Der KI-Agent im Postfach: Was er darf, was er niemals darf
Seit 2026 gibt es in den großen Büropaketen Agenten, die ohne Zuruf im Postfach arbeiten: lesen, einsortieren, antworten, weiterleiten. Der Nutzen ist offensichtlich, die Werbung entsprechend laut. Was in der Werbung fehlt, ist der unangenehme Teil – ein Postfach ist der einzige Ort im Unternehmen, an dem jeder Fremde ungefragt Text hineinschreiben kann. Für einen Agenten ist das die gefährlichste Eingabe überhaupt.
Assistent oder Agent: der Unterschied ist der Auslöser
Ein Assistent formuliert auf Zuruf. Sie markieren eine Nachricht, klicken auf „Antwort vorschlagen", lesen den Vorschlag und schicken ihn ab oder eben nicht. Der Mensch gibt den Auslöser und trifft die Entscheidung. Das ist der Stand, den die meisten Mailprogramme seit Jahren anbieten – und der Beitrag E-Mails mit KI schreiben beschreibt, worauf es dabei ankommt.
Ein Agent arbeitet ohne Zuruf. Er sieht jede eingehende Nachricht, entscheidet selbst, ob und was zu tun ist, und führt es aus. Der Auslöser kommt von außen – von dem, der die E-Mail geschickt hat. Diese eine Verschiebung erzeugt sämtliche Fragen, um die es im Rest dieses Beitrags geht.
Das Kernproblem: eine E-Mail ist eine Anweisung von einem Fremden
Ein Sprachmodell unterscheidet nicht zuverlässig zwischen dem, was sein Betreiber will, und dem, was im gelesenen Text steht. Beides erreicht das Modell als Text. Genau hier setzt der Angriff an, der Fachleute seit zwei Jahren beschäftigt und bis heute nicht sauber gelöst ist.
Ein Angreifer schreibt Anweisungen in eine E-Mail – unsichtbar in weißer Schrift, in einer Fußzeile, in einem angehängten Dokument oder auf einer verlinkten Seite, die der Agent abruft. Der Agent liest sie und behandelt sie im Zweifel wie einen Auftrag. Was daraus wird, hängt allein davon ab, was er darf:
Darf er nur lesen und sortieren: Die Nachricht landet im falschen Ordner. Ärgerlich, mehr nicht.
Darf er weiterleiten: Der Angreifer lässt sich Ihren gesamten Schriftverkehr zu einem Vorgang an eine fremde Adresse schicken. Sie merken es frühestens, wenn Sie den gesendeten Ordner durchsehen.
Darf er antworten: Der Angreifer erhält Auskünfte, die er als Fremder nie bekommen hätte – und Ihre Kundschaft bekommt Antworten, die nie jemand gelesen hat.
Darf er löschen: Die Spuren des Vorgangs verschwinden mit.
Zwei Gegenmaßnahmen helfen wirklich, alles andere ist Beiwerk. Erstens: Ein Agent, der fremde Nachrichten liest, bekommt keine Rechte, mit denen sich Schaden anrichten lässt. Zweitens: Ausgehende Wege werden getrennt betrachtet – Weiterleitung an externe Adressen, Versand mit Anhang und Löschen sind eigene Berechtigungen und nicht Teil eines allgemeinen Zugriffs.
Vier Freigabestufen, die sich bewährt haben
Stufe 1 – Lesen und ordnen
Der Agent sortiert nach Vorgang, markiert Fristen, fasst lange Verläufe zusammen und hebt hervor, was heute beantwortet werden muss. Er schreibt nichts nach außen. Diese Stufe bringt einen großen Teil des Nutzens bei nahezu keiner Angriffsfläche und ist der richtige Anfang.
Stufe 2 – Entwürfe vorbereiten
Der Agent legt Antworten als Entwurf ab, versendet aber nicht. Der Mensch öffnet, prüft, ändert, schickt ab. Das ist der beste Ertrag pro Risiko: Die Schreibarbeit fällt weg, die Entscheidung bleibt beim Menschen und ist nachweisbar bei ihm geblieben.
Stufe 3 – Versand nach Freigabe
Der Agent darf versenden, aber jede Nachricht braucht eine ausdrückliche Freigabe – eine Bestätigung je Vorgang, nicht eine Dauervollmacht. Sinnvoll bei hohem Aufkommen gleichartiger Fälle. Wichtig: Die Freigabe muss den fertigen Text zeigen, nicht nur die Absicht.
Stufe 4 – Selbstständig im engen Rahmen
Der Agent handelt ohne Rückfrage, aber nur bei klar umrissenen Fällen: Empfangsbestätigungen, Terminvorschläge aus dem Kalender, Weiterleitung an eine feste Liste interner Adressen. Alles außerhalb dieser Liste fällt zurück auf Stufe 2. Diese Stufe erst einführen, wenn die Protokolle aus Stufe 3 über Wochen sauber sind.
Die Reihenfolge ist nicht verhandelbar. Wer bei Stufe 4 einsteigt, weil das Werkzeug es anbietet, hat keine Grundlage für die Beurteilung, ob der Agent überhaupt richtig liegt.
Was protokolliert gehört
Ohne Protokoll ist ein Agent im Postfach nicht beherrschbar. Nicht weil man ihm misstraut, sondern weil sich sonst im Nachhinein keine einzige Frage beantworten lässt. Sechs Angaben je Vorgang reichen aus:
Zeitpunkt und auslösende Nachricht mit ihrer eindeutigen Kennung. Die getroffene Einordnung samt Begründung in einem Satz. Die ausgeführte Handlung im Wortlaut – bei Versand der vollständige Text, nicht nur der Vermerk „Antwort gesendet". Wer freigegeben hat, sofern eine Freigabe nötig war. Welches Modell in welcher Fassung gearbeitet hat. Und die Fälle, in denen der Agent bewusst nichts getan hat, weil sie zeigen, wo die Grenze in der Praxis verläuft.
