Agent für E-Mail-Posteingang: Sortierung und automatische Antworten

E-Mail bleibt der Standardkanal für Anfragen, Bestellungen, Reklamationen und interne Anliegen, und gemeinsame Postfächer werden von Hand sortiert. Ein LLM-Agent liest jede Nachricht, entscheidet, worum es geht und wie dringend es ist, sucht Kontext heraus, entwirft eine Antwort aus freigegebenem Wissen und leitet sie weiter oder legt sie ab. Routineklassen können automatisch beantwortet werden; alles Unklare, Sensible oder Wertvolle geht als versandfertiger Entwurf an einen Menschen. Das Ergebnis sind kürzere Antwortzeiten und weniger manuelles Sortieren.

Problem & Nutzen

• Heute: Mitarbeitende lesen jede Nachricht, leiten sie an die richtige Kollegin oder den richtigen Kollegen weiter, kopieren Daten in CRM- oder Ticketsysteme und schreiben nahezu gleiche Antworten. Gemeinsame Postfächer leiden unter unklarer Zuständigkeit, doppelter Bearbeitung und übersehenen dringenden Mails.
• KI-Nutzen: einheitliche Klassifizierung in jeder Sprache, sofortige Eingangsbestätigung und erste Entwürfe, Kontextabfrage (Kunde, Auftrag, Vertrag), automatische Ablage sowie die Trennung von Spam und Phishing.
• Nutzenbelege: Das McKinsey Global Institute schätzte, dass Wissensarbeiter („Interaktionsarbeiter") etwa 28 % der Arbeitswoche mit E-Mail verbringen [1]. Diese Zahl stammt aus dem Jahr 2012; verstehen Sie sie als Größenordnung, nicht als Prognose für Ihr Team. Messen Sie Ihre eigene Ausgangslage (siehe Kennzahlen).

Varianten

• Gemeinsames Funktionspostfach (KMU): info@, service@, bookings@ mit Antworten im FAQ-Stil und Weiterleitung.
• Eingang im Backoffice: Bestellungen, Rechnungen, Bewerbungen und Schadenmeldungen werden erkannt und an spezialisierte Verarbeitungsstrecken (AGENT-004, DOC-008) übergeben, statt beantwortet zu werden.

So funktioniert es

1. Postfach-Ereignis (Microsoft-Graph-Webhook / Gmail Push / IMAP IDLE)
2. Vorfilter (Spam, Phishing, Auto-Antworten, Schleifen, internes Rauschen) [SEC-002]
3. bereinigen (HTML/versteckten Text, Zitatketten, Signaturen entfernen; bei Bedarf PII maskieren)
4. klassifizieren (Absicht, Thema, Sprache, Dringlichkeit, Stimmung, Absendertyp)
5. anreichern (CRM-/ERP-/Ticket-Abfrage, Verlauf der Konversation, Kalender)
6. Richtlinie festlegen: automatisch antworten | Entwurf zur Prüfung | nur weiterleiten | eskalieren | ignorieren
7. Antwort erzeugen mit Abruf aus freigegebenem Wissen (RAG), interne Quelle nennen
8. Leitplanken (keine Zusagen/Preise/Rechtsaussagen außerhalb der Positivliste, Tonalität, Sprache, Prüfung auf PII-Abfluss)
9. Ausführung mit Werkzeugen minimaler Berechtigung (Entwurf, beschriften, verschieben, Ticket anlegen, senden)
10. Entscheidung + Begründung protokollieren; aus menschlichen Korrekturen lernen

