Absender und Header lesen

Modul 2: E-Mails lesen · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie den Anzeigenamen und die echte Adresse eines Absenders auseinanderhalten, die Header einer Nachricht öffnen und Return-Path, Received, Authentication-Results und List-Unsubscribe lesen. Außerdem wissen Sie, was externe Bilder und Lesebestätigungen über Sie verraten.

Kernbegriffe: Anzeigename, Antwort an, Kopfzeilen, Quelltext anzeigen, Authentication-Results, Ausrichtung (Alignment), List-Unsubscribe, externe Inhalte, Tracking-Pixel, Lesebestätigung

Ein Name ist keine Adresse

In der Nachrichtenliste sehen Sie bei den meisten E-Mails keine E-Mail-Adresse, sondern einen Namen: "Ahmed", "Bloemenatelier Example", "Kundenservice". Das ist der Anzeigename. In der Kopfzeile From steht er vor der Adresse:

From: Sanne de Vries <sanne@example.com>

Den Anzeigenamen wählt der Absender selbst, und jeder kann jeden beliebigen Namen eintragen. Ein Betrüger kann also als "Sanne de Vries" von einer ganz anderen Adresse aus schreiben. In Lektion 4.1 richten Sie Ihren eigenen Anzeigenamen ein; jetzt geht es darum, ihm bei anderen nicht blind zu vertrauen.

Klicken Sie in der Webmail über einer geöffneten Nachricht auf Details. Dann sehen Sie neben dem Namen auch die vollständige Adresse des Absenders und aller Empfänger. Schauen Sie bei einer E-Mail, die etwas von Ihnen verlangt, immer auf die Adresse, und vor allem auf den Teil nach dem @.

Antwort an: wohin Ihre Antwort wirklich geht

Eine E-Mail kann eine Kopfzeile Reply-To enthalten, in der Webmail Antwort an. Klicken Sie auf Antworten, geht Ihre Antwort an diese Adresse und nicht an From. Dafür gibt es gute Gründe. Ein Onlineshop versendet zum Beispiel von noreply@ aus und trägt den Kundenservice in Antwort an ein.

Es ist aber auch ein bekannter Trick. Eine E-Mail scheint vom Geschäftsführer zu kommen, mit der richtigen Adresse in From, doch Antwort an zeigt auf eine Adresse des Betrügers. Wer antwortet, schreibt ab diesem Moment mit dem Betrüger. Prüfen Sie daher bei einer unerwarteten Bitte im Verfassen-Fenster, an welche Adresse Ihre Antwort geht, bevor Sie auf Senden klicken.

Die Header öffnen

Die Ansicht einer E-Mail zeigt nur einige wenige Kopfzeilen. Den Rest öffnen Sie auf zwei Wegen:

• Kopfzeilen über der Nachricht: Die Webmail öffnet ein Fenster mit allen Kopfzeilen der Nachricht, wie Sie auf der Abbildung sehen.
• Mehr > Quelltext anzeigen: Die Webmail öffnet in einem neuen Tab die gesamte Nachricht, wie sie auf dem Server liegt, also die Kopfzeilen, eine Leerzeile und danach den Inhalt und die Anhänge als Text.

Im Menü Mehr finden Sie auch Exportieren.... Damit laden Sie die Nachricht als .eml-Datei herunter, zum Beispiel um sie Ihrem Provider oder einem Kollegen zu geben, der sich die Header ansehen soll.

Die Header wirken anfangs wie ein Durcheinander. Sie müssen nicht alle kennen. Suchen Sie gezielt nach vier Arten.

