# Braucht mein KI-Agent Vollzugriff auf Gmail?

> „Gmail-E-Mails lesen, schreiben, senden und endgültig löschen“: was dieser Zugriff bedeutet, welche Rechte ein Agent wirklich braucht und wie du ihn entziehst.

Stand: 2026-11-02 · Faktenprüfung: 2026-11-02 · Quelle: https://commandmail.app/de/wissen/braucht-mein-ki-agent-gmail-vollzugriff · English: https://commandmail.app/en/learn/does-my-ai-agent-need-full-gmail-access.md

Ein KI-Agent braucht nur dann Vollzugriff auf Gmail, wenn er Mails sofort und endgültig am Papierkorb vorbei löschen soll. So begründet Google selbst den weitesten Scope `https://mail.google.com/`; alle anderen Aktionen gehen laut Google mit engeren Rechten[^1]. Ein Agent, der zusammenfasst, kommt mit Lesen aus, einer, der sortiert, mit dem Ändern von Labels. Fragt ein Werkzeug trotzdem nach Vollzugriff, lohnt sich ein Blick auf den Grund.

## Was die Zeile im Google-Dialog bedeutet

Google beschreibt den Scope `https://mail.google.com/` als „Gmail-E-Mails lesen, schreiben, senden und endgültig löschen“[^1]. Das gilt für alle Nachrichten des Kontos, auch für alte, und schließt das endgültige Löschen ohne Umweg über den Papierkorb ein. In der Entwicklerdoku steht ausdrücklich: Diesen Bereich nur anfordern, wenn die Anwendung genau dieses sofortige Löschen braucht; alle anderen Aktionen lassen sich mit weniger weitreichenden Bereichen ausführen[^1].

Google stuft den Scope als „restricted“ ein, ebenso wie `gmail.readonly`, `gmail.compose` und `gmail.modify`. Öffentliche Apps brauchen für solche Bereiche eine eigene Prüfung durch Google, und wer die Daten auf Servern speichert oder überträgt, zusätzlich ein Sicherheitsassessment[^1].

## Warum manche Programme und Agenten trotzdem danach fragen

Wer Gmail über IMAP, POP oder SMTP mit OAuth 2.0 anspricht, benötigt bei Google regulär genau diesen Scope. Google nennt `https://mail.google.com/` als den Bereich für diese Protokolle und schreibt Apps, die ihn nicht voll ausschöpfen, sie sollten zur Gmail API mit feineren Bereichen wechseln[^2]. Die einzige genannte Ausnahme ist IMAP über Domain-wide Delegation mit Dienstkonten in Google Workspace, dort mit `gmail.imap_admin`[^2].

Für ein vollständiges Mail-Programm passt das: Es soll lesen, senden und löschen. Ein Agent oder MCP-Server, der auf IMAP aufsetzt, erbt dieselbe Breite, auch wenn er nur ein Morgenbriefing schreiben soll. Den Unterschied zwischen solchen Servern und gehosteten Diensten erklärt [IMAP-MCP oder gehosteter MCP](https://commandmail.app/de/wissen/imap-mcp-oder-gehosteter-mcp).

Abwählen kannst du im Google-Dialog nur ganze angefragte Bereiche. Fragt eine App neben den Anmeldebereichen mindestens einen weiteren Bereich an, oder mehrere Bereiche ohne Anmeldung, zeigt Google Kästchen, mit denen du einzelne Rechte ablehnen kannst. Fragt sie nur einen einzigen Bereich an, etwa allein den Vollzugriff, gibt es keine Kästchen; du nimmst die Anfrage ganz an oder lehnst sie ab[^3]. Workspace-Enterprise-Apps mit Domain-wide Delegation oder mit der Einstufung als vertrauenswürdig („Trusted“) sind von dieser Regel laut Google derzeit ausgenommen[^3]. Aus einem Vollzugriff wird durch Abwählen also nie ein Lesezugriff.

