Hat ChatGPT ein Wasserzeichen? Ein Blick in 33 echte Antworten

Für ChatGPT ist kein ausgeliefertes Text-Wasserzeichen dokumentiert: OpenAI beschreibt Text-Wasserzeichen in seiner eigenen Veröffentlichung als erforschtes und abgewogenes Verfahren. In 33 echten Antworten der ChatGPT-API vom 20.09.2026 fanden wir zudem kein einziges unsichtbares Zeichen. Statistische Wasserzeichen wie Googles SynthID-Text stecken ohnehin in der Wortwahl, nicht in Sonderzeichen.

Die Debatte darüber ist deshalb so zäh, weil drei völlig verschiedene Dinge denselben Namen tragen. Sie sitzen an unterschiedlichen Stellen, sie überleben unterschiedliche Behandlungen, und nur eines davon lässt sich von außen überhaupt prüfen. Wer sie auseinanderhält, hat die meisten Fragen zu diesem Thema schon beantwortet.

Drei Dinge, die Fingerabdruck genannt werden

	Dateimetadaten	Unsichtbare Zeichen	Statistisches Wasserzeichen
Was es ist	Felder im Dateicontainer: Autor, erzeugendes Programm, Zeitstempel, bei Bildern ein signiertes C2PA-Credential	Zeichen ohne eigene Breite oder mit ungewöhnlicher Kodierung: Zero-Width-Zeichen, geschützte Leerzeichen, weiche Trennzeichen, BOM, Bidi-Marken	Eine Verzerrung der Wortwahl beim Erzeugen. Das Verfahren ändert laut Nature-Papier „only the sampling procedure“
Wo es sitzt	Um den Text herum, nicht im Text	Im Zeichenstrom selbst, zwischen den sichtbaren Buchstaben	In der Reihenfolge und Auswahl der Wörter
Überlebt Copy-Paste	Nein. Kopiert wird der Text, der Container bleibt zurück	Ja	Ja, weil der Wortlaut mitkopiert wird
Überlebt Formatkonvertierung	Nein. Ein anderes Format hat andere Felder oder gar keine	In der Regel ja; manche Konverter vereinheitlichen Leerzeichen, das ist aber Werkzeugverhalten und keine Regel	Ja. Die Wörter bleiben dieselben, also bleibt auch die Verzerrung
Haben wir es gemessen	Nein. Betrifft Dateien, nicht Chatantworten	Ja, siehe unten: 33 Antworten, null Treffer	Nein, geht nicht von außen. Der Nachweis braucht den Schlüssel des Anbieters

Die Zeile zur Formatkonvertierung erklärt den populärsten Irrtum zu diesem Thema, und darauf kommen wir weiter unten zurück.

Was ein statistisches Wasserzeichen ist, und für welches Modell es belegt ist

Ein Sprachmodell wählt jedes Wort aus einer Wahrscheinlichkeitsverteilung über mögliche nächste Bausteine. Ein statistisches Wasserzeichen greift genau dort ein: Es verschiebt diese Auswahl systematisch, gesteuert von einem Schlüssel, und zwar so, dass der Text für Leser unverändert wirkt, die Verschiebung aber messbar bleibt, wenn man den Schlüssel kennt.

Die maßgebliche Veröffentlichung dazu ist Dathathri et al., Scalable watermarking for identifying large language model outputs (Nature 634, 818–823, 2024), die SynthID-Text beschreibt. Wir haben das Papier am 20.09.2026 im Original aufgerufen. Was dort belegt ist:

