E-Mail Header-Analyse — Metadaten richtig lesen

Was im Header steht

Der sichtbare Teil einer E-Mail ist der kleinere. Im Kopf jeder Nachricht stehen Dutzende Felder, die den Weg vom Absender zum Empfänger dokumentieren, die eingesetzte Software verraten und die Grundlage jeder forensischen Auswertung bilden. Wer wissen will, warum eine Mail im Spam gelandet ist oder ob sie echt ist, findet die Antwort fast immer hier.

Was AnalyzeMy.Email prüft

• Message-ID — vorhanden, syntaktisch korrekt und mit plausibler Domain? Eine fehlende Message-ID ist ein deutliches Zeichen für selbstgebaute Versandskripte.
• Date — vorhanden, parsebar und plausibel? Datumsangaben aus der Zukunft oder ferner Vergangenheit sind ein bekannter Spam-Trick, um in der Sortierung oben zu stehen.
• MIME-Version — bei strukturierten Nachrichten erforderlich.
• Reply-To-Mismatch — zeigt Reply-To auf eine andere Domain als From? Legitim bei Support-Systemen, ein starkes Warnsignal bei angeblichen Rechnungen.
• X-Mailer und User-Agent — die versendende Software. Bekannte Massenversand-Skripte werden erkannt.
• Betreff — Auffälligkeiten wie durchgehende Großschreibung, Häufung von Ausrufezeichen oder typische Spam-Muster.
• Received-Kette — alle Hops werden geparst und als Routing-Pfad dargestellt, mit TLS-Status je Abschnitt.
• Rohe Header — vollständig und mit Syntax-Hervorhebung für IPs, Adressen, Domains und Zeitstempel.

Die Received-Kette lesen

Received-Header werden von unten nach oben gelesen: Der unterste stammt vom ersten Server, der oberste vom letzten. Jeder Server hängt seinen Eintrag oben an. Wichtig dabei: Nur die Einträge ab dem eigenen vertrauenswürdigen Gateway sind belastbar. Alles darunter kann ein Absender frei erfinden, denn er kontrolliert den Anfang der Kette.

Genau deshalb wird die Sender-IP aus dem ersten Received-Header mit öffentlicher IPv4-Adresse ermittelt und private Bereiche werden übersprungen — das ist die letzte Station, deren Angabe nicht vom Absender stammt.

Häufige Befunde

• Fehlende Message-ID bei selbstgeschriebenen Versandskripten. Kostet Punkte bei praktisch jedem Filter.
• Zeitzone falsch gesetzt — ein Server mit falscher Uhr erzeugt Date-Header, die um Stunden abweichen.
• Reply-To auf Freemail-Adresse bei einer Nachricht von einer Firmendomain — das klassische Muster beim CEO-Fraud.
• Interne Hostnamen und IPs in den Received-Headern, die mehr über die eigene Infrastruktur verraten als nötig.