## Welche Rechte typische Agentenaufgaben brauchen

Die Gmail API bietet für jede typische Aufgabe einen engeren Bereich als den Vollzugriff. Die Tabelle zeigt den jeweils kleinsten passenden Bereich laut Google und was er zusätzlich erlaubt.

| Aufgabe des Agenten | Kleinster passender Gmail-Bereich | Erlaubt laut Google außerdem |
|---|---|---|
| Suchen, lesen, zusammenfassen, Briefing | `gmail.readonly` | Einstellungen abrufen; kein Ändern, kein Senden |
| Nur Absender, Betreff und Labels auswerten | `gmail.metadata` | keinen Zugriff auf den Mailtext |
| Labels an Nachrichten setzen, archivieren | `gmail.modify` | Abrufen, Verfassen und Senden; kein sofortiges endgültiges Löschen |
| Entwürfe vorbereiten | `gmail.compose` | Senden |
| Nur senden | `gmail.send` | nichts lesen |
| Sofort endgültig löschen | `https://mail.google.com/` | alles |

Zwei Stellen in der Tabelle sind gröber, als man erwartet. Labels an einer Nachricht ändert die Gmail API nur mit `gmail.modify`, dem Vollzugriff oder einem Administratorbereich[^4]; `gmail.labels` verwaltet laut Google die Labels selbst[^1]. Und ein reines Entwurfsrecht gibt es nicht: `gmail.compose` heißt bei Google „Entwürfe verwalten und E‑Mails senden“[^1]. Soll ein Mensch jede Mail freigeben, muss diese Sperre außerhalb der Google-Rechte liegen, in der Software zwischen Agent und Gmail. Wie sich Rechte anbieterübergreifend schneiden lassen, zeigt [Scopes für E-Mail-Agenten](https://commandmail.app/de/wissen/scopes-fuer-e-mail-agenten).

## Warum breite Rechte bei Agenten schwerer wiegen

Ein Agent liest Text von Fremden und entscheidet auf dieser Grundlage, was er tut. Eine präparierte Mail kann ihn dazu bringen, Dinge zu tun, die du nie verlangt hast; mehr dazu in [Prompt Injection in E-Mails](https://commandmail.app/de/wissen/prompt-injection-in-e-mails). Was ein getäuschter Agent anrichten kann, hängt dann an seinen Rechten.

OWASP beschreibt dieses Muster unter „Excessive Agency“ mit einem Mail-Beispiel. Ein Assistent soll eingehende Mails zusammenfassen, die eingebundene Erweiterung kann aber auch senden; eine präparierte Mail bringt ihn dazu, das Postfach nach sensiblen Daten zu durchsuchen und sie an den Angreifer weiterzuleiten[^5]. Als Gegenmittel nennt OWASP eine Erweiterung, die nur lesen kann, eine OAuth-Verbindung mit reinem Lesebereich und eine menschliche Bestätigung vor jedem Senden; den Schaden begrenzen kann zusätzlich eine Obergrenze für gesendete Mails[^5].

## Was ChatGPT, Claude und Googles Gmail-MCP anfragen

Die verbreiteten Wege zu Gmail fragen sehr unterschiedliche Rechte an. Die Tabelle fasst zusammen, was die Hersteller am 2026-11-02 dazu veröffentlichen.

| Weg | Was bei Google angefragt wird | Senden laut Quelle |
|---|---|---|
| ChatGPT, Gmail-App | `gmail.modify` laut OpenAI[^6] | Bereich erlaubt Senden; welche Aktionen ChatGPT davon anbietet, legt ChatGPT fest |
| Claude, Google-Workspace-Connector | Anthropic nennt keinen Bereich[^7] | Senden, Antworten, Weiterleiten; standardmäßig fragt Claude vorher, in Team und Enterprise entscheiden Owner über Ausnahmen[^7] |
| Googles Gmail-MCP (Developer Preview) | `gmail.readonly` und `gmail.compose` in der Einrichtung[^8] | veröffentlichte Werkzeuge ohne Senden; der Bereich selbst erlaubt es |
| Mail-Programme und MCP-Server über IMAP/SMTP mit OAuth 2.0 | `https://mail.google.com/`[^2] | ja, dazu endgültiges Löschen |
| Weiterleitung an einen Dienst | kein Gmail-Bereich | hängt vom Dienst ab |

Bei Claude hilft ein Blick in dein Google-Konto: Dort steht nach dem Verbinden, welchen Zugriff die App tatsächlich hat[^9] (siehe nächster Abschnitt). Die Freigabestufen von ChatGPT erklärt [Kann ChatGPT E-Mails verschicken?](https://commandmail.app/de/wissen/kann-chatgpt-e-mails-senden); Googles Server beschreibt [Gmail-MCP-Server](https://commandmail.app/de/anleitungen/gmail-mcp-server-optionen) im Detail.

