Sicherer E-Mail-Versand per API: Prüfliste für KMU zu Verschlüsselung, Schlüsseln und Freigabe

Team BOTrento18. 10. 20267 Min. Lesezeit

Was „sicher“ beim E-Mail-Versand per API bedeutet

Beim Versand über eine API übergibt Ihre Software Absender, Empfänger, Betreff und Text an den Dienst eines Anbieters. Dieser Dienst stellt die Mail zu. Daraus ergeben sich vier Angriffs- und Fehlerflächen:

• Transport: Können Daten auf dem Weg mitgelesen oder verändert werden?
• Zugang: Wer besitzt den API-Schlüssel und wo liegt er?
• Rechte: Was darf dieser Schlüssel überhaupt – nur senden oder auch Adressen exportieren?
• Inhalt und Auslösung: Wer entscheidet, dass eine konkrete Mail an einen konkreten Kunden rausgeht?

Die ersten drei sind Technik. Die vierte ist Organisation – und sie verursacht im Vertriebsalltag die meisten echten Pannen: falscher Empfänger, falsche Version des Angebots, Nachricht zur falschen Zeit.

Verschlüsselung: Was Sie bei TLS wirklich prüfen

Fast jede seriöse E-Mail-API verlangt heute verschlüsselte Verbindungen (HTTPS/TLS). Das ist Standard, aber kein Selbstläufer. Prüfen Sie:

• Zwischen Ihrer Anwendung und der API: Werden unverschlüsselte Verbindungen abgelehnt oder nur „toleriert“? Fragen Sie Ihren Dienstleister, ob die Verbindung erzwungen wird.
• Zwischen Anbieter und Empfänger-Server: Hier gilt „opportunistisches“ TLS: Es wird genutzt, wenn der Empfängerserver es kann. Ob Ihr Anbieter eine Verschlüsselung erzwingen kann, sollten Sie bei sensiblen Inhalten erfragen.
• Inhalte im Ruhezustand: Werden Nachrichten und Protokolle beim Anbieter verschlüsselt gespeichert und wie lange?

Wichtig zu wissen: Transportverschlüsselung schützt den Weg, nicht das Postfach des Empfängers. Wirklich vertrauliche Unterlagen gehören nicht als Anhang in eine Standardmail, sondern in einen geschützten Link oder eine Ende-zu-Ende-Lösung.

Zusätzlich gehört zur technischen Hygiene die Absenderauthentifizierung (SPF, DKIM, DMARC). Sie verhindert, dass Dritte in Ihrem Namen Mails verschicken, und verbessert die Zustellbarkeit. Ihr IT-Betreuer kann das in der Regel sauber einrichten.

API-Schlüssel sicher speichern und rotieren

Ein API-Schlüssel ist ein Passwort für Maschinen. Wer ihn hat, kann in Ihrem Namen senden. Die häufigsten Fehler sind banal:

• Schlüssel steht im Klartext in einer Tabelle, einem Chat oder einer Mail.
• Ein einziger Schlüssel wird von allen Systemen und Personen geteilt.
• Ehemalige Dienstleister behalten Zugang, weil niemand den Schlüssel getauscht hat.

Praktische Regeln

1. Ein Schlüssel pro Anwendung oder Zweck. So lässt sich im Ernstfall genau einer sperren.
2. Nie im Klartext weitergeben. Nutzen Sie einen Passwortmanager oder die Geheimnisverwaltung Ihres Hosters, nicht Outlook oder Gmail.
3. Tauschen bei Personalwechsel. Wechselt ein Admin oder Dienstleister, wird der Schlüssel erneuert.
4. Nach der Anzeige maskieren. Gute Systeme zeigen einen Schlüssel nach dem Speichern nur noch teilweise an.
5. Sperren muss jederzeit gehen. Prüfen Sie vorab, wo und von wem der Schlüssel entzogen wird.

Wie das bei BOTrento für den optionalen eigenen KI-Schlüssel gelöst ist, steht in der Hilfe zu eigenen API-Schlüsseln: verschlüsselt gespeichert, nur die letzten vier Zeichen sichtbar, jederzeit entfernbar.

Zugriffsrechte: Nach dem Minimalprinzip vergeben

Viele Anbieter erlauben Schlüssel mit eingeschränkten Rechten. Nutzen Sie das. Ein Schlüssel, der nur senden darf, richtet bei Verlust weniger Schaden an als einer, der auch Empfängerlisten, Protokolle und Kontoeinstellungen verwalten kann.

