Viele E-Mail-Dienste stellen ihren Nutzern einen KI-Assistenten zur Seite. Sobald ein Angreifer ein E-Mail-Konto kompromittiert, entsteht jedoch ein gefährlicher Hebel: Der Täter kann den vorhandenen Chatbot direkt nutzen – als komfortable „LotL“-Methode (Living off the Land), ohne gleich neue Werkzeuge installieren zu müssen. Genau dieses Missbrauchspotenzial hat ein Forschungsteam in einer Laborumgebung nachgestellt.
Im Kern geht es um einen Ablauf, der mit einer Kontoübernahme beginnt und danach systematisch weiterführt: erst Tarnung, dann Informationsgewinnung, anschließend eine zielgerichtete Täuschung. Das Ergebnis kann sein, dass ein Angreifer schließlich selbst die Kontrolle über hochprivilegierte Postfächer erlangt – unterstützt durch die Sprache, den Kontext und das Schreibverhalten der jeweiligen Person.
Warum der KI-Assistent im E-Mail-Konto zum Angriffs-Tool wird
Die Einstiegshürde einer Attacke ist in der Regel die Kompromittierung des E-Mail-Kontos. Ist diese Hürde jedoch genommen, erhält der Angreifer „automatisch“ Zugriff auf alles, was mit dem Konto verknüpft ist – darunter auch der integrierte KI-Assistent.
Für Angreifer ist das besonders attraktiv, weil der KI-Chatbot nicht wie ein zusätzliches Tool wirkt. Er ist Teil des normalen Kontos. Damit kann der Angreifer, zumindest im Gedankenmodell der Studie, Befehle geben und Ergebnisse erhalten, die im Alltag plausibel erscheinen – selbst wenn der Zweck bösartig ist.
Persistenz durch verdecktes Verhalten
Bevor es um das eigentliche Ausnutzen geht, braucht ein Angreifer Persistenz und Stealth. In der Studie war ein zentrales Problem: Würde der KI-Assistent sichtbar genutzt, könnten Logdaten eine Spur liefern. Deshalb lag der Fokus zunächst darauf, die Nutzung des Chatbots „unsichtbarer“ zu machen.
Im Proof of Concept wurde dafür ein konkreter Prompt genutzt, der eine Regel in der Inbox anlegt. Die Beispielanweisung lautete sinngemäß: Erzeuge eine Regel, die Nachrichten mit dem Wort „sign-in“ im Betreff in den „Gelöschte Elemente“-Ordner verschiebt. So entsteht eine erste Form von Tarnung – zumindest innerhalb der Logik des Simulationsergebnisses.
Erkundung: Beziehung erkennen und passende Anknüpfungspunkte finden
Im nächsten Schritt drehte sich alles um Reconnaissance. Ein Angreifer benötigt Informationen darüber, wie die Kommunikationswege zwischen den Beteiligten typischerweise verlaufen. Der KI-Assistent kann dazu genutzt werden, Auskünfte zu geben, etwa über die Organisationsstruktur oder laufende sensible E-Mail-Themen.
In der Studie wurden Prompts verwendet, die nach Struktur und nach wichtigen laufenden Gesprächen fragten. Die Antworten können dem Angreifer helfen, abzuleiten, wie „du“ und die Zielperson (beispielsweise die Geschäftsführung) zueinander stehen und welche Gründe realistisch wären, um Kontakt aufzunehmen.
Damit wird ein wichtiger Vorteil geschaffen: Der spätere Angriff ist nicht nur „generisch“ formuliert, sondern nutzt eine konstruierte, halbwegs vertraute Kontextschicht.
Zielgerichtetes Phishing mit plausibler interner Begründung
Die eigentliche Täuschung folgt anschließend – diesmal aus der Logik heraus, dass der Angreifer bereits einen berechtigten Stand hat. Statt eine klassische externe Nachricht zu verschicken, setzt der Angreifer auf einen internen Phishing-Ansatz, der eher wie legitime Korrespondenz wirkt.
Ein besonders relevanter Punkt aus der Simulation: Der Angreifer kann den KI-Assistenten anweisen, eine E-Mail im Stil des kompromittierten Kontoinhabers zu verfassen. Dadurch erhält der Text eine Tonalität, die im Alltag der Empfänger bereits gewohnt ist. Das kann die Hemmschwelle senken, auf Links zu klicken oder Anweisungen zu befolgen.
Beispiel: Von einem Budget-Email-Thema zu einer Rechnungserweiterung
In der nachgestellten Situation konnte der Angreifer eine E-Mail generieren, die sich auf ein konkretes Thema bezieht – etwa eine Q3-Budgetfreigabe. Der Prompt sah vor, eine Antwort zu erstellen, die an reale Abläufe anknüpft und zusätzlich einen Link in den Entwurf einfügt. Der Link wiederum führte zu einer Phase, in der die Sitzungstokens übernommen wurden (im Modell der Studie über einen „Adversary-in-the-middle“-Proxy).
