DokuStand 17. Oktober 2026
Berechtigungen und Autonomie für Agenten in Command Mail
Command Mail begrenzt einen Agenten auf zwei Ebenen. Die Rechte (Scopes) legst du beim Verbinden fest, und sie gelten für alle Postfächer deines Kontos. Die Autonomiestufe stellst du je Postfach ein; sie bestimmt, ob bestimmte Sortieraktionen eines Agenten dort sofort wirken, als Vorschlag warten oder abgelehnt werden. Lesen und Senden begrenzt die Autonomiestufe nicht.
Diese Seite beschreibt das tatsächliche Verhalten von Command Mail, auch dort, wo es weniger schützt, als man von einer Stufe namens „read“ erwarten würde. Sie ergänzt die Abschnitte Scopes und Autonomie der Dokumentation und die Seite für Agenten.
Inhalt
- Empfehlung: Rechte für einen Sortier-Agenten
- Die Rechte im Überblick
- Die Autonomiestufen je Postfach
- Entwürfe freigeben: genau diese Fassung
- Selbst senden: Sendeschlüssel, Tageslimit, Empfängergrenze
- Automatisch versandte Mails
- Prompt Injection: Mailinhalt ist Daten
- Aktivitätsprotokoll und Rückgängig
- Typische Einstellungen
- Rechte entziehen
- Häufige Fragen
- Quellen
01Empfehlung: Rechte für einen Sortier-Agenten
Ein Agent, der dein Postfach nur sortiert, bekommt mail:read und, wenn er Antworten vorbereiten soll, mail:draft. Gib ihm kein mail:send. Mit mail:read und mail:send zusammen kann ein Agent Mails endgültig löschen und Papierkorb oder Spam leeren, und diese Aktionen warten auf den Stufen suggest und rules nicht auf deine Freigabe. Stelle die Postfächer auf suggest, solange du jede Aufräumaktion sehen willst, und erst auf auto, wenn der Agent selbst aufräumen soll.
Soll der Agent Antworten nach deiner Freigabe abschicken, ergänze mail:send-approved. mail:send gehört nur zu einem Agenten, der wirklich ohne Rückfrage senden soll, am besten in einem eigenen Command-Mail-Konto.
02Die Rechte im Überblick
Jede Verbindung trägt eine Liste von Rechten, ob über den gehosteten MCP-Server, die CLI oder einen API-Schlüssel.[1] Fehlt ein Recht, lehnt Command Mail den Aufruf ab; viele Werkzeuge bietet der MCP-Server einem solchen Agenten gar nicht erst an.
| Recht | Erlaubt | Erlaubt nicht |
|---|---|---|
mail:read | lesen und suchen in allen Postfächern, Überblick und Morgenbriefing, sortieren im Rahmen der Autonomie, Labels und Ordner, Gelesen- und Stern-Markierungen, Regeln vorschlagen, Aktivität ansehen und Änderungen von Agenten und Regeln zurücknehmen, Nachfassen | senden, in den Papierkorb legen, endgültig löschen |
mail:draft | Entwürfe speichern und unberührte Agentenentwürfe dieses Kontos verwerfen | senden, Änderungen von dir überschreiben |
mail:send-approved | genau die Fassung einmal senden, die du freigegeben hast | eine Fassung senden, die du nicht freigegeben hast |
mail:send | aus jedem sendefähigen Postfach des Kontos neue Mails und Antworten ohne Freigabe senden, mit eigenem Sendeschlüssel je Mail, im Tageslimit | mehr als 20 Empfänger je Mail, Antworten auf als automatisch erkannte Mails |
mailboxes | Adressen verbinden, Domainbesitz per DNS-TXT-Eintrag nachweisen, alte Mails importieren, Signaturen ändern | Mails lesen oder senden |
Betreiberrechte wie admin gibt es für Kundenschlüssel nicht.[1]
Lesen über MCP und CLI ändert den Gelesen-Status standardmäßig nicht; über die CLI und das lokale MCP lässt sich die Markierung ausdrücklich anfordern. Ein direkter REST-Aufruf von GET /api/mail/{id} markiert die Unterhaltung dagegen als gelesen, wenn du nicht markRead=false anhängst; in Postfächern auf read bleibt die Markierung trotzdem unverändert.
