Wie ein CSS-Border-Escape die weltweit vertrauenswürdigsten Webmail-Schnittstellen kompromittierte

Ich erinnere mich, wie ich vor drei Jahren in einem fensterlosen Security Operations Center saß und beobachtete, wie ein Red-Teamer eine millionenschwere Web Application Firewall mit einem einzigen kodierten Zeichen umging. Es war eine ernüchternde Erinnerung daran, dass Komplexität der Feind der Sicherheit ist. Wir gehen oft davon aus, dass der Schutz umso sicherer ist, je mehr wir für eine Verteidigungsschicht ausgeben. Dieser Glaube ist ein Trugschluss. Jüngste Forschungsergebnisse, die von Gareth Heyes von PortSwigger auf der Black Hat USA 2026 präsentiert wurden, belegen, dass selbst die ausgereiftesten Webmail-Plattformen anfällig für Style-basierte Angriffe sind.

Webmail-Anbieter wie Gmail, Outlook und Proton Mail geben Millionen für Sanitization-Engines aus. Diese Systeme fungieren wie ein Türsteher in einem VIP-Club an jeder internen Tür. Sie scannen jede eingehende HTML-E-Mail auf bösartige Skripte und gefährliche Tags. Wenn ein Stück Code verdächtig aussieht, entfernt der Sanitizer es. Diese Forschung zeigt, dass ein Angreifer kein JavaScript benötigt, um Schaden anzurichten. Er benötigt lediglich Cascading Style Sheets (CSS). Durch das Ausnutzen der Art und Weise, wie Browser und Webmail-Clients Styles interpretieren, kann ein Angreifer den Zaun zwischen einer nicht vertrauenswürdigen E-Mail und der vertrauenswürdigen Anwendungsoberfläche überwinden.

Das architektonische Paradoxon der E-Mail-Bereinigung

Das grundlegende Problem ist die Abgrenzung. Wenn Sie eine E-Mail öffnen, platziert der Webmail-Client diesen nicht vertrauenswürdigen Inhalt in seiner eigenen vertrauenswürdigen Benutzeroberfläche. Es gibt eine dünne Wand zwischen der Nachricht und Ihren Schaltflächen für „Posteingang“ oder „Einstellungen“. Normalerweise besteht diese Wand aus einer Reihe von Filtern, die verhindern, dass die E-Mail den Rest der Seite beeinflusst. Diese Forschung zeigt, wie CSS durch diese Wand greifen kann.

Ein Pfad beinhaltet den Missbrauch von HTML und CSS, die der Sanitizer bereits zulässt. Der andere Pfad erzeugt eine Diskrepanz zwischen dem, was der Sanitizer genehmigt, und dem, was der Browser letztendlich rendert. Beide Pfade führen zum gleichen Ergebnis: Der E-Mail-Inhalt stört die Webmail-Schnittstelle. Dies kann zu Passwortdiebstahl, Token-Leckagen und nicht autorisierten UI-Aktionen führen. Es ist ein systemisches Versagen des Isolationsmodells, auf das wir uns seit Jahrzehnten verlassen.

Die Outlook-Passwort-Abfangkette

Das dramatischste Ergebnis betrifft Outlook und Firefox. Diese Angriffskette ist ein Meisterstück in der Kombination geringfügiger Browser-Verhaltensweisen, um eine kritische Kompromittierung zu erreichen. Der Forscher nutzte erlaubte Label-Elemente, um Steuerelemente außerhalb der E-Mail-Nachricht auszulösen. Dann ermöglichte ein Media-Query-Parsing-Trick die Injektion von beliebigem CSS, das der Sanitizer übersah.