Vier Kopfzeilen, die etwas verraten

Ahmed erhält einen Newsletter von seinem Großhändler, "Groothandel Example". In den Kopfzeilen steht unter anderem Folgendes (gekürzt):

Return-Path: <bounce-7731@mailer.example.org>
Received: from mailer.example.org (mailer.example.org [198.51.100.40])
        by mx.example.net with ESMTPS
        for <ahmed@example.net>; Mon, 09 Nov 2026 07:02:11 +0100
Authentication-Results: mx.example.net;
        spf=pass smtp.mailfrom=mailer.example.org;
        dkim=pass header.d=example.org;
        dmarc=pass header.from=example.org
From: Groothandel Example <nieuws@example.org>
List-Unsubscribe: <https://www.example.org/afmelden?id=7731>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Return-Path ist die Umschlag-Absenderadresse aus Lektion 1.1. Fehlermeldungen gehen dorthin. Bei Newslettern ist das oft eine eigene Adresse pro Empfänger, damit der Absender sehen kann, welche Adresse nicht mehr funktioniert.

Received zeigt, welcher Server die E-Mail an welchen Server übergeben hat. Die oberste Zeile hat Ahmeds eigener Server geschrieben. Dieser Zeile vertrauen Sie am meisten: Hier sehen Sie, von welchem Server und welcher IP-Adresse die E-Mail tatsächlich ankam.

Authentication-Results ist der Bericht des empfangenden Servers über die Prüfungen aus Lektion 1.1:

• spf=pass mit smtp.mailfrom: Der Server, der die E-Mail zugestellt hat, darf im Namen der Domain des Umschlag-Absenders versenden.
• dkim=pass mit header.d: Die digitale Signatur stimmt und wurde von dieser Domain gesetzt.
• dmarc=pass mit header.from: Die Domain in From passt zu einer erfolgreichen SPF- oder DKIM-Prüfung. Das nennt man Ausrichtung (Alignment). Hier wurde DKIM von example.org signiert, und From ist ebenfalls example.org. Auch mailer.example.org gilt als ausgerichtet, weil es unter dieselbe Domain fällt.

Wichtig: Nur die Authentication-Results Ihres eigenen empfangenden Servers zählen. Ein Absender kann selbst eine gefälschte Zeile mit "pass" in seine Nachricht setzen. Achten Sie also darauf, welcher Server die Zeile geschrieben hat (das erste Wort, hier mx.example.net). Nicht jeder Server fügt diese Zeile hinzu. Sehen Sie sie nicht, können Sie trotzdem prüfen, ob es eine Kopfzeile DKIM-Signature gibt und für welche Domain (d=).

Und beachten Sie: pass bedeutet nur, dass die E-Mail wirklich von dieser Domain kommt. Ein Betrüger mit einer eigenen Domain, etwa example-betaling.example, kann problemlos für alle drei ein pass erhalten. Die Prüfung sagt, wer versendet, nicht, ob dieser vertrauenswürdig ist.

List-Unsubscribe ist eine Abmeldeadresse, die E-Mail-Programme für einen Abmeldeknopf nutzen können. Mit List-Unsubscribe-Post dazu geht das mit einem Klick, ohne dass Sie erst auf einer Website bestätigen müssen. Bei einem Newsletter, für den Sie sich selbst angemeldet haben, ist das Abmelden der richtige Weg. Bei echtem Spam nicht: Dort bestätigen Sie nur, dass Ihre Adresse existiert (Lektion 8.2).

Bilder von außen und Tracking-Pixel

Viele Newsletter laden ihre Bilder aus dem Internet, sobald Sie die E-Mail öffnen. Das sind externe Inhalte. Ein solches Bild kann einen eindeutigen Code in seiner Adresse haben oder sogar ein unsichtbares Bild von einem Pixel sein: ein Tracking-Pixel. Sobald Sie die E-Mail öffnen und das Bild geladen wird, weiß der Absender, dass Sie die E-Mail geöffnet haben, wann und von welcher IP-Adresse aus.

Die Webmail von WebOké lädt externe Inhalte standardmäßig nicht. Sie sehen dann eine Leiste mit dem Hinweis, dass sie blockiert wurden, und einen Knopf, um sie für diese eine Nachricht doch zu laden. Unter Einstellungen > Einstellungen > Nachrichtendarstellung können Sie bei Externe Inhalte erlauben zwischen nie, von meinen Kontakten, von vertrauenswürdigen Absendern oder immer wählen. Von immer ist abzuraten: Dann sieht jeder Absender, auch ein Spammer, dass Ihre Adresse existiert und gelesen wird.

