TL;DR: Angreifer setzen unsichtbare Unicode-Zeichen mitten in verdächtige Begriffe, damit Menschen eine normale E-Mail sehen, einfache Filter aber einen anderen Zeichenstrom auswerten – wirksamer Schutz beginnt deshalb mit Normalisierung vor jeder regel- oder KI-basierten Prüfung.
Eine Technik aus der Diskussion um Prompt Injection ist im klassischen E-Mail-Phishing angekommen. Microsoft Security Research berichtet über eine großvolumige Kampagne, die unsichtbare Unicode-Tag-Zeichen in finanzbezogene Lockbegriffe einfügte. Für Empfänger blieb der Wortlaut optisch unverändert. Ein Filter, der nach einer exakten Zeichenfolge suchte, konnte dagegen an dem unsichtbaren Trennzeichen scheitern.
Die Beobachtung ist weniger spektakulär als eine unsichtbare Geheimnachricht – und gerade deshalb relevant. In den von Microsoft untersuchten Nachrichten wurde keine komplette Anweisung im Text versteckt. Die Angreifer verwendeten überwiegend ein einzelnes unsichtbares Zeichen als Separator innerhalb auffälliger Wörter. Das ist ein kleiner Eingriff mit großer Hebelwirkung: Er nutzt die Differenz zwischen Darstellung und maschineller Verarbeitung aus.
Was hinter dem Namen steckt
Der verbreitete Name „ASCII Smuggling“ ist technisch etwas irreführend. Die Tarnung basiert nicht auf normalen ASCII-Zeichen, sondern auf speziellen Codepunkten aus dem Unicode-Tag-Block U+E0000 bis U+E007F. Diese Zeichen korrespondieren teilweise mit ASCII-Werten, gehören aber zu Unicode und werden in gewöhnlicher Darstellung meist nicht sichtbar ausgegeben.
Der Unicode-Standard beschreibt 97 Zeichen in diesem Block. Ursprünglich sollten sie Sprachinformationen in Klartext transportieren; dieser Verwendungszweck wurde später verworfen. Heute kommen Tag-Zeichen in definierten Emoji-Sequenzen vor, unter anderem bei bestimmten Unterregionsflaggen. Die Unicode-Emoji-Spezifikation hält zugleich fest, dass tag-unaware Anwendungen solche Zeichen unsichtbar darstellen können.
Damit entstehen zwei Wahrheiten derselben E-Mail. Der Mensch liest beispielsweise einen scheinbar zusammenhängenden Begriff. Die Software erhält jedoch eine Folge aus sichtbaren Buchstaben und einem zusätzlichen Codepunkt dazwischen. Ein wortgetreuer Vergleich, eine schlecht vorbereitete Regex oder eine Tokenisierung ohne Vorverarbeitung kann das Wort deshalb nicht mehr als Einheit erkennen.
Vom KI-Trick zur Filterumgehung
Bekannt wurde die Methode zunächst im Umfeld von Large Language Models. Unsichtbare Tag-Zeichen konnten Textbestandteile transportieren, die in einer Oberfläche nicht auffielen, von einem nachgelagerten Modell aber verarbeitet wurden. Das eröffnete Wege für indirekte Prompt Injection: Ein Dokument sah für den Leser harmlos aus, enthielt für das Modell jedoch zusätzliche Instruktionen.
Die aktuelle Phishing-Variante überträgt nicht zwingend den gesamten Mechanismus. Statt verborgener Sätze genügt die strukturelle Idee: sichtbare und maschinell gelesene Inhalte auseinanderlaufen zu lassen. Microsoft fand das Trennzeichen U+E0020 TAG SPACE innerhalb von Begriffen, die für finanzbezogene Köder typisch waren. Der Empfänger sah weiterhin einen flüssigen Text, während einfache Erkennungsmuster unterbrochen wurden.
