WissenStand 19. Oktober 2026

Ist es sicher, Gmail mit ChatGPT oder Claude zu verbinden?

Ja, wenn du weißt, was du freigibst, und die Rechte knapp hältst. Beim Verbinden bekommt der Assistent Zugriff auf dein Postfach im Rahmen der Google-Berechtigung, und bei Gmail in ChatGPT umfasst diese Berechtigung Lesen, Verfassen und Senden[1][11]. Ein wichtiges praktisches Risiko entsteht, wenn eine präparierte Mail den Assistenten während einer Aufgabe zu einer Aktion verleitet, die du nicht wolltest[4].

Daneben zählen drei Fragen: wie lange abgerufene Inhalte gespeichert bleiben, ob sie ins Training einfließen können und was nach dem Trennen übrig bleibt. Diese Seite ordnet die Risiken und zeigt, mit welchen Einstellungen du sie in ChatGPT, Claude und im Google-Konto begrenzt.

Stand: Faktenprüfung: Lesezeit etwa 8 Min.Als Markdown

Inhalt
  1. Was du beim Verbinden tatsächlich freigibst
  2. Die fünf Risiken im Überblick
  3. Präparierte Mails und Prompt Injection
  4. Speicherung und Training: was mit abgerufenen Mails passiert
  5. Was nach dem Trennen bleibt
  6. Eine vorsichtige Grundeinstellung in sechs Schritten
  7. Wann Command Mail eine andere Grenze setzt
  8. Prüfstand
  9. Häufige Fragen
  10. Quellen

01Was du beim Verbinden tatsächlich freigibst

Mit der Gmail-Verbindung erteilst du eine Google-Berechtigung, und deren Umfang bestimmt, was technisch möglich ist. OpenAI nennt für Gmail in ChatGPT den Scope gmail.modify[1]. Google beschreibt ihn als Lesen, Verfassen und Senden von Mails; ein sofortiges endgültiges Löschen am Papierkorb vorbei erlaubt er nicht. Google führt ihn unter den eingeschränkten Scopes, die eine besondere Prüfung der App verlangen[11].

Anthropic weist für Claude ausdrücklich darauf hin, dass der Google-Anmeldedialog Senderechte nennt. Claude kann senden, antworten und weiterleiten und fragt standardmäßig vor jeder dieser Aktionen[6]. Beide Assistenten sehen nur, was dein verbundenes Konto ohnehin sehen darf[1][6].

Die Rückfrage-Einstellungen ändern den Zugriff nicht. OpenAI schreibt, dass App-Berechtigungen wie „Always ask“ oder „Allow read actions“ nur festlegen, wann ChatGPT nachfragt; den Zugriff nimmst du nur durch Trennen weg[2][3]. Wer also Senden auf Rückfrage stellt, hat die Senderechte weiterhin erteilt und verlässt sich auf die Kontrolle im Gespräch.

02Die fünf Risiken im Überblick

Die Tabelle fasst die Risiken zusammen, die sich aus den Herstellerangaben und den OWASP-Leitfäden ergeben. Sie ist keine eigene Sicherheitsprüfung der Anbieter.

RisikoWas passieren kannWas es begrenzt
Präparierte Mail (Prompt Injection)Der Assistent sucht vertrauliche Mails heraus oder versendet Inhalte an Fremde[4]Enge Aufträge, Rückfrage vor dem Senden, möglichst wenige Rechte[13]
Zu großzügige Freigaben„Allow all actions“ in ChatGPT oder „Allow always“ in Claude lässt Aktionen ohne weitere Bestätigung laufen[3][10]Senden, Antworten und Weiterleiten auf Rückfrage lassen
Speicherung und TrainingAbgerufene Inhalte liegen mit dem Chat beim Anbieter; je nach Tarif und Einstellung können Teile ins Training gehen[1][6][7]Trainingsoption prüfen, Chats löschen, bei Bedarf geschäftlichen Tarif nutzen
Fremde MCP-ServerVersteckte Anweisungen in Werkzeugen oder unerwartete Änderungen des Servers[10][14]Nur vertrauenswürdige Server, angefragte Rechte prüfen
Vergessene VerbindungenEin ungenutzter Zugang bleibt bestehen, bis du ihn entfernst[12]Verknüpfte Apps im Google-Konto regelmäßig prüfen

