ASCII Smuggling: Unsichtbare Zeichen narren Mailfilter und KI
08. September 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Ein Trick aus der KI-Sicherheitsforschung ist im normalen Postfach angekommen. Microsoft hat am 3. September einen Fall veröffentlicht, bei dem Angreifer unsichtbare Unicode-Zeichen in Massenmails einbauten, um Spamfilter auszuhebeln. Die Telemetrie von Defender for Office 365 sprang an einem einzigen Tag von rund 21.000 auf über 1,3 Millionen Treffer. Für Geschäftsführer ist daran weniger die Spam-Welle interessant als die Mechanik dahinter: Dieselben Zeichen, die den Filter blind machen, sind für jede KI, die Ihre Mails liest, glasklar lesbar.
Ein Zeichenblock, den niemand sieht
Die Technik heißt ASCII Smuggling und nutzt den Unicode-Bereich U+E0000 bis U+E007F, den sogenannten Tags-Block. Der enthält eine Schattenkopie der druckbaren ASCII-Zeichen: U+E0041 spiegelt ein „A”, U+E0061 ein „a”. Ursprünglich war der Block zur Sprachkennzeichnung gedacht und gilt heute als weitgehend abgeschafft. Entscheidend ist seine Eigenschaft: Übliche Schriften und Oberflächen stellen diese Zeichen nicht dar. Ein Text kann also eine Botschaft tragen, die für Menschen unsichtbar bleibt, von jeder Software und jedem Sprachmodell aber sauber verarbeitet wird (Quelle: microsoft.com). Bekannt wurde der Block im vergangenen Jahr durch Prompt-Injection-Forschung: Angreifer versteckten darin Anweisungen für KI-Assistenten, die der Mensch im Dokument nie zu Gesicht bekam.
Der Spieß wurde umgedreht
In der jetzt dokumentierten Kampagne ist die Absicht genau umgekehrt. Statt Anweisungen vor Menschen zu verstecken und der KI unterzuschieben, zerlegen die Absender damit verdächtige Reizwörter, bevor der Filter sie prüfen kann. Ein unsichtbares Zeichen mitten in „funding” führt dazu, dass die Prüfsoftware „fun” und „ding” liest, während der Empfänger weiterhin „funding” sieht. Microsoft beschreibt das nüchtern: Der Mechanismus sei derselbe, nur die Zielrichtung invertiert, und beim Nutzer entstehe kein Verdacht. Der eigentliche Gewinn für den Angreifer liegt dabei nicht bei simplen Textabgleichen, sondern bei den KI-gestützten Klassifizierern, die moderne Spamerkennung tragen. Deren Tokenizer zerhackt das manipulierte Wort in unbekannte Bruchstücke, und das vertraute Muster ist weg (Quelle: arstechnica.com).
Drei Monate Dauerbeschuss, dann Funkstille
Die Zahlen sind ungewöhnlich klar dokumentiert. Am 8. Februar 2026 schlug die Suchsignatur bei rund 21.000 Nachrichten an, am 9. Februar bei über 1,3 Millionen. Die Welle hielt etwa drei Monate an und brach nach dem 15. Mai 2026 abrupt ab. Dahinter stand ein Cluster von rund 150 Absenderdomains mit Finanzbezug, versendet über die legitime Marketing-Plattform ActiveCampaign inklusive deren Link-Umschreibung. Auffällig war der Takt: werktags an, am Wochenende aus. Bei den Spitzenwerten weichen die Berichte leicht ab. Microsofts Grafik weist den Höchststand mit über 2,3 Millionen Nachrichten am 11. Februar aus, SC World nennt 2,37 Millionen am 26. Februar und beziffert die Grundlast vor der Welle mit 5.000 bis 20.000 Mails pro Tag (Quelle: scworld.com). An der Größenordnung ändert das nichts.
Was den Angriff trotzdem gestoppt hat
Der lehrreichste Satz des Berichts steht im Kleingedruckten: Über 99 Prozent der Nachrichten wurden von Schutzschichten erkannt, die mit den unsichtbaren Zeichen gar nichts zu tun hatten. Absender- und IP-Reputation, URL-Prüfung, Markenimitations-Erkennung und Authentifizierungschecks griffen, obwohl der Textfilter ausgetrickst war. Genau das ist die übertragbare Lehre: Ein einzelnes cleveres Erkennungsmerkmal ist immer angreifbar, eine Kette voneinander unabhängiger Prüfungen nicht so leicht. Nebenbei zeigt der Bericht, wie heikel solche Signaturen im Alltag sind. Die erste, zu grobe Version schlug zuverlässig bei völlig harmlosen Mails an, weil die Flaggen-Emojis von England, Schottland und Wales technisch ebenfalls aus unsichtbaren Tag-Zeichen bestehen.
Der Handgriff, der beide Probleme löst
Microsofts Empfehlung passt in vier Wörter: normalisieren, bevor man vergleicht. Wer Text automatisiert auswertet, sollte unsichtbare Zeichen vorher entfernen. Das schützt gleichzeitig gegen die Filterumgehung und gegen versteckte Anweisungen an KI-Assistenten. Konkret empfiehlt der Bericht:
Unsichtbare Codepunkte strippen, also den Tags-Block U+E0000 bis U+E007F sowie Zero-Width-Zeichen, bevor Betreff und Text geprüft werden.
Ihr Auftreten als Warnsignal werten: In normaler Geschäftspost kommen diese Zeichen praktisch nicht vor.
Auf das Verhaltensmuster achten: Massenvolumen von wechselnden Finanz-Domains im Werktagstakt ist ein starker Hinweis.
Dieselbe Normalisierung vor die KI schalten, also bevor Mails, PDFs oder Formulareingaben in ein Sprachmodell laufen.
Was das für Unternehmen bedeutet
Der letzte Punkt ist der teure. Immer mehr mittelständische Betriebe lassen eingehende Texte nicht mehr nur von Menschen lesen: Der Pflegedienst sortiert Anfragen automatisch vor, die Tanzschule lässt Kursanmeldungen aus dem Kontaktformular auswerten, die Agentur zieht Angebotsdaten aus Lieferanten-PDFs, die Schule bündelt Elternmails. Wo ein Sprachmodell in der Kette hängt, ist jeder eingehende Text potenziell eine Anweisung und nicht nur Inhalt. Der Schutz dagegen ist technisch banal, eine Bereinigungsstufe vor dem Modell, aber niemand liefert sie frei Haus. Generische SaaS-Werkzeuge nehmen den Text so, wie er kommt, und der Hinweis „unser Anbieter hat KI-Spamschutz” ist nach diesem Fall erkennbar zu dünn.
Praktisch heißt das: Prüfen Sie einmal, wo in Ihrem Betrieb Text ungefiltert in ein KI-System läuft. Das ist eine Stunde Arbeit für die Person, die Ihre Automatisierungen betreut, und es endet meist in einem einzigen zusätzlichen Schritt im Workflow. Wer solche Abläufe gerade erst aufbaut, sollte die Bereinigung von Anfang an einplanen, statt sie später nachzurüsten. Eine sauber gebaute KI-Automation unterscheidet sich von einer schnell zusammengeklickten genau an solchen unscheinbaren Stellen: bei der Frage, was mit einem Text passiert, bevor das Modell ihn zu sehen bekommt.
