Persönlicher KI-Assistent (E-Mail, Kalender, Aufgaben)

Wissensarbeiter verlieren täglich Stunden mit dem Sichten des Posteingangs, dem Hin und Her bei der Terminfindung und der Aufgabenverwaltung. Ein persönlicher Assistent verbindet ein LLM mit Post, Kalender und Aufgabenwerkzeugen der Person, fasst Wichtiges zusammen, entwirft Antworten, schlägt Terminfenster vor und legt Folgeaufgaben an. Der Nutzen ist real, das Risikoprofil aber ungewöhnlich: Der Agent liest nicht vertrauenswürdige Inhalte Dritter (eingehende Post), während er die Zugangsdaten des Nutzers hält; deshalb zählen Berechtigungsentwurf und menschliche Freigabe mehr als die Wahl des Modells.

Problem & Nutzen

• Heute: Menschen sichten täglich Dutzende bis Hunderte Nachrichten, übertragen Aufgaben von Hand, handeln Termine per E-Mail aus und bereiten Meetings vor, indem sie alte Verläufe durchsuchen. Menschliche Assistenzen lösen das nur für wenige Personen.
• KI-Nutzen: Zusammenfassungen des Posteingangs und Priorisierung, Antwortentwürfe, automatische Extraktion von Aufgaben und Fristen, Terminvorschläge, Briefings vor Terminen und Sprachzugriff unterwegs.
• Belege: Anbieter (Microsoft, Google) veröffentlichen Zeitersparnis-Angaben aus eigenen Piloten; unabhängige Langzeitmessungen sind selten. Messen Sie daher vor dem Rollout selbst mit einer Ausgangsbasis, statt den Herstellerzahlen zu vertrauen [1][2].
• Abgrenzung: Dieser Anwendungsfall ist der Stellvertreter der einzelnen Person. Unternehmensweite Wissensfragen sind KNOW-002; reines Entwerfen ist LANG-002; Klassifikation und Verteilung gemeinsamer Postfächer ist LANG-012.

Varianten

• Mitarbeiter-Copilot in der Software-Suite: Microsoft 365 Copilot (Outlook, Teams, Planner) oder Gemini in Google Workspace.
• Assistent für Führungskräfte / Gründer: weitreichende Delegation einschließlich Terminplanung für Dritte, Reise- und Spesen-Nachverfolgung.
• Reiner Terminagent: verhandelt Termine mit externen Parteien per E-Mail (kleinerer Umfang, geringeres Risiko).
• Private Nutzung: Familienkalender, Rechnungen und Termine, Einkaufslisten; oft Sprache zuerst, auf dem Telefon oder am smarten Lautsprecher.
• Selbst betriebener Datenschutz-Assistent: lokale Modelle, nur IMAP/CalDAV, für Rechtsanwälte, Ärzte, Journalisten und andere mit Verschwiegenheitspflichten.
• Gemeinsames Postfach / Team-Posteingang: mehrere Nutzer, rollenbasierter Zugriff; näher an LANG-012 und CONV-004.

So funktioniert es

1. connectors (mail, calendar, tasks, contacts; OAuth, least-privilege scopes)
2. ingestion + index (embeddings of mail/notes, thread reconstruction, contact graph)
3. intent: chat/voice request or scheduled trigger (morning digest, new mail)
4. agent loop: LLM plans, calls tools (search mail, read thread, free/busy, create draft)
5. policy layer: classify each action as read | draft | reversible write | irreversible/external
6. human approval for external-facing or irreversible actions (send, accept, delete, pay)
7. audit log + undo

