs-Check.

Quellen

Alle abgerufen am 07.10.2026.

• OpenAI Help Center: Provenance signals in OpenAI-generated content (textGrain, API-Einstellung, Detektor-Zugang, Erkennung je Sprache, Grenzen)
• OpenAI: Our approach to EU text provenance rules, 05.10.2026 (Blogbeitrag, vom Server aus nicht abrufbar, zitiert nach Hilfeseite und Presse)
• Li, Wen, Chen, Long, Jain, Joly, Lam, Song, Su: textGrain: Entropy-Calibrated Watermarking for Language Model Text, technischer Bericht, 05.10.2026
• Anthropic: How Claude’s text watermark works, 14.08.2026, aktualisiert 01.09.2026
• Europäische Kommission: Code of Practice on Transparency of AI-Generated Content, Juni 2026, Sub-Measure 1.1.2, Begriffsbestimmung „Very short text“, Commitment 4
• Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50 Abs. 2 und 4
• TechCrunch: OpenAI will start watermarking ChatGPT’s text in the EU, 05.10.2026 (Presse, zu Codex)
• Eigene Auswertung: 784 Antworten aus dem Krynex-Prüfstand (Läufe vom 02.10. und 07.10.2026), Suche nach Unicode-Kategorien Cf, Co, Cn sowie geschützten Leerzeichen, weichen Trennstrichen, Tag-Zeichen und Variantenwählern

Stand: 7. Oktober 2026. Sobald OpenAI oder Anthropic den Zugang zu den Detektoren öffnen, ergänzen wir den Beitrag. Dieser Beitrag ist keine Rechtsberatung.