Google markiert den Text seiner Gemini-Modelle bereits mit einem Wasserzeichen, bei Claude ist es seit diesem Sommer ebenso. Das Signal steckt damit in ganz normalen Texten, in E-Mails, Entwürfen oder Blogartikeln. Und genau deshalb wird eine Frage wichtig, die vorher eher theoretisch war: Wie viel von so einem Signal übersteht eine nachträgliche Bearbeitung?
Was ein KI-Wasserzeichen überhaupt ist, wie es während der Generierung entsteht und welcher Anbieter in welcher Form markiert, haben wir bereits ausführlich behandelt im Artikel KI-Wasserzeichen in ChatGPT, Claude, Google & Co.
Eine Sache vorweg, sonst führt der Begriff „umgehen" in die Irre. Ein statistisches Wasserzeichen steckt an keiner einzelnen Stelle, die man herausschneidet. Es verteilt sich über die Wortwahl des gesamten Textes. „Löschen" ist damit das falsche Bild. Realistisch ist die Frage, wie stark sich das Signal überhaupt abschwächen lässt und was das mit dem Text macht.
Wie kann ich ein KI-Wasserzeichen umgehen oder entfernen?
Die kurze Antwort: Ein bisschen Umformulieren reicht nicht. Ein statistisches Wasserzeichen übersteht kleine Korrekturen meist problemlos. Spürbar schwächer wird es erst, wenn ein Text stark paraphrasiert, deutlich gekürzt, mit eigenen Passagen vermischt oder von einem fremden System übersetzt wird. Ganz verschwinden kann es nach einer vollständigen Neuformulierung, nur ist der Text dann kaum noch der ursprüngliche.
Grob sieht das so aus:
Einzelne Wörter tauschen, Tippfehler korrigieren
Hat kaum Wirkung, das Muster bleibt fast vollständig erhalten.
Sätze umstellen, kürzen, eigene Absätze einschieben
Schwächt das Signal messbar. Je größer der eigene Anteil, desto weniger KI-Tokens bleiben stehen.
Übersetzung durch ein fremdes System
Kann das Signal weitgehend zerstören (mehr dazu im Abschnitt zur Übersetzung).
Vollständige Neuformulierung von Hand
Entfernt das Wasserzeichen, ergibt praktisch aber einen neuen Text.
Kleine Korrekturen und Synonyme
Einzelne Wortersetzungen, korrigierte Tippfehler oder ein paar zusätzliche Wörter ändern am Muster fast nichts. Genau dafür sind die Verfahren gebaut, das Signal soll normales Redigieren überstehen. Wer nur hier und da ein Wort tauscht, hat am Ende praktisch denselben markierten Text.
Umstellen, kürzen und eigene Passagen einschieben
Sobald größere Teile wegfallen oder eigener Text dazukommt, verschiebt sich das Verhältnis. Jeder selbst geschriebene Satz ist eine Stelle ohne Wasserzeichen. Je höher der eigene Anteil, desto weniger der ursprünglichen KI-Token-Entscheidungen bleiben stehen, und desto unsicherer wird der Detektor. Ein zur Hälfte neu geschriebener Text trägt ein spürbar schwächeres Signal als das Original.
Durchgehende Paraphrase
Der stärkste Hebel bei erhaltenem Sinn ist das vollständige Umschreiben, am wirksamsten durch ein weiteres Sprachmodell (neuronales Paraphrasieren). Wie groß der Effekt ausfällt, zeigt die Forschung: In einer Robustheits-Evaluation drückte bereits eine einzige Paraphrasier-Runde durch ein starkes Modell die Erkennungsrate mehrerer Wasserzeichen unter 0,3; bei robusteren Verfahren sank sie nach mehreren Runden unter 0,15.
Wie gut ein Wasserzeichen standhält, hängt zusätzlich vom Verfahren ab. Schemata mit wenigen oder einem einzigen Schlüssel gelten als robuster, während sich Ansätze mit vielen Schlüsseln durch Token-Editing, Synonym-Ersetzung und Paraphrase leichter aushebeln lassen. Der Haken bleibt bei jeder Methode derselbe: Je gründlicher umgeschrieben wird, desto schwächer das Signal, und desto weiter entfernt sich der Text vom Original.