## So prüfst und entziehst du den Zugriff einer App

Welche Apps heute auf dein Google-Konto zugreifen, zeigt Google auf der Seite mit den verknüpften Apps[^9]:

1. Öffne in deinem Google-Konto `myaccount.google.com/linkedapps`.
2. Wähle „Zugriff auf Ihr Google-Konto“ und dann die App.
3. Wähle „Details ansehen“ und prüfe die Zugriffsrechte.
4. Zum Entziehen wählst du „Zugriff entfernen“ und dann „Bestätigen“.

Danach kann die App nicht mehr auf dein Konto zugreifen[^9]. Daten, die sie vorher kopiert hat, bleiben davon unberührt; laut Google musst du den Entwickler gegebenenfalls bitten, sie zu löschen[^10].

App-Passwörter verwaltest du getrennt davon unter `myaccount.google.com/apppasswords`[^11]. Google beschreibt ein App-Passwort als 16-stelligen Sicherheitscode, mit dem weniger sichere Apps oder Geräte auf dein Google-Konto zugreifen können, und empfiehlt, wo möglich „Über Google anmelden“ zu verwenden[^11]. Änderst du das Passwort deines Google-Kontos, hebt Google alle App-Passwörter auf[^11].

## Wie Command Mail ohne Gmail-Zugang auskommt

Command Mail ist unser Produkt. Die folgenden Aussagen haben wir gegen den App-Code im Commit `60c8c3d` geprüft.

Command Mail empfängt Gmail per Weiterleitung. Du richtest in Gmail eine Weiterleitung an deine Eingangsadresse ein, und Gmail schickt Kopien neuer Nachrichten dorthin; wie das geht, zeigt [Gmail-Weiterleitung einrichten](https://commandmail.app/de/anleitungen/gmail-weiterleitung-einrichten). Für den Empfang fragt Command Mail keinen Gmail-Bereich an. Die Anmeldung mit Google fragt laut App-Code nur `openid`, `email` und `profile` an, also wer du bist, nicht dein Postfach.

Dein Agent bekommt dann Rechte bei Command Mail statt bei Google: `mail:read`, `mail:draft`, `mail:send-approved`, `mail:send` und `mailboxes`[^12]. `mail:draft` speichert Entwürfe und sendet nie. Auf der Freigabeseite kannst du jedes angefragte Recht abwählen, `mail:send` ist dort zu Beginn ausgeschaltet, und einen Entwurf freigeben kann laut App-Code nur ein Mensch in einer Browsersitzung.

Drei Grenzen nennen wir offen. Weiterleitung ist keine Synchronisation: Was du oder dein Agent in Command Mail sortierst, ändert nichts in Gmail, und ältere Mails kommen nur über einen Import dazu. `mail:read` liest alle Postfächer deines Kontos und erlaubt Sortieren im Rahmen der Autonomiestufe; getrennte Leserechte gibt es nur über getrennte Konten. Und im Free-Tarif sendet Command Mail nicht; Senden gibt es ab Pro[^12].

Zum Senden mit deiner Gmail-Adresse richtest du in den Einstellungen unter Verbindungen einen von zwei Wegen ein; ein Agent kann das laut App-Code nicht. Der erste Weg sendet über die Gmail-Server mit einem Google-App-Passwort, das Command Mail versiegelt (verschlüsselt) speichert und laut App-Code nur für die Anmeldung beim Versand über SMTP nutzt; einen IMAP-Abruf enthält der Code nicht. Die Google-Hilfe beschreibt für App-Passwörter keine Beschränkung auf das Senden[^11]. Der zweite Weg braucht kein Passwort: Die Mail geht von einer Command-Mail-Adresse mit deinem Namen hinaus, Antworten kommen an deine Gmail-Adresse zurück; ein Code an diese Adresse bestätigt, dass sie dir gehört.

