SynthID-Text läuft in Gemini und Claude. Eine Erkennungs-API gibt es trotzdem nicht.

Zwei der drei größten Anbieter von Sprachmodellen versehen den erzeugten Text inzwischen mit einem Wasserzeichen. Google tut das in Gemini seit 2024. Anthropic hat es für Claude am 14. August 2026 aktiviert. Beide nutzen dasselbe Verfahren, SynthID-Text, veröffentlicht von Google DeepMind in Nature.

Wenn Sie prüfen wollen, ob ein bestimmter Absatz eines dieser Wasserzeichen trägt, können Sie das nicht. Nicht über eine API, nicht über ein Portal, nicht mit einem Open-Source-Werkzeug. Die Markierung ist vorhanden, sie ist im Prinzip maschinenlesbar, und die einzigen Maschinen, die sie lesen können, gehören den beiden Unternehmen, die sie gesetzt haben.

Diese Lücke wiegt schwerer als noch vor einem Jahr, denn die KI-Verordnung hat jetzt eine Kennzeichnungsfrist mit einem konkreten Datum, und eine ganze Reihe von Leuten hat angefangen, Werkzeuge zu kaufen, die die Lücke angeblich schließen und es nicht tun.

Was SynthID-Text tatsächlich macht

Präzision lohnt sich hier, weil das meiste, was über KI-Textwasserzeichen geschrieben wird, auf immer dieselbe Weise falsch ist.

SynthID-Text fügt dem Text nichts hinzu. Keine Zeichen mit Nullbreite, kein ungewöhnliches Unicode, keine unsichtbaren Marker, keine verräterische Zeichensetzung, keine zusätzlichen Token. Anthropic sagt das wörtlich, und für das Verfahren gilt es allgemein. Wer je den Rat gelesen hat, unsichtbare Zeichen zu entfernen, um ein KI-Wasserzeichen zu umgehen: Dieser Rat zielt auf etwas, das es hier nicht gibt.

Stattdessen verändert das Verfahren, wie das Modell Wörter auswählt.

Wenn ein Sprachmodell Text erzeugt, bildet es eine Wahrscheinlichkeitsverteilung über das nächste Token und zieht daraus eine Stichprobe. SynthID-Text greift genau an diesem Punkt ein. Ein gleitendes Fenster über die letzten Token, üblicherweise vier, wird zusammen mit einem geheimen Wasserzeichen-Schlüssel gehasht und ergibt einen Seed. Dieser Seed steuert eine Reihe pseudozufälliger Bewertungsfunktionen, die g-Funktionen. Der Algorithmus zieht Kandidaten-Token und schickt sie durch mehrere Turnierebenen: Jede Ebene bewertet die konkurrierenden Kandidaten mit einer g-Funktion, der Sieger kommt weiter. Das Token, das das Turnier gewinnt, wird ausgegeben.

Über einen ausreichend langen Abschnitt korrelieren die ausgegebenen Token dadurch mit den g-Werten, und zwar so, wie es bei menschlicher Wortwahl nicht vorkäme. Die Erkennung ist dann ein statistischer Test: Man berechnet die g-Werte über den Text neu und fragt, ob der Mittelwert höher liegt, als der Zufall zulässt. Die veröffentlichten Detektoren gibt es in drei Ausführungen, einem einfachen Mittelwert, einem gewichteten Mittelwert und einem Bayes-Detektor, der auf markierten und nicht markierten Beispielen trainiert wird und von den dreien der stärkste ist.

Aus diesem Aufbau folgen zwei Eigenschaften, die fast alles Weitere erklären.

Erstens braucht die Erkennung das Modell nicht. Sie müssen Gemini nicht laufen lassen, um Gemini-Text zu prüfen. Das macht das Verfahren billig genug für den Produktivbetrieb und ist ein echter Fortschritt gegenüber nachträglichen Klassifikatoren.

