Jede E-Mail enthält einen Block aus Headern: technische Zeilen, die das Programm des Absenders und jeder Server hinzufügen, der die Nachricht weitergereicht hat. Sie zeigen, woher die E-Mail wirklich kam, wie lange sie unterwegs war und ob die Domain des Absenders für sie bürgt. Füg Header in unsere E-Mail-Header-Analyse ein, um sie automatisch auszuwerten.
So zeigst du die Header an
| Mail-App | Schritte |
|---|---|
| Gmail | Nachricht öffnen → ⋮ → Original anzeigen |
| Outlook.com | Nachricht öffnen → … → Ansicht → Nachrichtenquelle anzeigen |
| Outlook (Desktop) | Nachricht öffnen → Datei → Eigenschaften → Internetkopfzeilen |
| Apple Mail | Darstellung → E-Mail → Rohformat |
| Yahoo Mail | … → Rohdaten anzeigen (View raw message) |
| Thunderbird | Ansicht → Nachrichtenquelltext |
Die wichtigen Header
| Header | Was er zeigt |
|---|---|
From |
Der Absender, der dir angezeigt wird. Leicht zu fälschen. |
Return-Path |
Wohin Unzustellbarkeitsnachrichten gehen: der Envelope-Absender, der für SPF genutzt wird |
Reply-To |
Wohin deine Antwort geht, falls abweichend von From |
Received |
Eine Zeile pro Server, der die Nachricht weitergereicht hat |
Authentication-Results |
Die Ergebnisse von SPF, DKIM und DMARC laut empfangendem Server |
DKIM-Signature |
Die kryptografische Signatur des Absenders |
Message-ID |
Eine eindeutige ID, die meist die sendende Domain enthält |
X-Originating-IP |
Manchmal die eigene IP-Adresse des Absenders |
Die Received-Zeilen lesen
Jeder Server fügt seine Received-Zeile oben hinzu, die Liste reicht also von der neuesten (oben) bis zur ältesten (unten). Um den Weg der Nachricht nachzuverfolgen, liest du von unten nach oben:
Received: from mail.example.org (mail.example.org [203.0.113.25])
by mx.recipient.net with ESMTPS; Mon, 19 Oct 2026 16:15:20 +0000
Diese Zeile besagt: Der Server mx.recipient.net hat die Nachricht um 16:15:20 UTC von einem Server erhalten, der sich mail.example.org nennt und dessen echte IP 203.0.113.25 war. Der Name nach „from“ ist das, was der Absender behauptet; die IP in Klammern ist das, was der empfangende Server tatsächlich gesehen hat, und der Absender kann sie nicht fälschen.
Die unterste Zeile mit einer öffentlichen IP ist meist der Ursprung. Schlag sie mit unserem IP-Lookup nach, um Netzwerk und Land zu sehen.
Phishing erkennen
Warnzeichen:
Authentication-Resultszeigtspf=fail,dkim=failoderdmarc=fail.- Die
From-Domain unterscheidet sich von derReturn-Path– und der DKIM-d=-Domain, zum Beispiel bei einer „Bank“-E-Mail, die über eine fremde Domain verschickt wurde. Reply-Toverweist auf eine kostenlose Webmail-Adresse.- Die Ursprungs-IP gehört zu einem Privatanschluss oder zu einem Land, das nicht zum Unternehmen passt.
- Die sendende IP steht auf einer Spam-Blacklist.
Keines dieser Zeichen allein beweist Phishing, aber mehrere zusammen sind ein starkes Indiz. Im Zweifel klickst du keine Links an, sondern kontaktierst das Unternehmen über seine offizielle Website.
Grenzen der Rückverfolgung
- Webmail verbirgt die IP des Absenders. Gmail und Outlook.com zeigen nur ihre eigenen Server, daher endet die Spur beim Anbieter.
- Zeilen unterhalb des ersten vertrauenswürdigen Servers können gefälscht sein, wenn ein Spammer falsche Received-Zeilen hinzufügt.
- Die Uhren der Server gehen unterschiedlich, daher können Verzögerungen merkwürdig aussehen.
Häufige Fragen
Kann ich über eine E-Mail die Wohnadresse des Absenders herausfinden?
Nein. Höchstens findest du die IP und das Netzwerk des sendenden Servers oder Anschlusses.
Sind E-Mail-Header privat?
Sie enthalten E-Mail-Adressen und Servernamen. Veröffentliche sie nicht; entferne Adressen, bevor du sie weitergibst.
Was mache ich mit einer Phishing-E-Mail?
Melde sie über die „Phishing melden“-Schaltfläche deiner Mail-App und lösch sie dann.