Kurze Geschichte der KI-Spurenverfolgung

Im Jahr 1949 veröffentlichte Claude Shannon von den Bell Labs eine Arbeit mit dem Titel „Kommunikationstheorie von Geheimhaltungssystemen“, in der er sich mit Kryptographie befasste. Seine Theorie zog eine Schlussfolgerung, die später stetig erweitert wurde:

Jede Nachricht, die von einem Kommunikationssystem erzeugt wird, kann sich nicht vollständig von den statistischen Merkmalen ihrer Quelle lösen.

Denn jedes Zeichen trägt die Wahrscheinlichkeitsgewohnheiten des Senders in sich – wenn man genügend Zeichen analysiert, tritt die Quelle zutage.

Shannon befasste sich mit Kryptographie, aber diese Erkenntnis gilt weit über dieses Gebiet hinaus.

Er sagte: Alles, was von einer Informationsquelle erzeugt wird, hinterlässt zwangsläufig eine erkennbare Spur auf statistischer Ebene. Diese Spur muss nicht absichtlich eingefügt werden, sie ist ein Nebenprodukt des Mechanismus der Informationserzeugung selbst.

77 Jahre später erhielt diese These eine völlig neue konkrete Ausformung.

„Im August 2026 kündigte Anthropic an, nicht sichtbare statistische Wasserzeichen flächendeckend in Texte einzufügen, die von seinem Claude-Modell erzeugt werden, und dies schrittweise auf alle bestehenden Modelle auszudehnen.

Fast zur gleichen Woche entbrannte in der KI-Szene der sozialen Medien eine heftige Debatte: Menschen, die KI zum Schreiben oder Erstellen von Videos nutzen, begannen zu fürchten, dass ihre Inhalte als KI-generiert erkannt werden.

Wenn man aber zu Shannons Rahmen zurückkehrt, war dieser Schritt längst vorbestimmt. Dass KI-Inhalte identifiziert werden können, steht außer Frage. Die eigentlichen Probleme liegen dahinter: Auf welche Weise erfolgt die Identifizierung, wer führt sie durch und was bedeutet sie nach der Erkennung?

I

Gewohnheiten sind das geheime Zeichen

1964 unternahmen die Harvard-Statistiker Frederick Mosteller und David Wallace ein noch mutigeres Vorhaben.

Die „Federalist Papers“ gehören zu den wichtigsten politischen Dokumenten der Anfangszeit der Vereinigten Staaten, verfasst von Hamilton, Madison und anderen. Die Urheberschaft von 12 der insgesamt 85 Artikel war über mehr als 100 Jahre umstritten – sowohl Hamilton als auch Madison beanspruchten die Autorität für sich.

Die Statistiker verfolgten einen neuen Ansatz und konzentrierten sich stärker auf die Nutzungshäufigkeit von Funktionswörtern wie „and“, „to“ und „while“.

Diese Wörter haben keine inhaltliche Bedeutung, aber die Häufigkeit, mit der jeder Autor sie verwendet, weist stabile individuelle Unterschiede auf.

Die beiden Statistiker nutzten schließlich die Bayessche Methode, um die Vorkommenshäufigkeit dieser Wörter in Artikeln mit bekannter Urheberschaft auszuwerten und die umstrittenen Texte mit Wahrscheinlichkeitsmodellen abzugleichen.

Das Ergebnis war überwältigend: Fast mit Sicherheit stammen alle 12 umstrittenen Artikel von Madison.

Diese Methode erhielt später einen eigenen Namen: Stilometrie (Stylometry).

Sie wird vor Gericht verwendet, um den Verfasser anonymer Briefe zu bestimmen, und in der Literaturforschung, um die Urheberschaft umstrittener Texte zu klären. 1995 kam sie in der berühmtesten praktischen Anwendung zum Einsatz, als das FBI mit einem ähnlichen Verfahren half, einen Verdächtigen zu ermitteln.