Das Protokoll gehört außerhalb des Postfachs abgelegt, damit es nicht mitverschwindet, wenn im Postfach etwas schiefgeht. Und es braucht eine Löschfrist, sonst entsteht dort eine zweite, dauerhafte Kopie des gesamten Schriftverkehrs – mit allen Fragen, die sich am Original schon stellen.
Datenschutz: das Postfach ist der heikelste Datenbestand im Haus
In einem geschäftlichen Postfach liegt fast alles: Kundendaten, Bewerbungen, Krankmeldungen, Schriftverkehr mit Steuerberatung und Anwaltschaft, Beschwerden, private Nachrichten von Beschäftigten. Einem Agenten Zugriff zu geben ist deshalb keine Werkzeugentscheidung, sondern eine Verarbeitung mit allem, was dazugehört: eigene Rechtsgrundlage, Eintrag im Verzeichnis der Verarbeitungstätigkeiten, bei externen Anbietern ein Auftragsverarbeitungsvertrag, technische Schutzmaßnahmen und ein Löschkonzept.
Drei Punkte fallen in der Praxis regelmäßig hinten herunter:
Der Zuschnitt. Ein Agent braucht selten das ganze Postfach. Er braucht einen Ordner, ein Etikett oder einen Zeitraum. Was er nicht sieht, kann nicht abfließen. Ein eigenes Konto mit genau diesen Rechten ist besser als der Zugriff auf das persönliche Postfach einer Person.
Die Beschäftigten. Ein System, das Postfächer auswertet, ist geeignet, Verhalten und Leistung zu überwachen. Damit ist es mitbestimmungspflichtig, sobald ein Betriebsrat besteht – auch dann, wenn niemand überwachen will. Diese Beteiligung gehört an den Anfang. Wer sie nachholt, baut zweimal.
Die Gegenseite. Wer Ihnen schreibt, hat nicht damit gerechnet, dass ein Modell mitliest. Bei Anbietern außerhalb der EU stellt sich zusätzlich die Frage der Übermittlung – dazu steht das Wesentliche im Beitrag zu Kundendaten in KI-Werkzeugen. Wer das Thema grundsätzlich lösen will, betreibt das Modell im eigenen Haus; welche Ausstattung dafür reicht, steht in KI auf dem eigenen Gerät.
Dies ist eine praktische Einordnung und keine Rechtsberatung. Die Bewertung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten und, wo ein Betriebsrat besteht, an den Verhandlungstisch.
Was gut läuft und was nicht in die Hand eines Agenten gehört
Trägt den Aufwand
Eingang sortieren und Vorgängen zuordnen. Lange Verläufe zusammenfassen. Fristen und Termine erkennen und in den Kalender vorschlagen. Rechnungsdaten und Bestelldaten auslesen. Doppelte Anfragen zusammenführen. Entwürfe für wiederkehrende Standardfälle.
Bleibt beim Menschen
Alles mit rechtlicher Wirkung: Zusagen, Kündigungen, Fristsetzungen, Abnahmen, Preisaussagen. Beschwerden und alles Emotionale. Absagen an Bewerber. Nachrichten an Behörden, Steuerberatung und Anwaltschaft. Und jede Nachricht, bei der ein falscher Ton teurer ist als die gesparte Zeit.
Wie wir das im eigenen Haus handhaben
Wir betreiben selbst eine Anbindung an unsere Postfächer, über die ein Agent lesen, suchen, auflisten und markieren kann. Versand und Löschen sind davon ausdrücklich ausgenommen und verlangen eine eigene Freigabe, die nicht im System liegt. Ein Entwurf entsteht automatisch, abgeschickt wird von Hand.
Das klingt kleinlich und ist es auch. Aber genau diese Trennung ist der Unterschied zwischen einem Werkzeug, das im Notfall ein falsch einsortiertes Etikett hinterlässt, und einem, das im Notfall in Ihrem Namen etwas verschickt hat. Die Erfahrung aus dem eigenen Betrieb: Der Nutzen entsteht fast vollständig auf den Stufen 1 und 2. Die Verlockung liegt bei Stufe 4, der Ertrag nicht.
Postfach-Agent sauber aufsetzen
Wir richten Postfach-Agenten so ein, dass im Schadensfall nichts nach außen geht und sich hinterher jede Handlung nachvollziehen lässt.
Was wir übernehmen:
Zuschnitt festlegen: eigenes Konto, begrenzter Ordner- und Zeitraumzugriff, getrennte Rechte für Lesen, Entwerfen, Versenden und Löschen.
Freigabestufe wählen und einrichten, beginnend bei Lesen und Entwerfen – mit einem Testbetrieb an echten Nachrichten, bevor etwas versendet werden darf.
Protokollierung außerhalb des Postfachs, mit Löschfrist und im Wortlaut der ausgeführten Handlungen.
Übergabe mit schriftlichem Prüfprotokoll: welche Rechte gesetzt sind, was protokolliert wird, wie der Agent im Zweifel abgeschaltet wird.
Schreiben Sie kurz, welches Postfach es betrifft und was der Agent übernehmen soll. Sie bekommen eine Einschätzung, welche Freigabestufe dazu passt – auch dann, wenn die Antwort lautet, dass Stufe 1 für diesen Fall vollkommen ausreicht.