Der Forscher Gareth Heyes von PortSwigger stellte auf der Konferenz Black Hat USA 2026 eine Arbeit vor, die demonstriert, wie der Inhalt einer E-Mail aus den Grenzen der Nachricht ausbrechen und mit der Webmail-Oberfläche interagieren kann. Laut der Untersuchung betreffen die Angriffsketten Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail und AOL Mail – und ermöglichen es, Passwörter abzugreifen, Autorisierungs-Tokens externer Dienste zu stehlen, Elemente der vertrauenswürdigen Oberfläche zu manipulieren und KI-Werkzeuge zu beeinflussen, die E-Mails verarbeiten. Öffentliche PoC-Materialien sind auf GitHub verfügbar. Fälle bösartiger Ausnutzung in realen Angriffen wurden nicht festgestellt – es handelt sich um Proof-of-Concepts.
Zwei Angriffsvektoren: erlaubter Code und Sanitization-Divergenzen
Gemäß der veröffentlichten Studie folgen die Angriffe zwei grundsätzlichen Pfaden. Der erste besteht darin, HTML- und CSS-Konstrukte zu missbrauchen, die die Webmail bereits erlaubt. Der zweite besteht darin, eine Diskrepanz zwischen dem zu erzeugen, was der Sanitizer zulässt, und dem, was der Browser oder die Anwendung letztlich rendert. Beide Ansätze ermöglichen es, dass der Inhalt einer nicht vertrauenswürdigen E-Mail Einfluss auf die vertrauenswürdige Benutzeroberfläche nimmt.
Outlook und Firefox: Passwortabgriff über gefälschten Login-Bildschirm
Die eindrucksvollste Angriffskette wird für Outlook in Kombination mit Firefox demonstriert. Nach Angaben des Forschers können erlaubte label-Elemente Steuerelemente außerhalb der E-Mail aktivieren, und JavaScript der Anwendung transformiert sanitisierte benutzerdefinierte Attribute in neue DOM-Knoten mit CSS, das über die erlaubte Liste hinausgeht. Ein Trick beim Parsen von Media Queries verschafft dem Angreifer faktisch beliebigen CSS-Zugriff.
Die Kette tarnt ein select-Element als Passwort-Eingabefeld. Eine Besonderheit von Firefox – das Zurücksetzen des etwa einsekündigen Timers zur Optionsauswahl, sobald das Element den sichtbaren Bereich verlässt – macht den Abgriff der eingegebenen Zeichen praktisch echtzeitnah. Das Opfer sieht einen gefälschten Microsoft-Login-Screen und gibt sein Passwort ein, das an den Angreifer übermittelt wird. Zum Zeitpunkt der Veröffentlichung der Studie am 6. August war die Technik des „label-jacking“ in Outlook nach Angaben des Forschers weiterhin funktionsfähig. Der Status eines Fixes für die vollständige Angriffskette zum Passwortabgriff wird in der Studie nicht angegeben.
Yahoo Mail und AOL Mail: Token-Leak über die Zwischenablage
Für Yahoo Mail und AOL Mail wird ein anderer Vektor beschrieben. In Firefox behält aus der Zwischenablage eingefügtes HTML kurzzeitig aktives CSS bei, bis die Sanitization greift. In einer Demonstration mit dem Dienst Medium initiiert der Angreifer eine E-Mail-Anmeldung; das Opfer kopiert vom Angreifer vorbereiteten CSS-Code in die Zwischenablage und fügt ihn in einen Entwurf in Yahoo oder AOL ein. Die dabei entstehenden HTTP-Anfragen offenbaren genügend Zeichen des 12-stelligen Login-Tokens, um dieses auf dem Server des Angreifers zu rekonstruieren und anschließend eine Anmeldung im Namen des Opfers durchzuführen.
Umgehung von CSP: Exfiltration per Klick
Für Fälle, in denen eine Content Security Policy externe Ressourcen blockiert, präsentiert die Studie eine Exfiltrationstechnik über einen Klick. Liegen eine Style-Injection und ein numerisches Token im Text der E-Mail vor, bestimmt CSS, welche Ziffern vorkommen und mit welcher Häufigkeit, blendet nicht übereinstimmende Links aus und lässt nur den passenden sichtbar. Der Klick des Opfers übermittelt die Ziffern und ihre Häufigkeit an den Server des Angreifers.
KI-Werkzeuge als neue Angriffsoberfläche
Eine eigene Klasse von Angriffen betrifft KI-Systeme, die an E-Mail angebunden sind. Ein Bypass von image-set() in Gmail erlaubte trotz Sanitization die Durchführung einer externen Anfrage. Heyes verknüpfte dies gemeinsam mit seinem Kollegen Pete Hendy mit einer indirekten Prompt-Injection in einer E-Mail, die von Claude Cowork von Anthropic über den Gmail-Connector verarbeitet wurde.
