# Berechtigungen und Autonomie für Agenten in Command Mail

> Alle Rechte und Autonomiestufen in Command Mail: was ein Agent lesen, sortieren und senden darf, wie Freigaben und Limits wirken und wie du Rechte entziehst.

Stand: 2026-10-17 · Faktenprüfung: 2026-10-17 · Quelle: https://commandmail.app/de/docs/berechtigungen-und-autonomie · English: https://commandmail.app/en/docs/permissions-and-autonomy.md

Command Mail begrenzt einen Agenten auf zwei Ebenen. Die **Rechte** (Scopes) legst du beim Verbinden fest, und sie gelten für alle Postfächer deines Kontos. Die **Autonomiestufe** stellst du je Postfach ein; sie bestimmt, ob bestimmte Sortieraktionen eines Agenten dort sofort wirken, als Vorschlag warten oder abgelehnt werden. Lesen und Senden begrenzt die Autonomiestufe nicht.

Diese Seite beschreibt das tatsächliche Verhalten von Command Mail, auch dort, wo es weniger schützt, als man von einer Stufe namens „read“ erwarten würde. Sie ergänzt die Abschnitte Scopes und Autonomie der [Dokumentation](https://commandmail.app/de/docs) und die Seite [für Agenten](https://commandmail.app/de/agents).

## Empfehlung: Rechte für einen Sortier-Agenten

Ein Agent, der dein Postfach nur sortiert, bekommt **`mail:read`** und, wenn er Antworten vorbereiten soll, **`mail:draft`**. Gib ihm **kein `mail:send`**. Mit `mail:read` und `mail:send` zusammen kann ein Agent Mails endgültig löschen und Papierkorb oder Spam leeren, und diese Aktionen warten auf den Stufen `suggest` und `rules` nicht auf deine Freigabe. Stelle die Postfächer auf `suggest`, solange du jede Aufräumaktion sehen willst, und erst auf `auto`, wenn der Agent selbst aufräumen soll.

Soll der Agent Antworten nach deiner Freigabe abschicken, ergänze `mail:send-approved`. `mail:send` gehört nur zu einem Agenten, der wirklich ohne Rückfrage senden soll, am besten in einem eigenen Command-Mail-Konto.

## Die Rechte im Überblick

Jede Verbindung trägt eine Liste von Rechten, ob über den gehosteten MCP-Server, die CLI oder einen API-Schlüssel.[^1] Fehlt ein Recht, lehnt Command Mail den Aufruf ab; viele Werkzeuge bietet der MCP-Server einem solchen Agenten gar nicht erst an.

| Recht | Erlaubt | Erlaubt nicht |
|---|---|---|
| `mail:read` | lesen und suchen in allen Postfächern, Überblick und Morgenbriefing, sortieren im Rahmen der Autonomie, Labels und Ordner, Gelesen- und Stern-Markierungen, Regeln vorschlagen, Aktivität ansehen und Änderungen von Agenten und Regeln zurücknehmen, Nachfassen | senden, in den Papierkorb legen, endgültig löschen |
| `mail:draft` | Entwürfe speichern und unberührte Agentenentwürfe dieses Kontos verwerfen | senden, Änderungen von dir überschreiben |
| `mail:send-approved` | genau die Fassung einmal senden, die du freigegeben hast | eine Fassung senden, die du nicht freigegeben hast |
| `mail:send` | aus jedem sendefähigen Postfach des Kontos neue Mails und Antworten ohne Freigabe senden, mit eigenem Sendeschlüssel je Mail, im Tageslimit | mehr als 20 Empfänger je Mail, Antworten auf als automatisch erkannte Mails |
| `mailboxes` | Adressen verbinden, Domainbesitz per DNS-TXT-Eintrag nachweisen, alte Mails importieren, Signaturen ändern | Mails lesen oder senden |

Betreiberrechte wie `admin` gibt es für Kundenschlüssel nicht.[^1]

Lesen über MCP und CLI ändert den Gelesen-Status standardmäßig nicht; über die CLI und das lokale MCP lässt sich die Markierung ausdrücklich anfordern. Ein direkter REST-Aufruf von `GET /api/mail/{id}` markiert die Unterhaltung dagegen als gelesen, wenn du nicht `markRead=false` anhängst; in Postfächern auf `read` bleibt die Markierung trotzdem unverändert.

