E-Mail-Adresse mit KI teilen oder Postfachzugriff erlauben?

Ob es sicher ist, hängt davon ab, welche von drei verschiedenen Dingen Sie tatsächlich tun. Ihre E-Mail-Adresse in ein Feld zu tippen teilt einen Identifikator. Dem Assistenten die Berechtigung zu geben, ein Postfach zu lesen, teilt dessen Inhalt. Ihr gesamtes Postfach über eine Integration zu verbinden kann jahrelange Nachrichten und die Fähigkeit teilen, mit ihnen zu handeln. Diese werden oft als eine einzige Entscheidung präsentiert – ein Formularfeld oder ein Zustimmungsbildschirm –, tragen aber sehr unterschiedliche Folgen und können getrennt entschieden werden.

Dieser Artikel geht darum, diese Entscheidung bewusst zu treffen: Prüfen Sie, was eine Integration kann, geben Sie einmaligen Aufgaben nur das Nötige und schließen Sie jede Berechtigung, wenn die Aufgabe endet.

Adresse, Postfachzugriff und vollständige Postfachverbindung

Eine Adresse teilen bedeutet, dass der Assistent Ihre E-Mail in ein Anmeldeformular oder einen Nachrichtenkopf einträgt. Die Website kennt die Adresse nun; der Assistent hat nichts gewonnen, was er nicht schon hatte. Nichts kommt an einem neuen Ort an, und niemand kann allein durch die Kenntnis einer Adresse E-Mails lesen.

Postfachzugriff bedeutet ein Zugangsdaten- oder Berechtigungsobjekt, das dem Assistenten erlaubt, ein Postfach zu öffnen und zu lesen, was ankommt. Das kann eng sein (ein Postfach, nur lesend, eine Stunde Lebenszeit) oder breit. Das Wort „Zugriff" verbirgt den Unterschied – deshalb existiert der nächste Abschnitt.

Vollständige Postfachverbindung ist, was eine Postfach-Integration anfordern kann: Zugriff auf den Nachrichtenverlauf oder Aktionen wie Senden und Löschen. Nützlich für laufende Assistenten, die E-Mails tatsächlich verwalten – und viel zu viel für „hol mir einen Bestätigungscode".

Prüfen, was eine Integration tatsächlich kann

Schauen Sie vor dem Autorisieren auf die angeforderten Bereiche statt auf den Funktionsnamen. Ein Assistent, der „Ihre E-Mails zusammenfasst", kann dennoch die Berechtigung zum Senden, Löschen oder Ändern von E-Mails halten. OWASPs Leitfaden zu exzessiver Handlungsfreiheit ist bei diesem Muster unverblümt: Eine Erweiterung, die E-Mails zum Zusammenfassen liest, sollte nur Leserechte haben, und hochwirksame Aktionen sollten menschliche Freigabe erfordern (OWASP LLM06).

Prüfen Sie vier Dinge:

• Umfang: lesen, senden, löschen, Einstellungen – welche davon gewährt die Berechtigung tatsächlich?
• Reichweite: ein Postfach oder das ganze Konto? Nur neue E-Mails oder die gesamte Historie?
• Beständigkeit: Endet die Berechtigung mit der Aufgabe oder bleibt sie gültig, bis Sie sie widerrufen? Prüfen Sie, ob diese Integration mit der Aufgabe abläuft; wenn nicht, endet die Aufgabe, aber die Tür bleibt offen.
• Andere Werkzeuge: Was kann der Assistent sonst noch erreichen, während er diesen Zugriff hält – etwa einen Browser, Dateien oder andere verbundene Dienste?

Der letzte Punkt ist wichtiger, als er aussieht. Eingehende E-Mails sind nicht vertrauenswürdige Eingaben, und eine Nachricht kann Text enthalten, der geschrieben wurde, um den Assistenten umzuleiten. Das ist nicht hypothetisch: CVE-2026-33654, eine Prompt-Injection-Schwachstelle im E-Mail-Kanal des nanobot-Assistenten, ließ einen entfernten Angreifer eine einzige E-Mail senden, die das Modell Anweisungen ausführen und Systemwerkzeuge aufrufen ließ, ohne dass der Besitzer etwas tat. Das war der Fehler eines Produkts, keine Eigenschaft jeder KI-E-Mail-Funktion – aber es zeigt, warum die Berechtigungen rund um das Postfach genauso zählen wie das Postfach selbst. Die Mechanik, wie Nachrichtentext zu einer Anweisung wird, behandelt Prompt Injection für E-Mail-Nutzer.

