Claude Wasserzeichen entfernen:
Vier Stunden bis zum ersten Tool

Wer das Claude Wasserzeichen entfernen will, findet dafür inzwischen Dutzende Werkzeuge, doch ob auch nur eines davon wirkt, kann derzeit niemand nachprüfen. Vier Stunden nach Anthropics Ankündigung vom 11. August 2026 legte der Entwickler Guillaume Meyer das Open-Source-Projekt watermarks-remover auf GitHub an. Bis zum 20. September sammelte es 22.377 Sterne. Dazu erschienen Nachahmer-Projekte, Browser-Reiniger und Bezahldienste mit vollmundigen Versprechen.

Anthropic hat die angekündigte Erkennungs-Schnittstelle bis heute nicht veröffentlicht. Ohne sie lässt sich weder beweisen noch widerlegen, dass ein Tool die Markierung tatsächlich beseitigt. Die Fachseite BleepingComputer bringt es in ihrer Analyse der Wasserzeichen-Entferner auf den Punkt: Fast keines der Angebote könne seine Wirkung belegen. Dieser Artikel zeigt, was die Werkzeuge wirklich leisten, woran Sie Abzocke erkennen und was die Forschung über das Entfernen statistischer Wasserzeichen weiß. Wie die Markierung selbst funktioniert, erklärt unser Artikel zum Claude Wasserzeichen und seiner Technik.

Vier Stunden nach der Ankündigung stand das erste Tool auf GitHub

Das Repository watermarks-remover auf GitHub wurde am 11. August 2026 um 16:32 Uhr Weltzeit angelegt, laut Berichten von heise online zum Entferner-Tool rund vier Stunden, nachdem sich die Wasserzeichen-Ankündigung über Anthropics Support-Dokument verbreitet hatte. Urheber Guillaume Meyer ist Gründer von Memo, einer KI-Plattform für E-Commerce-Marken, und beschreibt sein Werkzeug als „privatsphäre-orientierte App, die KI-Wasserzeichen aus Inhalten entfernt, die Ihnen gehören“. Es steht unter der freien MIT-Lizenz und richtet sich gegen die Markierungen mehrerer Anbieter, neben Claude auch gegen SynthID von Google Gemini und Herkunftsdaten von OpenAI.

Am 13. August zählte das Fachportal Implicator.ai in seinem Bericht über das GitHub-Tool gut 4.100 Sterne, am 1. September waren es 19.763. Seitdem kamen weitere 2.614 dazu, am 20. September weist die GitHub-Schnittstelle 22.377 Sterne, 2.586 Abspaltungen und 44 Mitwirkende aus. Meyer stellt sich nach eigenen Worten nicht gegen Kennzeichnung an sich.

Ich bin nicht gegen Transparenz, ich bin tatsächlich für die Attribution von Inhalten. Ich glaube nur, dass Wasserzeichen eine wirklich schlechte Lösung dafür sind.

Guillaume Meyer, Entwickler von watermarks-remover, zitiert nach heise online

Die ersten sechs Wochen des Wettlaufs im Überblick.

Zahlen laut GitHub-Schnittstelle (Stand 20. September 2026) sowie den verlinkten Berichten von BleepingComputer, Implicator.ai, The Next Web und heise online.

Metadaten löschen klappt, das Text-Wasserzeichen bleibt Glückssache

Das Tool arbeitet auf zwei Ebenen, und nur eine davon ist überprüfbar. Bei Dateien wie PNG-, JPG- oder PDF-Dokumenten löscht es die signierten C2PA-Herkunftsdaten samt EXIF- und XMP-Metadaten. Das ist technisch seit Jahrzehnten ein gelöstes Problem und lässt sich mit Prüfwerkzeugen wie der Verify-Seite der Content-Credentials-Initiative kontrollieren. Für Texte bietet es eine „Unicode-Hygiene“, die unsichtbare Sonderzeichen entfernt, und ein Umschreiben durch ein fremdes KI-Modell, das die statistischen Muster in der Wortwahl verwässern soll.

Das eigentliche Claude-Wasserzeichen ist ein statistisches KI-Wasserzeichen in der Wortwahl selbst. Es nutzt nach Anthropics Angaben keinerlei versteckte Zeichen. Die Unicode-Reinigung vieler Tools zielt also auf Markierungen, die Claude gar nicht setzt. Und ob das Umschreiben die Markierung wirklich tilgt, kann ohne Anthropics geheimen Schlüssel niemand messen. Die Projekt-Dokumentation von watermarks-remover räumt das selbst ein. Solange die Anbieter keine öffentlichen Detektoren samt Schlüsseln ausliefern, heißt es dort übersetzt, könne „kein Werkzeug ehrlich bescheinigen, dass ein Text durch die offizielle Prüfung fällt“. Das Umschreiben hat außerdem seinen Preis: Es ersetzt die ursprüngliche Wortwahl durch die des umschreibenden Modells und glättet damit Ton, Stimme und Präzision.