• Das Verfahren verändert nach eigener Beschreibung ausschließlich den Sampling-Vorgang und lässt das Training des Modells unberührt. Es fügt dem Text nichts hinzu.
• Das Papier ordnet Verfahren, die „inserting special Unicode characters“ nutzen, ausdrücklich einer anderen Kategorie zu: dem nachträglichen Bearbeiten bereits erzeugten Texts. Die beiden Ansätze werden dort getrennt geführt, nicht vermischt.
• Der Nachweis benötigt den tokenisierten Text, den Wasserzeichen-Schlüssel und den Zufallsgenerator des Verfahrens. Zugriff auf das Modell selbst ist nicht nötig, Zugriff auf den Schlüssel dagegen schon.
• Ausgeliefert wurde es in Gemini und Gemini Advanced. Die Autoren bezeichnen das nach eigenem Kenntnisstand als erste Ausbringung eines generativen Text-Wasserzeichens in diesem Maßstab. Das Feld-Experiment wertete Rückmeldungen aus knapp 20 Millionen Gemini-Antworten aus, und zwar zur Textqualität.
• Googles eigene Produktseite zu SynthID, abgerufen am 20.09.2026, nennt als Oberfläche die Gemini-App und das Web-Erlebnis und beschreibt die Methode als Anpassung der Wahrscheinlichkeitswerte einzelner Textbausteine.

Und was dort nicht steht, ist mindestens ebenso wichtig: Das Papier trifft keine Aussage über ChatGPT. Es handelt von einem Verfahren und von dessen Ausbringung bei Google. Wer daraus ableitet, dass KI-Texte allgemein markiert seien, hat etwas hineingelesen, was nicht darin steht.

Die Grenzen benennen die Autoren selbst. Generative Wasserzeichen setzen voraus, dass der Anbieter mitspielt; bei frei verteilten Modellen lässt sich das nicht durchsetzen. Sie sind anfällig für gezielte Angriffe und werden durch Umschreiben des Texts geschwächt. Und die Nachweisbarkeit hängt an zwei Größen: an der Textlänge, weil längere Texte mehr Belege enthalten, und an der Entropie der Verteilung. Antwortet ein Modell auf eine Frage fast immer mit derselben Formulierung, bleibt kaum Spielraum, in dem sich ein Wasserzeichen unterbringen ließe. Kurze, faktisch festgelegte Antworten sind also der schwierigste Fall.

Was OpenAI selbst geschrieben hat

Die einzige Herstelleraussage, die wir am 20.09.2026 im Original lesen konnten, steht in der OpenAI-Veröffentlichung Understanding the source of what we see and hear online vom 07.05.2024 samt Nachtrag vom 04.08.2024. Darin beschreibt OpenAI, ein Verfahren zur Textmarkierung entwickelt zu haben, das weiterhin gegen Alternativen abgewogen werde. Zwei Gründe nennt das Unternehmen selbst: Das Verfahren halte gezieltem, großflächigem Umschreiben nicht stand, und es könne bestimmte Gruppen unverhältnismäßig treffen, ausdrücklich genannt werden Menschen, die nicht in ihrer Muttersprache schreiben. Parallel wird Metadaten als Weg untersucht, ausdrücklich in einem frühen Stadium.

Für Bilder ist die Lage anders und dokumentiert: OpenAI beschreibt dort C2PA-Metadaten, die unter anderem das verwendete Werkzeug und die vorgenommenen Bearbeitungsschritte festhalten. Das ist die erste Spalte unserer Tabelle, nicht die zweite oder dritte, und es betrifft Bilddateien, nicht Chatantworten.

Wir haben keine OpenAI-Dokumentation gefunden, die besagt, dass ausgegebener ChatGPT-Text ein Wasserzeichen trägt. Das ist kein Beweis, dass es keines gibt. Es heißt: Die Behauptung hat derzeit keine Herstellerquelle, und die Belege, die in deutschen Übersichten dafür angeführt werden, stammen durchweg von Dritten.

Unsere Messung: 33 echte Antworten, gescannt

Wir betreiben eine Pipeline, die Kauffragen über die offiziellen Schnittstellen an KI-Systeme stellt und auszählt, welche Marken in den Antworten genannt werden. Die Rohantworten aus diesen Läufen liegen bei uns protokolliert, unverändert, mit Zeitstempel. Für diesen Text haben wir sie einmal nach etwas ganz anderem durchsucht.

