OpenAI bringt Lese-, Entwurfs- und Sendezugriff auf Apple Messages

OpenAI hat ein natives ChatGPT-Plugin veröffentlicht, das dem Assistenten erlaubt, Apple-Messages-Unterhaltungen direkt aus der ChatGPT-Desktop-App auf einem Mac zu lesen, zu durchsuchen, zu entwerfen und zu versenden. Das Plugin deckt iMessage-, SMS- und RCS-Threads ab und funktioniert bisher nur mit der Apple-Silicon-Version der App, Intel-Macs bleiben also außen vor. Es steht in allen ChatGPT-Tarifen der Desktop-App zur Verfügung, einschließlich der geschäftsorientierten Stufen Work und Codex, und 9to5Mac sowie MacRumors berichteten beide am 20. August 2026 über den Rollout.

Die Aktivierung bedeutet, drei macOS-Berechtigungen zu erteilen: Automatisierung, Zugriff auf Kontakte und vollständigen Festplattenzugriff. Das sind bewusst weitreichende Freigaben, denn das Plugin muss Nachrichteninhalte sehen können, um sie zu durchsuchen und zusammenzufassen, und es braucht Kontaktnamen, um eine Antwort korrekt zu adressieren. OpenAIs eigene Plugin-Dokumentation beschreibt die Funktion als lokal auf dem Mac laufend, ohne Fernzugriff auf Messages durch den Assistenten.

Nach der Installation kann eine Person ChatGPT bitten, eine Nachricht aus monatealter Chat-Historie herauszusuchen, den Inhalt eines Gruppenchats zusammenzufassen oder eine Antwort in einem bestimmten Ton zu entwerfen. Der Assistent kann diese Antwort dann selbst über die Messages-App versenden, unter der Identität des Absenders. Genau dieser letzte Schritt, das eigenständige Verfassen und Absenden einer Nachricht im Namen des Nutzers, verändert das Risikoprofil, ChatGPT auf einem Firmenlaptop zu installieren.

Die Freigabe ist die einzige Bremse, und sie lässt sich abschalten

Zwischen einem von ChatGPT entworfenen Text und dessen Eintreffen auf dem Telefon einer echten Person steht genau eine Freigabeabfrage. Standardmäßig fragt OpenAIs System vor jedem Versand nach Bestätigung und zeigt dabei Empfänger und Text an, damit ein Fehler noch auffällt, bevor die Nachricht rausgeht. Dieser Standard ist das gesamte Sicherheitskonzept: Es gibt keine zweite Prüfung, keine Verzögerung, keine Kontrolle durch eine andere Person.

Nutzer können diesen Standard abschwächen. Die Auswahl 'Immer für diesen Chat senden erlauben' entfernt die Abfrage pro Nachricht für eine bestimmte Unterhaltung, und OpenAIs eigene Dokumentation warnt, dass damit die letzte Gelegenheit entfällt, eine Nachricht zu prüfen, bevor sie unter dem eigenen Namen verschickt wird. Das Unternehmen empfiehlt, die Freigabe pro Nachricht für jeden Chat aktiv zu lassen, der irreführende oder manipulierte Anweisungen enthalten könnte, ein Eingeständnis, dass sich das Modell durch gelesene Inhalte steuern lässt.

Diese Warnung ist wichtig, weil Lese- und Sendefunktion des Plugins denselben Kanal teilen. Eine Nachricht, die der Assistent zusammenfassen soll, könnte im Prinzip auch Text enthalten, der an den Assistenten selbst gerichtet ist, und das Einzige, was zwischen diesem Text und einer ausgehenden Nachricht steht, ist die Freigabeeinstellung, die der Nutzer irgendwann Wochen zuvor gewählt und danach vergessen hat.

