Jede E-Mail, die den digitalen Postweg durchläuft, gleicht einem Brief mit einem hochkomplexen Begleitdokument: dem E-Mail-Header (Kopfzeile). Während die sichtbare Nachricht nur den Inhalt präsentiert, enthält der Header wertvolle Metadaten über den Absender, die genauen Übertragungswege, die verwendeten Server und Sicherheitsmechanismen. Das Auslesen dieser Daten ist eine der effektivsten Methoden, um Spam, Phishing-Versuche oder technische Probleme zu analysieren.
Warum der Blick in den Header lohnenswert ist
Der Header fungiert als digitales Protokoll der E-Mail. Er liefert Antworten auf Fragen, die im normalen E-Mail-Client verborgen bleiben:
- Wahre Herkunft: Wer hat die E-Mail technisch wirklich versendet?
- Übertragungsweg: Über welche Server ist die E-Mail gelaufen?
- Authentifizierung: Wurden Sicherheitsstandards wie SPF, DKIM oder DMARC eingehalten?
- Zeitstempel: Wann genau wurde die Nachricht verarbeitet?
Schritt-für-Schritt: Header auslesen in gängigen Clients
Da viele E-Mail-Programme den Header aus Platzgründen ausblenden, variiert der Weg zur Anzeige je nach verwendetem Dienst:
1. Outlook (Desktop-Version)
- Die betreffende E-Mail per Doppelklick öffnen, sodass sie in einem eigenen Fenster erscheint.
- Im Menüband oben auf „Datei“ klicken.
- Den Punkt „Eigenschaften“ auswählen.
- Im unteren Bereich des sich öffnenden Fensters findet sich das Feld „Internetkopfzeilen“. Der gesamte Text in diesem Feld kann kopiert und analysiert werden.
2. Gmail (Web-Browser)
- Die E-Mail im Browser öffnen.
- Rechts neben der Antwort-Schaltfläche (die drei vertikalen Punkte für „Mehr“) auf den Button klicken.
- „Original anzeigen“ auswählen.
- Es öffnet sich ein neues Fenster, das den vollständigen Header sowie den Inhalt der Nachricht anzeigt.
3. Thunderbird
- Die E-Mail öffnen.
- Auf die Schaltfläche „Mehr“ klicken (oder das Menü „Ansicht“ nutzen).
- „Quellcode anzeigen“ (oder
Strg + U) wählen.
Den Header lesen: Die wichtigsten Zeilen verstehen
Ein E-Mail-Header ist umfangreich. Die entscheidenden Informationen verbergen sich oft hinter wenigen Schlüsselwörtern:
From:: Dies ist der Name/die Adresse, die der Absender in den Client eingetragen hat. Achtung: Diese Angabe ist leicht fälschbar.Received:: Dies ist der wichtigste Teil des Headers. Er zeigt jeden Server an, den die E-Mail passiert hat – von unten nach oben. Die oberste „Received“-Zeile ist der letzte Server, der die E-Mail empfangen hat.Return-Path:: Diese Adresse gibt an, wohin Unzustellbarkeitsmeldungen geschickt werden. Oft weicht sie von der „From“-Adresse ab – ein starkes Indiz für Spam.Authentication-Results:: Hier lässt sich ablesen, ob die Sicherheitsprüfungen (SPF, DKIM, DMARC) erfolgreich waren. „Pass“ bedeutet, dass die Identität des Absenders bestätigt wurde.
Spam Hinweise im Header
Bestimmte Merkmale im E-Mail-Header können bei der Analyse auf Spam oder Phishing hinweisen:
- Diskrepanz zwischen Absenderangaben: Ein Abgleich zwischen dem Feld
From:(angezeigter Absender) und demReturn-Path:oder derEnvelope-From-Adresse zeigt oft Abweichungen, was ein klassisches Anzeichen für gefälschte Absenderidentitäten ist. - Fehlgeschlagene Authentifizierungs-Ergebnisse: Im Feld
Authentication-Results:deuten Einträge wiespf=fail,dkim=failoderdmarc=faildarauf hin, dass die E-Mail die Sicherheitsprüfungen des Absenderservers nicht bestanden hat und somit nicht verifiziert werden konnte. - Ungewöhnliche „Received“-Einträge: Die Kette der
Received:-Zeilen protokolliert den Weg der E-Mail. Auffällig sind hierbei Serverpfade, die durch Länder führen, die in keinem logischen Zusammenhang zur Organisation des vermeintlichen Absenders stehen, oder eine übermäßig hohe Anzahl an beteiligten Servern („Relays“). - Unplausible X-Mailer-Header: Informationen im Feld
X-MaileroderUser-Agent, die auf veraltete Software oder bekannte Massenmail-Tools hinweisen, können ebenfalls auf den automatisierten Versand von Spam hindeuten. - Fehlende oder gefälschte Message-ID: Eine fehlende
Message-IDoder eine ID, die nicht dem Standardformat des angeblichen E-Mail-Dienstanbieters entspricht, wird häufig bei automatisierten Spam-Skripten beobachtet.
Analyse mit Online-Tools
Wer die kryptischen Header-Zeilen nicht manuell entschlüsseln möchte, kann auf spezialisierte Tools zurückgreifen. Dienste wie der Header Analyzer von MXToolbox oder das Google Admin Toolbox Messageheader-Tool erlauben das einfache Einfügen des kopierten Textes. Diese Tools bereiten die Daten übersichtlich auf, identifizieren Verzögerungen bei der Zustellung und geben Warnungen aus, falls Sicherheitsprüfungen fehlgeschlagen sind.
| Tool / Methode | Funktionsweise | Fokus |
| EmailHeaderAnalyzer (z. B. von MXToolbox) | Analysiert den Kopfbereich (Header) einer E-Mail auf Unregelmäßigkeiten. | Technische Herkunft & Routing |
| VirusTotal | Prüft E-Mail-Anhänge oder Links auf Malware und Phishing-Signaturen. | Sicherheit von Inhalten |
| Have I Been Pwned | Überprüft, ob die eigene E-Mail-Adresse in bekannten Datenlecks auftaucht. | Gefährdungspotenzial der Adresse |
| PhishTank | Community-basierte Datenbank zum Abgleich verdächtiger URLs. | Identifizierung von Phishing-Seiten |
| E-Mail-Provider-Filter | Nutzung der integrierten, serverseitigen KI-Filter (z. B. Gmail, Outlook). | Automatischer Spam-Schutz |
Das Auslesen des E-Mail-Headers erfordert kein Informatikstudium, bietet aber einen tiefen Einblick in die digitale Kommunikation. Bei Unsicherheit bezüglich der Echtheit einer E-Mail ist der Blick in die „Internetkopfzeilen“ die sicherste Methode, um die Identität des Absenders zu verifizieren und potenzielle Betrugsversuche bereits vor dem Öffnen von Anhängen oder Links zu entlarven.
