Microsoft hat eine mehrmonatige Phishing-Kampagne aufgedeckt, die Finanz-Schlagwörter mit unsichtbaren Unicode-Zeichen zerstückelt und so klassische Spamfilter umgeht. Die Technik namens ASCII-Smuggling stammt ursprünglich aus der Sicherheitsforschung zu Sprachmodellen. Kriminelle setzten sie zwischen Februar und Mai 2026 in mehreren Millionen E-Mails ein.
Unsichtbare Zeichen zerlegen Schlüsselwörter
Wie das Microsoft Security Blog beschreibt, fügen die Angreifer mitten in Wörter wie „Finanzierung” oder „Kredit” Zeichen aus dem sogenannten Unicode-Tags-Block ein (U+E0000 bis U+E007F). Ein Schriftsystem stellt sie nicht dar, Empfänger sehen ein normales Wort – Filter, die nach dem exakten Schlagwort suchen, erkennen die zerrissene Zeichenkette dagegen nicht mehr. Der Tags-Block war ursprünglich für Sprachkennzeichnungen gedacht und liegt als unsichtbare Schattenkopie des druckbaren ASCII-Zeichensatzes vor.
Die E-Mails gaben sich als Kreditangebote und Vorfinanzierungen aus und richteten sich Microsoft zufolge gezielt an Antragsteller von Betriebsmittelkrediten der US-Förderbank SBA – eine Zielgruppe, die ohnehin auf E-Mails von unbekannten Finanzierungsanbietern wartet und Warnsignale deshalb eher übersieht. Versendet wurden sie über rund 150 Absenderdomains mit Finanzbezug, technisch abgewickelt über die legitime Marketing-Plattform ActiveCampaign. Diese erklärte, man habe die konkrete Technik gegen die eigene Inhaltsprüfung getestet – sie habe keinen Vorteil gegenüber unverschleierten Nachrichten gebracht, ein hoher Anteil unsichtbarer Zeichen gelte intern als Verdachtssignal.
Kampagne folgt striktem Wochentakt
Die Angriffswelle begann Anfang Februar 2026 mit rund 21.000 Nachrichten und wuchs binnen eines Tages auf mehr als 1,3 Millionen. An Spitzentagen zählte Microsoft über zwei Millionen Nachrichten, ehe das Volumen bis Mitte Mai wieder abebbte. Auffällig war der Rhythmus: Werktags liefen die Versände auf vollem Niveau, an Wochenenden kamen sie fast vollständig zum Erliegen – ein Hinweis auf automatisierte Versandinfrastruktur, die sich an gewöhnlichen Bürozeiten orientiert und so in der Masse regulärer Geschäftspost weniger auffällt.
Trotz der Verschleierung fing Microsoft Defender for Office 365 mehr als 99 Prozent der Nachrichten ab – allerdings nicht primär über die versteckten Zeichen selbst, sondern über Domain-Reputation, automatisierte Linkprüfung und Muster-Erkennung bei Massenversand. Die verräterischen Zeichen dienten eher als zusätzliches, nachträgliches Erkennungsmerkmal.
Namensgebend traten Absenderdomains wie guardiangrowthfunding, digitalcapitalboost oder advancefundingboost auf – austauschbare Wortkombinationen aus Wachstum, Kapital und Vorschuss, wie sie auch seriöse Finanzdienstleister verwenden. Genau diese Alltagstauglichkeit erschwert eine rein inhaltliche Erkennung und erklärt, warum Microsoft stattdessen auf Verhaltensmuster im Versand setzt.
Trick wandert von KI-Forschung in klassisches Phishing
ASCII-Smuggling war bislang vor allem als Angriffsweg gegen Sprachmodelle bekannt: Präparierte, für Menschen unsichtbare Anweisungen in Dokumenten oder E-Mails sollen KI-Assistenten zu ungewollten Aktionen bewegen, ein Verfahren, das Fachleute als Prompt Injection bezeichnen. Ein Fünf-Paper-Rückblick auf beckmann.ai dokumentierte kürzlich, wie sich Sicherheitstraining eines Modells mit als Kunstkritik getarnter ASCII-Kunst in 93 Prozent der Versuche umgehen ließ. Mit der jetzt beschriebenen Kampagne zeigt sich, dass Kriminelle dieselbe Zeichentrick-Idee unabhängig von KI-Systemen gegen menschliche Postfächer und klassische Textfilter richten.
Microsoft empfiehlt Verteidigern, Tags-Zeichen vor dem Abgleich mit Erkennungsregeln zu entfernen und ihr Auftreten außerhalb bekannter legitimer Fälle wie Flaggen-Emojis grundsätzlich als Anomalie zu werten. Auch bei der Aufbereitung von Texten für KI-Systeme sei eine solche Normalisierung sinnvoll, um Prompt-Injection-Versuche vorab zu entschärfen. Ähnlich wie beim kürzlich beschriebenen CSS-Trick gegen Webmail-Anbieter zeigt sich damit erneut, wie Angreifer Darstellungslücken zwischen dem, was ein Postfach anzeigt, und dem, was Filter tatsächlich verarbeiten, gezielt ausnutzen.
Offen bleibt, ob Kriminelle die Technik künftig gezielter gegen Firmen-Postfächer mit KI-gestützter Vorsortierung richten – dort könnten unsichtbare Zeichen nicht nur klassische Filter, sondern auch die zusammenfassenden KI-Assistenten selbst in die Irre führen, die eingehende Post für Mitarbeitende vorab bewerten.