Was erst zwei Rechte zusammen erlauben
Einige Aktionen geben Inhalte an andere weiter oder entfernen Mails. Sie brauchen mail:read und mail:send gemeinsam: Weiterleiten, in den Papierkorb legen und wiederherstellen, endgültig löschen, Papierkorb oder Spam leeren, alle Mails als gelesen markieren sowie eine automatische Löschfrist für Spam und Papierkorb einschalten oder verkürzen.[3] Ein Schlüssel, der nur senden darf, kann so weder Mails lesen noch dein Postfach leeren.
Was nur in der Browsersitzung geht
Über einen Agentenzugang lassen sich keine Entwürfe freigeben, keine Vorschläge bestätigen oder ablehnen, keine Autonomiestufen ändern, kein Tageslimit setzen, keine API-Schlüssel verwalten und kein Text über eine Modellroute erzeugen.[2] Der Server lehnt solche Aufrufe mit einem Token ab; sie gehen nur in einer angemeldeten Browsersitzung.
Rechte beim Verbinden wählen
Auf der Freigabeseite siehst du jedes angefragte Recht einzeln und kannst es abwählen. mail:send ist dort zu Beginn abgewählt; standardmäßig entwirft ein Agent also und du gibst frei.[3] Die Rechte gelten für alle Postfächer deines Kontos.
03Die Autonomiestufen je Postfach
Die Autonomiestufe legt fest, ob die protokollierten Sortieraktionen eines Agenten sofort wirken, als Vorschlag warten oder abgelehnt werden.[1] Gemeint sind Archivieren, Spam, Papierkorb, Kategorien und das Ablegen in Ordner. Die Reihenfolge ist read → suggest → rules → auto.
| Stufe | Protokollierte Sortieraktionen des Agenten | Markierungen und Labels | Deine Regeln |
|---|---|---|---|
read | werden abgelehnt | werden abgelehnt | wirken nicht |
suggest | werden als Vorschlag gespeichert ({"suggested": true}) | wirken sofort | bleiben Vorschläge |
rules | werden als Vorschlag gespeichert | wirken sofort | eingeschaltete Regeln wirken |
auto | werden ausgeführt und protokolliert, höchstens 50 Unterhaltungen pro Sortieraufruf | wirken sofort | wirken |
Wichtig zum Löschen: Endgültiges Löschen sowie das Leeren von Papierkorb und Spam laufen an dieser Vorschlagslogik vorbei. Hat ein Agent mail:read und mail:send, führt Command Mail diese Aktionen auf suggest, rules und auto sofort aus; nur Postfächer auf read bleiben davon unberührt. Endgültig gelöschte Mails lassen sich nicht wiederherstellen. Deshalb bekommt ein Sortier-Agent kein mail:send.
Was die Stufe nicht begrenzt: Die Autonomie schränkt weder das Lesen noch das Senden ein. Ein Agent mit mail:read liest auch Postfächer auf read, und ein Agent mit mail:send kann aus jedem sendefähigen Postfach des Kontos senden und auf Mails antworten, auch in einem Postfach auf read. Wenn ein Postfach für einen Agenten tabu sein soll, brauchst du ein eigenes Command-Mail-Konto dafür.
Ohne eigene Einstellung steht ein Postfach auf auto. Prüfe die Stufe deshalb nach dem Verbinden einer Adresse in den Einstellungen. Betrifft ein Sortieraufruf Mails aus mehreren Postfächern, gilt die strengste Stufe unter ihnen. Ablegen in Ordner wirkt nur auf auto, wartet auf suggest und rules als Vorschlag und wird auf read abgelehnt. Nachfass-Erinnerungen schließt oder verschiebt ein Agent nur auf auto. Eine Löschfrist für Spam und Papierkorb darf ein Agent nur setzen, wenn die Standardstufe des Kontos rules oder auto ist.
