E-Mail-Header analysieren

So zeigen Sie den E-Mail-Header an

Der Header ist der Kopf einer Mail: eine Liste von Zeilen wie From, Subject und Received, die Programme beim Versand und bei jeder Weitergabe anhängen. Ihr Mailprogramm zeigt nur einen Teil davon. Den vollständigen Text holen Sie so:

• Outlook für Windows: Mail per Doppelklick in einem eigenen Fenster öffnen, dann Datei und Eigenschaften wählen. Der Header steht im Feld Internetkopfzeilen. Beschreibt Microsoft für das klassische Outlook auf der Hilfeseite zu Internetkopfzeilen; das neue Outlook hat einen anderen Weg.
• Gmail im Browser: Mail öffnen, beim Dreipunkt-Menü neben Antworten „Original anzeigen“ wählen und dort „In die Zwischenablage kopieren“ anklicken. So steht es in der Gmail-Hilfe.
• web.de: Mail öffnen, rechts oben das Dreipunkt-Menü und dann „Mehr Informationen“ wählen. Das nennt der Blog von WEB.DE; eine Hilfeseite dazu haben wir nicht gefunden, die Menünamen können sich ändern.
• Andere Programme: Suchen Sie in der Hilfe nach „Header“, „Kopfzeilen“ oder „Quelltext“. Menüpfade für Apple Mail und Thunderbird nennen wir nicht, weil wir sie nicht an der Herstellerseite bestätigen konnten.

Kopieren Sie den Header in das Feld oben oder speichern Sie die Mail als .eml-Datei und wählen Sie sie dort aus. Gelesen wird nur der Kopf bis zur ersten Leerzeile, höchstens 1 MB. Den Mailtext zeigt das Werkzeug nie an, Links darin werden nicht geöffnet und Bilder nicht geladen.

Received-Zeilen: den Weg der Mail von unten lesen

Jeder Server, der eine Mail annimmt, setzt eine Received-Zeile an den Anfang des Headers (RFC 5321, Abschnitt 4.4). Die oberste Zeile stammt deshalb vom letzten Server, die unterste vom ersten. Das Werkzeug dreht die Reihenfolge um und zeigt eine Zeitleiste: Station 1 ist der Anfang, die letzte Station Ihr Postfach. Je Station sehen Sie den übergebenden Server (from), den annehmenden (by), das Protokoll (with), den Zeitstempel und die Zeit seit der vorigen Station.

Eine Verzögerung ab fünf Minuten markiert die Seite als auffällig. Das ist ein Richtwert dieses Werkzeugs und keine Norm: Greylisting, Viren-Scan oder ein überlasteter Server erklären oft Wartezeiten. Zeitstempel aus verschiedenen Zeitzonen rechnet das Werkzeug auf UTC um, bevor es die Differenz bildet. Liegt ein Stempel vor dem der Vorstation, gehen die Uhren der Server auseinander.

IP-Adressen in eckigen Klammern hebt die Seite hervor. Adressen aus den privaten Bereichen 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 (RFC 1918) kennzeichnet sie als intern, denn sie sind aus dem Internet nicht erreichbar. Eine interne Adresse in der untersten Zeile ist normal, wenn die Mail aus einem Firmennetz oder Heimnetz verschickt wurde. Verlassen können Sie sich nur auf die Zeilen Ihrer eigenen Server ganz oben. Alles weiter unten hat der Absender oder ein fremder Server geschrieben, und das lässt sich fälschen.

From, Return-Path und Reply-To: wer wirklich sendet

Eine Mail hat zwei Absender. Der sichtbare steht im From-Feld, den setzt der Absender frei (RFC 5322). Der technische Absender steht im Return-Path; dorthin gehen Fehlermeldungen. Er stammt aus dem Briefumschlag der Übertragung. Versanddienste für Newsletter und Rechnungen setzen hier legitim eine eigene Domain ein, deshalb ist ein Unterschied nur ein Hinweis, kein Beweis.

Reply-To bestimmt, wohin Ihre Antwort geht. Weicht die Domain von der im From-Feld ab, schreiben Sie womöglich an jemand anderen, als Sie glauben. Das Werkzeug meldet diese Fälle, lässt Subdomains derselben Domain aber durch. Als „dieselbe Domain“ gelten die letzten zwei Namensteile, bei Endungen wie co.uk die letzten drei; das ist eine Näherung ohne vollständige Liste öffentlicher Endungen. Außerdem prüft es, ob der Anzeigename selbst eine E-Mail-Adresse enthält, die nicht zur echten Adresse passt. Ein Name wie „service@bank.example“ vor einer fremden Adresse ist ein klassischer Trick, weil viele Programme nur den Namen anzeigen.

Namen mit Umlauten stehen im Header als „Encoded Word“ (RFC 2047), etwa =?UTF-8?B?UHLDvGZ1bmc=?= für „Prüfung“. Das Werkzeug dekodiert Betreff und Anzeigenamen, damit Sie den Klartext lesen.

