Die Ausgangslage haben wir am 11. August beschrieben: Claude-Modelle ab dem 2. August 2026 markieren ihre Textausgaben mit einem unsichtbaren Wasserzeichen, Dateien bekommen signierte C2PA-Herkunftsangaben. Am 14. August hat Anthropic die Funktionsweise offengelegt – es ist eine Spielart des SynthID-Text-Verfahrens: Verändert wird nicht die Wahrscheinlichkeitsverteilung der Wörter, sondern die Quelle des Zufalls, mit dem das Modell unter ihnen auswählt. Zum Nachweis hieß es dort: „We will soon be offering a watermark detection API“ – ohne Termin und mit dem Zusatz, man arbeite die Umsetzungsdetails noch aus.
In diese Lage hinein entstand das Projekt „watermarks-remover“. Die Selbstbeschreibung auf GitHub lautet: „Agent skill + stdlib Python service to strip multi-vendor AI provenance marks from text and files — for privacy and hygiene on content you own.“ Als Ziele nennt das Projekt ausdrücklich „Claude, Gemini / SynthID-Text, OpenAI provenance surfaces, open-LLM Kirchenbauer-style marks“. Die Lizenz ist MIT. Angelegt wurde die Ablage nach Angabe von implicator.ai am 11. August 2026 um 16:32:38 UTC; am 13. August standen 4.102 Sterne zu Buche, bei unserem eigenen Abruf am 16. August 10.200.
Entscheidend ist die Zweiteilung, die das Projekt selbst vornimmt. „Layer A removes edit-based Unicode carriers (testable)“ – also unsichtbare Trägerzeichen, deren Entfernung sich nachprüfen lässt. „Layer B attacks sampling watermarks via heavy rewrite (best-effort; literature-standard attacks such as paraphrase / back-translation)“ – gegen das eigentliche statistische Wasserzeichen bleibt also nur, den Text durch ein zweites Modell umschreiben zu lassen. Warum das so ist, erklärt die Projektdokumentation zutreffend: „Text watermarks live in the wording itself: the signal is spread across token choices, so nearly every sentence carries a little of it.“ Und die Grenze zieht sie selbst: „Until vendors ship public detectors and keys, no tool can honestly certify ‚this fails the official check.‘“ Sowie: „It cannot certify that vendor detectors will fail.“
Damit steht die Gattung auf einem Fundament, das sie selbst nicht prüfen kann. BleepingComputer fasst denselben Befund so zusammen: „None of the claims about defeating the text watermark can currently be checked, though, because Anthropic has not yet published how it works“, und zur Technik: „The watermark lives in which words the model picked, which means the only known way to remove it is to rewrite the text heavily, using a second model.“ Meyer selbst beschreibt sein Werkzeug dort als eines, das vorerst nur Metadaten entfernt; sein eigenes Gegenargument gegen das Umschreiben ist ökonomischer Natur – man tausche damit die Wortwahl eines teuren Modells gegen die eines schlechteren ein.
Ein unabhängiger Gegentest existiert bereits: Nach der Darstellung von BleepingComputer hat der Prüfer Pasquale Pillitteri die verbreiteten Projekte nachgebaut und den Code gelesen; bei einem der populären Werkzeuge sei die häufigste Technik für versteckte Nutzlasten unangetastet durchgelaufen, die Nutzlast ließ sich anschließend fehlerfrei dekodieren. Das betrifft nicht das statistische Wasserzeichen, sondern gerade die Schicht, die diese Werkzeuge zuverlässig beherrschen sollten. ⚠️ Pillitteris eigene Darstellung war für unser Abrufwerkzeug in zwei Versuchen nicht erreichbar; wir geben den Befund deshalb als Wiedergabe aus zweiter Hand und nicht als selbst geprüfte Feststellung wieder.
Der Punkt, den BleepingComputer daneben stellt, ist der praktisch wichtigste: Eine schnell wachsende Werkzeugklasse, die Anwender direkt in Agenten-Pipelines einhängen, sei „a supply chain surface“ – Software also, die Inhalte verändert und dafür Ausführungsrechte bekommt, bei einer Codebasis, die wenige Tage alt ist und deren Kopien niemand prüft.
⚠️ Was wir nicht behaupten: Wir haben weder ein Wasserzeichen gesetzt noch eines zu entfernen versucht – das wäre ohne Anthropics Prüfwerkzeug auch nicht auswertbar. Die Angaben zum Funktionsumfang stammen aus der Projektdokumentation, die wir in zwei Durchgängen mit gezielten Gegenfragen geöffnet haben; das Erstellungsdatum der Ablage und der Sternestand vom 13. August stammen aus der Rezeption, den Stand vom 16. August haben wir selbst abgelesen. Die in der Tier-C-Rezeption kursierenden Namen weiterer Anbieterseiten und Bezahldienste haben wir nicht geprüft und nennen sie deshalb nicht. Ob Anthropics Prüf-API inzwischen einen Termin hat, ging aus keiner von uns geöffneten Quelle hervor.
Nachtrag vom 21. August 2026: Das Wachstum hat nicht nachgelassen. Wir haben den Bestand an diesem Tag über die GitHub-API selbst abgefragt: 16.309 Sterne und 1.857 Forks, Lizenz MIT, Sprache Python, Ablage angelegt am 11. August 2026 um 16:32:38 UTC – das bestätigt das aus der Rezeption übernommene Erstellungsdatum an der Primärquelle. Die Reihe lautet damit 4.102 (13.08.) → 10.200 (16.08.) → 16.309 (21.08.). Der letzte Push datiert vom 19. August. An der Sache selbst ändert das nichts: Die Selbstbeschreibung nennt weiterhin „Unicode text hygiene, statistical rewrite hooks, and C2PA/metadata“, also die prüfbare Schicht plus einen Umschreib-Ansatz gegen das statistische Wasserzeichen – und ohne öffentlichen Detektor bleibt dessen Wirkung unprüfbar. Die deutschsprachige Berichterstattung ist am 21. August nachgezogen (heise online); sie nennt runde 15.000 Sterne und 1.700 Forks, was zu unserer Messung passt. ⚠️ Zwei Angaben von dort haben wir nicht übernommen: dass der Workaround „nach vier Stunden“ folgte – ein Zeitabstand, den wir an keiner Primärquelle prüfen konnten –, und die Zahl von 91 Beiträgen Meyers, die wir nicht gegengezählt haben.
Aktualisiert am 21. August 2026.