Barracuda: Eine Phishing-E-Mail zielt jetzt sowohl auf den Empfänger als auch auf die KI in seinem Posteingang.

Am 7. Oktober 2026 veröffentlichte Barracuda Research eine Analyse einer Phishing-Kampagne, die darauf ausgelegt ist, zwei Leser mit derselben Nachricht zu erreichen: die Person, die sie empfängt, und den KI-Assistenten, der das Postfach dieser Person zusammenfasst. Die an den Menschen gerichtete Hälfte ist unauffällig – ein passwortgeschützter Anhang, dessen Passwort im Textkörper steht, eine Kombination, die laut Barracuda „einen blinden Fleck für traditionelle E-Mail-Sicherheitskontrollen erzeugt“. Die zweite Hälfte ist neu. Versteckt in derselben E-Mail – in HTML-Kommentaren, CSS-unsichtbarem Text, Base64-kodierten Blöcken und Zero-Width-Zeichen – befinden sich Anweisungen, die sich an das jeweilige Modell richten, das die E-Mail verarbeitet, und die den Assistenten dazu bringen sollen, „die Phishing-E-Mail als legitim oder dringend darzustellen“, oder ihn dazu bringen sollen, selbstständig zu handeln.

Barracuda sagt, die von ihr untersuchte Stichprobe sei als routinehafte interne Korrespondenz getarnt gewesen und habe einen vertrauenswürdigen Spam-Score getragen; sie stamme aus einer Domain des öffentlichen Sektors. Das Archiv verzeichnet kein bestätigtes Opfer und keinen gemeldeten Schaden: Dies ist ein Forschungsergebnis zu einem Angriffsmuster, keine Offenlegung einer kompromittierten Organisation. Barracuda gab das Ausmaß der Kampagne nicht bekannt, und weder Infosecurity Magazine noch The Hacker News – die beide über die Forschung berichteten – konnten eine Zahl nennen.

Was Barracuda tatsächlich veröffentlicht hat

Der Beitrag ist ein Threat-Research-Blogpost eines Anbieters mit dem Titel „Threat Spotlight: E-Mail-Angriffe zielen in derselben Nachricht sowohl auf Menschen als auch auf KI ab“; als Autor ist Guruprasad Kenja angegeben, der als Threat-Analyst von Barracuda beschrieben wird. Im URL-Pfad ist er auf den 7. Oktober 2026 datiert und trägt auf der Seite selbst den Stempel „Updated: Oct. 6, 2026“; der Nachrichtenbeitrag von Infosecurity Magazine, verfasst von Alessandro Mascellino, ist auf den 7. Oktober datiert, und das ThreatsDay-Roundup bei The Hacker News, veröffentlicht am 8. Oktober, verlinkt denselben Barracuda-Beitrag. Die Abweichung von einem Tag zwischen dem URL-Datum und dem Stempel auf der Seite stammt von Barracuda selbst und wird von keinem der drei erklärt.

Barracuda stellt es so dar, dass der Assistent zu einer zweiten Angriffsfläche geworden ist. Mit den Worten des Unternehmens: Organisationen „müssen nicht nur Benutzer und Postfächer absichern, sondern auch die KI-Systeme, die E-Mail-Daten konsumieren und auf ihrer Grundlage handeln.“ Die Untersuchung beschreibt eine einzelne Nachricht mit zwei Payloads statt eines neuen Exploits: Der herkömmliche Social-Engineering-Köder ist genau das, was ein Filter abfangen soll, und die Prompt-Injection ist dort platziert, wo ein Filter historisch nicht hingeschaut hat.

Das Sample: konzipiert, um die Reputationsprüfungen zu bestehen

Barracuda nennt drei Eigenschaften der Nachricht, die nach seiner Darstellung dazu beigetragen haben, dass sie die reputationbasierte Filterung umgehen konnte:

• Die Von- und An-Adressen waren dasselbe Postfach, daher wirkte die Nachricht wie eine Notiz an sich selbst und nicht wie externe E-Mail.

• Es trug einen vertrauenswürdigen Spam-Konfidenzwert.

• Es stammte aus einer Domäne des öffentlichen Sektors.

