Ein Assistent, der E-Mails liest, Postfächer anlegt und DNS-Einstellungen korrigiert, kann viel Arbeit abnehmen. Er kann aber auch das falsche Postfach löschen, weil er Ihre Anweisung missverstanden hat.
Die entscheidende Frage bei einem MCP-Server für E-Mails ist deshalb nicht, was der Agent kann, sondern was bei einem Fehler passiert. Berechtigungen und Schutzvorkehrungen rund um den Server bestimmen einen großen Teil der Folgen. Auf die Fähigkeiten des Modells allein sollten Sie sich nicht verlassen.
Hier erfahren Sie, was ein MCP-Server ist, welche Aufgaben ein Agent auf einer Mailplattform erledigen kann und welche Maßnahmen das Risiko senken: getrennte Tokens, minimale Berechtigungen, Bestätigungen für destruktive Aktionen und ein Aktivitätsprotokoll. Keine dieser Maßnahmen garantiert für sich genommen einen sicheren autonomen Betrieb.
Was ein MCP-Server ist
Das Model Context Protocol bietet einen gemeinsamen Weg, über den ein KI-Client die Werkzeuge eines externen Systems findet und aufruft. Der MCP-Server veröffentlicht die Werkzeuge mit Namen, Beschreibung und einem Schema für ihre Argumente. Der Client stellt diese Informationen dem Modell bereit. Wählt das Modell ein Werkzeug, führt der Client den Aufruf aus und gibt das Ergebnis zurück.
Der Vorteil ist die Unabhängigkeit von einem einzelnen Client. Derselbe Server kann mit Claude Desktop, Claude Code, Cursor, Windsurf und anderen kompatiblen Anwendungen arbeiten. Dennoch müssen Transport, Autorisierung und unterstützte Funktionen geprüft werden. Das Protokoll verringert die gesonderte Integrationsarbeit je Anwendung, ersetzt aber nicht die Einrichtung der Verbindung.
Zu einer Mailplattform passt dieses Prinzip gut: Viele Vorgänge sind bereits über eine API zugänglich. Der MCP-Server beschreibt sie als Werkzeuge über der REST-API. Einschränkungen hängen deshalb nicht allein vom Agenten ab. API, Server und Client-Integration müssen sie durchsetzen.
Was ein Agent über den MCP-Server tun kann
Die im Ausgangstext beschriebene Version stellt mehr als 200 Werkzeuge bereit, ungefähr in diesen Gruppen. Welche tatsächlich verfügbar sind, hängt von Version, Konfiguration, Berechtigungen und Tarif ab:
| Bereich | Beispiele |
|---|---|
| Domains und DNS | Domains hinzufügen, benötigte Einträge abrufen, DNS-Prüfungen starten, DNS über Cloudflare konfigurieren und die DKIM-Einrichtung erneut anstoßen |
| Postfächer | Anlegen, auflisten, ändern, pausieren, Passwörter wechseln, Aliasse und Weiterleitungen verwalten und aus dem Papierkorb wiederherstellen |
| Nachrichten | Lesen, suchen, senden, antworten, weiterleiten, Entwürfe erstellen, Versand planen, verschieben, markieren und als Spam oder als kein Spam melden |
| Ordner und Regeln | Ordner anlegen und umbenennen, Filter verwalten, Sieve-Code hochladen und automatische Antworten einrichten |
| Kontakte und Kalender | Kontakte und Gruppen anlegen und ändern, importieren und exportieren sowie Termine anlegen und ändern |
| Drive | Durchsuchen, hochladen, verschieben, freigeben, Sammelaktionen ausführen und Passwörter für Synchronisationsgeräte verwalten |
| Migration | Verbindungen testen, Importe starten, Fortschritt je Ordner verfolgen, abbrechen und erneut versuchen |
| Zustellbarkeit | Übersichten zu Versand und Zustellung abrufen sowie Rückläufer je Empfänger mit der SMTP-Antwort des empfangenden Servers |
| Markenauftritt | White-Label-Einstellungen je Domain verwalten, benötigte CNAME-Einträge abrufen und DNS prüfen |
| Support und Abrechnung | Tickets, Rechnungen und Tarifstatus abrufen |
Einige Werkzeuge vermeiden die Weitergabe von Geheimnissen an das Modell. Die Einstellungen eines Mailclients lassen sich strukturiert abrufen: Server, Ports und Benutzernamen für Outlook, ohne das Postfachpasswort. Auch Konfigurationsprofile für Apple Mail sind verfügbar. Der Agent kann Beschäftigten bei der Einrichtung helfen, ohne das Passwort zu kennen. Andere Werkzeuge können Zugangsdaten verarbeiten. Prüfen Sie deren Berechtigungen und Antworten gesondert.