### Was erst zwei Rechte zusammen erlauben

Einige Aktionen geben Inhalte an andere weiter oder entfernen Mails. Sie brauchen `mail:read` und `mail:send` gemeinsam: Weiterleiten, in den Papierkorb legen und wiederherstellen, endgültig löschen, Papierkorb oder Spam leeren, alle Mails als gelesen markieren sowie eine automatische Löschfrist für Spam und Papierkorb einschalten oder verkürzen.[^3] Ein Schlüssel, der nur senden darf, kann so weder Mails lesen noch dein Postfach leeren.

### Was nur in der Browsersitzung geht

Über einen Agentenzugang lassen sich keine Entwürfe freigeben, keine Vorschläge bestätigen oder ablehnen, keine Autonomiestufen ändern, kein Tageslimit setzen, keine API-Schlüssel verwalten und kein Text über eine Modellroute erzeugen.[^2] Der Server lehnt solche Aufrufe mit einem Token ab; sie gehen nur in einer angemeldeten Browsersitzung.

### Rechte beim Verbinden wählen

Auf der Freigabeseite siehst du jedes angefragte Recht einzeln und kannst es abwählen. `mail:send` ist dort zu Beginn abgewählt; standardmäßig entwirft ein Agent also und du gibst frei.[^3] Die Rechte gelten für alle Postfächer deines Kontos.

## Die Autonomiestufen je Postfach

Die Autonomiestufe legt fest, ob die protokollierten Sortieraktionen eines Agenten sofort wirken, als Vorschlag warten oder abgelehnt werden.[^1] Gemeint sind Archivieren, Spam, Papierkorb, Kategorien und das Ablegen in Ordner. Die Reihenfolge ist `read` → `suggest` → `rules` → `auto`.

| Stufe | Protokollierte Sortieraktionen des Agenten | Markierungen und Labels | Deine Regeln |
|---|---|---|---|
| `read` | werden abgelehnt | werden abgelehnt | wirken nicht |
| `suggest` | werden als Vorschlag gespeichert (`{"suggested": true}`) | wirken sofort | bleiben Vorschläge |
| `rules` | werden als Vorschlag gespeichert | wirken sofort | eingeschaltete Regeln wirken |
| `auto` | werden ausgeführt und protokolliert, höchstens 50 Unterhaltungen pro Sortieraufruf | wirken sofort | wirken |

**Wichtig zum Löschen:** Endgültiges Löschen sowie das Leeren von Papierkorb und Spam laufen an dieser Vorschlagslogik vorbei. Hat ein Agent `mail:read` und `mail:send`, führt Command Mail diese Aktionen auf `suggest`, `rules` und `auto` sofort aus; nur Postfächer auf `read` bleiben davon unberührt. Endgültig gelöschte Mails lassen sich nicht wiederherstellen. Deshalb bekommt ein Sortier-Agent kein `mail:send`.

**Was die Stufe nicht begrenzt:** Die Autonomie schränkt weder das Lesen noch das Senden ein. Ein Agent mit `mail:read` liest auch Postfächer auf `read`, und ein Agent mit `mail:send` kann aus jedem sendefähigen Postfach des Kontos senden und auf Mails antworten, auch in einem Postfach auf `read`. Wenn ein Postfach für einen Agenten tabu sein soll, brauchst du ein eigenes Command-Mail-Konto dafür.

Ohne eigene Einstellung steht ein Postfach auf `auto`. Prüfe die Stufe deshalb nach dem Verbinden einer Adresse in den Einstellungen. Betrifft ein Sortieraufruf Mails aus mehreren Postfächern, gilt die strengste Stufe unter ihnen. Ablegen in Ordner wirkt nur auf `auto`, wartet auf `suggest` und `rules` als Vorschlag und wird auf `read` abgelehnt. Nachfass-Erinnerungen schließt oder verschiebt ein Agent nur auf `auto`. Eine Löschfrist für Spam und Papierkorb darf ein Agent nur setzen, wenn die Standardstufe des Kontos `rules` oder `auto` ist.