Damals hinterließ der berühmteste „Briefbomben-Täter“ der US-Geschichte, Kaczynski, in seinem zehntausend Wörter umfassenden Manifest, das er an Zeitungen schickte, zahlreiche individuelle Ausdrucksgewohnheiten. Gerichtslinguisten verglichen das Manifest systematisch mit privaten Texten von Kaczynski und kamen zu dem Schluss, dass beide „mit nahezu absoluter Sicherheit von demselben Autor stammen“. Diese Analyse wurde zum entscheidenden Beweismittel für die Beantragung eines Durchsuchungsbefehls.

Shannons These wurde in diesen Fällen wiederholt bestätigt: Die Wahrscheinlichkeitsverteilung der Wortwahl einer Person weist auf statistischer Ebene sehr stabile individuelle Merkmale auf, die so zahlreich sind, dass sie sich nicht durch absichtliche Kontrolle vollständig beseitigen lassen.

Aus demselben Grund lässt sich auch ein heutiges großes Sprachmodell nachverfolgen, da es eine eigene „Sprache“ spricht.

II

Der Akzent von Sprachmodellen

Wenn ein Sprachmodell Text erzeugt, berechnet es in jedem Schritt die Wahrscheinlichkeitsverteilung des nächsten Wortes, wählt ein Wort aus dieser Verteilung aus, fügt es zum Text hinzu und führt dann die nächste Berechnung durch. Dieser Vorgang wird hunderte Male wiederholt, bis ein Textabschnitt entsteht.

Die Wahrscheinlichkeitsverteilungen jedes Modells weisen systematische Unterschiede auf, da Trainingsumgebung, Daten, Architektur, Ausrichtungsverfahren und Decodierungsparameter unterschiedlich sind.

Bei demselben Kontext weisen GPT und Gemini den Wörtern „ändern“, „umgestalten“, „beeinflussen“ und „umwälzen“ unterschiedliche Wahrscheinlichkeiten zu. Diese Unterschiede zeigen sich bei jeder Generierung auf systematische Weise. Die Abweichung bei einer einzelnen Wortwahl ist gering, aber nach hunderten oder tausenden Wiederholungen hinterlassen diese systematischen Unterschiede eine erkennbare Spur in der statistischen Struktur des gesamten Textes.

2023 veröffentlichten Forscher um Mitchell von der Stanford University ihre Studie zu DetectGPT. Sie fanden heraus, dass Texte, die von einem bestimmten Sprachmodell erzeugt werden, häufig in der Nähe eines „lokalen Maximums“ der Wahrscheinlichkeitsfunktion dieses Modells liegen.

Wenn man diesen Textabschnitt teilweise zufällig umschreibt, landen die umgeschriebenen Versionen normalerweise an Positionen mit niedrigerer Wahrscheinlichkeit.

Anhand dieser Krümmungsmerkmale lässt sich ohne jegliches vorher eingefügte Wasserzeichen feststellen, ob ein Textabschnitt mit hoher Wahrscheinlichkeit von einem bestimmten Modell erzeugt wurde.

In einem Test zur Erkennung von gefälschten Nachrichten, die von einem bestimmten Modell erzeugt wurden, verbesserte DetectGPT die Trefferquote von 0,81 (dem Wert des besten bisherigen Verfahrens) auf 0,95.

Aber die Grenzen der passiven Erkennung traten bald zutage.

OpenAI veröffentlichte im Januar 2023 sein eigenes KI-Texterkennungstool, nahm es aber fünf Monate später mit der Begründung „zu geringe Genauigkeit“ wieder vom Netz. Auf seinem eigenen Bewertungsdatensatz erkannte es nur 26 % der KI-Texte korrekt und klassifizierte gleichzeitig 9 % der von Menschen geschriebenen Texte fälschlicherweise als KI-generiert.

Dieses Tool nutzte einen Stilklassifikator, der völlig anders funktioniert als eine Wasserzeichenerkennung. Aber es bewies eines: Dass KI-Inhalte statistische Merkmale aufweisen, bedeutet nicht, dass es zuverlässige universelle Erkennungstools gibt.

Genau diese Realität erleben inländische Plattformen bei der Umsetzung von Kennzeichnungsvorgaben für KI-generierte Inhalte.

Am 1. September 2025 trat der gemeinsam von vier Behörden erlassene „Maßnahmenkatalog zur Kennzeichnung von künstlich generierten synthetischen Inhalten“ (im Folgenden „Kennzeichnungsmaßnahmen“) offiziell in Kraft. Am selben Tag führten Douyin, Kuaishou, Xiaohongshu, Bilibili und Weibo die Funktion zur Kennzeichnung von KI-Inhalten ein.