Warum es getrennte Tokens gibt
Bei statischen Tokens ist eine wichtige Entscheidung, den Infrastrukturzugriff vom Zugriff auf Nachrichteninhalte zu trennen. Bei OAuth-Verbindungen sind zusätzlich die bei der Autorisierung erteilten Berechtigungen maßgeblich.
Verwaltungstoken (tm_live_) | Nachrichtentoken (tm_msg_) | |
|---|---|---|
| Zugriff | Domains, Postfächer, DNS, Weiterleitungen, Abrechnung und Migrationen innerhalb der erteilten Berechtigungen | Nachrichteninhalte, Ordner, Anhänge, Kontakte und Kalender innerhalb der erteilten Berechtigungen |
| Erlaubt nicht direkt | Nachrichteninhalte über die Nachrichten-API lesen | Postfächer anlegen oder DNS ändern |
| Typischer Einsatz | Bereitstellungsskript oder Verwaltungsassistent | Assistent zum Sortieren des Posteingangs |
Die Trennung begrenzt den möglichen Schaden. Eine Automatisierung, die Postfächer für neue Beschäftigte anlegt, muss deren E-Mails nicht lesen. Ein Assistent, der Antworten vorbereitet, muss keine Domain löschen können. Umfassende Verwaltungsrechte für Nachrichtentokens, Passwörter oder Weiterleitungen können jedoch einen indirekten Zugriff auf E-Mails eröffnen. Begrenzen Sie die tatsächlichen Befugnisse, nicht nur den Tokentyp.
Ein offengelegtes Verwaltungstoken bleibt daher ein schwerwiegender Vorfall. Es liest Nachrichteninhalte nicht unmittelbar, aber die Folgen hängen davon ab, was es ändern oder anlegen darf.
Grobe und feingranulare Berechtigungen
Innerhalb jedes Tokentyps schränken Berechtigungen den Zugriff weiter ein. OAuth verbindet verständliche Berechtigungsgruppen mit genaueren Prüfungen in der API.
Das ursprüngliche Schema zeigte im Zustimmungsdialog fünf grobe Berechtigungsgruppen: mail:read, mail:write, mail:admin, messages:read und messages:send. Eine kurze Liste lässt sich leichter beurteilen als Dutzende Einzelpunkte. Inzwischen gibt es weitere Berechtigungen. Lesen Sie deshalb den tatsächlich angezeigten Dialog: Entwürfe verwalten und Nachrichten senden sind beispielsweise unterschiedliche Fähigkeiten.
Die API prüft feingranulare Berechtigungen für den jeweiligen Vorgang. Weiterleitungseinstellungen lesen und ändern erfordert etwa unterschiedliche Befugnisse. Verständliche Gruppen bei der Freigabe dürfen die genaue Prüfung bei der Ausführung nicht ersetzen.
Die Berechtigungen hängen außerdem vom Tarif und dem aktuellen Leistungsumfang des Kontos ab. Im Ausgangstext ist Nano auf die Adressprüfung beschränkt, Starter bietet Lesezugriff und Adressprüfung, Pro und Agency erlauben mehr Vorgänge. Die aktuellen Berechtigungen können weitere Funktionen einschließen, etwa für Drive oder separat gebuchte Dienste. Prüfen Sie beim Ausstellen des Tokens die verfügbaren Rechte statt nur den Tarifnamen.