Genau diese Übertragung ist die eigentliche Nachricht. Angriffstechniken bleiben selten in dem Gebiet, in dem sie bekannt werden. Sobald Sicherheitsforschung einen neuen Parser-Unterschied zeigt, kann er bei E-Mail, Dokumenten, Ticketsystemen, Suchindizes oder KI-Assistenten wieder auftauchen. Verteidigung sollte daher nicht nur nach Kampagnennamen suchen, sondern nach der zugrunde liegenden Klasse von Mehrdeutigkeiten.
Was Microsoft beobachtet hat
In Microsofts Telemetrie stiegen Treffer einer speziell auf diese Technik ausgerichteten Suchsignatur am 9. Februar 2026 sprunghaft an. Am Vortag wurden rund 21.000 Nachrichten erfasst, am 9. Februar mehr als 1,3 Millionen. Am 11. Februar lag das Volumen über 2,3 Millionen. An Werktagen bewegte es sich während der Hochphase häufig zwischen einer und 2,37 Millionen Nachrichten pro Tag. Nach dem 15. Mai fiel die Aktivität deutlich ab; geringere Restaktivität reichte bis Mitte Juni.
Diese Zahlen sind Telemetriedaten eines Anbieters und kein vollständiges Bild des weltweiten Phishings. Sie zeigen aber, dass die Technik automatisiert und in industriellem Maßstab eingesetzt wurde. Microsoft verband sie mit einer breiteren, bereits zuvor dokumentierten Kampagne, die legitime Infrastruktur des E-Mail-Marketing-Anbieters ActiveCampaign missbrauchte. Die Plattform selbst war damit nicht die Ursache; ihre Versand- und Tracking-Infrastruktur verschaffte den Nachrichten jedoch die äußeren Merkmale eines etablierten Dienstes.
Auch wichtig: Die Mehrzahl der Nachrichten wurde laut Microsoft durch mehrere Schutzschichten erkannt, nicht allein durch ein Unicode-Signal. Das relativiert sowohl Alarmismus als auch Sorglosigkeit. Unsichtbare Zeichen machen eine Kampagne nicht automatisch unsichtbar, können aber einzelne Kontrollen schwächen und dadurch die Abhängigkeit von weiteren Signalen erhöhen.
Normalisieren, bevor Regeln greifen
Die zentrale technische Maßnahme ist eine kanonische Prüfdarstellung. Betreff und Nachrichtentext sollten vor Schlüsselwortsuche, Signaturen, regulären Ausdrücken und statistischer Analyse normalisiert werden. Dazu gehört, Tag-Zeichen und weitere Zero-Width- beziehungsweise unsichtbare Codepunkte kontrolliert zu entfernen oder auf eine definierte Form abzubilden. Die Prüfung sollte sowohl den Originaltext als auch die normalisierte Variante behalten: Das Original ist für Forensik wichtig, die bereinigte Form für robuste Vergleiche.
Ein pauschaler Alarm für jedes Tag-Zeichen wäre allerdings zu grob. Gültige Emoji-Tag-Sequenzen können legitime Unterregionsflaggen darstellen, etwa für England, Schottland oder Wales. Gute Erkennung prüft deshalb den Kontext: Steht ein einzelnes Tag-Zeichen mitten in einem Wort? Gibt es ungewöhnlich viele Formatzeichen? Entspricht die Sequenz einer gültigen Emoji-Struktur? Und treten gleichzeitig verdächtige Absender-, Link-, Versand- oder Inhaltsmerkmale auf?
Diese Vorverarbeitung gehört nicht nur in klassische Secure-E-Mail-Gateways. Wenn ein Unternehmen E-Mails, Anhänge, Support-Tickets oder Wissensdokumente an ein Sprachmodell übergibt, sollte dieselbe Normalisierung vor dem KI-System stattfinden. Andernfalls kann das Modell Zeichen sehen, die in der Benutzeroberfläche verborgen bleiben. Zusätzlich sollte die Oberfläche ungewöhnliche Steuer- und Formatzeichen bei sensiblen Workflows sichtbar machen oder zumindest kennzeichnen.