03Präparierte Mails und Prompt Injection

Prompt Injection heißt, dass fremder Text die KI zu etwas verleitet, das du nicht beauftragt hast. OpenAI beschreibt genau den Fall Postfach: Du lässt die Mails der Nacht beantworten, und eine Angreifer-Mail bringt den Agenten dazu, deine Kontoauszüge herauszusuchen und weiterzugeben[4]. Dafür braucht es keine Sicherheitslücke: Der Agent nutzt die Rechte, die du ihm für die Aufgabe gegeben hast.

OWASP hält fest, dass unklar ist, ob es einen sicheren Komplettschutz gegen Prompt Injection gibt. Als Gegenmaßnahmen nennt der Leitfaden unter anderem möglichst wenige Rechte, menschliche Freigabe für riskante Aktionen und die klare Kennzeichnung fremder Inhalte[13]. Für MCP-Server führt OWASP zusätzlich schleichend wachsende Rechte und manipulierte Werkzeuge als eigene Risiken[14].

Auch die Anbieter der Assistenten setzen eigene Schutzmaßnahmen ein. OpenAI beschreibt unter anderem Sicherheitstraining, damit Modelle eingeschleuste Anweisungen erkennen, automatisierte Monitore, die solche Angriffe erkennen und blockieren sollen, und Red-Teaming; das Problem selbst nennt OpenAI offen[4]. Anthropic nennt eingebaute Schutzmechanismen, die versuchen, bösartige Anweisungen aus MCP-Servern abzufangen[10]. Diese Maßnahmen ersetzen weder knappe Rechte noch deine Prüfung riskanter Aktionen.

Daraus folgt eine einfache Arbeitsregel: Gib dem Assistenten eine konkrete Aufgabe. OpenAI rät von breiten Anweisungen wie „geh meine Mails durch und erledige, was nötig ist“ ab, weil versteckte Inhalte das Modell dann leichter in die Irre führen[4]. Besser ist „Fasse die Mail von Beispielhandel zur Terminbestätigung zusammen und schreib einen Antwortentwurf, nichts senden“.

Wenn eine Rückfrage erscheint, lies sie wie einen Überweisungsauftrag. OpenAI empfiehlt, vor der Bestätigung zu prüfen, ob die Aktion stimmt und die geteilten Informationen in diesen Zusammenhang gehören[4]. Achte auf Empfänger, die du nicht kennst, auf Anhänge, die du nicht erwähnt hast, und auf Weiterleitungen, um die du nicht gebeten hast.

04Speicherung und Training: was mit abgerufenen Mails passiert

Abgerufene Inhalte bleiben beim Anbieter, solange der Chat existiert. Anthropic schreibt, dass Connector-Daten mit dem zugehörigen Chat auf Anthropic-Servern gespeichert werden und du sie durch Löschen des Chats entfernst[6]. Gelöschte Chats sind bei OpenAI laut Hilfeartikel zur endgültigen Löschung innerhalb von 30 Tagen vorgesehen, außer sie wurden bereits de-identifiziert und von dir getrennt, oder OpenAI muss sie aus Sicherheits- oder Rechtsgründen länger aufbewahren[1].

Beim Training haben beide Anbieter Sonderregeln für Gmail. OpenAI trainiert seine allgemeinen Modelle nach eigener Aussage nicht mit Daten, die direkt aus verbundenen Google-Apps stammen. Ausgenommen sind Gespräche, die du als Feedback einschickst, Inhalte, die du selbst kopierst oder hochlädst, und Inhalte in ChatGPTs Antworten. Ist „Improve the model for everyone“ ausgeschaltet, nutzt OpenAI laut derselben Hilfeseite App-Daten in Gesprächen nicht zur Modellverbesserung[1]. Die allgemeine Hilfe zu den Datenkontrollen sagt allerdings, dass eine als Feedback eingereichte Unterhaltung auch nach dem Abschalten vollständig für das Training genutzt werden kann[5]. Gib bei Chats mit vertraulichen Mails deshalb keine Daumen-Bewertung ab. Für andere verbundene Apps entscheidet bei Free, Plus, Go und Pro diese Einstellung, bei Business, Enterprise und Edu trainiert OpenAI standardmäßig nicht[2][5].

