Ist es sicher, einer KI Zugriff auf Ihr E-Mail-Postfach zu geben?

Vorsicht. Einer KI Zugriff auf Ihr Postfach zu geben, ist nicht risikofrei. Diese Assistenten verlangen oft breiten Zugriff: lesen, schreiben, senden, manchmal löschen. Dieser Zugriff betrifft alles: Kontakte, Rechnungen, E-Mails zum Zurücksetzen von Passwörtern, Anhänge, jahrelange Archive. Der Inhalt Ihrer E-Mails verlässt dann meist die Server Ihres Mail-Anbieters und geht auf die des Anbieters über. Und 2025 hat eine Sicherheitslücke gezeigt, dass eine präparierte E-Mail den Assistenten kapern kann. Die sichere Regel ist einfach: Gewähren Sie das Minimum, vermeiden Sie den Vollzugriff und anonymisieren Sie, was Sie der KI anvertrauen.

Was die KI wirklich sieht, wenn Sie ihr Zugriff gewähren

Beginnen wir mit den Berechtigungen. Ein KI-E-Mail-Assistent bittet Sie, einen „Scope“ zu genehmigen. Ein Scope ist der Ausschnitt an Zugriff, den Sie der App gewähren. Bei Gmail sind diese Ausschnitte nach Stufe eingeteilt.

Der breiteste heißt mail.google.com. Er gibt der verbundenen App das Recht, Ihre GESAMTE Korrespondenz zu lesen, zu verfassen, zu senden und dauerhaft zu löschen. Das ist der weitestmögliche Zugriff auf ein Postfach. Google kennzeichnet ihn als „eingeschränkten“ Scope.

Sie nehmen vielleicht an, dass ein Scope „nur lesen“ eng bleibt. Das tut er nicht. Der Scope gmail.readonly lässt die App alle Ihre Nachrichten und alle Ihre Einstellungen einsehen. Nicht nur neu eingehende Mails. Er legt also Ihren gesamten Verlauf offen: Kontakte, Rechnungen, Belege, Anhänge.

Warum nennt Google diese Scopes „eingeschränkt“? Weil sie „weitreichenden Zugriff“ auf Ihre Daten geben. Jede App, die diese Gmail-Daten auf ihren eigenen Servern speichert oder überträgt, muss eine jährliche, unabhängige Sicherheitsprüfung bestehen, durchgeführt von einem von Google zugelassenen Prüfer. Die Erkenntnis ist eindeutig. Einem KI-Assistenten Vollzugriff zu geben, bedeutet in der Regel: Der Inhalt Ihrer E-Mails verlässt die Server von Google und geht auf die des Anbieters über.

Wohin die Inhalte gehen und wer sie lesen kann

Sobald Ihre E-Mails beim Anbieter liegen, was kann er damit tun? Google legt Regeln fest, die als „Limited Use“ bekannt sind. Sie regeln Apps, die eingeschränkte Scopes verwenden.

Diese Regeln verbieten es Menschen, Ihre Daten zu lesen, außer in eng begrenzten Fällen. Zum Beispiel: Ihre ausdrückliche Zustimmung, bestimmte Elemente einzusehen, eine Sicherheitsuntersuchung, eine gesetzliche Pflicht oder eine aggregierte und anonymisierte interne Nutzung. Sie verbieten auch, Ihre Daten zu verkaufen oder für Werbung zu nutzen.

Es gibt jedoch einen entscheidenden Haken. Diese Regeln beschreiben, was der Anbieter verspricht. In der Praxis müssen Sie ihm vertrauen, dass er sie einhält. Sie können es nicht selbst in Echtzeit überprüfen. Die Kontrolle entgleitet Ihnen in dem Moment, in dem die Daten Ihren Browser verlassen.

Das gilt schon, wenn Sie die KI eine E-Mail für Sie verfassen lassen. Das ganze Postfach zu übergeben, geht weit darüber hinaus. Dasselbe Problem betrifft KI-Browser, die Ihre Seiten lesen: Je mehr das Werkzeug sieht, desto größer wird die offengelegte Angriffsfläche.

Das eigentliche Risiko 2025: die präparierte E-Mail

Es gibt ein neueres, heimtückischeres Risiko. Es heißt Prompt Injection. OWASP stuft es in seinen Top 10 der Risiken für KI-Anwendungen 2025 auf Platz eins ein (Referenz LLM01).

Das Prinzip ist einfach. Die KI liest externe Inhalte: eine Webseite, ein Dokument, eine E-Mail. Dieser Inhalt verbirgt Anweisungen. Die KI befolgt sie, als kämen sie von Ihnen. Das ist die „indirekte“ Injection. Und OWASP stellt klar: Diese Anweisungen müssen für einen Menschen nicht sichtbar sein.

Die Folge kann ein stiller Datenabfluss sein. Versteckte Anweisungen bringen das Modell dazu, ein Bild einzufügen. Dieses Bild verweist auf eine Adresse, die vom Angreifer kontrolliert wird. Das private Gespräch fließt dann zu ihm ab. Der Nutzer selbst sieht nichts.

Die Angriffskette war ausgefeilt. Sie umging den Cross-Prompt-Injection-Klassifikator von Microsoft (bekannt als XPIA). Sie missbrauchte referenzbasiertes Markdown, automatisch geladene Bilder und einen erlaubten Proxy, um die Daten abzuziehen. Die Lücke wurde als kritisch eingestuft (CVSS-Score 9,3). Microsoft hat sie serverseitig behoben und erklärt, keine Hinweise auf eine reale Ausnutzung zu haben.

Die Lösung: minimaler Zugriff und Anonymisierung

Was also tun? Die richtige Haltung lässt sich auf ein einfaches Prinzip bringen. Lassen Sie sich von der KI beim Schreiben einer E-Mail helfen, aber übergeben Sie ihr nicht das ganze Postfach. Gewähren Sie den kleinstmöglichen Scope.

• Vermeiden Sie den vollen Zugriff zum Lesen, Senden und Löschen.
• Bevorzugen Sie enge Berechtigungen oder solche nur für Metadaten.
• Seien Sie bei unbekannten E-Mails vorsichtig, wenn ein Assistent Ihr Postfach zusammenfasst.
• Anonymisieren Sie sensible Inhalte, bevor Sie sie in eine KI einfügen.

Dieser letzte Schritt ist der robusteste. Er hängt nicht von den Versprechen des Anbieters ab. So funktioniert er, der Reihe nach:

1. 1Erkennen Sie die sensiblen Daten in Ihrem Text: Namen, E-Mails, Kennungen.
2. 2Ersetzen Sie sie im Browser durch umkehrbare Tokens.
3. 3Senden Sie nur den anonymisierten Text an das Modell.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten und ersetzt sie vor dem Senden durch umkehrbare Tokens. Die Erkennung und das Mapping bleiben in Ihrem Browser und verlassen ihn nie. Nur anonymisierter Text erreicht das Modell. Die KI findet nur Tokens — nicht Ihre echten E-Mails, Kontakte oder Anhänge. Sie behalten die Hilfe der KI, ohne ihr Ihr ganzes Postfach zu öffnen.