OpenAI versteckt Wasserzeichen in ChatGPT-Texten

Wer einen Absatz aus ChatGPT kopiert und in ein leeres Dokument einfügt, sieht zunächst nichts Ungewöhnliches. Keine blassen Zeichen zwischen den Buchstaben, keine verdächtigen Leerstellen, keinen digitalen Stempel am Seitenrand. Der Text steht da wie jeder andere auch. Und doch kann sich in seiner Wortwahl künftig eine unsichtbare Spur verbergen.

OpenAI hat am 5. Oktober 2026 angekündigt, geeignete Textausgaben von ChatGPT und Codex in der Europäischen Union mit einem maschinenlesbaren Wasserzeichen zu versehen. In den Wochen nach der Ankündigung sollte das Verfahren schrittweise über sämtliche Tarife hinweg eingeführt werden. Im aktuellen Hilfecenter beschreibt das Unternehmen die Markierung bereits im Präsens, schränkt aber ein, dass die Abdeckung je nach Produkt, Modell, Ausgabepfad und Erstellungszeitpunkt variieren kann. Für Nutzer bleibt somit unsichtbar, ob eine konkrete Antwort die neue Signatur tatsächlich trägt. Recherchequelle: OpenAI→

Die Technik heißt textGrain. Ihr Name klingt nach feinem Korn, und das trifft die Idee erstaunlich gut: Das Wasserzeichen liegt nicht als einzelnes Merkmal im Text, sondern verteilt sich über viele kleine sprachliche Entscheidungen. Erst zusammen ergeben sie ein Muster.

Die Signatur steckt in der Wortwahl

Sprachmodelle schreiben nicht, indem sie einen fertigen Satz aus einem Speicher holen. Sie berechnen Schritt für Schritt, welches Wort oder welcher Wortteil als Nächstes wahrscheinlich passt. Für eine Fortsetzung kommen meist mehrere Möglichkeiten infrage. „Der Morgen war kühl“, „frisch“ oder „kalt“ können je nach Zusammenhang ähnlich plausibel sein.

An diesem Spielraum setzt textGrain an. Das System erzeugt mehrere leicht veränderte Verteilungen für die möglichen nächsten Token. Jede davon bevorzugt, abhängig von einem geheimen Schlüssel, bestimmte Auswahlmöglichkeiten. Der Schlüssel bestimmt, aus welcher Verteilung das Modell jeweils schöpft. Auf diese Weise entsteht über einen längeren Text hinweg eine statistische Regelmäßigkeit, die für einen Leser nicht sichtbar ist, von einem passenden Detektor aber erkannt werden kann.

Entscheidend ist, was dabei nicht geschieht. textGrain fügt keine unsichtbaren Unicode-Zeichen, zusätzlichen Leerstellen oder eigens für das Wasserzeichen erzeugten Token ein. Auch beim Kopieren in eine E-Mail, ein Textprogramm oder ein Redaktionssystem wird kein geheimer Anhang mitgeschleppt. Die Markierung steckt in den Formulierungen selbst. Wer nur nach verborgenen Sonderzeichen sucht, sucht an der falschen Stelle. Recherchequelle: OpenAI Help Center→

Hinter dieser scheinbar kleinen Verschiebung der Wortwahl steht ein beträchtlicher mathematischer Aufwand. OpenAI beschreibt textGrain als ein Verfahren mit einem sogenannten Entropiebudget. Vereinfacht gesagt legt dieses Budget fest, wie viel von der ursprünglichen Zufälligkeit der Textgenerierung für das Wasserzeichen geopfert werden darf. Ein stärkeres Signal erleichtert die spätere Erkennung, kann aber die Vielfalt möglicher Antworten verringern. Ein schwächeres Signal lässt dem Modell mehr Freiheit, ist dafür schwerer aufzuspüren.