Gleiches gilt intern. Fragen Sie sich:

• Wer darf Entwürfe schreiben, wer darf sie freigeben, wer darf den Versandweg ändern?
• Haben Praktikanten oder Aushilfen Zugriff auf das Gesamtpostfach des Vertriebs?
• Gibt es eine Vertretungsregelung, damit im Urlaub nicht ein Passwort herumgereicht wird?

Für den Datenschutz ist außerdem relevant, welcher Anbieter Daten wo verarbeitet und welche Verträge dahinterstehen. Dazu lohnt sich die Checkliste zu AV-Vertrag, Serverstandort, Logs und Löschfristen. Bei konkreten Einzelfällen sollten Sie Ihren Datenschutzbeauftragten oder einen Rechtsanwalt einbeziehen.

Freigabe: Der unterschätzte Sicherheitsschritt

Die sicherste Verschlüsselung nützt nichts, wenn ein Angebot mit falschem Preis an den falschen Kunden geht. Je mehr Sie automatisieren, desto wichtiger ist eine klare Stelle, an der ein Mensch entscheidet. Das gilt besonders bei KI-gestützten Entwürfen.

Eine einfache Regel für Ihr Team: Entwürfe darf jeder (und jede Software) vorbereiten, abgeschickt wird erst nach Freigabe durch eine benannte Person. Das reduziert Fehlversand, schützt vor ungewollter Werbeansprache und passt zur Rolle als Betreiber von KI-Systemen. Einordnung dazu finden Sie im Beitrag zur KI-Verordnung für KMU im Vertrieb; zur Abgrenzung bei Kaltakquise lesen Sie DSGVO und KI-Outreach.

Checkliste: 10 Fragen vor dem ersten Versand

Gehen Sie diese Punkte mit Ihrem Dienstleister oder Ihrer IT durch und halten Sie die Antworten schriftlich fest:

1. Wird die Verbindung zur API ausschließlich per TLS aufgebaut?
2. Sind SPF, DKIM und DMARC für Ihre Absenderdomain eingerichtet?
3. Wo liegt der API-Schlüssel und wer hat Zugriff?
4. Gibt es getrennte Schlüssel pro Anwendung?
5. Hat der Schlüssel nur die nötigen Rechte?
6. Wer kann ihn sperren und wie schnell?
7. Wie lange speichert der Anbieter Inhalte und Protokolle?
8. Liegt ein Auftragsverarbeitungsvertrag vor?
9. Wer gibt Entwürfe frei, und wird die Freigabe dokumentiert?
10. Was passiert beim Ausscheiden von Mitarbeitenden oder Dienstleistern?

Wenn Sie hierauf zehnmal eine klare Antwort haben, sind Sie weiter als viele größere Betriebe. Ergänzend hilft die Checkliste, ob ein KI-Vertriebstool DSGVO-konform ist.

Wie BOTrento mit Versand und Freigabe umgeht

BOTrento Chief of Staff ist ein gesteuerter Prozess für Anfragen, Angebote und Nachfassen, zum Beispiel für B2B-Dienstleister mit manuellen Angeboten. Der Ansatz ist bewusst vorsichtig: BOTrento versendet nichts selbst. Es bereitet Entwürfe für Antworten, Angebote und Follow-ups vor – in vier Sprachen, darunter Deutsch –, und ein Mensch prüft und gibt jeden Entwurf frei. Ein unbeabsichtigter Versand durch BOTrento ist damit ausgeschlossen.

Zur Sicherheit im Detail:

• Die Daten liegen auf Servern in Deutschland (EU), die Anwendungsdatenbank in Irland.
• Das Sprachmodell verarbeitet nur die Texte, die für die Aufgabe nötig sind, über die API eines kommerziellen Anbieters. Ein EU-Server mit Aufruf einer externen KI-API ist kein geschlossenes Rechensystem – das sollten Sie in Ihrer Datenschutzbewertung so berücksichtigen.
• Der eigene API-Schlüssel ist optional (derzeit nur Anthropic/Claude), verschlüsselt gespeichert und jederzeit entfernbar.
• KI ist im Tarif enthalten, mit monatlichem Verbrauchslimit: Hinweis bei 80 %, bei 100 % pausiert neue Arbeit bis zum nächsten Monat, ohne automatische Nachbelastung.

Anbindung: Seznam und andere Postfächer über IMAP; Gmail, Google Workspace und Microsoft 365 derzeit per Weiterleitung oder Import. Den Ablauf sehen Sie in der Prozessvorschau. Wie weit sich das für Ihre Anfragen eignet, zeigt sich am besten mit eigenen Daten: Sie können BOTrento 14 Tage kostenlos testen – ohne Karte und ohne eigenen API-Schlüssel. Die 14 Tage beginnen erst mit dem ersten Datenupload. Die Tarife sehen Sie separat.