SPF, DKIM und DMARC im Header verstehen

Der Empfangsserver prüft jede Mail und schreibt das Ergebnis in die Zeile Authentication-Results (RFC 8601). Sie beginnt mit der Kennung des prüfenden Servers, der authserv-id, danach folgen die Methoden:

• SPF: Darf der sendende Server für die Domain senden? Geprüft wird die Domain aus smtp.mailfrom, also der Return-Path-Domain.
• DKIM: Trägt die Mail eine gültige Signatur? header.d nennt die signierende Domain, header.s den Schlüssel („Selector“).
• DMARC: Passt SPF oder DKIM zur Domain im sichtbaren From-Feld? Nur dann ist dmarc=pass.

Wichtig ist, wessen Zeile Sie lesen. Vertrauen dürfen Sie nur der obersten Authentication-Results-Zeile, die Ihr eigener Mailanbieter gesetzt hat. Ein Betrüger kann eine erfundene Zeile mit lauter „pass“ in die Mail schreiben; seriöse Empfangsserver ignorieren oder entfernen sie. Deshalb zeigt das Werkzeug alle Zeilen, kennzeichnet aber nur die oberste als maßgeblich. Die Ergebnisse bewertet es so: dmarc=fail als starkes Warnzeichen, spf=fail und dkim=fail als auffällig, denn sie treffen auch echte Mails, zum Beispiel nach einer Weiterleitung.

Kommt die Mail über Weiterleitungen oder Mailinglisten, finden Sie zusätzlich ARC-Zeilen (RFC 8617). Sie halten fest, was eine Zwischenstation geprüft hat. Das Werkzeug zeigt die Kette je Instanz an, prüft die Signaturen aber nicht nach. Wie Sie SPF, DKIM und DMARC für die eigene Domain einrichten, erklärt der Ratgeber E-Mail-Spam: SPF, DKIM und DMARC einrichten. Die DNS-Einträge einer Domain testet der E-Mail-Check.

Typische Zeichen einer gefälschten Mail

Das BSI beschreibt auf seiner Seite „Wie erkenne ich Phishing in E-Mails und auf Webseiten?“, worauf Sie im sichtbaren Teil achten. Im Header kommen diese Merkmale dazu, die das Werkzeug regelbasiert prüft:

• Der Anzeigename nennt eine andere Adresse als die echte Absenderadresse.
• Reply-To oder Return-Path liegen bei einer Domain, die mit dem Absender nichts zu tun hat.
• Die Absenderdomain beginnt mit xn--. Das ist Punycode, die Schreibweise für Domains mit Sonderzeichen. Betrüger nutzen sie, um bekannte Namen mit einem fast gleich aussehenden Buchstaben nachzubauen. Das Werkzeug schreibt die Domain aus, damit Sie den Unterschied sehen.
• Authentication-Results zeigt dmarc=fail.
• Der Header hat mehrere From-Felder oder gar keins.

Eine Markenliste hat das Werkzeug bewusst nicht. Sie wäre schnell veraltet und würde echte Mails falsch beschuldigen. Wie Phishing mit KI-Texten aussieht, steht im Artikel KI-Phishing erkennen; üben können Sie im Phishing-Quiz.

Was der Header nicht verrät

Der Header beweist nichts. Der Absender schreibt ihn, und jede Zeile unterhalb Ihrer eigenen Server kann erfunden sein. Dieses Werkzeug fragt außerdem kein DNS ab, lädt keine Schlüssel und prüft keine DKIM-Signatur nach; dafür bräuchte es den Mailtext und Internetzugriff. Es bestimmt auch keinen Standort zu einer IP-Adresse. Die Aussage „sicher“ oder „kein Phishing“ trifft es nie.

Umgekehrt gilt: Ein sauberer Header entlastet die Mail nicht. Betrüger registrieren eigene Domains, richten SPF, DKIM und DMARC dafür korrekt ein, und die Mail besteht alle Prüfungen. Ebenso scheitern echte Absender an falsch konfigurierten Domains. Betrachten Sie das Ergebnis deshalb als Hinweis, der eine Entscheidung stützt, und nicht als Urteil.

Verdächtige Mail erhalten: so gehen Sie vor

1. Klicken Sie keinen Link und öffnen Sie keinen Anhang, solange Sie unsicher sind.
2. Fragen Sie beim angeblichen Absender über einen Weg nach, den Sie schon kennen: die Telefonnummer von der Karte, die Adresse aus Ihrem Adressbuch, die App der Bank. Antworten Sie nicht auf die Mail selbst.
3. Haben Sie schon geklickt und Zugangsdaten eingegeben, ändern Sie das Passwort sofort über die offizielle Seite. Die ersten Schritte beschreibt der Artikel E-Mail-Konto gehackt: die erste Stunde.
4. Melden Sie die Mail dem Anbieter, bei dem Sie Kunde sind, und löschen Sie sie danach.

Möchten Sie Ihren Rechner insgesamt prüfen, hilft der PC-Sicherheits-Check. Weitere Werkzeuge zu dem Thema finden Sie unter IT & Sicherheit.