Einordnung auf Basis der Projekt-Dokumentation von watermarks-remover, der Anthropic-Angaben zur Funktionsweise und der verlinkten Berichte von BleepingComputer und Gadget Review.

Wer einen Claude-Text ausgerechnet von Claude umschreiben lässt, erneuert die Markierung laut der Werkzeug-Dokumentation im selben Arbeitsgang. Für das Verwässern kommt deshalb nur ein Modell eines anderen Anbieters infrage, dessen eigene Kennzeichnung der Text dann allerdings tragen kann.

Nachahmer, Web-Dienste und Abzocke mit erfundenen Erfolgsquoten

Um das Meyer-Tool herum ist binnen Tagen ein ganzer Markt entstanden. Auf GitHub liegen weitere Projekte wie claude-watermark-cleaner mit 144 Sternen, das laut GitHub-Daten sogar Stunden vor watermarks-remover angelegt wurde, und mehrere kleinere Nachzügler. Im Netz gingen frisch registrierte Web-Dienste mit Namen wie claudewatermark.rip oder claudewatermarkremover.app online, und etablierte Umgehungs-Anbieter wie StealthGPT nahmen den „Claude-Wasserzeichen-Bypass“ in ihre Funktionslisten auf. Zwei häufig als Nachahmer genannte Projekte sind übrigens gar keine: Die Repositories remove-ai-watermarks und noai-watermark existierten laut GitHub-Daten schon Monate vor dem Claude-Wasserzeichen und zielten ursprünglich auf Bild-Markierungen wie SynthID.

Der US-Kolumnist Lance Eliot warnt in seinem Forbes-Beitrag über Lügen und Betrug bei Entferner-Apps, unter den Angeboten fänden sich Abzocke und teils Schadsoftware. Das Technik-Portal Gadget Review testete mehrere kostenlose Browser-Werkzeuge und fasst das Ergebnis in seinem Testbericht der Claude-Entferner-Tools spöttisch zusammen: Die Dienste versprächen viel und lieferten am Ende einen entfernten Gedankenstrich. Der Entwickler Pasquale Pillitteri hat den Code von fünf dieser Projekte gelesen und mit eigenen Test-Zeichenketten geprüft. In seinem Praxistest der GitHub-Entferner fand er einen Reiniger, der bestimmte unsichtbare Zeichen unangetastet durchlässt, und ein Werkzeug, das beim Säubern Emojis und japanische Namen beschädigt. Ob das statistische Wasserzeichen wirklich verschwindet, könne kein Tool selbst bestätigen, das hänge allein vom Prüfsystem des jeweiligen Anbieters ab.

Den Detektor gibt es jetzt, aber nur für Behörden und Redaktionen

Die Erkennungs-Schnittstelle, mit der sich das Wasserzeichen nachweisen ließe, hatte Anthropic im Blogpost zur Wasserzeichen-Technik vom 14. August nur „bald“ in Aussicht gestellt. Inzwischen gibt es sie, allerdings hinter verschlossener Tür. Das Support-Dokument zur Kennzeichnung von Claude-Inhalten führt die Erkennung als geschlossene Vorschau und nennt als Zugangsberechtigte jene Stellen, die nach EU-Recht dazu verpflichtet sind. Aufgezählt werden Aufsichtsbehörden, Strafverfolgung, Medien, Faktenchecker, unabhängige Forschung, Bildungseinrichtungen und zivilgesellschaftliche Organisationen aus der EU, dazu Unternehmen mit eigenen Nachweispflichten. Wer dazugehört, meldet sein Interesse über ein Formular an. Einen Termin für eine allgemeine Freigabe nennt Anthropic nicht, das Unternehmen will den Zugang nach eigenen Angaben mit der Zeit ausweiten.

Für alle anderen ändert sich damit nichts. Wer als Nutzer wissen will, ob ein Text markiert ist, hat weiterhin kein Werkzeug in der Hand, und kein Anbieter eines Entferners kann seine Wirkung an Claudes echter Textmarke messen. Nur für Dateien bietet Anthropic inzwischen einen frei zugänglichen Prüfer für Content Credentials an, der die signierten Herkunftsdaten ausliest. Prüfen kann Anthropic selbst, dazu seit September ein kleiner Kreis von Behörden, Redaktionen und Forschungseinrichtungen.

