KI-Wasserzeichen entfernen: was wirklich geht

«KI-Wasserzeichen entfernen» meint fast immer eine von drei Sachen. Der Unterschied entscheidet, ob das Entfernen restlos gelingt oder nur teilweise.

Ohne Befund entfernt man blind. Der Detektor auf der Startseite zeigt alle drei Spuren nebeneinander: typische KI-Floskeln als Stilindiz, die Wortverteilung als Methodik-Demonstration und unsichtbare Zeichen als eindeutigen Treffer mit Position im Text.

Das ist der einzige Teil, der zu 100 Prozent funktioniert. Zu entfernen sind Zero-Width-Zeichen (U+200B bis U+200D), das Word Joiner (U+2060), Variation Selectors (U+FE00 bis U+FE0F sowie U+E0100 ff.), Tag-Zeichen (U+E0000 ff.), bidirektionale Steuerzeichen und der Soft Hyphen (U+00AD).

Zusätzlich lohnt eine Normalisierung: geschützte Leerzeichen auf normale Leerzeichen, typografische Anführungszeichen und Gedankenstriche vereinheitlichen, kyrillische Homoglyphen wie «а» oder «е» auf die lateinischen Buchstaben zurückführen. Danach ist der sichtbare Text unverändert, die Datei aber sauber.

Achtung: Zero-Width-Zeichen sind in manchen Sprachen und in Emoji-Sequenzen inhaltlich nötig. Pauschal löschen kann Emojis zerlegen oder Schriftsysteme beschädigen.

Hier gibt es keinen Trick. Das Wasserzeichen steckt in der Wortwahl selbst: Das Modell hat beim Schreiben systematisch Wörter aus einer geheimen Liste bevorzugt. Solange dieselben Wörter in derselben Reihenfolge stehen, bleibt die Häufungsanomalie messbar.

• Übersetzen in eine andere Sprache löscht das Signal praktisch vollständig.
• Substanzielles Umschreiben Satz für Satz zerstört es meist.
• Leichtes Lektorat, Formatierung oder Copy-Paste ändern gar nichts.
• Sehr kurze Texte unter etwa 75 bis 100 Wörtern liegen ohnehin unter der Nachweisschwelle.

Wichtig: Umschreiben entfernt das Wasserzeichen, aber nicht den Stil. Typische Floskeln, Dreierlisten und Gegensatzformeln überleben eine oberflächliche Paraphrase – deshalb prüft Spur 1 im Detektor genau diese Muster separat.

Bilder, PDFs und Office-Dokumente tragen die Herkunft oft ausserhalb des Inhalts: C2PA bzw. Content Credentials als signiertes Manifest, dazu EXIF, XMP und Dokument-Eigenschaften. Betroffen sind unter anderem PNG, JPEG, WebP, SVG, PDF, DOCX, ODT, HTML und Markdown.

Diese Daten lassen sich entfernen. Die Signatur wird dadurch nicht gefälscht, sondern fehlt – prüfende Systeme sehen dann «keine Provenienz» statt «verifiziert». Bei Bildern gilt ausserdem: Ein zusätzlich eingebettetes Pixel-Wasserzeichen der SynthID-Klasse steckt nicht in den Metadaten und bleibt bestehen.

Alle drei Ebenen habe ich in einem Skill zusammengefasst, der die Prüfung und die Bereinigung in einem Durchlauf macht.

Ein bereinigter Text ist kein Beweis für menschliche Autorschaft, und ein sauberer Detektorbefund ist kein Freibrief. Sinnvoll ist das Entfernen für eigene Inhalte, Datenschutz, Dateihygiene und Forschung. Wer damit Transparenzpflichten – etwa aus dem EU AI Act – oder Hochschul- und Arbeitgeberregeln umgeht, handelt regelwidrig, unabhängig davon, ob es technisch klappt.