Regeln soll ein Agent nur auf deine ausdrückliche Anweisung anlegen; so steht es in den Hinweisen, die Command Mail jedem Agenten über `capabilities` mitgibt. Prüfen kann der Server diese Anweisung nicht. In Postfächern mit `read` oder `suggest` bleibt eine Regel eines Agenten ein Vorschlag, bis du sie einschaltest; auf `rules` und `auto` darf der Agent sie selbst einschalten. Mails, die Command Mail als Rechnung, Zahlungsproblem, Sicherheitshinweis, Frist, Termin oder persönliche Mail erkannt hat, verschieben Regeln nicht in Spam oder Papierkorb. Archivieren oder Ablegen solcher Mails setzt eine Regel voraus, die genau diese Art nennt, und kein weiterer Schutzgrund darf entgegenstehen; andere Treffer werden zu Vorschlägen.[^2] Die Erkennung arbeitet mit Mustern und erfasst nicht jede Rechnung oder Frist.

## Entwürfe freigeben: genau diese Fassung

Mit `mail:draft` speichert ein Agent einen Entwurf, mit `mail:send-approved` schickt er ihn nach deiner Freigabe ab. Gesendet wird genau die freigegebene Fassung, einmal.[^1]

1. Der Agent speichert einen Entwurf, auf Wunsch als Antwort in der Unterhaltung und mit bis zu fünf Anhängen. Jede Änderung erzeugt eine neue Fassung.
2. Du prüfst den Entwurf in der App und gibst diese Fassung frei. Ist seit dem Entwurf eine neue Nachricht in der Unterhaltung eingegangen, weist Command Mail darauf hin, und du gibst bewusst erneut frei.
3. Der Agent sendet mit `send_approved_draft` die freigegebene Fassung. Hat sich der Entwurf seither geändert oder passt die Absenderadresse nicht mehr, lehnt Command Mail ab.
4. Ist unklar, ob die Mail angekommen ist, versucht Command Mail sie nicht erneut. Wurde sie vor der Zustellung abgelehnt, bleibt die Freigabe bestehen.

Hast du einen Entwurf selbst bearbeitet oder freigegeben, kann ihn ein Agent weder überschreiben noch verwerfen. Unberührte Agentenentwürfe kann jeder Agent dieses Kontos mit `mail:draft` verwerfen, nicht nur der, der sie angelegt hat. Freigegebene Mails gehen ohne nachträglich eingefügte Signatur raus, so wie du sie gesehen hast. Sie zählen nicht zum Tageslimit für Agenten. Senden setzt einen Pro-Tarif und eine eingerichtete Absenderadresse voraus.[^3]

## Selbst senden: Sendeschlüssel, Tageslimit, Empfängergrenze

`mail:send` ist für Agenten gedacht, die ohne Rückfrage antworten sollen, etwa im Kundensupport.[^1] Dafür gelten drei Bremsen.

**Sendeschlüssel.** Jede Mail eines Agenten braucht einen eigenen `sendKey` aus 8 bis 128 Buchstaben, Ziffern oder den Zeichen `_ . : -`. Wiederholt ein Agent eine Anfrage mit demselben Schlüssel, etwa nach einer verlorenen Antwort oder aus einem zweiten Fenster, wird nicht ein zweites Mal gesendet. Wurde der Versand sicher abgelehnt, gibt Command Mail den Schlüssel sofort wieder frei. Schlüssel, die an keine gespeicherte Mail gebunden sind, löscht Command Mail nach 30 Tagen. Nach einem unklaren Ausgang soll ein Agent deshalb den Versandstatus prüfen und keine neue Anfrage mit einem neuen Schlüssel starten.

**Tageslimit.** Ein Agent sendet im Standard höchstens 50 Mails pro Tag, gezählt nach UTC. Du stellst den Wert in den Automatik-Einstellungen zwischen 0 und 500 ein; mit 0 sendet kein Agent mehr selbst.[^1] Mails mit unklarem Ausgang zählen mit. Deine eigenen Mails und freigegebene Entwürfe zählen nicht. Den aktuellen Stand sieht der Agent in `capabilities` unter `limits`.

**Empfängergrenze.** Eine Mail, die ein Agent selbst sendet, darf höchstens 20 Empfänger in An, Cc und Bcc zusammen haben.[^3] Bei mehr wird nichts gesendet, und der Agent soll einen Entwurf für dich speichern.

