Wie in-boxed funktioniert
Was genau passiert, wenn du in-boxed nutzt, Schritt für Schritt, in einfacher Sprache. Die Technik steht auch da, einen Klick entfernt.
Probier es hier aus
Beispieldaten. Es ist kein Postfach verbunden, es wird nichts verschickt und nichts abgebucht.
Dein Postfach wird gescannt…
Absender gefunden
Wir gehen deine Nachrichten durch und lesen nur die Absenderzeilen.
Du verbindest Gmail oder Outlook mit Nur-Lese-Zugriff
Wenn du auf "Postfach scannen" klickst, öffnet sich Googles oder Microsofts eigenes Zustimmungsfenster direkt in deinem Browser, je nachdem was du verbindest. Du erteilst in-boxed Nur-Lese-Zugriff über den offiziellen gmail.readonly-OAuth-Scope (Gmail) oder den delegated Mail.ReadBasic-Scope (Outlook, Hotmail, Live), dieselbe Art Berechtigung, die jeder Anbieter für seinen eigenen Abmelde-Button nutzt. Wir sehen nie dein Passwort, und das Token bleibt im Browser, es geht nie an unsere Server.
Die technische Version
Google Identity Services Token-Flow (OAuth 2.0, gmail.readonly) für Gmail; manueller OAuth-2.0-Authorization-Code+PKCE-Flow (delegated Mail.ReadBasic) für Outlook. In beiden Fällen lebt das kurzlebige Token nur im Browser, kein Refresh-Token, nichts serverseitig gespeichert.
Wir lesen E-Mail-Header, nie den Inhalt
Dein Browser ruft die Gmail-API oder Microsoft-Graph-API direkt auf und fordert ausschließlich Metadaten an: den From-Header (Absender), den List-Unsubscribe-Header (Abmeldeweg) sowie List-Id und Reply-To (um Mailinglisten zu erkennen und ihren Support zu erreichen). Inhalt, Betreff und Anhänge sind technisch ausgeschlossen. Die Daten gehen direkt von Google oder Microsoft an deinen Browser, nie über unsere Server.
Die technische Version
Gmail: messages.get mit format=metadata und metadataHeaders=['List-Unsubscribe','List-Id','Reply-To','From'], clientseitig an gmail.googleapis.com. Outlook: $select=from,replyTo,internetMessageHeaders, clientseitig an graph.microsoft.com. Bei keinem von beiden gehen Inhalt oder Postfachdaten über unsere Server.
Wir bauen eine entduplizierte Absenderliste
Wir durchsuchen dein ganzes Postfach, bis zu 1.000 Mails inklusive Archiv, und listen jeden eindeutigen Absender, der eine Mailingliste ist. Kamen 20 Mails vom selben Newsletter, erscheint er einmal. Du siehst die volle Liste, bevor du zahlst.
Die technische Version
Entduplizierung nach vollständiger Absenderadresse. Ein Absender zählt als Newsletter bei List-Unsubscribe- oder List-Id-Header. Sortiert nach Menge, der lauteste Absender zuerst: das ist die Reihenfolge, in der du entscheidest, nicht unsere Abmeldemethode.
Du entscheidest pro Absender, dann legen wir los
Bevor etwas gesendet wird, siehst du die volle Liste, sortiert danach, wie viel dir jeder Absender schickt. Jeder Absender steht bereits auf Abmelden; Behalten ist deine Entscheidung und nie unsere Annahme. Danach gibt es drei Ausgänge, und in-boxed wählt den Weg, nicht du. Die meisten Absender haben eine automatische Abmeldung, und dein Browser schickt diese Anfrage direkt an sie. Manche verwalten Abos auf ihrer eigenen Einstellungsseite, dafür bekommst du einen direkten Link. Und wo beides fehlt, der Absender aber eine Mailingliste ist, bereiten wir eine schriftliche Abmelde-Mail an den Support vor, einen formellen DSGVO-Widerspruch, den du selbst sendest. Eine vierte Gruppe veröffentlicht gar keinen Weg, und das sagen wir, statt so zu tun als ob. Bezahlt wird einmal, kurz bevor die Anfragen rausgehen, separat über Stripe und ohne Gmail- oder Outlook-Daten.
Die technische Version
HTTP POST mit Body "List-Unsubscribe=One-Click" nach RFC 8058, clientseitig. Rechtsgrundlage: DSGVO Artikel 21, CAN-SPAM Abschnitt 5. Eine https-URL ohne passenden List-Unsubscribe-Post-Header ist kein Maschinen-Endpunkt, sondern eine Seite für Menschen, und wird dir deshalb als Link gegeben statt gePOSTet. Absender ohne List-Unsubscribe erhalten eine DSGVO-Abmelde-Mail an Reply-To oder From.
Deine Sitzung endet, alles ist weg
Wenn du den Tab schließt, wird das kurzlebige Gmail- oder Microsoft-Token, das nur je im Browser lebte, mit ihm verworfen, und ebenso die Scan-Liste. Unsere Server haben deine Postfachdaten nie erhalten. Wir haben keine Datenbank, also keine Spur von deiner Adresse, deinen Absendern oder sonst etwas. Du kannst den Zugriff jederzeit in deinen Google-Kontoberechtigungen oder den App-Berechtigungen deines Microsoft-Kontos entziehen.
Die technische Version
Das Token wird nur im Browser-Tab gehalten und läuft schnell ab (Gmail: etwa eine Stunde). Unsere Server erhalten oder speichern nie Gmail- oder Outlook-Daten, keine Datenbank, keine Logs.
Vom Chaos zur Ruhe
Zieh den Regler. So viel Werbemail kommt vor und nach in-boxed an. Wir stoppen den Strom, wir löschen nie etwas.
Häufige Fragen dazu, wie es funktioniert
Kann in-boxed meine Betreffzeilen oder Inhalte sehen?
Nein. Wir fordern ausschließlich Header-Metadaten bei der Gmail-API oder Microsoft-Graph-API an, das Inhalt, Betreff und Anhänge ausdrücklich ausschließt. Die Antwort enthält nur die von uns angegebenen Header.
Speichert in-boxed meine E-Mail-Adresse?
Nein. Wir kennen deine Adresse nicht, außer du gibst sie freiwillig über das Feedback-Formular an. Dein Gmail oder Outlook wird über ein kurzlebiges Token angesprochen, das im Browser bleibt und nie an unsere Server geht.
Worin unterscheidet sich das vom Abmelden in Gmail oder Outlook?
Funktional identisch, beide nutzen den List-Unsubscribe-Header. Der Unterschied: Gmail oder Outlook macht es Mail für Mail. in-boxed macht es für dein ganzes Postfach auf einmal.
Was, wenn ein Absender keinen List-Unsubscribe-Header hat?
Ist der Absender trotzdem eine Mailingliste (List-Id-Header), erzeugen wir eine fertige DSGVO-Abmelde-Mail an seinen Support oder seine Absenderadresse, so werden auch Absender behandelt, die den Header bewusst weglassen.
Ist die Abmeldung rechtlich bindend?
Der List-Unsubscribe-Header selbst ist ein technischer Standard, kein Gesetz. Verpflichtet wird der Absender durch die DSGVO: Artikel 21 verlangt unverzügliches Handeln (spätestens innerhalb eines Monats), CAN-SPAM verlangt eine Bearbeitung binnen 10 Werktagen. Absender, die danach weiter mailen, verstoßen gegen diese Gesetze.
Überzeug dich selbst
Der Scan ist kostenlos. Keine Zahlung, bis du dich abmeldest.
Postfach kostenlos scannen →