GrabMail schreibt den Satz hin, den die Konkurrenz vergräbt: Wer die Adresse errät, liest die Post.

So funktioniert es

Wählen Sie einen beliebigen lokalen Teil auf grabmail.io, mixozia.com oder linqmail.com — das Postfach existiert bereits, ohne Anlegeschritt und ohne dass etwas im Voraus reserviert wird. Was ankommt, liegt gleichzeitig auf zwei Wegen offen: einer Postfachseite und einer REST-API aus drei Pfaden. GET /api/v1/mailbox listet das Wartende, GET /api/v1/message/{id} liefert Kopfzeilen, beide Textteile und alle Anhänge, DELETE auf demselben Pfad entfernt eine Nachricht vorzeitig, und jede Nachricht trägt ein expires_at fünf Tage voraus. Der Vertrag ist als OpenAPI 3.1 veröffentlicht, und dieselben Operationen laufen über Model Context Protocol auf /mcp, wo wait_for_message blockiert, bis Post eintrifft, statt einen Agenten pollen zu lassen. Eine eigene Domain kommt dazu, indem ihr MX auf smtp.grabmail.io zeigt; die erste eintreffende Nachricht ist es, die sie anschließt. Post wird ausschließlich angenommen, nie versendet: Es gibt keinen Sendepfad, und genau das hindert einen schlüssellosen Dienst daran, zum Relay zu werden.

KYC & Privatsphäre

Nichts identifiziert einen Nutzer, weil nichts erhoben wird. Kein Konto, keine E-Mail-Adresse, kein Passwort, kein Cookie und keine Analytik — die Datenschutzerklärung zählt die Abwesenheiten auf, statt Zurückhaltung zu versprechen, und keine Seite lädt eine Drittressource, die dem widerspräche. Gewöhnliche Verbindungsprotokolle existieren, werden als kurzlebig und rotierend beschrieben und nicht mit Nachrichteninhalten zusammengeführt. Was fehlt, ist jede Form von Authentifizierung: Auf einer geteilten Domain ist die Adresse das einzige Geheimnis, und wer sie errät, liest das Postfach über dieselbe öffentliche API. GrabMail sagt das auf der Startseite, im Postfach, in den FAQ und in der Erklärung, was offener ist als in dieser Kategorie üblich. Die halbe Antwort darauf ist der Alias — eine zweite Adresse pro Postfach, die dorthin zustellt, beim Lesen aber ein leeres Postfach zurückgibt, sodass ein Dienst, bei dem Sie sich angemeldet haben, nicht alles Übrige durchgehen kann, was dort angekommen ist.

Stärken und Grenzen

Für etwas Verschenktes ist die Technik diszipliniert. Obergrenzen werden veröffentlicht statt entdeckt — 5 MB je Anhang, ein Lesezugriff pro Sekunde und Adresse, 1200 Anfragen pro Minute und Client, darüber 429 mit Retry-After — und der Begrenzer greift schon beim ersten Schwall. Eingehende Post läuft über einen gewöhnlichen MTA mit Warteschlange und STARTTLS: Fällt die Speicherschicht aus, hält er die Nachrichten, statt sie abzuweisen, und eine übergebene Nachricht erscheint binnen Sekunden in der API. Die Grenzen sind dagegen struktureller Natur. Der Betreiber ist anonym: keine Firma, keine Gerichtsbarkeit, keine Kontaktadresse, förmliche Zustellungen laufen über die Registrierstelle. Das .io-Register führt die Domain als am 4. August 2026 angelegt, es gibt also keine Historie zu gewichten, und die eigene Statustafel des Dienstes markiert API, Mailzustellung und Aufbewahrung als noch nicht gemessen — drei von vier Komponenten unüberwacht, offen gesagt statt kaschiert. Auch die Dokumentation zu eigenen Domains widerspricht sich: Die Einrichtungsseite nennt sie kostenlos, schlüssellos und für jeden lesbar, während die Nutzungsbedingungen sie pro Domain abrechnen und die Datenschutzerklärung einen Schlüssel und einen Abrechnungssatz dazu festhält.

Verdikt

Um in einer Testsuite, einem CI-Lauf oder einem Agentendurchlauf einen Bestätigungscode abzufangen, ist GrabMail gut gebaut und ungewöhnlich ehrlich darüber, was es nicht sein will. Für alles, was ein Fremder nicht lesen soll, fällt es konstruktionsbedingt aus, und ein im August 2026 registrierter Dienst hatte keine Zeit, Vertrauen zu erwerben oder zu verspielen. Note: C (6,9/10). Vertrauen: TRUSTED.