Um beides auszubalancieren, ordnet textGrain mögliche Token in Schlüssel-abhängige Gruppen ein. Dabei verwendet es mathematische Methoden des optimalen Transports. Innerhalb einer ausgewählten Gruppe bleiben die relativen Wahrscheinlichkeiten der Wörter erhalten. Der Detektor rekonstruiert später mit demselben Schlüssel, welche Gruppen an den einzelnen Textstellen bevorzugt worden sein müssten, und prüft, ob die beobachteten Entscheidungen häufiger zum geheimen Muster passen, als es durch Zufall zu erwarten wäre. Er benötigt dafür weder den ursprünglichen Prompt noch das genaue Modell oder das beim Schreiben eingestellte Entropiebudget. Recherchequelle: textGrain Technical Report→

Ein Wasserzeichen braucht Platz

Eine einzelne Formulierung verrät wenig. Erst viele Entscheidungen ergeben ein belastbares statistisches Signal. Kurze Antworten sind deshalb ein schwieriges Terrain für textGrain. Auch Code, mathematische Lösungen und präzise Wiedergaben lassen dem Modell kaum sprachlichen Spielraum. Wenn nur wenige Fortsetzungen sinnvoll sind, kann das System seine Signatur nicht unauffällig genug in der Wortwahl verteilen.

OpenAIs eigene Tests zeigen diese Grenze deutlich. Bei einer angestrebten Falsch-Positiv-Rate von einem Prozent erkannte der Detektor das Wasserzeichen in bestimmten Texten mit 200 Token in ungefähr 80 Prozent der Fälle. Bei 400 Token stieg die Quote auf rund 95 Prozent. Für mathematische Antworten fiel die Erkennung wesentlich schwächer aus als für frei formulierbare Erklärungen aus dem Bereich Psychologie.

Das sind Ergebnisse unter kontrollierten Bedingungen, keine Garantie für den Alltag. Bereits eine überschaubare Überarbeitung kann die Spur verwischen. In einem Versuch mit englischen Passagen von 400 Token ersetzten die Tester zehn Prozent der Wörter durch Synonyme. Die Erkennungsrate sank dadurch von ungefähr 92 auf 66 Prozent. Nach dem Austausch eines Viertels der Wörter blieben nur noch 17 Prozent.

Das Wasserzeichen ist also am stärksten, wenn jemand eine längere ChatGPT-Ausgabe nahezu unverändert übernimmt. Je mehr ein Autor kürzt, übersetzt, umstellt oder neu formuliert, desto leiser wird das Signal. Ars Technica kommt deshalb zu einer nüchternen Einschätzung: Wie andere Textwasserzeichen sei auch textGrain nicht vollständig zuverlässig und mit überschaubarem Aufwand zu umgehen. Recherchequelle: Ars Technica→

Hinzu kommt ein europäisches Problem im wörtlichen Sinn. OpenAI hat die Erkennung für alle 24 Amtssprachen der EU untersucht und dabei deutliche Unterschiede festgestellt. Bei einer Falsch-Positiv-Rate von einem Prozent erreichte Spanisch zunächst eine Erkennungsrate von 69 Prozent, Rumänisch dagegen nur 42,2 Prozent. Das Unternehmen kann die Stärke des Signals für einzelne Sprachen anpassen. Dennoch zeigen die Werte, dass ein statistisches Wasserzeichen nicht in jedem sprachlichen Gelände gleich gut sichtbar bleibt.

Der passende Detektor bleibt unter Verschluss

Man könnte annehmen, dass mit dem Wasserzeichen auch ein öffentliches Prüfwerkzeug erscheint. Genau das geschieht vorerst nicht.

OpenAI beschränkt den Zugang zum Textdetektor auf ausgewählte Forscher und Fachorganisationen. Interessenten müssen sich bewerben, anschließend entscheidet das Unternehmen im Einzelfall. Als Grund nennt OpenAI die Gefahr von Fehlalarmen und übersehenen Markierungen. Anders als das Prüfwerkzeug für unterstützte Bilder und Audiodateien lässt sich die Textkontrolle nicht einfach über eine frei zugängliche Internetseite aufrufen.

Besonders bemerkenswert ist eine weitere Grenze: Für Anwendungen zur Kontrolle akademischer Integrität ist derzeit ausdrücklich kein Zugang vorgesehen. Ein Lehrer kann eine Hausarbeit also nicht bei OpenAI hochladen und sich bestätigen lassen, ob sie mit ChatGPT geschrieben wurde. Auch API-Kunden, die das Wasserzeichen weltweit für unterstützte Modelle aktivieren können, erhalten damit nicht automatisch den Schlüssel zum Detektor. Sie können ihre Ausgaben markieren lassen, aber nicht ohne Weiteres selbst überprüfen, ob die Markierung später noch vorhanden ist.