• Werkzeugnutzung: Das Modell ruft typisierte Werkzeuge über Function Calling oder das Model Context Protocol (MCP) auf, den offenen Standard zur Anbindung von Assistenten an Werkzeuge und Daten [3].
• Personalisierung: Die Suche in der gesendeten Post des Nutzers liefert Tonfall und wiederkehrende Antworten; eine Präferenzdatei enthält Arbeitszeiten, Terminregeln und VIP-Kontakte.
• Autonomiestufen: zuerst nur lesende Zusammenfassungen, dann Entwürfe (nie gesendet), dann automatisches Senden für enge, vom Nutzer freigegebene Regeln (z. B. Einladungen interner Kollegen in freien Zeitfenstern annehmen).
• Mensch-in-der-Schleife (Human-in-the-Loop): Senden an externe Empfänger, Ändern oder Absagen von Terminen mit anderen, Löschen von Daten und alles, was Geld betrifft, erfordern standardmäßig eine ausdrückliche Bestätigung.
• Grenze gegen Prompt Injection: Behandeln Sie jeden Inhalt der Post als nicht vertrauenswürdige Daten; der Agent darf Anweisungen in Nachrichten nicht befolgen, und Werkzeuge, die Daten abfließen lassen können (Mail senden, URLs öffnen), werden abgesichert [4][5].

Datenaufbereitung

Die Daten gehören dem Nutzer selbst: Postfach, Kalender, Aufgabenlisten und Notizen, meist in M365, Google Workspace oder auf einem IMAP-Server, dazu gemeinsame Postfächer und Anhänge auf Dateiablagen. Im Vergleich zu anderen Anwendungsfällen ist wenig Aufbereitung nötig, doch die Qualität des Ergebnisses hängt von einigen Grundlagen ab.

Typische Lücken: überquellende Posteingänge ohne Ordner oder Labels, gemeinsame Postfächer mit gemischten Zuständigkeiten, Kalender, die die tatsächliche Verfügbarkeit nicht zeigen, auf Notizen und Zettel verstreute Aufgaben und zu weit gefasste Zugriffsrechte, durch die der Assistent mehr sieht, als der Nutzer sehen sollte. Eingehende Post ist nicht vertrauenswürdig und kann eingeschleuste Anweisungen enthalten.

Schritte der Aufbereitung: Vor der Anbindung Berechtigungen und Freigaben bereinigen (PREP-023), festlegen, welche Post und Ordner der Assistent lesen darf und welche Datenklassen an welches Werkzeug gehen dürfen (PREP-024), Delegationsregeln, Tonbeispiele und Standardantworten als Mustervorlagen aufschreiben (PREP-016) und Labels oder Kategorien vereinbaren (PREP-019). Für wiederkehrende Geschäftspost hilft ein kuratierter Satz an Vorlagen. Werkzeuge: Postfachregeln, Labels, die Admin-Konsole des Anbieters, ein Testpostfach. Grober Anteil am Aufwand: unter 15 Prozent; der größte Teil ist Richtlinien- und Berechtigungsarbeit, nicht Datenumwandlung.

Umsetzungswege

Welcher Weg für wen

• KMU: Weg A, weil ausgereifte Postfach- und Kalenderassistenten (z. B. in M365 oder Google Workspace eingebaut, oder in der EU gehostete Werkzeuge) für einen Standardprozess zu KMU-Preisen verfügbar sind.
• Unternehmen: Weg B, weil delegierter Zugriff, Freigaberegeln und Protokollierung der eigenen Identitätsverwaltung, den Richtlinien und der gemeinsamen KI-Plattform des Unternehmens folgen sollten, statt Verbraucherwerkzeugen je Arbeitsplatz.
• Entwickler: Weg C, weil Open-Source-Agenten-Stacks mit einem lokalen Modell die Kontrolle über Berechtigungen erlauben und den Inhalt der Post im Haus halten.
• Privat: Weg A, weil eine fertige App am einfachsten ist; datenschutzbewusste Nutzer können eine lokale Einrichtung mit Ollama oder LM Studio betreiben (Weg C).

Weg A — Kaufen (Standardsoftware)