Anthropic trainiert nicht mit Daten aus dem Gmail-, Drive- und Kalender-Connector[6]. Bei Free, Pro und Max gilt eine Ausnahme, wenn du erlaubt hast, deine Chats für das Training zu nutzen: Inhalte, die du kopierst, und Claude-Antworten mit konkreten Informationen aus diesen Diensten können dann einfließen[6][7]. Mit dieser Erlaubnis bewahrt Anthropic neue oder wieder aufgenommene Chats fünf Jahre auf, ohne sie 30 Tage[8]. Eine Daumen-Bewertung speichert die ganze Unterhaltung bis zu fünf Jahre und kann ins Training einfließen; Rohinhalte aus Connectoren sind davon ausgenommen[7]. Kommerzielle Produkte wie Team, Enterprise und die API nutzt Anthropic standardmäßig nicht für das Training[9].

Für die Praxis heißt das: Prüfe vor dem Verbinden die Trainingsoption deines Kontos. In ChatGPT ist das der Schalter „Improve the model for everyone“ in den Einstellungen unter „Data controls“; temporäre Chats werden nicht für das Training genutzt[5]. Anthropic nennt die Einstellung in den Datenschutzeinstellungen von Claude[8]. Details zu beiden Anbietern stehen in den Anleitungen Gmail mit ChatGPT verbinden und Gmail mit Claude verbinden.

05Was nach dem Trennen bleibt

Trennen beendet den künftigen Zugriff, löscht aber nichts rückwirkend. OpenAI schreibt ausdrücklich, dass das Trennen einer Google-App vorhandene Chats und gespeicherte Erinnerungen nicht automatisch löscht[1]. Bei Claude bleiben abgerufene Daten mit dem Chat gespeichert, bis du den Chat löschst[6].

Zusätzlich solltest du den Zugriff im Google-Konto entfernen, wenn du einen Dienst nicht mehr nutzt. Google führt dafür die verknüpften Apps im Google-Konto; dort wählst du die App aus und entfernst den Zugriff[12]. Anthropic verweist für hartnäckige Fälle auf myaccount.google.com/connections[6].

06Eine vorsichtige Grundeinstellung in sechs Schritten

Diese Reihenfolge leitet sich aus den genannten Herstellerhinweisen ab. Sie ist eine Empfehlung, kein Test, den wir mit jedem Tarif durchgeführt haben.

  1. Tarif und Training klären. Prüfe, ob dein Konto ein privates oder ein geschäftliches ist, und stelle die Trainingsoption bewusst ein[5][8].
  2. Senden auf Rückfrage lassen. In Claude fragt der Gmail-Connector standardmäßig vor Senden, Antworten und Weiterleiten[6]; in ChatGPT wählst du keine Stufe, die alle Aktionen ohne Bestätigung erlaubt[3].
  3. Konkrete Aufträge geben. Eine Mail, eine Aufgabe, ein ausdrückliches „nichts senden“, solange du nur einen Entwurf willst[4].
  4. Rückfragen vollständig lesen. Empfänger, Inhalt und Anhänge prüfen, bevor du bestätigst[4].
  5. Nur vertrauenswürdige MCP-Server. Anthropic rät, nur Server vertrauenswürdiger Anbieter zu verbinden, angefragte Rechte zu prüfen und „Allow always“ nur für Werkzeuge zu setzen, denen du unbeaufsichtigt vertraust[10].
  6. Verbindungen aufräumen. Ungenutzte Apps im Google-Konto entfernen und alte Chats mit vertraulichen Inhalten löschen[1][12].