Stichprobe: 11 Läufe vom 20.09.2026, insgesamt 33 Antworten, 19.800 Zeichen Antworttext. Sprachverteilung: 6 Antworten Deutsch, 21 Englisch, 6 Japanisch. Engine war ChatGPT über die offizielle API, mit dem Modell, das unsere Pipeline an diesem Tag voreingestellt hatte (gpt-5-mini).

Verfahren: Wir haben die Zeichenklasse verwendet, die unsere eigene Redaktionsprüfung auf veröffentlichte Texte anwendet, und die Antworten Zeichen für Zeichen dagegen gehalten. Die Klasse umfasst 19 Zeichen: Zero-Width Space, Zero-Width Non-Joiner, Zero-Width Joiner, Word Joiner, BOM, weiches Trennzeichen, sechs Leerzeichen- und Füllzeichenvarianten sowie sieben Bidi-Steuerzeichen. Zusätzlich haben wir einen weiteren Durchgang gemacht, der jedes Zeichen außerhalb des ASCII-Bereichs protokolliert, das weder Buchstabe noch Ziffer ist.

Ergebnis:

Zeichen	Was es ist	Deutsch (6)	Englisch (21)	Japanisch (6)
U+200B, U+200C, U+200D, U+2060	Zero-Width-Zeichen	0	0	0
U+00A0, U+202F	Geschütztes und schmales geschütztes Leerzeichen	0	0	0
U+2007, U+2009, U+200A, U+3164	Weitere Leerzeichen- und Füllzeichenvarianten	0	0	0
U+00AD	Weiches Trennzeichen	0	0	0
U+FEFF	Byte Order Mark	0	0	0
U+200E, U+200F, U+202A–U+202E	Bidi-Steuerzeichen	0	0	0
U+2011	Geschützter Bindestrich (sichtbar)	34	23	0

Kein einziger Treffer in der Klasse, um die es in dieser Diskussion geht. Speziell das schmale geschützte Leerzeichen U+202F, das in deutschen Beiträgen zu diesem Thema regelmäßig als der Marker genannt wird, kommt in diesen 19.800 Zeichen kein einziges Mal vor.

Gefunden haben wir stattdessen etwas, das gar nicht unsichtbar ist. Der geschützte Bindestrich U+2011 steht in allen sechs deutschen Antworten, in zehn der 21 englischen und in keiner japanischen. Er sitzt praktisch immer in zusammengesetzten Wörtern: ELSTER‑Schnittstelle, DATEV‑Export, HR‑Tools, Self‑Service. Das ist keine Markierung. Der geschützte Bindestrich ist ein gewöhnliches typografisches Zeichen mit einer klaren Funktion, nämlich einen Umbruch an dieser Stelle zu verhindern, und er wird auch in professionell gesetzten deutschen Texten verwendet, die nie ein Modell gesehen haben. Er trägt keine Information, es gibt nichts zu dekodieren, und dass er hier auftritt, sagt etwas über die Satzgewohnheiten eines Modells und nichts über die Herkunft eines beliebigen fremden Texts.

Was diese Messung nicht hergibt. Es sind Auszüge, jeweils bei 600 Zeichen abgeschnitten, nicht die vollständigen Antworten. Es ist ein Anbieter, ein Modell, ein Tag. Es ist die Programmierschnittstelle und nicht die Weboberfläche von ChatGPT, und die beiden Wege durchlaufen nicht zwangsläufig dieselbe Nachbearbeitung. Ein Negativbefund über diese Stichprobe ist eine Aussage über diese Stichprobe. Wer behauptet, in seinem Text aus der Weboberfläche ein U+202F gefunden zu haben, wird dadurch nicht widerlegt. Widerlegt wird nur die Verallgemeinerung, jeder ChatGPT-Text trage solche Zeichen: Für 33 echte Antworten gilt sie nachweislich nicht.

