E-Mail-Header-Analysetool (メールヘッダー解析ツール)
Fügen Sie die rohen Header einer empfangenen E-Mail ein (Received:, Authentication-Results: usw.), um den Zustellweg Hop für Hop sowie die SPF-/DKIM-/DMARC-Ergebnisse anzuzeigen. Die Analyse läuft zu 100 % in Ihrem Browser.
Bedeutung der einzelnen Received:-Klauseln
| Klausel | Bedeutung |
|---|---|
| from | Hostname/IP-Adresse des Servers, der diese Nachricht übergeben hat. Dieser Wert kann gefälscht sein, daher ist der älteste (unterste) Hop die vertrauenswürdigste Quelle für die tatsächliche Ursprungs-IP. |
| by | Hostname des Servers, der die Nachricht bei diesem Hop empfangen hat (z. B. Ihr eigener Mailserver). |
| with | Das verwendete Zustellprotokoll (z. B. ESMTP, ESMTPS, SMTP). ESMTPS bedeutet, dass die Verbindung mit TLS verschlüsselt war. |
| for | Die Empfängeradresse, für die die Nachricht zugestellt wurde. Wird bei Mailinglisten oder Nachrichten mit mehreren Empfängern häufig weggelassen. |
| timestamp | Datum und Uhrzeit, zu dem dieser Hop die Nachricht empfangen hat (mit der lokalen Zeitzone des sendenden Servers). Die Differenz zwischen den Hops gibt einen groben Anhaltspunkt für die Zustellverzögerung. |
Bedeutung der einzelnen Authentication-Results:-Felder
| Feld | Bedeutung |
|---|---|
| SPF | SPF-Ergebnis (Sender Policy Framework): zeigt, ob die sendende IP in der vom DNS-Eintrag der Domain erlaubten Adressliste enthalten ist. |
| DKIM | DKIM-Ergebnis (DomainKeys Identified Mail): zeigt, ob die kryptografische Signatur über Nachrichtentext und Hauptheader mit dem öffentlichen Schlüssel der sendenden Domain verifiziert werden konnte. |
| DMARC | DMARC-Ergebnis (Domain-based Message Authentication, Reporting & Conformance): ein Gesamturteil, das die Übereinstimmung von SPF/DKIM mit der Domain im From-Header prüft. |
Tipps
- Öffnen Sie in Gmail die Nachricht, klicken Sie oben rechts auf das Drei-Punkte-Menü und wählen Sie "Original anzeigen", um die rohen Header zu erhalten. In Outlook nutzen Sie Datei > Eigenschaften > Internetkopfzeilen.
- Received:-Header werden der Nachricht in der Reihenfolge neueste-zuerst vorangestellt (die Empfängerseite steht zuerst); dieses Tool ordnet sie für Sie chronologisch vom Absender zum Empfänger neu.
- Wenn die Uhren der Mailserver entlang des Wegs leicht unsynchronisiert sind, kann die "Verzögerung seit vorherigem Hop" einen negativen Wert anzeigen. Ein kleiner negativer Wert spiegelt in der Regel nur eine Uhrenabweichung wider, kein echtes Zustellproblem.
- Selbst wenn SPF, DKIM und DMARC alle bestehen, ist damit nicht garantiert, dass die Nachricht kein Betrug ist. Die Authentifizierung prüft nur, ob die eigene Konfiguration des Domain-Inhabers korrekt befolgt wurde – ein Angreifer, dem eine ähnlich aussehende Domain rechtmäßig gehört, kann dadurch nicht erkannt werden.
- Wenn die Verzögerung zwischen zwei bestimmten Hops sprunghaft ansteigt, liegt in diesem Abschnitt des Weges wahrscheinlich ein Zustellengpass oder eine Zurückhaltung durch einen Spamfilter vor.
Häufig gestellte Fragen
Übrigens – E-Mail-Header sind ein Stapel digitaler Poststempel
So wie ein Poststempel auf einem Brief festhält, welches Postamt ihn wann bearbeitet hat, sind die Received:-Header einer E-Mail ein Stapel „digitaler Poststempel“ – jeder Server, der die Nachricht weitergeleitet hat, versieht sie mit seinem eigenen Zeitstempel. Das SMTP-Protokoll (RFC 5321) verlangt von jedem weiterleitenden Server, seine eigenen Informationen an den Anfang des Headerblocks zu setzen, sodass sich bei jeder Nachricht ganz natürlich ein vollständiges Protokoll des Zustellwegs ansammelt.
Am nützlichsten erweist sich das bei der Rückverfolgung der Herkunft von Spam. Den From-Header kann jeder frei umschreiben, aber solange der Absender Standard-SMTP verwendet hat, verzeichnet der älteste Received-Hop – derjenige, bei dem die Nachricht erstmals ins Mailsystem eingespeist wurde – eine Verbindungs-IP, die sich nur schwer fälschen lässt. Genau diesen ältesten Hop prüfen Spam-Ermittler als Erstes.
SPF, DKIM und DMARC wurden später hinzugefügt, um Fälschungen einzudämmen, die Poststempel allein nicht verhindern können. SPF prüft, ob die sendende IP auf der erlaubten Liste der Domain steht, DKIM verifiziert eine kryptografische Signatur, um zu bestätigen, dass der Inhalt nicht verändert wurde, und DMARC kombiniert beide Prüfungen mit der Domain im From-Header zu einem Gesamturteil. Nachdem Google und Yahoo 2024 DMARC für Massenversender faktisch verpflichtend gemacht haben, sind Authentication-Results-Header zu einem gewohnten Anblick in alltäglichen Postfächern geworden.
E-Mail-Header öffnet fast niemand, doch sobald man es tut, findet man ein präzises, unsichtbares Reiseprotokoll – durch welche Server rund um die Welt eine einzelne Nachricht gelaufen ist und wie viele Sekunden jeder Schritt gedauert hat.