Aber unabhängige Bewertungen zeigten, dass die automatische Erkennungsfähigkeit der Plattformen sehr unterschiedlich ist: In der ersten Woche funktionierte die Erkennung bei Kuaishou noch einigermaßen, während die automatische Erkennung bei Douyin fast versagte. Ende Oktober ergab eine Bewertung eines anderen Medienhauses ein umgekehrtes Bild: Douyin wies die höchste Erkennungsrate für KI-generierte Videos auf, während Kuaishou, Xiaohongshu und WeChat Video keine Kennzeichnungen für KI-Videos ohne eingebettetes Wasserzeichen vornahmen.

Aufgrund von technischen Einschränkungen und Kosten für Rechenleistung verlassen sich die meisten Plattformen hauptsächlich auf die integrierten KI-Wasserzeichen von Videos oder die freiwillige Angabe der Ersteller, um Inhalte zu identifizieren.

Wenn ein Inhalt weder vom Ersteller gekennzeichnet noch von dem eigenen Tool der Plattform generiert wurde, sinkt die Genauigkeit der passiven Erkennung drastisch.

III

Vom passiven zum aktiven Verfahren

Da die passive Erkennung nicht ausreicht, versuchen Hersteller, während des Generierungsprozesses aktiv Spuren einzubetten, die nur sie selbst erkennen können.

Die Logik folgt weiterhin Shannons Rahmen: Geheime Informationen werden in den Kanal kodiert, um Herkunftsdaten über statistische Regeln zu übermitteln. Personen ohne den Schlüssel können sie nicht erkennen, während Detektoren mit dem Schlüssel die Herkunft mit hoher Zuverlässigkeit bestätigen können.

Googles DeepMind realisierte diese Logik im August 2023 als erstes in einem großflächig eingesetzten kommerziellen Produkt namens SynthID, das ursprünglich für von Modellen erzeugte Bilder gedacht war.

Die Einbettung erfolgt durch ein statistisches Signal auf Pixelebene des Bildes, das für das menschliche Auge unsichtbar ist, aber von dem Erkennungsalgorithmus von SynthID identifiziert werden kann. Es ist resistent gegen gängige Operationen wie Zuschneiden, Komprimieren und Filtern. Später wurde das Verfahren auf Audio und Video ausgeweitet, und im Mai 2024 auch auf Text, der in der Konversationsoberfläche von Gemini zum Einsatz kommt.

Das Textwasserzeichenverfahren von Google funktioniert so: Bevor das Modell jedes Wort generiert, passt es die Wahrscheinlichkeitsverteilung der Wörter nach einem schlüsselgeschützten Algorithmus geringfügig an, sodass die endgültige Sequenz der ausgewählten Wörter statistisch einer verborgenen Regel folgt.

Das Forschungsteam nennt das konkrete Verfahren „Wettbewerbs-Sampling“, bei dem Informationen durch Anpassung der Wettbewerbsregeln zwischen Wörtern kodiert werden. Der gesamte Text wirkt völlig normal, das Signal verbirgt sich im statistischen Muster „welches Wort ausgewählt und welches nicht ausgewählt wurde“.

Google verglich in fast 20 Millionen Antworten von Gemini-Nutzern die Versionen mit und ohne Wasserzeichen: Die Zufriedenheitswerte der Nutzer wiesen keine signifikanten Unterschiede auf.

Auf der I/O-Konferenz im Mai 2026 wurde bekanntgegeben, dass SynthID bereits auf über 100 Milliarden KI-generierte Bilder und Videos angewendet wurde. Die markierte Menge an KI-Audio entspricht einer Wiedergabedauer von 60.000 Jahren, und die Nutzer von Gemini haben insgesamt 50 Millionen Mal die Wasserzeichenprüfung aufgerufen.

Große Unternehmen wie OpenAI und Nvidia haben ebenfalls angekündigt, dem SynthID-Ökosystem beizutreten. Gleichzeitig integriert Google die SynthID-Prüfung in seine Such- und Browsertools.

