Ein Wasserzeichen ist im Zusammenhang generativer KI eine unsichtbare Markierung, die beim Erzeugen in die Ausgabe eingebettet wird und später den Nachweis erlaubt, dass ein bestimmtes Modell sie hervorgebracht hat.
Der Unterschied zur nachträglichen Erkennung ist grundsätzlich. Ein Detektor schätzt aus Merkmalen des Ergebnisses, wie es entstanden sein könnte. Ein Wasserzeichen weiß es, weil die Information beim Erzeugen hineingelegt wurde.
Zusammenfassung
Wasserzeichen für KI-Ausgaben zerfallen in zwei technisch verschiedene Familien. Bei Bild, Audio und Video wird das Signal selbst verändert – geringfügig, aber statistisch nachweisbar. Bei Text gibt es kein Signal, nur eine Zeichenfolge; markiert wird deshalb der Auswahlvorgang.
Das gebräuchlichste Textverfahren teilt das Vokabular bei jedem Schritt pseudozufällig in eine bevorzugte und eine gemiedene Hälfte und verschiebt die Auswahl leicht zugunsten der ersten. Über hunderte Tokens entsteht eine statistische Auffälligkeit, die mit dem passenden Schlüssel prüfbar ist, während der Text unauffällig bleibt.
Die praktische Grenze liegt bei der Haltbarkeit. Bildwasserzeichen überstehen Zuschneiden, Kompression und Screenshots. Textwasserzeichen überstehen Kopieren nicht, wenn dabei umformuliert wird – und ein Umformulierungslauf durch ein zweites Modell genügt.
Begriffsgeschichte
Vorgeschichte in der Medientechnik
Digitale Wasserzeichen sind älter als generative KI. Seit den 1990er Jahren dienen sie dem Urheberrechtsschutz: Ein Bild oder eine Tonspur wird so verändert, dass ein Mensch nichts bemerkt, ein Prüfprogramm aber die eingebettete Kennung findet. Die Aufgabenstellung war Rückverfolgung von Kopien, nicht Herkunftsnachweis.
Textwasserzeichen (2023)
Mit den großen Sprachmodellen stellte sich die Frage neu, und zwar in verschärfter Form: Text trägt keine Redundanz, in der sich etwas verstecken ließe.
Die Lösung setzt am Erzeugungsvorgang an. John Kirchenbauer und Kollegen legten 2023 das Verfahren vor, das die spätere Entwicklung prägte.
Vor jedem Token wird das Vokabular anhand der vorangehenden Tokens pseudozufällig in eine „grüne“ und eine „rote“ Liste geteilt; die Wahrscheinlichkeiten der grünen Wörter werden leicht angehoben. Wer den Schlüssel kennt, zählt später die grünen Tokens und bewertet die Abweichung vom Zufall statistisch (Kirchenbauer u. a. 2023).
SynthID und der Einsatz im Betrieb (2023–2024)
Google DeepMind stellte 2023 unter dem Namen SynthID zunächst ein Bildwasserzeichen vor, 2024 die Textvariante. Deren Beschreibung erschien in Nature: Das Verfahren arbeitet mit einer Stichprobenfunktion, die mehrere Kandidaten je Position gegeneinander stellt, und wurde nach Angaben der Autoren in laufenden Diensten mit Millionen Nutzeranfragen erprobt, ohne dass die Antwortqualität messbar litt (Dathathri u. a. 2024).
Das ist der bemerkenswerte Teil: Das Verfahren wurde nicht im Versuchsaufbau, sondern im Betrieb geprüft.
Methodische Grundlagen
Signalverfahren (Bild, Audio, Video) nutzen die Redundanz des Mediums. Sie verändern Bildpunkte oder Frequenzanteile so, dass die Änderung unterhalb der Wahrnehmungsschwelle bleibt, aber Transformationen übersteht. Robust sind sie gegen Kompression, Skalierung, Ausschnitte und Screenshots.
Auswahlverfahren (Text) verändern nicht das Ergebnis, sondern die Wahrscheinlichkeitsverteilung, aus der es gezogen wird. Drei Größen stehen dabei im Zielkonflikt:
- Nachweisstärke – wie sicher der Test bei gegebener Textlänge anschlägt
- Qualitätsverlust – wie stark die verschobene Auswahl den Text verschlechtert
- Haltbarkeit – wie viel Bearbeitung die Markierung übersteht
Wer eines verbessert, verschlechtert meist ein anderes. Hinzu kommt eine Untergrenze: Unter etwa hundert Tokens ist kein statistischer Nachweis möglich, weil die Abweichung im Rauschen verschwindet.