Barracuda nennt die Domain aus dem öffentlichen Sektor nicht, sagt nicht, ob diese Domain der echte Ursprung der Nachricht war oder eine gefälschte, und gibt kein Datum dafür an, wann die Nachricht beobachtet wurde. Diese Lücken sind für alle von Bedeutung, die beurteilen möchten, wie nahe die Kampagne daran war, zu funktionieren, und es sind Lücken in der Primärquelle, nicht etwas, das ein anderes Medium ergänzt hat.

Die verborgene Hälfte: Vier Wege, wie die Anweisungen eingeschmuggelt werden

Barracuda nennt vier Techniken als diejenigen, die es häufig beobachtet. Alle vier beruhen auf derselben Asymmetrie: Ein E-Mail-Client stellt eine Nachricht auf eine Weise dar, während das Modell, das den Rohquelltext liest, alles sieht, was der Client verborgen hat.

Jeder Eintrag in dieser Liste ist eine Beschreibung eines Trägers, nicht einer Wirkung, und Barracuda stellt ausdrücklich klar, dass die Injektionen darauf ausgelegt sind, auf den Assistenten zu wirken und nicht auf die Person. Das Typ-Tag des Datensatzes ist IPI – indirekte Prompt-Injection –, der Standardbegriff für Anweisungen, die innerhalb von Inhalten eintreffen, die ein Modell verarbeiten soll, statt von seinem Nutzer eingegeben zu werden.

Wozu die Injektionen dienen sollten

Barracudas Beschreibung der Ziele des Payloads verläuft auf zwei Gleisen. Das weichere Gleis versucht, die Zusammenfassung zu verdrehen: Wenn der Mensch den Anhang ignoriert, soll der versteckte Text den Assistenten dazu bringen, die Nachricht als legitim oder dringend zu beschreiben, und den Empfänger dazu drängen, sie zu öffnen und anzuklicken. Barracuda zufolge ist keine dieser Anweisungen für den Nutzer sichtbar. Das härtere Gleis versucht, den Assistenten zum Akteur zu machen – es anzuweisen, „seine vorherigen Anweisungen zu ignorieren“ und stattdessen eine dringende Anfrage zum Überweisen von Geldern, zum Preisgeben von Daten oder zum Anzeigen einer gefälschten dringenden Aktion zu senden.

Die begleitenden Praxisbeispiele, die Barracuda anführt, zeigen dieselbe Anwendung bei anderen KI-vermittelten Workflows:

• Eine Rechnungs-E-Mail mit einem versteckten Textblock, der das zusammenfassende Modell anweist, eine gefälschte Aktion mit hoher Priorität hinzuzufügen, die die Zahlungsdetails des Lieferanten verändert und einen Mitarbeiter dazu drängt, Geld an den Angreifer zu überweisen.

• Ein Lebenslauf, dessen versteckter Text ein KI-Screening-Tool anweist, den Bewerber mit 10 von 10 zu bewerten und unabhängig von den Qualifikationen ein sofortiges Vorstellungsgespräch zu empfehlen.

• Eine Anfrage, die als autorisierter „Wartungs- oder Admin-Modus" getarnt ist und einen Support-Bot dazu auffordert, seine eigene Konfiguration preiszugeben.

• Vergiftete Dokumentation auf einer Seite, die ein Coding-Assistent liest, mit der Anweisung, jedes Mal, wenn er Authentifizierungscode generiert, eine Zeile zur Exfiltration von Anmeldedaten einzufügen.

Diese werden als Beispiele für die Technik beschrieben, nicht als bestätigte Sicherheitsverletzungen. Nichts in Barracudas Beitrag besagt, dass ein zusammenfassendes Modell, ein Screening-Tool, ein Support-Bot oder ein Coding-Assistent in einem realen Einsatz tatsächlich Folge geleistet hat, und das Archiv verzeichnet real_harm als false.

Was gesichert ist und was nicht

Der Unterschied wiegt hier schwerer als in den meisten Incident-Berichten, weil die Aufzeichnung eher ein Design als ein Ergebnis beschreibt.

• Gesichert: Barracuda Research untersuchte eine Phishing-Kampagne, die einen passwortgeschützten Anhang mit einer versteckten Prompt-Injection in derselben Nachricht kombinierte, und veröffentlichte seine Analyse am 7. Oktober 2026. Die vier Verschleierungstechniken und die vier Anwendungsbeispiele werden in diesem Beitrag genannt. Zwei unabhängige Medien — Infosecurity Magazine und The Hacker News — berichteten über dieselben Erkenntnisse, ohne ihnen zu widersprechen, weshalb die Konfidenz des Eintrags mit A bewertet wird.

