Dein Spam-Filter liest deine E-Mails nicht. Er zählt die Indikatoren.

Google blockiert täglich fast 15 Milliarden unerwünschte Nachrichten, und es tut das ohne irgendetwas, das du als Lesen erkennen würdest. Kein Modell sitzt da und spricht die Worte an, die dein Zahnarzt dir als Erinnerung schickt. Dieses Gedankenbild – ein digitaler Schnüffler, der über deinem Posteingang brütet und deine Geheimnisse aufnimmt – das ist die Angst, die die meisten Menschen tragen, und sie zielt auf das falsche Ziel ab.

Hier ist, was wirklich geschieht. Wenn eine Mail einen Filter erreicht, beginnt das System nicht mit deinem Text. Es beginnt mit dem Umschlag. Wer hat das gesendet, und hat der sendende Server tatsächlich die Berechtigung, diese Domain zu benutzen? Das sind SPF, DKIM und DMARC – drei Überprüfungen, die bestätigen, ob „billing@yourbank.com" von der Infrastruktur deiner Bank stammt oder von einem gemieteten Server im Keller eines Betrügers. Ein Scammer kann ein Logo perfekt kopieren und trotzdem DKIM nicht bestehen, und dieser eine kryptografische Fehler sagt dem Filter mehr als jeder Satz im Body je könnte.

Dann kommen die billigeren Signale. Sender-Reputation: Hat diese IP-Adresse Millionen identischer Nachrichten versendet? Link-Analyse: Zeigt der „Click here"-Button auf etwas, das der sichtbare Text nicht zugibt? URL-Alter, Umleitungsketten, Dateitypen. Der größte Teil eines Spam-Verdikts ist geklärt, bevor das Modell überhaupt hart über Sprache nachdenkt.

Wenn Sprache dann ins Spiel kommt, ist es keine Verständigung – es ist Mathematik. Ältere Filter verwendeten Bayesian Classifiers, den Ansatz, den Paul Graham 2002 in seinem Essay „A Plan for Spam" popularisierte, der Nachrichten danach bewertete, mit welcher Wahrscheinlichkeit bestimmte Wörter in Junk- versus echten E-Mails auftauchten. Das Wort „Viagra" trug eine Zahl. Moderne Systeme gehen weiter mit transformer-basierten Modellen, die Text in Embeddings umwandeln – lange Listen von Zahlen, die Bedeutung erfassen, ohne die Bedeutung als Wörter zu speichern. Für den Klassifizierer ist deine E-Mail keine Geschichte. Es ist ein Punkt in einem hochdimensionalen Raum, und die Frage ist, ob dieser Punkt nah bei dem Cluster liegt, der „Phishing" heißt.

Diese Unterscheidung ist wichtig, denn „die KI sieht meine Wörter" und „die KI wandelt meine Wörter in einen Vektor um und vergleicht ihn mit einem Betrugsmuster" sind nicht dasselbe Datenschutzereignis. Das eine klingt nach Abhören. Das andere ist näher an einem Metalldetektor: Er reagiert auf eine Signatur, nicht auf ein Geständnis.

Die echte Frage ist also nicht, ob ein Modell deinen Text anfasst. Natürlich tut es das – das ist der Job. Die Frage ist zweigeteilt, und hier solltest du deine Skepsis wirklich richten. Erstens: Speicherung. Wird der Inhalt gespeichert, und wie lange? Die API-Richtlinie von OpenAI besagt zum Beispiel, dass sie Business-API-Daten nicht zum Trainieren ihrer Modelle verwendet und sie nur für ein begrenztes Zeitfenster vor der Löschung speichert. Anthropic veröffentlicht ähnliche kommerzielle Bedingungen. Das sind die Richtlinien, die es sich zu lesen lohnt, nicht Zusicherungen darüber, wie „privat" ein Logo aussieht.

Zweitens: wo die Inferenz geschieht. Ein Filter, der Klassifikation in den eigenen vier Wänden deines Providers durchführt, hat ein anderes Risikoprofil als Text, der an ein Drittanbieter-Modell gesendet wird, das du noch nie gehört hast. „On-Device oder In-Tenant" versus „an anderer Stelle gesendet" ist die Datenschutz-Weggabelung, die entscheidet, wer in der Theorie je etwas zu Gesicht bekommen könnte.

Das ist auch der Grund, warum die Panik um „es scannt alles" nach hinten losgeht. Die Systeme, die alles scannen, sind die, die dich schützen – die Klassifizierer, die die gefälschte Rechnung und die täuschend ähnliche Anmeldeseite blockieren. Das gefährliche Scannen ist die stille Art: das Tracking-Pixel in einem Newsletter, das einen Server anpingt, in dem Moment, in dem du es öffnest, deine IP-Adresse und die Zeit, zu der du es gelesen hast, loggend. Das ist ein echtes Schnüffeln, und es ist nicht der Spam-Filter.

Kümmere dich um Speicherung. Kümmere dich um das Ziel. Das Modell, das deine Wörter auf Hinweise liest, ist das Geringste davon.

@@END@@