## Command Mail mit deinem Agenten verbinden

Du kannst Command Mail per MCP oder über die Verzeichniseinträge verbinden. Dabei wählst du die Rechte deines Agenten selbst[^12]:

- **MCP-Adresse:** `https://commandmail.app/mcp` für Claude Code, Codex, Cursor und andere Clients mit Remote-MCP; die Anmeldung läuft über OAuth 2.1[^12].
- **Plugin oder Connector:** in ChatGPT als offizielles Plugin aus dem Pluginverzeichnis, in Claude als Community-Connector aus dem Verzeichnis[^12].
- **Rechte statt Vollzugriff:** Jedes Recht lässt sich beim Verbinden abwählen, Senden ohne Freigabe ist anfangs ausgeschaltet, und ein freigegebener Entwurf geht nur in genau der Fassung hinaus, die ein Mensch bestätigt hat[^12].

Alle Rechte und Autonomiestufen beschreibt die [Berechtigungsdokumentation](https://commandmail.app/de/docs/berechtigungen-und-autonomie).

## Prüfstand

Stand: 2026-11-02. Die Seiten von Google, OWASP, OpenAI und Anthropic wurden an diesem Tag abgerufen; die OpenAI-Hilfeseite lehnt automatisierte Abrufe mit 403 ab und wurde über einen Leseproxy gelesen. Die Aussagen über Command Mail beruhen auf llms.txt und dem App-Code im Commit `60c8c3d` (Anmeldung mit Google, OAuth-Freigabeseite und ihre Vorauswahl, Freigaberoute für Entwürfe, Sendewege für weitergeleitete Adressen). Google-Zustimmungsdialoge haben wir für diese Seite nicht selbst durchgespielt.

Du kannst [kostenlos starten](https://commandmail.app/login?signup=1) und deinen Agenten zuerst nur mit `mail:read` verbinden.

## Häufige Fragen

### Was bedeutet „Gmail-E-Mails lesen, schreiben, senden und endgültig löschen“ im Google-Dialog?

So beschreibt Google den Scope https://mail.google.com/, den weitesten Zugriff auf Gmail. Er erlaubt alles, was du selbst im Postfach tun kannst, einschließlich endgültigem Löschen ohne Papierkorb. Google rät Entwicklern, ihn nur anzufordern, wenn eine App genau dieses sofortige Löschen braucht.

### Reicht für einen Agenten, der Mails zusammenfasst, ein Lesezugriff?

Ja. Für Suchen, Lesen und Zusammenfassen reicht gmail.readonly, das Google als Abrufen von E-Mails und Einstellungen beschreibt. OWASP nennt genau diesen Fall als Beispiel: Ein Zusammenfassungsagent braucht nur Lesen, kein Senden und kein Löschen.

### Kann ich im Google-Dialog einzelne Rechte abwählen?

Nur ganze angefragte Bereiche. Bei Anmeldebereichen plus mindestens einem weiteren Bereich oder bei mehreren Nicht-Anmeldebereichen zeigt Google im regulären granularen Zustimmungsdialog Kästchen. Bei ausschließlich Anmeldebereichen oder genau einem Nicht-Anmeldebereich, etwa allein dem Vollzugriff, gibt es keine Einzelwahl. Aus einem Vollzugriff wird durch Abwählen nie ein Lesezugriff.

### Wie entziehe ich einer App den Zugriff auf mein Gmail?

In deinem Google-Konto unter myaccount.google.com/linkedapps: Zugriff auf Ihr Google-Konto, App auswählen, Details ansehen, Zugriff entfernen, Bestätigen. Die App kann danach nicht mehr auf dein Konto zugreifen. Daten, die sie schon kopiert hat, musst du laut Google gegebenenfalls beim Entwickler löschen lassen.

### Braucht Command Mail Zugriff auf mein Gmail-Konto?

Zum Empfangen nicht. Gmail leitet Kopien an deine Eingangsadresse bei Command Mail weiter; Command Mail fragt dafür keinen Gmail-Scope an. Willst du über die Gmail-Server mit deiner Adresse senden, hinterlegst du ein Google-App-Passwort. Ohne Passwort geht der Versand über eine Command-Mail-Adresse, Antworten kommen an deine Adresse zurück.

