Sicherheitsmodell: delegierte Rechte statt Sammel-Account.
KI-Zugriff auf Microsoft-Exchange-Postfächer, ohne das Rechtekonzept zu verbiegen: jeder Nutzer nur mit seinen eigenen Berechtigungen, Postfachinhalte standardmäßig ohne Speicherung durchgereicht, gehostet in Deutschland, mit AVV ab dem ersten Tag.
Sechs Prinzipien, die den Unterschied machen
Dieselben Zusagen stehen verbindlich im Auftragsverarbeitungsvertrag (Anlagen 1 und 2) - hier die verständliche Fassung.
Delegierte Rechte statt Sammel-Account
Jeder Mitarbeiter greift mit seinen eigenen, bestehenden Exchange-Berechtigungen zu. Es gibt kein zentrales Dienstkonto mit Zugriff auf alle Postfächer und keine Application Impersonation - der klassische „General-Schlüssel" existiert bei Postfach-KI schlicht nicht.
Zwischenspeicher: standardmäßig aus
Postfachinhalte speichern wir standardmäßig nicht, sie laufen nur durch. Dauerhaft liegen bei uns verschlüsselte Zugangsdaten und technische Metadaten (wer, wann, welche Funktion). Wenn Sie wollen, schalten Sie je Organisation einen verschlüsselten Zwischenspeicher ein: umgewandelte Mailtexte und Text aus Anhängen, voreingestellt 7 Tage lang und höchstens 32 MB je Postfach. Im Portal schalten Sie ihn jederzeit wieder aus, und Mail ab einer von Ihnen gesetzten Vertraulichkeitsstufe bleibt außen vor.
Verschlüsselter Zugangsdaten-Tresor
Exchange-Zugangsdaten liegen RSA-4096-verschlüsselt in einem Vault in Deutschland. Cross-User-Isolation: niemand sieht das Postfach eines anderen.
Mandantentrennung
Pro Organisation läuft eine dedizierte, gehärtete Instanz mit eigener Konfiguration und eigenem Datenbestand - keine geteilte Umgebung mit anderen Kunden.
Datenstandort Deutschland
Verarbeitung ausschließlich in einem deutschen Rechenzentrum (ISO-27001-zertifizierter Betreiber). Auf Wunsch bleibt mit einem lokalen KI-Modell sogar die gesamte Verarbeitung im Haus.
Grenzen, die Ihr Administrator selbst setzt
Im Portal legt der Administrator Ihrer Organisation fest, was erlaubt ist: je Bereich (E-Mail, Kalender, Kontakte, Aufgaben, Ordner, Regeln) und je Art des Zugriffs (lesen, schreiben, senden, löschen), für die ganze Organisation, für einzelne Gruppen oder für einzelne Nutzer. Was nicht freigegeben ist, weist der Server ab. Dazu kommt ein Kontingent, wie viele Empfänger ein Nutzer pro Stunde anschreiben darf (voreingestellt 100), und ein Not-Aus, der jeden weiteren Zugriff sperrt, sofort und ohne Neustart. Sicherheitsrelevante Ereignisse werden ohne Inhalte auditiert.
Was passiert mit einer Anfrage?
Ihr KI-Assistent stellt eine Anfrage an Postfach-KI. Unser Server in Deutschland (bei der self-hosted-Lizenz Ihr eigener Server) holt die angefragten Daten mit den Rechten des jeweiligen Nutzers aus Ihrem Exchange und reicht sie an den von Ihnen gewählten Assistenten durch, wie ein transparenter Proxy, mit TLS-Verschlüsselung auf allen Strecken. Danach ist der Vorgang für uns beendet, standardmäßig bleibt keine Kopie und kein Inhalts-Log zurück. Erst wenn Sie den Zwischenspeicher einschalten, halten wir Mailtexte für die eingestellte Frist verschlüsselt vor. Ihre Postfächer bleiben zu jedem Zeitpunkt in Ihrem Exchange. Welches KI-Modell die Inhalte verarbeitet, entscheiden Sie, bis hin zum komplett lokal betriebenen Modell.
OWASP Top 10 for LLM Applications 2025, Punkt für Punkt beantwortet
Jeder Punkt der Liste bekommt eine eigene Karte, auch die, die wir nur halb abdecken. Wo etwas fehlt, steht es dabei. Ein Mechanismus ohne Beleg im Code zählt für uns nicht als Mechanismus.
Geprüft gegen die Fassung 2025 der Liste. Erscheint eine neue Fassung, gilt dieser Stand bis zu seiner Neuausgabe. Die eigene Liste von OWASP zu Bedrohungen agentischer Systeme ist hier nicht Gegenstand.
