Strato-Mailbox mit KI verbinden: lokaler MCP-Server strato-mcp

strato-mcp ist ein lokaler MCP-Server für Strato-Postfächer: Ein KI-Client wie Claude, GitHub Copilot, Autopilot oder Codex kann damit in deiner Mailbox suchen, Mails lesen und, nur wenn du es erlaubst, Entwürfe speichern oder Mails senden. Das Projekt stammt von Daniel Rohregger, steht unter der ISC-Lizenz auf GitHub und ist nicht mit der STRATO AG verbunden. Stand dieses Guides: 30. September 2026, Version 1.0.

MCP (Model Context Protocol) ist der offene Standard, über den ein KI-Client Werkzeuge einbindet. Bei strato-mcp läuft dieser Server als Prozess auf deinem Mac und spricht per IMAP und SMTP mit den Servern von Strato.

Was kann die KI mit deiner Strato-Mailbox tun?

Die KI kann Mails nach Absender, Datum, Thema oder Rechnungsnummer finden, Gesprächsverläufe zusammenfassen, Ordner und ungelesene Mails prüfen und Anhänge lesen, die du freigibst. Was davon über reines Lesen hinausgeht, hängt vom Zugriffsmodus ab:

Der Server setzt den gewählten Modus selbst durch. Weder eine Mail noch ein Werkzeugaufruf kann sich mehr Rechte geben. Die zwölf Werkzeuge im Überblick:

Wie sicher ist strato-mcp?

Die wichtigste Schutzschicht ist der Modus „Nur lesen“. Er setzt das Prinzip der minimalen Rechte um: Die KI bekommt nur, was sie zum Suchen und Zusammenfassen braucht. Dazu kommen diese Maßnahmen, die im Code und in der Dokumentation des Projekts stehen:

• Passwort im Schlüsselbund: Das Postfach-Passwort liegt im macOS-Schlüsselbund, nicht in einer Konfigurationsdatei.
• Mail-Inhalte als unvertrauenswürdig markiert: Inhalte, Anhangsnamen und Fehlertexte von außen kennzeichnet der Server als Daten, nicht als Anweisung.
• Anhänge nur in einen festen Ordner: Die KI wählt den Zielordner nicht selbst. Bestehende Dateien werden nie überschrieben. Das Sicherheitslimit für einen Download liegt standardmäßig bei fünfundzwanzig Megabyte und ist mit STRATOMCP_MAX_ATTACHMENT_MB änderbar.
• Ordner- und Dateirechte: Neue Download-Ordner entstehen mit den Rechten 0700, Dateien mit 0600.

Eine E-Mail kann Anweisungen enthalten, die einen KI-Assistenten täuschen sollen. Das heißt Prompt Injection, und die Mail gilt dabei als nicht vertrauenswürdiger Inhalt. Die Schutzmaßnahmen von strato-mcp senken dieses Risiko, schließen es aber nicht aus. Lass deshalb die Freigabeabfragen deines KI-Clients eingeschaltet (Human in the Loop), prüfe Empfänger und Text, bevor du etwas senden lässt, und bestätige nie eine Aktion nur deshalb, weil eine Mail sie verlangt. Die Modi gelten nur für strato-mcp. Andere Werkzeuge, die du dem Client gibst, etwa Shell oder Browser, regeln sie nicht.

Was heißt „geprüft“ bei strato-mcp?

Das Projekt wurde gegen Prompt Injection gehärtet (Pull Request 1, Branch fix/prompt-injection-hardening) und bringt neununddreißig automatisierte Tests mit: Sie prüfen Berechtigungsmodi, Download-Ordner, die Trennung von Fehlertexten und unvertrauenswürdigen Details sowie den Ablauf des Setups. Eine SECURITY.md beschreibt, wie du Sicherheitslücken vertraulich über GitHub meldest. Das sind Regressionstests des Projekts und keine externe Sicherheitsprüfung. Den Quellcode (rund 1.300 Zeilen JavaScript) kannst du vor der Installation selbst lesen oder prüfen lassen.