Seit dem 12. September löst immerhin ein kleines Werkzeug einen Teil der Beweisnot auf. Der unmark-checker auf GitHub dreht dafür die Prüfrichtung um. Statt zu fragen, ob Claudes Markierung verschwunden ist, setzt er mit einem selbst gewählten Schlüssel ein Wasserzeichen nach dem offen dokumentierten SynthID-Verfahren in einen Text. Dieser geht anschließend durch das zu prüfende Werkzeug, und der Prüfer misst, was zurückkommt. Weil der eigene Schlüssel bekannt ist, lässt sich der Rest exakt beziffern, dazu Bedeutungstreue, Faktentreue und Längenänderung. Das Projekt benennt seine Grenze selbst, niemand außerhalb eines Anbieters könne dessen Marke lesen, dieses Werkzeug ebenso wenig. Gemessen wird damit die Mechanik, nicht Claudes echtes Wasserzeichen. Das Hauptprojekt watermarks-remover hat den Prüfer am 15. September in sein Umfeld aufgenommen.

In den Messreihen, die der Betreiber veröffentlicht, blieb die gesetzte Marke bei mehreren der einfachen Web-Dienste vollständig erhalten, ebenso bei der reinen Zeichen-Reinigung des großen Projekts. Erst das Umschreiben drückte sie in den meisten Läufen unter die Nachweisschwelle, wobei ein als Umschreiber beworbener Dienst die Marke ebenfalls unangetastet zurückgab und zwei weitere Läufe im Graubereich landeten. Einschränkend gilt, dass der Betreiber der Prüfseite selbst einen Entferner anbietet und diesen in derselben Tabelle auf Platz eins führt.

Aufgehalten hat die ungeklärte Beweislage den Zustrom zu den Werkzeugen nicht.

Auf der Entwickler-Plattform Hacker News blieb Meyers eigene Vorstellung des Tools mit 4 Punkten fast unbeachtet, die große Diskussion mit 69 Kommentaren lief dort zur Technik-Offenlegung von Anthropic. Die Reichweite des Projekts kommt aus sozialen Netzwerken und der Presse, von The Next Web über Forbes bis zu heise online und t3n. Eine ausführliche englischsprachige Aufarbeitung der ersten 48 Stunden liefert die Hackernoon-Analyse zum Wettlauf um das Claude-Wasserzeichen.

Die Forschung sagt: Umschreiben wirkt, kostet aber den Text

Dass gründliches Umformulieren statistische Wasserzeichen schwächt, ist wissenschaftlich gut belegt. Die Grundlagen-Studien zur Haltbarkeit solcher Markierungen, darunter die Maryland-Arbeit mit dem 800-Token-Befund und der Harvard-Unmöglichkeits-Beweis, haben wir im Forschungs-Abschnitt des Wasserzeichen-Artikels ausführlich dargestellt. Seit Juli 2026 gibt es dazu frische Zahlen, die direkt das Verfahren betreffen, auf dem Claudes Markierung aufbaut.

Eine Studie zur Gerichtsfestigkeit von KI-Wasserzeichen testete im Juli 2026 drei Verfahren, darunter die SynthID-Text-Methode, in 846 Paraphrase-Durchläufen. Das Umschreiben entfernte die SynthID-Markierung in 98,3 Prozent der Fälle, die beiden anderen Verfahren fielen komplett. Beunruhigender für den Alltag ist der zweite Befund, der Detektor stufte 5,4 Prozent der umformulierten Texte von Menschen fälschlich als KI-markiert ein. Als Beweismittel vor Gericht, so das Fazit der Autoren, tauge keines der geprüften Verfahren. Weitere Arbeiten aus den Jahren 2025 und 2026 beschreiben gezielte Angriffe auf SynthID-Text und schlagen zugleich robustere Nachfolger vor, der Wettlauf läuft also auch in der Wissenschaft. Der ETH-Forscher Thibaud Gloaguen formuliert es gegenüber The Next Web grundsätzlich, Wege zum Entfernen werde es immer geben.

Seit September liegt dazu eine Arbeit vor, die Claudes Markierung soweit ersichtlich als erste ausdrücklich in den Mittelpunkt stellt. Das Team um Alexander Nemecek argumentiert in der Untersuchung Watermarks Without Verification zur Kennzeichnung nach dem EU AI Act vom 9. September, das eigentliche Versagen liege nicht im Wasserzeichen, sondern darin, dass sich weder die Kritik daran noch die Zusagen des Herstellers unabhängig prüfen lassen. Für ihre Messungen mussten die Autoren auf die offene SynthID-Umsetzung und frei verfügbare Modelle ausweichen, weil kein öffentliches Werkzeug die ausgelieferten Systeme testen kann. Bei Fließtext fanden sie keinen Qualitätsunterschied, der über den Effekt einer anderen Zufallszahl hinausgeht. Bei Programmcode kostete die Markierung auf einem Modell drei Punkte Korrektheit, während die Erkennung dort kaum über dem Zufallsniveau lag.