Regeln soll ein Agent nur auf deine ausdrückliche Anweisung anlegen; so steht es in den Hinweisen, die Command Mail jedem Agenten über capabilities mitgibt. Prüfen kann der Server diese Anweisung nicht. In Postfächern mit read oder suggest bleibt eine Regel eines Agenten ein Vorschlag, bis du sie einschaltest; auf rules und auto darf der Agent sie selbst einschalten. Mails, die Command Mail als Rechnung, Zahlungsproblem, Sicherheitshinweis, Frist, Termin oder persönliche Mail erkannt hat, verschieben Regeln nicht in Spam oder Papierkorb. Archivieren oder Ablegen solcher Mails setzt eine Regel voraus, die genau diese Art nennt, und kein weiterer Schutzgrund darf entgegenstehen; andere Treffer werden zu Vorschlägen.[2] Die Erkennung arbeitet mit Mustern und erfasst nicht jede Rechnung oder Frist.
04Entwürfe freigeben: genau diese Fassung
Mit mail:draft speichert ein Agent einen Entwurf, mit mail:send-approved schickt er ihn nach deiner Freigabe ab. Gesendet wird genau die freigegebene Fassung, einmal.[1]
- Der Agent speichert einen Entwurf, auf Wunsch als Antwort in der Unterhaltung und mit bis zu fünf Anhängen. Jede Änderung erzeugt eine neue Fassung.
- Du prüfst den Entwurf in der App und gibst diese Fassung frei. Ist seit dem Entwurf eine neue Nachricht in der Unterhaltung eingegangen, weist Command Mail darauf hin, und du gibst bewusst erneut frei.
- Der Agent sendet mit
send_approved_draftdie freigegebene Fassung. Hat sich der Entwurf seither geändert oder passt die Absenderadresse nicht mehr, lehnt Command Mail ab. - Ist unklar, ob die Mail angekommen ist, versucht Command Mail sie nicht erneut. Wurde sie vor der Zustellung abgelehnt, bleibt die Freigabe bestehen.
Hast du einen Entwurf selbst bearbeitet oder freigegeben, kann ihn ein Agent weder überschreiben noch verwerfen. Unberührte Agentenentwürfe kann jeder Agent dieses Kontos mit mail:draft verwerfen, nicht nur der, der sie angelegt hat. Freigegebene Mails gehen ohne nachträglich eingefügte Signatur raus, so wie du sie gesehen hast. Sie zählen nicht zum Tageslimit für Agenten. Senden setzt einen Pro-Tarif und eine eingerichtete Absenderadresse voraus.[3]
05Selbst senden: Sendeschlüssel, Tageslimit, Empfängergrenze
mail:send ist für Agenten gedacht, die ohne Rückfrage antworten sollen, etwa im Kundensupport.[1] Dafür gelten drei Bremsen.
Sendeschlüssel. Jede Mail eines Agenten braucht einen eigenen sendKey aus 8 bis 128 Buchstaben, Ziffern oder den Zeichen _ . : -. Wiederholt ein Agent eine Anfrage mit demselben Schlüssel, etwa nach einer verlorenen Antwort oder aus einem zweiten Fenster, wird nicht ein zweites Mal gesendet. Wurde der Versand sicher abgelehnt, gibt Command Mail den Schlüssel sofort wieder frei. Schlüssel, die an keine gespeicherte Mail gebunden sind, löscht Command Mail nach 30 Tagen. Nach einem unklaren Ausgang soll ein Agent deshalb den Versandstatus prüfen und keine neue Anfrage mit einem neuen Schlüssel starten.