• Nicht geklärt: ob überhaupt ein Assistent tatsächlich gekapert wurde, wie viele Nachrichten gesendet wurden, wer sie erhielt und ob Geld floss oder Daten abflossen. Barracuda wollte den Umfang der Kampagne nicht nennen. Keine Aufsichtsbehörde, keine Opferorganisation und kein Sicherheitsanbieter hat eine konkrete Kompromittierung bestätigt, und keine namentlich genannte Partei steht mit der Stichprobe in Verbindung.

• Nicht bestritten: Nichts in der Berichterstattung widerspricht Barracudas Darstellung. Die offenen Fragen sind Auslassungen, keine Meinungsverschiedenheiten – und das Archiv verzeichnet diesen Befund nicht als bestritten.

Der Datensatz ist als Forschungsergebnis mit mittlerem Schweregrad eingestuft, wobei eine KI-Beteiligung bestätigt wurde — der KI-Assistent ist das Ziel, um das herum die Kampagne konstruiert wurde, und er ist der Grund dafür, dass die Nachricht ungewöhnlich ist. Er ist nicht als Meilenstein eingestuft, und es gibt keinen Datumsbereich: Die Analyse beschreibt einen einzigen Zeitpunkt, den 7. Oktober 2026, keinen Kampagnenzeitraum.

Die von Barracuda empfohlenen Maßnahmen

Barracuda vertritt die Position, dass "keine einzelne Kontrolle jede Variante stoppen würde"; daher sind die Empfehlungen ein Bündel von Maßnahmen statt einer Einzellösung. Das Unternehmen rät dazu, versteckte Elemente, Kommentare und unsichtbare Zeichen aus Inhalten zu entfernen, bevor diese Inhalte ein KI-System erreichen; Formulierungen, die Anweisungen außer Kraft setzen, als Signatur einer Prompt-Injection zu erkennen; Assistenten in einer Sandbox zu isolieren, damit ihr Zugriff begrenzt bleibt; Ausgaben zu validieren, bevor die Antwort eines Assistenten eine Aktion auslöst; und bei Zahlungen, Anbieterwechseln und anderen sensiblen Entscheidungen eine menschliche Freigabe zu verlangen. Außerdem empfiehlt es, auf wiederholte Injection-Versuche zu überwachen, und formuliert das zugrunde liegende Prinzip so, dass externe Inhalte "stets nur als Daten zu behandeln und von Anweisungen getrennt zu halten" sind.

Der Beitrag verweist außerdem auf Barracudas eigene Produkte – Email Gateway Defense, Behavioral AI und Automated Threat Response – als die Kontrollen, die das Unternehmen für die Filterung und Behebung verkauft. Das ist ein Anbieter, der seinen eigenen Katalog empfiehlt, und es lohnt sich, ihn als solchen zu lesen: Die technischen Empfehlungen sind unabhängig von den Produkten, doch der Beitrag testet weder die Empfehlungen noch die Produkte an der beschriebenen Kampagne.

Warum es sich lohnt, den Datensatz zu behalten

Der besondere Wert dieses Eintrags liegt darin, dass er den Punkt dokumentiert, an dem zwei zuvor getrennte Verteidigungen aufhören, dieselbe Nachricht abzudecken. Ein passwortgeschützter Anhang unterläuft die Inhaltsprüfung, weil der Scanner die Datei nicht öffnen kann; eine versteckte Prompt-Injection unterläuft die Reputationsbewertung, weil die Reputationsbewertung auf Absender schaut, nicht darauf, was ein Sprachmodell mit dem Textkörper tun wird. Packt man beides in eine E-Mail, summieren sich die Ausfallmodi: Ein Filter, der die Nachricht aufgrund eines vertrauenswürdigen Scores durchwinkt, hat auch die Nutzlast durchgewinkt, die auf das abzielt, was als Nächstes den Posteingang liest. Barracudas Beispiel ist der Beweis, dass diese Komposition nicht hypothetisch ist.

Dieser Datensatz — Barracudas Befund zum Dual-Target-Phishing — ist ein Eintrag in dem OrcaRouter AI Incident Archive, das KI-Vorfälle, Forschungsergebnisse und Evaluierungen mit denselben oben verwendeten Feldern dokumentiert: Schweregrad, Konfidenz, umstrittener Status und tatsächlicher Schaden.