Sonderfall: Übersetzung & KI-Wasserzeichen
Übersetzungen verhalten sich uneinheitlich. Wird ein markierter Text nachträglich von einem Menschen oder einem fremden System übersetzt, verändert sich die Token-Folge grundlegend, und das ursprüngliche Signal kann verloren gehen. Erstellt dagegen das markierende Modell die Übersetzung selbst, entsteht ein neuer Output mit einem neuen Wasserzeichen. Anthropic beschreibt genau das für Claude: Eine von Claude erzeugte Übersetzung trägt ein Wasserzeichen, weil dabei jedes Wort erneut von Claude gewählt wird.
Vollständige Neuformulierung
Am Ende der Skala steht das komplette Neuschreiben von Hand. Dann verschwindet das ursprüngliche Wasserzeichen. Übrig bleibt aber ein weitgehend eigener Text, kaum noch der KI-Output, den man umgehen wollte. Der Aufwand entfernt das Signal also genau in dem Moment zuverlässig, in dem das Ergebnis kein reiner KI-Text mehr ist.
Eine Abgrenzung noch zum Schluss dieser Übersicht: Das statistische Wasserzeichen hat nichts mit den stilistischen KI-Merkmalen zu tun, die ein KI-Scanner sucht. Wer seine Texte einfach natürlicher klingen lassen will, findet die passenden Hebel in diesem Beitrag.
Was von einem Wasserzeichen nach der Bearbeitung übrig bleibt
Ein Wasserzeichen lässt sich selten wie ein Schalter ausknipsen. Statt „weg oder da" gibt es drei Zustände, die man auseinanderhalten sollte:
- Erhalten: Das Wasserzeichen bleibt trotz kleiner Eingriffe nachweisbar.
- Abgeschwächt: Das Signal wird durch stärkere Bearbeitung unsicherer. Der Detektor findet noch Spuren, seine Aussage wird aber wackliger.
- Nicht mehr nachweisbar: Nach umfassender Neuformulierung oder externer Übersetzung reicht das Restsignal für eine verlässliche Erkennung nicht mehr aus.
Der Grund für diese Abstufung liegt in der Erkennung. Ein Detektor fällt ein statistisches Urteil über viele Tokens hinweg und wird umso sicherer, je länger der markierte Text ist. Jede Bearbeitung, die ursprüngliche Token-Entscheidungen ersetzt, nimmt ihm Material weg. Genau hier liegt auch das Missverständnis hinter vielen „KI-Wasserzeichen entfernen"-Tools. Werkzeuge, die einen Text nach unsichtbaren Sonderzeichen absuchen und diese löschen, entfernen bestenfalls Formatierungsreste. Das eigentliche statistische Wasserzeichen fassen sie gar nicht an, weil es in der ganz normalen Wortwahl steckt und kein einzelnes Zeichen ist. Ein sauberer Durchlauf durch so ein Tool sagt deshalb nichts darüber aus, ob das Signal noch vorhanden ist.
Wie gut lässt sich ein KI-Wasserzeichen entfernen?
Wie stark ein Wasserzeichen nach einer Bearbeitung noch nachweisbar ist, hängt vom Ausgangstext und vom Umfang der Änderungen ab. Kleine Eingriffe schwächen das Signal meist kaum, umfassende Paraphrasen oder Neuformulierungen deutlich stärker – verändern dabei aber auch den ursprünglichen Text. Bei kurzen, stark festgelegten Inhalten wie Zahlen, Fakten oder Code ist das Signal ohnehin schwächer als bei langen, frei formulierten Texten.
Ein nicht erkanntes Wasserzeichen bedeutet deshalb nicht automatisch, dass kein KI-Einsatz vorlag. Wasserzeichen und Kennzeichnung sind zudem zwei getrennte Dinge: Wo eine Kennzeichnung vorgeschrieben ist, ersetzt auch eine erfolgreiche Abschwächung des technischen Signals diese Pflicht nicht.
