Ein KI-Trick, der jetzt auch Menschen-Filter täuscht
Microsofts Security Blog deckte am 3. September 2026 auf, dass eine Technik, die ursprünglich Anweisungen vor KI-Modellen verstecken sollte, jetzt auch Phishing-Schlüsselwörter vor gewöhnlichen Spam-Filtern verbirgt. Die Technik namens ASCII-Schmuggel versteckt Text in unsichtbaren Unicode-Zeichen aus dem sogenannten Tags-Block, einem Bereich, der ursprünglich für Sprachkennzeichnung gedacht war und später von Prompt-Injection-Forschern genutzt wurde, weil er in keiner normalen Schriftart oder Oberfläche sichtbar dargestellt wird. Eine Zeichenkette kann so eine unsichtbare Anweisung tragen, die ein Mensch nie sieht, ein Sprachmodell aber Zeichen für Zeichen weiterverarbeitet.
Angreifer fanden für denselben unsichtbaren Bereich einen zweiten Zweck: ein gefiltertes Wort so aufzuspalten, dass kein Scanner es je als Ganzes erkennt. Statt eine Anweisung zu verstecken, fügen sie ein einzelnes unsichtbares Tag-Zeichen, etwa das TAG-SPACE-Zeichen bei U+E0020, mitten in ein Reizwort wie "funding" ein, sodass der sichtbare Text für einen Menschen weiterhin "funding" ergibt, während die Zeichenkette, die ein Filter tatsächlich liest, in zwei bedeutungslose Fragmente zerfällt. Klassische Schlüsselwortfilter und viele KI-gestützte Inhaltsklassifizierer verarbeiten beide dieselbe wörtliche Zeichenkette, weshalb derselbe Ein-Zeichen-Trick beide täuschte.
Eine legitime Plattform, ein SBA-Köder und 2,37 Millionen Mails
Microsoft ordnete den Anstieg einer einzelnen, gut organisierten Kampagne zu, die die legitime E-Mail-Marketing-Plattform ActiveCampaign für den Massenversand missbrauchte. Die eigentlichen Mails wurden über Infrastruktur weitergeleitet, die mit ActiveCampaign verbunden ist, und die Angreifer nutzten das plattformeigene System zum Umschreiben von URLs und zur Klick-Verfolgung, wobei Links über die Domains acemlnd.com und activehosted.com liefen, sodass ein verdächtiges Ziel wie ein gewöhnlicher Tracking-Link einer Marketing-Plattform aussah. Microsoft verband die Kampagne mit einer breiteren, über ActiveCampaign ausgelieferten, SBA-thematischen Phishing-Operation, die das Sicherheitsunternehmen Fortra bereits zuvor dokumentiert hatte; darin boten KI-generierte Köder-Mails Geschäftskredite, Kreditlinien und Vorschusszahlungen für Antragsteller der Small Business Administration und andere Kleinunternehmer an und leiteten sie danach auf Seiten weiter, die Umsatzzahlen, gewünschte Kreditsummen, Bonitätswerte und Kontaktdaten sammelten.
Das Volumen sprach für sich. Am Tag vor Kampagnenbeginn schlug Microsofts Erkennungssignatur für diesen Missbrauch des Unicode-Tags-Blocks bei einer Basis von rund 5.000 bis 20.000 Nachrichten täglich an; am 9. Februar 2026 sprang dieser Wert an einem einzigen Tag auf über 1,3 Millionen, die Hochvolumenphase hielt sich rund drei Monate lang und erreichte am 26. Februar 2026 mit 2,37 Millionen Nachrichten ihren Höhepunkt, bevor sie nach dem 15. Mai 2026 deutlich zurückging.
| Zeitraum | Tägliches Volumen |
|---|---|
| Basis (vor dem 9. Februar 2026) | Rund 5.000 bis 20.000 Nachrichten |
| 9. Februar 2026 (Beginn) | Über 1,3 Millionen Nachrichten |
| 26. Februar 2026 (Höhepunkt) | 2,37 Millionen Nachrichten |
| Bis zum 15. Mai 2026 | Anhaltend hohes Volumen, dann starker Rückgang |
Jenseits der Zahlen: eine Lücke, zwei Filterarten
Die eigentlich unangenehme Erkenntnis ist nicht, dass Phisher einen neuen Trick gefunden haben, sondern dass derselbe Trick aus demselben Grund gegen zwei völlig unterschiedliche Arten von Verteidigung funktioniert. Ein in den 1990er-Jahren gebauter Schlüsselwortfilter und ein 2026 gebauter, maschinell lernender Inhaltsklassifizierer arbeiten beide mit derselben Annahme: dass die Zeichenkette, die ein System liest, dieselbe Zeichenkette ist, die ein Mensch sieht, und dass das Erkennen des sichtbaren Wortes ausreicht, um die dahinterliegende Absicht zu erfassen. ASCII-Schmuggel bricht diese Annahme für beide Verteidigungslinien gleichzeitig, weil das sichtbare Wort nie entfernt wird. Es wird nur ein Zeichen eingefügt, das keine Oberfläche darstellt, sodass der Mensch "funding" sieht, während die Maschine zwei Fragmente sieht, die auf keiner Sperrliste etwas bedeuten.
Diese Lücke endet nicht bei einer einzigen Kampagne gegen Antragsteller der Small Business Administration. Jedes europäische oder britische Unternehmen, das Microsoft 365 oder Google Workspace zur Inhaltsfilterung einsetzt, oder das einen KI-E-Mail-Assistenten baut, der rohen Posteingangsinhalt liest, bevor er ihn zusammenfasst oder darauf reagiert, verlässt sich auf dieselbe Annahme: dass das, was der Filter verarbeitet, dem entspricht, was der Leser sieht. Microsofts eigene Empfehlung lautet zu normalisieren, also Unicode-Tags-Block-Zeichen vor jeder Spam-Signatur oder KI-Analyse zu entfernen oder zu markieren, gerade weil dasselbe unsichtbare Zeichen beide Systeme täuscht. Diese Kampagne richtete sich mit englischsprachigen Ködern gegen US-Kreditantragsteller, und nichts in der Berichterstattung deutet bisher auf einen EU-spezifischen Vorfall hin, aber die Technik selbst kümmert sich nicht darum, welche Sprache oder Zielliste ihr vorgesetzt wird, weshalb die Frage an die eigenen Anbieter schon jetzt gestellt werden sollte und nicht erst, wenn die erste europäische Domain in einer fremden Meldung auftaucht.
Weiterlesen: Zimbra-Nutzer: Der 21. August verändert Ihr Risiko | Windows bekommt einen cloud-freien KI-Modus
