Cyberkriminelle setzen zunehmend auf eine raffinierte Methode, um Sicherheitsfilter zu umgehen: Sie verstecken sch\u00e4dliche Inhalte hinter unsichtbaren Unicode-Zeichen. Eine aktuelle, gro\u00df angelegte Phishing-Kampagne nutzt diese als \u201eASCII Smuggling\u201c bekannte Technik, um Finanzthemen-bezogene Phishing-E-Mails an Millionen von Empf\u00e4ngern zu schleusen \u2013 und zeigt damit eine gef\u00e4hrliche Entwicklung in der Bedrohungslandschaft auf.<\/p>\n
Die Methode des ASCII Smuggling ist keine v\u00f6llig neue Entdeckung. Sie wurde bereits bei KI-Prompt-Injection-Angriffen genutzt, um sch\u00e4dliche Anweisungen f\u00fcr den Anwender unsichtbar zu machen. Nun haben Bedrohungsakteure diese Technik erfolgreich auf traditionelle Phishing-Kampagnen \u00fcbertragen. Microsoft-Forscher entdeckten eine massive Welle solcher Angriffe, die Ende Februar ihren H\u00f6hepunkt mit bis zu 2,37 Millionen t\u00e4glichen Nachrichten erreichte. Seit Mai ist das Volumen zwar r\u00fcckl\u00e4ufig, die Operation ist jedoch weiterhin aktiv. \u201eDie Phase mit hohem Volumen hielt etwa drei Monate nach dem 9. Februar an und fiel nach dem 15. Mai 2026 stark ab\u201c, erl\u00e4utert Microsoft in einem Sicherheitsbericht. \u201eDiese Daten beschreiben die beobachtete Nutzung der spezifischen Technik in unserer Telemetrie, nicht die gesamte Kampagne, die bereits fr\u00fcher ohne diese Methode begann und auch danach fortgef\u00fchrt wurde.\u201c<\/p>\n
Die Angreifer nutzen Unicode-Zeichen aus dem sogenannten \u201eTags-Block\u201c (U+E0000\u2013U+E007F). Diese Zeichen sind im Text unsichtbar \u2013 sie belegen Platz, werden aber weder dargestellt noch von vielen Standard-Filtern erkannt. In der Kampagne wird ein solches unsichtbares Zeichen in Finanzbegriffe wie \u201eFunding\u201c oder \u201eCapital\u201c eingef\u00fcgt. Aus \u201efunding\u201c wird so optisch identisch \u201efun[unsichtbares Zeichen]ding\u201c. Diese Manipulation erm\u00f6glicht es, wortlistenbasierte Filter zu umgehen, die nach exakten Begriffen wie \u201eKredit\u201c oder \u201eDarlehen\u201c suchen. Die E-Mail selbst bleibt f\u00fcr den Empf\u00e4nger v\u00f6llig normal lesbar. Die Domains der Absender enthielten g\u00e4ngige Finanzvokabeln wie \u201efunding\u201c, \u201ecapital\u201c, \u201eloan\u201c, \u201eadvance\u201c und \u201ecredit\u201c. Microsoft identifizierte am 9. Februar einen Cluster von 148 auf Finanzthemen spezialisierten Absender-Domains, die f\u00fcr rund 96 Prozent aller von der neuen Erkennungslogik in Defender for Office 365 markierten Nachrichten verantwortlich waren.<\/p>\n
Die Phishing-Nachrichten selbst bewarben Gesch\u00e4ftsfinanzierungen, Kredite und Kreditdienstleistungen. Die Zustellung erfolgte \u00fcberraschenderweise \u00fcber die Infrastruktur der legitimen E-Mail-Marketing-Plattform ActiveCampaign. Nachdem Microsoft den Missbrauch der Dienste meldete, erkl\u00e4rte ActiveCampaign, dass die eigenen Moderationssysteme unsichtbare Unicode-Zeichen identifizieren k\u00f6nnen und eine intensive Nutzung als verd\u00e4chtig einstufen. Die Entdeckung verdeutlicht eine gef\u00e4hrliche Asymmetrie: W\u00e4hrend Standardfilter geblendet werden, bleibt die Nachricht f\u00fcr das menschliche Auge perfekt lesbar. Trotz der hohen Effektivit\u00e4t der Tarnung konnte Microsoft Defender \u00fcber 99 Prozent der Nachrichten auf Basis anderer Signale wie Absender-IP, Domain-Reputation und Absenderverhalten identifizieren und blockieren.<\/p>\n
