EU‑KI‑Textwasserzeichen bleiben trotz neuer Vorgaben leicht zu entfernen

Artikel 50 der Europäischen KI‑Verordnung, der ab August 2026 verbindlich wird, verpflichtet Anbieter generativer KI‑Systeme, erkennbare Signale in KI‑generierten Inhalten zu verankern, „soweit technisch möglich“. Die Klausel sollte Behörden ein forensisches Handwerkzeug gegen nicht gekennzeichneten synthetischen Text geben.

In der Praxis kollidiert die Vorgabe mit der Natur von Text als stark komprimierbarem Medium. Das Ersetzen eines Wortes bei gleichbleibender Bedeutung, Stil und Lesbarkeit lässt kaum unsichtbaren Raum für ein verborgenes Muster, im Gegensatz zu Bildern, bei denen subtile Pixel‑Änderungen der Kompression standhalten.

Token‑basierte statistische Wasserzeichen

Googles SynthID veranschaulicht einen probabilistischen Ansatz zur Token‑Auswahl. Durch die Bevorzugung bestimmter Tokens während der Generierung entsteht ein statistischer Fingerabdruck, der von einem trainierten Klassifikator ohne sichtbare Markierung erkannt werden kann.

Die Zuverlässigkeit der Methode beruht auf der genauen Reihenfolge der Vokabelwahl. Wenn ein nachgelagerter Nutzer die Ausgabe umschreibt oder paraphrasiert, bricht der Fingerabdruck zusammen, weil die geänderte Token‑Reihenfolge nicht mehr der erwarteten Verteilung entspricht.

Unicode‑Homoglyph‑Wasserzeichen

Eine weitere vorgeschlagene Technik fügt Unicode‑Homoglyphen ein – Zeichen, die optisch identisch zu Standardzeichen sind, aber unterschiedliche Code‑Points besitzen, etwa ein geschütztes Leerzeichen, das wie ein normales Leerzeichen aussieht. Durch das verstreuen dieser unsichtbaren Zeichen im Dokument kann ein kostengünstiges Muster eingebettet werden.

Standard‑Textverarbeitungspipelines normalisieren Unicode routinemäßig und konvertieren alle Varianten in ihre kanonischen Formen. Diese automatische Normalisierung entfernt das Homoglyph‑Muster, ohne den sichtbaren Text zu beeinflussen, und löscht damit das Wasserzeichen effektiv.

Metadaten und C2PA‑Signaturen

C2PA‑Signaturen (Content Authenticity Initiative) können die Herkunft zertifizieren, wenn sie einer Datei beigefügt werden. Kopierter Klartext aus einem Chat‑Fenster verliert jedoch die begleitende Metadatendatei, und die Signatur lässt sich einfach entfernen, indem der Container, der sie enthält, gestrichen wird.

• Token‑Bias‑Wasserzeichen (z. B. SynthID) basieren auf statistischer Token‑Verteilung
• Homoglyph‑Einfügung nutzt visuell identische Unicode‑Zeichen
• Beide Techniken können durch Paraphrasieren oder Unicode‑Normalisierung entfernt werden
• C2PA‑Metadaten werden beim Kopieren von Text getrennt und können verworfen werden

Sean Goedeckes Blogbeitrag weist darauf hin, dass einige Anbieter mit Homoglyph‑Wasserzeichen experimentieren könnten, stellt diese Beobachtung jedoch als Spekulation und nicht als bestätigte Praxis dar. Das Fehlen offizieller Bestätigung unterstreicht die Unsicherheit hinsichtlich der Branchenadoption.

Der Fokus der EU auf Interoperabilität und Transparenz soll legitime Verifizierungen vereinfachen, schwächt jedoch paradoxerweise jede Schutzmaßnahme, die auf der Geheimhaltung des Wasserzeichnungs‑Algorithmus beruht. Ist die Erkennungsmethode öffentlich bekannt, können Gegner leichter Werkzeuge zur Entfernung entwickeln.

Die praktische Umsetzung des EU‑KI‑Acts erfordert von den Anbietern, dass sie ein technisches Verfahren zur Kennzeichnung generierter Texte implementieren, wobei die Vorgabe "soweit technisch möglich" eine erhebliche Interpretationsspiel‑ und Gestaltungsspielräume eröffnet. Aus dieser Formulierung resultiert, dass die Behörde zwar ein forensisches Werkzeug fordert, die Anbieter jedoch nur nachweisen müssen, dass ein Verfahren existiert, das im Idealfall ein erkennbares Signal erzeugt, ohne jedoch die Robustheit gegenüber üblichen Textbearbeitungsprozessen garantieren zu müssen. Diese offene Formulierung lässt Raum für unterschiedliche Interpretationen, was die rechtliche Durchsetzbarkeit und die tatsächliche Wirksamkeit der Kennzeichnung stark einschränkt.