## Automatisch versandte Mails

Command Mail blockiert direkte Agentenantworten auf Mails, die es an ihren Kopfzeilen als automatisch versandt erkannt hat.[^2] Erkannt werden `Auto-Submitted` nach RFC 3834 mit einem anderen Wert als `no`, `Precedence: bulk`, `junk` oder `list`, `List-Id` sowie gängige Autoresponder-Markierungen. Trifft das zu und antwortet ein Agent mit `mail:send` auf diese Mail, wird nichts gesendet; einen Entwurf zur Freigabe kann er trotzdem anlegen.

Die Sperre hat Grenzen. Fehlen die Kopfzeilen, erkennt Command Mail eine Abwesenheitsnotiz oder einen Newsletter nicht als automatisch. Und sie gilt nur für Antworten: Eine neue Mail an dieselbe Adresse prüft Command Mail nicht dagegen. Einen vollständigen Schutz vor Mailschleifen bietet sie nicht.

## Prompt Injection: Mailinhalt ist Daten

Mailinhalt kann einem Agenten über Command Mail keine Rechte geben, keine Entwürfe freigeben, keine Regeln anlegen und keine Modellrouten ändern.[^3] Command Mail sucht in Betreff und Text nach Mustern, die sich an ein KI-Modell richten, etwa „ignoriere alle vorherigen Anweisungen“, Aufforderungen, alle Rechnungen weiterzuleiten, oder Bitten um Passwörter und Codes. Solche Mails bekommen eine sichtbare Markierung; `get_thread` meldet sie dem Agenten, und der Tagesüberblick listet Versuche auf.

Die Markierung ist ein Hinweis. Sie erkennt nicht jede Formulierung, und ein Agent, der sich von einer Mail beeinflussen lässt, kann innerhalb der Rechte handeln, die du ihm gegeben hast. Deshalb bleiben knappe Rechte die eigentliche Grenze. Die Risikobewertung wertet Text, Linkadressen und Anhangnamen aus, ruft aber nie Links auf und öffnet keine Anhänge.[^1]

## Aktivitätsprotokoll und Rückgängig

Archivieren, Spam, Papierkorb, Kategorien und das Ablegen in Ordnern werden mit dem Zustand davor und danach protokolliert.[^1] Rückgängig stellt den alten Zustand nur dort wieder her, wo seither niemand etwas geändert hat; Konflikte werden gezählt. Macht man eine Änderung rückgängig, die eine Regel ausgelöst hat, pausiert diese Regel bis zur Prüfung.

Ein Agent darf zurücknehmen, was Agenten, Regeln und die automatische Einordnung getan haben; deine eigenen Entscheidungen nimmst du selbst in der App zurück. Vorschläge warten im Protokoll auf deine Entscheidung. Nicht rückgängig zu machen sind gesendete Mails, endgültig gelöschte Mails, geleerte Papierkörbe, Änderungen an Labels und das Anlegen oder Umbenennen von Ordnern. Gesendete Mails eines Agenten findest du im Ordner „Gesendet“; freigegebene Entwürfe stehen zusätzlich im Protokoll.

## Typische Einstellungen

**Nur lesen und entwerfen.** Rechte `mail:read` und `mail:draft`, dazu bei Bedarf `mail:send-approved`. Postfächer auf `suggest`. Der Agent liest, schlägt Aufräumaktionen vor und schreibt Antworten, die du freigibst. Ohne deine Freigabe verlässt keine Mail das Postfach, und ohne `mail:send` kann er nichts endgültig löschen. Gelesen-Markierungen, Sterne und Labels setzt er auf `suggest` trotzdem direkt.

**Newsletter selbst archivieren.** Recht `mail:read`, kein `mail:send`. Sag dem Agenten ausdrücklich, welche Absender er archivieren soll, zum Beispiel „Archiviere ab jetzt die Newsletter von diesem Händler“. Auf `rules` legt er dafür eine Regel an und schaltet sie ein; künftige Mails dieses Absenders landen dann im Archiv, und bestehende kann er in einem Schritt anwenden, der sich zurücknehmen lässt. Auf `suggest` wartet die Regel auf dein Einschalten.

**Rechnungen weiterleiten.** Weiterleiten braucht `mail:read` und `mail:send` zusammen, Pro und eine sendefähige Absenderadresse; jede Weiterleitung zählt zum Tageslimit. Bedenke, dass dieselben Rechte endgültiges Löschen erlauben. Regeln können nicht weiterleiten, das übernimmt ein Agentenlauf, den du in deinem Agenten planst. Sicherer ist die Variante mit Freigabe: Rechte `mail:read`, `mail:draft` und `mail:send-approved`; der Agent legt einen neuen Entwurf mit der Rechnung als Anhang an, und du gibst ihn frei.