## Quellen

1. [Google for Developers: Gmail API-Bereiche auswählen](https://developers.google.com/workspace/gmail/api/auth/scopes?hl=de), abgerufen am 2026-11-02
2. [Google for Developers: OAuth 2.0 Mechanism (IMAP, POP, SMTP)](https://developers.google.com/workspace/gmail/imap/xoauth2-protocol), abgerufen am 2026-11-02
3. [Google for Developers: How to handle granular permissions](https://developers.google.com/identity/protocols/oauth2/resources/granular-permissions), abgerufen am 2026-11-02
4. [Google for Developers: Method users.messages.modify](https://developers.google.com/workspace/gmail/api/reference/rest/v1/users.messages/modify), abgerufen am 2026-11-02
5. [OWASP: LLM06:2025 Excessive Agency](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/), abgerufen am 2026-11-02
6. [OpenAI: Google app data controls FAQ (direkter Abruf 403, gelesen über Leseproxy)](https://help.openai.com/en/articles/10408842-google-app-data-controls-faq), abgerufen am 2026-11-02
7. [Anthropic: Use Google Workspace connectors](https://support.claude.com/en/articles/10166901-use-google-workspace-connectors), abgerufen am 2026-11-02
8. [Google for Developers: Configure the Gmail MCP server (Developer Preview)](https://developers.google.com/workspace/gmail/api/guides/configure-mcp-server), abgerufen am 2026-11-02
9. [Google-Konto-Hilfe: Verknüpfungen zwischen Ihrem Google-Konto und Drittanbietern verwalten](https://support.google.com/accounts/answer/13533235?hl=de), abgerufen am 2026-11-02
10. [Google-Konto-Hilfe: Drittanbieter-Apps in gewissem Umfang Zugriff auf Ihre Google-Kontodaten gewähren](https://support.google.com/accounts/answer/3466521?hl=de), abgerufen am 2026-11-02
11. [Google-Konto-Hilfe: Mit App-Passwörtern anmelden](https://support.google.com/accounts/answer/185833?hl=de), abgerufen am 2026-11-02
12. [Command Mail: llms.txt](https://commandmail.app/llms.txt), abgerufen am 2026-11-02

[^1]: [Google for Developers: Gmail API-Bereiche auswählen](https://developers.google.com/workspace/gmail/api/auth/scopes?hl=de), abgerufen am 2026-11-02
[^2]: [Google for Developers: OAuth 2.0 Mechanism (IMAP, POP, SMTP)](https://developers.google.com/workspace/gmail/imap/xoauth2-protocol), abgerufen am 2026-11-02
[^3]: [Google for Developers: How to handle granular permissions](https://developers.google.com/identity/protocols/oauth2/resources/granular-permissions), abgerufen am 2026-11-02
[^4]: [Google for Developers: Method users.messages.modify](https://developers.google.com/workspace/gmail/api/reference/rest/v1/users.messages/modify), abgerufen am 2026-11-02
[^5]: [OWASP: LLM06:2025 Excessive Agency](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/), abgerufen am 2026-11-02
[^6]: [OpenAI: Google app data controls FAQ (direkter Abruf 403, gelesen über Leseproxy)](https://help.openai.com/en/articles/10408842-google-app-data-controls-faq), abgerufen am 2026-11-02
[^7]: [Anthropic: Use Google Workspace connectors](https://support.claude.com/en/articles/10166901-use-google-workspace-connectors), abgerufen am 2026-11-02
[^8]: [Google for Developers: Configure the Gmail MCP server (Developer Preview)](https://developers.google.com/workspace/gmail/api/guides/configure-mcp-server), abgerufen am 2026-11-02
[^9]: [Google-Konto-Hilfe: Verknüpfungen zwischen Ihrem Google-Konto und Drittanbietern verwalten](https://support.google.com/accounts/answer/13533235?hl=de), abgerufen am 2026-11-02
[^10]: [Google-Konto-Hilfe: Drittanbieter-Apps in gewissem Umfang Zugriff auf Ihre Google-Kontodaten gewähren](https://support.google.com/accounts/answer/3466521?hl=de), abgerufen am 2026-11-02
[^11]: [Google-Konto-Hilfe: Mit App-Passwörtern anmelden](https://support.google.com/accounts/answer/185833?hl=de), abgerufen am 2026-11-02
[^12]: [Command Mail: llms.txt](https://commandmail.app/llms.txt), abgerufen am 2026-11-02

---

Command Mail: ein Postfach für dich und deinen KI-Agenten. Kostenlos starten: https://commandmail.app/login?signup=1 · Agent verbinden: https://commandmail.app/de/agents · MCP: https://commandmail.app/mcp