Absender und Header lesen

Modul 2: E-Mails lesen · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie den Anzeigenamen und die echte Adresse eines Absenders unterscheiden, die Header einer Nachricht öffnen und Return-Path, Received, Authentication-Results und List-Unsubscribe lesen. Außerdem wissen Sie, was externe Bilder und Empfangsbestätigungen über Sie verraten.

Kernbegriffe: Anzeigename, Antwort an, Kopfzeilen, Quelltext anzeigen, Authentication-Results, Ausrichtung, List-Unsubscribe, externe Inhalte, Tracking-Pixel, Empfangsbestätigung

Ein Name ist keine Adresse

In der Nachrichtenliste sehen Sie bei den meisten E-Mails keine E-Mail-Adresse, sondern einen Namen: "Mehmet", "Blumenatelier Example", "Kundenservice". Das ist der Anzeigename. In der Kopfzeile From steht er vor der Adresse:

From: Julia Schneider <julia@example.com>

Den Anzeigenamen wählt der Absender selbst, und jeder kann jeden beliebigen Namen eintragen. Ein Betrüger kann also als "Julia Schneider" von einer ganz anderen Adresse aus schreiben. In Lektion 4.1 legen Sie Ihren eigenen Anzeigenamen fest; hier geht es darum, dass Sie ihm bei anderen nicht blind vertrauen.

Klicken Sie in der Webmail über einer geöffneten Nachricht auf Details. Dann sehen Sie neben dem Namen auch die vollständige Adresse des Absenders und aller Empfänger. Achten Sie bei einer E-Mail, die etwas von Ihnen verlangt, immer auf die Adresse und vor allem auf den Teil nach dem @.

Antwort an: wohin Ihre Antwort wirklich geht

Eine E-Mail kann eine Kopfzeile Reply-To haben, in der Webmail Antwort an. Klicken Sie auf Antworten, geht Ihre Antwort an diese Adresse und nicht an From. Dafür gibt es gute Gründe. Ein Onlineshop versendet zum Beispiel von noreply@ und trägt den Kundenservice in Antwort an ein.

Es ist aber auch ein bekannter Trick. Eine E-Mail scheint von der Geschäftsführung zu kommen, mit der richtigen Adresse in From, aber Antwort an zeigt auf eine Adresse des Betrügers. Wer antwortet, spricht ab diesem Moment mit dem Betrüger. Prüfen Sie deshalb bei einer unerwarteten Anfrage im Verfassen-Fenster, an welche Adresse Ihre Antwort geht, bevor Sie auf Senden klicken.

Die Header öffnen

Die Ansicht einer E-Mail zeigt nur wenige Kopfzeilen. Den Rest öffnen Sie auf zwei Wegen:

• Kopfzeilen über der Nachricht: Die Webmail öffnet ein Fenster mit allen Kopfzeilen der Nachricht, wie Sie auf der Abbildung sehen.
• Mehr > Quelltext anzeigen: Die Webmail öffnet in einem neuen Tab die ganze Nachricht so, wie sie auf dem Server liegt, also die Kopfzeilen, eine Leerzeile und danach den Inhalt und die Anhänge als Text.

Im Menü Mehr finden Sie auch Exportieren.... Damit laden Sie die Nachricht als .eml-Datei herunter, zum Beispiel um sie Ihrem Provider oder einem Kollegen zu geben, der die Header prüfen soll.

Die Header wirken zu Beginn wie ein Durcheinander. Sie müssen nicht alle kennen. Suchen Sie gezielt nach vier Arten.

Vier Kopfzeilen, die etwas verraten

Mehmet erhält einen Newsletter von seinem Großhändler, "Großhandel Example". In den Kopfzeilen steht unter anderem Folgendes (gekürzt):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <mehmet@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Großhandel Example <nachrichten@example.org>
List-Unsubscribe: <https://www.example.org/abmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path ist die Umschlag-Absenderadresse aus Lektion 1.1. Fehlermeldungen gehen dorthin. Bei Newslettern ist das oft eine eigene Adresse pro Empfänger, damit der Absender sehen kann, welche Adresse nicht mehr funktioniert.