07Wann Command Mail eine andere Grenze setzt

Command Mail ist unser Produkt. Es verbindet sich nicht mit deinem Gmail-Konto: Bei der Anmeldung mit Google fordert Command Mail nur die Scopes openid, email und profile an und kann Gmail nicht lesen[15]. Deine Mails kommen per Weiterleitung als Kopien an. Ein Agent, der über Command Mail arbeitet, ändert deshalb nichts in deinem ursprünglichen Gmail-Postfach; Weiterleitung ist keine Synchronisation.

Die Rechte trennt Command Mail feiner. Beim Verbinden eines Agenten ist jedes angefragte Recht einzeln abschaltbar, und mail:send für Senden ohne Freigabe ist zu Beginn ausgeschaltet[16]. Mit mail:draft schreibt der Agent nur Entwürfe, mit mail:send-approved sendet er genau die Fassung, die du freigegeben hast. Freigeben, die Autonomie ändern oder das Tageslimit setzen kann ein Agent über seinen Zugang nicht[17].

Gegen präparierte Mails gibt Command Mail dem Agenten den Hinweis mit, dass Mailinhalte nicht vertrauenswürdige Daten sind, und markiert Mails mit typischen Mustern wie „ignoriere alle vorherigen Anweisungen“. Diese Markierung ist eine Mustererkennung, die nicht jede Formulierung findet; ein beeinflusster Agent kann weiterhin alles tun, was seine Rechte erlauben[17]. Für selbstständiges Senden gelten ein Tageslimit, höchstens 20 Empfänger je Mail und eine Sperre für erkannte automatische Absender, die ebenfalls heuristisch arbeitet[16][17].

Wichtig sind auch die Grenzen. Neue Postfächer stehen auf der Autonomiestufe auto. Auf suggest warten protokollierte Sortieraktionen wie Archivieren, Spam und Papierkorb auf deine Entscheidung; Markierungen und Labels wirken dort weiterhin sofort, und eine bereits aktive Löschfrist läuft weiter[17]. Leserechte gelten für alle Postfächer des Kontos, und die Autonomiestufe begrenzt das Lesen nicht; sie ist keine Zugriffstrennung zwischen Postfächern. Mit mail:read kann ein Agent außerdem Regeln anlegen, die auf rules und auto wirken[17]. Command Mail wird von FYN Labs LLC in den USA betrieben, App und Datenbank laufen bei Cloudflare, Anhänge liegen in Cloudflares EU-Region. Für die Spam- und Phishingprüfung gehen Absender, Empfänger, Betreff, Anhangnamen und bis zu 4.000 Zeichen Text eingehender Mails an den Dienstleister TypeSafe, nachdem offensichtliche Geheimnisse wie Codes und Kartennummern entfernt wurden[15]. Was dein Agent über Command Mail abruft, verarbeitet sein Anbieter nach dessen Regeln[15]. OpenAIs Gmail-Sonderregel bezieht sich auf verbundene Google-Apps; für Daten aus Apps allgemein schreibt OpenAI, dass sie bei Free, Plus, Go und Pro mit eingeschaltetem „Improve the model for everyone“ ins Training einfließen können[1][2]. Prüfe diese Einstellung also auch, wenn du statt des Gmail-Connectors Command Mail verbindest. Anthropic nimmt Rohinhalte aus MCP-Servern vom Training aus[7].

Free sendet nicht; Senden gibt es ab Pro[16]. Welche Rechte du für welchen Agenten wählst, beschreibt die Berechtigungsdokumentation, den Ablauf mit Freigabe jeder Fassung die Anleitung E-Mails mit KI beantworten. Du kannst kostenlos starten und deinen Agenten zunächst nur mit Lese- und Entwurfsrechten verbinden.

