E-Mail-Header-Analysator

Fügen Sie die rohen Header einer Nachricht ein — oder ziehen Sie die ganze .eml herein — und erhalten Sie die Geschichte, die sie erzählen: die Received-Kette Hop für Hop mit der Verzögerung an jedem Schritt, die SPF-, DKIM- und DMARC-Urteile, die Ihr Anbieter aufgezeichnet hat, ob Reply-To und Return-Path still auf andere Domains als die From zeigen, und die Links des Textkörpers entschärft und seine Anhänge markiert. Jeder Befund wird mit seinem Grund und seinem Gewicht aufgelistet. Es läuft vollständig in Ihrem Browser: Header sind eine Karte Ihres Mailwegs, und Karten sollte man nicht zur Inspektion hochladen.

Oder ziehen Sie eine .eml-Datei irgendwo in dieses Feld, oder wählen Sie eine aus:

Das Beispiel ist erfunden — ein „Bank-Alarm“, der DMARC nicht besteht, auf eine andere Geschichte antwortet, als er erzählt, auf eine rohe IP verlinkt und eine statement.pdf.exe mit sich führt.

So kommen Sie an die Header einer Nachricht

Jeder Mailclient versteckt sie einen Menüpunkt tiefer, als er sollte. In Gmail öffnen Sie die Nachricht, klicken auf das Drei-Punkte-Menü und wählen „Original anzeigen“ — der vollständige Headerblock steht oben in dem, was erscheint, über dem kodierten Textkörper. In Outlook im Web ist es „Nachrichtenquelle anzeigen“ unter denselben drei Punkten; im Desktop-Outlook öffnen Sie die Nachricht, dann zeigt Datei → Eigenschaften die Internet-Header in einem Feld unten. Apple Mail nutzt Darstellung → E-Mail → Alle Header oder Rohdaten für die ganze Datei. Um dem Analysator die vollständigen Beweise zu übergeben, speichern oder exportieren Sie die Nachricht als .eml (Gmails „Nachricht herunterladen“, Apple Mails Datei → Sichern unter im Rohdatenformat) und ziehen die Datei herein — Header, Textkörper und Anhangsnamen werden alle daraus gelesen. Header allein genügen für die Ketten- und Authentifizierungsanalyse; die .eml fügt die Link- und Anhangsprüfungen hinzu, wo ein gutes Drittel der Phishing-Beweise steckt.

Was dies liest — und was es ehrlich nicht kann

Der Umfang wird klar benannt, damit die Punktzahl nie für mehr gehalten wird, als sie ist. Dieser Analysator liest Header und extrahiert, was der Textkörper enthält. Er verifiziert keine DKIM-Signaturen — er berichtet das Urteil, das Ihr Empfangsserver bei Ankunft der Nachricht in Authentication-Results aufgezeichnet hat, also die Verifizierung, die zählt, durchgeführt im einzigen Moment, in dem sie mit der intakten Originalnachricht durchgeführt werden konnte. Er führt SPF nicht erneut gegen DNS aus, und er prüft URLs nicht gegen Bedrohungs-Feeds und öffnet sie nicht: Links werden entschärft (hxxps, Punkte in Klammern), damit Sie das echte Ziel sicher lesen können, und nach Form markiert — rohe IP-Hosts, @-Tricks, Punycode, Kurzlinks, Linktext, der eine Domain nennt und zu einer anderen geht. Die Punktzahl ist eine Summe dieser beschrifteten Befunde, gezeigt direkt neben den Befunden selbst: Punkte für ein Reply-To auf einer anderen Domain, für einen aufgezeichneten DMARC-Fehlschlag, für eine ausführbare Datei im Namen eines Dokuments. Lesen Sie die Liste, nicht nur die Stufe. Der Begleitartikel Anatomie eines Phishing-E-Mail-Headers zerlegt eine Nachricht von Anfang bis Ende, und die sendeseitigen Begleiter — die Prüfung der E-Mail-Zustellbarkeit für Ihre Einträge und der DMARC-Bericht-Analysator für das Feedback, das sie erzeugen — decken die spiegelbildliche Aufgabe ab, nicht wie das Beispiel auszusehen. Warum legitime Mail trotz aller drei Protokolle trotzdem im Spam landet, behandelt warum Ihre E-Mail im Spam landet.

