So kommst du an die Kopfzeilen
- Outlook (neu und Web): Nachricht öffnen → „…“ → „Anzeigen“ → „Nachrichtendetails anzeigen“.
- Outlook (klassisch): Nachricht per Doppelklick öffnen → „Datei“ → „Eigenschaften“ → Feld „Internetkopfzeilen“.
- Gmail: Nachricht öffnen → ⋮ → „Original anzeigen“ → „In Zwischenablage kopieren“.
- Apple Mail: „Darstellung“ → „E-Mail“ → „Reine Quelle“ (⌥⌘U).
- Thunderbird: „Ansicht“ → „Nachrichtenquelltext“ (Strg+U).
Du kannst auch den kompletten Quelltext einfügen, der Text nach der ersten Leerzeile wird ignoriert.
Den Zustellweg lesen
Jeder Server, der eine Mail weiterreicht, setzt oben eine Received-Zeile davor. Die unterste Zeile ist also die erste Station, die oberste die letzte bei dir.
Nur die Zeilen, die deine eigenen Server geschrieben haben, sind vertrauenswürdig. Alles darunter kann der Absender erfunden haben. Die Verzögerung ergibt sich aus der Differenz zweier Zeitstempel. Große Sprünge entstehen meist durch Greylisting, Warteschlangen oder Spamfilter, manchmal auch durch falsch gehende Uhren.
SPF, DKIM und DMARC
- SPF prüft, ob der einliefernde Server für die Domain im Return-Path senden darf.
- DKIM prüft eine Signatur über Kopf und Inhalt. Sie bleibt beim Weiterleiten meist gültig.
- DMARC verlangt zusätzlich, dass SPF oder DKIM zur Domain im sichtbaren From passen. Erst das schützt vor gefälschten Absendern.
Das Ergebnis steht in Authentication-Results, die der empfangende Server schreibt. Fehlt dort ein „pass“, prüfst du die Einträge der Absenderdomain im SPF-, DMARC- und DKIM-Check, die IP-Adressen der Stationen per Reverse-DNS im DNS-Lookup.
Typische Phishing-Hinweise
Antwort-Adresse bei einem Freemailer, ein Anzeigename, der wie eine andere Adresse aussieht, DMARC „fail“ trotz bekannter Marke oder eine erste Station in einem ganz anderen Netz als üblich. Keiner dieser Punkte beweist allein etwas, mehrere zusammen sind ein starkes Signal.
FAQ
Werden meine E-Mails hochgeladen?
Nein. Die Auswertung läuft komplett in JavaScript in deinem Browser. Nur wenn du auf eine IP-Adresse oder Domain klickst, öffnet sich das jeweilige Werkzeug mit diesem Wert.
Warum ist DMARC „fail“, obwohl SPF und DKIM „pass“ sind?
SPF und DKIM gelten dann für eine andere Domain als die im sichtbaren From, oft die eines Versanddienstes. Damit DMARC besteht, muss mindestens eine davon zur Absenderdomain passen, z. B. durch eine DKIM-Signatur mit der eigenen Domain beim Versanddienst.
Was bedeutet SCL bei Microsoft 365?
Der Spam Confidence Level reicht von −1 (vertrauenswürdig) über 0–1 (kein Spam) bis 5–9 (Spam). Ab 5 landet die Mail normalerweise im Junk-Ordner.
Warum steht bei der ersten Station eine private IP-Adresse?
Viele Absender reichen Mails intern von einem Anwendungsserver an ihr Mail-Gateway weiter. Interessant für die Herkunft ist die erste Station mit öffentlicher Adresse.
Kann ein Absender die Received-Zeilen fälschen?
Die Zeilen unterhalb des ersten fremden Servers, ja. Die Zeilen, die dein eigener Mailserver und der direkt einliefernde Server geschrieben haben, nicht.