Diese Zurückhaltung ist mehr als eine Produktentscheidung. Sie berührt die Frage, wie schnell ein technischer Hinweis zu einem Urteil werden kann. Ein Detektor, der meist richtigliegt, kann im Einzelfall trotzdem einen Menschen falsch beschuldigen. Gerade dort, wo Prüfungen, Arbeitsplätze oder Veröffentlichungen auf dem Spiel stehen, wird aus einem Prozent Fehlerquote rasch ein ernstes Problem.

Herkunft ist nicht Urheberschaft

Selbst ein korrekt erkanntes Wasserzeichen sagt weniger aus, als sein Name vermuten lässt. Es zeigt nicht, dass ChatGPT einen vollständigen Text geschrieben hat. Das Modell könnte lediglich einen Absatz überarbeitet, einen Satz umformuliert oder einen vom Nutzer gelieferten Entwurf sprachlich geglättet haben.

Die Markierung enthält auch keine Kontonummer, keinen Namen und keinen Prompt. Sie identifiziert weder den Nutzer noch seine Organisation oder das Gespräch, aus dem der Text stammt. Ebenso wenig prüft sie, ob eine Aussage wahr ist, ob der Inhalt rechtmäßig verwendet wurde oder wem das Ergebnis gehört. Sie liefert einen Herkunftshinweis – keine digitale Zeugenaussage.

Auch die umgekehrte Schlussfolgerung wäre falsch. Findet der Detektor nichts, ist der Text nicht automatisch menschlich. Vielleicht wurde er übersetzt oder gründlich redigiert. Vielleicht war die Passage zu kurz. Sie könnte aus einem älteren oder nicht unterstützten OpenAI-Modell stammen – oder von einem ganz anderen Anbieter erzeugt worden sein. OpenAI selbst warnt deshalb davor, das Fehlen des Signals als Beweis menschlicher Urheberschaft zu behandeln.

Genau darin liegt die eigentliche Bedeutung von textGrain. OpenAI verwandelt seine Texte nicht in eindeutig versiegelte Dokumente. Das Unternehmen streut eine Herkunftsspur in ihre Sprache, fein genug, um beim Lesen nicht aufzufallen, und empfindlich genug, um bei einer gründlichen Bearbeitung zu verblassen.

Für unverändertes Kopieren kann diese Spur durchaus unbequem werden. Für die große Frage, wo menschliches Schreiben endet und maschinelle Hilfe beginnt, liefert sie dagegen keine klare Grenzlinie. Das unsichtbare Wasserzeichen erkennt ein Muster. Den Autor erkennt es nicht.

Weiterführende Informationen

Quellenhinweis: Einzelne Fakten, Einschätzungen und Prognosen dieses Beitrags stützen sich auf Veröffentlichungen der nachfolgend genannten Unternehmen und Institutionen. Die Links dienen zugleich der weiterführenden Information.

OpenAI – Unser Ansatz zu den EU-Regeln für Textherkunftsnachweise
Die Originalankündigung erläutert die schrittweise und tarifübergreifende Einführung von textGrain für geeignete ChatGPT- und Codex-Ausgaben in der EU.
https://openai.com/de-DE/index/eu-text-provenance/

Rohtext – Wie OpenAIs textGrain funktioniert: Das unsichtbare Wasserzeichen in ChatGPT-Texten
Die technische Vertiefung erklärt geheimen Schlüssel, Tokenblöcke, Entropiebudget, optimalen Transport und statistische Erkennung verständlich.
https://rohtext.de/ki/openais-textgrain-funktioniert-unsichtbare

OpenAI Help Center – Herkunftssignale in von OpenAI generierten Inhalten
Die Dokumentation beschreibt die Erkennungsgrenzen bei kurzen, übersetzten oder bearbeiteten Texten sowie den beschränkten Detektorzugang und den Ausschluss akademischer Integritätskontrollen.
https://help.openai.com/de-de/articles/8912793-provenance-signals-in-openai-generated-content