So lesen Sie E-Mail-Header
Jede E-Mail trägt Metadaten, die von jedem Server hinzugefügt wurden, den sie durchlaufen hat — in der normalen Posteingangsansicht unsichtbar, aber über „Original anzeigen“ oder „Quelltext anzeigen“ abrufbar, und oft vertrauenswürdiger als alles in der sichtbaren Nachricht.
Was E-Mail-Header sind
Header sind Metadatenzeilen, die vorne an eine Nachricht angehängt werden, die ältesten unten, die neuesten oben. Jeder Mailserver, der eine Nachricht verarbeitet, fügt eigene Zeilen hinzu, statt Vorhandenes zu bearbeiten — genau das macht den Header-Block zu einem groben Prüfpfad des Wegs der Nachricht.
Die Received-Kette
Lesen Sie Received-Header von unten nach oben — der unterste ist die erste Station, der oberste der letzte Server vor Ihrem Posteingang. Jede Zeile nennt, welcher Server die Nachricht von welchem anderen erhalten hat, mit Zeitstempel, sodass Sie den tatsächlichen Weg einer Nachricht nachvollziehen und eine nicht dazugehörige Station bemerken können.
Authentication-Results
Dieser Header zeigt spf=pass/fail, dkim=pass/fail und dmarc=pass/fail, wie sie der empfangende Server zum Zeitpunkt der Verarbeitung bewertet hat. Es ist ein Protokoll dessen, was genau dieser eine Server entschieden hat, keine unabhängige Garantie — ein anderer empfangender Server, oder derselbe zu einem anderen Zeitpunkt, kann im Prinzip zu einem anderen Ergebnis kommen.
Weitere nützliche Header
- Return-Path — wohin Bounces gesendet werden; enthüllt oft das tatsächliche Versandsystem, selbst wenn die sichtbare From-Adresse unauffällig wirkt
- Message-ID — eine pro Nachricht eindeutige Kennung, nützlich, um dieselbe E-Mail über Support-Tickets oder Logs hinweg wiederzufinden
- X-Mailer oder User-Agent — die Software, die die Nachricht gesendet hat, sofern der Absender sie angibt
Wie Header Spoofing aufdecken
Die sichtbare From-Adresse lässt sich trivial fälschen — sie ist schlicht eine Behauptung der sendenden Software. Die Received-Kette und der Return-Path lassen sich schwerer überzeugend fälschen, da echte Mailserver sie hinzugefügt haben, die die Nachricht tatsächlich durchlaufen hat; eine Diskrepanz zwischen einer plausibel wirkenden From-Adresse und einem unplausiblen Return-Path oder einer unplausiblen Received-Kette ist ein starkes Spoofing-Signal.
Header einer Nachricht analysieren
Sehen Sie die Theorie in der Praxis — führen Sie E-Mail-Header-Analyse für Ihre eigene Domain aus.