E-Mail Header-Analyse — Metadaten richtig lesen

Was im Header steht

Der sichtbare Teil einer E-Mail ist der kleinere. Im Kopf jeder Nachricht stehen Dutzende Felder, die den Weg vom Absender zum Empfänger dokumentieren, die eingesetzte Software verraten und die Grundlage jeder forensischen Auswertung bilden. Wer wissen will, warum eine Mail im Spam gelandet ist oder ob sie echt ist, findet die Antwort fast immer hier.

Was AnalyzeMy.Email prüft

• Message-ID — vorhanden, syntaktisch korrekt und mit plausibler Domain? Eine fehlende Message-ID ist ein deutliches Zeichen für selbstgebaute Versandskripte.
• Date — vorhanden, parsebar und plausibel? Datumsangaben aus der Zukunft oder ferner Vergangenheit sind ein bekannter Spam-Trick, um in der Sortierung oben zu stehen.
• MIME-Version — bei strukturierten Nachrichten erforderlich.
• Reply-To-Mismatch — zeigt Reply-To auf eine andere Domain als From? Legitim bei Support-Systemen, ein starkes Warnsignal bei angeblichen Rechnungen.
• X-Mailer und User-Agent — die versendende Software. Bekannte Massenversand-Skripte werden erkannt.
• Betreff — Auffälligkeiten wie durchgehende Großschreibung, Häufung von Ausrufezeichen oder typische Spam-Muster.
• Received-Kette — alle Hops werden geparst und als Routing-Pfad dargestellt, mit TLS-Status je Abschnitt.
• Rohe Header — vollständig und mit Syntax-Hervorhebung für IPs, Adressen, Domains und Zeitstempel.

Und die Received-Kette

Die Received:-Header stehen nicht in dieser Analyse, sondern haben eine eigene: Sie werden von unten nach oben gelesen, und nur die Einträge ab dem eigenen vertrauenswürdigen Gateway sind belastbar. Wie sich daraus die tatsächlich sendende IP-Adresse ergibt und was die Zeitstempel verraten, steht unter Received-Header lesen.

Häufige Befunde

• Fehlende Message-ID bei selbstgeschriebenen Versandskripten. Kostet Punkte bei praktisch jedem Filter.
• Zeitzone falsch gesetzt — ein Server mit falscher Uhr erzeugt Date-Header, die um Stunden abweichen.
• Reply-To auf Freemail-Adresse bei einer Nachricht von einer Firmendomain — das klassische Muster beim CEO-Fraud.
• Interne Hostnamen und IPs in den Received-Headern, die mehr über die eigene Infrastruktur verraten als nötig.