WissenStand 26. Oktober 2026
Scopes für E-Mail-Agenten: welche Rechte ein Agent braucht
Ein E-Mail-Agent braucht genau die Rechte, die seine Aufgabe verlangt, und kein Recht darüber hinaus. Für Zusammenfassen reicht Lesen, für Sortieren kommt das Ändern von Labels oder Ordnern dazu, Entwürfe sind ein eigenes Recht, und Senden und Löschen gibst du nur, wenn der Agent das wirklich selbst tun soll. Diese Rechte heißen Scopes. Wie fein sie sich vergeben lassen, hängt stark vom Anbieter ab.
Inhalt
- Was ein Scope ist
- Fünf Rechte, in die sich jede Aufgabe zerlegen lässt
- Gmail: fein gestaffelt, aber Entwürfe schließen Senden ein
- IMAP und SMTP: bei Gmail regulär Vollzugriff
- Microsoft 365 und Outlook: Senden ist ein eigenes Recht
- Postfachgrenzen sind ein eigenes Thema
- So hältst du die Rechte knapp
- Wie Command Mail die Rechte schneidet
- Prüfstand
- Häufige Fragen
- Quellen
01Was ein Scope ist
Ein Scope ist ein benanntes Recht, das du einem Programm beim Verbinden per OAuth erteilst. Auf der Zustimmungsseite steht dann etwa „E-Mails lesen“ oder „E-Mails in deinem Namen senden“. Der Mail-Dienst prüft bei jedem Aufruf, ob der Zugang das passende Recht trägt, und lehnt den Aufruf sonst ab.
Für KI-Agenten ist das die wichtigste Schutzschicht, weil sie unabhängig vom Modell wirkt. Ein Agent kann durch eine präparierte Mail getäuscht werden, aber er kann nichts tun, wofür sein Zugang kein Recht hat. OWASP beschreibt genau diesen Fall: Ein Assistent soll eingehende Mails zusammenfassen, die eingebundene Erweiterung kann aber auch senden. Eine präparierte Mail bringt ihn dazu, das Postfach nach sensiblen Daten zu durchsuchen und sie an den Angreifer weiterzuleiten[5]. Als eine der Gegenmaßnahmen nennt OWASP eine OAuth-Verbindung mit reinem Lesezugriff.
02Fünf Rechte, in die sich jede Aufgabe zerlegen lässt
Fast jede Aufgabe eines Mail-Agenten lässt sich auf fünf Rechte zurückführen. Lesen deckt Suchen, Zusammenfassen und Briefings ab. Organisieren umfasst Labels, Ordner, Markierungen und Archivieren. Entwerfen legt Antworten ab, die ein Mensch prüft. Senden und Löschen sind die Rechte mit Folgen außerhalb des Postfachs oder ohne einfachen Rückweg.
| Aufgabe | Lesen | Organisieren | Entwerfen | Senden | Löschen |
|---|---|---|---|---|---|
| Zusammenfassen, Morgenbriefing | ja | nein | nein | nein | nein |
| Sortieren und labeln | ja | ja | nein | nein | nein |
| Antworten vorbereiten | ja | optional | ja | nein | nein |
| Freigegebene Antworten senden | ja | optional | ja | nur nach Freigabe | nein |
| Selbstständig antworten | ja | optional | optional | ja | nein |
| Postfach aufräumen mit Löschen | ja | ja | nein | nein | ja |
Mehrere der gezeigten Aufgaben kommen ohne Sende- und Löschrechte aus. Manche Anbieter bündeln genau diese beiden Rechte in breiteren Scopes, wie die folgenden Abschnitte zeigen.
03Gmail: fein gestaffelt, aber Entwürfe schließen Senden ein
Die Gmail API bietet viele einzelne Scopes, von gmail.labels für Labels über gmail.readonly zum Lesen bis zu gmail.send nur zum Senden[1]. Ein reiner Leseagent kommt mit gmail.readonly aus. Beim Sortieren wird es gröber: gmail.labels verwaltet Labels selbst, Nachrichten umzuordnen gehört zu breiteren Scopes. gmail.modify erlaubt laut Google lesen, verfassen und senden, aber kein sofortiges endgültiges Löschen unter Umgehung des Papierkorbs.
Ein reines Entwurfsrecht gibt es nicht. Der Scope gmail.compose heißt bei Google „Manage drafts and send emails“[1]. Wer einem Agenten Entwürfe erlaubt, erlaubt ihm damit auch das Senden. Soll ein Mensch jede Mail freigeben, muss diese Sperre außerhalb der Gmail-Rechte liegen, etwa in der Software, die zwischen Agent und Gmail sitzt.