Welche Daten verlassen deinen Mac?

Den Suchindex lädt strato-mcp nicht hoch. Mail- und Anhangsinhalte, die die KI liest, gehören aber zur Unterhaltung und gehen damit an den Anbieter des Modells, das dein KI-Client nutzt. Wer Claude, GitHub Copilot oder Codex mit einem Cloud-Modell verwendet, teilt diese Inhalte also mit dem jeweiligen Anbieter. Prüfe die Datenschutzbedingungen deines Clients, bevor du ein vertrauliches Postfach anbindest.

Der Index umfasst die letzten drei Jahre ohne Spam und Papierkorb. Er enthält Nachrichtentexte und Anhangsnamen, aber keine Anhangsinhalte. Ältere oder ausgeschlossene Mails findet die KI über die Live-Suche. Aktiviere FileVault, wenn dein Mac sensible Mails speichert.

Wie richtest du strato-mcp ein?

1. Lade das Repository DanielRohregger/strato-mcp als ZIP und entpacke es.
2. Starte Setup.command per Doppelklick. Blockiert macOS den ersten Start, klickst du mit gedrückter Control-Taste auf die Datei, wählst „Öffnen“ und bestätigst. Das ist nur einmal nötig.
3. Gib deine Strato-Adresse und optional den Anzeigenamen ein. Danach fragt das Setup nach dem Postfach-Passwort. Die Eingabe bleibt verdeckt, das Passwort landet im Schlüsselbund.
4. Wähle den Zugriffsmodus und den Ordner für Anhänge. Im Zweifel: „Nur lesen“ und den vorgeschlagenen Ordner.
5. Lass das Setup die Verbindung zu Claude Desktop, Claude Code oder beiden eintragen und starte den Client neu.

Das Setup speichert das Passwort im Schlüsselbund, testet die Verbindung und bietet an, den lokalen Suchindex aufzubauen. Der erste Aufbau kann einige Minuten dauern, spätere Aktualisierungen laufen automatisch. Die App landet in ~/Library/Application Support/stratomcp/app.

Wie verbindest du GitHub Copilot, Autopilot oder Codex?

Jeder KI-Client, der MCP spricht und einen lokalen Server per Befehl starten kann (Transport stdio), kann strato-mcp nutzen. Das Setup richtet nur Claude Desktop und Claude Code ein. Für GitHub Copilot, Codex und Autopilot gibt es weder ein eigenes Setup noch einen eigenen Test des Projekts. Sie sprechen denselben Standard, deshalb gilt dort derselbe Eintrag, geschrieben nach der Dokumentation der Anbieter (Stand: 30. September 2026). Du trägst selbst zwei Dinge ein: den Pfad zu Node.js und den Pfad zu src/index.js im Installationsordner. Ermittle den Node-Pfad mit command -v node. In den Konfigurationsdateien funktioniert ~ nicht, nimm den vollständigen Pfad mit deinem Benutzernamen.

Für GitHub Copilot in VS Code sieht der Eintrag in .vscode/mcp.json so aus (Pfade anpassen):

{
  "servers": {
    "strato": {
      "type": "stdio",
      "command": "/opt/homebrew/bin/node",
      "args": ["/Users/dein-name/Library/Application Support/stratomcp/app/src/index.js"]
    }
  }
}

Für Codex gehört dieser Abschnitt in ~/.codex/config.toml:

[mcp_servers.strato]
command = "/opt/homebrew/bin/node"
args = ["/Users/dein-name/Library/Application Support/stratomcp/app/src/index.js"]

Claude Code registrierst du so, falls das Setup es nicht getan hat:

claude mcp add --scope user strato -- /opt/homebrew/bin/node "$HOME/Library/Application Support/stratomcp/app/src/index.js"

Autopilot ist laut Microsoft Learn eine Vorschau im Frontier-Programm und fragt vor sensiblen Aktionen nach deiner Freigabe. IT-Administratoren können per Richtlinie Tool-Server und die Berechtigungsart mcp sperren. Das ist ein Grund, vorab zu klären, ob dein Gerät eigene MCP-Server zulässt. In den Übersichts- und Bedienseiten, die Microsoft Learn damals noch unter dem Namen Scout führte, steht (Stand 30. September 2026) keine Schritt-für-Schritt-Anleitung für eigene MCP-Server, und die Oberfläche ändert sich in der Vorschau. Deshalb fehlt hier eine Klickanleitung. Was ein lokaler stdio-Server braucht, bleibt bei jedem Client gleich: einen Befehl und seine Argumente.