Praktische Regel: Stellen Sie für jede Automatisierung ein eigenes Token mit den minimal erforderlichen Berechtigungen aus. Verwenden Sie es nicht für unterschiedliche Aufgaben. Ein Token für mehrere Skripte vereint deren Befugnisse und erschwert die Zuordnung einer Aktion zum verantwortlichen Skript. Einzelheiten unter API-Berechtigungen und Scopes.
Destruktive Aktionen bestätigen
Eine selbstsichere Modellantwort bedeutet nicht, dass die richtige Ressource gewählt wurde. Gerade beim Löschen ist es gefährlich, darauf zu vertrauen.
Zum Löschen eines Postfachs erstellt der erste Aufruf eine Löschabsicht, die noch nichts löscht. Sie beschreibt, was nach einer Bestätigung geschehen würde, und liefert Angaben zur Ressource und zu Risiken, einschließlich verknüpfter Einstellungen und aktiver Migrationen. Standardmäßig läuft sie nach zehn Minuten ab. Übertragen Sie dieses Verfahren nicht ungeprüft auf Domains: Für deren Löschung gilt ein anderer Ablauf.
Der nächste Aufruf bestätigt die Löschabsicht und verlangt einen ausdrücklichen Bestätigungsheader. Die Folgen zwischendurch zu prüfen ist hilfreich, garantiert aber keinen Schutz. Ein Agent mit beiden Werkzeugen kann beide Schritte ausführen. Soll ein Mensch zustimmen, richten Sie eine separate Freigabe ein und beschränken Sie den Zugriff auf die Bestätigung.
Das gelöschte Postfach landet zunächst im Papierkorb. Es lässt sich während der Aufbewahrungsfrist wiederherstellen, nicht jedoch nach der endgültigen Bereinigung. Für Domains gibt es keinen entsprechenden Papierkorb. Die API lehnt die Löschung von Domains mit aktiven Postfächern ab und verlangt, Verbindungen zu Alias-Domains zuvor aufzulösen. Eine Kontolöschung hat eigene Folgen und wird durch das Postfachverfahren nicht rückgängig machbar.
Für Versand und Migrationen gelten eigene Einschränkungen. Einzelheiten unter Schutzvorkehrungen und Löschabsichten.
Idempotenz bei wiederholten Anfragen
Nach einer Zeitüberschreitung kann der Agent die Anfrage wiederholen, wie jeder andere Client. War der Vorgang bereits erfolgreich und ging nur die Antwort verloren, kann ein unbedachter Wiederholungsversuch die Ressource erneut anlegen.
Bei den entsprechenden schreibenden Vorgängen verwendet die API einen Idempotenzschlüssel. Wiederholen Sie dieselbe Anfrage mit demselben Schlüssel, solange das Ergebnis gespeichert ist. Dann kann die API die gespeicherte Antwort zurückgeben, statt den Vorgang erneut auszuführen. Andere Daten mit demselben Schlüssel führen zu einem Konflikt. Das Verfahren ist keine zeitlich unbegrenzte Garantie gegen Duplikate. Es ist beim Anlegen von Postfächern ebenso wichtig wie beim Versand: Eine doppelt versandte Nachricht wirkt beim Kunden wenig professionell.
Limits können je Token, Konto oder Postfach gelten. Bei einer Ablehnung wegen eines Limits sollte der Client Retry-After beachten und warten. Destruktive Vorgänge werden strenger begrenzt. Das bremst eine fehlerhafte Schleife, macht den Schaden bereits ausgeführter Aktionen aber nicht rückgängig.