Received zeigt, welcher Server die E-Mail an welchen Server übergeben hat. Die oberste Zeile hat Mehmets eigener Server erstellt. Dieser Zeile vertrauen Sie am meisten: Hier sehen Sie, von welchem Server und welcher IP-Adresse die E-Mail tatsächlich eingetroffen ist.

Authentication-Results ist der Bericht des empfangenden Servers über die Prüfungen aus Lektion 1.1:

• spf=pass mit smtp.mailfrom: Der Server, der die E-Mail zugestellt hat, darf im Namen der Domain des Umschlag-Absenders versenden.
• dkim=pass mit header.d: Die digitale Signatur stimmt und wurde von dieser Domain gesetzt.
• dmarc=pass mit header.from: Die Domain in From gehört zu einer erfolgreichen SPF- oder DKIM-Prüfung. Das nennt man Ausrichtung. Hier wurde DKIM von example.org signiert, und From ist ebenfalls example.org. Auch mailer.example.org gilt als ausgerichtet, weil es unter dieselbe Domain fällt.

Wichtig: Es zählen nur die Authentication-Results Ihres eigenen empfangenden Servers. Ein Absender kann selbst eine gefälschte Zeile mit "pass" in seine Nachricht schreiben. Achten Sie also darauf, welcher Server die Zeile geschrieben hat (das erste Wort, hier mx.example.net). Nicht jeder Server fügt diese Zeile hinzu. Sehen Sie sie nicht, können Sie trotzdem prüfen, ob es eine Kopfzeile DKIM-Signature gibt und für welche Domain (d=).

Und beachten Sie: pass bedeutet nur, dass die E-Mail tatsächlich von dieser Domain kommt. Ein Betrüger mit eigener Domain, etwa example-payment.example, kann problemlos bei allen drei Prüfungen ein pass erhalten. Die Prüfung sagt, wer versendet, nicht ob dieser Absender vertrauenswürdig ist.

List-Unsubscribe ist eine Abmeldeadresse, die E-Mail-Programme für einen Abmelde-Button nutzen können. Mit List-Unsubscribe-Post zusätzlich klappt das mit einem Klick, ohne dass Sie erst auf einer Website bestätigen müssen. Bei einem Newsletter, den Sie selbst abonniert haben, ist abmelden der richtige Weg. Bei echtem Spam nicht: Dort bestätigen Sie nur, dass Ihre Adresse existiert (Lektion 8.2).

Externe Bilder und Tracking-Pixel

Viele Newsletter laden ihre Bilder aus dem Internet, sobald Sie die E-Mail öffnen. Das sind externe Inhalte. Ein solches Bild kann einen eindeutigen Code in der Adresse enthalten oder sogar ein unsichtbares Bild von einem Pixel sein: ein Tracking-Pixel. Sobald Sie die E-Mail öffnen und das Bild geladen wird, weiß der Absender, dass Sie die E-Mail geöffnet haben, wann und von welcher IP-Adresse aus.

Die Webmail von WebOké lädt externe Inhalte standardmäßig nicht. Sie sehen dann einen Balken mit dem Hinweis, dass sie blockiert wurden, und eine Schaltfläche, um sie für diese eine Nachricht doch zu laden. Unter Einstellungen > Einstellungen > Nachrichtendarstellung können Sie bei Externe Inhalte erlauben zwischen nie, von meinen Kontakten, von vertrauenswürdigen Absendern oder immer wählen. Von immer ist abzuraten: Dann sieht jeder Absender, auch ein Spammer, dass Ihre Adresse existiert und gelesen wird.

