KI-Inhalte erkennen: was Detektoren können und was nicht

Artikel-Übersicht

Seit dem 2. August 2026 schreibt Artikel 50 der KI-Verordnung vor, wann KI-generierte Inhalte als solche ausgewiesen werden müssen. Die praktisch drängendere Frage beantwortet das nicht: Was ist mit dem Bild, dem Text oder dem Song, an dem keine Kennzeichnung klebt? Dafür gibt es KI-Detektoren, Software, die den maschinellen Ursprung nachträglich feststellen soll und dabei häufig selbst auf KI-Modellen beruht.

Ich habe mir angesehen, was diese Werkzeuge technisch tun und wie belastbar ihre Ergebnisse sind. Die Antwort vorweg: deutlich weniger belastbar, als die Zahlen suggerieren, die sie ausspucken. Der Artikel geht die zwei Grundverfahren durch, die konkreten Metriken bei Text, den Befund aus einem redaktionellen Test des derzeit prominentesten Detektors und die Lage bei Bild und Musik. Die technische Grundlage stammt aus einer Folge des c't-Podcasts uplink mit Robin Ahrens und Hartmut Gieselmann, die den Detektor Pangram getestet haben; die rechtliche Einordnung ergänze ich aus KI, Datenschutz und Recht.

Die zwei Grundverfahren

Es gibt genau zwei Wege, maschinell erzeugte Inhalte zu erkennen: ein bewusst eingebettetes Signal suchen (Wasserzeichen) oder aus dem Inhalt selbst auf seine Entstehung schließen (Mustererkennung). Beide sind angreifbar, der eine durch Entfernen, der andere durch Umschreiben.

┌──────────────────────────────────────────────────────────────┐
│  WASSERZEICHEN / MARKER                                      │
│  Signal wird beim Generieren bewusst eingebettet             │
│  Bild: ins Rauschen eingeimpft · Audio: im Musikspektrum     │
│  ✓ eindeutig, wenn vorhanden                                 │
│  ✗ entfernbar, umgehbar, gar nicht erst angebracht           │
├──────────────────────────────────────────────────────────────┤
│  MUSTERERKENNUNG                                             │
│  Rückschluss aus dem Inhalt auf den Entstehungsprozess       │
│  Text: Perplexity, Burstiness · Bild: Rauschreste            │
│  Audio: unnatürliche Details (z.B. Hallfahnen)               │
│  ✓ funktioniert ohne Mitwirkung des Erzeugers                │
│  ✗ liefert nur Wahrscheinlichkeiten, viele Fehlurteile       │
└──────────────────────────────────────────────────────────────┘

Die beiden Ansätze der KI-Erkennung mit ihren jeweiligen Stärken und Schwächen.

Der Unterschied, der alles Weitere bestimmt: Ein Wasserzeichen setzt voraus, dass der Generator mitspielt. Wer täuschen will, benutzt einen Generator ohne Wasserzeichen oder entfernt es. Mustererkennung braucht diese Mitwirkung nicht, kann dafür aber prinzipiell nie mehr liefern als eine Wahrscheinlichkeit.

Wasserzeichen: eindeutig, aber zerbrechlich

Wasserzeichen sind Marker, die während der Generierung gesetzt werden. Bei Bildern werden sie teils schon im Entstehungsprozess ins Rauschen eingeimpft, teils nachträglich als Muster überlagert. Das Problem ist elegant und ärgerlich zugleich: Dieselbe KI, die sie einbettet, kann sie auch analysieren und wieder herausrechnen. Mit den passenden Werkzeugen lassen sie sich zerstören, löschen oder manipulieren. Wer ein Bild erzeugen will, das kein Detektor mehr als künstlich erkennt, kann das tun.

Bei Audio steckt darin ein technischer Zielkonflikt, der sich nicht auflösen lässt. Man könnte vermuten, das Wasserzeichen sitze im unhörbaren Hochfrequenzbereich oberhalb von 18 kHz. Genau dort darf es aber nicht sitzen, sonst schneidet ein simpler Tiefpassfilter es weg. Es muss im selben Spektrum liegen, in dem auch die Musik spielt, grob zwischen 30 Hz und 16 kHz. Daraus folgt:

Ein Wasserzeichen, das robust genug ist, um Umkopieren und leichtes Verschieben der Tonhöhe zu überstehen, ist mit normalem Gehör hörbar.
Ein Wasserzeichen, das nicht hörbar ist, lässt sich mit einfachen Mitteln übertünchen, automatisiert und im großen Maßstab. Dazu gibt es Studien.