Innerhalb der E-Mail tarnt der Angreifer ein Standard-Select-Element als Microsoft-Anmeldebildschirm. Hier kommt das Firefox-Verhalten ins Spiel. Firefox hat einen internen Timer von etwa einer Sekunde für Auswahlmenüs. Wenn sich das Select-Element aus dem Bildschirmbereich bewegt, setzt der Browser diesen Timer zurück. Durch strategisches Verschieben des Elements bewirkt der Angreifer, dass das Abfangen in Echtzeit geschieht. Wenn ein Benutzer glaubt, sein Passwort in eine vertrauenswürdige Eingabeaufforderung einzugeben, füttert er es in Wirklichkeit direkt dem Angreifer. Diese Technik umgeht traditionelle Phishing-Warnungen, da die URL in der Adressleiste weiterhin outlook.live.com lautet.

Das Yahoo- und AOL-Paste-Race

Yahoo Mail und AOL Mail offenbarten eine andere Schwachstelle, die darin wurzelt, wie Browser die Zwischenablage handhaben. In Firefox kann eingefügtes HTML kurzzeitig aktives CSS beibehalten, bevor der Sanitizer der Anwendung die Chance hat, es zu bereinigen. Dies ist ein „Paste-Race“. Die Forschung demonstrierte dies, indem sie auf E-Mail-Login-Token von Medium abzielte.

In diesem Szenario initiiert der Angreifer einen Login-Flow für das Medium-Konto des Opfers. Das Opfer erhält eine legitime Login-E-Mail. Der Angreifer hat jedoch bereits eine separate E-Mail mit bösartigem CSS gesendet. Das Opfer kopiert diesen Inhalt und fügt ihn in einen Entwurf in Yahoo oder AOL ein. Während dieser Sekundenbruchteile des Einfügens stellt das bösartige CSS Anfragen an den Server des Angreifers. Diese Anfragen enthüllen genügend Zeichen des 12-stelligen Login-Tokens, damit der Server den vollständigen Code rekonstruieren kann. Der Angreifer verwendet diesen Token dann, um sich als das Opfer anzumelden. Der gesamte Prozess beruht auf einer Race Condition, die in einem Augenzwinkern abläuft.

Token-Exfiltration durch Prompt-Injection

Der Aufstieg KI-gestützter E-Mail-Tools schafft eine neue Angriffsfläche. Gmail liefert ein klares Beispiel durch sein image-set()-Fallback-Verhalten. Trotz der Bereinigungsbemühungen kann diese CSS-Funktion weiterhin externe Anfragen stellen. Gareth Heyes und Pete Hendy kombinierten dies mit einem indirekten Prompt-Injection-Angriff. Dies zielte speziell auf Nutzer des Claude Cowork-Tools von Anthropic ab, das sich mit Gmail verbindet, um Nachrichten zu verarbeiten.

Ein Angreifer sendet eine E-Mail mit versteckten Anweisungen für die KI. Wenn das Opfer Claude bittet, seine jüngsten E-Mails zu verarbeiten, folgt die KI den injizierten Anweisungen anstelle des Benutzerbefehls. In der Demonstration rief die KI einen Slack-Token aus einer separaten Bestätigungs-E-Mail ab und platzierte ihn in einen neuen HTML-Entwurf. Als das Opfer diesen Entwurf ansah, exfiltrierte der image-set()-Bypass den Token zum Angreifer. Diese Wendung der Ereignisse zeigt, wie KI-Agenten zu einem digitalen Trojanischen Pferd innerhalb einer sicheren Umgebung werden können.

Fastmail und die Kunst des CSS-Hotwiring

Fastmail war anfällig für das, was der Forscher „CSS-Hotwiring“ nennt. Diese Technik leitet Klicks in unbeabsichtigte, mehrstufige UI-Aktionen um. Durch die Verwendung von CSS-Pseudo-Elementen und Deckkraft (Opacity) kann ein Angreifer unsichtbare Schaltflächen über die legitime Fastmail-Oberfläche legen. Ein Benutzer, der glaubt, auf einen Link in einer E-Mail zu klicken, klickt in Wirklichkeit vielleicht auf eine Schaltfläche, die seinen Posteingang löscht oder seine Kontoeinstellungen ändert.

