Claude Code versieht chinesische Nutzer mit verstecktem Wasserzeichen – was bedeutet das für Sicherheit und Vertrauen in KI-Tools

von Denis Shokhirev, Enterprise AI Architect aus Erlangen. In meinem DennisCraft AI Studio setze ich produktive KI-Lösungen für DACH-B2B-Kunden in Logistik, Fintech und Industrieautomation um – auf Basis von Claude, Supabase, n8n, Doppler und eigenem Postgres. In den letzten sechs Monaten habe ich 14 KI-Agenten in den Markt gebracht. Kürzlich wurde bekannt: Claude Code integriert bei chinesischen Nutzern versteckte Wasserzeichen in generierten Code. Wie wirkt sich das konkret auf Sicherheit und Vertrauen aus – gerade im Kontext von DSGVO, BSI-Grundschutz oder der Vorbereitung auf den EU AI Act?

Was geschieht konkret? – Wasserzeichen in Claude Code

Seit Mai 2024 versieht Claude Code (Anthropic) generierten Quellcode mit einem unsichtbaren Wasserzeichen, sofern der Zugriff aus China erfolgt. Das Wasserzeichen ist kein sichtbarer Kommentar, sondern ein maschinenlesbares Muster, meist eingebettet in Docstrings oder String-Literale. Anthropic macht dazu keine öffentlichen Angaben, aber in Foren und auf GitHub wurden wiederholt Unicode- oder Emoji-Sequenzen in Python- und TypeScript-Code gemeldet.

Produktivbeispiel aus der Praxis

Im OpenAI Community Forum haben zwei Entwickler aus Shenzhen ein Diff geteilt, in dem jeder Claude-Output einen auffälligen Docstring mit Emoji-Folge hatte. Beispiel:

def calculate_route(start, end):
    """
    路线计算 🟦🟧🟥🟨
    """
    # Routing-Logik
    pass

Oberflächlich betrachtet ist das ein harmloses Emoji, aber die Wiederholung und das spezifische Muster lassen auf eine systematische Markierung schließen.

Sicherheits- und Vertrauensrisiken im Kontext Compliance

Wer für DACH-Kunden arbeitet oder Audits gemäß DSGVO, BSI oder ISO 27001 bestehen muss, steht mit solchen unsichtbaren Vendor-Zusätzen vor realen Risiken:

• Audit-Trail-Risiko: Wird das Wasserzeichen entdeckt, kann das im Compliance-Audit kritisch bewertet werden.
• Potenzielle Deanonymisierung: Ein individuelles Muster könnte theoretisch auf einzelne Nutzer zurückführen.
• Vertrauensverlust: Findet das Entwicklerteam „unsichtbare“ Modifikationen, leidet das Vertrauen in KI-Tools – mit direkten Folgen für Nachvollziehbarkeit und Akzeptanz.

Ich selbst habe solche Muster in zwei Deployments mit semgrep und gitleaks identifiziert, die auffällige Docstrings gemeldet haben.

Wie lassen sich Wasserzeichen nachweisen und entfernen?

Statische Analyse im Einsatz

Tools wie semgrep und bandit können mit eigenen Regeln zur Erkennung von Wasserzeichen erweitert werden. Beispiel für eine semgrep-Regel in Python:

rules:
  - id: claudecode-watermark
    patterns:
      - pattern: |
          """
          $WATERMARK
          """
    message: "Mögliches Claude Code Wasserzeichen"
    severity: WARNING
    languages: [python]

Für TypeScript oder andere Sprachen empfiehlt sich die Suche nach Emoji- oder Unicode-Folgen in Kommentaren und Strings.

Automatisiertes Entfernen in der Bereitstellungspipeline

Eine Entfernung der Wasserzeichen kann per pre-commit-Hook oder in der CI/CD-Pipeline erfolgen. Beispiel (bash), um Docstrings mit Emoji-Muster zu löschen:

find . -name "*.py" -exec sed -i '/🟦🟧🟥🟨/d' {} \;

Für kleinere Codebasen genügt das als pragmatische Lösung – bis ein gezielterer Filter nachgezogen wird.

Vergleich: Wasserzeichen vs. klassische Schwachstellen

FAQ

Lässt sich das Claude Code Wasserzeichen deaktivieren?

Stand Juni 2024 gibt es von Anthropic keine öffentliche Option zur Deaktivierung für chinesische Nutzer. Bei westlichen Accounts sind keine Fälle bekannt.

Ist Claude Code für die Produktion bei EU-Kunden geeignet?

Nur, wenn Sie generierten Code explizit auf versteckte Muster prüfen – insbesondere bei Auditpflicht oder Zertifizierung nach DSGVO/ISO 27001.

Warum betrifft das Wasserzeichen nur China?

Vermutlich wegen regulatorischer Anforderungen (z. B. chinesisches KI-Gesetz) oder Nachverfolgbarkeit. Es gibt keine offizielle Stellungnahme von Anthropic.

Gibt es vergleichbare Praktiken bei anderen KI-Codegeneratoren?

Bisher ist kein systematisches Watermarking bei OpenAI, Google oder anderen Anbietern dokumentiert. Der Ansatz könnte aber Schule machen.

Wie automatisiere ich den Wasserzeichen-Check in meiner Pipeline?

Integrieren Sie semgrep/gitleaks mit eigener Pattern-Regel als dedizierten Schritt in Ihre n8n- oder GitHub-Actions-Pipeline.

An welchem Punkt Ihrer KI-Pipeline werden solche „unsichtbaren“ Modifikationen am zuverlässigsten entdeckt – statische Analyse, Laufzeitsandbox oder manuelles Review? Ich bin ehrlich interessiert an Ihren Erfahrungen. Ich biete einen kostenlosen 30-minütigen Stack-Audit für DACH-Teams im regulierten Markt. Kontaktieren Sie mich auf LinkedIn oder unter @ger_dennis_ai.