Beim Generator Suno kommt eine Besonderheit hinzu. Man kann nicht nur den fertigen Song laden, sondern die Einzelspuren: Gesang, Gitarre, Bass, Schlagzeug. Jede Spur mag ihr Wasserzeichen tragen. Mischt man sie mit einer beliebigen Audiosoftware neu zusammen und verändert dabei etwas, sind sämtliche Marker übertüncht.

Texterkennung: Perplexity und Burstiness

Bei Text ist die Mustererkennung am weitesten entwickelt und am längsten im Einsatz. Detektoren wie GPTZero oder ZeroGPT entstanden praktisch zeitgleich mit den großen Sprachmodellen. Sie arbeiten mit zwei Metriken, die man kennen sollte:

Metrik	was sie misst	menschlich	KI-generiert
Perplexity	Wahrscheinlichkeit der Wortwahl	hoch, unerwartete Wörter	niedrig, statistisch wahrscheinliche Wörter
Burstiness	Varianz über den Text hinweg	hoch, Schübe und wechselnde Satzlängen	niedrig, gleichförmig

Perplexity ist im Kern ein Maß für die Wortvarianz: Eine KI greift zu statistisch wahrscheinlicheren Wörtern als ein Mensch. Burstiness beschreibt die Varianz des Textes insgesamt, also Unterschiede in Satzlängen und Wortwahl. Menschen schreiben in Schüben, mal lange, mal kurze Sätze, mal erwartbare, mal schräge Wörter. Maschinen bleiben uniformer.

Das klingt plausibel und ist es auch. Der Schwachpunkt dieser Detektorengeneration ist trotzdem gravierend: Sie produzieren viele falsch positive Ergebnisse, flaggen also von Menschen geschriebene Texte fälschlich als maschinell. Für die betroffene Person ist das der teuerste denkbare Fehler.

Der Fall Pangram: was ein Test zutage fördert

Pangram ist der Detektor, der die deutsche Debatte der letzten Monate geprägt hat. Mit ihm wurden unter anderem Texte von Bundesminister Wildberger und Thüringens Ministerpräsident Voigt untersucht. Das Unternehmen wirbt damit, alles anders zu machen als die alten Metrik-Detektoren, sagt aber nicht, was genau. Die c't-Redaktion hat nachgemessen, und die Befunde lassen sich auf die ganze Werkzeuggattung übertragen.

Zwei Roboter streiten vor einer Tafel über eine Waage, die zwischen Papier und Chip kaum ausschlägt

Ein Detektorwert ist kein Urteil, sondern eine Wahrscheinlichkeit. Und die schwankt.

Es ist kein Algorithmus, sondern ein Sprachmodell. Pangram misst nicht deterministisch Perplexity oder Burstiness, sondern nutzt ein Modell, das mit menschlichen Texten, KI-Texten und überarbeiteten Texten trainiert wurde, überwiegend auf englischem Material. Beim Nachtraining kamen rund 28 Millionen Texte zum Einsatz, mit einem durchaus cleveren Kniff: Zu falsch positiven Fällen wurden gezielt sehr ähnliche, aber tatsächlich KI-generierte Texte erzeugt und beide gemeinsam ins Training gegeben. Training an den Grenzfällen, im Marketing „Hard Negative Mining" genannt.

Die Folge: keine reproduzierbaren Ergebnisse. Sprachmodelle liefern keine deterministischen Ausgaben. Derselbe Text mehrfach hochgeladen ergibt unterschiedliche Werte. Und noch drastischer: Unterschiedliche Dateiformate desselben Textes können zu Abweichungen von bis zu 50 Prozentpunkten führen. Für ein Werkzeug, das über berufliche Reputation mitentscheiden soll, ist das disqualifizierend.

