E-Mail-Header-Analyser

Fügen Sie den vollständigen E-Mail-Header ein – das Tool zeigt Versandweg, Authentifizierungs­ergebnisse und verdächtige Merkmale.

Kurzantwort

Der E-Mail-Header-Analyser prüft einen eingefügten E-Mail-Header auf Echtheit. Er rekonstruiert den Versandweg aus den Received-Zeilen, wertet die SPF-, DKIM- und DMARC-Prüfergebnisse aus und vergleicht From, Return-Path und Reply-To miteinander. Verdächtige Merkmale wie fehlgeschlagene Prüfungen oder abweichende Antwortadressen werden als Warnungen gemeldet. Die gesamte Analyse läuft lokal im Browser – nichts wird hochgeladen oder gespeichert.

Alle Analyse erfolgt lokal in Ihrem Browser – nichts wird hochgeladen oder übertragen. Der eingefügte Header verlässt Ihr Gerät nicht; auch die Zählerstatistik an unsere Analyse enthält nur Anzahlen (Hops, Warnungen), niemals Adressen oder Header-Inhalte.

Etwas stimmt nicht? Fehler melden

So funktioniert’s

Jede E-Mail trägt einen unsichtbaren Header – einen technischen Begleitzettel mit Dutzenden Zeilen. Ihr E-Mail-Programm zeigt normalerweise nur Betreff, Absender und Datum; der Rest bleibt verborgen. Genau dort stehen aber die Informationen, die über echt oder gefälscht entscheiden:

  • Received-Zeilen: Jeder Server, der die Mail weitergereicht hat, trägt sich oben ein – die Kette liest sich von unten (Absender) nach oben (Empfänger) und zeigt den kompletten Versandweg inklusive Zeitstempeln.
  • Authentication-Results: Das Prüfergebnis Ihres Providers zu SPF (darf dieser Server für die Domain senden?), DKIM (ist die kryptografische Signatur gültig?) und DMARC (was sagt die Domain-Richtlinie dazu?).
  • From, Return-Path, Reply-To: Wer als Absender angezeigt wird, wohin Bounces gehen – und wohin Ihre Antwort tatsächlich ginge. Weichen die Domains voneinander ab, ist Vorsicht geboten.
  • X-Originating-IP: Falls vorhanden, die IP-Adresse, von der die Mail ursprünglich abgeschickt wurde.

Dieses Tool faltet zunächst die umbrochenen Header-Zeilen wieder zusammen, zerlegt dann jede Zeile und baut daraus eine Zeitleiste des Versandwegs mit den Verzögerungen zwischen den Stationen. Anschließend prüft es die Authentifizierungsergebnisse, vergleicht die Absenderangaben und meldet verdächtige Merkmale – etwa fehlgeschlagene Prüfungen, große Verzögerungen oder private IP-Adressen an Stellen, wo sie nichts zu suchen haben.

Wichtig: Die gesamte Analyse läuft per JavaScript lokal in Ihrem Browser. Der eingefügte Header wird an keinen Server gesendet, nicht gespeichert und nicht protokolliert.

Beispiel

Sie erhalten eine angebliche Rechnung von rechnung@beispiel-bank.de. Der Header-Ausschnitt (Beispieldaten, gekürzt) sieht so aus:

From: "Beispiel Bank" <rechnung@beispiel-bank.de>
Return-Path: <bounce@fremd-server.ru>
Authentication-Results: mx.provider.de;
  spf=fail; dkim=none; dmarc=fail
Received: from fremd-server.ru by mx.provider.de
  with ESMTP; Mon, 12 Oct 2026 14:02:11 +0200

Die Analyse meldet drei Auffälligkeiten: SPF fehlgeschlagen (der Server darf für die Bank-Domain gar nicht senden), DMARC fehlgeschlagen und eine Abweichung zwischen From-Domain und Return-Path-Domain. Das ist das klassische Muster einer gefälschten Absenderadresse – die Mail gehört ungelesen in den Papierkorb (bzw. an die echte Bank gemeldet).

Quellen: RFC 5322 (E-Mail-Header und Received-Zeilen), RFC 7208 (SPF), RFC 6376 (DKIM), RFC 7489 (DMARC). Stand: Oktober 2026. Alle Angaben ohne Gewähr.

Häufige Fragen

Was verrät ein E-Mail-Header überhaupt?

Den kompletten Versandweg (welche Server die Mail wann weitergereicht haben), die Ergebnisse der Echtheitsprüfungen SPF/DKIM/DMARC, die tatsächlichen Absenderadressen hinter der Anzeige und manchmal die IP-Adresse des Absenders. Genau deshalb ist er das wichtigste Werkzeug bei Phishing-Verdacht.

Was bedeuten SPF, DKIM und DMARC?

SPF legt fest, welche Server für eine Domain E-Mails versenden dürfen. DKIM signiert ausgehende Mails kryptografisch, sodass Manipulationen auffallen. DMARC sagt dem Empfänger, was bei fehlgeschlagener Prüfung passieren soll (nichts, Quarantäne oder Ablehnen). Steht überall „pass“, ist die Mail mit hoher Wahrscheinlichkeit echt.

Kann man E-Mail-Header fälschen?

Teilweise: Absender und Betreff lassen sich beliebig eintragen – deshalb sind sie allein wertlos. Die Received-Zeilen der eigenen Provider-Server und die Authentication-Results stammen dagegen vom empfangenden Server und sind vertrauenswürdig. Genau diese wertet das Tool vorrangig aus.

Wird mein eingefügter Header hochgeladen oder gespeichert?

Nein. Die Analyse läuft vollständig lokal in Ihrem Browser per JavaScript – es findet keine Netzwerkübertragung statt. Auch unsere anonyme Nutzungsstatistik enthält nur Zähler (Anzahl Hops, Anzahl Warnungen), niemals Adressen oder Header-Inhalte.

Wo finde ich den Header in meinem E-Mail-Programm?

In den meisten Programmen über „Nachrichtenquelle anzeigen“, „Header anzeigen“ oder „Original anzeigen“ (z. B. in Gmail über das Drei-Punkte-Menü der Nachricht). Kopieren Sie den kompletten Text ab der ersten Header-Zeile und fügen Sie ihn hier ein.

Weitere Privacy-Tools