LLM01:2025 Prompt Injection
Lesende Funktionen kennzeichnen ihr Ergebnis als fremden Inhalt, mit dem ausdrücklichen Hinweis, dass es Datenmaterial ist und keine Anweisung. Ein Musterscan stuft den Inhalt ein und zählt Treffer.
Der Scan kennzeichnet und zählt, er entfernt nichts. In der von uns gehosteten Instanz fehlt außerdem die Bestätigung im zweiten Aufruf als letzte Bremse vor dem Versand.
LLM02:2025 Sensitive Information Disclosure
Exchange-Zugangsdaten liegen nur verschlüsselt und werden je Identität aufgelöst, jede mit eigenem Datenschlüssel. Protokolle schwärzen sensible Felder, maskieren Adressen und führen die Identität als Pseudonym. Postfachspiegel und Vektorspeicher entstehen nur, wenn der Betreiber sie einschaltet.
Postfachinhalt geht bestimmungsgemäß an den angebundenen KI-Client, und was dort damit geschieht, liegt außerhalb dieses Servers.
LLM03:2025 Supply Chain
Das Basisimage hängt an einer festen Prüfsumme statt an einem beweglichen Namen. Die Programmbibliotheken kommen mit Version und Prüfsumme aus einer Sperrdatei, und ein Wächter merkt, wenn jemand die Anforderungen ohne neue Sperrdatei ändert.
Eine Stückliste der Bestandteile gibt es nicht, und einen automatischen Abgleich gegen Schwachstellenmeldungen auch nicht.
LLM04:2025 Data and Model Poisoning
Wir trainieren kein Modell und geben keine Kundendaten in ein Training. Gespeicherte Daten stammen ausschließlich aus dem Postfach der jeweiligen Identität und liegen je Identität getrennt.
Eine absichtlich präparierte Mail steht im eigenen Postfach und kann eine spätere Suche färben. Eine Herkunftsbewertung einzelner Einträge gibt es nicht.
LLM05:2025 Improper Output Handling
HTML, das wieder in eine Mail eingesetzt wird, läuft durch eine Positivliste aus Tags, Attributen und Adressschemata. Datenbankzugriffe laufen über Parameter.
Im voreingestellten Leseformat geben die Funktionen das Original-HTML der Mail unverändert weiter. Gereinigt wird der Weg zurück in eine Mail, nicht der Weg heraus. Ob der angebundene Client eine Antwort als Text behandelt oder als HTML darstellt, kann dieser Server nicht bestimmen.
LLM06:2025 Excessive Agency
Zugriff nur mit geprüfter Identität und deren eigenen Exchange-Rechten, ohne Identität weist der Server ab. Kein Sammelkonto, keine Impersonation. Not-Aus und Versandgrenze halten den Versand an, ohne den Dienst neu zu starten.
Die Erlaubnismatrix je Organisation, Gruppe und Nutzer wirkt erst, wenn der Administrator sie scharf schaltet. Die Bestätigung im zweiten Aufruf vor Senden und Löschen läuft in der selbst betriebenen Installation, in der von uns gehosteten Instanz ist sie aus.
LLM07:2025 System Prompt Leakage
Der Systemtext des Servers trägt kein Geheimnis, und die Rechte hängen nicht an ihm, sondern an den Exchange-Rechten der Identität.
Der Text ist vom Betreiber überschreibbar, und was dort steht, sieht jeder angebundene Client.
LLM08:2025 Vector and Embedding Weaknesses
Jeder Zugriff auf den Vektorspeicher verlangt eine Identität und läuft gegen eine Tabelle mit erzwungener Zeilensicherheit, Schlüssel ist ein Pseudonym. Betreff, Mailtext und Text aus Anhängen kommen dort nie hinein.
Die Vektoren selbst sind nicht verschlüsselt, wer die Datenbankrolle umgeht, umgeht auch die Regel. Was in den Index einfließt, wird nicht auf untergeschobene Anweisungen geprüft.
LLM09:2025 Misinformation
Die Funktionen liefern Postfachdaten aus der Quelle, Exchange bleibt führend. Fremder Inhalt trägt eine Herkunftsmarkierung. Eine Systemkarte weist Anbieter, Modell und Ziel offen aus.
Der Server prüft keine Modellausgabe. Ob eine Zusammenfassung stimmt, misst er nicht, und einen Belegzwang je Aussage gibt es nicht.
