GrabMail 6.9 / 10

GrabMail ist ein Wegwerf-E-Mail-Dienst, der kurzlebige Adressen auf geteilten Domains vergibt und das dort Eingehende im Browser, über eine REST-API oder über einen Model-Context-Protocol-Server lesen lässt. Das .io-Register datiert die Domain auf den 4. August 2026, womit sie zu den jüngsten Einträgen dieses Verzeichnisses gehört. Nichts wird im Voraus angelegt, nichts bezahlt, und jede Nachricht wird fünf Tage nach ihrem Eintreffen gelöscht.

Funktionsweise

Wählen Sie einen beliebigen Namen auf grabmail.io, mixozia.com oder linqmail.com — das Postfach existiert, sobald Post es erreicht. Dieses Postfach wird über drei API-Pfade geöffnet: GET /api/v1/mailbox listet das Wartende, GET /api/v1/message/{id} liefert Kopfzeilen, beide Textteile und Anhänge, und DELETE auf demselben Pfad entfernt eine Nachricht vorzeitig. Jede Nachricht trägt ein expires_at fünf Tage voraus, und der gesamte Vertrag ist als OpenAPI-3.1-Dokument veröffentlicht. Ein MCP-Server unter /mcp bietet KI-Agenten dieselben Operationen, darunter ein wait_for_message, das bis zum Eintreffen der Post blockiert, statt in einer Schleife zu pollen. Eine eigene Domain kommt dazu, indem ihr MX auf smtp.grabmail.io zeigt; angeschlossen wird sie von der ersten eintreffenden Nachricht. Der Dienst empfängt ausschließlich — es gibt überhaupt keinen Sendepfad, und genau das hindert einen Dienst ohne Authentifizierung daran, als Relay missbraucht zu werden.

KYC und Datenschutz

Es gibt keine Anmeldung, also auch nichts zu erfragen: keine E-Mail, kein Passwort, keine Telefonnummer, keine Zahlung, kein Cookie. Die Datenschutzerklärung zählt auf, was nie erhoben wird, statt Zurückhaltung zu versprechen, und keine Seite lädt ein Drittanbieter-Skript oder einen Analyse-Tag. Gewöhnliche Verbindungsprotokolle existieren, gelten als kurzlebig und rotierend und werden nicht mit Nachrichteninhalten verknüpft. Der Preis dafür steht überall auf der Seite und gehört wiederholt: auf einer geteilten Domain ist die Adresse das einzige Geheimnis. Wer sie kennt oder errät, liest dieses Postfach über dieselbe öffentliche API. Die halbe Abhilfe ist der Alias — eine zweite Adresse je Postfach, die dorthin zustellt, beim Lesen aber ein leeres Postfach zurückgibt, sodass ein Dienst, dem Sie den Alias gegeben haben, nicht zurückkommen und den Rest des Postfachs lesen kann.

Stärken und Schwächen

Jede Obergrenze wird veröffentlicht statt entdeckt: 5 MB je Anhang, ein Lesezugriff pro Sekunde und Adresse, 1200 Anfragen pro Minute und Client, darüber ein 429 mit Retry-After. Eingehende Post läuft auf einem gewöhnlichen MTA mit Warteschlange und STARTTLS: Fällt die Speicherschicht aus, hält er Nachrichten, statt sie abzuweisen, und eine zugestellte Nachricht erscheint binnen Sekunden in der API. Die Schwächen sind struktureller Art. Der Betreiber ist anonym — keine Firma, keine Gerichtsbarkeit, keine Kontaktadresse, förmliche Zustellungen laufen über die Registrierstelle der Domain — und der Code ist geschlossen, ohne veröffentlichtes Audit. Die eigene Statustafel des Dienstes markiert API, Mailzustellung und Aufbewahrung derzeit als noch nicht gemessen, was offen ist, aber drei von vier Komponenten von außen unüberprüfbar lässt. Auch die Dokumentation zu eigenen Domains widerspricht sich: Die Einrichtungsseite nennt sie kostenlos, schlüssellos und für jeden lesbar, während die Nutzungsbedingungen sie pro Domain abrechnen und die Datenschutzerklärung einen Schlüssel samt Abrechnungssatz festhält.

Fazit

GrabMail erreicht 6,9 / 10 auf KYC-Stufe anonymous (L1). Als Installation für einen Bestätigungscode — eine Testsuite, ein CI-Lauf, ein Agent, der ein Anmeldeformular ausfüllt — ist es gut gebaut und schnell, und es ist ungewöhnlich ehrlich über die eine Eigenschaft, die es für alles andere ausschließt: Ein öffentliches Postfach hat kein Schloss. Wer Vertraulichkeit statt Wegwerfbarkeit braucht, sollte die eigene Domain darauf richten und das Postfach trotzdem als von Fremden lesbar behandeln — oder gleich ein Alias-Relay mit echter Authentifizierung wählen.