E-Mail-Header auslesen
Fügen Sie die rohen Header einer Nachricht ein, und Sie sehen, wer sie wirklich gesendet hat, ob SPF, DKIM und DMARC bestanden wurden und welchen Weg sie von Server zu Server genommen hat. Das Tool liest, was der empfangende Mail-Server bereits in den Headern vermerkt hat. Es hilft Ihnen beim E-Mail-Header lesen und ist kein Urteil darüber, ob eine Nachricht sicher ist.
E-Mail-Header analysieren: so geht's
- Öffnen Sie die Nachricht in Ihrer Mail-App, wählen Sie „Original anzeigen“ oder „Quelltext anzeigen“ und kopieren Sie den Header-Block (alles oberhalb der Leerzeile vor dem Nachrichtentext).
- Fügen Sie ihn in das Feld Rohe E-Mail-Header ein (bis zu 200.000 Zeichen). Mit Löschen leeren Sie das Feld.
- Klicken Sie auf Header auswerten. Erkennt das Tool im Text keinen Header, bekommen Sie einen Hinweis und können erneut einfügen.
- Lesen Sie die Ergebnisse: Betreff und Datum, danach die Karten Echter Absender, Authentifizierung und Route. Der Zurück-Pfeil führt zum eingefügten Text, Neu starten setzt alles zurück.
Absender einer E-Mail herausfinden
Drei Adressen können voneinander abweichen, und genau die Unterschiede sind aufschlussreich. Return-Path ist das Ziel für Unzustellbarkeitsmeldungen und wird vom Server gesetzt, der die Nachricht wirklich versendet hat. From sind Name und Adresse, die Ihr Posteingang anzeigt. Reply-To ist das Ziel Ihrer Antwort, und Sender erscheint, wenn die Nachricht im Namen der From-Adresse gesendet wurde. Die Karte zeigt außerdem die Erste öffentliche IP-Adresse in der Route.
Darunter können zwei Hinweise stehen. „From und Return-Path liegen auf derselben Domain“ ist der erwartete Fall. „From und Return-Path liegen auf verschiedenen Domains“ ist ein Anlass, genauer hinzusehen; Newsletter- und Mailingdienste tun das aber zu Recht. Bei „Antworten gehen an eine andere Domain als die in From“ lohnt sich ein zweiter Blick, bevor Sie antworten.
SPF, DKIM, DMARC: Ergebnis prüfen und verstehen
Die Karte Authentifizierung zeigt jede Prüfung als Badge, dazu die vermerkten Eigenschaften wie smtp.mailfrom, header.d und header.from. SPF fragt, ob der sendende Server für die Domain senden durfte, DKIM, ob die Nachricht signiert ist und die Signatur stimmt, und DMARC, ob die eigene Richtlinie der Domain die Nachricht akzeptiert.
- Bestanden: Der empfangende Server hat die Prüfung durchgeführt, und sie war erfolgreich.
- Fehlgeschlagen: Der Server war nicht autorisiert oder die Signatur passte nicht.
- Softfail: Nur bei SPF. Der Server ist wohl nicht autorisiert, die Domain verlangt aber keine Ablehnung.
- Neutral: Die Domain trifft keine Aussage.
- Keine: Die Domain hat nichts zum Abgleich veröffentlicht.
- Temporärer Fehler und Permanenter Fehler: Der Server konnte die Prüfung nicht abschließen, etwa wegen einer DNS-Zeitüberschreitung oder eines defekten Eintrags.
- Richtlinie: Die Richtlinie des empfangenden Servers hat entschieden.
- Nicht überprüft: Eine DKIM-Signatur ist vorhanden, aber kein Server hat ein Ergebnis vermerkt.
- Nicht gefunden: In den Headern steht kein Ergebnis für diese Prüfung.
Die Ergebnisse stammen aus dem obersten Authentication-Results-Header, auch in der Outlook-Variante ohne Server-ID. Fehlt er, greift SPF auf Received-SPF und DKIM auf den DKIM-Signature-Header zurück.