Den weitesten Scope, https://mail.google.com/, beschreibt Google als lesen, verfassen, senden und endgültig löschen aller Mails. Google rät, ihn nur anzufordern, wenn eine App wirklich sofort endgültig löschen muss[1]. Lesende und verändernde Scopes wie gmail.readonly, gmail.compose und gmail.modify stuft Google als „restricted“ ein; öffentliche Apps brauchen dafür eine eigene Prüfung, und wer solche Daten auf Servern speichert oder überträgt, zusätzlich ein Sicherheitsassessment[1].
04IMAP und SMTP: bei Gmail regulär Vollzugriff
Manche MCP-Server und lokale Agenten sprechen IMAP und SMTP statt der Gmail API. Für diese Protokolle vergibt Google bei Verbindungen im Namen eines Nutzers den Scope https://mail.google.com/[2]. Die einzige genannte Ausnahme ist IMAP über Domain-wide Delegation mit Dienstkonten in Google Workspace, dort mit gmail.imap_admin. Ein Agent, der Gmail per IMAP mit dem regulären Scope https://mail.google.com/ liest, hat damit formal auch das Recht zu senden und endgültig zu löschen, selbst wenn er nur zusammenfassen soll. Für die Ausnahme mit gmail.imap_admin gilt diese Folgerung nicht.
05Microsoft 365 und Outlook: Senden ist ein eigenes Recht
Microsoft Graph trennt Senden sauber von allem anderen. Mail.ReadWrite erlaubt laut Microsoft Mails anzulegen, zu lesen, zu ändern und zu löschen und schließt ausdrücklich nicht das Senden ein; dafür gibt es Mail.Send[3]. Ein Entwurfsagent mit Mail.ReadWrite kann also Entwürfe ablegen, ohne senden zu dürfen. Löschen bleibt dabei allerdings eingeschlossen. Mail.ReadBasic liest nur Metadaten ohne Text und Anhänge, Mail.Read liest vollständig.
Der zweite Unterschied betrifft die Reichweite. Delegierte Rechte gelten im Namen des angemeldeten Menschen: Mail.Read liest sein eigenes Postfach, Mail.Read.Shared zusätzlich Mails, die mit ihm geteilt sind. Anwendungsrechte ohne angemeldeten Menschen gelten laut Microsoft für alle Postfächer, Mail.Send dann als „Send mail as any user“[3]. Mit RBAC for Applications in Exchange Online kann ein Admin solche Anwendungsrechte auf eine Gruppe von Postfächern beschränken[4]. Das wirkt nur, wenn dasselbe Recht nicht zusätzlich organisationsweit in Microsoft Entra ID vergeben ist; Microsoft addiert beide Zuweisungen[4].
06Postfachgrenzen sind ein eigenes Thema
Scopes beschreiben, was ein Agent tun darf, nicht immer, wo. Ein Lesezugriff auf ein Gmail-Konto gilt für das ganze Konto. Ein nicht eingegrenztes Anwendungsrecht in Microsoft 365 gilt für jedes Postfach der Organisation. Wer einem Agenten nur ein bestimmtes Postfach zeigen will, braucht dafür eine eigene Grenze: ein getrenntes Konto, eine Postfachbeschränkung im Admin-Bereich oder eine Zwischenschicht, die Postfächer unterscheidet.
07So hältst du die Rechte knapp
Vor dem Verbinden lohnt eine kurze Prüfung. Schreib in einem Satz auf, was der Agent tun soll, und ordne den Satz den fünf Rechten zu. Prüfe auf der Zustimmungsseite, welche Scopes tatsächlich angefragt werden, und lehne ab, wenn ein Zusammenfassungswerkzeug Senden oder Vollzugriff verlangt. Wo der Anbieter einzelne Rechte abwählbar macht, wähle ab, was die Aufgabe nicht braucht.
Für Senden ohne Rückfrage empfiehlt OWASP zusätzlich, den Schaden zu begrenzen, etwa mit einer Höchstzahl an Mails[5]. Entzieh Zugänge, die du nicht mehr nutzt, in den Kontoeinstellungen des Anbieters.
08Wie Command Mail die Rechte schneidet
Command Mail ist unser Produkt. Die folgenden Aussagen haben wir gegen den App-Code im Commit 5a48c2b geprüft.