In der Demonstration löste der Angreifer den Versand einer E-Mail mit einem Bestätigungstoken von Slack aus. Wenn das Opfer Cowork bat, die eingehenden Nachrichten zu verarbeiten, veranlassten die eingebetteten Anweisungen die KI dazu, das Token zu extrahieren und in einen HTML-Entwurf einzufügen. Das Anzeigen des Entwurfs führte zum Token-Leak. Zum Zeitpunkt der Veröffentlichung war der Bypass über image-set() in Gmail nach Angaben des Forschers weiterhin funktionsfähig.
Eine weitere Demonstration zielt auf OpenAI Atlas – einen KI-Browser. CSS-Pseudoelemente und Transparenz ermöglichten es, dass eine Person nur harmlosen Text sah, während das Modell versteckte Anweisungen auslas. Wenn der Nutzer die Übersetzung des sichtbaren Textes anforderte, veranlasste der versteckte Prompt Atlas dazu, Tabs zu öffnen und den Namen des Opfers in URL-Fragmente zu kodieren. OpenAI stellt den Support für Atlas ein – der Dienst sollte am 9. August 2026 seinen Betrieb einstellen.
Patch-Status und betroffene Produkte
Laut dem Forscher fällt die Reaktion der Provider unterschiedlich aus:
- Fastmail – zwei Bugs bei der CSS-Mutation wurden behoben
- Proton Mail – der Proxy-Bypass funktionierte bei erneuter Prüfung nicht mehr; zugleich wurde jedoch ein Vektor zur Offenlegung der IP-Adresse des Empfängers demonstriert, was der Proton-Dokumentation zum Schutz vor Trackern widerspricht
- Outlook – die label-jacking-Technik war zum Veröffentlichungszeitpunkt weiterhin funktionsfähig
- Gmail – der Bypass über
image-set()war zum Veröffentlichungszeitpunkt weiterhin funktionsfähig - Yahoo Mail / AOL Mail – zum Patch-Status liegen keine Angaben vor
Wichtig: Alle Aussagen zum Status der Schwachstellen basieren auf den Angaben eines einzelnen Forschers. In den verfügbaren Quellen wurden keine offiziellen Security Bulletins von Microsoft, Google, Yahoo oder anderen Anbietern gefunden.
Bewertung der Auswirkungen
Insgesamt decken die betroffenen Plattformen die überwiegende Mehrheit der Webmail-Nutzer ab. Am stärksten gefährdet sind Organisationen, die KI-Integrationen mit E-Mail-Diensten einsetzen – etwa Claude-Cowork-Connectoren, automatisierte Verarbeitung eingehender Nachrichten und ähnliche Lösungen. Die Angriffsketten erfordern zwar Interaktion durch das Opfer, nutzen jedoch gewohnte Handlungen aus: die Eingabe eines Passworts auf einem vertrauten Bildschirm, das Einfügen von Text aus der Zwischenablage, den Klick auf einen Link in einer E-Mail oder eine Anfrage an einen KI-Assistenten.
Eine besondere Bedrohung stellt die Offenlegung der IP-Adresse für Nutzer von Proton Mail dar, die diesen Dienst gerade wegen der Privatsphäre wählen.
Empfehlungen zum Schutz
Die Studie enthält konkrete Empfehlungen für Webmail-Provider:
- Isolation – Rendering von HTML-E-Mails in isolierten (sandboxed) iframes
- Strikte CSS-Validierung – Verwendung von Allowlists für zulässige Zeichen anstelle der Blockierung bekannter gefährlicher Konstrukte
- Prüfung von CSS-Gadgets – Audit benutzerdefinierter Attribute im Hinblick auf die Möglichkeit, neue DOM-Knoten zu generieren
- Blockierung von select-Elementen und gefährlichen CSS-Selektoren im Kontext von E-Mails
- Kontrolle von Bildanfragen – Verhinderung von Anfragen an externe, vom Angreifer kontrollierte Ressourcen, einschließlich Domains aus Allowlists
Für Endnutzer gilt: Vermeiden Sie das Einfügen von Inhalten aus der Zwischenablage in Webmail-Entwürfe, geben Sie keine Zugangsdaten auf Login-Bildschirmen ein, die innerhalb der Oberfläche des E-Mail-Clients erscheinen, und verwenden Sie KI-Assistenten zur automatischen Verarbeitung eingehender E-Mails mit Vorsicht – insbesondere, wenn sich darunter Nachrichten unbekannter Absender befinden können.
Webmail-Providern wird empfohlen, ihre HTML/CSS-Sanitizer im Lichte der veröffentlichten PoC-Materialien aus dem Repository der Studie zu auditieren, mit besonderem Fokus auf Diskrepanzen zwischen den Ergebnissen der Sanitization und dem finalen Rendering in verschiedenen Browsern. Organisationen, die KI-Connectoren zu E-Mail einsetzen, sollten das Risiko indirekter Prompt-Injections über eingehende Nachrichten bewerten und bei Bedarf den automatischen Zugriff der KI auf ungeprüfte E-Mails einschränken.