LLM10:2025 Unbounded Consumption
Die Aufrufrate ist je Identität begrenzt, die Arbeitswarteschlange gedeckelt, die Nebenläufigkeit gegen Exchange beschränkt und der Versand je Identität und Stunde gedeckelt.
Hinter mehreren Knoten gilt die Grenze je Knoten, solange der gemeinsame Zähler nicht auf der Datenbank liegt. Die Kosten eines angebundenen Modells begrenzt dieser Server nicht.
Das vollständige Blatt nennt zu jedem Punkt den Mechanismus, das Urteil, die Einschränkung und die Stelle im Code. Wir geben es auf Anfrage heraus. Blatt anfragen
Was gegen Anweisungen im Mailtext läuft
Eine E-Mail kann Text enthalten, der wie ein Auftrag an das Modell aussieht. Drei Dinge greifen dagegen, und keines davon ist ein Filter, der alles abfängt.
Fremder Text bleibt als fremder Text erkennbar
Jedes Leseergebnis trägt den Hinweis, dass es Datenmaterial ist und keine Anweisung. Das Modell bekommt die Herkunft mitgeliefert, nicht nur den Inhalt.
Ein Musterscan mit ehrlicher Reichweite
Er erkennt heute Anweisungssätze in Deutsch und Englisch, Steuerzeichen aus Chatvorlagen, versteckten Text und unsichtbare Zeichen. Er kennzeichnet und zählt, mehr nicht. Trefferzähler und Risikostufe messen dabei verschiedene Dinge: der Zähler steigt beim ersten starken Treffer, die Stufe erst an einer eingestellten Schwelle.
Empfänger, die nur aus fremdem Text stammen
Steht eine Adresse allein in gelesenem Fremdtext, verschärft der Egress-Wächter die Rückfrage vor dem Versand. Das greift dort, wo die Bestätigung vor dem Versand läuft, also in der selbst betriebenen Installation.
Die Muster stehen nicht nur gegen selbst gedachte Fälle. Wir haben sie gegen eine öffentliche Angriffsliste eines Dritten gefahren, garak von NVIDIA mit der Sonde für indirekte Injektion aus Dokument- und Mailinhalt. Jeder Fall steht als eigener Test. Die dabei gemessenen Lücken sind als absichtlich fehlschlagende Tests festgehalten, damit ein späteres Schließen auffällt statt still zu verpuffen. Gewöhnliche Post löst keinen Fehlalarm aus, dafür stehen eigene Testanker. Den Namen des Werkzeugs nennen wir, weil eine ungenannte Liste kein Nachweis ist, sondern eine Behauptung.
Häufige Fragen
Ist der Einsatz DSGVO-konform?
Ja. Die Verarbeitung findet in Deutschland statt, ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird direkt bei der Registrierung geschlossen - inklusive dokumentierter technischer und organisatorischer Maßnahmen und Subprozessorenliste. Registrierte Nutzer finden den Vertrag jederzeit im Portal.
Warum ist ein Service-Account mit Zugriff auf alle Postfächer ein Risiko?
Ein Konto mit organisationsweitem Postfach-Zugriff ist ein einzelner Angriffspunkt: Wird es kompromittiert, sind alle Postfächer offen - und jede Aktion läuft unter derselben Identität, ohne personenbezogene Nachvollziehbarkeit. Postfach-KI verzichtet vollständig darauf.
Welche Daten speichert Postfach-KI dauerhaft?
Verschlüsselte Exchange-Zugangsdaten (RSA-4096, Vault in Deutschland), Portal-Konten (Name, geschäftliche E-Mail, Passwort-Hash) und technische Audit-Metadaten ohne Inhalte. Postfachinhalte sind standardmäßig nicht dabei, sie bleiben in Ihrem Exchange. Schalten Sie den Zwischenspeicher ein, kommen umgewandelte Mailtexte und Text aus Anhängen dazu, verschlüsselt und voreingestellt nach 7 Tagen gelöscht.
Sieht der KI-Anbieter unsere E-Mails?
Das bestimmen Sie: Sie wählen den KI-Assistenten selbst und verbinden ihn mit dem Dienst - welches Modell Inhalte verarbeitet, liegt in Ihrer Hand. Mit einem lokal betriebenen Modell (z. B. Ollama) verlässt kein Inhalt Ihre Umgebung. Eine eigene KI betreiben wir nicht.
Sicherheit, die Ihr Datenschutzbeauftragter unterschreibt.
AVV mit TOMs und Subprozessorenliste wird direkt bei der Registrierung geschlossen - und der Test läuft mit genau dem Modell, das später produktiv gilt.