• In die Suite integriert: Microsoft 365 Copilot (Outlook/Teams/Planner), Google Gemini für Workspace; prüfen Sie die Einstellungen zur Datenspeicherung, weil sich das Routing der Inferenz und die Unterauftragsverarbeiter im Lauf der Zeit geändert haben [2].
• Eigenständige Assistenten: Superhuman AI, Shortwave, Fyxer AI, Motion, Reclaim, Notion Mail und ähnliche; überwiegend in den USA gehostet, prüfen Sie daher AVV, Übermittlungsmechanismus und Unterauftragsverarbeiter.
• EU / datenschutzorientiert: Mistral Le Chat mit Konnektoren (Frankreich), Proton Mail mit Lumo (Schweiz, außerhalb der EU, aber mit DSGVO-Angemessenheit), Nextcloud Assistant mit Mail und Kalender (Deutschland, kann lokale Modelle betreiben), Stacks von Open-Xchange und Mailbox.org sowie Tuta (Deutschland) für verschlüsselte Post ohne KI-Funktionen im Posteingang.
• Wählen Sie A, wenn: die Organisation bereits Microsoft 365 oder Google Workspace betreibt und möglichst wenig Integrationsarbeit will.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Modelle: führende LLMs mit Werkzeugnutzung und strukturierten Ausgaben (Claude, GPT, Gemini) über EU-Regionen, wo angeboten (Azure OpenAI EU-Datenzonen, Vertex AI EU, AWS Bedrock Frankfurt/Paris), oder die API von Mistral (EU-Anbieter).
• Konnektoren: Microsoft Graph, Gmail- und Google-Calendar-APIs, IMAP/CalDAV, APIs von Todoist/Notion/Asana, oft über MCP-Server.
• Orchestrierung: LangGraph, OpenAI Agents SDK, Claude Agent SDK, n8n für geplante Übersichten; speichern Sie Tokens in einem Secrets-Tresor und nutzen Sie OAuth je Nutzer mit minimalen Berechtigungsbereichen.
• Wählen Sie B, wenn: Sie eigene Regeln, eine bestimmte Werkzeuglandschaft oder ein mandantenfähiges Verhalten brauchen, das Weg A nicht abdeckt.

Weg C — Selbst betreiben (Open Source)

• Modelle: Open-Weight-Modelle für Anweisungen/Werkzeugnutzung wie Qwen3, Mistral Small/Medium-Klasse, Llama oder gpt-oss, betrieben mit vLLM oder Ollama; Whisper oder Ähnliches für Sprache.
• Stack: Nextcloud Assistant, Open WebUI mit MCP-Werkzeugen, n8n, lokaler Vektorspeicher (pgvector, Qdrant), Radicale/Baikal für CalDAV, Dovecot/IMAP.
• Hardware: HW3 für zuverlässige mehrstufige Werkzeugnutzung über lange Verläufe; HW2 reicht für Übersichten und Entwürfe mit kleineren Modellen, irrt sich aber häufiger bei der Planung.
• Abwägung: volle Datenkontrolle, aber geringere Zuverlässigkeit bei der Werkzeugnutzung als bei führenden APIs und laufender Betriebsaufwand.

Weg D — Eigenes Training

Selten gerechtfertigt. Ein kleines Modell auf der eigenen gesendeten Post des Nutzers für den Tonfall feinzutunen, oder ein Klassifikator für Priorität/Dringlichkeit aus Korrekturen, kann Kosten und Latenz senken. Es braucht Hunderte bis Tausende annotierter Beispiele und Sorgfalt bei der DSGVO (Training auf Mailinhalten Dritter).

Stand der Technik (2026)

• Assistenten haben sich von „fasse diesen Verlauf zusammen" zu Agenten entwickelt, die über Post, Kalender und Dokumente hinweg planen; MCP-Konnektoren werden von Assistenzprodukten und Agenten-SDKs breit unterstützt [3].
• Zuverlässig: Zusammenfassungen, Antwortentwürfe, Extraktion von Terminen und Aufgaben, einstufige Terminplanung anhand von Frei/Belegt.
• Unzuverlässig: lange Terminverhandlungen mit mehreren Beteiligten, mehrdeutige Delegation („kümmere dich darum"), Sonderfälle bei Zeitzonen und Wiederholungen, Tonfall bei sensiblen Nachrichten und das stille Weglassen einer Nachricht in einer Übersicht.
• Sicherheit ist die wichtigste Baustelle: Indirekte Prompt Injection ist das am höchsten eingestufte LLM-Risiko in der OWASP-Liste; ein Agent mit Zugriff auf private Daten, Kontakt zu nicht vertrauenswürdiger Post und einem ausgehenden Kanal ist die klassische „tödliche Dreiheit" (lethal trifecta) [4][5]. Die Abwehr ist architektonisch (Trennung von Rechten, Freigabeschranken, kein automatisches Anzeigen von Fremdinhalten, Positivlisten), nicht nur Filter.
• Computer-Use-Agenten können Weboberflächen bedienen, wo es keine API gibt, sind aber langsamer und anfälliger als API-Konnektoren.

