E-Mail-Header-Decoder
Der Absendername in Ihrem Mailprogramm ist das, was der Absender gerade eintippen wollte. Die Header darunter halten fest, was wirklich passiert ist. Fügen Sie sie hier ein, und Ihr Browser entschlüsselt sie Zeile für Zeile.
Eine Nachricht, vier Absenderfelder
Ein Brief aus Papier hat unten einen unterschriebenen Namen, einen Absender auf dem Umschlag und einen Poststempel, den die Post hinzufügt. Nichts zwingt diese drei, übereinzustimmen. Bei E-Mail ist es genauso, mit einem Feld mehr.
| Feld | Gesetzt von | Wofür es dient |
|---|---|---|
| Anzeigename | Dem Absender, frei wählbar | Der einzige Teil, den die meisten Handys zeigen. Er kann alles sagen, auch „PayPal“ oder eine komplette falsche Adresse. |
From-Adresse | Dem Absender | Die Adresse, die Ihr Mailprogramm anzeigt, und die, die DMARC schützt. |
Return-Path | Dem sendenden Server | Wohin Unzustellbarkeitsmeldungen gehen. SPF prüft diese Adresse, und sie liegt oft auf einer anderen Domain als From. |
Reply-To | Dem Absender | Wohin Ihre Antwort geht, wenn Sie auf „Antworten“ klicken. |
Der Block „Wer sie wirklich sendet“ stellt die vier nebeneinander und zeigt die registrierbare Domain der From-Adresse fett. So liest sich paypal.com.account-review.help als das, was es ist: ein Name unter account-review.help.
Das Urteil Ihres eigenen Anbieters
Wenn eine Nachricht ankommt, prüft sie der empfangende Dienst (Gmail, Outlook, der Server Ihrer Firma) und schreibt das Ergebnis oben in einen Authentication-Results-Header. Dieses Tool wiederholt diese Prüfungen nicht. Es liest diesen Header, weil es die eine Zeile ist, die der Absender auf keinen Fall schreiben konnte.
spf=pass- Der verbindende Server steht auf der Liste, die die
Return-Path-Domain veröffentlicht. dkim=pass- Eine kryptografische Signatur deckt die Nachricht ab und ist noch gültig, der Inhalt wurde also nicht verändert. Der Wert
d=nennt die Domain, die signiert hat. dmarc=pass- Mindestens eine der beiden Prüfungen hat bestanden, und ihre Domain passt zu der in
From.
Gibt es mehrere Authentication-Results-Header, zählt nur der oberste. Die anderen wurden früher auf dem Weg hinzugefügt und könnten gefälscht sein. Gibt es gar keinen, greift das Tool auf den neuesten ARC-Authentication-Results zurück, danach auf Received-SPF.
Ein Pass beweist, dass die Nachricht von der Domain kommt, die sie nennt. Er beweist nicht, dass diese Domain die Firma ist, an die Sie denken. Jeder kann paypal-billing-alerts.help registrieren und perfekt einrichten, und die Beispielnachricht auf dieser Seite besteht alle drei Prüfungen.
Die Warnsignale, nach denen der Decoder sucht
Die Signale werden in drei Stufen eingeteilt. Ein einziges rotes reicht für das Gesamturteil „Starke Warnzeichen“, Gelb ergibt „Vorsicht“.
- Anzeigename gegen Adresse. Ein Name, der eine andere E-Mail-Adresse enthält oder eine Marke aus unserer Liste nennt, während die Adresse auf einer anderen Domain liegt. Rot ist es, wenn diese Adresse ein kostenloses Postfach wie gmail.com ist.
- Absender-Domain. Gemischte Schriftsysteme, unsichtbare Zeichen oder eine Schreibweise, die nur ein oder zwei Buchstaben von einer bekannten Marke abweicht. Es sind dieselben Tests, die der Detektor für verwechselbare Zeichen durchführt.
- Reply-To auf einem kostenlosen Postfach, während die Nachricht vorgibt, von der Domain einer Organisation zu kommen. Das ist das Muster hinter gefälschten Rechnungen und der „dringenden Bitte des Geschäftsführers“.
- Fehlgeschlagene Prüfungen.
dmarc=failist rot. SPFfailodersoftfailund eine ungültige DKIM-Signatur sind gelb, weil ehrliche Weiterleitungen und Mailinglisten sie auch verursachen. - Filtermarkierungen. Microsofts Spam Confidence Level (SCL) von 5 oder mehr, eine Kategorie wie
PHSHoderSPOOF,compauth=failoder einX-Spam-Flag: YES.