Mehrere Signale statt einer neuen Blockliste
Normalisierung schließt eine konkrete Lücke, ersetzt aber keine mehrschichtige Abwehr. Reputation von Absendern und Domains, Authentifizierungsmerkmale wie SPF, DKIM und DMARC, URL-Analyse, Sandbox- oder Detonationsverfahren, Bild- und Texterkennung sowie Verhaltenssignale aus Versandmustern müssen zusammenspielen. Gerade der Missbrauch legitimer Plattformen zeigt, warum ein bekannter Versanddienst allein kein Vertrauensbeweis ist.
Für Security Operations lohnt sich eine gezielte rückwirkende Suche. Verdächtig sind einzelne Zeichen aus dem Tag-Block innerhalb alphabetischer Wörter, besonders in Verbindung mit Finanzthemen, massenhaft ähnlichen Vorlagen oder unerwarteten Tracking-Domains. Die Untersuchung sollte nicht nur Zustellungen zählen, sondern auch Klicks, Weiterleitungen, Kontoanmeldungen und mögliche Folgeschritte. So wird aus einer neuen Signatur ein belastbarer Incident-Response-Prozess.
Auch Awareness bleibt sinnvoll, muss aber präzise sein. Mitarbeitende können unsichtbare Unicode-Zeichen nicht zuverlässig erkennen. Der Rat „Schau genauer hin“ greift daher zu kurz. Hilfreicher sind überprüfbare Verhaltensregeln: unerwartete Finanzangebote nicht über E-Mail-Links öffnen, Zieladressen vor einer Anmeldung unabhängig aufrufen, Absenderkontext prüfen und ungewöhnliche Nachrichten über einen einfachen Meldeweg an das Security-Team geben.
Was Unternehmen jetzt prüfen sollten
Der erste Schritt ist eine Bestandsaufnahme: Welche Systeme dekodieren und normalisieren Text, bevor Inhaltsregeln laufen? Nutzen Gateway, SIEM, Data-Loss-Prevention und KI-Pipelines dieselbe Logik oder entstehen zwischen ihnen unterschiedliche Darstellungen? Ein kleiner Testsatz aus legitimen Emoji-Sequenzen, einzelnen Tag-Zeichen in Wörtern und weiteren unsichtbaren Unicode-Zeichen macht solche Abweichungen reproduzierbar.
Danach sollten Teams Erkennung und Beobachtbarkeit trennen. Eine normalisierte Fassung unterstützt die Entscheidung, während das unveränderte Artefakt und eine Liste entfernter Codepunkte die Analyse ermöglichen. Regeln lassen sich zunächst im Beobachtungsmodus betreiben, um legitime Sonderfälle zu finden. Erst danach sollten Organisationen blockieren oder Quarantäne auslösen – kombiniert mit Kampagnen-, Link- und Absendersignalen.
Die größere Lehre lautet: Jede Sicherheitskette braucht eine eindeutige Vorstellung davon, welcher Text bewertet wird. Wo Rendering, Parser und Modell unterschiedliche Zeichenfolgen sehen, entsteht Angriffsfläche. Unsichtbare Unicode-Zeichen sind nur ein aktuelles Beispiel für dieses grundsätzlichere Problem.
Drei Kernaussagen
- Die beobachtete Kampagne versteckte keine vollständige KI-Anweisung, sondern unterbrach auffällige Wörter mit einzelnen unsichtbaren Unicode-Tag-Zeichen.
- Textnormalisierung muss vor Signaturen, Regex-Prüfungen und KI-Verarbeitung stattfinden, ohne das unveränderte Original für die Forensik zu verlieren.
- Ein Unicode-Treffer allein genügt nicht: Kontextprüfung und weitere Signale reduzieren Fehlalarme und schützen auch beim Missbrauch legitimer Versandplattformen.