Wenn eine Mail zur Anweisung wird

Eine präparierte Mail landet im Postfach. Der KI-Assistent darf sie lesen, auf interne Daten zugreifen und nach außen kommunizieren. Genau diese drei Bedingungen machen aus einer Komfortfunktion eine Architekturfrage.

Der dokumentierte Fall EchoLeak

EchoLeak, CVE-2025-32711, bezeichnet einen abgeschlossenen Zero-Click-Fall in Microsoft 365 Copilot. Aim Security beziehungsweise Aim Labs fanden die Schwachstelle. Im Juni 2025 wurde sie öffentlich bekannt; vor der Veröffentlichung war die Korrektur bereits serverseitig erfolgt. Eine bekannte Ausnutzung gab es nicht.

Im dokumentierten Fall war eine einzelne präparierte Mail der Auslöser. Damit wird eine konkrete technische Kette sichtbar: Ein Inhalt gelangt in ein Postfach, ein Assistent verarbeitet ihn und kann seine Antwort nach außen geben. Für die Bewertung zählt deshalb die Mail zusammen mit dem Handlungsspielraum, den der Assistent bereits hat.

Drei Bedingungen bilden das Prüfraster

Simon Willison beschrieb am 16.06.2025 die „lethal trifecta for AI agents“. Willison nennt es lethal trifecta, ich übersetze es als Drei-Faktoren-Regel: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigem Inhalt und die Fähigkeit zur Kommunikation nach außen.

Jeder Faktor kann im Alltag sinnvoll sein. Ein Assistent braucht Daten, um Zusammenhänge herzustellen. Er muss Inhalte aus E-Mails oder Dokumenten lesen können. Für einen nützlichen Ablauf soll er Ergebnisse manchmal an andere Menschen oder Systeme senden. Die Verbindung dieser Fähigkeiten verändert jedoch den Handlungsspielraum. Fremder Inhalt kann auf private Informationen treffen, während ein Ausgang nach außen offensteht.

Berechtigungen gehören in den Entwurf

Ein Postfachzugriff ist keine kleine Komforteinstellung. Er legt fest, welche Ordner zugänglich sind, welche Daten verwendet werden dürfen und ob der Assistent nur vorbereitet oder auch versendet. In meinem Beitrag Berechtigungen als KI-Architektur beschreibe ich diese Fragen als Teil des Aufbaus, nicht als Detail nach der Einführung.

Auch Empfänger brauchen eine Grenze. Darf eine Antwort nur intern weitergehen? Ist ein externer Versand auf bestimmte Adressen beschränkt? Wer sieht, was der Assistent vor dem Versand verarbeitet hat? Solche Entscheidungen wirken unspektakulär. Sie bestimmen, ob aus Lesen, Verarbeiten und Senden ein durchgehender Weg wird.

Bestätigungen sind eine Bremse

Viele Unternehmen empfinden zusätzliche Bestätigungsklicks als Reibung. Das ist verständlich, wenn ein Ablauf täglich vorkommt. Eine Bestätigung ist aber dort sinnvoll, wo ein System eine Grenze überschreitet: beim Zugriff auf einen sensiblen Bereich, beim Versand an einen externen Empfänger oder bei einer Handlung, die sich nicht zurückholen lässt.

Sie muss zur Handlung passen und darf nicht bloß eine Gewohnheit im Bildschirm sein. Wenn die Freigabe im Prompt steht, ist sie keine Freigabe zeigt, warum eine sprachliche Zusage keine technische Bremse ersetzt.

Die Prüfung kommt vor der Automatisierung

Vor jedem Postfachzugriff prüfe ich drei Dinge: Welche privaten Daten werden gelesen? Welche fremden Inhalte dürfen den Ablauf beeinflussen? Wohin darf das System schreiben oder senden? Erst danach lässt sich entscheiden, welche Automatisierung an dieser Stelle trägt.

Diese Reihenfolge schafft einen sichtbaren Handlungsspielraum. Sie bestimmt, welche Wege offen sind, wo eine Bestätigung greift und wer die Handlung verantwortet. Eine KI kann Arbeit abnehmen. Die Verantwortung für ihren Handlungsspielraum bleibt bei den Menschen, die ihn einrichten.

Eine Eingangstür braucht eine Grenze

Ein Postfach ist ein Eingang. Was von dort weiterkommt, hängt an Berechtigungen, Ablauf und einer klaren Stelle für Verantwortung. Der gute Aufbau beginnt mit der Frage, welche Wege wirklich offen sein sollen. Danach bekommt die Technik ihren Platz.

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur — ohne Produktprovisionen, ohne Implementierungsmandat.