Die Prozentanzeige ist das größte Problem. Version 4.0 will nicht mehr nur zwischen menschlich und maschinell unterscheiden, sondern auch erkennen, wenn eine KI einen menschlichen Text überarbeitet hat, angezeigt als „KI-Anteil in Prozent". Nach den Stichproben der Redaktion hält dieser Wert nicht stand. Die Zahl zeigt irgendetwas an, nur eben nicht den KI-Anteil des Textes.

Die beworbene Trefferquote misst nur eine Richtung. Pangram wirbt damit, 99,98 % der menschlichen Texte korrekt als menschlich zu erkennen, und das bestätigte sich im Test durchaus. Nur folgt daraus nichts über die Gegenrichtung. Eine niedrige Falsch-positiv-Rate sagt nichts über die Falsch-negativ-Rate, also über KI-Texte, die als menschlich durchgehen. Wer eine einzelne Genauigkeitszahl liest, sollte immer zuerst fragen, welche der beiden Fehlerarten sie überhaupt beschreibt.

Die Erkennung hängt stark vom verwendeten Modell ab. Bei generierten Nachrichtentexten wurde ChatGPT vergleichsweise häufig erkannt, teils zu 100 %. Claude und Gemini deutlich seltener. Ein Detektorwert ist damit immer auch eine Aussage darüber, welches Modell jemand benutzt hat, und nicht nur darüber, ob überhaupt eines im Spiel war.

Und austricksen lässt es sich fast trivial. Im Test genügte eine Kombination aus zwei Handgriffen, um einen Text teilweise oder sogar vollständig als menschlich durchgehen zu lassen: einen logisch etwas zusammenhanglosen Satz entfernen und schwülstige Wörter streichen. Wer ungefähr weiß, worauf ein Detektor anspringt, umgeht ihn.

Der Punkt, an dem es unangenehm wird

Warum legt Pangram nicht offen, wie das Modell arbeitet? Die naheliegende Erklärung wäre, man wolle das Umgehen erschweren. Ich halte die andere für wahrscheinlicher: Sie wissen es selbst nicht. Man hat ein Modell mit menschlichen und maschinellen Texten gefüttert, und es hat gelernt. Worauf genau es anspringt, steckt in den Gewichten. Das ist dieselbe Undurchsichtigkeit, die auch OpenAI daran hindert, präzise vorherzusagen, wie ChatGPT auf einen bestimmten Prompt reagiert. Nur wird hier ein Urteil über Menschen daraus abgeleitet, und das ist eine andere Hausnummer.

Was bei Bildern und Musik gilt

Bilder. Der klassische Ansatz sucht nach Resten des Entstehungsprozesses. Frühe Bildgeneratoren waren Diffusionsmodelle: Aus Rauschen wird auf Basis eines Prompts ein Bild, und Restbausteine dieses Rauschens sind auffindbar. Heutige Diffusionstransformer machen das schwerer. Für die Rechtslage ist ein Detail wichtig: Kennzeichnungspflichtig ist nicht erst der Deepfake einer prominenten Person. Schon eine realistisch wirkende Landschafts- oder Stadtaufnahme reicht, weil aus dem Bild selbst nicht hervorgeht, dass es keine reale Aufnahme ist. Ein offensichtlich absurdes Motiv dagegen, etwas, das semantisch keinen Sinn ergibt, täuscht niemanden und fällt nicht darunter.

Musik. Hier ist die Lage am dramatischsten, weil die Größenordnung eine andere ist. Bei Deezer, dem Anbieter mit den offensten Zahlen, sind inzwischen mehr als die Hälfte aller neu hochgeladenen Songs KI-generiert. Von zwei Songs pro Sekunde also mehr als einer. Die Erkennung der Plattformen liegt bei etwa 90 bis 93 %, die restlichen sieben Prozent kommen durch und verdienen Geld. Betroffen ist vor allem skalierbare Gebrauchsmusik: Playlists zum Arbeiten, Schlafen, Workout. Für die Plattformen ist billiger Content, für den keine Texter, Komponisten und Musiker entlohnt werden müssen, wirtschaftlich attraktiv. Sie betreiben also gleichzeitig Marketing gegen KI-Slop und profitieren davon.