Bevorzugen Sie ein aufgabenspezifisches Postfach nur zum Empfangen

Für eine risikoarme Aufgabe, die nur E-Mail-Empfang braucht – etwa einen Bestätigungscode, eine Bestätigung oder einen Download-Link – ist die engste ausreichende Option ein Postfach, das nur für diese Aufgabe erstellt wurde.

Auf TempMail.Best kann ein Agent ein Postfach mit 10 Minuten oder 1 Stunde Laufzeit erstellen, auf eingehende E-Mails warten, Nachrichten lesen und das Postfach löschen, wenn er fertig ist. Der Dienst kann nur empfangen: Er kann von dieser Adresse keine E-Mails senden. Die Zugangsdaten des Agenten öffnen nur dieses Postfach; es gibt kein Konto dahinter und keine Historie darin.

Zwei Grenzen verdienen Präzision, weil Menschen sie überdehnen:

• Ein separates Postfach legt nur dieses Postfach offen, vorausgesetzt, die anderen Berechtigungen und Werkzeuge des Assistenten sind ebenso begrenzt. Wenn derselbe Assistent auch Ihre Dateien oder Ihren Browser erreichen kann, verkleinert die Postfachgrenze nicht, was ein fehlgeleiteter Assistent darüber anrichten könnte.
• „Nur empfangen" beschreibt diesen Dienst. Der Agent kann über TempMail.Best keine E-Mails senden, aber er kann dieses temporäre Postfach löschen – und was immer er über andere verbundene Dienste tun kann, bleibt von hier unberührt.

Das Modell eines aufgabengebundenen Postfachs erklärt was ein KI-Agenten-Postfach ist.

Wann Sie nicht autorisieren sollten

Lassen Sie das temporäre Postfach – und KI-Postfachzugriff im Allgemeinen – weg bei Aufgaben mit:

• Banken, Zahlungen, Geldanlagen oder Käufen, die Sie anfechten oder erstatten lassen könnten;
• Gesundheitswesen, Versicherungen, Behördendiensten oder Ausweisdokumenten;
• Arbeits-E-Mail, Hauptkonten oder vertraulichen Unterhaltungen;
• Passwort-Resets, Wiederherstellungslinks oder Änderungen an Sicherheitseinstellungen;
• Abonnements oder Diensten, die Sie möglicherweise verlängern, kündigen oder wiederherstellen müssen;
• jedem Ablauf, bei dem der Assistent ohne Ihre Freigabe E-Mails senden oder ein Konto ändern könnte.

Für dauerhafte Konten verwenden Sie eine Adresse, die Sie langfristig kontrollieren, oder einen verwalteten Weiterleitungsalias. Wenn eine Website eine Wegwerfadresse ablehnt, respektieren Sie das; die Aufgabe gehört dann möglicherweise schlicht nicht in ein temporäres Postfach.

Die Aufgabe schließen und jede Berechtigung widerrufen

Wenn der Assistent „fertig" meldet, verifizieren Sie das Ergebnis: Der Code hat funktioniert, der Download liegt vor, das Konto existiert. Schließen Sie dann den Zugriff in zwei getrennten Schritten, weil sie zwei verschiedene Systeme betreffen:

1. Löschen Sie das temporäre Postfach. Das beendet die Zugangsdaten des Agenten für dieses Postfach und entfernt seine Nachrichten. Das Postfach würde ohnehin planmäßig ablaufen, aber das Schließen bei Aufgabenende verkürzt das Fenster.
2. Widerrufen Sie die Drittanbieter-Berechtigungen. Das Beenden eines TempMail.Best-Postfachs widerruft nichts auf der KI-Plattform. Andere autorisierte Werkzeuge, Integrationen und aktive Sitzungen werden dort verwaltet und bleiben bestehen, bis Sie sie entfernen. Prüfen Sie, was Sie vor der Aufgabe autorisiert haben, und machen Sie jeden Punkt rückgängig.

Eines kann das Löschen nicht: Es kann nicht ungeschehen machen, dass der Assistent diese E-Mails bereits gelesen hat, und nicht rückgängig machen, was er anderswo gespeichert hat. Begrenzen Sie die Offenlegung vor der Aufgabe; die Bereinigung danach betrifft Türen, nicht Gedächtnis.

Bevor Sie irgendeine E-Mail-Aufgabe autorisieren, gehen Sie die Vorab-Prüfungen in E-Mail-Verifizierung mit einem KI-Agenten durch. Die Frage ist nie, ob die KI im Allgemeinen vertrauenswürdig ist. Sie lautet, ob diese Aufgabe so viel Zugriff braucht. Für einmaligen Empfang fast nie.