Wozu das Audit-Protokoll dient
Im Dashboard sind Audit-Ereignisse mit Token, Vorgang, Ressource und Zeitpunkt sichtbar. Die Aufbewahrungsfrist beträgt standardmäßig 90 Tage. Daraus folgt nicht, dass jeder Aufruf erfasst wird: Die Abdeckung hängt vom Vorgang und der Konfiguration ab. Lesezugriffe auf Nachrichten können stichprobenartig protokolliert werden.
Das Protokoll dient nicht nur der Berichterstattung. Es hilft, Aktionen nachzuvollziehen, wenn Sie den Agenten nicht ständig beobachten können. Etwa um herauszufinden, wer eine Weiterleitung an eine unbekannte Adresse eingerichtet hat. Es ersetzt aber keine Zugriffsbeschränkung und enthält nicht unbedingt genug Informationen für jede Frage.
Es hilft auch, unerwartete Tokenaktivität zu erkennen. Der Widerruf eines einzelnen Tokens begrenzt künftige Aufrufe dieser Automatisierung. Bereits ausgeführte Aktionen und andere weiterhin gültige Zugangsdaten müssen Sie gesondert prüfen.
Sinnvolle Automatisierungen
Die nützlichsten Aufgaben sind oft unspektakulär.
Eintritt und Austritt von Beschäftigten.Neue Beschäftigte brauchen ein Postfach, Aliasse, Gruppen und Einrichtungsanweisungen. Bei einem Austritt müssen Zugriffe entzogen sowie Weiterleitung und Archivierung geklärt werden. Automatisierung hilft, eine Checkliste konsequent abzuarbeiten. Das Ergebnis muss trotzdem geprüft werden. Eine stets korrekte Ausführung ist nicht garantiert.
Kundendomains für eine Agentur bereitstellen.Domain hinzufügen, DNS konfigurieren, Postfächer anlegen, prüfen und Bericht erstellen. Wiederkehrende Einrichtungsschritte eignen sich für Automatisierung innerhalb der vereinbarten Berechtigungen.
Zustellbarkeit überwachen.Rückläufer mit der SMTP-Antwort des empfangenden Servers abrufen, Ursachen gruppieren und wahrscheinliche Konfigurationsfehler hervorheben. Eine wöchentliche Übersicht kann Probleme mit einem SPF-Eintrag sichtbar machen, garantiert aber nicht, dass alle Zustellfehler erkannt werden.
Migrationen beaufsichtigen.Einen Stapel starten, Fortschritt je Ordner verfolgen, Fehler prüfen und einen Abgleichbericht erstellen. Ein abgeschlossener Auftrag beweist keine vollständige Kopie; siehe Postfachmigration per CSV.
Posteingang mit reinem Lesezugriff sichten.Der Agent kann Nachrichten zusammenfassen und Kategorien vorschlagen. Mit diesem Token kann er nichts senden, aber auch Markierungen nicht ohne Schreibrecht ändern. Zum Anwenden von Kategorien und Markierungen erteilen Sie nur die nötigen Rechte, ohne Versandberechtigung.
Was Sie vermeiden sollten
Erteilen Sie einem Token nicht sämtliche Berechtigungen, nur um die Einrichtung zu vereinfachen. Es könnte Jahre später noch mit übermäßigen Befugnissen aktiv sein.
Lassen Sie den Agenten nicht unbeaufsichtigt an externe Empfänger senden, bevor Sie die Qualität seiner Entwürfe beurteilt haben. Entwürfe vorbereiten und Nachrichten senden erfordert unterschiedliche Rechte, auch wenn manche groben Gruppen beides enthalten können. Prüfen Sie die tatsächlich erteilten Berechtigungen.
Speichern Sie Tokens nicht im Repository.Verwenden Sie Umgebungsvariablen oder einen Secret-Manager, dessen Inhalte nicht in Git landen. Prüfen Sie auch, ob Geheimnisse in Protokollen oder Werkzeugantworten erscheinen.