Tageslimit. Ein Agent sendet im Standard höchstens 50 Mails pro Tag, gezählt nach UTC. Du stellst den Wert in den Automatik-Einstellungen zwischen 0 und 500 ein; mit 0 sendet kein Agent mehr selbst.[1] Mails mit unklarem Ausgang zählen mit. Deine eigenen Mails und freigegebene Entwürfe zählen nicht. Den aktuellen Stand sieht der Agent in capabilities unter limits.
Empfängergrenze. Eine Mail, die ein Agent selbst sendet, darf höchstens 20 Empfänger in An, Cc und Bcc zusammen haben.[3] Bei mehr wird nichts gesendet, und der Agent soll einen Entwurf für dich speichern.
06Automatisch versandte Mails
Command Mail blockiert direkte Agentenantworten auf Mails, die es an ihren Kopfzeilen als automatisch versandt erkannt hat.[2] Erkannt werden Auto-Submitted nach RFC 3834 mit einem anderen Wert als no, Precedence: bulk, junk oder list, List-Id sowie gängige Autoresponder-Markierungen. Trifft das zu und antwortet ein Agent mit mail:send auf diese Mail, wird nichts gesendet; einen Entwurf zur Freigabe kann er trotzdem anlegen.
Die Sperre hat Grenzen. Fehlen die Kopfzeilen, erkennt Command Mail eine Abwesenheitsnotiz oder einen Newsletter nicht als automatisch. Und sie gilt nur für Antworten: Eine neue Mail an dieselbe Adresse prüft Command Mail nicht dagegen. Einen vollständigen Schutz vor Mailschleifen bietet sie nicht.
07Prompt Injection: Mailinhalt ist Daten
Mailinhalt kann einem Agenten über Command Mail keine Rechte geben, keine Entwürfe freigeben, keine Regeln anlegen und keine Modellrouten ändern.[3] Command Mail sucht in Betreff und Text nach Mustern, die sich an ein KI-Modell richten, etwa „ignoriere alle vorherigen Anweisungen“, Aufforderungen, alle Rechnungen weiterzuleiten, oder Bitten um Passwörter und Codes. Solche Mails bekommen eine sichtbare Markierung; get_thread meldet sie dem Agenten, und der Tagesüberblick listet Versuche auf.
Die Markierung ist ein Hinweis. Sie erkennt nicht jede Formulierung, und ein Agent, der sich von einer Mail beeinflussen lässt, kann innerhalb der Rechte handeln, die du ihm gegeben hast. Deshalb bleiben knappe Rechte die eigentliche Grenze. Die Risikobewertung wertet Text, Linkadressen und Anhangnamen aus, ruft aber nie Links auf und öffnet keine Anhänge.[1]
08Aktivitätsprotokoll und Rückgängig
Archivieren, Spam, Papierkorb, Kategorien und das Ablegen in Ordnern werden mit dem Zustand davor und danach protokolliert.[1] Rückgängig stellt den alten Zustand nur dort wieder her, wo seither niemand etwas geändert hat; Konflikte werden gezählt. Macht man eine Änderung rückgängig, die eine Regel ausgelöst hat, pausiert diese Regel bis zur Prüfung.
Ein Agent darf zurücknehmen, was Agenten, Regeln und die automatische Einordnung getan haben; deine eigenen Entscheidungen nimmst du selbst in der App zurück. Vorschläge warten im Protokoll auf deine Entscheidung. Nicht rückgängig zu machen sind gesendete Mails, endgültig gelöschte Mails, geleerte Papierkörbe, Änderungen an Labels und das Anlegen oder Umbenennen von Ordnern. Gesendete Mails eines Agenten findest du im Ordner „Gesendet“; freigegebene Entwürfe stehen zusätzlich im Protokoll.
09Typische Einstellungen
Nur lesen und entwerfen. Rechte mail:read und mail:draft, dazu bei Bedarf mail:send-approved. Postfächer auf suggest. Der Agent liest, schlägt Aufräumaktionen vor und schreibt Antworten, die du freigibst. Ohne deine Freigabe verlässt keine Mail das Postfach, und ohne mail:send kann er nichts endgültig löschen. Gelesen-Markierungen, Sterne und Labels setzt er auf suggest trotzdem direkt.
