ASCII Smuggling wechselt vom KI-Angriff zum Phishing
Eine ursprünglich aus Angriffen auf KI-Systeme bekannte Technik wird inzwischen für klassisches E-Mail-Phishing eingesetzt. Angreifer fügen unsichtbare Unicode-Zeichen in finanzbezogene Schlüsselwörter ein. Für Menschen bleibt der Text lesbar, während einfache Spamfilter das manipulierte Wort nicht mehr erkennen.
Microsoft beobachtete eine Kampagne, die innerhalb eines Tages von rund 21.000 auf mehr als 1,3 Millionen erfasste Nachrichten anwuchs. Am 26. Februar erreichte das tägliche Volumen mit über 2,37 Millionen Phishing-Mails seinen Höhepunkt.
Wie unsichtbare Zeichen E-Mail-Filter täuschen
ASCII Smuggling nutzt unsichtbare oder nicht gerenderte Unicode-Tag-Zeichen wie U+E0020. Diese Zeichen erscheinen nicht auf dem Bildschirm, werden von Software jedoch weiterhin als Bestandteil des Textes verarbeitet.
Bislang war die Technik vor allem im Zusammenhang mit indirekten Prompt Injections bekannt. Dabei werden verdeckte Anweisungen in Webseiten oder Dokumenten platziert, die ein KI-Assistent einliest und möglicherweise ausführt. Vergleichbare Risiken zeigen sich bei Prompt Injections gegen Claude Code und bei OpenAI-Agenten, die eine Sandbox umgingen.
In der aktuellen Kampagne enthielten die Nachrichten dagegen keine versteckten Befehle für ein KI-Modell. Die Zeichen wurden direkt in Begriffe mit Finanzbezug eingefügt. Aus dem englischen Wort für Finanzierung wurde beispielsweise fun<U+E0020>ding.
Sinngemäß erklärten die Microsoft-Forscher Noam Kochavi und Sarah Wolstencroft: Die unsichtbaren Zeichen trennten gängige Finanzbegriffe so auf, dass ein wörtlicher Abgleich über Schlüsselwörter oder Signaturen fehlschlug.
Das Problem betrifft insbesondere Filter, die Zeichenfolgen unverändert gegen Keyword-Listen, Signaturen oder reguläre Ausdrücke prüfen. Reguläre Ausdrücke, häufig als Regex bezeichnet, sind Regeln zur automatisierten Erkennung bestimmter Textmuster.
Millionen Nachrichten nach einem festen Wochenrhythmus
Die Kampagne verwendete rund 150 Wegwerf-Domains mit Finanzbezug. Auffällig war der streng eingehaltene Rhythmus. An Wochentagen wurden große Mengen versendet, während die Aktivität an Wochenenden aussetzte.
| Zeitpunkt | Beobachtete Aktivität |
|---|---|
| 8. Februar | Rund 21.000 erfasste Nachrichten |
| 9. Februar | Mehr als 1,3 Millionen Nachrichten |
| 26. Februar | Höhepunkt mit über 2,37 Millionen Nachrichten |
| Intensive Anfangsphase | Zwischen 1 und 2,37 Millionen Nachrichten pro Wochentag |
| Ende März | Rund 80 % weniger Volumen pro Wochentag |
| Ab 15. Mai | Deutlicher Einbruch, kleinere Spitzen bis Mitte Juni |
Der zeitliche Verlauf und die wechselnden Absender-Domains sind zusätzliche Erkennungsmerkmale. Ein plötzlicher Anstieg unsichtbarer Tag-Zeichen, verbunden mit finanzbezogenen Absendern und einer Pause am Wochenende, kann auf eine zusammenhängende Kampagne hindeuten.
Welche konkreten E-Mail-Sicherheitsprodukte erfolgreich umgangen wurden, ist nicht bekannt. Ebenso bleibt offen, welche Gruppe hinter der Kampagne stand.
Unicode muss vor jeder Textprüfung normalisiert werden
Die zentrale Gegenmaßnahme liegt in der Vorverarbeitung. Unsichtbare und nicht druckbare Unicode-Codepunkte sollten entfernt oder vereinheitlicht werden, bevor ein Inhalt durch Schlüsselwortfilter, Signaturen oder Regex-Regeln läuft. Dadurch wird aus dem technisch getrennten Begriff wieder eine normal prüfbare Zeichenfolge.
Sinngemäß lautet die Empfehlung der Forscher: Jeder Inhalt sollte vor einer regelbasierten Auswertung von unsichtbaren Unicode-Zeichen bereinigt oder normalisiert werden, damit eingeschobene Zeichen den Abgleich nicht aushebeln.
Für Unternehmen im DACH-Raum betrifft das sowohl Secure Email Gateways als auch selbst betriebene Systeme wie Postfix, Rspamd oder Microsoft Exchange. Entscheidend ist nicht allein, ob eine Sicherheitslösung vorhanden ist. Entscheidend ist, an welcher Stelle die Normalisierung erfolgt und ob alle nachfolgenden Prüfungen mit dem bereinigten Text arbeiten.
Auch KI-Assistenten brauchen dieselbe Bereinigung
Die Maßnahme schützt zugleich KI-Assistenten, die eingehende E-Mails automatisiert zusammenfassen, priorisieren oder weiterverarbeiten. Ohne einheitliche Normalisierung kann dieselbe Nachricht den Spamfilter täuschen und anschließend versteckte Inhalte in eine LLM-Pipeline einschleusen.
Betreiber eigener Mailserver und lokaler KI-Systeme sollten daher Tokenisierung und Textvorverarbeitung gemeinsam betrachten. Tokenisierung bezeichnet die Zerlegung eines Textes in die Verarbeitungseinheiten eines Modells. Unterschiedliche Behandlung von Unicode-Zeichen zwischen Mailfilter, Anwendung und Sprachmodell schafft vermeidbare Lücken.
Der Vorfall zeigt zugleich die Grenzen vollständig ausgelagerter Sicherheitskontrollen. Ein SaaS-Filter nimmt Unternehmen die Verantwortung für die Eingangskontrolle nicht ab, wenn weder Normalisierungsregeln noch Protokolle überprüfbar sind. Bei selbst betriebenen Lösungen entsteht zwar zusätzlicher Pflegeaufwand, dafür lassen sich Bereinigung, Erkennung und Protokollierung gezielt anpassen.
Methoden aus der KI-Sicherheitsforschung bleiben damit nicht auf KI-Anwendungen beschränkt. Sobald eine Technik zuverlässig bestehende Textprüfungen stört, kann sie auch in etablierten Angriffskanälen wie Spam und Phishing eingesetzt werden.