Der Zugriffsmodus gilt unabhängig vom Client. Verbindest du mehrere Clients, schützt dich in allen derselbe Modus.

Womit testest du die Verbindung?

Starte mit Fragen, die nichts verändern. Im Modus „Nur lesen“ bleiben vorgeschlagene Antworten im Chat, gespeichert werden sie erst ab „Organisieren und Entwürfe“:

Welche Mail-Ordner habe ich?

Finde die letzte Rechnung von meinem Internetanbieter und nenne mir Datum und Betrag.

Fasse die offenen Punkte im Verlauf mit dem Vermieter zusammen.

Schlage eine Antwort auf die neueste Mail vor, aber sende nichts.

Weitere Vorlagen für den Alltag findest du in der Prompt-Bibliothek. Zeigt die KI keine Strato-Werkzeuge, rufst du im Client die Liste der MCP-Server auf, startest ihn neu und prüfst, ob die Pfade stimmen.

Wie änderst du Rechte, Download-Ordner und Index?

Öffne das Terminal und wechsle in den Installationsordner. Für die Rechte:

cd "$HOME/Library/Application Support/stratomcp/app"
npm run setup -- --permissions

Das ändert nur den Zugriffsmodus, nicht Passwort, Download-Ordner oder Client-Einrichtung. Für den Download-Ordner startest du npm run setup ohne den Zusatz und behältst die bestehenden Postfach-Einstellungen. Den Index aktualisierst du von Hand mit npm run sync, etwa wenn die Suche meldet, der Index sei leer.

Wie gehst du bei Fehlermeldungen vor?

Läuft strato-mcp unter Windows oder mit anderen Anbietern?

Nein, strato-mcp ist für macOS gebaut, denn es nutzt den macOS-Schlüsselbund und Setup.command. Der Server verwendet die Strato-Adressen imap.strato.de (Port 993) und smtp.strato.de (Port 465). Andere Anbieter funktionieren womöglich, wenn du die Hosts überschreibst, sind aber laut Projekt nicht getestet.

Wie entfernst du strato-mcp wieder?

Entferne zuerst die Registrierung in Claude Code (falls vorhanden) und lösche dann App, Einstellungen, Index und Schlüsselbund-Eintrag. Sichere vorher Anhänge, die du behalten willst.

claude mcp remove strato
rm -rf "$HOME/Library/Application Support/stratomcp"
rm -rf "$HOME/.config/stratomcp"
security delete-generic-password -s stratomcp -a deine-adresse@beispiel.de

Trage für Claude Desktop den Eintrag strato unter mcpServers in claude_desktop_config.json aus, bei VS Code und Codex die jeweiligen Einträge, und starte den Client neu.

Wer MCP-Server nicht nur privat, sondern im Team zulassen will, bewertet jeden einzelnen nach Rechten und Reichweite. Wie das für Microsoft 365 und Agents aussieht, zeigt die Seite Copilot-Governance für IT-Teams und Admins.

Quellen

• strato-mcp auf GitHub: README und Quellcode
• strato-mcp: SECURITY.md
• Microsoft Learn: Use the Dev Proxy MCP server (Visual Studio Code with GitHub Copilot, Claude Code)
• Microsoft Learn: Configure a stdio MCP server for GitHub Copilot in VS Code
• OpenAI: Codex and the Model Context Protocol
• Microsoft Learn: Microsoft Scout (Frontier) overview
• Microsoft Learn: Admin controls in Intune for Microsoft Scout
• Model Context Protocol