• Klassifizierung: Ein kleines LLM oder ein feinabgestimmter Encoder genügt meist und ist günstig; ein größeres Modell wird nur für das Entwerfen oder schwierige Fälle aufgerufen. Liegt die Sicherheit unter einem Schwellenwert, übernimmt ein Mensch die Weiterleitung.
• Entwerfen: Abruf aus FAQs, Produktunterlagen, Richtlinien und früher freigegebenen Antworten; der Agent soll „Ich weiß es nicht" sagen und eskalieren, statt zu improvisieren.
• Autonomiestufen: (1) nur beschriften und sortieren, (2) Entwurf im Postfach, (3) automatischer Versand für eine kleine Positivliste risikoarmer Klassen (Eingangsbestätigungen, Öffnungszeiten, Statusabfragen), (4) weitergehende Autonomie erst nach gemessener Qualität. Der Versand nutzt stets eine Positivliste für Empfänger und Mengenbegrenzungen.
• Mensch-in-der-Schleife (Human-in-the-Loop): Beschwerden, rechtliche Drohungen, finanzielle Zusagen, Gesundheits- oder Personalthemen, wichtige Absender (VIP), alles mit geringer Sicherheit sowie alle externen Erstkontakt-Antworten in der Pilotphase.

Datenaufbereitung

Der Agent braucht drei Arten von Daten: die eingehenden Mails selbst (gemeinsame Postfächer wie info@, support@, orders@, meist Exchange/M365 oder IMAP), das Antwortwissen (FAQs, Produktblätter, Preislisten, Richtlinien, frühere beantwortete Mails, oft verstreut auf Dateiablagen, im DMS und in einzelnen Outlook-Ordnern) und den Absenderkontext (CRM, Ticketsystem, ERP). Typische Lücken sind veraltete oder widersprüchliche FAQs, Wissen, das nur in den Köpfen langjähriger Mitarbeitender existiert, Anhänge als Scans oder Fotos, doppelte Verläufe, fehlende abgestimmte Kategorien und gemeinsame Postfächer mit unklaren Zugriffsrechten.

Konkrete Schritte: (1) zuerst 8-15 Kategorien und eine Eskalationsmatrix festlegen (PREP-019); (2) 500-1.000 historische Mails exportieren und eine Stichprobe von zwei Mitarbeitenden als Testdatensatz kennzeichnen lassen (PREP-018, PREP-020); (3) die freigegebene Antwortbasis pflegen und alte Versionen aussondern (PREP-013); (4) Anhänge per OCR erfassen (PREP-006); (5) Exporte für Tests pseudonymisieren (PREP-022) und Postfachberechtigungen prüfen (PREP-023). Werkzeuge: Paperless-ngx oder ein OCR-Dienst, eine Tabelle zum Kennzeichnen, n8n für Exportaufträge. Rechnen Sie damit, dass etwa 30-40 % des Gesamtaufwands in die Aufbereitung von Daten und Wissen fließen, vor allem in die Wissenspflege. Siehe auch GUIDE-003.

Umsetzungswege

Welcher Weg für wen

• KMU: B. Postfach, CRM und ERP-Kontext müssen verbunden werden, und kein Standardprodukt deckt einen typischen Mix gemeinsamer Postfächer ab; ein schlanker Workflow auf Cloud-KI-Diensten mit menschlicher Freigabe passt.
• Großunternehmen: B. Der Posteingang ist ein zentraler Kundenprozess mit hohem Volumen, daher sollten API-Kosten, Weiterleitungslogik und Prüfspur unter eigener Kontrolle sein, idealerweise auf einer gemeinsamen internen KI-Plattform.
• Entwickler: C. Offene kleine Modelle plus Vektordatenbank halten Nachrichteninhalte im Haus und sind günstig zu iterieren.
• Öffentlicher Sektor: C. Bürgerkorrespondenz ist sensibel, und die Beschaffung bevorzugt souveränes Hosting, daher ist ein selbst betriebener Stack in einer Verwaltungscloud der sicherere Standard.