Weitgehend verschont bleiben Jazz und Klassik: wenig Trainingsmaterial, kleines Publikum, kritische Hörerschaft und viele Akkorde. Was sich kommerziell nicht skalieren lässt, lohnt die Generierung nicht. Eine seltsam beruhigende Erkenntnis, die sich bei genauerem Hinsehen als das Gegenteil entpuppt: Geschützt ist nicht, was gut ist, sondern was sich nicht rechnet.

Die Lücken in der Regelung

Der AI Act adressiert die Erkennungsfrage, lässt aber die entscheidende Kette offen. Was er verlangt:

Wer	Pflicht	ab wann
Anbieter von Generatoren	Wasserzeichen einbetten und passende Detektoren bereitstellen	2. Dezember 2026
Nutzer, die veröffentlichen	KI-Inhalte kennzeichnen, wenn Täuschung möglich wäre	seit 2. August 2026
Plattformen	keine Prüfpflicht, keine Anzeigepflicht	—

Daraus ergeben sich drei Lücken:

Die Plattformen sind außen vor. Spotify, Instagram und YouTube müssen weder prüfen, ob hochgeladene Inhalte generiert wurden, noch vorhandene Wasserzeichen auslesen oder anzeigen. Damit hängt ein Wasserzeichen ins Leere. Es nützt nur, wenn es am Ende jemand sieht.

Der finanzielle Anreiz zeigt in die falsche Richtung. Als KI gekennzeichnete Musik wird auf mehreren Plattformen demonetarisiert. Wer hochlädt, hat also ein handfestes Interesse, nicht zu kennzeichnen. Dasselbe gilt für Bilder: Wer gezielt Falschmeldungen verbreiten will, klebt ohnehin kein KI-Label darauf. Mit dem perfiden Nebeneffekt, dass ein fehlendes Label fälschlich als Echtheitsnachweis gelesen wird.

Privat bleibt außen vor. Die Kennzeichnungspflicht trifft, wer kommerziell veröffentlicht. Private Nutzung ist nicht erfasst.

Was daraus für die Praxis folgt

Der praktisch wichtigste Rat ist zugleich der unaufwendigste: Statt einem Detektor eine Prozentzahl zu entlocken, lass ein normales Sprachmodell den Text analysieren. ChatGPT oder Claude liefern eine differenzierte Einschätzung, welche Formulierungen, Begriffe und Strukturen maschinell wirken und welche eher nicht. Das ist nachvollziehbar, überprüfbar und diskutierbar. Eine einzelne Zahl ist es nicht. Wo es um eine Abschlussarbeit oder die berufliche Reputation eines Menschen geht, ist genau diese Nachvollziehbarkeit das Minimum.

Eine Checkliste für den Umgang mit Detektorergebnissen:

Nie auf einen einzelnen Lauf verlassen. Denselben Text mehrfach und in verschiedenen Dateiformaten prüfen. Weichen die Ergebnisse ab, ist das Werkzeug für den Zweck ungeeignet.
Fragen, welche Fehlerrate die beworbene Genauigkeit beschreibt, falsch positiv oder falsch negativ. Beide Zahlen verlangen, nicht eine.
Kein Detektorergebnis als alleinige Grundlage für eine Entscheidung über eine Person verwenden.
Belastbare Indizien getrennt sammeln: Versionsverläufe, Zwischenstände, Recherchespuren, ein Gespräch über den Inhalt. Das ist unaufwendiger und hält stand.
Bei Bildern und Audio zuerst nach vorhandenen Wasserzeichen suchen, statt statistisch zu raten. Ein Fehlen aber nicht als Echtheitsbeweis werten.
Kennzeichnungspflichten der eigenen Veröffentlichungen prüfen. Realistisch wirkende generierte Bilder sind kennzeichnungspflichtig, auch ohne Personen darauf.

Häufige Fragen

Kann man zuverlässig erkennen, ob ein Text von KI stammt? Nein. Alle verfügbaren Verfahren liefern Wahrscheinlichkeiten, keine Nachweise. Der prominenteste Detektor arbeitet nicht einmal reproduzierbar. Derselbe Text kann in zwei Durchläufen deutlich unterschiedliche Werte ergeben.