Was eine Formatkonvertierung wirklich verändert

Der Ratschlag, einen Text einmal durch eine Umwandlung ins reine Textformat zu schicken, geistert durch fast jede Diskussion zu diesem Thema. Sachlich betrachtet passiert dabei Folgendes, Schicht für Schicht.

Die Dateimetadaten verschwinden, weil sie nie im Text standen. Autor, erzeugendes Programm und Zeitstempel sind Felder des Containers; ein Format ohne diese Felder kann sie nicht mitführen. Wer seinen Text ohnehin aus einem Chatfenster kopiert hat, hatte allerdings nie einen Container, aus dem etwas hätte verschwinden können.

Die unsichtbaren Zeichen sind Teil des Zeichenstroms und werden deshalb im Regelfall unverändert durchgereicht. Manche Konverter vereinheitlichen Leerzeichenvarianten nebenbei, andere nicht. Das ist eine Eigenschaft des jeweiligen Werkzeugs, keine Eigenschaft der Konvertierung.

Beim statistischen Wasserzeichen passiert nichts. Gar nichts. Es liegt in der Auswahl der Wörter, und eine Formatumwandlung ändert keine Wörter. Genau hier bricht die Vorstellung zusammen, dieser Handgriff sei ein Allheilmittel: Er berührt eine Schicht, die im Chattext meist gar nicht existiert, und berührt diejenige Schicht nicht, um die es den Leuten eigentlich geht.

Und woran erkennt man KI-Text dann?

Hier wird es unbequem, weil die belegbare Antwort dünner ist, als das Angebot an Werkzeugen vermuten lässt.

Nachträgliche Detektoren sind Klassifikatoren: Sie schätzen anhand statistischer Merkmale, ob ein Text maschinell entstanden ist. Das Nature-Papier nennt dafür zwei strukturelle Schwächen. Solche Klassifikatoren müssen laufend nachtrainiert und nachkalibriert werden, weil ihr Unterscheidungsmerkmal mit besseren Modellen schwindet. Und sie schneiden schlecht ab bei Sprachen, auf die ihr zugrunde liegendes Modell nicht trainiert wurde. Für deutschsprachige Texte ist das keine Randnotiz, sondern die naheliegende Frage an jeden Anbieter.

Trefferquoten nennen wir hier bewusst keine. Wir haben für diesen Text keine gefunden, die wir bis zu einer überprüfbaren Quelle mit benannter Stichprobe und benanntem Zeitraum hätten zurückverfolgen können. Eine Prozentzahl ohne diese Angaben ist Marketing, kein Messwert, und wir geben sie deshalb nicht weiter.

Bleibt der Befund, den unsere eigene Redaktionsprüfung seit jeher in ihrem Quelltext stehen hat: Zeichen lassen sich entfernen, Schreibgewohnheiten nicht. Was maschinellen Text tatsächlich kenntlich macht, sind Wortwahl und Satzbau, und das ist kein Unicode-Problem. Übrigens prüfen wir unsere veröffentlichten Texte trotzdem auf unsichtbare Zeichen, aber aus einem ganz profanen Grund: Sie brechen die Suche im Browser, sie brechen kopierte Codebeispiele, und sie lassen zwei identische Wörter unterschiedlich aussehen.

Die ehrliche Zusammenfassung lautet: Von außen und allein am Text lässt sich die Herkunft derzeit nicht zuverlässig feststellen. Der eine ausgebrachte Mechanismus, der das könnte, ist SynthID-Text bei Gemini, und dessen Prüfung liegt beim Anbieter, weil sie seinen Schlüssel voraussetzt.

Häufige Fragen

Hat ChatGPT-Text ein Wasserzeichen?