Diese Forschung untersuchte auch den Atlas KI-Browser von OpenAI. Ein Angreifer kann CSS verwenden, um einem Menschen eine Sache und einer Maschine eine andere zu zeigen. Zum Beispiel sieht der Mensch einen harmlosen Textabschnitt. Das KI-Modell liest versteckte Anweisungen, die im CSS kodiert sind. Wenn der Benutzer Atlas bittet, den sichtbaren Text zu übersetzen, veranlassen die versteckten Anweisungen den Browser dazu, neue Tabs zu öffnen und den Namen des Opfers in den URL-Fragmenten preiszugeben. Während OpenAI Atlas zum 9. August 2026 einstellt, bleibt die Technik eine Warnung für jeden Entwickler, der KI baut, die mit dem Web interagiert.

Privatsphäre-Lecks in Proton Mail

Selbst datenschutzorientierte Dienste wie Proton Mail sind nicht immun. Der Forscher demonstrierte einen Vektor, der die IP-Adresse eines Empfängers preisgab. Proton Mail ist darauf ausgelegt, diese Informationen durch Tracker-Schutz vor Absendern zu verbergen. Ein spezifischer CSS-Bypass ermöglichte es jedoch, dass eine externe Anfrage ausgelöst wurde, wenn die E-Mail geöffnet wurde. Dies enthüllte den exakten Zeitpunkt, zu dem die E-Mail gelesen wurde, sowie die persönliche IP-Adresse des Benutzers. Proton hat inzwischen bestimmte Proxy-Bypasses behoben, aber die Forschung unterstreicht die Schwierigkeit, in einer Welt komplexen CSS einen perfekten Perimeter aufrechtzuerhalten.

Webmail gegen Style-Angriffe stärken

Diese Erkenntnisse legen nahe, dass unser aktueller Ansatz zur E-Mail-Sicherheit reaktiv ist. Wir warten darauf, dass ein Forscher einen Bypass findet, und patchen ihn dann. Für Webmail-Anbieter sind die Verteidigungsrichtlinien nun viel strenger. Die effektivste Verteidigung ist die totale Isolation. Das bedeutet, HTML-E-Mails innerhalb von sandboxed Iframes zu rendern. Dies verhindert, dass der E-Mail-Style jemals die übergeordnete Benutzeroberfläche erreicht.

Anbieter müssen zudem CSS-Eigenschaften auf eine strikte Allow-List sicherer Zeichen beschränken. Sie sollten Auswahlmenüs, benutzerdefinierte Attribute und gefährliche Selektoren wie :has() blockieren. Darüber hinaus müssen sie alle vom Angreifer kontrollierten Bildanfragen verhindern, selbst solche, die scheinbar von Allow-List-Domains stammen. Aus der Sicht des Endnutzers ist die beste Verteidigung eine gesunde Paranoia. Seien Sie vorsichtig bei jeder E-Mail, die Sie auffordert, Inhalte zu kopieren und einzufügen oder mit ungewöhnlichen UI-Elementen zu interagieren.

Wichtige Erkenntnisse für Sicherheitsteams

• Implementieren Sie striktes Iframe-Sandboxing für alle nicht vertrauenswürdigen HTML-Inhalte.
• Validieren Sie CSS gegen eine zeichenbasierte Allow-List anstatt einer Tag-basierten Block-List.
• Überprüfen Sie die Interaktion zwischen KI-Assistenten und dem E-Mail-DOM, um indirekte Prompt-Injection zu verhindern.
• Deaktivieren Sie gefährliche CSS-Funktionen wie image-set() und komplexe Pseudo-Selektoren im E-Mail-Body.
• Überprüfen Sie das Verhalten benutzerdefinierter HTML-Attribute, die JavaScript später in aktive Elemente umwandeln könnte.

Quellen:

• PortSwigger Research: Gareth Heyes, Black Hat USA 2026 Paper
• NIST Special Publication 800-45 Version 2: Guide to Electronic Mail Security
• MITRE ATT&CK Framework: T1566 (Phishing) and T1189 (Drive-by Compromise)

Dieser Artikel dient ausschließlich Informations- und Bildungszwecken und ersetzt keine professionelle Cybersicherheitsprüfung oder einen Incident Response Service.