Warum Sendezugriff die Rechnung für ein Unternehmen ändert

Jeder verbreitete KI-Assistent, der bisher auf einem Arbeitsgerät gelandet ist, war ein Lese- und Vorschlagswerkzeug, kein Sendewerkzeug. Copilot entwirft eine E-Mail, auf die eine Person noch selbst auf Senden klicken muss; ein Chatbot fasst ein Dokument zusammen, legt es aber nicht ab. ChatGPTs Apple-Messages-Plugin überschreitet diese Grenze: Sobald ein Chat als 'immer erlauben' markiert ist, kann der Assistent eine echte Nachricht unter dem Namen eines echten Mitarbeiters an einen echten Kunden oder Kollegen verschicken, ohne dass vorher ein Mensch mitliest.

Die Daten, auf die das Plugin zugreift, sind genau das, was ein Unternehmen schützen möchte: die vollständige Nachrichtenhistorie über private und geschäftliche Kontakte hinweg, die Kontaktliste selbst und das Muster, wer wann mit wem spricht. Vollständiger Festplattenzugriff ist eine weitreichende macOS-Berechtigung, und sie irgendeiner Anwendung zu erteilen, erst recht einer, die auch handeln kann, ist normalerweise eine Entscheidung für einen Freigabeprozess, nicht für eine Ein-Klick-Plugin-Installation.

Nichts davon macht die Funktion für sich genommen leichtsinnig; die Freigabeschwelle ist eine echte Kontrolle, und OpenAI hat das Risiko ihrer Abschaltung klar dokumentiert. Es bedeutet aber, dass ein freigabegebundener KI-Agent mit der Fähigkeit, Nachrichten im Namen eines Mitarbeiters zu senden, genau auf der Geräteflotte gelandet ist, für die IT- und Sicherheitsteams verantwortlich sind, und zwar über ein gewöhnliches App-Update statt über ein Beschaffungsgespräch.

Was ein Unternehmen tun sollte, bevor Mitarbeiter es aktivieren

Eine schriftliche Haltung muss existieren, bevor dieses Plugin auf einem verwalteten Mac auftaucht, nicht danach. Sicherheits- und IT-Teams sollten über ihre MDM-Plattform festlegen, ob die ChatGPT-Desktop-App überhaupt vollständigen Festplattenzugriff, Kontaktzugriff und Automatisierungsrechte anfragen darf, und ob sich diese Entscheidung für einen privaten BYOD-Mac von einem firmeneigenen Gerät unterscheidet. Diese Abwägung stellt sich besonders oft in deutschen Mittelstandsunternehmen mit ausgeprägter BYOD-Kultur, wo Sicherheitsrichtlinien für private Geräte traditionell schwächer durchgesetzt werden.

Wo das Plugin erlaubt ist, ist die vernünftige Voreinstellung, die Freigabe pro Nachricht als feste Regel zu verlangen und 'immer für diesen Chat senden erlauben' als etwas zu behandeln, das nur ein benannter Risikoverantwortlicher freigeben kann, nicht als Bequemlichkeitseinstellung eines einzelnen Mitarbeiters. Die Anweisung an das Personal sollte klar sein: den Assistenten in einem kundenbezogenen oder vertraglichen Chat nie ohne vorheriges Gegenlesen senden lassen, und einem Gruppenchat mit gemischten privaten und geschäftlichen Kontakten nie dauerhaften Sendezugriff gewähren.

Am stärksten gefährdet sind die Mitarbeiter, die den Freigabedialog nie lesen, deshalb muss die Regel mit der Software mitreisen und nicht in einem Dokument liegen, das niemand öffnet. Ein kurzer interner Hinweis, verschickt bevor das Update die Firmen-Macs erreicht, kostet deutlich weniger als die erste Nachricht, die ein Kunde erhält und die im Team niemand tatsächlich so absenden wollte.

Weiterlesen: OpenAI steckt jetzt jeden Nutzer unter 18 in ein anderes ChatGPT  |  ChatGPTs neue Merkfunktion lässt Europa erstmal aus