Uns ist keine OpenAI-Dokumentation bekannt, die das aussagt. In der eigenen Veröffentlichung vom 07.05.2024 mit Nachtrag vom 04.08.2024 beschreibt OpenAI Text-Wasserzeichen als entwickeltes, aber weiterhin abgewogenes Verfahren und nennt Robustheits- und Fairnessbedenken. In unserem Scan von 33 echten API-Antworten vom 20.09.2026 fanden wir kein unsichtbares Zeichen.

Welche unsichtbaren Zeichen haben Sie in den echten ChatGPT-Antworten gefunden?

Keine. Null Treffer in einer Klasse aus 19 Zeichen, darunter alle Zero-Width-Varianten, das geschützte und das schmale geschützte Leerzeichen, das weiche Trennzeichen, das BOM und die Bidi-Steuerzeichen, verteilt über 33 Antworten und 19.800 Zeichen in drei Sprachen.

Was ist der Unterschied zwischen einem unsichtbaren Zeichen und einem statistischen Wasserzeichen?

Ein unsichtbares Zeichen ist ein zusätzliches Zeichen im Text, das man mit einem Texteditor sichtbar machen kann. Ein statistisches Wasserzeichen fügt nichts hinzu, sondern verschiebt die Auswahl der Wörter beim Erzeugen. Das Nature-Papier führt beide ausdrücklich als getrennte Kategorien.

Trägt Gemini-Text ein Wasserzeichen?

Nach der Veröffentlichung von Dathathri et al. (Nature, 2024) und Googles eigener Produktseite ist SynthID-Text in Gemini und Gemini Advanced ausgebracht. Es sitzt in der Wortwahl, nicht in Sonderzeichen. Für andere Anbieter gilt diese Aussage nicht, und wir haben sie nicht selbst nachgemessen.

Bleibt ein Wasserzeichen erhalten, wenn ich den Text in ein anderes Dateiformat umwandle?

Das hängt davon ab, welche der drei Schichten gemeint ist. Dateimetadaten gehen verloren, weil sie zum Container gehören. Unsichtbare Zeichen werden in der Regel durchgereicht. Ein statistisches Wasserzeichen bleibt unberührt, weil eine Formatumwandlung keine Wörter ändert.

Kann ich selbst prüfen, ob ein Text ein statistisches Wasserzeichen trägt?

Nein. Der Nachweis setzt den Wasserzeichen-Schlüssel des Anbieters voraus. Ohne diesen Schlüssel ist die Verschiebung in der Wortwahl von normaler Variation nicht zu unterscheiden.

Wie zuverlässig sind KI-Detektoren bei deutschen Texten?

Wir nennen dazu keine Zahl, weil wir für diesen Text keine gefunden haben, die sich bis zu einer nachvollziehbaren Stichprobe zurückverfolgen ließ. Belegt ist die Richtung: Das Nature-Papier hält fest, dass nachträgliche Detektoren bei Sprachen schlecht abschneiden, auf die ihr Modell nicht trainiert wurde.

Beweist ein Sonderzeichen in meinem Text, dass er von einer KI stammt?

Nein. Geschützte Leerzeichen, geschützte Bindestriche und weiche Trennzeichen entstehen auch beim Setzen, beim Kopieren aus Webseiten und in Textverarbeitungen. In unserer Messung war das einzige auffällige Zeichen ein sichtbarer geschützter Bindestrich in zusammengesetzten Wörtern, und der ist typografischer Alltag.

---

Wie wir die Antworten erheben, aus denen der Scan in diesem Text stammt, steht Schritt für Schritt unter KI-Sichtbarkeit messen. Was wir daraus laufend für Marken auswerten, steht auf der Seite zum GEO-Monitoring. Alle Zahlen in diesem Text stammen entweder aus dem beschriebenen Scan vom 20.09.2026 oder aus den beiden genannten Originalquellen, die wir am selben Tag aufgerufen haben.