Lesebestätigungen

Ein Absender kann eine Lesebestätigung anfordern: eine Benachrichtigung, wenn Sie die Nachricht öffnen. Die Webmail fragt Sie dann, ob Sie diese senden möchten. Dazu sind Sie nicht verpflichtet. Die Bestätigung sagt außerdem nur, dass die Nachricht auf Ihrem Bildschirm angezeigt wurde, nicht, dass Sie sie gelesen oder verstanden haben. Unter Nachrichtendarstellung legen Sie fest, wie die Webmail mit solchen Anfragen umgeht; lassen Sie sie im Zweifel jedes Mal bei Ihnen nachfragen. Einem unbekannten Absender senden Sie keine.

In der Praxis: So funktioniert es in der Webmail

Über einer geöffneten Nachricht finden Sie Details, Kopfzeilen und Einfacher Text. Quelltext anzeigen und Exportieren... finden Sie unter Mehr. Externe Inhalte stellen Sie unter Einstellungen > Einstellungen > Nachrichtendarstellung ein. Das Roundcube-Handbuch beschreibt die Knöpfe unter Eine Nachricht lesen; wie Sie Header lesen, steht auch in der Wissensdatenbank. In anderer Webmail, etwa Gmail oder Outlook.com, funktioniert es ähnlich, auch wenn der Knopf für den Quelltext dort anders heißt.

Zusammenfassung

• Den Anzeigenamen wählt der Absender selbst; prüfen Sie mit Details die echte Adresse und die Domain.
• Antwort an bestimmt, wohin Ihre Antwort geht, und kann auf eine andere Domain zeigen.
• Mit Kopfzeilen oder Mehr > Quelltext anzeigen sehen Sie alle Header; lesen Sie Return-Path, die oberste Received-Zeile, Authentication-Results und List-Unsubscribe.
• Nur die Authentication-Results Ihres eigenen Servers zählen, und pass sagt, wer versendet, nicht, ob dieser vertrauenswürdig ist.
• Externe Inhalte und Lesebestätigungen verraten dem Absender, dass Sie die E-Mail geöffnet haben.

Quiz

Aufgabe

Aufgabe A2.2: Eine echte E-Mail analysieren. Wählen Sie eine E-Mail, die Sie erhalten haben, zum Beispiel einen Newsletter. Öffnen Sie sie, wählen Sie Mehr > Quelltext anzeigen und kopieren Sie nur die Kopfzeilen: alles bis zur ersten Leerzeile. Fügen Sie sie in das Formular ein und tragen Sie die Domain des Absenders (From) und die Domain von Return-Path ein. Das Programm analysiert die eingefügten Kopfzeilen im Arbeitsspeicher (es wird nichts gespeichert), vergleicht Ihre Antworten und zeigt, was es gefunden hat: die Received-Kette, die DKIM-Domain und ob die Domains ausgerichtet sind. Grün: beide Antworten richtig. Orange: eine richtig. Rot: keine von beiden.

Weiterführende Informationen

Wo Schritte in der Webmail beschrieben sind, gelten sie für die Webmail von WebOké; in anderer Webmail funktioniert es ähnlich.

• Roundcube Webmail 3.1: Eine Nachricht lesen
• Die Kopfzeilen (Header) einer E-Mail anzeigen und lesen
• Kostenloser Kurs E-Mail in Ordnung: einrichten und gut ankommen lassen 1.5: Header lesen: Woher kam diese E-Mail wirklich?
• Kostenloser Kurs Sicher online für Unternehmer 3.3: Absender und Header lesen
• Kostenloser Kurs E-Mail in Ordnung: einrichten und gut ankommen lassen 7.2: Einwilligung, Abmeldung und eine saubere Liste
• RFC 5322, Internet Message Format (Englisch): https://www.rfc-editor.org/rfc/rfc5322
• RFC 2369, List-Unsubscribe und andere Listen-Kopfzeilen (Englisch): https://www.rfc-editor.org/rfc/rfc2369
• RFC 8058, Abmelden mit einem Klick (Englisch): https://www.rfc-editor.org/rfc/rfc8058