Route der E-Mail lesen (Received-Zeilen)
Jeder Server, der die Nachricht bearbeitet, setzt oben eine Received-Zeile. Die Karte Route dreht die Reihenfolge um, sodass die älteste Station zuerst steht. Pro Station sehen Sie den sendenden Server (von), seine IP-Adressen, den empfangenden Server (an), das Protokoll, die Zeit in UTC und wie lange sie nach der vorherigen Station lag. Die Zusammenfassung nennt die Zahl der Server und die gesamte Laufzeit.
Eine lange Pause zwischen zwei Stationen zeigt, wo die Nachricht gewartet hat, zum Beispiel in einer Warteschlange oder einem Spamfilter. Mit Rohwerte anzeigen sehen Sie unter jeder Zeile den genauen Header-Text.
E-Mail-Header in Outlook oder Gmail anzeigen
In Gmail öffnen Sie die Nachricht, wählen im Drei-Punkte-Menü „Original anzeigen“ und kopieren den Header-Block am Anfang. Um einen E-Mail-Header in Outlook auszulesen, suchen Sie die Eigenschaften oder Nachrichtendetails der Mail (im klassischen Outlook: Datei, dann Eigenschaften; im neuen Outlook: Ansicht, dann Nachrichtendetails anzeigen). Die Menünamen ändern sich je nach Version. Die meisten anderen Mail-Apps haben eine ähnliche Option, um den Quelltext anzuzeigen.
Was das Tool nicht kann
Es überprüft keine Signaturen und fragt nichts im DNS ab. Es meldet die Ergebnisse, die der empfangende Mail-Server in die Header geschrieben hat. Eine gefälschte Nachricht kann mit erfundenen Authentication-Results-Zeilen ankommen: Vertrauenswürdig ist nur die oberste Zeile, die Ihr eigener Anbieter hinzugefügt hat. Zeilen aus der Zeit davor stammen von anderen und können gefälscht sein. Das Tool gibt keine Garantie, dass eine Nachricht sicher oder unsicher ist, und ermittelt nicht, wo eine IP-Adresse steht.
Ihre Header werden in Ihrem Browser gelesen. Es wird nichts hochgeladen oder gespeichert. Abgeschnittene oder fehlerhafte Header verursachen keine Fehler: Umgebrochene Zeilen sowie codierte Namen und Betreffs werden dekodiert, und das Lesen endet an der Leerzeile vor dem Nachrichtentext.
Häufige Fragen
Wie kann ich einen E-Mail-Header richtig lesen?
Kopieren Sie den vollständigen Header-Block aus der Nachricht, fügen Sie ihn in „Rohe E-Mail-Header“ ein und klicken Sie auf „Header auswerten“. Die Ergebnisse ordnen die wichtigen Zeilen: die Karte „Echter Absender“ (Return-Path, From, Reply-To), die Karte „Authentifizierung“ (SPF, DKIM, DMARC) und die Karte „Route“ mit jedem Server, den die Nachricht durchlaufen hat. Mit „Rohwerte anzeigen“ sehen Sie den genauen Header-Text hinter jeder Zeile.
Wie kann ich den E-Mail-Header in Outlook oder Gmail anzeigen?
In Gmail öffnen Sie die Nachricht, nutzen das Drei-Punkte-Menü und wählen „Original anzeigen“; dann kopieren Sie den Header-Block oben. In Outlook suchen Sie die Eigenschaften oder Nachrichtendetails (im klassischen Outlook: Datei, dann Eigenschaften; im neuen: Ansicht, dann Nachrichtendetails anzeigen). Die Menünamen ändern sich je nach Version, und die meisten anderen Mail-Apps haben eine ähnliche Option.
Woher kam eine E-Mail wirklich?
Sehen Sie sich auf der Karte „Echter Absender“ den Return-Path und die „Erste öffentliche IP-Adresse in der Route“ an. Der Return-Path wird vom Server gesetzt, der die Nachricht tatsächlich gesendet hat, und die erste öffentliche IP ist die früheste externe Adresse in den Received-Zeilen. Beides kann ein Mail-Dienst statt einer Person sein, und eine gefälschte Nachricht kann die Zeilen fälschen, die sie von Anfang an trägt. Betrachten Sie beides als Hinweis, nicht als Beweis.