Command Mail bietet Agenten fünf öffentliche OAuth-Rechte zur Auswahl: mail:read, mail:draft, mail:send-approved, mail:send und mailboxes[6]. mail:draft speichert Entwürfe und sendet nie. mail:send-approved sendet nur genau die Fassung, die ein Mensch in der App freigegeben hat. mail:send sendet ohne Freigabe, und das nur aus Postfächern auf der Autonomiestufe auto. Weiterleiten, direkte Papierkorbaufrufe und endgültiges Löschen brauchen mail:read und mail:send zusammen; Weiterleiten und endgültiges Löschen zusätzlich die Stufe auto. Regeln und laufende Löschfristen prüfst du davon getrennt. Auf der Freigabeseite kannst du jedes angefragte Recht abwählen, mail:send ist dort zu Beginn ausgeschaltet.
Zwei Grenzen nennen wir offen. mail:read ist kein reines Leserecht: Es erlaubt auch Sortieren, Markierungen, Labels und Regeln im Rahmen der Autonomie; damit ein Agent vorhandene Nachrichten nicht verändert, müssen die Postfächer zusätzlich auf der Stufe read stehen. Das ist keine Schreibsperre für alles im Konto; Labels anlegen kann er zum Beispiel weiterhin. Und mail:read liest alle Postfächer deines Kontos. Die Autonomiestufe je Postfach begrenzt Änderungen und Senden, nicht das Lesen. Getrennte Leserechte gibt es nur über getrennte Konten. Alle Rechte und Stufen im Detail beschreibt die Berechtigungsdokumentation; warum eine Freigabe an die geprüfte Fassung gebunden sein muss, erklärt Human in the Loop.
09Prüfstand
Stand: 2026-10-26. Die Seiten von Google, Microsoft und OWASP wurden an diesem Tag abgerufen. Die Aussagen über Command Mail beruhen auf llms.txt und dem App-Code im Commit 5a48c2b (Rechteprüfung der API-Routen, Lösch-Route mit Autonomieprüfung, OAuth-Zustimmung und deren Vorauswahl). Eigene Tests mit den Diensten von Google und Microsoft haben wir für diese Seite nicht durchgeführt.
Du kannst kostenlos starten und deinen Agenten zuerst nur mit mail:read verbinden.
Häufige Fragen
Was ist ein Scope bei einem E-Mail-Agenten?
Ein Scope ist ein benanntes Recht, das du beim Verbinden per OAuth erteilst, etwa Mails lesen oder Mails senden. Der Dienst prüft bei jedem Aufruf, ob der Zugang dieses Recht hat. Was der Agent nicht erhalten hat, kann er auch nach einer Täuschung nicht tun.
Welche Rechte braucht ein Agent, der nur zusammenfasst oder sortiert?
Für Zusammenfassungen reicht Lesen. Zum Sortieren braucht er zusätzlich das Recht, Labels oder Ordner zu ändern. Senden und Löschen gehören nicht dazu. OWASP nennt genau dieses Beispiel: Ein Zusammenfassungsagent mit Senderecht kann durch eine präparierte Mail Daten weiterleiten.
Gibt es bei Gmail ein Recht nur für Entwürfe?
Nein. Der Gmail-Scope gmail.compose heißt laut Google „Manage drafts and send emails“, erlaubt also auch das Senden. Wer einen Agenten nur entwerfen lassen will, braucht bei Gmail eine zusätzliche Sperre außerhalb der Google-Rechte.
Warum verlangen IMAP-basierte Agenten bei Gmail meist Vollzugriff?
Für normale Verbindungen im Namen eines Nutzers vergibt Google für IMAP, POP und SMTP den Scope https://mail.google.com/. Er erlaubt lesen, verfassen, senden und endgültig löschen. Feinere Gmail-Rechte gibt es nur über die Gmail API. Eine Ausnahme ist IMAP über Domain-wide Delegation in Google Workspace mit gmail.imap_admin.
Gelten Microsoft-365-Rechte für alle Postfächer im Unternehmen?
Delegiertes Mail.Read liest das Postfach des angemeldeten Menschen, Mail.Read.Shared zusätzlich Mails, die mit ihm geteilt sind. Anwendungsrechte ohne angemeldeten Menschen gelten laut Microsoft für alle Postfächer. Mit RBAC for Applications in Exchange Online lassen sie sich auf bestimmte Postfächer begrenzen, aber nur, wenn das gleiche Recht nicht zusätzlich organisationsweit in Microsoft Entra ID vergeben ist.