Modul 3 · 3.3
Deutsch
Absender und Header lesen
Modul 3: Phishing erkennen · Lesezeit: 13 Minuten
Lernziel: Nach dieser Lektion können Sie den Absender einer E-Mail anhand des Anzeigenamens, der From-Adresse, Reply-To, Return-Path, der Received-Zeilen und des Ergebnisses von SPF, DKIM und DMARC in Authentication-Results beurteilen.
Kernbegriffe: Anzeigename, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC-Ergebnis, Alignment
Was Sie sehen und was wirklich dasteht
Ein Mailprogramm zeigt Ihnen meist nur einen kleinen Teil des Absenders: einen Namen, manchmal eine Adresse. Dahinter steckt ein Block technischer Zeilen, den Sie nicht sehen, die Header. Darin steht, wer die Mail zu sein behauptet, wohin Antworten gehen sollen, über welche Server sie gelaufen ist und was Ihr Mailserver geprüft hat.
Sie müssen kein Techniker sein, um sie zu lesen. Sie brauchen sechs davon:
| Header | Was es ist | Wer es ausfüllt |
|---|---|---|
| Anzeigename | Der Name vor der Adresse, zum Beispiel Meinebank | Der Absender, frei wählbar |
From | Die Absenderadresse, die Sie sehen | Der Absender |
Reply-To | Wohin Ihre Antwort geht, wenn Sie auf Antworten klicken | Der Absender |
Return-Path | Die technische Absenderadresse für Fehlermeldungen (Envelope-Absender) | Ihr Mailserver, basierend auf den Angaben des Absenders |
Received | Eine Zeile pro Server, der die Mail weitergeleitet hat | Jeder Server auf der Route |
Authentication-Results | Das Ergebnis von SPF, DKIM und DMARC | Ihr Mailserver |
Die ersten drei kann ein Absender frei ausfüllen. Erst bei den letzten drei findet eine Kontrolle statt.
Der Anzeigename sagt nichts
Der Anzeigename ist einfach nur Text. Jeder kann als Namen „Meinebank Kundenservice“ oder den Namen Ihres Geschäftsführers verwenden. Viele Mailprogramme, vor allem auf dem Telefon, zeigen nur diesen Namen an. Ein bekannter Trick ist eine Adresse im Namen:
From: "info@meinebank.example" <noreply@angreifer.example>Sie sehen info@meinebank.example, aber die echte Adresse steht zwischen den spitzen Klammern. Tippen oder klicken Sie also immer auf den Namen, um die vollständige Adresse zu sehen.
Auch die From-Adresse selbst kann gefälscht werden: Im Mailprotokoll darf ein Server jede beliebige From-Adresse angeben. Ob das gelingt, ohne im Spamordner zu landen, hängt von SPF, DKIM und DMARC der nachgeahmten Domain ab. Darum geht es im Rest dieser Lektion.
Reply-To: Antworten an jemand anderen
Mit Reply-To sagt eine Mail: „Antworten Sie nicht mir, sondern an diese Adresse.“ Newsletter und Webformulare nutzen das normalerweise so. Betrüger nutzen es, um ein Gespräch zu übernehmen. Die Mail kommt von einer echten oder echt wirkenden Adresse, aber Ihre Antwort mit den angeforderten Daten oder der Zahlungsbestätigung geht an den Angreifer.
From: Lieferant Mehl <verwaltung@lieferant.example>
Reply-To: <verwaltung@lieferant-zahlungen.example>Achten Sie bei einer Geld- oder Datenanfrage immer auf die Adresse im Antwortfenster, bevor Sie auf Senden klicken.
Return-Path, Received und die Route
Der Return-Path ist die Adresse, an die Fehlermeldungen gehen. Er wird auch Envelope-Absender genannt: die Adresse auf der Außenseite des Umschlags, während From auf dem Brief selbst steht. Auf dieser Domain prüft SPF. Bei Newslettern und Rechnungen aus einem Buchhaltungsprogramm ist der Return-Path oft eine Domain des Versanddienstes. Das ist normal.
Jeder Server, der die Mail weiterleitet, fügt oben eine Received-Zeile hinzu. Sie lesen sie also von unten nach oben: die unterste Zeile ist der Anfang der Route, die oberste die letzte Station (Ihr eigener Mailserver). Achtung: Nur die obersten Zeilen, die Ihr eigener Provider hinzugefügt hat, können Sie vertrauen. Darunter kann ein Absender erfundene Zeilen mitschicken.
Authentication-Results: das Ergebnis der Prüfung
Ihr eigener Mailserver prüft beim Empfang drei Dinge (mehr dazu in Modul 4 und im DNS-Kurs):
- SPF: durfte dieser Server für die Domain im Return-Path mailen?
