Wissen · Tool-Anleitungen

E-Mail-Header analysieren: woher eine Mail wirklich kommt

Der sichtbare Absender lässt sich fälschen — der Header verrät den tatsächlichen Zustellweg.

Eine E-Mail sieht aus wie von Ihrer Bank, dem Paketdienst oder einer Kollegin. Doch der Name im Absenderfeld ist nur ein Etikett: Er lässt sich frei eintragen, ähnlich wie der Absender auf einem Briefumschlag. Wer wissen will, über welche Server eine Nachricht tatsächlich gelaufen ist und ob der angezeigte Absender überhaupt echt sein kann, muss den E-Mail-Header lesen. Dort protokolliert jeder beteiligte Mailserver seinen Teil des Weges. Genau das nutzt das Werkzeug «E-Mail-Header-Analyse»: Es zerlegt die Received-Kopfzeilen zum Zustellweg, wertet die Prüfergebnisse für SPF, DKIM und DMARC aus und zeigt die Ursprungs-IP. Das Werkzeug läuft vollständig im Browser — die Kopfzeilen verlassen Ihren Rechner nicht.

Was im Header steht

Jede E-Mail besteht aus zwei Teilen: dem sichtbaren Inhalt und dem meist verborgenen Header mit technischen Kopfzeilen. Die wichtigsten für die Herkunftsanalyse sind:

• Received: Für jeden Server, der die Mail weitergereicht hat, wird eine Zeile ergänzt — von unten nach oben in zeitlicher Reihenfolge. Die unterste Received-Zeile zeigt in der Regel das erste, ursprüngliche System samt IP-Adresse. Bei einer echten Bank-Mail führt die Kette über deren eigene Server; bei einer Fälschung endet sie oft bei einem völlig fremden Anbieter.
• From und Return-Path: «From» ist der angezeigte Absender und leicht fälschbar. Der Return-Path — die Umschlag-Adresse, an die Fehlermeldungen gehen — weicht bei Fälschungen häufig deutlich davon ab.
• Authentication-Results: Hier trägt Ihr eigener Mailanbieter ein, ob SPF, DKIM und DMARC bestanden wurden.

Wichtig: Verlässlich sind nur die Zeilen, die Ihr vertrauenswürdiger Anbieter selbst hinzugefügt hat. Alles, was ein Absender-Server weiter unten eingetragen hat, kann er ebenso gut erfunden haben.

Ein durchgerechnetes Beispiel

Angenommen, Sie erhalten eine Mail, die vorgibt, von «Ihre Bank» zu stammen. Der relevante Ausschnitt des Headers sieht so aus:

Drei Dinge fallen auf: Der angezeigte Absender lautet @ihre-bank.example, doch eingeliefert wurde die Mail über den Server konto-check-secure.example mit der IP 203.0.113.47 — und auch der Return-Path zeigt auf diese fremde Domain. Das Ergebnis spf=fail bedeutet, dass die Bank-Domain diesen Server gar nicht zum Versand berechtigt hat. dkim=none heisst, es gibt keine gültige Signatur, und dmarc=fail fasst zusammen, dass die Nachricht die Richtlinie der angeblichen Absender-Domain nicht erfüllt. In Summe ist das ein sehr deutliches Warnsignal.

SPF, DKIM und DMARC in einem Satz

• SPF prüft, ob der einliefernde Server überhaupt für die Absender-Domain versenden darf.
• DKIM prüft per kryptografischer Signatur, ob die Mail unterwegs unverändert blieb und wirklich von der signierenden Domain stammt.
• DMARC verknüpft beides mit der sichtbaren From-Adresse und legt fest, was bei Nichtübereinstimmung geschehen soll.

Ein «pass» bei allen drei Prüfungen ist ein gutes Zeichen — aber kein Freibrief. Betrüger können auf einer eigenen, ähnlich klingenden Domain durchaus gültige Einträge einrichten. Umgekehrt kann ein «fail» harmlose Ursachen haben, etwa eine Weiterleitung, die SPF technisch bricht. Das Werkzeug liest die Ergebnisse, die Ihr Mailanbieter bereits vermerkt hat; es identifiziert keine Person hinter einer Adresse.