Eine E-Mail kann auf dem Bildschirm vollkommen gewöhnliche Wörter anzeigen und dennoch unsichtbare Zeichen enthalten, die bestimmte Anti-Phishing-Filter stören können.
Microsoft entdeckte diese Methode bei Untersuchungen zum Schutz seines E-Mail-Dienstes vor Angriffen auf Systeme mit künstlicher Intelligenz. Ab dem 9. Februar 2026 erkannten seine Tools plötzlich mehr als 1,3 Millionen betroffene Nachrichten an einem einzigen Tag. An manchen Tagen überschritt die Zahl anschließend 2,3 Millionen, bevor sie Mitte Mai stark zurückging.
Symbolbild
Pixabay
Um den Trick zu verstehen, muss man zwischen dem unterscheiden, was der Empfänger sieht, und dem, was der Computer liest. Ein digitaler Text enthält nicht nur sichtbare Buchstaben. Der Unicode-Standard sieht auch zahlreiche besondere Zeichen vor. Einige davon erzeugen auf dem Bildschirm praktisch keine sichtbare Darstellung, bleiben aber in den Nachrichtendaten enthalten.
Die Urheber der Kampagne fügten diese Zeichen in Wörter ein, die mit Finanzangeboten zusammenhingen. Der Empfänger konnte ein Wort wie „funding“ daher ganz normal lesen. Für eine Software konnte dasselbe Wort jedoch in mehrere Teile zerlegt sein, die durch ein unsichtbares Zeichen getrennt wurden.
Dieser Unterschied kann die einfachsten Schutzmechanismen beeinträchtigen. Ein Filter, der exakt nach einem verdächtigen Wort sucht, findet möglicherweise nicht mehr dieselbe Zeichenfolge. Auch Systeme mit maschinellem Lernen können gestört werden, da sie den Text vor der Analyse häufig zunächst in kleine Bestandteile zerlegen.
Die Methode trägt den Namen „ASCII smuggling“. Sie nutzt hier einen bestimmten Unicode-Bereich, der unsichtbare Versionen gängiger Zeichen enthält. Zunächst hatte sie vor allem in der Forschung zu Angriffen auf Assistenten mit künstlicher Intelligenz Aufmerksamkeit erregt. Dabei konnten Anweisungen vor den Augen eines Menschen verborgen werden, während sie für eine Software lesbar blieben.
Das Prinzip, Wörter unauffällig zu zerlegen, ist in Spam-Nachrichten allerdings nicht neu. Andere unsichtbare Zeichen oder spezielle Leerzeichen werden schon seit Langem eingesetzt. Die von Microsoft beobachtete Kampagne zeichnet sich durch die Wahl dieser Zeichenfamilie aus.
Microsoft zufolge wurden mehr als 99 % der beobachteten Nachrichten von anderen Mechanismen in Defender erkannt. Moderne Filter kombinieren mehrere Hinweise, etwa Absender, Links, Inhalt und Versandverhalten, statt sich auf ein einziges Wort zu verlassen.
Um diese Art der Umgehung zu erschweren, empfiehlt Microsoft unter anderem, den Text vor der Analyse zu bereinigen. Verdächtige unsichtbare Zeichen können entfernt oder normalisiert werden, damit die tatsächlich für den Leser angezeigten Wörter wiederhergestellt werden.