E-Mail-Header-Analysetool (メールヘッダー解析ツール)

Fügen Sie die rohen Header einer empfangenen E-Mail ein (Received:, Authentication-Results: usw.), um den Zustellweg Hop für Hop sowie die SPF-/DKIM-/DMARC-Ergebnisse anzuzeigen. Die Analyse läuft zu 100 % in Ihrem Browser.

Zuletzt aktualisiert: 2026-10-18

Bedeutung der einzelnen Received:-Klauseln

Klausel	Bedeutung
from	Hostname/IP-Adresse des Servers, der diese Nachricht übergeben hat – aufgezeichnet vom empfangenden Server, der diese Zeile geschrieben hat. Absender können beliebig viele gefälschte Received-Zeilen hinzufügen, daher lassen sich gerade die ältesten Zeilen am leichtesten fälschen. Für die tatsächliche Ursprungs-IP verwenden Sie das from der ältesten Zeile, die ein Empfangsserver unter Ihrer Kontrolle geschrieben hat (in der Liste dieses Tools der erste Hop, bei dem Ihr eigener Server unter "by" erscheint).
by	Hostname des Servers, der die Nachricht bei diesem Hop empfangen hat (z. B. Ihr eigener Mailserver).
with	Das verwendete Zustellprotokoll (z. B. ESMTP, ESMTPS, SMTP). ESMTPS bedeutet, dass die Verbindung mit TLS verschlüsselt war.
for	Die Empfängeradresse, für die die Nachricht zugestellt wurde. Wird bei Mailinglisten oder Nachrichten mit mehreren Empfängern häufig weggelassen.
timestamp	Datum und Uhrzeit, zu dem dieser Hop die Nachricht empfangen hat. Uhrzeit und Zeitzone zeichnet der empfangende Server auf, der diese Zeile geschrieben hat (RFC 5321 §4.4). Die Differenz zwischen den Hops gibt einen groben Anhaltspunkt für die Zustellverzögerung.

Bedeutung der einzelnen Authentication-Results:-Felder

Feld	Bedeutung
SPF	SPF-Ergebnis (Sender Policy Framework): zeigt, ob die sendende IP in der vom DNS-Eintrag der Domain erlaubten Adressliste enthalten ist.
DKIM	DKIM-Ergebnis (DomainKeys Identified Mail): zeigt, ob die kryptografische Signatur über Nachrichtentext und Hauptheader mit dem öffentlichen Schlüssel der sendenden Domain verifiziert werden konnte.
DMARC	DMARC-Ergebnis (Domain-based Message Authentication, Reporting & Conformance): ein Gesamturteil, das die Übereinstimmung von SPF/DKIM mit der Domain im From-Header prüft.

Den Weg einer Nachricht anhand ihrer Kopfzeilen verfolgen

Fügen Sie die rohen Kopfzeilen einer empfangenen Nachricht ein, und dieses Werkzeug zerlegt die Received:-Zeilen Station für Station, um den Weg auszubreiten, und führt die in Authentication-Results: festgehaltenen Urteile zu SPF, DKIM und DMARC auf. Die gesamte Auswertung geschieht im Browser, sodass nichts von dem Eingefügten Ihr Gerät verlässt.

Zuerst gilt es zu begreifen, dass die Received:-Zeilen von unten nach oben zu lesen sind. Jeder Server fügt beim Empfang seine eigene Zeile ganz oben an, sodass die älteste Etappe unten und der zuletzt empfangende Server oben steht. Wichtiger noch: Diese Kopfzeilen kann jeder fälschen. Ein Absender darf beliebig viele Received:-Zeilen erfinden und voranstellen. Glauben darf man der Zeile, die ein Server unter der eigenen Verwaltung geschrieben hat, und allem darüber; was darunter steht, bedeutet nicht mehr, als dass jemand es behauptet hat. Dasselbe gilt für Authentication-Results:, denn sieht man nicht nach, welcher Server das Urteil verfasst hat, so kann das Urteil selbst eine Fälschung sein.

