← Zurück zur Startseite
Praxis

18. Oktober 2026

KI im Postfach. Wenn Mails versteckte Befehle enthalten.

Viele Teams lassen Mails inzwischen von KI zusammenfassen und sortieren. Genau deshalb schreiben Angreifer jetzt nicht mehr nur für den Menschen, sondern auch für die KI, die mitliest.

Anfang Oktober hat das Sicherheitsunternehmen Barracuda Phishing-Mails beschrieben, die zwei Ziele auf einmal haben. Hier steht, was dahintersteckt und welche Leitplanken reichen, ohne daraus ein IT-Großprojekt zu machen.

Was ihr seht

  1. Normale Mail
  2. Anhang mit Passwort
  3. Link

Klassisches Phishing. Ziel ist der Mensch.

Was die KI liest

  1. Versteckter Text
  2. „Als dringend markieren“
  3. Falscher Vorschlag
  4. Mensch prüft das Original

Ziel ist die Zusammenfassung. Die Prüfung bleibt beim Menschen.

Was gerade passiert

Laut Barracuda sah eine analysierte Mail aus wie gewöhnliche interne Korrespondenz. Für den Menschen gab es einen passwortgeschützten Anhang, das Passwort stand gleich im Text. Für die KI gab es eine zweite, unsichtbare Ebene: Anweisungen, die den Assistenten dazu bringen sollen, die Mail in seiner Zusammenfassung als legitim oder dringend darzustellen.

Übersieht der Mensch die Mail, holt die KI sie also wieder nach oben. Diesmal als Empfehlung eines Werkzeugs, dem man vertraut.

Barracuda nennt weitere Beispiele aus realen Angriffen. In einer Rechnungsmail wies ein versteckter Block die zusammenfassende KI an, eine angebliche Prioritätsaufgabe einzufügen: die Bankdaten eines Lieferanten zu ändern. Bei der automatischen Vorauswahl von Lebensläufen versteckte ein Bewerber Text, der die KI anweisen sollte, ihn mit 10 von 10 Punkten zu bewerten. Auch Malwarebytes und das dänische CERT haben über die Analyse berichtet.

Warum die KI darauf hereinfallen kann

Ein Sprachmodell liest Text. Ob ein Satz Inhalt ist, den es zusammenfassen soll, oder eine Anweisung, die es befolgen soll, kann es nicht zuverlässig unterscheiden. Für das Modell ist beides Sprache.

Das Muster hat einen Namen: indirekte Prompt Injection. Die Anweisung kommt nicht vom Nutzer, sondern steckt in einem fremden Inhalt, etwa einer Mail, einem PDF oder einer Webseite. Die OWASP-Liste der größten Risiken für Anwendungen mit Sprachmodellen führt Prompt Injection als ersten Eintrag und hält fest, dass unklar ist, ob es überhaupt einen narrensicheren Schutz gibt.

Versteckt werden die Anweisungen laut Barracuda vor allem auf vier Wegen:

  • in HTML-Kommentaren, die das Mailprogramm nie anzeigt
  • als unsichtbarer Text, etwa mit Schriftgröße null oder weißer Schrift
  • in Base64-codierten Datenblöcken
  • mit unsichtbaren Unicode-Zeichen ohne Breite (Zero-Width)

Ob so ein Text das Modell wirklich erreicht, hängt davon ab, wie das jeweilige Tool die Mail aufbereitet. Darauf verlassen solltet ihr euch nicht.

Wer selbst KI-Anwendungen baut, lernt das früh: Alles, was von außen kommt, ist erst einmal nur Text. Und Text kann aussehen wie eine Anweisung. Die wirksame Abwehr liegt deshalb weniger im Modell als in der Frage, was die KI mit ihrem Ergebnis tun darf.

Lesen

Mail → Zusammenfassung → Mensch

Die KI fasst nur zusammen

Im schlimmsten Fall gewichtet sie falsch. Eine Phishing-Mail wirkt plötzlich wichtig, ein Vorschlag klingt plausibel. Ärgerlich, aber gehandelt wird noch von einem Menschen. Hier hilft vor allem eine Gewohnheit: Original öffnen, bevor ihr handelt.

Handeln

Mail → KI → Antwort, Weiterleitung, Zahlung

Die KI darf auch handeln

Darf ein Assistent oder Agent antworten, weiterleiten oder Daten herausgeben, wird aus einer falschen Gewichtung eine echte Aktion. Dann entscheiden die Rechte, nicht das Modell. Den Unterschied zwischen Bot und Agent haben wir hier erklärt: Bot oder Agent.