Zweitens braucht die Erkennung den Schlüssel. Die g-Funktionen werden von ihm geseedet. Ohne den Wasserzeichen-Schlüssel haben die berechneten g-Werte nichts mit denen zu tun, die bei der Erzeugung verwendet wurden, und der Test liefert Rauschen. Das ist keine Implementierungslücke, die irgendwann jemand schließt. Es ist die Sicherheitseigenschaft, die verhindert, dass jemand Googles Wasserzeichen auf Text fälscht, den Google nie geschrieben hat.

Das gesamte Erkennungsproblem steckt in dieser zweiten Eigenschaft.

Wer heute Text mit Wasserzeichen versieht

Der Stand im August 2026, beschränkt auf das, was die Anbieter selbst bestätigt haben:

Google Gemini. Mit Wasserzeichen versehen seit der Nature-Veröffentlichung, die den ersten großflächigen Einsatz beschrieb, für Gemini und Gemini Advanced. Google-Mitarbeiter haben im offiziellen Entwicklerforum bestätigt, dass auch Text mit Wasserzeichen versehen wird, der über die Gemini API, Google AI Studio und Antigravity erzeugt wird. Diese Antwort kam, nachdem zuvor das Gegenteil behauptet worden war, was ein fairer Hinweis darauf ist, wie dünn das dokumentiert ist.

Anthropic Claude. Weltweit aktiv seit dem 14. August 2026, bei Claude-Modellen, die am oder nach dem 2. August 2026 erschienen sind, ältere Modelle folgen. Anthropic beschreibt es als eine Variante des SynthID-Text-Ansatzes und führt die Idee auf einen Vorschlag von Scott Aaronson aus dem Jahr 2022 zurück. Außerdem hängt Anthropic signierte C2PA-Credentials an erzeugte Bilddateien, was ein eigenständiger Mechanismus ist.

OpenAI. Kein Textwasserzeichen. OpenAI hat eines gebaut, laut Wall Street Journal 2024 mit hoher Treffsicherheit, und es in der Schublade gelassen. Die genannten Bedenken: Es hielt Übersetzung und vollständigem Umschreiben schlecht stand, und es könnte Menschen überproportional treffen, deren Muttersprache nicht Englisch ist. C2PA Content Credentials hängt OpenAI an erzeugte Bilder.

Alle anderen. Modelle mit offenen Gewichten tragen kein Wasserzeichen, außer wer sie betreibt fügt eines hinzu, und nichts hindert ihn daran, es wieder zu entfernen. Das ist das strukturelle Loch, das die Nature-Arbeit selbst benennt: Wasserzeichen funktionieren nur dort, wo Anbieter kooperieren, und offene Modelle lassen sich nicht zur Kooperation zwingen.

Dass beide Produktiveinsätze auf den 2. August 2026 ausgerichtet sind, ist kein Zufall. An diesem Tag wurde Artikel 50 der KI-Verordnung anwendbar.

Die Werkzeuge, die es gibt, und wofür jedes taugt

Dieser Teil verdient Sorgfalt, weil die Suchergebnisse zum Thema stark verunreinigt sind.

google-deepmind/synthid-text auf GitHub. Die Referenzimplementierung aus der Nature-Arbeit, Apache 2.0. Sie setzt Wasserzeichen und erkennt sie, und sie enthält den Trainingscode für den Bayes-Detektor. Unterstützt werden Gemma und GPT-2 über Mixin-Klassen. Die README sagt ausdrücklich, dass dies der Reproduzierbarkeit der Forschung dient, dass die Mixins nicht für den Produktivbetrieb gedacht sind und dass die Hash-Funktion keinerlei kryptografische Sicherheit garantiert. Nützlich, ehrlich, und kein Detektor für fremden Text.