Weg A — Kaufen (Standardsoftware)

• Im Postfach integrierte Assistenten: Microsoft 365 Copilot in Outlook (Zusammenfassungen, Entwürfe und in der Frontier-Vorschau 2026 Posteingangsaktionen und Regeln aus dem Chat [2]) sowie Gemini in Gmail / Google Workspace. Gut für die persönliche Produktivität; begrenzt für die Weiterleitung gemeinsamer Postfächer mit Geschäftslogik.
• E-Mail-Automatisierung im Kundenservice: Zendesk, Freshdesk, Intercom (Fin), Salesforce Agentforce Service sowie europäische Anbieter wie Parloa, Userlike, Cognigy (NiCE), Werkzeuge der Klasse Ada. Wählen Sie solche mit EU-Hosting und AVV.
• E-Mail-zentrierte Werkzeuge: Superhuman, Shortwave; aus der EU: Missive (gemeinsamer Posteingang mit KI). Prüfen Sie Datenspeicherort und Opt-out vom Training.
• Wählen Sie A, wenn: der Kanal Standard-Kundenservice oder ein persönlicher Posteingang ist und der Anbieter sich an Ihr Ticket-/CRM-System anbindet.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Postfachzugriff: Microsoft Graph Mail API (Änderungsbenachrichtigungen, Entwürfe, Kategorien) [3] oder Gmail API mit Push-Benachrichtigungen [4]; IMAP für andere. Verwenden Sie reine App-Berechtigungen oder delegierte Berechtigungen, beschränkt auf bestimmte Postfächer (Exchange Application Access Policies).
• Modelle: Optionen mit EU-Hosting wie Mistral (Mistral Small/Medium über La Plateforme, EU-Anbieter), Azure OpenAI in einer EU-Datenzone, Claude über AWS Bedrock oder Google Vertex AI in EU-Regionen, Gemini auf Vertex AI (EU). Nutzen Sie eine kleine, schnelle Stufe für die Klassifizierung und eine größere für das Entwerfen; strukturierte Ausgaben für den Entscheidungsdatensatz.
• Orchestrierung: n8n (deutscher Ursprung, selbst betreibbar), Power Automate, Make oder Code mit einem Agenten-Framework (LangGraph, Microsoft Agent Framework, OpenAI Agents SDK, Claude Agent SDK). Werkzeuge über MCP oder direkte APIs, wobei Schreibaktionen auf Entwürfe/Beschriftungen/Tickets beschränkt bleiben, solange der automatische Versand nicht aktiviert ist.
• Wählen Sie B, wenn: Sie eine eigene Weiterleitung, ERP-/CRM-Kontext und Kontrolle über die Autonomiestufen brauchen.

Weg C — Selbst betreiben (Open Source)

• Modelle: offene Instruct-Modelle wie Mistral Small, Qwen3, Llama 3.x oder Modelle der Klasse gpt-oss; kleine Encoder (mehrsprachiges BERT, bge-m3-Embeddings) für Klassifizierung und Abruf.
• Stack: n8n, Ollama oder vLLM, Qdrant/pgvector, Zammad (deutsches Open-Source-Helpdesk).
• Hardware: HW2 bewältigt Tausende Mails pro Tag mit einem quantisierten Modell von etwa 14-30B; reine Klassifizierung passt auf HW1. Betriebsaufwand: Modellupdates, Überwachung, Pflege des Testdatensatzes.
• Wählen Sie C, wenn: Mailinhalte hochsensibel sind (Recht, Gesundheit, Behörden) oder Daten das Haus nicht verlassen dürfen.

Weg D — Eigenes Training

Nur bei hohem Volumen: Feintuning eines kleinen Encoders oder LLM auf einigen tausend gekennzeichneten Mails (die Korrekturen der Prüfenden sind die Daten).

Stand der Technik (2026)