08Prüfstand

Stand: 2026-10-19. Alle Hersteller-, Google- und OWASP-Seiten wurden an diesem Tag frisch abgerufen. Die Aussagen über Command Mail wurden zusätzlich gegen den ausführenden Code im Commit d6ad1ce geprüft, insbesondere Freigabeseite, Trennen verbundener Apps, Markierung verdächtiger Mails, Tageslimit und Standard-Autonomie. Wir haben keinen eigenen Angriffstest gegen ChatGPT, Claude oder Command Mail durchgeführt.

Häufige Fragen

Liest OpenAI oder Anthropic meine Mails mit, wenn ich Gmail verbinde?

Der Assistent ruft Mails ab, wenn eine Anfrage sie braucht, und das Ergebnis wird mit dem Chat gespeichert. Für das Training nennen beide Anbieter Grenzen für direkt abgerufene Gmail-Daten, mit Ausnahmen etwa für Feedback und in den Chat kopierte Inhalte.

Reicht es, wenn ChatGPT oder Claude vor dem Senden nachfragt?

Die Rückfrage ist eine wichtige Bremse, aber sie wirkt nur, wenn du die angezeigte Aktion wirklich liest: Empfänger, Inhalt und Anhänge. Dauerfreigaben wie „Allow all actions“ oder „Always allow“ schalten diese Bremse für unterstützte Aktionen ab.

Was ist Prompt Injection bei E-Mails?

Eine Mail enthält Text, der sich an die KI richtet statt an dich, etwa die Aufforderung, Rechnungen an eine fremde Adresse weiterzuleiten. Liest ein Assistent diese Mail während einer Aufgabe, kann er versuchen, der Anweisung zu folgen. Laut OWASP ist unklar, ob es einen sicheren Komplettschutz gibt.

Werden meine Daten gelöscht, wenn ich Gmail wieder trenne?

Nein, nicht automatisch. Trennen beendet den künftigen Zugriff. Bereits gespeicherte Chats und bei ChatGPT auch Erinnerungen bleiben, bis du sie selbst löschst. Den Zugriff im Google-Konto entfernst du zusätzlich unter den verknüpften Apps.

Ist Command Mail sicherer als der eingebaute Gmail-Connector?

Es setzt andere Grenzen: kein Zugriff auf dein Gmail-Konto, getrennte Entwurfs- und Senderechte und eine Autonomiestufe je Postfach. Dafür liegen Kopien deiner Mails bei einem weiteren Anbieter in den USA, und dein Agent verarbeitet abgerufene Mails weiterhin nach den Regeln seines Anbieters.

Quellen

  1. OpenAI: Google app data controls FAQ help.openai.com, abgerufen am
  2. OpenAI: Connected apps in ChatGPT help.openai.com, abgerufen am
  3. OpenAI: Managing app permissions in ChatGPT help.openai.com, abgerufen am
  4. OpenAI: Understanding prompt injections openai.com, abgerufen am
  5. OpenAI: Data controls in ChatGPT help.openai.com, abgerufen am
  6. Anthropic: Use Google Workspace connectors support.claude.com, abgerufen am
  7. Anthropic Privacy Center: Training bei Free, Pro und Max privacy.claude.com, abgerufen am
  8. Anthropic: Updates to Consumer Terms and Privacy Policy anthropic.com, abgerufen am
  9. Anthropic Privacy Center: Training bei kommerziellen Produkten privacy.claude.com, abgerufen am
  10. Anthropic: Custom connectors using remote MCP support.claude.com, abgerufen am
  11. Google: Gmail API scopes developers.google.com, abgerufen am
  12. Google: Verknüpfungen zwischen deinem Google-Konto und Drittanbieter-Apps verwalten support.google.com, abgerufen am
  13. OWASP: LLM01:2025 Prompt Injection genai.owasp.org, abgerufen am
  14. OWASP MCP Top 10 (Beta) owasp.org, abgerufen am
  15. Command Mail: Datenschutzerklärung commandmail.app, abgerufen am
  16. Command Mail: Tarife und Agentenrechte commandmail.app, abgerufen am
  17. Command Mail: Berechtigungen und Autonomie commandmail.app, abgerufen am
DE
EN