Eine Technik, die als Methode zum Angriff auf KI-Modelle berüchtigt wurde, hat jetzt ein viel größeres Ziel: Ihren Spam-Ordner. Das Sicherheitsteam von Microsoft berichtet, dass E-Mail-Betrüger Monate damit verbracht haben, „ASCII-Schmuggel“ zu nutzen – unsichtbare Unicode-Zeichen, die Menschen nicht sehen, Maschinen aber lesen können –, um Millionen von Phishing-E-Mails an den Spam-Filtern von Unternehmen vorbeizuschleusen.

Laut The Register haben die Microsoft-Bedrohungsforscher Noam Kochavi und Sarah Wolstencroft die Kampagne in einem Blogbeitrag vom Donnerstag beschrieben. Der Betrieb erreichte Ende Februar mit mehr als 2,37 Millionen Nachrichten an einem einzigen Wochentag seinen Höhepunkt und blieb dann an Wochentagen etwa drei Monate lang erhöht, bevor er bis Mitte Juni allmählich nachließ. Weitere Informationen zu dieser Geschichte finden Sie in unseren laufenden KI-Nachrichten.

Wie ASCII-Schmuggel funktioniert

Der ASCII-Schmuggel nutzt Unicode-Zeichen aus, die zwar gültig, aber nicht renderbar sind – vor allem Unicode-Tag-Zeichen, ein Block, der ursprünglich für Sprach-Tags entwickelt wurde. Wenn sie in ein Dokument, eine Webseite oder eine E-Mail eingefügt werden, werden sie überhaupt nicht angezeigt. Diese Unsichtbarkeit machte die Technik zu einem festen Bestandteil indirekter Prompt-Injection-Angriffe, bei denen ein Angreifer Anweisungen für einen KI-Assistenten in unsichtbaren Zeichen versteckt, die in eine Webseite oder ein Dokument eingebettet sind. Ein Mensch, der die Seite überprüft, sieht nichts Ungewöhnliches, aber ein KI-System, das den Rohtext aufnimmt, kann die versteckten Befehle lesen und befolgen.

Sicherheitsforscher haben die Technik gegen große KI-Chatbots und E-Mail-Assistenten demonstriert, weshalb sie meist als KI-Sicherheitsproblem diskutiert wird. Was Microsofts Team herausfand, war anders: Die versteckten Zeichen waren überhaupt nicht an eine KI adressiert.

„Als wir uns eine Auswahl der markierten Nachrichten ansahen, war die Überraschung, dass es keine geschmuggelten Anweisungen an einen KI-Assistenten gab“, schrieben Kochavi und Wolstencroft laut The Register. „Stattdessen wurden die unsichtbaren Tag-Zeichen in gängige Finanzschlüsselwörter eingefügt und so aufgespalten, dass eine wörtliche Signatur oder eine Schlüsselwortübereinstimmung fehlschlagen würde.“

Eine monatelange Finanz-Köder-Kampagne

Microsoft entdeckte die Signatur erstmals Anfang Februar 2026 und markierte am 8. Februar etwa 21.000 verdächtige Nachrichten. Am nächsten Tag schoss das Volumen auf über 1,3 Millionen. Auf ihrem Höhepunkt am 26. Februar verschickte die Kampagne mehr als 2,37 Millionen Nachrichten an einem einzigen Tag, wobei die meisten E-Mails von etwa 150 Absenderdomänen mit Finanzthemen stammten.

Der Betrieb verlief mit nahezu industrieller Disziplin. An Wochentagen stieg das Nachrichtenaufkommen stark an – zwischen 1 und 2,37 Millionen Nachrichten pro Tag – und am Wochenende blieb es still. Nach der intensiven ersten Phase gingen die täglichen Wochentagsvolumina bis Ende März um etwa 80 Prozent zurück, gingen nach dem 15. Mai stark zurück und blieben bis mindestens Mitte Juni auf niedrigeren Niveaus mit gelegentlichen kleineren Spitzen.

