Tools · Header-Analyse

E-Mail-Header analysieren

Füge den vollständigen Header einer empfangenen Mail ein. Du siehst, über welche Server sie kam, wie lange das gedauert hat, was SPF, DKIM und DMARC ergeben haben – und was auffällig ist.

Vollständiger E-Mail-Header

Wird nur in deinem Browser ausgewertet – nichts wird übertragen oder gespeichert.

Wo finde ich den E-Mail-Header?

Gmail (Browser): Nachricht öffnen → Menü „⋮“ oben rechts → „Original anzeigen“ → Text bis zur ersten Leerzeile kopieren.
Outlook (neu und im Web): Nachricht öffnen → „…“ → „Ansicht“ → „Nachrichtendetails anzeigen“.
Outlook (klassisch): Nachricht per Doppelklick öffnen → „Datei“ → „Eigenschaften“ → Feld „Internetkopfzeilen“.
Apple Mail: Nachricht auswählen → „Darstellung“ → „E-Mail“ → „Reine Datei“ (⌥⌘U); in älteren Versionen „Nachricht“ → „Rohdokument“. Die Ansicht „Alle Header“ (⇧⌘H) enthält Absender und Datum nicht als Kopfzeilen.
Thunderbird: Nachricht auswählen → „Ansicht“ → „Nachrichten-Quelltext“ (Strg + U).

Erklärt

Was im Header steht

Der Header ist der technische Teil einer E-Mail, den Mailprogramme normalerweise ausblenden. Jeder Server auf dem Weg trägt sich mit einer Received-Zeile ein, der empfangende Server notiert die Ergebnisse von SPF, DKIM und DMARC. Damit lässt sich nachvollziehen, woher eine Mail kam, wo sie aufgehalten wurde und ob der sichtbare Absender bestätigt ist.

Was dieses Werkzeug prüft

Received-Kette in zeitlicher Reihenfolge mit Servernamen, IP-Adressen und HELO-Angaben
Laufzeiten zwischen den Stationen, Gesamtdauer und widersprüchliche Zeitstempel
TLS-Angaben je Station und mögliche unverschlüsselte Abschnitte
SPF, DKIM, DMARC und ARC laut Authentication-Results, Received-SPF und DKIM-Signature
Abweichungen zwischen From, Reply-To, Return-Path und Sender
Anzeigenamen mit fremder Adresse und internationalisierte Domains

Häufige Fehler

Nur einen Teil kopiert

Viele kopieren nur From, To und Subject. Für die Analyse braucht es alle Kopfzeilen – vor allem Received und Authentication-Results.
Weitergeleitete Mail analysiert

Beim Weiterleiten entsteht eine neue Nachricht mit neuem Header. Analysieren lässt sich nur die ursprünglich empfangene Mail.
„Bestanden“ heißt „vertrauenswürdig“

SPF, DKIM und DMARC bestätigen nur die Domain. Auch Betrüger können eigene Domains korrekt einrichten.

Weitere Werkzeuge

FAQ

Häufige Fragen

Diese Werkzeuge stellt mail-provider.at kostenlos bereit. Wir planen werbefreie Postfächer aus Österreich, auf Wunsch mit eigener Domain. Die automatische Registrierung ist in Vorbereitung.

Mehr über mail-provider.at

Wird mein Header an mail-provider.at übertragen?

Nein. Die Auswertung läuft vollständig in deinem Browser. Der eingefügte Text wird weder an unseren Server gesendet noch gespeichert und ist nach dem Schließen der Seite weg.

Kann ich mich auf „SPF bestanden“ oder „DKIM bestanden“ verlassen?

Nur so weit, wie du dem System vertraust, das den Eintrag geschrieben hat. Maßgeblich ist das oberste Authentication-Results-Feld deines eigenen Mailanbieters. Ein bestandenes SPF, DKIM oder DMARC bestätigt die Absenderdomain – nicht, dass der Inhalt seriös ist.

Warum prüft das Werkzeug die DKIM-Signatur nicht selbst?

Eine DKIM-Signatur sichert auch den Nachrichtentext ab. Für eine echte Nachprüfung braucht es die unveränderte Originalnachricht und den öffentlichen Schlüssel im DNS. Der Header allein reicht dafür nicht; deshalb zeigen wir das Ergebnis des empfangenden Systems.

Warum stehen die Received-Zeilen „verkehrt herum“?

Jeder Server setzt seine Received-Zeile oben auf den Header. Die oberste Zeile ist daher die letzte Station, die unterste die erste. Das Werkzeug dreht die Reihenfolge für die Darstellung um.

Was bedeutet eine negative oder widersprüchliche Laufzeit?

Eine Station liegt laut Zeitstempel vor der vorherigen. Ursache sind meist falsch gehende Serveruhren oder falsche Zeitzonen, manchmal auch gefälschte Received-Zeilen. Solche Werte rechnen wir nicht als Laufzeit.