Gemeinsame Bausteine & Kombinationen

• Teilt den Stack aus LLM, Werkzeugaufrufen und Vektorindex mit KNOW-002, CONV-004 und CONV-026; ein selbst betriebener Server (HW3) kann mehrere davon bedienen.
• Naheliegende Kombinationen: LANG-002 (Entwerfen), LANG-012 (Klassifikation), CONV-003 (Buchung mit externen Parteien), AGENT-002 (Automatisierung im Back-Office), Sprach-Frontend wie in CONV-014.
• Besprechungstranskription und Protokolle können ein eigener Eingabekanal sein; beachten Sie, dass die Aufzeichnung von Kollegen eine eigene Rechtsgrundlage hat und Fragen der Mitbestimmung aufwirft.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen; Abonnement je Nutzer, typischerweise im Bereich von zehn bis zwei Dutzend EUR je Nutzer und Monat; der Hauptaufwand sind Berechtigungen, Einführung und Schulung.
• Weg B: 1-3 Monate für einen gehärteten Agenten mit Freigabeoberfläche, Prüfprotokoll und Tests; Kostentreiber sind Tokens je nach Postfachgröße, Zahl der Werkzeugaufrufe und Sicherheitsprüfung.
• Weg C: 2-4 Monate plus laufender Betrieb; GPU-Server und Wartung.
• Kennzahlen: wöchentliche Zeit für Post und Terminplanung (vorher/nachher), Annahmequote der Entwürfe und Änderungsumfang, Abstimmungsrunden je Termin, Quote übersehener wichtiger Post (Stichprobe), Quote übersteuerter Freigaben, Sicherheitsvorfälle, Vertrauenswert der Nutzer.

Menschen & Veränderung

Beziehen Sie die Geschäftsleitung für die Richtlinie ein, IT und IT-Sicherheit für Konnektoren und Berechtigungen, die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten für die Postfachverarbeitung sowie jeden betroffenen Nutzer, der weiterhin die Hoheit darüber behalten muss, was der Assistent versendet. Postfächer enthalten personenbezogene Daten Dritter und oft Kommunikation von Beschäftigten; daher sind eine Vorprüfung zur Datenschutz-Folgenabschätzung (DSFA) und ein Auftragsverarbeitungsvertrag (AVV) nötig; halten Sie vertrauliche Post (Personal, Recht, Medizin) aus dem Umfang heraus.

Betriebsrat: ja in Unternehmen, die einen haben. Assistenten, die Postfach- und Kalenderaktivität protokollieren, sind objektiv zur Verhaltensüberwachung geeignet; daher greift wie bei M365 Copilot § 87 Abs. 1 Nr. 6 BetrVG, und § 90 Abs. 1 Nr. 3 verlangt die rechtzeitige Unterrichtung. Vereinbaren Sie eine Betriebsvereinbarung, die festhält, dass die Protokolle nicht zur Leistungskontrolle verwendet werden. In öffentlichen Stellen ist der Personalrat zuständig.