Wenn Sie die ganze Nachricht einfügen oder die .eml-Datei hineinziehen, wird auch der Text ausgewertet, ohne angezeigt zu werden und ohne dass etwas daraus geladen wird. Links werden nach ihrer echten Ziel-Domain gruppiert, nachdem Weiterleitungen von Microsoft Safe Links, Proofpoint und Google aufgelöst wurden. Ein Link, dessen sichtbarer Text eine Website nennt, während seine Adresse zu einer anderen führt, ist rot. Anhänge werden nach Endung beurteilt: Programme und Skripte, doppelte Endungen wie invoice.pdf.exe, HTML-Seiten, Office-Dateien mit Makros.
Den Weg lesen
Jeder Server, der eine Nachricht bearbeitet, setzt eine Received-Zeile über die bereits vorhandenen. Der Decoder dreht sie in chronologische Reihenfolge und zeigt für jede Station, welche Maschine die Nachricht an welche übergeben hat, ob die Verbindung mit TLS verschlüsselt war und wie lange die Station gedauert hat. Jede Verzögerung über einer Stunde wird hervorgehoben.
Der „Ursprungsserver“ ist die erste öffentliche IP-Adresse auf dem Weg, und er verdient etwas Misstrauen. Die frühesten Stationen werden von den Maschinen des Absenders selbst geschrieben und können also erfunden sein. Die letzten Stationen, von Ihrem Anbieter hinzugefügt, sind die, auf die Sie sich verlassen können. Bei Mails, die über einen Webmail-Dienst verschickt wurden, ist der Ursprung der Server dieses Dienstes, nicht der Internetanschluss des Schreibenden zu Hause.
Header können nicht sagen, ob ein echtes Konto übernommen wurde. Eine Nachricht aus dem gehackten Postfach eines Kollegen besteht hier jede Prüfung. Wenn eine Nachricht also nach Geld, einem Passwort oder einer Änderung der Bankverbindung fragt, bestätigen Sie das über einen Kanal, dem Sie schon vertrauen, etwa eine Telefonnummer, die Sie schon vor der Nachricht hatten.
Häufige Fragen
Wie sehe ich die vollständigen Header einer E-Mail?
In Gmail öffnen Sie die Nachricht, klicken auf das Drei-Punkte-Menü und wählen „Original anzeigen“. In Outlook im Web ist es „…“ und dann Ansicht › Nachrichtendetails anzeigen. In Apple Mail Darstellung › E-Mail › Alle Header. Der Kasten über den Ergebnissen auf dieser Seite listet die Schritte für jedes Programm auf.
Kann ich aus den Headern den Standort oder die IP-Adresse des Absenders herausfinden?
Manchmal bekommen Sie die IP-Adresse des sendenden Servers, selten die der Person. Gmail, Outlook.com und die meisten Webmail-Dienste lassen die eigene Adresse des Schreibenden weg. Und eine IP-Adresse kennzeichnet ein Netz, keine Straße.
Die Nachricht hat SPF, DKIM und DMARC bestanden. Ist sie sicher?
Es bedeutet, dass die Nachricht von der Domain in der From-Adresse gesendet und nicht verändert wurde. Prüfen Sie jetzt Buchstabe für Buchstabe, ob diese Domain wirklich die der Organisation ist. Die eigene Domain eines Betrügers besteht die Authentifizierung genauso leicht wie jede andere.
Warum ist SPF bei einer Nachricht fehlgeschlagen, die echt aussieht?
Meist wegen einer Weiterleitung. Wenn ein Postfach automatisch an ein anderes weiterleitet, steht der weiterleitende Server nicht auf der SPF-Liste der ursprünglichen Domain. Wenn DKIM trotzdem besteht, besteht auch DMARC, und die Nachricht ist in Ordnung.
Was bedeuten SCL, BCL und compauth in Outlook-Headern?
Das sind Ergebnisse der Microsoft-Filter. SCL ist das Spam Confidence Level, von -1 (vertrauenswürdig) bis 9, und ab 5 landet die Nachricht im Junk-Ordner. BCL bewertet Massenversender von 0 bis 9. compauth ist Microsofts Gesamturteil aus SPF, DKIM, DMARC und Absenderreputation.
Kann ich hier gefahrlos eine private E-Mail einfügen?
Ein Skript in Ihrem Browser verarbeitet den Text, und er wird nicht an unseren Server geschickt. Kein Link in der Nachricht wird geöffnet und kein Bild abgerufen, der Absender kann also nicht erkennen, dass Sie sie untersucht haben.