Ein persönlicher KI-Assistent kann beim Lesen einer E-Mail nicht zuverlässig unterscheiden, ob ein Text eine Information oder eine an ihn gerichtete Anweisung ist. Genau hier setzt MailGate an: Die selbst gehostete Anwendung steht als kontrollierte Grenze zwischen einem eigenen Postfach und einem Assistenten.

Der Assistent bekommt dabei weder IMAP-Zugangsdaten noch direkten Zugriff auf das Postfach. Er darf nur jene bereinigten Nachrichten lesen, die zuvor ausdrücklich freigegeben wurden.

Warum ein eigenes Sicherheitstor?

E-Mails sind fremde, grundsätzlich nicht vertrauenswürdige Daten. Sie können manipuliertes HTML, unsichtbare Unicode-Zeichen, gefährliche Anhänge oder Prompt-Injection-Versuche enthalten. Ein Assistent mit vollständigem Mailzugriff hätte außerdem viel mehr Rechte als für das Lesen ausgewählter Nachrichten notwendig sind.

MailGate versucht deshalb nicht, Sicherheit allein mit einem besonders cleveren Prompt herzustellen. Die entscheidenden Grenzen sind technisch:

  • Das Postfach wird ausschließlich über verschlüsseltes IMAP und im Nur-Lese-Modus abgefragt.
  • HTML und MIME-Inhalte werden begrenzt verarbeitet und in sicheren Text umgewandelt.
  • Externe Bilder, Skripte und Anhänge werden nicht ausgeführt oder nachgeladen.
  • Neue Nachrichten landen zunächst in der manuellen Prüfung.
  • Nur freigegebene, bereinigte Inhalte erreichen die Lese-API.
  • Senden, Antworten, Verschieben und Löschen sind über diese API nicht möglich.

Kleine Schnittstelle statt Postfach-Vollzugriff

Ein MailGate-Token besitzt genau einen festgelegten Zweck: freigegebene Nachrichten lesen. Die API stellt dafür nur drei GET-Endpunkte bereit – für die Nachrichtenliste, eine einzelne Zusammenfassung und die vorhandenen Kategorien.

Der separate API-Prozess kennt weder das Passwort des Postfachs noch die Schlüssel der Weboberfläche. Auch in PostgreSQL darf seine eigene Datenbankrolle nur auf eine speziell abgesicherte Ansicht der freigegebenen Nachrichten zugreifen. Ein Fehler in einer Anwendungsschicht soll damit nicht automatisch alle weiteren Grenzen aufheben.

Selbst gehostet und ohne Telemetrie

Jede Installation gehört genau ihrem Betreiber. MailGate benötigt keine zentrale Registrierung, führt keine gemeinsame Kundendatenbank und sendet standardmäßig keine Telemetrie. Die Referenzinstallation besteht aus getrennten Docker-Containern für Weboberfläche, Nur-Lese-API, Worker, Datenbank und Netzwerkgrenzen.

Zur Oberfläche gehören die Postfachverwaltung, Quarantäne und Freigabe, widerrufbare API-Token, ein Auditprotokoll sowie ein lokaler Angriffstest für Parser und Richtlinien. Deutsch und Englisch sind bereits enthalten.

Was der aktuelle Stand kann – und was noch fehlt

MailGate steht derzeit als technischer Release Candidate 1.0.0rc1 bereit. Automatisierte Tests prüfen unter anderem Browser und Barrierefreiheit, API-Rechte, IMAP-Befehlsgrenzen, Parser, Sicherung und Wiederherstellung sowie adversariale Eingaben.

Produktionsreif nenne ich das Projekt bewusst noch nicht. Vor Version 1.0 fehlen eine unabhängige Installationsabnahme und ein vierwöchiger Pilotbetrieb mit dem isolierten Testpostfach. Aktuell muss außerdem jede neue Nachricht manuell freigegeben werden. Eine spätere automatische Freigabe wird erst aktiviert, wenn die versionierte, deterministische Regelkette im Pilotbetrieb messbar zuverlässig arbeitet.

Das ist eine wichtige Grenze: MailGate verspricht nicht, jede schädliche E-Mail oder Prompt Injection zu erkennen. Stattdessen soll selbst ein erfolgreicher Inhaltsangriff möglichst wenig bewirken können, weil der Assistent weder Schreibrechte noch Zugriff auf unbearbeitete oder quarantänisierte Nachrichten erhält.

Quellcode und Dokumentation

MailGate ist unter der GNU AGPL v3 veröffentlicht. Das Repository enthält neben dem Quellcode auch das Bedrohungsmodell, die Architektur, Betriebsanleitungen, Release-Kriterien und den lokalen Schnellstart mit Docker Compose.

Der nächste große Schritt ist der reale Pilot: nicht nur zeigen, dass MailGate technisch funktioniert, sondern über mehrere Wochen messen, wo Nachrichten falsch eingeordnet werden und welche Sicherheitsgrenzen sich im Alltag bewähren.