Die Verlockungen waren finanzieller Natur und die Verschleierung war einfach, aber effektiv. Anstatt ein Auslösewort wie „Finanzierung“ im Klartext zu schreiben, fügten die Angreifer unsichtbare Tag-Leerzeichen zwischen Buchstaben ein – die Forscher zitieren ein Unicode-Tag-Leerzeichen, U+E0020, das in die Mitte von Wörtern eingefügt wurde. Für einen menschlichen Leser sieht das Wort völlig normal aus. Für einen Schlüsselwortfilter, eine Regex-Engine oder einen Signatur-Matcher handelt es sich um eine Zeichenfolge, die von keiner Sperrliste erkannt wird.

Warum Filter versagt haben und was Verteidiger tun sollten

Die Kampagne hat funktioniert, weil ein Großteil der E-Mail-Sicherheit immer noch von der wörtlichen Textübereinstimmung abhängt. Die Kernempfehlung von Microsoft besteht darin, dass bei allen Inhalten, die anhand von Schlüsselwörtern, Signaturen oder Regex-Logik bewertet werden, zunächst unsichtbare und nicht rendernde Unicode-Codepunkte entfernt oder gefaltet werden sollten, damit das Zusammenfügen zu einem Wort die Übereinstimmung nicht mehr zunichte macht. Die Überprüfung, ob Normalisierungs- und Tokenisierungspipelines Tag-Zeichen konsistent verarbeiten, ist nach Ansicht der Forscher die wichtigste Kontrolle.

Derselbe Fix bringt einen Bonus für die KI-Sicherheit mit sich: Da der ASCII-Schmuggel gegen KI-Assistenten davon abhängt, dass dieselben unsichtbaren Zeichen die Vorverarbeitung überleben, verringert das Entfernen dieser Zeichen, bevor der Inhalt einen Filter erreicht, auch das Risiko einer versteckten Eingabeaufforderungsinjektion in aufgenommene E-Mails.

Microsoft fordert die Verteidiger außerdem dringend auf, auf Verhaltensindikatoren und nicht auf bloße Schlüsselwörter zu achten. „Die beobachtete Aktivität hatte eine charakteristische Form: Massenvolumen aus wechselnden, finanzbezogenen Einwegdomänen, nach einem strengen Zeitplan an Wochentagen und Wochenenden“, schrieben die Forscher. „Ein plötzlicher Anstieg von Tag-Block-Zeichen, die sich auf Absender mit Finanzthemen konzentrieren und wöchentlich ein- und ausgeschaltet werden, ist ein Indikator für hohes Vertrauen in Kampagnen.“

Ein Warnschuss für die Sicherheit im KI-Zeitalter

Für die Forscher von Microsoft veranschaulicht die Episode eine breitere Dynamik: Techniken, die gegen KI-Systeme entwickelt wurden, bleiben nicht auf KI beschränkt. „Wenn die Angriffsmethoden der KI-Ära besser verstanden werden, können Bedrohungsakteure sie für den Einsatz bei traditionelleren Bedrohungen wie Phishing und Spam anpassen“, schrieben sie und stellten fest, dass der Fall zeigt, wie Methoden aus der KI-Sicherheitsforschung „schnell in etablierte Angriffsökosysteme übergehen können“.

Ars Technica und andere Medien, die über die Forschung berichteten, bemerkten die Ironie: Ein Trick, der zur Manipulation von KI-Modellen entwickelt wurde, ist heute vor allem dafür bekannt, die alltäglichen Filter anzugreifen, die die Posteingänge von Unternehmen schützen. Für Sicherheitsteams ist die Botschaft, dass Bedrohungen aus der KI-Ära und klassische Bedrohungen konvergieren – und dass die Abwehr der nächsten Kampagne das Entfernen unsichtbarer Zeichen überall dort bedeutet, wo Text verarbeitet wird, nicht nur in Chatbots.

---

Stay Ahead of AI

Erhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Weitere KI-Neuigkeiten lesen →