ChatGPT kann jetzt Apple-Nachrichten auf dem Mac lesen und senden

OpenAIs neues Apple-Messages-Plugin gibt ChatGPT Zugriff auf Unterhaltungen in Apples Nachrichten-App auf dem Mac. Nach Erteilung der erforderlichen Berechtigungen kann ChatGPT Chats suchen und lesen, Gespräche zusammenfassen, Antworten formulieren und Nachrichten über die Nachrichten-App verschicken. Die Funktion steht in allen ChatGPT-Tarifen zur Verfügung, setzt derzeit aber einen Mac mit Apple-Chip voraus und funktioniert über ChatGPT Work oder Codex – nicht in einem gewöhnlichen Chat.

Damit ist ChatGPT nicht mehr nur eine Schreibhilfe. Das System kann persönliche Software nutzen und im Namen des Nutzers eine externe Handlung ausführen. Das spart Sucharbeit, Kopieren und den Wechsel zwischen Apps. Gleichzeitig kann ein Fehler, eine manipulierte Nachricht oder eine zu großzügige Berechtigung private Gespräche betreffen – oder dazu führen, dass ChatGPT tatsächlich als der Nutzer kommuniziert.

Was das Apple-Messages-Plugin kann

Das Plugin unterstützt die drei Nachrichtenformate, die Apples Nachrichten-App verarbeitet:

• iMessage
• SMS
• RCS

In diesen Unterhaltungen kann ChatGPT Chats finden und lesen, den Nachrichtenverlauf zusammenfassen oder analysieren, eine Antwort vorbereiten und sie über die Nachrichten-App senden.

Es handelt sich dabei nicht um eine Möglichkeit, ChatGPT aus der Ferne per iMessage zu bedienen. Das Plugin läuft in der ChatGPT-Desktop-App auf dem Mac und nutzt Apple Nachrichten als Nachrichtenprogramm.

Verfügbarkeit, Mac-Kompatibilität und Tarife

OpenAIs Dokumentation zufolge ist das Plugin in der ChatGPT-Desktop-App für macOS für alle ChatGPT-Tarife verfügbar. Es kann in ChatGPT Work und Codex, nicht aber in normalen ChatGPT-Unterhaltungen verwendet werden.

Wichtig ist die Unterscheidung bei der Hardware: Die Messages-Integration unterstützt derzeit Macs mit Apple-Chip. Die allgemeine ChatGPT-macOS-App läuft ab macOS 14 sowohl auf Apple Silicon als auch auf Intel-Prozessoren. Daraus folgt jedoch nicht, dass ein Intel-Mac auch dieses spezielle Plugin verwenden kann.

Die neue Desktop-App vereint Chat, Work und Codex. OpenAI beschreibt Work als Umgebung für längere, mehrstufige Aufgaben, während Codex auf Softwareentwicklung und technische Arbeit ausgerichtet ist. Das Messages-Plugin erweitert diese agentischen Arbeitsabläufe nun auf eine persönliche Kommunikations-App.

Bestätigungen vor dem Senden

Standardmäßig muss ChatGPT vor dem Versand sowohl die vorgeschlagene Nachricht als auch die vorgesehenen Empfänger vom Nutzer bestätigen lassen. Diese Abfrage ist der wichtigste Schutz gegen einen falschen Entwurf, den falschen Kontakt oder eine Nachricht, die ohne Wissen des Nutzers verschickt wird.

OpenAI warnt ausdrücklich vor dauerhaften Freigaben. Eine solche Einstellung kann die letzte Gelegenheit beseitigen, eine einzelne Nachricht zu prüfen, bevor ChatGPT sie im Namen des Nutzers versendet.

Der Unterschied zwischen Lesen und Senden ist entscheidend: Eine Zusammenfassung kann fehlerhaft oder unvollständig sein. Eine verschickte Nachricht kann dagegen sofort soziale, berufliche, finanzielle oder persönliche Folgen haben. Für die normale Nutzung sollte deshalb die Bestätigung vor jedem einzelnen Versand aktiviert bleiben – insbesondere bei unbekannten Empfängern oder sensiblen Themen.

Datenschutz: „Lokal“ bedeutet nicht automatisch privat

OpenAI hat erklärt, dass das Plugin auf dem Rechner des Nutzers lokal ausgeführt wird und keinen Index sämtlicher Nachrichten anlegt. Die verfügbaren Informationen belegen jedoch nicht vollständig, dass jede Nachricht ausschließlich auf dem Mac bleibt oder niemals von OpenAI verarbeitet beziehungsweise gespeichert wird.

Die vorsichtigste Interpretation lautet daher: Das Plugin nutzt den Mac und dessen lokalen Zugriff auf Apple Nachrichten, um relevante Unterhaltungen zu finden. Für Analyse, Zusammenfassung oder einen Antwortentwurf muss ChatGPT aber den Inhalt der ausgewählten Unterhaltung – oder daraus abgeleitete Informationen – verarbeiten können. Die vorliegende Dokumentation reicht nicht für die weitergehende Aussage aus, dass „alles lokal bleibt“.