Hugging Face Transformers. Der produktionstaugliche Weg, auf den Google verweist. Mit SynthIDTextWatermarkingConfig und SynthIDTextWatermarkLogitsProcessor erzeugen Sie markierten Text aus einem Modell, das Sie kontrollieren, indem Sie eine Liste von Schlüsseln und eine N-Gramm-Länge übergeben. Wer die Schlüssel hat, kann erkennen. Das ist der einzige Weg, auf dem ein normales Entwicklungsteam heute an ein durchgängig funktionierendes Textwasserzeichen kommt, und er deckt nur Text ab, den das eigene System erzeugt hat.

MarkLLM. Ein akademisches Toolkit von THU-BPM, das viele Wasserzeichen-Algorithmen hinter einer Schnittstelle implementiert, darunter KGW, Unigram, EXP und SynthID-Text mit den Detektoren Mittelwert, gewichteter Mittelwert und Bayes. Wer Verfahren vergleicht statt eines auszurollen, fängt hier an.

SynthID Detector, das Portal. Googles Werkzeug zum Hochladen und Prüfen, seit der I/O im Mai 2026 über eine Warteliste für Journalistinnen, Forscher und Medienleute für frühe Tester geöffnet. Googles eigene Hilfe zur Verifikation nennt Bilder, Video und Audio. Text steht nicht auf der Liste, und der Forumsthread zum API-Wasserzeichen stellt klar, dass das Portal Text nicht annimmt.

Googles Content Detection API. 2026 auf der Gemini-Enterprise-Plattform als Vorschau für ausgewählte Partner, darunter Shutterstock, Snap, Canva und Fox Sports. Nur Bilder, JPEG, PNG und WebP. Kein Text, kein Termin für die allgemeine Verfügbarkeit, keine veröffentlichten Preise.

Anthropics Erkennungs-API. Angekündigt, ohne Zeitplan und ohne Details zur Umsetzung. Wenn sie kommt, wird sie vermutlich für Claude-Text Auskunft geben und für sonst nichts.

C2PA Content Credentials. Kein Wasserzeichen, sondern eine Ergänzung. Es sind kryptografisch signierte Herkunftsmetadaten: wer hat das erstellt, mit welchem Werkzeug, wann, und war ein KI-System beteiligt, festgehalten im Feld digitalSourceType. Version 2.3 hat Manifeste für reine Textdokumente hinzugefügt, was neu und relevant ist. Die Schwäche spiegelt die des Wasserzeichens: Metadaten verschwinden beim Kopieren und Einfügen, und genau so bewegt sich Text.

Und dann gibt es das, was kein Werkzeug ist.

Eine ganze Reihe von Seiten rankt auf „SynthID detection API" und beschreibt ein Produkt, das man in der Google Cloud Console aktiviert, mit Preis pro Anfrage und Textlatenz im Millisekundenbereich. Ein solches Produkt taucht in Googles Cloud-Dokumentation nirgends auf. Mindestens eine dieser Seiten ist Content-Marketing für einen Dienst zum Entfernen von Wasserzeichen. Davon getrennt: Seiten, die anbieten, Text auf SynthID zu prüfen, betreiben statistische KI-Detektoren. Die lesen das Wasserzeichen nicht und können es nicht, weil ihnen der Schlüssel fehlt. Sie bewerten Text nach Vorhersagbarkeit und Rhythmus. Das ist etwas anderes im selben Wortkleid.

Wie gut funktioniert das

Die ehrliche Antwort: gut bei langem, unbearbeitetem Text mit hoher Entropie, und außerhalb dieser Bedingungen schnell abfallend. Die Zahlen sind öffentlich und sie schmeicheln nicht.

Länge. Erkennung ist ein statistischer Test, also sammelt sich Evidenz mit den Token. Eine theoretische Analyse von SynthID-Text aus dem Jahr 2026 setzt die Erkennung bei rund 0,3 Richtig-Positiv-Rate bei 1 Prozent Falsch-Positiv-Rate für Texte mit 50 Token an und führt die eigenen Experimente auf Sequenzen von 100 bis 400 Token durch. Ein Social-Media-Beitrag, eine Produktbeschreibung oder eine Supportantwort ist nicht genug Text.

