E-Mail-Header lesen: Woher kommt eine Mail wirklich?

Jede E-Mail trägt einen Lebenslauf mit sich herum, den dein Mailprogramm normalerweise versteckt: den Header. Dort steht, über welche Server die Nachricht gelaufen ist, wann sie wo ankam und ob die Prüfungen gegen gefälschte Absender bestanden wurden. Wer den Header lesen kann, erkennt Phishing schneller und findet heraus, warum eine Mail verspätet oder im Spam gelandet ist.

Wo du den Header findest

Jedes Mailprogramm kann den vollständigen Header anzeigen, nur heißt die Funktion überall anders:

• Gmail: Nachricht öffnen, oben rechts auf die drei Punkte und „Original anzeigen“.
• Outlook im Browser: drei Punkte, dann „Ansicht“ und „Nachrichtendetails anzeigen“.
• Outlook für Windows: „Datei“, „Eigenschaften“, Abschnitt „Internetkopfzeilen“.
• Apple Mail: „Darstellung“, „Nachricht“, „Alle Header“.
• Thunderbird: „Ansicht“, „Nachrichtenquelltext“.
• TossPost: In jeder Nachricht zeigt der Reiter „Kopfzeilen“ alle Zeilen und „Quelltext“ den ganzen Rohtext.

Die wichtigsten Zeilen

Ein Header besteht aus vielen Zeilen der Form Name: Wert. Für die meisten Fragen reichen diese:

Zeile	Was sie verrät
From	Der angezeigte Absender. Kann frei gewählt werden.
Reply-To	Wohin eine Antwort geht. Bei Betrug oft eine andere Adresse als From.
Return-Path	Wohin Fehlermeldungen gehen; diese Adresse prüft SPF.
Date	Wann der Absender die Mail verschickt hat, laut seiner eigenen Uhr.
Message-ID	Eine eindeutige Kennung, meist mit der Domain des sendenden Systems.
Received	Eine Station auf dem Weg der Mail. Es gibt meist mehrere.
Authentication-Results	Das Ergebnis von SPF, DKIM und DMARC beim Empfänger.
DKIM-Signature	Die digitale Unterschrift und die Domain, die unterschrieben hat (d=).
List-Unsubscribe	Der Abmeldelink von Newslettern.

Den Weg einer Mail nachverfolgen

Jeder Server, der eine Mail weiterreicht, setzt eine neue Received-Zeile oben auf den Header. Du liest den Weg also von unten nach oben: Die unterste Zeile ist die erste Station, die oberste die letzte vor deinem Postfach.

Received: from mail.example.org (mail.example.org [198.51.100.7])
        by mx.example.net with ESMTPS; Tue, 20 Oct 2026 09:14:05 +0200
Received: from app-3.internal.example.org (10.0.0.12)
        by mail.example.org with ESMTP; Tue, 20 Oct 2026 09:14:02 +0200

Hier hat ein interner Anwendungsserver die Mail an den Mailserver von example.org übergeben, der sie drei Sekunden später an den Empfänger example.net geschickt hat. Vergleichst du die Zeitstempel aufeinanderfolgender Stationen, siehst du, wo eine Mail hängen geblieben ist. Liegen zwischen zwei Zeilen Minuten oder Stunden, lag die Verzögerung an genau dieser Station.

Gefälschte Absender erkennen

Phishing-Mails geben sich als Bank, Paketdienst oder Kollegin aus. Der Header verrät sie oft:

• Authentication-Results zeigt fail: Besteht DMARC nicht, obwohl die Mail angeblich von einer großen Firma stammt, ist das ein deutliches Warnzeichen.
• From, Reply-To und Return-Path passen nicht zusammen: Eine Mail „von deiner Bank“, deren Antwortadresse bei einem Freemail-Anbieter liegt, ist verdächtig.
• Der Anzeigename täuscht: From: "Bank Support" <[email protected]> – entscheidend ist die Adresse in spitzen Klammern, nicht der Name davor.
• Fremde Server im Weg: Kommt eine Mail angeblich von einer Firma, die unterste Received-Zeile nennt aber einen Server, der nichts mit ihr zu tun hat, stimmt etwas nicht.

Kein einzelnes Merkmal beweist einen Betrug. Treffen aber mehrere zu, solltest du keinen Link anklicken und keine Anhänge öffnen.

Was der Header nicht verrät

Der Header ist aufschlussreich, aber kein Lügendetektor:

• Nur die oberen Zeilen sind verlässlich. Die Received-Zeilen, die dein eigener Mailanbieter gesetzt hat, stimmen. Alles darunter kann ein Absender selbst hineingeschrieben haben.
• Der Standort des Absenders bleibt meist verborgen. Große Webmail-Dienste geben die IP-Adresse ihrer Nutzer nicht weiter, und eine Server-IP verrät nur, wo das Rechenzentrum steht.
• Date ist eine Angabe des Absenders. Eine falsch gestellte Uhr oder Absicht kann sie verfälschen; die Zeitstempel der Received-Zeilen sind verlässlicher.

Header schneller auswerten

Ein langer Header mit Dutzenden Zeilen ist mühsam zu lesen. Die TossPost Header-Analyse nimmt dir das ab: Du fügst den Header ein und siehst die Stationen der Mail in der richtigen Reihenfolge mit den Verzögerungen dazwischen, das Ergebnis von SPF, DKIM und DMARC, ob die Domains zum Absender passen, Spam-Markierungen und den Abmeldelink. Der Header wird nur für die Auswertung verwendet und nicht gespeichert.

Willst du wissen, wie deine eigenen Mails ankommen, schick sie an den Mail-Tester. Was hinter den Prüfungen steckt, erklärt der Artikel SPF, DKIM und DMARC einfach erklärt.

Kurz gesagt

Der Header zeigt, woher eine Mail kommt, welchen Weg sie genommen hat und ob sie die Prüfungen gegen Fälschung bestanden hat. Lies die Received-Zeilen von unten nach oben, vergleiche From, Reply-To und Return-Path und achte auf Authentication-Results.

Analysiere jetzt einen Header