- DKIM: stimmt die digitale Signatur, und von welcher Domain stammt sie (
d=oderheader.d=)? - DMARC: gehört mindestens eine dieser beiden erfolgreichen Prüfungen zur Domain in From? Das nennt man Alignment. „Gehört zu“ bedeutet: dieselbe registrierbare Domain (Lektion 3.2).
mail.meinebank.exampleist mitmeinebank.examplealigniert (gleiche registrierbare Domain).
Das Ergebnis steht in Authentication-Results. Vertrauen Sie nur der Zeile mit dem Namen Ihres eigenen Mailservers vorne; ein Absender kann selbst auch so eine Zeile mitschicken.
| Ergebnis | Bedeutung |
|---|---|
pass | Die Prüfung ist erfolgreich |
fail | Die Prüfung ist fehlgeschlagen: nicht erlaubt oder Signatur stimmt nicht |
softfail (SPF) | Wahrscheinlich nicht erlaubt, aber die Domain will nicht hart ablehnen (~all) |
none | Es gab nichts zu prüfen: kein Record oder keine Signatur |
Die wichtigste Lektion: dmarc=pass bedeutet nur „diese Mail kommt wirklich von der Domain in From“. Es sagt nichts darüber aus, ob dieser Domain zu vertrauen ist. Ein Angreifer mit seiner eigenen Lookalike-Domain kann alles sauber auf pass stehen haben.
In der Praxis: so sieht es aus
Drei nachgebildete Header-Blöcke, gekürzt auf die relevanten Zeilen. Der Empfänger ist die Bäckerei Example; der eigene Mailserver heißt mx1.example.com.
Beispiel 1: echt.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarDie From-Domain ist mijnbank.example, DKIM ist von mijnbank.example signiert und der Return-Path fällt darunter: beide aligniert, DMARC besteht. Die Mail kommt wirklich von dieser Domain. Gehen Sie für die Jahresübersicht trotzdem über Ihr eigenes Lesezeichen zur Bank.
Beispiel 2: gefälschter Absender.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerSPF besteht, aber für aanvaller.example, nicht für die From-Domain. Es gibt keine Signatur. DMARC schlägt also fehl. Weil der Lieferant p=none eingestellt hat, wurde die Mail trotzdem zugestellt. Mit p=reject wäre sie abgelehnt worden. Hinzu kommt noch das Reply-To zu einer anderen Domain. Gefälscht.
Beispiel 3: Lookalike mit allem auf pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Bevestig je gegevens voor de nieuwe betaalpasAlles besteht, denn der Angreifer hat für seine eigene Domain alles korrekt eingerichtet. Aber mijnbank-veilig.example ist nicht mijnbank.example, die echte Bank. Gefälscht.
Die Header selbst öffnen. In Webmail auf Basis von Roundcube (wie bei WebOké) öffnen Sie die Nachricht und wählen im Menü Mehr (die drei Punkte) Quelle anzeigen. Andere Programme nennen es zum Beispiel „Original anzeigen“ oder „Nachrichtenquelltext“. Suchen Sie im Text nach Authentication-Results. Auf dem Telefon geht das oft nicht; schauen Sie sich die Mail dann in Webmail auf einem Computer an.
Zusammenfassung
- Anzeigename, From und Reply-To schreibt der Absender selbst. Schauen Sie immer auf die echte Adresse und auf Reply-To, bevor Sie antworten.
- Return-Path ist die Envelope-Adresse, auf der SPF prüft. Received-Zeilen lesen Sie von unten nach oben; vertrauen Sie nur denen Ihres eigenen Providers.
- Authentication-Results zeigt das Ergebnis von SPF, DKIM und DMARC. DMARC prüft, ob SPF oder DKIM mit der From-Domain aligniert ist.
dmarc=failbei einer bekannten Domain ist ein starkes Signal für eine Fälschung.dmarc=passbeweist nur, dass die Mail von der From-Domain kommt. Prüfen Sie immer, ob diese Domain die echte ist.
Quiz
Aufgabe
Aufgabe A3.3: Header lesen. Sie erhalten drei Header-Blöcke. Tragen Sie pro Block ein: die Domain im Return-Path, die Domain der DKIM-Signatur (d=), das DMARC-Ergebnis und ob die Mail echt oder gefälscht ist. Das Programm kontrolliert Ihre Antworten und weist bei einem Fehler auf die Zeile hin, in der die Antwort steht.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- Was ist DMARC? Erklärung in einfacher Sprache
- Meine E-Mail kommt nicht an oder landet im Spam: So finden Sie die Ursache heraus
- Öffentliche E-Mail-Prüfung (SPF, DMARC, MX) einer Domain: https://www.weboke.de/e-mail-check, und der Mailtest von internet.nl: https://internet.nl
- DNS-Kurs, Lektionen 4.3 SPF, 4.4 DKIM und 4.5 DMARC: https://www.weboke.de/dns-cursus
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601