Entropie. Das Wasserzeichen lebt von der Freiheit des Modells bei der Wahl. Wo es nur eine richtige Antwort gibt, ist kein Platz, etwas zu kodieren. Anthropic sagt das direkt: Die Markierung ist dünner in Sachtexten und in Code, wo Syntax und Arithmetik exakt stimmen müssen. Lassen Sie ein Modell Ihre Grammatik korrigieren, kann das Wasserzeichen nur in der Handvoll Korrekturen sitzen, und das kann zu wenig sein, um anzuschlagen.

Umformulieren. Das ist die Schwachstelle. Eine Robustheitsuntersuchung stellte fest, dass SynthIDs Richtig-Positiv-Rate von 0,998 auf sauberem Text auf 0,498 unter moderatem Umformulieren fällt. Das SRI Lab der ETH Zürich berichtet über 90 Prozent Erfolg beim Entfernen durch gewöhnliches Paraphrasieren, nahezu 100 Prozent mit Unterstützung durch Watermark Stealing, und merkt an, dass Turniersampling, eigentlich ein Sicherheitsmerkmal, die Token-Bevorzugung empfindlicher gegenüber Umschreibungen macht und damit weniger robust als einfachere Verfahren. Eine Auswertung von 2026 gegen forensische Standards maß 98,3 Prozent Entfernung bei bedeutungserhaltendem Paraphrasieren, während die semantische Ähnlichkeit bei etwa 0,83 blieb.

Falsch-Positive. Dieselbe forensische Auswertung maß eine Falsch-Positiv-Rate von 5,4 Prozent auf sauberem menschlichem Text, mit 93,6 Prozent Instabilität des Urteils bei kleinen Änderungen der Erkennungsschwelle, und fand einen Standardsatz aus einem Tipptest, der die Schwelle überschritt. Ihr Fazit: Keines der drei geprüften Verfahren, KGW, Unigram und SynthID-Text, erfüllt mehr als zwei der fünf Daubert-Kriterien für Sachverständigenbeweise.

Fälschung. Hier hält SynthID-Text besser stand als die Alternativen. Die Arbeit des SRI Lab nennt 4 Prozent Erfolgsquote beim Fälschen mit Standardparametern gegenüber 80 Prozent und mehr bei Rot-Grün-Verfahren, wobei die Quote auf 15 Prozent stieg, als die Anfragen des Angreifers von 30.000 auf 90.000 wuchsen. Dieselbe Arbeit zeigte außerdem, dass sich die Existenz des Wasserzeichens aus Black-Box-Anfragen ableiten lässt, den Einsatz geheim zu halten ist also keine Option.

Zusammengenommen: Ein positives Ergebnis auf einem langen Abschnitt ist ein belastbarer Hinweis. Ein negatives Ergebnis heißt fast nichts, denn es passt gleichermaßen zu menschlichem Text, zu einem Modell ohne Wasserzeichen, zu einer kurzen Probe oder zu einer Umformulierung. Wer daraus einen Arbeitsablauf baut, muss diese Asymmetrie verinnerlicht haben, bevor er die Oberfläche entwirft.

Was das Recht verlangt

Drei Regelwerke fordern inzwischen etwas in diesem Bereich, und keines passt genau auf das, was ausgerollt ist.

KI-Verordnung, Artikel 50 Absatz 2. Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgaben maschinenlesbar kennzeichnen, sodass sie als künstlich erzeugt erkennbar sind. Die Kennzeichnung muss wirksam, interoperabel, robust und zuverlässig sein, soweit technisch durchführbar. Artikel 50 wurde am 2. August 2026 anwendbar, die Kennzeichnungs- und Labelling-Anforderungen greifen am 2. Dezember 2026, und an diesem Tag endet auch die Übergangsfrist für Systeme, die vor dem 2. August 2026 in Verkehr waren. Der Verhaltenskodex verweist auf einen mehrschichtigen Ansatz aus Metadaten, Wasserzeichen und Protokollierung. C2PA nennt er nicht beim Namen, beschreibt aber dessen Eigenschaften so genau, dass Beobachter feststellen, C2PA sei derzeit die einzige ausgerollte Technik, die passt. Das größere Bild zu Artikel 50 haben wir in unserem Leitfaden zur Transparenz der KI-Verordnung behandelt.