Version 0.7.0 von watermarks-remover vom 3. September holt das Umschreiben in den Dienst selbst, erweitert ihn auf Audio- und Video-Dateien und bringt ein Modul mit, das fremde Wasserzeichen-Muster von außen nachzubauen versucht. Genau diesen Ansatz nimmt eine zweite Arbeit vom 15. September auseinander. Die Gruppe um Kairong Li führt in MarkSec zur Bewertung von Angriffen auf Sprachmodell-Wasserzeichen ein Erfolgsmaß ein, das nur zählt, was die Textqualität übersteht. In einer Fallstudie zu einer Wasserzeichen-Familie schneiden die Nachbau-Verfahren unter dieser Auflage häufig schlechter ab als schlichtes Umformulieren. Umformulieren bleibt über die geprüften Familien hinweg ein starker Vergleichsmaßstab, sein Vorsprung fällt je nach Familie aber unterschiedlich aus.

Anthropic selbst schreibt im Technik-Blogpost, leichtes Redigieren entferne die Markierung vermutlich nicht vollständig, ein kompletter Neuschrieb dagegen schon, wobei ein Wort für Wort ersetzter Text kaum noch als KI-generiert gelten könne. Die Entferner-Doku beschreibt denselben Zielkonflikt aus der Gegenrichtung, wer umschreiben lässt, tauscht die Präzision des Originals gegen die Wortwahl des Zweitmodells. Wer also einen Claude-Text durch die Umschreib-Maschine schickt, bekommt am Ende einen anderen, in der Regel schlechteren Text zurück.

Update vom 6. Oktober 2026: OpenAI liefert jetzt eigene Zahlen dazu, wie viel Umschreiben ein statistisches Wasserzeichen verträgt. Beim ChatGPT-Verfahren textGrain fiel die Erkennung bei 400-Token-Passagen von 92 auf 66 Prozent, sobald jedes zehnte Wort durch ein Synonym ersetzt wurde, und auf 17 Prozent bei jedem vierten Wort. Die vollständigen Messwerte stehen im Artikel zum ChatGPT Wasserzeichen in der EU.

Verboten ist das Entfernen nicht, anders als beim Kopierschutz

Der EU AI Act nimmt in Artikel 50 die Anbieter in die Pflicht, ihre KI-Inhalte maschinenlesbar zu kennzeichnen. Ein Verbot für Nutzer oder Dritte, solche Markierungen zu entfernen, enthält die Verordnung nicht. Auch eine Regel gegen Umgehungs-Werkzeuge, wie sie das US-Urheberrecht mit dem DMCA seit 1998 für Kopierschutz kennt, fehlt im KI-Recht bislang. Der freiwillige EU-Kennzeichnungs-Kodex verlangt von unterzeichnenden Anbietern laut Kanzlei-Analysen, das absichtliche Entfernen in ihren Nutzungsbedingungen zu untersagen und selbst keine Umgehungs-Werkzeuge zu vermarkten. Verstöße von Nutzern sind damit eine Vertragsfrage zwischen Anbieter und Kunde. Alle Pflichten und Fristen der Verordnung erklärt unser Überblick zum EU AI Act.

Als der Norweger Jon Lech Johansen 1999 an der DVD-Entschlüsselung DeCSS mitwirkte, folgten Hausdurchsuchung und Anklage, erst 2003 wurde er endgültig freigesprochen. Den russischen Programmierer Dmitry Sklyarov brachte ein Werkzeug gegen Adobes E-Book-Schutz 2001 nach einem Vortrag in Las Vegas sogar in US-Haft. Gegen die Wasserzeichen-Entferner von 2026 ist nichts dergleichen bekannt, das größte Projekt liegt sechs Wochen nach dem Start unbehelligt auf GitHub, der letzte Code-Stand stammt vom 16. September. Anthropic hat sich zu den Tools öffentlich nicht geäußert und ließ laut The Next Web auch Fragen von Business Insider dazu unbeantwortet.

Die Hackernoon-Analyse argumentiert, das Wasserzeichen sei als Signal über Milliarden von Inhalten gedacht und nicht als Beweis im Einzelfall. Es bleibe deshalb auch dann aussagekräftig, wenn ein kleiner Teil der Nutzer es gezielt entfernt. Für die Gegenprobe fehlt der Öffentlichkeit weiterhin der Detektor, und solange er nur einem geschlossenen Kreis offensteht, bleibt der Streit um Wirkung und Wirkungslosigkeit eine Glaubensfrage.

Häufige Fragen zum Entfernen des Claude Wasserzeichens