Microsoft Threat Intelligence beschreibt eine Phishing-Kampagne, die eine aus der KI-Sicherheitsforschung bekannte Technik in klassische E-Mail-Angriffe überträgt: ASCII Smuggling. Die Angreifer verstecken keine Befehle für ein KI-System, sondern setzen unsichtbare Unicode-Tag-Zeichen in Wörter wie „funding“, damit einfache Filter, Signaturen oder Tokenizer das Wort nicht mehr sauber erkennen. Für kleine und mittlere Unternehmen ist das relevant, weil Microsoft zugleich konkrete Prüf- und Schutzansätze für Microsoft Defender for Office 365 nennt.
Was Microsoft am 3. September 2026 gemeldet hat
Der Microsoft Security Blog berichtet von einer großvolumigen, finanzthematischen Phishing-Kampagne. Die verwendeten Nachrichten enthielten unsichtbare Zeichen aus dem Unicode-Tags-Block U+E0000 bis U+E007F, besonders U+E0020. Für Empfänger blieb der Text normal lesbar; technisch wurde ein auffälliges Schlüsselwort jedoch in mehrere Teile getrennt. Microsoft nennt als Beispiel „fun<U+E0020>ding“ statt „funding“.
Microsoft ordnet den Fund ausdrücklich nicht als vollständiges Verstecken einer Nachricht ein. Entscheidend ist die Wiederverwendung derselben Zeichenklasse: Was bei Prompt-Injection-Angriffen dazu dient, Menschen und KI-Modelle unterschiedlich lesen zu lassen, wurde hier zur Phishing-Erkennung umfunktioniert. Die Kampagne lief laut Microsoft in der beobachteten Hochphase ab dem 9. Februar 2026 über rund drei Monate.
Warum das KMU spürbar betrifft
Der Angriff nutzt keine exotische Plattform. Er trifft den normalen E-Mail-Kanal und Finanzköder, die auch in Organisationen mit 10 bis 250 Arbeitsplätzen funktionieren: Kreditlinien, Vorauszahlungen, Darlehensangebote oder scheinbare Geschäftsanfragen. Die praktische Frage ist deshalb nicht, ob ein Unternehmen eigene KI-Modelle betreibt, sondern ob seine E-Mail-Schutzkette unsichtbare Zeichen vor der Erkennung normalisiert.
- Phishing-Mails bleiben für Anwender optisch plausibel, obwohl der technische Inhalt manipuliert ist.
- Signaturen und reguläre Ausdrücke können scheitern, wenn sie vor der Prüfung nicht normalisieren.
- KI-gestützte Klassifikatoren können durch ungewöhnliche Tokenisierung andere Eingaben sehen als der Mensch.
- Gemeinsam genutzte Marketing-Infrastruktur kann Reputationseinschätzungen erschweren.
Dringlichkeit: keine Frist, aber aktiver Prüfbedarf
Microsoft nennt keine Migrationsfrist. Die konkrete Handlung ist eine zeitnahe Kontroll- und Hunting-Prüfung. Der Blog beschreibt Volumensprünge von rund 21.000 Treffern am 8. Februar auf mehr als 1,3 Millionen am 9. Februar 2026 und einen Spitzenwert von über 2,3 Millionen Nachrichten am 11. Februar. Die beobachtete Hochphase fiel nach dem 15. Mai deutlich ab, die Kampagne selbst veränderte sich laut Microsoft jedoch weiter.
Für Umgebungen mit Microsoft Defender ist der wichtigste Punkt die Robustheit mehrerer Schichten. Microsoft schreibt, dass Defender for Office 365 mehr als 99 Prozent der Nachrichten über Schutzebenen erkannte, die nicht allein vom Unicode-Signal abhängig waren, darunter Sender-, IP-, URL- und Domain-Reputation, ML-Phishing-Klassifikation, Marken-Imitationserkennung, Authentifizierungsprüfungen und OCR-basierte Inhaltsanalyse.
Welche Signale Defender sichtbar machen kann
Microsoft nennt die Unicode-Tag-Zeichen selbst als primäres Inhaltsmuster, weist aber darauf hin, dass der Nachrichtentext in Advanced Hunting nicht als Body-Spalte zur Verfügung steht. Die vorgeschlagenen Hunting-Queries arbeiten deshalb mit Infrastruktur-Fingerprints: finanzthematische Absenderdomänen, Umschlagabsender-Muster, Tracking-Links auf ActiveCampaign-Domänen und zeitliche Verhaltensmuster. Diese Pivots sind Startpunkte, keine alleinigen Urteile.
- Unicode-Tag-Zeichen in Betreff oder Body als starke Anomalie behandeln.
- Ausnahmen wie England-, Schottland- und Wales-Flaggen berücksichtigen, statt pauschal jedes Tag-Zeichen zu blockieren.
- Finanzthematische Wegwerfdomänen mit wiederkehrenden Wortbausteinen korrelieren.
- Tracking-Domänen wie activehosted.com oder acemlnd.com nur als Bestätigung nutzen, weil sie auch legitim verwendet werden.
- Den /24-Block 173.236.20.0/24 höchstens zum Eingrenzen verwenden, nicht als eigenständigen Blockindikator.
Konkrete nächste Schritte
Administratoren sollten prüfen, ob ihre Mail-Filter unsichtbare und nicht gerenderte Unicode-Zeichen vor Keyword-, Signatur- oder Regex-Prüfungen entfernen oder falten. Genau diesen Grundsatz formuliert Microsoft als Kernmaßnahme: „normalize before you match“. Dieselbe Normalisierung sollte vor der Übergabe von E-Mail-Inhalten an KI-Assistenten oder Automatisierungen greifen, damit Prompt-Injection- und Phishing-Evasion-Szenarien nicht getrennt behandelt werden.
Zusätzlich lohnt ein Blick in Threat Explorer, Real-time detections und Advanced Hunting auf die von Microsoft beschriebenen Muster. Defender for Office 365 Prompt Injection Protection wird in Microsoft Learn als Erkennung im Mailfluss beschrieben; Treffer erscheinen unter dem Verdict „High confidence phishing“ mit der Detection Technology „Prompt injection protection“. In einem Microsoft Security Assessment lässt sich daraus ein konkreter Test ableiten: Wird eine manipulierte Mail vor der Zustellung, beim Klick, in der Reputation oder erst durch nachgelagerte Korrelation auffällig?
Offizielle Microsoft-Quellen
- Microsoft Security Blog: ASCII smuggling crosses over from AI prompt injection to phishing evasion
- Microsoft Learn: Prompt injection protection in Microsoft Defender for Office 365
- Microsoft Learn: Microsoft Defender for Office 365 documentation
Wenn Sie wissen möchten, ob Ihre Microsoft-365-Mail-Sicherheit solche Unicode-Manipulationen erkennt und wie sauber E-Mail-Inhalte vor KI-Workflows normalisiert werden, sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