Die beiden im Artikel beschriebenen Verfahren – tokenbasierte statistische Wasserzeichen und Unicode‑Homoglyph‑Einfügungen – beruhen jeweils auf spezifischen Annahmen über die Unveränderlichkeit des Textes. Beim tokenbasierten Ansatz wird ein statistischer Fingerabdruck erzeugt, der nur dann erhalten bleibt, wenn die exakte Token‑Sequenz unverändert bleibt. Jede Form von Paraphrasierung, Umschreibung oder sogar leichte stilistische Anpassung zerstört die ursprüngliche Verteilung und macht das Wasserzeichen unauffindbar. Analog dazu setzt das Homoglyph‑Verfahren auf die Annahme, dass die eingesetzten Unicode‑Varianten nicht von nachgelagerten Verarbeitungsschritten normalisiert werden. Da jedoch die meisten Textverarbeitungssysteme automatisch Unicode‑Normalisierung durchführen, wird das eingefügte Muster systematisch entfernt, was die Methode praktisch ineffektiv macht.

Die Möglichkeit, die Wasserzeichen durch einfache technische Mittel zu entfernen, wirft Fragen zur Verifizierbarkeit und Nachvollziehbarkeit von KI‑generierten Inhalten auf. Wenn ein Prüfer nur auf das Vorhandensein eines statistischen Fingerabdrucks oder auf das Vorhandensein von Homoglyph‑Zeichen zurückgreifen kann, muss er gleichzeitig sicherstellen, dass die zu prüfende Textprobe nicht bereits einer Bearbeitung unterzogen wurde, die das Wasserzeichen unwirksam macht. Ohne ein begleitendes, manipulationssicheres Metadaten‑Framework lässt sich die Herkunft eines Textes kaum eindeutig belegen, was die intendierte Zielsetzung des Gesetzes – Transparenz gegenüber den End‑Nutzern – unterminiert.

Die Analyse der Metadaten‑basierten C2PA‑Signaturen verdeutlicht einen weiteren Schwachpunkt: Sobald ein Text aus einer Umgebung kopiert wird, in der die Signatur eingebettet ist, verliert er die zugehörige Metadatendatei. Da die Signatur nicht Teil des eigentlichen Textinhalts ist, sondern in einem separaten Container gespeichert wird, kann sie durch triviale Operationen wie das Kopieren‑Einfügen in ein neues Dokument vollständig eliminiert werden. Dieser Verlust ist nicht nur technisch trivial, sondern auch rechtlich relevant, weil er die Möglichkeit ausschließt, die Herkunft des Textes nachträglich nachzuweisen, sobald er in einem anderen Kontext verwendet wird.

Der zentrale Befund aus den vorliegenden Analysen ist, dass jede Schutzmaßnahme, die auf einer geheimen oder proprietären Kennzeichnungsmethodik beruht, durch die Veröffentlichung der zugrunde liegenden Algorithmen schnell unterlaufen werden kann. Sobald die Funktionsweise eines Wasserzeichens öffentlich bekannt ist, können Entwickler gezielt Werkzeuge bauen, die die erkannten Muster entfernen oder verfälschen. Dieser Umstand führt zu einem paradoxen Effekt: Die angestrebte Transparenz wird durch die Offenlegung der Methode gleichzeitig zur Schwächung der Schutzmechanismen, was die regulatorische Wirksamkeit des EU‑KI‑Acts stark beeinträchtigt.

Für Unternehmen, die in Deutschland KI‑gestützte Textgenerierung einsetzen, bedeutet dies, dass Compliance‑Strategien nicht primär auf die technische Persistenz von Wasserzeichen setzen sollten, sondern vielmehr auf dokumentierte Prozesse, Audits und klare Offenlegungspflichten. Risiko‑Assessments sollten prüfen, in welchen Arbeitsabläufen Text generiert, weiterverarbeitet und veröffentlicht wird, und sicherstellen, dass in jedem Schritt nachvollziehbare Nachweise über die Herkunft und etwaige Kennzeichnungen vorhanden sind. Nur so kann ein robustes Rahmenwerk geschaffen werden, das den regulatorischen Anforderungen genügt, ohne sich ausschließlich auf leicht zu eliminierende technische Marker zu verlassen.

Für deutsche Unternehmen bedeutet das praktisch wenig. Compliance‑Teams müssen dokumentieren, dass ihre KI‑Systeme versuchen, ein erkennbares Signal einzubetten, können jedoch nicht darauf vertrauen, dass das Signal routinemäßige Bearbeitungen, Kopier‑Einfüge‑Vorgänge oder übliche Textverarbeitungsprozesse übersteht. Daher sollten Risiko‑Assessments eher auf Offenlegungspflichten und Audit‑Trails abzielen als auf die technische Haltbarkeit von Wasserzeichen.