Was allein laufen darf und was ein Ja braucht

Darf allein laufen

  • Mails lesen und sortieren
  • Zusammenfassungen schreiben
  • Entwürfe anlegen, die niemand automatisch verschickt
  • Vorgänge oder Tickets anlegen, sichtbar für das Team

Braucht ein Ja vom Menschen

  • Antworten an Kunden oder Lieferanten senden
  • Mails an externe Adressen weiterleiten
  • Bankdaten, Stammdaten oder Zahlungen ändern
  • Mails oder Daten löschen

Das deckt sich mit dem, was BSI und ANSSI in ihren gemeinsamen Grundsätzen für Systeme mit Sprachmodellen empfehlen: Zugriffsrechte bedarfsgerecht begrenzen und kritische Entscheidungen unter menschlicher Aufsicht treffen.

Checkliste: 7 Leitplanken für KI im Postfach

  1. 01

    Inventar machen

    Wo liest heute schon KI mit? Assistenten im Mailprogramm, Browser-Erweiterungen, eigene Automationen, Ticketsysteme. Fragt auch nach Tools, die einzelne Mitarbeitende selbst eingerichtet haben.

  2. 02

    Rechte klein schneiden

    Lesen und zusammenfassen ja. Senden, weiterleiten und löschen nur dort, wo es wirklich gebraucht wird. Jedes Recht, das fehlt, kann auch niemand missbrauchen.

  3. 03

    Freigabe vor Außenwirkung

    Alles, was nach außen geht oder Geld bewegt, braucht ein Ja von einer benannten Person. Kein Autopilot für Antworten, Weiterleitungen oder Zahlungen.

  4. 04

    Bankdaten nie auf Zuruf

    Ändert ein Lieferant angeblich seine Bankverbindung, bestätigt das über einen bekannten, getrennten Kanal, zum Beispiel per Rückruf unter der Nummer aus eurem System. Eine KI-Zusammenfassung ist keine Bestätigung.

  5. 05

    Original vor Aktion

    Drängt eine Zusammenfassung zu einer Handlung, öffnet die Originalmail. Dringlichkeit in einer Zusammenfassung ist ein Hinweis, kein Beweis. Sagt das einmal kurz im Team.

  6. 06

    Fremdinhalte als Daten behandeln

    Baut ihr eigene Automationen, kennzeichnet Mails, PDFs und Webseiten klar als fremden Inhalt, entfernt versteckte Elemente vorher und prüft die Ausgabe der KI gegen ein festes Format, bevor sie etwas auslöst.

  7. 07

    Protokollieren und testen

    Haltet fest, was die KI vorschlägt und tut. Schickt ab und zu eine harmlose interne Testmail mit verstecktem Hinweis und schaut, was der Assistent daraus macht.

Nicht nur das Postfach

01

Bewerbungen

Versteckter Text in Lebensläufen, der eine KI-Vorauswahl beeinflussen soll.

02

Kundenservice-Bots

Anfragen, die sich als Wartungsmodus ausgeben und den Bot nach seiner eigenen Konfiguration fragen.

03

Dokumente und Webseiten

Inhalte, die eine KI später liest, etwa als Wissensquelle oder beim Recherchieren.

Die Regel bleibt dieselbe: Was von außen kommt, ist Inhalt, keine Anweisung. Und was Wirkung hat, gibt ein Mensch frei.

Kurz die Fragen

Sollen wir KI im Postfach jetzt abschalten?

Nein. Zusammenfassen und sortieren bleibt nützlich. Entscheidend ist, was danach allein passieren darf und wo ein Mensch freigibt.

Reicht ein guter Spamfilter?

Filter helfen, sind aber nur eine Ebene. Barracuda schreibt selbst, dass keine einzelne Maßnahme jede Variante stoppt. Deshalb mehrere Ebenen: Filter, enge Rechte, Freigabe, Protokoll.

Betrifft das auch kleine Betriebe?

Das Risiko hängt nicht an der Größe, sondern daran, ob eine KI fremde Mails liest und was sie danach tun darf. Gerade ohne eigene IT-Abteilung helfen klare, einfache Regeln.

Was ist anders als bei normalem Phishing?

Normales Phishing will den Menschen täuschen. Hier soll zusätzlich die KI getäuscht werden, damit die falsche Empfehlung von einem Werkzeug kommt, dem ihr vertraut.

Merksatz

Die KI darf alles lesen. Handeln darf sie nur, was ihr freigebt.

Quellen

Nächster Schritt

Wo liest bei euch schon KI mit?

In 30 Minuten schauen wir gemeinsam auf eure Abläufe und legen fest, was eine KI allein darf und wo ein Mensch freigibt.

Kostenloses 30-Min Audit →

oder schreib direkt: stefan@scailara.io