Ignorieren Sie das Audit-Protokoll nicht.Sehen Sie es sich in der ersten Woche an. Vergleichen Sie die Ereignisse mit den erwarteten Aktionen und klären Sie, welche Vorgänge nicht erfasst werden.
Automatisieren Sie keine Domainlöschung.Domains haben keinen Papierkorb. Hier sollte ein Mensch die Ressource und die Folgen prüfen, statt lediglich die Bestätigung des Modells zu wiederholen.
Häufige Fragen
Welche KI-Clients funktionieren mit dem MCP-Server?
MCP-kompatible Anwendungen wie Claude Desktop, Claude Code, Cursor und Windsurf. Das Protokoll erleichtert die Integration. Transport, Autorisierung, Clientversion und Verbindungseinstellungen müssen dennoch geprüft werden.
Kann der Agent meine E-Mails lesen?
Zum direkten Lesen über die Nachrichten-API braucht er ein Nachrichtentoken mit Leseberechtigung oder eine passende OAuth-Autorisierung. Ein Verwaltungstoken liest Nachrichteninhalte nicht direkt. Weitreichende Rechte zum Erstellen von Tokens, Ändern von Passwörtern oder Einrichten von Weiterleitungen können jedoch indirekten Zugriff eröffnen. Erteilen Sie sie nicht ohne Notwendigkeit.
Was verhindert die Löschung einer wichtigen Ressource?
Für Postfächer gibt es eine Löschabsicht mit standardmäßig zehn Minuten Gültigkeit und eine anschließende Bestätigung mit ausdrücklichem Header. Das Postfach ist vor der endgültigen Bereinigung aus dem Papierkorb wiederherstellbar. Das garantiert keine menschliche Prüfung. Domainlöschung funktioniert anders, hat keinen Papierkorb und sollte nicht autonom erfolgen.
Schickt der MCP-Server meine E-Mails an den KI-Anbieter?
Die vom Agenten abgerufenen Daten können dem verwendeten Modell übermittelt werden, abhängig vom Client und dessen Ausführungsort. Bei einem Cloud-Modell kann das die Übertragung an einen externen Anbieter bedeuten. Lokale Verarbeitung ist anders zu beurteilen. Begrenzen Sie den Zugriff und prüfen Sie die Datenverarbeitung sowie indirekte Zugriffswege. Ein Verbot des direkten Lesens allein garantiert keinen Schutz vor Datenabfluss.
Brauche ich für Nachrichten ein separates Token?
Statische Tokens verwenden unterschiedliche Typen für Infrastruktur und Nachrichten. Bei OAuth zählen auch die erteilten Berechtigungen und die für die Verbindung erstellten Tokens. Die Trennung senkt das Risiko, macht umfassende Verwaltungsrechte aber nicht automatisch sicher.
Was passiert, wenn ein Agent ein Limit erreicht?
Die Anfrage wird abgelehnt. Der Client sollte Retry-After beachten und später erneut anfragen, sofern das sinnvoll ist. Destruktive Vorgänge haben strengere Limits. Diese garantieren jedoch nicht, dass eine fehlerhafte Schleife vor dem ersten Schaden stoppt.
Kann ich sehen, was der Agent letzte Woche getan hat?
Das Dashboard-Protokoll zeigt gespeicherte Ereignisse, Token und betroffene Ressource. Standardmäßig bleiben sie 90 Tage erhalten. Beachten Sie die Abdeckung und die stichprobenartige Erfassung mancher Lesezugriffe. Nicht jeder Aufruf muss im Protokoll stehen.
Kostet der MCP-Zugriff zusätzlich?
Im Ausgangstext sind API und MCP im Tarif enthalten: Nano dient der Adressprüfung, Starter bietet eingeschränkte Vorgänge, Pro und Agency erweitern die Möglichkeiten. Prüfen Sie die aktuellen Kontoleistungen und Berechtigungen. Zusatzdienste, verbrauchte Credits und die Nutzung eines externen Modells können gesondert berechnet werden.