Beachten Sie das Wort interoperabel. Ein Wasserzeichen, das nur sein Urheber lesen kann, passt eigenartig zu dieser Anforderung, und dieser Widerspruch ist ungelöst.

China. Die Kennzeichnungsmaßnahmen für KI-generierte synthetische Inhalte gelten seit dem 1. September 2025 und sind von den dreien die konkretesten. Sie verlangen sowohl ein explizites, für Nutzer sichtbares Label als auch ein implizites Label in den Dateimetadaten. Text fällt darunter. Plattformen müssen Kennzeichnungsfunktionen bereitstellen, und wer KI-erzeugte Inhalte veröffentlicht, muss das angeben.

Kalifornien. Der AI Transparency Act, SB 942 in der Fassung von AB 853, gilt seit dem 2. August 2026 für Anbieter mit mehr als einer Million monatlicher Nutzer. Verlangt werden ein kostenloses Erkennungswerkzeug, eine sichtbare Offenlegung und eine eingebettete latente Offenlegung mit Anbietername, Systemname und Version, Zeitstempel und einer eindeutigen Kennung. Lesen Sie den Anwendungsbereich genau: Die latente Offenlegung gilt für Bild, Video und Audio. Text steht nicht darin. Ab dem 1. Januar 2027 müssen große Online-Plattformen Herkunftsdaten anzeigen und dürfen sie nicht wissentlich entfernen.

Das Muster ist überall dasselbe. Das Recht verlangt Markierungen, die sich erkennen lassen, und die ausgerollten Textmarkierungen kann nur ihr Urheber erkennen. Entweder öffnet sich die Erkennung, oder die Textpflichten werden mit Metadaten im C2PA-Stil erfüllt, die ein Kopieren und Einfügen praktisch nie überstehen.

Was das für die Softwareentwicklung bedeutet

Das meiste davon ist kein Compliance-Projekt. Es sind ein paar technische Entscheidungen, die jetzt billig und später teuer nachzurüsten sind.

Kaufen Sie keinen Detektor als Urteil. Wer behauptet, SynthID in beliebigem Text zu erkennen, kann es nicht, und Sie sollten nach dem Schlüssel fragen. Wenn Sie KI-Erkennung auf eingereichte Texte anwenden, behandeln Sie den Wert als Triage, die zu einer menschlichen Prüfung führt, nie als Feststellung. Die Belege gegen folgenreiche Nutzung sind deutlich: Eine Stanford-Studie fand, dass Detektoren mehr als die Hälfte der TOEFL-Aufsätze von Nicht-Muttersprachlern fälschlich als KI-generiert einstuften, und eine wachsende Zahl von Universitäten hat diese Werkzeuge abgeschaltet, nachdem sie menschliche Arbeiten mit 100 Prozent Sicherheit markiert hatten. Darauf eine Richtlinie zu bauen ist ein Haftungsrisiko, keine Kontrolle.

Hören Sie auf, Herkunftsmetadaten zu entfernen. Das ist die häufigste selbst zugefügte Wunde. Bildpipelines kodieren neu, skalieren und normalisieren, und die meisten werfen dabei C2PA-Manifeste und XMP weg. Nach Artikel 50 Absatz 2 entfernen Sie damit die Kennzeichnung, die das Gesetz erhalten wissen will, und ab Januar 2027 ist es in Kalifornien eine Plattformpflicht. Prüfen Sie die Pipeline, erhalten Sie das Manifest oder signieren Sie nach der Transformation neu. Da C2PA 2.3 nun reine Textdokumente unterstützt, gilt dieselbe Disziplin bald auch für Text.