Das betrifft auch Personen, die der Nutzung des Plugins nie zugestimmt haben. Nachrichten können persönliche Daten Dritter, private Gruppengespräche, Authentifizierungscodes, berufliche Informationen sowie rechtliche oder medizinische Angaben enthalten. Ein weitreichender Zugriff kann somit nicht nur die Privatsphäre des Kontoinhabers, sondern auch die anderer Beteiligter berühren. Berichte zum Start der Funktion haben entsprechende Apple- und Datenschutzfragen aufgeworfen.

Die wichtigsten Sicherheitsrisiken

Prompt-Injection in Nachrichten

Der Inhalt einer Nachricht ist grundsätzlich nicht vertrauenswürdig. Liest ein Agent eine Unterhaltung, kann manipulativer Text darin versuchen, den nächsten Schritt des Systems zu beeinflussen. Dieses Risiko wird als Prompt-Injection bezeichnet: Ein Text, der wie eine Anweisung aussieht, könnte vom Agenten als Befehl behandelt werden, obwohl er von einer anderen Person stammt.

Zu weitreichender Zugriff

Eine Anfrage zu einem einzigen Chat kann invasiver werden, wenn das Plugin Zugriff auf deutlich mehr Nachrichten erhält als notwendig. Je mehr Unterhaltungen ein Agent durchsuchen kann, desto größer ist die Wahrscheinlichkeit, dass fremde private Informationen in einer Zusammenfassung oder einem Arbeitsablauf auftauchen.

Falscher Empfänger oder irreführender Entwurf

ChatGPT kann eine plausibel klingende, aber sachlich falsche Antwort verfassen, den Gesprächskontext missverstehen oder den falschen Empfänger auswählen. Besonders heikel ist das bei Geld, Zugangsdaten, vertraulichen Arbeitsinhalten, Gesundheitsinformationen oder persönlichen Konflikten.

Dauerhafte Berechtigungen

Sicherheitsforscher stufen dauerhafte und nicht nach Aktionen getrennte Berechtigungen bei Agenten als erhebliches Risiko ein: Eine einmalige Freigabe kann über spätere Sitzungen hinweg bestehen bleiben und viele verschiedene Handlungen abdecken. Bei einer Nachrichten-Integration kann aus einer einmaligen Bestätigung so eine dauerhafte Erlaubnis werden, im Namen des Nutzers zu kommunizieren.

Codex verwendet laut seinem dokumentierten Sicherheitsmodell eine Sandbox und Freigaberichtlinien; der Netzwerkzugriff ist in der beschriebenen Agentenumgebung standardmäßig deaktiviert. Diese Kontrollen sind hilfreich, ersetzen aber nicht die menschliche Prüfung einer Nachricht, die das Gerät verlässt und eine andere Person erreicht.

Was die Integration über OpenAIs Agenten-Strategie verrät

Die Apple-Messages-Integration ist Teil einer größeren Entwicklung in der ChatGPT-Desktop-App. OpenAI verbindet Chat, Work und Codex und ergänzt Verknüpfungen zu Apps, Dateien, Bildschirminhalten und anderer Software.

Die Richtung ist eindeutig: ChatGPT soll nicht mehr nur isoliert Antworten erzeugen, sondern Kontext sammeln, mehrstufige Aufgaben erledigen und innerhalb der bereits verwendeten Programme handeln. Nachrichten sind dafür ein besonders sichtbares Beispiel, weil das Ergebnis nicht bei einer privaten Empfehlung bleibt – es kann zu einer externen Kommunikation im Namen des Nutzers werden.

Daraus ergibt sich ein einfacher Zielkonflikt: Jede Integration nimmt dem Nutzer manuelles Suchen, Kopieren und Klicken ab. Gleichzeitig vergrößert sie den persönlichen Kontext, den ein KI-System verarbeiten kann, und erhöht die Folgen eines Fehlers oder einer manipulierten Anweisung.

So lässt sich das Plugin vorsichtiger nutzen

Für weniger kritische Aufgaben – etwa das Auffinden einer alten Unterhaltung oder das Erstellen eines Entwurfs – kann die Integration praktisch sein. Bei sensiblen Inhalten empfiehlt sich eine zurückhaltende Konfiguration:

1. Nur den kleinstmöglichen sinnvollen Zugriff auf Apple Nachrichten gewähren.
2. Die Bestätigung für jeden einzelnen Versand aktiviert lassen.
3. Vor der Freigabe Empfänger, Nachrichtentext, Anhänge und Gesprächskontext kontrollieren.
4. Das Plugin nicht für Passwörter, Authentifizierungscodes, regulierte Informationen oder besonders wichtige rechtliche, medizinische oder finanzielle Kommunikation einsetzen.
5. Anweisungen innerhalb von Nachrichten als nicht vertrauenswürdigen Inhalt behandeln – nicht als Befehle an den Agenten.

Die Kernfunktion ist durchaus beeindruckend: Auf unterstützten Macs kann ChatGPT direkt mit iMessage-, SMS- und RCS-Unterhaltungen arbeiten. Sicher bleibt das Feature jedoch vor allem dann, wenn es ein Assistent bleibt, der Aktionen vorschlägt – und kein unbeaufsichtigtes System mit dauerhafter Erlaubnis, für den Nutzer zu sprechen.