**Support-Postfach selbst beantworten lassen.** Rechte `mail:read`, `mail:draft` und `mail:send`, Tageslimit passend zur Menge. Weil `mail:send` für alle Postfächer des Kontos gilt und zusammen mit `mail:read` Löschen erlaubt, gehört das Support-Postfach in ein eigenes Command-Mail-Konto, getrennt von deinem persönlichen Postfach.

## Rechte entziehen

In den Einstellungen trennst du bei den verbundenen Apps eine App. Das widerruft alle Zugänge, die diese App für dein Konto hat, auch eine noch nicht abgeschlossene Anmeldung; die App muss danach erneut um Zugriff bitten. API-Schlüssel widerrufst du in den Einstellungen bei den API-Schlüsseln; ein Schlüssel kann keine anderen Schlüssel verwalten. Willst du einem Agenten weniger Rechte geben, trenne ihn und verbinde ihn neu, und wähle auf der Freigabeseite nur die Rechte, die er braucht.

Mehr zur Einrichtung steht in der [Dokumentation](https://commandmail.app/de/docs), die Arbeitsabläufe für Agenten auf der Seite [für Agenten](https://commandmail.app/de/agents). Starte kostenlos auf [commandmail.app](https://commandmail.app/login?signup=1) und verbinde deinen Agenten zuerst mit `mail:read` und `mail:draft`.

## Häufige Fragen

### Welche Rechte soll ein Agent bekommen, der nur sortiert?

Nur mail:read, bei Bedarf mail:draft für Antwortentwürfe. Kein mail:send: Zusammen mit mail:read erlaubt es auch endgültiges Löschen, und das wartet nicht auf deine Freigabe. Stelle die Postfächer auf suggest, solange du jede Aufräumaktion sehen willst.

### Schützt die Stufe read ein Postfach vollständig?

Nein. read verhindert, dass ein Agent dort etwas sortiert, markiert oder löscht. Lesen kann er das Postfach trotzdem, und mit mail:send kann er daraus senden. Getrennte Lese- oder Senderechte für einzelne Postfächer gibt es nur über getrennte Command-Mail-Konten.

### Kann ein Agent eine Freigabe selbst erteilen?

Über seinen Zugang nicht. Entwürfe freigeben, Vorschläge entscheiden, die Autonomie ändern und das Tageslimit setzen geht nur in einer angemeldeten Browsersitzung. Mailinhalt verleiht nie Rechte.

### Was passiert, wenn ich einen freigegebenen Entwurf noch ändere?

Jede Änderung erzeugt eine neue Fassung und hebt die Freigabe auf. Gesendet wird nur die Fassung, die du zuletzt freigegeben hast.

### Wie entziehe ich einem Agenten den Zugang?

In den Einstellungen bei den verbundenen Apps trennst du die App; das widerruft alle ihre Zugänge. API-Schlüssel widerrufst du bei den API-Schlüsseln.

## Quellen

1. [Command Mail: Dokumentation (Scopes, Autonomie, Selbst antworten lassen)](https://commandmail.app/de/docs), abgerufen am 2026-10-17
2. [Command Mail: Für Agenten (Rechte, Autonomie, Grenzen)](https://commandmail.app/de/agents), abgerufen am 2026-10-17
3. [Command Mail: llms.txt](https://commandmail.app/llms.txt), abgerufen am 2026-10-17

[^1]: [Command Mail: Dokumentation (Scopes, Autonomie, Selbst antworten lassen)](https://commandmail.app/de/docs), abgerufen am 2026-10-17
[^2]: [Command Mail: Für Agenten (Rechte, Autonomie, Grenzen)](https://commandmail.app/de/agents), abgerufen am 2026-10-17
[^3]: [Command Mail: llms.txt](https://commandmail.app/llms.txt), abgerufen am 2026-10-17

---

Command Mail: ein Postfach für dich und deinen KI-Agenten. Kostenlos starten: https://commandmail.app/login?signup=1 · Agent verbinden: https://commandmail.app/de/agents · MCP: https://commandmail.app/mcp