Was sind Perplexity und Burstiness? Die beiden klassischen Metriken der Texterkennung. Perplexity misst, wie wahrscheinlich die gewählten Wörter sind, denn KI wählt wahrscheinlichere. Burstiness misst die Varianz über den Text, etwa wechselnde Satzlängen, denn Menschen schreiben ungleichmäßiger.

Warum helfen Wasserzeichen nicht? Weil sie die Mitwirkung des Generators voraussetzen und sich entfernen lassen. Bei Audio kommt hinzu: robuste Wasserzeichen wären hörbar, unhörbare lassen sich mit einfachen Mitteln übertünchen.

Muss ich KI-generierte Bilder kennzeichnen? Wer kommerziell veröffentlicht: ja, sobald ein normal informierter Betrachter das Bild für eine reale Aufnahme halten könnte. Eine realistische Landschaftsaufnahme reicht dafür aus, es braucht keine erkennbare Person.

Prüfen Spotify oder Instagram, ob Inhalte von KI stammen? Sie sind dazu nicht verpflichtet. Der AI Act verlangt Wasserzeichen von den Generator-Anbietern und Kennzeichnung von den Uploadenden, aber keine Prüfung durch die Plattformen.

Was ist die bessere Alternative zu einem KI-Detektor? Ein Sprachmodell den Text analysieren lassen und sich konkrete Stellen und Begründungen nennen lassen, dazu unabhängige Indizien wie Versionsverläufe. Das ist prüfbar, eine Prozentzahl ist es nicht.

Zusammenfassung und praktische Tipps

Es gibt nur zwei Verfahren: eingebettete Wasserzeichen und statistische Mustererkennung. Beide sind umgehbar.
Wasserzeichen setzen Mitwirkung voraus. Wer täuschen will, benutzt sie nicht oder entfernt sie.
Bei Audio ist die Robustheit ein Zielkonflikt: hörbar und stabil, oder unhörbar und leicht zu übertünchen.
Perplexity und Burstiness sind die klassischen Textmetriken, plausibel, aber mit hoher Falsch-positiv-Rate.
Der prominenteste Detektor arbeitet nicht reproduzierbar. Gleicher Text, anderes Dateiformat: bis zu 50 Prozentpunkte Unterschied.
Eine beworbene Trefferquote beschreibt immer nur eine Fehlerrichtung. Nach der anderen fragen.
Die Erkennung hängt vom Modell ab. ChatGPT wird deutlich häufiger erkannt als Claude oder Gemini.
Die Regelung hat eine Lücke am Ende der Kette: Plattformen müssen weder prüfen noch anzeigen, und Kennzeichnung kostet Tantiemen.
Wahrscheinlichkeit ist nicht Wahrheit. Detektoren geben nie Wahrheiten aus, genau wie die Modelle, die sie enttarnen sollen.

Mein Rat: Behandle jeden Detektorwert als das, was er ist. Ein schwaches Indiz mit unbekannter Fehlerrichtung, erzeugt von einem System, dessen Betreiber selbst nicht sagen können, worauf es anspringt. Wer eine Entscheidung über einen Menschen darauf stützt, verwechselt eine Prozentzahl mit einem Beweis.

Was mich an der ganzen Debatte am meisten stört, ist aber etwas anderes. Wir sind von einer inhaltlichen Diskussion zu einer formalen Produktionsdiskussion gerutscht. Gefragt wird, aus welcher Maschine ein Text kommt, nicht mehr, was darin steht, ob der Gedanke trägt und welche Interessen er vertritt. Menschen können genauso gut Unsinn schreiben, und ein guter Gedanke wird nicht schlechter, weil ein Werkzeug beim Formulieren geholfen hat. Die interessantere Prüfung ist immer noch die inhaltliche.

Ressourcen

c't uplink: Was KI-Detektor-Software kann (und was nicht) – die Podcast-Folge mit Robin Ahrens und Hartmut Gieselmann, Grundlage dieses Artikels
heise+: KI-Kennzeichnungspflicht — was die EU ab August 2026 verlangt – der zugehörige Schwerpunkt in der c't
Verordnung (EU) 2024/1689, Artikel 50 – die Transparenz- und Kennzeichnungspflichten im Rechtstext
KI, Datenschutz und Recht – die rechtliche Gesamteinordnung mit Risikoklassen und Fristen