So gehen Sie vor

Fügen Sie die rohen Kopfzeilen ein Sie lassen sich über „Original anzeigen" oder „Quelltext anzeigen" im Postprogramm holen.
Lesen Sie die Received-Zeilen von unten nach oben Unten steht der erste Absender, oben der zuletzt empfangende Server.
Prüfen Sie die Authentisierungsergebnisse Die Urteile zu SPF, DKIM und DMARC stehen beieinander.
Bestimmen Sie, wo das Vertrauen beginnt Alles unterhalb der von einem eigenen Server geschriebenen Zeile kann gefälscht sein.

Tipps für die Nutzung

Öffnen Sie in Gmail die Nachricht, klicken Sie oben rechts auf das Drei-Punkte-Menü und wählen Sie "Original anzeigen", um die rohen Header zu erhalten. In Outlook nutzen Sie Datei > Eigenschaften > Internetkopfzeilen.
Received:-Header werden der Nachricht in der Reihenfolge neueste-zuerst vorangestellt (die Empfängerseite steht zuerst); dieses Tool ordnet sie für Sie chronologisch vom Absender zum Empfänger neu.
Wenn die Uhren der Mailserver entlang des Wegs leicht unsynchronisiert sind, kann die "Verzögerung seit vorherigem Hop" einen negativen Wert anzeigen. Ein kleiner negativer Wert spiegelt in der Regel nur eine Uhrenabweichung wider, kein echtes Zustellproblem.
Selbst wenn SPF, DKIM und DMARC alle bestehen, ist damit nicht garantiert, dass die Nachricht kein Betrug ist. Die Authentifizierung prüft nur, ob die eigene Konfiguration des Domain-Inhabers korrekt befolgt wurde – ein Angreifer, dem eine ähnlich aussehende Domain rechtmäßig gehört, kann dadurch nicht erkannt werden.
Wenn die Verzögerung zwischen zwei bestimmten Hops sprunghaft ansteigt, liegt in diesem Abschnitt des Weges wahrscheinlich ein Zustellengpass oder eine Zurückhaltung durch einen Spamfilter vor.

Wofür Sie es nutzen können

Um die Herkunft von Werbemüll zu untersuchen

Die wahre Absenderadresse steht in der untersten Received:-Zeile, der Sie trauen können.

Um eine Vortäuschung zu durchschauen

Anzeigename und From-Zeile sind mühelos gefälscht, urteilen Sie daher nach den Authentisierungsergebnissen.

Um eine Verzögerung der Zustellung zu verfolgen

Die Zeiten der einzelnen Stationen zeigen Ihnen, wo die Nachricht liegen blieb.

Um zu bestätigen, dass die eigene Post die Prüfung besteht

Schicken Sie sich selbst eine Testnachricht und sehen Sie, ob SPF, DKIM und DMARC allesamt bestehen.

Begriffe zu Kopfzeilen

Received: Die Kopfzeile, der jeder empfangende Server seine eigene Zeile ganz oben anfügt. Der Weg wird von unten nach oben gelesen.
Authentication-Results: Die Kopfzeile, die die von der empfangenden Seite gefällten Urteile zu SPF, DKIM und DMARC festhält. Entscheidend ist, welcher Server sie schrieb.
Return-Path: Wohin eine fehlgeschlagene Zustellung zurückgeht. SPF wird gegen diese Domäne geprüft.
From: Der angezeigte Absender. Hier lässt sich Beliebiges hineinschreiben, es beweist also nichts darüber, wer gesendet hat.
Message-ID: Die Zeichenkette, die eine Nachricht eindeutig kennzeichnet und dazu dient, Doppelungen derselben zu unterscheiden.
Station: Ein einzelner Server, den die Nachricht durchlaufen hat. Jede Station hinterlässt eine Received:-Zeile.

Häufig gestellte Fragen

In Gmail: Nachricht öffnen, oben rechts auf das Drei-Punkte-Menü klicken und "Original anzeigen" wählen. In Outlook: Datei > Eigenschaften > Internetkopfzeilen. In Apple Mail: Darstellung > Nachricht > Alle Kopfzeilen. Kopieren Sie den angezeigten vollständigen Text und fügen Sie ihn in dieses Tool ein.