Das Ergebnis: Mit den gestohlenen Zugangsdaten beziehungsweise dem übernommenen Sitzungstoken konnte der Angreifer die mehrstufige Authentifizierung (MFA) umgehen und sich in ein hochprivilegiertes Konto einloggen. Besonders gefährlich ist dabei, dass die Nachricht aus dem echten Postfach stammte und damit offenbar zahlreiche typische Sicherheitschecks „durchläuft“.
Wie die neu gewonnene Kontrolle abgesichert wird
Nachdem in der Simulation die Zielrolle erreicht wurde und ein höher privilegiertes Postfach kontrolliert werden konnte, begann die nächste Runde. Ziel war erneut, Entdeckung zu vermeiden und den Zugriff zu stabilisieren.
Im Modell wurde der KI-Assistent anschließend dazu genutzt, eine kurze „Auffrischung“ über kürzlich geführte Finanz-E-Mails zu geben – inklusive Rechnungen, Geldbeträgen und anstehenden Überweisungen. Die Studie beschreibt, dass der Angreifer auf eine bevorstehende, im Voraus autorisierte Zahlung gestoßen ist.
Finanzabfluss durch eine weitere vertrauensbasierte Nachricht
Mit diesem Kontext lag ein weiterer Schritt nahe. Der Angreifer ließ die Kommunikation so gestalten, dass sie den typischen Schreibmustern der Zielperson entspricht. Die Nachricht forderte sinngemäß, dass die Überweisung an ein neues Konto gehen müsse, weil sich die Bankverbindung geändert habe.
Entscheidend für die Wirkung in der Simulation war: Die E-Mail kam aus der echten Mailbox, passte zu einer bereits laufenden Transaktion, ließ Authentifizierungstests erfolgreich passieren und klang so, wie die Person mit dem Finance-Team üblicherweise kommuniziert. Dadurch fehlte aus Sicht der Studie ein auslösender Faktor, der klassische E-Mail-Sicherheitsmechanismen zuverlässig hätte alarmieren können.
Zum Abschluss blieb dem Angreifer in diesem Szenario noch ein „leiser Abgang“. Auch dafür wurde erneut der KI-Assistent als Hilfsmittel herangezogen, damit die Spuren möglichst nicht in den Vordergrund rücken.
Was diese Studie bedeutet – und was nicht
Wichtig ist die Einordnung: Es handelte sich um eine Simulation in einem kontrollierten Labor-Setup. Die Bedingungen waren günstig, und nicht jeder Schritt würde in der Realität garantiert in gleicher Form funktionieren. Dennoch bleibt das Grundmuster relevant, weil es zeigt, wie schnell aus „Zugriff auf eine legitime Funktion“ ein Angriffspfad werden kann.
Die Studie selbst wollte nicht behaupten, dass genau dieses Szenario in der Praxis zwangsläufig in jedem Detail passiert. Vielmehr sollten Verantwortliche sehen, dass die Missbrauchsmöglichkeiten mit jedem neuen Werkzeug, das in interne Workflows eingebunden ist, wachsen können.
Praktische Konsequenzen: Worauf Unternehmen achten sollten
Wenn ein KI-Assistent im E-Mail-Konto nach einer Kompromittierung als weitere „Angriffsschicht“ dient, verschiebt sich der Fokus der Verteidigung. Unternehmen sollten insbesondere prüfen, wie E-Mail-Workflows nach Kontoübernahmen überwacht und abgesichert werden.
Ein paar Leitfragen, die aus dem beschriebenen Ablauf abgeleitet werden können:
- Werden ungewöhnliche KI-Nutzungen im Kontext eines Postfachs erkannt (z. B. auffällige Prompt-Themen, neue Inbox-Regeln, wiederholte Muster)?
- Gibt es Schutzmechanismen gegen Manipulation von Regeln und Zustellwegen (z. B. automatische Verschiebungen in „Gelöschte Elemente“)?
- Wie wird mit Zahlungen und Rechnungsfreigaben umgegangen, wenn die Nachricht zwar authentisch wirkt, aber inhaltlich kritische Änderungen enthält (neue Kontodaten, Dringlichkeit, Abweichungen)?
- Welche zusätzlichen Kontrollen greifen, um zu verhindern, dass gestohlene Sitzungen oder Tokens die MFA ersetzen?
Fazit: KI im Postfach erfordert zusätzliche Absicherung
Die Simulation macht deutlich: Ein KI-Assistent im E-Mail-Konto ist im Alltag ein Produktivitätsfeature – kann aber nach einer Kontoübernahme zum Angriffsverstärker werden. Besonders kritisch ist dabei die Kombination aus Stealth, Informationsgewinnung, stilistischer Anpassung und echten Authentifizierungsmerkmalen.
Unternehmen sollten deshalb ihre E-Mail-Sicherheitsstrategie erweitern: nicht nur auf klassischen Spam- und Link-Checks setzen, sondern auch auf Erkennung von Kontenmissbrauch, verdächtigen Postfachaktionen und riskanten Finanzprozessen. So lässt sich der Schaden begrenzen, auch wenn Angreifer auf „eingebaute“ Tools zurückgreifen.
Quelle: https://www.securityweek.com/weaponized-email-ai-assistants-could-help-attackers-hijack-accounts/