Der Schlüssel entscheidet über die Prüfbarkeit. Ein Wasserzeichen ist nur für den nachweisbar, der den Schlüssel hat – in der Regel der Anbieter. Ein öffentlich prüfbares Wasserzeichen wäre auch öffentlich entfernbar.
Anwendungsfelder
Regulatorische Kennzeichnung. Die europäische KI-Verordnung verlangt von Anbietern generativer Systeme, ihre Ausgaben maschinenlesbar zu markieren. Wasserzeichen sind einer der beiden anerkannten Wege, diese Pflicht zu erfüllen. Der andere sind kryptografisch gesicherte Herkunftsangaben in den Metadaten. Welche Systeme unter die Pflicht fallen und ab wann, regelt der EU AI Act.
Schutz der Trainingsdaten. Wer verhindern will, dass maschinell erzeugter Text unbemerkt in das nächste Training gerät, kann ihn beim Sammeln aussortieren.
Plattformkennzeichnung. Soziale Netze und Bildportale werten Wasserzeichen aus, um Inhalte automatisch als KI-erzeugt auszuweisen.
Kontroversen und Kritik
Bei Text hält die Markierung dem Angriff nicht stand. Umformulieren, Übersetzen und Zurückübersetzen oder ein Durchlauf durch ein zweites Modell entfernen die statistische Auffälligkeit weitgehend. Das Verfahren wirkt gegen Sorglosigkeit, nicht gegen Absicht.
Nur markierte Modelle sind erfasst. Ein Wasserzeichen sagt aus, dass Text aus einem markierenden System stammt. Fehlt es, folgt daraus nichts: Der Text kann von einem Menschen stammen, von einem offen verfügbaren Modell ohne Markierung oder von einem markierenden, dessen Ausgabe überarbeitet wurde. Das Signal ist einseitig.
Modelle mit offenen Gewichten entziehen sich systematisch. Wer die Gewichte besitzt, betreibt das Modell ohne die Markierungsschicht des Anbieters. Die Kennzeichnungspflicht trifft damit vor allem die, die ohnehin über Dienste laufen. Siehe Open Weights.
Der Nachweis liegt beim Anbieter. Wer prüfen will, ob ein Text markiert ist, braucht Zugang zum Prüfdienst des Herstellers. Für Behörden, Redaktionen und Gerichte entsteht damit eine Abhängigkeit von genau der Partei, deren Erzeugnis geprüft werden soll.
Stand 2025/2026
Bei Bild, Audio und Video gilt das Verfahren als tragfähig und ist im Betrieb angekommen; mehrere große Anbieter markieren ihre Ausgaben. Bei Text bleibt es umstritten – nicht in der Wirksamkeit unter Laborbedingungen, sondern in der Haltbarkeit unter realer Nutzung.
Die Praxis geht deshalb zur Kombination über: ein Wasserzeichen im Material und daneben eine kryptografisch gesicherte Herkunftsangabe in den Metadaten nach C2PA. Die erste Schicht übersteht den Screenshot, die zweite die Umformulierung nicht – zusammen decken sie mehr ab als jede für sich.
Verwandte Begriffe
- C2PA – die zweite Schicht: Herkunft in den Metadaten statt im Material
- Perplexität – die Größe, auf der die unterlegene Alternative beruht
- EU AI Act – verlangt die maschinenlesbare Kennzeichnung
- Generative KI – die Systeme, deren Ausgaben markiert werden
- Open Weights – entzieht sich der anbieterseitigen Markierung
- Google DeepMind – Herkunft von SynthID
- Token – die Einheit, an der das Textverfahren ansetzt
Quellenangaben
- Dathathri, Sumanth u. a., 2024. Scalable Watermarking for Identifying Large Language Model Outputs. In: Nature 634 (8035), S. 818–823. DOI: 10.1038/s41586-024-08025-4.
- Kirchenbauer, John / Geiping, Jonas / Wen, Yuxin / Katz, Jonathan / Miers, Ian / Goldstein, Tom, 2023. A Watermark for Large Language Models. In: Proceedings of the 40th International Conference on Machine Learning (ICML 2023). arXiv: 2301.10226.