KI-Kompetenz: Unterstützen Sie Mitarbeiter mit kurzen Schulungen zu Prompt Injection, zur Prüfung von Entwürfen und zur Vertraulichkeit (KI-Verordnung (AI Act) Art. 4; GUIDE-006, GUIDE-007). Starten Sie mit einer freiwilligen Pilotgruppe von 5 bis 10 Personen, beginnen Sie mit lesenden Übersichten und Entwürfen und aktivieren Sie das Senden oder Kalenderänderungen erst später mit Freigabe. Typische Sorgen: Überwachung, Verlust des persönlichen Tonfalls und irrtümliche Mails; begegnen Sie ihnen mit einem reinen Entwurfsmodus und sichtbaren Protokollen. Siehe GUIDE-004, GUIDE-008 und GUIDE-013.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): typischerweise begrenztes Risiko: Der Nutzer muss informiert werden, wenn er mit einem KI-System interagiert, und KI-erzeugte Inhalte, die von einem Menschen zu stammen scheinen, erfordern nach Art. 50 Sorgfalt (ein Entwurf, den der Nutzer prüft und als eigenen versendet, ist in der Regel die Kommunikation des Nutzers). Art. 4 KI-Kompetenz gilt für Mitarbeiter. Wird der Assistent genutzt, um Beschäftigte zu bewerten oder zu überwachen oder um Aufgaben anhand des Verhaltens zu verteilen, können die Punkte zu Beschäftigung in Anhang III ihn zum Hochrisiko-System machen; Emotionserkennung aus Stimme oder Text am Arbeitsplatz ist nach Art. 5 Abs. 1 Buchst. f verboten. Keine Rechtsberatung [6].
• DSGVO: Postfächer enthalten personenbezogene Daten Dritter, die einer KI-Verarbeitung nie zugestimmt haben; nötig sind eine Rechtsgrundlage (meist berechtigtes Interesse mit dokumentierter Abwägung, nach der Argumentation der EDSA-Stellungnahme 28/2024), ein AVV mit dem Anbieter, Garantien für Übermittlungen, eine DSFA bei weitreichendem Postfachzugriff und Datenminimierung (Berechtigungsbereiche begrenzen, Aufbewahrung der Indizes) [7]. Besondere Kategorien von Daten (Gesundheit, Gewerkschaftszugehörigkeit) in der Post erfordern zusätzliche Sorgfalt.
• Arbeitsrecht / Betriebsrat: In Deutschland greift die Mitbestimmung (BetrVG § 87), wenn Werkzeuge das Verhalten überwachen können; private Post auf dienstlichen Konten ist eine weitere Falle.
• Berufsgeheimnis: Rechtsanwälte, Ärzte und andere müssen ihre Verschwiegenheitspflichten prüfen, bevor sie Post an externe KI-Dienste senden.
• Sicherheitsrisiken und Gegenmaßnahmen: Prompt Injection über Post, zu weit gefasste OAuth-Berechtigungsbereiche, Token-Diebstahl, versehentliches Senden, erfundene Termindetails. Begegnen Sie ihnen mit minimalen Rechten, Lesen/Entwurf als Standard, Freigabeschranken, Positivlisten für Empfänger und Domänen, keinem automatischen Laden externer Inhalte, Ratenbegrenzung, Notausschalter, vollständigem Prüfprotokoll und regelmäßigen Red-Team-Tests.

Erste Schritte

1. Legen Sie den Umfang fest: lesende Übersicht für eine Pilotgruppe; listen Sie Aktionen auf, die immer eine Freigabe brauchen.
2. Prüfen Sie zuerst den Assistenten der vorhandenen Suite (Weg A), einschließlich Datenspeicherung, Unterauftragsverarbeitern und Admin-Kontrollen; führen Sie bei weitem Umfang eine DSFA durch.
3. Ermitteln Sie eine Ausgangsbasis für die Zeit mit Post und Terminplanung und führen Sie einen 4-wöchigen Pilot mit 10-20 Nutzern durch.
4. Ergänzen Sie zuerst Entwürfe, dann die Terminplanung; prüfen Sie wöchentlich eine Stichprobe von Entwürfen und Übersichten auf Auslassungen und Fehler.
5. Testen Sie Prompt-Injection-Szenarien mit präparierten Mails, bevor Sie Rechte zum Senden oder Löschen freigeben.

Quellen

1. Microsoft — Microsoft 365 Copilot overview and privacy — https://learn.microsoft.com/copilot/microsoft-365/microsoft-365-copilot-privacy
2. Microsoft — EU Data Boundary documentation — https://learn.microsoft.com/privacy/eudb/eu-data-boundary-learn
3. Model Context Protocol — specification and security best practices — https://modelcontextprotocol.io/specification
4. OWASP — Top 10 for LLM Applications (LLM01 Prompt Injection) — https://genai.owasp.org/llm-top-10/
5. Simon Willison — Model Context Protocol has prompt injection security problems — https://simonwillison.net/2025/Apr/9/mcp-prompt-injection/
6. Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj
7. EDPB — Opinion 28/2024 on AI models and personal data — https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en
8. Nextcloud Assistant — https://nextcloud.com/assistant/