E-Mail-Header-Analyse: Wer hat diese E-Mail wirklich gesendet?

So kopieren Sie die Header einer E-Mail

• Mail auf dem Mac: Wählen Sie die Nachricht aus, wählen Sie View ▸ Message ▸ All Headers (Umschalt-Befehl-H) und kopieren Sie dann die Zeilen oberhalb des Nachrichtentextes. Oder wählen Sie View ▸ Message ▸ Raw Source und kopieren Sie den oberen Teil bis zur ersten Leerzeile.
• Gmail: Öffnen Sie die Nachricht, klicken Sie auf die drei Punkte neben „Antworten“, wählen Sie Original anzeigen und kopieren Sie alles oberhalb der Nachricht.
• Outlook: Öffnen Sie die Nachricht, wählen Sie File ▸ Properties (Windows) oder View Source (Mac, Web) und kopieren Sie die Internet-Header.

Was SPF, DKIM und DMARC Ihnen sagen

• SPF prüft, ob der Server, der die E-Mail zugestellt hat, für die Domain in ihrem Umschlag (dem Return-Path) E-Mails versenden darf.
• DKIM prüft eine Signatur der sendenden Domain und belegt, dass die Nachricht unterwegs nicht verändert wurde.
• DMARC verknüpft beides mit der Adresse, die Sie unter „Von“ sehen: Es gilt nur als bestanden, wenn SPF oder DKIM für genau diese Domain bestanden haben. Ein DMARC-Fehler bei einer E-Mail Ihrer Bank bedeutet, dass jemand anderes sie geschrieben hat.

Die Ergebnisse trägt Ihr eigener E-Mail-Anbieter beim Eintreffen der E-Mail in den Header Authentication-Results ein, und dieses Tool liest sie aus. Ein „pass“ belegt, welche Domain die Nachricht gesendet hat, nicht dass die Domain ehrlich ist: Betrüger registrieren ähnlich aussehende Domains und richten auch SPF und DKIM ein, also prüfen Sie die Domain im Absender genau.

Was die Header sonst noch verraten

• Ein Reply-To auf einer anderen Domain, sodass Ihre Antwort beim Betrüger statt beim Unternehmen landet.
• Ein Anzeigename, der eine andere E-Mail-Adresse enthält, um in Ihrem Posteingang eine vertrauenswürdige Adresse vorzutäuschen.
• Ein kostenloses Postfach (Gmail, Outlook, Yahoo), das im Namen einer Bank, eines Shops oder einer Behörde sendet.
• Die Kette der Received-Zeilen, von unten nach oben gelesen: der erste Server, den die E-Mail durchlaufen hat.