Häufig gestellte Fragen

Was können E-Mail-Header tatsächlich beweisen?

Die Header, die ein Empfangsserver schreibt, sind Beweise; die, die ein Absender schreibt, sind Behauptungen. Das Authentication-Results Ihres Anbieters zeichnet auf, was seine Prüfungen bei Ankunft der Nachricht gefunden haben, und die Received-Hops, die Server auf Ihrer Seite des Internets stempeln, lassen sich im Nachhinein nur schwer fälschen. Die unteren Hops — die dem Absender am nächsten — kann jeder schreiben, weshalb dieser Analysator berichtet, was jeder Hop sagt, und Zeitangaben markiert, die nicht aufgehen, statt eine Kette für echt zu erklären. Die durchgearbeitete Anleitung ist Anatomie eines Phishing-E-Mail-Headers.

Die Nachricht hat DMARC bestanden. Heißt das, sie ist sicher?

Es heißt, dass die From-Domain echt von demjenigen gestützt wird, der diese Domain kontrolliert — mehr nicht. Eine Lookalike-Domain (der Name Ihrer Bank mit einem vertauschten Buchstaben, frisch registriert mit perfektem SPF, DKIM und DMARC) besteht jede Prüfung und ist dabei durch und durch betrügerisch, und echte Mail von einem kompromittierten Konto auf der echten Domain tut es auch. Authentifizierung beantwortet „Stammt sie wirklich von der Domain, die sie behauptet?“, nie „Sollten Sie vertrauen, worum sie bittet?“. Lesen Sie die Bitte, nicht nur die Authentifizierung.

Verifiziert dieses Werkzeug die DKIM-Signatur selbst?

Nein, und es sagt das, statt es anzudeuten. Dieser Analysator liest den Authentication-Results-Header, den der Empfangsserver bei der Zustellung aufgezeichnet hat — das Urteil einer Verifizierung, die bereits stattgefunden hat. Hier erneut zu verifizieren hieße, den Schlüssel des Absenders aus DNS zu holen und die exakte Kanonisierung der ursprünglichen Header nachzubilden, und das ist die Aufgabe eines Mailservers, nicht eines Header-Lesers. Dieselbe Ehrlichkeit gilt für URLs: Sie werden zur Inspektion extrahiert und entschärft, nicht gegen Bedrohungs-Feeds geprüft.

Ist es sicher, eine verdächtige E-Mail hier einzufügen?

Ja — die Analyse läuft in Ihrem Browser, und nichts, was Sie einfügen, wird übertragen oder gespeichert. Das zählt mehr, als es scheinen mag: Header enthalten Ihre Adresse, die internen Hostnamen und IP-Adressen Ihres Anbieters und den vollständigen Weg, den eine Nachricht zu Ihnen genommen hat. Sie in einen KI-Chat oder einen Online-Paste-Dienst einzufügen und zu fragen „Ist das Phishing?“, veröffentlicht genau die Metadaten, die ein Angreifer gern aufzählen würde. Ein lokaler Leser ist die richtige Form für diese Aufgabe.

Die Punktzahl ist niedrig, aber die Nachricht fühlt sich trotzdem falsch an. Wem vertraue ich?

Ihrem Instinkt. Die Punktzahl zählt nur Signale, die in Headern und den extrahierten Links des Textkörpers sichtbar sind — sie kann keinen Ton lesen, keine Dringlichkeits-Manipulation, keinen gefälschten Rechnungsbetrag und nicht die Tatsache, dass Ihr „CEO“ nie so schreibt. Eine niedrige Punktzahl bedeutet, dass die Header keine starken technischen Beweise gegen die Nachricht tragen; sie ist ein Boden für Verdacht, keine Freigabe. Wenn die Bitte Geld, Zugangsdaten oder Geheimhaltung betrifft, verifizieren Sie sie über einen Kanal, dem Sie bereits vertrauen, was immer die Header sagen.