Nicht allein anhand dieses Feldes – der From-Header kann vom Absender frei gesetzt werden. Auch Received:-Header lassen sich durch hinzugefügte gefälschte Zeilen fälschen, daher darf man auch der ältesten Zeile nicht einfach glauben. Um die tatsächliche Herkunft zu prüfen, sehen Sie sich die IP-Adresse im from der ältesten Zeile an, die der von Ihnen genutzte Empfangsserver geschrieben hat (bei Gmail etwa mx.google.com; in der Liste dieses Tools der erste Hop, bei dem Ihr eigener Server unter "by" erscheint), zusammen mit den SPF-/DKIM-/DMARC-Ergebnissen, die dieser Server aufgezeichnet hat.

Das ist keine vollständige Garantie. Diese Prüfungen bestätigen nur, dass die Nachricht die vom Inhaber der From-Header-Domain selbst eingerichtete Konfiguration durchlaufen hat. Ein Angreifer, der eine ähnlich aussehende Domain registriert (z. B. mit nur einem abweichenden Zeichen) und dafür korrekt SPF/DKIM/DMARC einrichtet, kann trotzdem alle Prüfungen bestehen und dennoch eine betrügerische Nachricht senden.

Nein. Die gesamte Analyse erfolgt im JavaScript Ihres Browsers, und nichts wird an einen externen Server gesendet. E-Mail-Header können Details zur internen Mailserver-Konfiguration enthalten, daher wurde dieses Tool mit Blick auf den Datenschutz entwickelt.

Jeder weiterleitende Server versieht die Nachricht mit einem Zeitstempel nach seiner eigenen Uhr. Sind zwei Serveruhren leicht unsynchron, kann ein Hop, der eigentlich später verarbeitet wurde, mit einer früheren Zeit als der vorherige Hop verzeichnet werden. Ein negativer Wert von wenigen Sekunden ist in der Regel nur eine Uhrenabweichung, kein tatsächliches Verzögerungsproblem.

Übrigens – E-Mail-Header sind ein Stapel digitaler Poststempel

So wie ein Poststempel auf einem Brief festhält, welches Postamt ihn wann bearbeitet hat, sind die Received:-Header einer E-Mail ein Stapel „digitaler Poststempel“ – jeder Server, der die Nachricht weitergeleitet hat, versieht sie mit seinem eigenen Zeitstempel. Das SMTP-Protokoll (RFC 5321) verlangt von jedem weiterleitenden Server, seine eigenen Informationen an den Anfang des Headerblocks zu setzen, sodass sich bei jeder Nachricht ganz natürlich ein vollständiges Protokoll des Zustellwegs ansammelt.

Am nützlichsten erweist sich das bei der Rückverfolgung der Herkunft von Spam. Der Haken: Received:-Header lassen sich genauso frei fälschen wie der From-Header. Ein Absender kann vor dem Versand beliebig viele gefälschte Received:-Zeilen hinzufügen, sodass gerade die ältesten (untersten) Zeilen am ehesten gefälscht sind. Wirklich vertrauen können Sie nur den Zeilen, die Empfangsserver unter Ihrer eigenen Kontrolle geschrieben haben. Die älteste davon wurde aufgezeichnet, als Ihr Server die Verbindung von außen angenommen hat, und die verbindende IP-Adresse in deren from kann der Absender nicht fälschen. Genau diese „erste von Ihrem eigenen Server aufgezeichnete Verbindung“ prüfen Anti-Spam-Fachleute als Erstes.

SPF, DKIM und DMARC wurden später hinzugefügt, um Fälschungen einzudämmen, die Poststempel allein nicht verhindern können. SPF prüft, ob die sendende IP auf der erlaubten Liste der Domain steht, DKIM verifiziert eine kryptografische Signatur, um zu bestätigen, dass der Inhalt nicht verändert wurde, und DMARC kombiniert beide Prüfungen mit der Domain im From-Header zu einem Gesamturteil. Nachdem Google und Yahoo 2024 DMARC für Massenversender faktisch verpflichtend gemacht haben, sind Authentication-Results-Header zu einem gewohnten Anblick in alltäglichen Postfächern geworden.

E-Mail-Header öffnet fast niemand, doch sobald man es tut, findet man ein präzises, unsichtbares Reiseprotokoll – durch welche Server rund um die Welt eine einzelne Nachricht gelaufen ist und wie viele Sekunden jeder Schritt gedauert hat.

Alle Wissenstexte ansehen