Newsletter selbst archivieren. Recht mail:read, kein mail:send. Sag dem Agenten ausdrücklich, welche Absender er archivieren soll, zum Beispiel „Archiviere ab jetzt die Newsletter von diesem Händler“. Auf rules legt er dafür eine Regel an und schaltet sie ein; künftige Mails dieses Absenders landen dann im Archiv, und bestehende kann er in einem Schritt anwenden, der sich zurücknehmen lässt. Auf suggest wartet die Regel auf dein Einschalten.
Rechnungen weiterleiten. Weiterleiten braucht mail:read und mail:send zusammen, Pro und eine sendefähige Absenderadresse; jede Weiterleitung zählt zum Tageslimit. Bedenke, dass dieselben Rechte endgültiges Löschen erlauben. Regeln können nicht weiterleiten, das übernimmt ein Agentenlauf, den du in deinem Agenten planst. Sicherer ist die Variante mit Freigabe: Rechte mail:read, mail:draft und mail:send-approved; der Agent legt einen neuen Entwurf mit der Rechnung als Anhang an, und du gibst ihn frei.
Support-Postfach selbst beantworten lassen. Rechte mail:read, mail:draft und mail:send, Tageslimit passend zur Menge. Weil mail:send für alle Postfächer des Kontos gilt und zusammen mit mail:read Löschen erlaubt, gehört das Support-Postfach in ein eigenes Command-Mail-Konto, getrennt von deinem persönlichen Postfach.
10Rechte entziehen
In den Einstellungen trennst du bei den verbundenen Apps eine App. Das widerruft alle Zugänge, die diese App für dein Konto hat, auch eine noch nicht abgeschlossene Anmeldung; die App muss danach erneut um Zugriff bitten. API-Schlüssel widerrufst du in den Einstellungen bei den API-Schlüsseln; ein Schlüssel kann keine anderen Schlüssel verwalten. Willst du einem Agenten weniger Rechte geben, trenne ihn und verbinde ihn neu, und wähle auf der Freigabeseite nur die Rechte, die er braucht.
Mehr zur Einrichtung steht in der Dokumentation, die Arbeitsabläufe für Agenten auf der Seite für Agenten. Starte kostenlos auf commandmail.app und verbinde deinen Agenten zuerst mit mail:read und mail:draft.
Häufige Fragen
Welche Rechte soll ein Agent bekommen, der nur sortiert?
Nur mail:read, bei Bedarf mail:draft für Antwortentwürfe. Kein mail:send: Zusammen mit mail:read erlaubt es auch endgültiges Löschen, und das wartet nicht auf deine Freigabe. Stelle die Postfächer auf suggest, solange du jede Aufräumaktion sehen willst.
Schützt die Stufe read ein Postfach vollständig?
Nein. read verhindert, dass ein Agent dort etwas sortiert, markiert oder löscht. Lesen kann er das Postfach trotzdem, und mit mail:send kann er daraus senden. Getrennte Lese- oder Senderechte für einzelne Postfächer gibt es nur über getrennte Command-Mail-Konten.
Kann ein Agent eine Freigabe selbst erteilen?
Über seinen Zugang nicht. Entwürfe freigeben, Vorschläge entscheiden, die Autonomie ändern und das Tageslimit setzen geht nur in einer angemeldeten Browsersitzung. Mailinhalt verleiht nie Rechte.
Was passiert, wenn ich einen freigegebenen Entwurf noch ändere?
Jede Änderung erzeugt eine neue Fassung und hebt die Freigabe auf. Gesendet wird nur die Fassung, die du zuletzt freigegeben hast.
Wie entziehe ich einem Agenten den Zugang?
In den Einstellungen bei den verbundenen Apps trennst du die App; das widerruft alle ihre Zugänge. API-Schlüssel widerrufst du bei den API-Schlüsseln.