Im Gegensatz zu der aktiven Spurensetzung in der Industrie verfolgt die inländische Politik die Vorgabe, dass KI-Modelle aktiv Spuren in ihrer Datenstruktur hinterlassen müssen.

Artikel 5 der „Kennzeichnungsmaßnahmen“ schreibt vor, dass in die Datenstruktur von Dateien Metadaten wie Kodierung des Dienstanbieters, Inhaltsnummer und Generierungsattribute geschrieben werden müssen.

Diese Wahl hat ihre institutionelle Logik: Das Metadatenverfahren ist mit geringeren Kosten für die Einhaltung von Vorschriften verbunden, lässt sich einfacher prüfen, und Aufsichtsbehörden können es in einem einheitlichen Format direkt auswerten.

Artikel 12 stellt klar: Dienstanbieter müssen bei der Einreichung ihrer Algorithmen zur Registrierung kennzeichnungsbezogene Unterlagen vorlegen, um die Verhinderung und Bekämpfung von Straftaten zu unterstützen. Das Kernkonzept besteht darin, einen nachverfolgbaren institutionellen Kanal von dem Inhalt bis zum Dienstanbieter aufzubauen.

Nach den Daten bis Ende Juni wurden in China bereits über 998 große Modelle registriert und weitere 598 auf Provinzebene erfasst. Die Nutzerzahl von generativen KI-Produkten übersteigt 230 Millionen.

Wasserzeichen auf Generierungsebene richten sich gegen Massenproduzenten, die KI-Ausgaben unverändert kopieren und einfügen – zum Beispiel Anbieter von gleichförmigen Inhalten, Massenaccounts für automatisierte Veröffentlichungen und KI-Websites für Übersetzungen.

Das Metadatensystem hat in diesem Szenario ebenfalls Vorteile: Wenn massenhaft automatisierte Inhalte ohne Prüfung direkt veröffentlicht werden, enthalten die Metadaten die Kodierung des Dienstanbieters. Anhand der Registrierungsdaten lässt sich die Herkunft nachverfolgen, und bei unzureichender KI-Kennzeichnung können entsprechende regulatorische Maßnahmen ergriffen werden.

IV

Die Anfälligkeit von Wasserzeichen

Es verbreitete sich früher die weitverbreitete Behauptung, dass das Wasserzeichen verschwindet, wenn man einen KI-generierten Inhalt als Screenshot speichert und per OCR wieder in Text umwandelt.

Das trifft auf die Metadatenebene zu, aber nicht auf Wasserzeichen auf Generierungsebene. Denn das Wasserzeichen wird kodiert, indem beeinflusst wird, welche Wörter ausgewählt werden – die Sprache selbst trägt die statistischen Regeln und den Fingerabdruck des Modells in sich.

Ein Screenshot wandelt Text in Pixel um, die OCR wandelt die Pixel wieder in Text zurück. Wenn die OCR genau genug ist, ist die wiederhergestellte Wortsequenz fast identisch mit dem Original – das Wasserzeichen verschwindet nicht.

Genauso wenig wie der Reim eines Gedichts verschwindet, wenn man es ausdruckt, fotografiert und per OCR wieder als Text erfasst.

Was ein Wasserzeichen auf Generierungsebene wirklich beseitigen kann, ist die Neugenerierung von Sprache: Man versteht den von der KI geschriebenen Text, schaut sich das Original nicht an und formuliert ihn von Grund auf neu mit ähnlicher Bedeutung.

Sowohl Google als auch Anthropic haben offen eingeräumt, dass umfangreiche Umschreibungen, Übersetzungen oder das Mischen mit großen Mengen anderer Texte dazu führen können, dass das Wasserzeichen nicht mehr erkannt wird.

Aber der Abstand zwischen „kann zu fehlgeschlagener Erkennung führen“ und „lässt sich leicht umgehen“ ist viel kleiner, als die meisten Menschen annehmen.

2023 wurde das WaterPark-Benchmark-Verfahren entwickelt, das 10 Wasserzeichenverfahren systematisch bewertete, unter Berücksichtigung von 12 Angriffsarten, 3 Sprachmodellen und 5 Datensätzen. Das Ergebnis