Die Bedrohung liegt in ihrer Einfachheit und Skalierbarkeit. Die Technik erfordert keine komplexen Exploits oder Malware \u2013 sie ist ein reines Text-Encoding-Man\u00f6ver. F\u00fcr Unternehmen bedeutet dies, dass reine Schl\u00fcsselwort- oder Regex-basierte Erkennung nicht mehr ausreicht. Microsoft empfiehlt, Unicode-Tag-Zeichen und andere unsichtbare Codepunkte vor der Analyse zu entfernen oder zu normalisieren. Die Anwendung dieser Normalisierung auf den gesamten E-Mail-Inhalt, bevor er an KI-Assistenten oder Sicherheits-Systeme \u00fcbergeben wird, minimiert zudem das Risiko von Prompt-Injection-Angriffen.<\/p>\n
Die Kampagne unterstreicht die Notwendigkeit eines mehrschichtigen Sicherheitsansatzes. Da die unsichtbaren Zeichen die reine Textanalyse unterwandern, m\u00fcssen moderne Sicherheitsl\u00f6sungen auf Kontext, Verhalten und Reputation abheben. Die Technik selbst ist ein Paradebeispiel f\u00fcr die konvergierenden Bedrohungen aus KI-Angriffen und traditionellem Phishing. Die T\u00e4ter haben gelernt, dass ein Trick, der in der Welt der Prompt-Injection funktioniert, sich nahtlos auf die Umgehung von E-Mail-Filtern \u00fcbertragen l\u00e4sst.<\/p>\n
F\u00fcr Sicherheitsverantwortliche in Deutschland und dem deutschsprachigen Raum ist es essenziell, die eigenen E-Mail-Sicherheitsfilter auf die F\u00e4higkeit zu pr\u00fcfen, Unicode-Tag-Zeichen zu erkennen und zu neutralisieren. Die n\u00e4chste Welle solcher Angriffe k\u00f6nnte bereits andere Zeichens\u00e4tze oder Codierungsvarianten nutzen. Die F\u00e4higkeit, Anomalien im Zeichensatz als starken Indikator f\u00fcr eine Bedrohung zu behandeln, wird damit zu einem zentralen Baustein einer robusten Verteidigungsstrategie. Die Entwicklung zeigt: Im Wettr\u00fcsten zwischen Angreifern und Verteidigern wird zunehmend auf der Ebene geschrieben, die wir nicht sehen k\u00f6nnen.<\/p>\n","protected":false},"excerpt":{"rendered":"
Cyberkriminelle setzen zunehmend auf eine raffinierte Methode, um Sicherheitsfilter zu umgehen: Sie verstecken sch\u00e4dliche Inhalte hinter unsichtbaren Unicode-Zeichen. Eine aktuelle, gro\u00df angelegte Phishing-Kampagne nutzt diese als \u201eASCII Smuggling\u201c bekannte Technik, um Finanzthemen-bezogene Phishing-E-Mails an Millionen von Empf\u00e4ngern zu schleusen \u2013 und zeigt damit eine gef\u00e4hrliche Entwicklung in der Bedrohungslandschaft auf. Unsichtbare Zeichen als Schlupfloch f\u00fcr […]<\/p>\n","protected":false},"author":5,"featured_media":55007,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51397.png","fifu_image_alt":"Angreifer nutzen unsichtbare Unicode-Zeichen f\u00fcr Phishing-Kampagnen","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51397","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51397.png","fifu_image_alt":"Angreifer nutzen unsichtbare Unicode-Zeichen f\u00fcr Phishing-Kampagnen","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51397","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51397"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51397\/revisions"}],"predecessor-version":[{"id":51400,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51397\/revisions\/51400"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55007"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51397"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51397"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51397"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}