• Agentische Postfachfunktionen sind inzwischen in die großen Suiten eingebaut: Zusammenfassungen, Entwürfe, Regelerstellung und mehrstufige Aktionen aus dem Chat in Outlook und Gmail. Details und Voreinstellungen unterscheiden sich je nach Tenant und Rollout-Ring, prüfen Sie daher die Dokumentation des Anbieters [2].
• Günstige Weiterleitungsmodelle machen die Klassifizierung wirtschaftlich; die Schwierigkeit liegt in der Bewertung. Führen Sie einen gekennzeichneten Testdatensatz mit echten Mails und lassen Sie ihn bei jeder Änderung von Prompt oder Modell erneut laufen.
• Prompt Injection ist das zentrale Sicherheitsrisiko. E-Mail ist nicht vertrauenswürdige Eingabe, die ein Agent mit Werkzeugen liest; versteckter Text oder gezielt gestaltete Nachrichten können versuchen, ihn zur Weitergabe von Daten, zum Versand von Mails oder zur Änderung von Regeln zu bewegen (OWASP LLM01 Prompt Injection, LLM06 Excessive Agency [5]). Gegenmaßnahmen: Lesen und Handeln trennen, keine autonome Weiterleitung und kein externer Versand abgerufener Daten, Tokens mit minimalen Rechten, menschliche Freigabe für Aktionen mit Folgen, Ausgabefilter und Mailinhalte als Daten behandeln, nicht als Anweisungen.
• Grenzen: rechtliche Feinheiten in Beschwerden, lange Verläufe, erfundene Zusagen (Preise, Termine), Antwortschleifen mit anderen Autoresponder-Systemen.

Gemeinsame Bausteine & Kombinationen

• Gleiche Bausteine (llm-small + text-classifier + RAG): LANG-012 allgemeine Textweiterleitung, LANG-002 Entwurf von Korrespondenz, DOC-008 Klassifizierung in der Poststelle, Agenten zur Ticketlösung.
• Nachgelagerte spezialisierte Agenten: AGENT-004 (Bestellungen aus E-Mails), DOC-001 (per Mail eingehende Rechnungen), AGENT-012 (Terminantworten), AGENT-002 (Workflow-Engine wiederverwendet).
• Sicherheit: Die Phishing-Erkennung SEC-002 läuft vor dem Agenten; Quarantäne und Meldeweg werden gemeinsam genutzt.

Aufwand, Kosten & Kennzahlen

• Aufwand: A Tage bis Wochen (Preis pro Nutzer oder pro Lösung); B 4-10 Wochen für einen Piloten; C 2-4 Monate plus Betrieb. Messen Sie die Token-Kosten pro Mail.
• Kennzahlen: Zeit bis zur ersten Antwort, Zeit bis zur richtigen Zuständigkeit, Anteil automatisch bearbeiteter vs. entworfener vs. eskalierter Mails, Annahmequote der Entwürfe und Änderungsumfang, Quote falscher Weiterleitungen, Kundenzufriedenheit, Fehlversand- Vorfälle (Ziel: null) und blockierte Sicherheitsereignisse.

Menschen & Veränderung

Binden Sie zuerst Geschäftsführung und die Verantwortlichen für das Postfach (Abteilungsleitung) ein, um den Umfang festzulegen und die Regel, dass anfangs nichts ohne Freigabe das Haus verlässt. IT und IT-Sicherheit richten Postfachzugriff, Dienstkonten und Schutz vor Prompt Injection ein; die oder der Datenschutzbeauftragte wird früh gebraucht, weil Mails personenbezogene Daten enthalten, sodass ein AVV mit jedem Modellanbieter und eine Prüfung der DSFA erforderlich sind (systematische Verarbeitung von Korrespondenz in großem Umfang; siehe GUIDE-005).

Betriebsrat: in der Praxis ja. Das System liest und protokolliert Mailverkehr und Bearbeitungszeiten und ist damit objektiv geeignet, Verhalten oder Leistung zu überwachen (§87(1) Nr. 6 BetrVG, BAG); §90(1) Nr. 3 verlangt die rechtzeitige Unterrichtung über KI-geplante Arbeitsabläufe, und der Betriebsrat kann nach §80(3) einen Sachverständigen hinzuziehen. Schließen Sie eine Betriebsvereinbarung, die eine individuelle Leistungsbewertung ausschließt (GUIDE-004). Im öffentlichen Dienst gilt der Personalrat.