Führen Sie Ihre eigene Herkunftsdokumentation. Das ist der Teil, der tatsächlich funktioniert. Was auch immer das Wasserzeichen tut, Ihr System weiß, welches Modell was erzeugt hat, wann, mit welchem Prompt, und wer es geprüft hat. Speichern Sie das als Feld am Datensatz. Es ist der Nachweis für die Ausnahme der menschlichen Überprüfung nach Artikel 50, es ist das, was Sie einer Aufsichtsbehörde oder einem Kunden vorlegen, und es hängt nicht davon ab, dass irgendwer eine API ausliefert.

Wer selbst hostet, bekommt den ganzen Kreis. Ein Team, das ein eigenes Modell über Hugging Face Transformers betreibt, kann bei der Erzeugung markieren und später erkennen, weil es die Schlüssel hält. Wer in großem Umfang Inhalte erzeugt und die eigene Ausgabe später wiedererkennen muss, kann das heute haben, und niemand verkauft es Ihnen.

Stellen Sie Lieferanten die richtige Frage. Nicht „setzen Sie Wasserzeichen", was inzwischen meist ja lautet und nichts aussagt. Fragen Sie, ob die Markierung von Ihnen lesbar ist oder nur von ihnen, was bei Bearbeitung und Übersetzung mit ihr passiert, ob C2PA-Metadaten anhängen und an welchen Formaten, und was sie nach dem 2. Dezember 2026 vertraglich zu Artikel 50 Absatz 2 zusagen.

Wohin das führt

Die Technik ist echt, und das Nature-Ergebnis ist eine ernsthafte Ingenieursleistung: ein Wasserzeichen, das ein halbes Prozent Latenz kostet, eine Auswertung über rund 20 Millionen echte Gemini-Antworten übersteht, ohne die Nutzerzufriedenheit messbar zu verändern, und das erkennt, ohne das Modell anzufassen. Das ist nicht nichts.

Der Einsatz ist vorerst auch geschlossen. Zwei Anbieter markieren Text, keiner lässt jemand anderen die Markierung lesen, der dritte hat eine gebaut und weggelegt, und offene Modelle stehen ganz außerhalb des Systems. Die Lücke zwischen dem, was die Kennzeichnungsregeln verlangen, und dem, was jemand außerhalb dieser Unternehmen tatsächlich überprüfen kann, ist das interessante Problem, und es ist kein technisches.

Wir raten Kunden, nichts für Erkennung auszugeben und etwas für Herkunft. Eine Erkennung, die Sie nicht ausführen und der Sie nicht trauen können, ist keine Kontrolle. Eine saubere Aufzeichnung dessen, was die eigenen Systeme erzeugt haben, und eine Asset-Pipeline, die aufhört, bereits vorhandene Metadaten zu zerstören, ist Arbeit, die Sie kontrollieren, und genau daran rührt die Frist zum 2. Dezember 2026. Wo das zwischen allem anderen bis 2028 einzuordnen ist, steht in unserem Leitfaden zur EU-Digital-Compliance 2026.

Wir bauen KI-Funktionen in Produkte für Unternehmen, die in Europa tätig sind. Herkunftsfelder, Asset-Pipelines, die Credentials erhalten, und Prüfpfade gehören für uns zur normalen Lieferung und nicht zu einer gesonderten Übung. Wenn Sie sehen wollen, wo KI-erzeugte Inhalte in Ihr Produkt kommen und was auf dem Weg hinaus mit ihrer Herkunft passiert, schreiben Sie an office@c9group.dev.

Wir sind Ingenieure, keine Juristen. Ob eine konkrete Pflicht Sie als Anbieter oder als Betreiber trifft, gehört zu Ihrer Rechtsberatung. Wir sorgen dafür, dass das System zur Antwort passt.