Eine Mail wirkt verdächtig, aber der Text allein reicht dir nicht für die Entscheidung? Dann lohnt sich ein Blick in den E-Mail-Header. Dort stehen technische Angaben zur Nachricht, mit denen du Absender, Zustellweg und Authentifizierung grob einordnen kannst. Das macht eine gefälschte Mail nicht automatisch entlarvbar, hilft dir aber, Warnsignale schneller zu erkennen.
Ein E-Mail-Header ist der technische Kopfbereich einer Nachricht. Er enthält Metadaten wie Absenderangaben, Serverinformationen und Hinweise zur Prüfung der Nachricht. Er ist nicht der sichtbare E-Mail-Text.
Den Header solltest du nicht wie eine geordnete Checkliste lesen. Die Felder können in unterschiedlicher Reihenfolge auftauchen, und nicht jedes Feld sagt dir sofort etwas über die Echtheit der Mail. Für die Sicherheitsprüfung reichen aber wenige Kerndaten.
Die wichtigsten Felder im Überblick
| Feld | Worauf du achtest | Warum es wichtig ist |
|---|---|---|
| From | Die sichtbare Absenderangabe oder der angezeigte Absendername | Hier zeigt sich, wer die Mail angeblich geschickt hat |
| Return-Path | Die Adresse für Rückläufer | Hilft dir, die technische Absenderseite besser einzuordnen |
| Received | Die Kette der Server, über die die Mail gelaufen ist | Gibt Hinweise auf den Zustellweg und mögliche Umwege |
| SPF | Ob der sendende Server für die Domain erlaubt ist | Ein wichtiger Hinweis darauf, ob die Mail zur Domain passt |
| DKIM | Ob eine digitale Signatur geprüft wurde | Zeigt, ob die Nachricht die Signaturprüfung bestanden hat |
| DMARC | Das Ergebnis der Domain-Prüfung | Hilft bei der Einordnung, ob die Mail den Authentifizierungsregeln entspricht |
Für dich ist vor allem der Unterschied zwischen sichtbarem Absender und technischer Herkunft wichtig. Ein Anzeigename kann harmlos wirken, obwohl die eigentliche Adresse etwas anderes sagt. Darum solltest du nie nur auf den Namen schauen.
So öffnest du den Header in Gmail und Outlook
Du brauchst dafür nicht viel Technik. In Gmail öffnest du die Nachricht, klickst auf das Menü mit den drei Punkten und wählst Original anzeigen. Dort erscheint der vollständige Header.
In Outlook findest du die Internetkopfzeilen in der Regel über Datei > Eigenschaften. Im neuen Outlook gibt es außerdem die Nachrichten-Details. Die genaue Bezeichnung kann sich je nach Oberfläche leicht unterscheiden.
Wenn du einen anderen Maildienst nutzt, suche nach Begriffen wie Header anzeigen, Nachrichtenquelltext oder Original. Entscheidend ist, dass du die technischen Kopfzeilen und nicht nur die normale Ansicht öffnest.
Woran du verdächtige Absender erkennst
Beim Prüfen geht es nicht darum, jedes Detail zu verstehen. Du suchst nach Widersprüchen. Diese Punkte helfen dir besonders:
- Der angezeigte Absender passt nicht zur sichtbaren E-Mail-Adresse.
- Die Domain wirkt ungewohnt oder unterscheidet sich nur minimal von einer bekannten Adresse.
- Die Received-Kette zeigt einen Zustellweg, der nicht zum erwarteten Absender passt.
- SPF, DKIM oder DMARC fallen negativ auf oder werden gar nicht klar angezeigt.
- Die Mail soll dringend sein, aber die technischen Angaben wirken unsauber oder widersprüchlich.
Wichtig ist die richtige Einordnung. Ein unauffälliger Header macht eine Mail nicht automatisch sicher. Umgekehrt ist ein auffälliger Header noch kein endgültiger Beweis für Betrug. Du nutzt ihn als Sicherheits-Hinweis, nicht als alleiniges Urteil.
Merke dir: Der Header hilft dir, verdächtige Mails besser zu prüfen. Er ersetzt aber nicht den Blick auf Inhalt, Links und Kontext.
SPF, DKIM und DMARC einfach eingeordnet
Diese drei Begriffe tauchen im Header oder in den Mail-Details oft als Prüfergebnis auf. Kurz gesagt:
- SPF prüft, ob der sendende Server für die Domain erlaubt ist.
- DKIM prüft eine Signatur der Nachricht.
- DMARC verbindet diese Prüfungen mit der sichtbaren Absenderdomain.
Wenn du dort ein klares positives Ergebnis siehst, ist das ein gutes Zeichen. Es heißt aber nicht, dass die Nachricht automatisch harmlos ist. Phishing kann trotzdem über gut gemachte Inhalte, gefälschte Markenauftritte oder andere Tricks funktionieren.
Ein Sonderfall sind Weiterleitungen. Eine weitergeleitete Nachricht kann in der Prüfung anders wirken, obwohl sie ursprünglich legitim war. Deshalb solltest du einen ungewöhnlichen Authentifizierungsstatus bei Weiterleitungen nicht vorschnell als Betrug werten. Prüfe dann zusätzlich den Zusammenhang, etwa ob die Mail über eine Mailingliste oder einen Weiterleitungsdienst lief.
Typische Missverständnisse bei der Header-Prüfung
Viele Einsteiger erwarten, dass der Header eine eindeutige Wahrheit liefert. Das tut er nicht. Er zeigt technische Spuren, die du zusammen mit anderen Hinweisen bewerten musst. Auch die Reihenfolge der Felder ist nicht fest. Deshalb ist es normal, wenn dein Header anders aussieht als ein Beispielbild im Internet.
Außerdem ist nicht jeder auffällige Eintrag sofort verdächtig. Manche Server ergänzen eigene Hinweise, manche Mailwege erzeugen zusätzliche Zwischenschritte. Genau darum ist die Received-Kette nur ein Teil der Bewertung. Sie zeigt den Weg der Nachricht, aber sie erklärt nicht jede Abweichung von selbst.
Die kurze Prüfroutine für den Alltag
- Öffne den vollständigen Header oder die Internetkopfzeilen.
- Vergleiche den sichtbaren Absender mit der technischen Adresse.
- Schau auf die Received-Kette und prüfe, ob der Zustellweg plausibel wirkt.
- Suche nach SPF, DKIM oder DMARC und achte auf das Ergebnis.
- Bewerte die Mail zusammen mit Inhalt, Linkzielen und Anlass der Nachricht.
- Wenn etwas nicht zusammenpasst, klicke nicht sofort und prüfe den Absender über einen zweiten Weg.
Die Routine ist absichtlich schlicht. Du musst keinen vollständigen Protokolltext lesen. Es reicht, wenn du die wichtigsten Signale erkennst und Widersprüche bemerkst. Wenn sichtbarer Absender, technische Herkunft und Authentifizierungsstatus zusammenpassen, ist das ein gutes Zeichen. Wenn sie nicht zusammenpassen oder die Mail dich zu schnellem Handeln drängt, behandle sie als verdächtig und verifiziere sie getrennt. Der Header ist dann ein wertvolles Hilfsmittel, aber nicht die letzte Instanz.