Beginnen Sie mit einer Pilotgruppe von 3-5 Postfachnutzenden, die zugleich als KI-Botschafter wirken. Typische Sorgen sind Arbeitsplatzverlust, falsche Antworten und Überwachung; begegnen Sie ihnen mit dem Modus „nur Entwürfe", sichtbaren Sicherheitsanzeigen, einfacher Übersteuerung und transparenten Protokollen. Maßnahmen zur KI-Kompetenz (Grundlagen des Promptens, Erkennen von Halluzinationen, Umgang mit eingeschleusten Inhalten) gehören in die Einführung (GUIDE-006, GUIDE-008). Die Menschen behalten die Kontrolle: Freigabeschritte für jede neue Antwortklasse, regelmäßige Stichprobenprüfungen und ein Notausschalter.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): in der Regel begrenztes Risiko. Antwortet der Agent Personen, müssen diese darüber informiert werden, dass sie mit einem KI-System interagieren, sofern dies nicht offensichtlich ist (Art. 50(1)); KI-erzeugte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, unterliegen gesonderten Kennzeichnungsregeln. Standardmäßig kein Hochrisiko, wird aber zum Hochrisiko-System, wenn dasselbe System z. B. zur Priorisierung von Notfall- oder Grundversorgungsanfragen oder zur Bewertung von Bewerbenden genutzt wird (Anhang III). Art. 4 KI-Kompetenz gilt für die Beschäftigten [6]. Art. 5: Nutzen Sie den Agenten nicht zur Emotionserkennung in den Mails von Beschäftigten.
• DSGVO: Postfächer enthalten personenbezogene Daten und teils besondere Kategorien (Art. 9). Nötig sind eine Rechtsgrundlage, ein Auftragsverarbeitungsvertrag, Datenspeicherung in der EU oder ein Übermittlungsmechanismus, Datenminimierung (vor dem Senden an ein Modell möglichst maskieren), Löschfristen und eine Datenschutz-Folgenabschätzung (DSFA) bei breitem Einsatz. Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22) sind zu vermeiden oder abzusichern [7].
• Gegenmaßnahmen: Positivlisten, standardmäßig Entwurf, Mengenbegrenzungen, Prüfprotokoll, Notausschalter, Stichproben automatisch versendeter Mails.

Erste Schritte

1. Exportieren Sie 500-1000 aktuelle Mails aus einem gemeinsamen Postfach, anonymisieren Sie sie, kennzeichnen Sie sie nach Kategorie/Zuständigkeit und messen Sie die Ausgangslage.
2. Starten Sie auf Autonomiestufe 1-2: nur klassifizieren, beschriften und entwerfen; kein automatischer Versand.
3. Bauen Sie den Testdatensatz auf und vergleichen Sie 2-3 Modelle (ein kleines mit EU-Hosting gegen ein größeres).
4. Ergänzen Sie den Abruf aus freigegebenen FAQs; aktivieren Sie die automatische Antwort für 1-2 triviale Klassen mit einer Positivliste für den Versand.
5. Schließen Sie AVV/DSFA, Betriebsvereinbarung und Prompt-Injection-Tests ab; prüfen Sie die Kennzahlen wöchentlich, bevor Sie den Umfang erweitern.

Quellen

1. McKinsey Global Institute — The social economy (2012) — https://www.mckinsey.com/industries/technology-media-and-telecommunications/our-insights/the-social-economy
2. Microsoft 365 message center MC1293485 — Copilot in Outlook inbox management (Frontier) — https://www.itelio.com/en/microsoft-message-center/MC1293485
3. Microsoft Graph — Outlook mail API overview — https://learn.microsoft.com/graph/outlook-mail-concept-overview
4. Google — Gmail API push notifications — https://developers.google.com/gmail/api/guides/push
5. OWASP — Top 10 for LLM Applications — https://genai.owasp.org/llm-top-10/
6. Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj
7. Regulation (EU) 2016/679 (GDPR), Art. 22 — https://eur-lex.europa.eu/eli/reg/2016/679/oj
8. n8n — workflow automation (self-hostable) — https://github.com/n8n-io/n8n
9. Zammad — open-source helpdesk — https://github.com/zammad/zammad