Kann ich die IP-Adresse aus einer E-Mail herausfinden?
Oft ist eine IP-Adresse zu sehen, aber nicht immer die des Absenders selbst. Das Tool listet die IP-Adressen jeder Received-Zeile auf und markiert die erste öffentliche in der Route. Wer über Gmail, Outlook oder einen Newsletter-Dienst sendet, dessen Adresse gehört dem Mail-Server und nicht dem Handy oder Computer. Einen Standort zu einer IP-Adresse ermittelt das Tool nicht.
Woran erkenne ich, ob eine E-Mail gefälscht ist?
Vergleichen Sie die Identitäten und lesen Sie die Authentifizierungsergebnisse. Ein Warnhinweis erscheint, wenn From und Return-Path auf verschiedenen Domains liegen oder wenn Antworten an eine andere Domain gehen als die in From. Prüfen Sie dann SPF, DKIM und DMARC: Ein „Fehlgeschlagen“ bei DMARC ist bei einer Nachricht, die von einer Bank oder einer bekannten Person stammen will, ein Warnsignal. Verschiedene Domains sind bei Newslettern normal; die Hinweise sind Anlass zum genauen Hinsehen, kein Urteil.
Was bedeutet SPF Softfail?
Softfail heißt, dass der SPF-Eintrag der sendenden Domain den liefernden Server wohl nicht autorisiert, eine Ablehnung aber nicht verlangt. Empfangende Server nehmen solche Mails oft an und markieren sie. Ein Softfail ist also eine Warnung und kein Beweis für eine Fälschung. „Fehlgeschlagen“ ist das strengere Ergebnis, „Neutral“ bedeutet, dass die Domain keine Aussage trifft.
Warum steht im Header „Nicht überprüft“, „Keine“ oder „Nicht gefunden“?
„Nicht überprüft“ bedeutet: Eine DKIM-Signatur ist vorhanden, aber kein Server hat ein Ergebnis vermerkt. „Keine“ heißt, die Domain hat nichts zum Abgleich veröffentlicht. „Nicht gefunden“ heißt, dass die Header gar kein Ergebnis für diese Prüfung enthalten; das passiert, wenn der empfangende Server keines vermerkt oder wenn nur ein Teil der Header eingefügt wurde. „Richtlinie“, „Temporärer Fehler“ und „Permanenter Fehler“ hat der Server selbst eingetragen.
Kann ich den Authentication-Results-Zeilen im Header vertrauen?
Nur der obersten Zeile, die Ihr eigener Mail-Anbieter hinzugefügt hat. Zeilen aus früheren Stationen stammen von anderen Servern und können vom Absender gefälscht sein. Dieses Tool liest die Zeilen so, wie sie vermerkt sind; es prüft keine Signaturen und fragt kein DNS ab, sondern meldet, was Ihr Anbieter bereits entschieden hat.
Ist das Tool kostenlos, und werden meine Header hochgeladen?
Es ist kostenlos und braucht kein Konto. Die Header werden in Ihrem Browser gelesen und weder hochgeladen noch gespeichert. Der eingefügte Text ist auf 200.000 Zeichen begrenzt, weit mehr als ein normaler Header-Block.
Empfohlen
-
Yubico Security Key C NFCGefälschte Mail entdeckt? Sichere deine Konten mit einem echten Sicherheitsschlüssel.
-
YubiKey 5C NFCEin vielseitiger Schlüssel für Admin- und Firmenlogins, phishing-sicher.
-
Belkin 4-Port-USB-C-Hub (100 W)Mehr Anschlüsse für den Laptop, mit dem du Mailproblemen nachgehst.
Hilft, die Tools kostenlos zu halten. ✨
Symbolbilder. Als Amazon-Partner verdiene ich an qualifizierten Verkäufen.