Empfangsbestätigungen

Ein Absender kann eine Empfangsbestätigung anfordern: eine Meldung, wenn Sie die Nachricht öffnen. Die Webmail fragt Sie dann, ob Sie diese senden möchten. Sie sind dazu nicht verpflichtet. Die Bestätigung sagt außerdem nur, dass die Nachricht auf Ihrem Bildschirm angezeigt wurde, nicht dass Sie sie gelesen oder verstanden haben. Unter Nachrichtendarstellung legen Sie fest, was die Webmail mit solchen Anfragen macht; lassen Sie sich im Zweifel jedes Mal fragen. Einem unbekannten Absender senden Sie keine.

In der Praxis: so funktioniert es in der Webmail

Über einer geöffneten Nachricht stehen Details, Kopfzeilen und Einfacher Text. Quelltext anzeigen und Exportieren... finden Sie unter Mehr. Externe Inhalte stellen Sie unter Einstellungen > Einstellungen > Nachrichtendarstellung ein. Das Roundcube-Handbuch beschreibt die Schaltflächen im Abschnitt Eine Nachricht lesen; wie Sie Header lesen, steht auch in der Wissensdatenbank. In anderer Webmail, etwa Gmail oder Outlook.com, funktioniert es ähnlich, auch wenn die Schaltfläche für den Quelltext dort anders heißt.

Zusammenfassung

• Den Anzeigenamen wählt der Absender selbst; prüfen Sie mit Details die echte Adresse und die Domain.
• Antwort an bestimmt, wohin Ihre Antwort geht, und kann auf eine andere Domain zeigen.
• Mit Kopfzeilen oder Mehr > Quelltext anzeigen sehen Sie alle Header; lesen Sie Return-Path, die oberste Received-Zeile, Authentication-Results und List-Unsubscribe.
• Es zählen nur die Authentication-Results Ihres eigenen Servers, und pass sagt, wer versendet, nicht ob dieser vertrauenswürdig ist.
• Externe Inhalte und Empfangsbestätigungen verraten dem Absender, dass Sie die E-Mail geöffnet haben.

Quiz

Aufgabe

Aufgabe A2.2: Eine echte E-Mail analysieren. Wählen Sie eine E-Mail, die Sie erhalten haben, zum Beispiel einen Newsletter. Öffnen Sie sie, wählen Sie Mehr > Quelltext anzeigen und kopieren Sie nur die Kopfzeilen: alles bis zur ersten Leerzeile. Fügen Sie sie in das Formular ein und tragen Sie die Domain des Absenders (From) und die Domain von Return-Path ein. Das Programm analysiert die eingefügten Kopfzeilen im Arbeitsspeicher (es wird nichts gespeichert), vergleicht Ihre Antworten und zeigt, was es gefunden hat: die Received-Kette, die DKIM-Domain und ob die Domains ausgerichtet sind. Grün: beide Antworten richtig. Orange: eine richtig. Rot: keine von beiden.

Weiterführende Informationen

Wo Schritte in der Webmail beschrieben sind, gelten sie für die Webmail von WebOké; in anderer Webmail funktioniert es ähnlich.

• Roundcube Webmail 3.1: Eine Nachricht lesen
• Die Kopfzeilen (Header) einer E-Mail anzeigen und lesen
• Kostenloser Kurs E-Mail in Ordnung: einrichten und gut ankommen lassen 1.5: Header lesen: Woher kam diese E-Mail wirklich?
• Kostenloser Kurs Sicher online für Unternehmer 3.3: Absender und Header lesen
• Kostenloser Kurs E-Mail in Ordnung: einrichten und gut ankommen lassen 7.2: Einwilligung, Abmeldung und eine saubere Liste
• RFC 5322, Internet Message Format (Englisch): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe und weitere Listen-Kopfzeilen (Englisch): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, Abmelden mit einem Klick (Englisch): https://www.rfc-editor.org/rfc/rfc8058
• Een bericht exporteren als .eml en weer importeren