Phishing-Mails erkennen: So lesen Sie die E-Mail-Header

Die Header einer verdächtigen E-Mail Zeile für Zeile: From, Reply-To und Return-Path, die Received-Kette und was SPF, DKIM und DMARC wirklich beweisen.

PureTempMail-Team

Das Team, das PureTempMail entwickelt und betreibt

Veröffentlicht am 30. Oktober 2026

Kurz gesagt

Öffnen Sie den Quelltext der Nachricht und prüfen Sie drei Dinge: ob DMARC für die Domain in der From-Zeile bestanden wurde, ob Reply-To woandershin zeigt und ob die erste Received-Zeile von den Servern des Unternehmens selbst stammt. Schlägt einer dieser Punkte fehl, ist das ein deutliches Warnsignal. Sind alle drei in Ordnung, beweist das nur, wer die E-Mail gesendet hat, nicht dass der Absender ehrlich ist.

Jede E-Mail trägt über dem Text, den Sie lesen, einen Block mit Headern. Ihr Mailprogramm blendet ihn aus, doch er hält fest, von welchem Server die Nachricht kam, welche Domain für sie bürgt und wohin Ihre Antwort tatsächlich ginge. Genau dort verrät sich Phishing meist, selbst wenn die Nachricht selbst perfekt aussieht.

Wir betreiben einen Mailserver für eingehende Post, und wenn sich eine Nachricht seltsam verhält, lesen wir die Roh-Header. Diese Anleitung geht einen realistischen Phishing-Header-Block Zeile für Zeile durch und zeigt dann den schwierigeren Fall, in dem jede Prüfung bestanden wird. Sie können die Header einer beliebigen Nachricht beim Lesen in unsere E-Mail-Header-Analyse einfügen. Sie läuft in Ihrem Browser, die Header werden nie an unsere Server gesendet.

Schritt eins: die Header aus dem Mailprogramm holen

Jedes Mailprogramm blendet die Header standardmäßig aus. In Gmail öffnen Sie die Nachricht, klicken auf das Dreipunktmenü neben „Antworten“ und wählen Original anzeigen. In Outlook im Web öffnen Sie das Dreipunktmenü, dann Anzeigen und Nachrichtenquelle anzeigen. In Apple Mail auf dem Mac wählen Sie Darstellung, E-Mail, Alle Header. Die Seite der Header-Analyse listet die Menüpfade für Outlook für Windows, Yahoo und weitere Programme auf.

Kopieren Sie alles oberhalb der ersten Leerzeile. Das ist der Header-Block. Danach folgt der Nachrichtentext, den Sie nicht brauchen. Auf iPhone und iPad zeigt die eingebaute Mail-App überhaupt keine Header an. Leiten Sie die Nachricht also an einen Computer weiter oder prüfen Sie sie im Webmail.

Die Header einer Phishing-Mail, Zeile für Zeile

Hier ist der Header-Block einer typischen Phishing-Mail mit angeblicher Kontowarnung, gekürzt auf die Zeilen, auf die es ankommt. Die Domains und Adressen sind erfundene Platzhalter, aber das Muster sehen wir immer wieder. Header stehen mit dem neuesten zuerst übereinander: Der Server, der Ihnen die Nachricht zugestellt hat, steht also weit oben, der Ausgangspunkt weiter unten.

Return-Path: <[email protected]>
Authentication-Results: mx.example.com;
    spf=pass smtp.mailfrom=mail.example.net;
    dkim=none;
    dmarc=fail (p=none) header.from=examplebank.com
Received: from mail.example.net (unknown [203.0.113.45])
    by mx.example.com with ESMTPS; Thu, 29 Oct 2026 09:14:07 +0000
Received: from desktop-4kq2 (unknown [198.51.100.23])
    by mail.example.net with ESMTPA; Thu, 29 Oct 2026 09:14:05 +0000
From: "Example Bank Security" <[email protected]>
Reply-To: [email protected]
To: [email protected]
Subject: Unusual sign-in: confirm your account within 24 hours
Date: Thu, 29 Oct 2026 09:14:02 +0000
Message-ID: <20261029091402.4471@desktop-4kq2>

Ein gekürzter Header-Block. Example Bank ist erfunden. In diesem Szenario ist examplebank.com die Domain der echten Bank und example.net die des Angreifers.

Was jede Zeile verrät

Return-Path: Die Adresse, an die Bounces gehen, auch Envelope-Absender genannt. Hier liegt sie auf mail.example.net, nicht auf der Domain der Bank. Für sich allein beweist das wenig, denn Newsletter, die über einen Versanddienstleister laufen, sehen genauso aus. Behalten Sie es für die nächsten Zeilen im Hinterkopf.
Authentication-Results: Das Urteil, das Ihr Anbieter beim Eintreffen der Nachricht festgehalten hat. SPF wurde bestanden, aber für mail.example.net, den Server des Angreifers. Eine DKIM-Signatur fehlt. DMARC, die einzige Prüfung, die sich die sichtbare From-Domain ansieht, ist für examplebank.com fehlgeschlagen. Das ist die nützlichste Zeile im ganzen Block.
Received (oben): Hinzugefügt vom Server Ihres eigenen Anbieters, mx.example.com, als er die Nachricht von 203.0.113.45 angenommen hat. Zeilen, die Ihr Anbieter schreibt, sind vertrauenswürdig. Alles darunter stammt von Rechnern, über die Sie nichts wissen.
Received (unten): Die älteste Station, lesen Sie die Kette also von unten nach oben. Die Nachricht begann auf einem Rechner, der sich desktop-4kq2 nennt, und wurde mit einer angemeldeten Einlieferung (ESMTPA) an mail.example.net übergeben. Das Warnsystem einer Bank läuft nicht auf jemandes Desktop-PC. Ein gestohlenes oder gemietetes Postfach schon.
From: Der Anzeigename lautet Example Bank Security, und die Adresse gibt vor, zu examplebank.com zu gehören. In dieses Feld kann jeder alles eintippen. Der DMARC-Fehler oben ist der Beweis, dass diese From-Zeile gefälscht ist.
Reply-To: Wenn Sie auf „Antworten“ klicken, geht Ihre Antwort an example.org, eine dritte Domain. Eine Bank, die will, dass Sie anrufen oder sich anmelden, hat keinen Grund, Antworten auf der Domain eines anderen zu sammeln. Phishing, das Sie um eine Antwort mit Ihren Daten bittet, setzt dieses Feld fast immer.
Subject und Date: Dringlichkeit plus Frist. Das Date ist nur das, was der sendende Rechner behauptet, aber vergleichen Sie es mit den Received-Zeitstempeln: Eine Lücke von Stunden oder Tagen zwischen Date und erster Station kann bedeuten, dass die Nachricht in einer Spam-Warteschlange lag, bevor sie Sie erreichte.
Message-ID: Eine eindeutige Kennung, die die sendende Software erzeugt. Die Systeme großer Unternehmen versehen sie mit ihrer eigenen Domain. Diese hier endet auf desktop-4kq2, denselben Heimrechner aus der untersten Received-Zeile. Eine Abweichung an dieser Stelle ist ein Hinweis, kein Beweis, denn viele seriöse Programme verwenden generische Kennungen.

Zusammengenommen ist die Geschichte klar: Eine Nachricht, die angeblich von der Bank stammt, wurde von einem Desktop-PC über den Mailserver eines Fremden verschickt, ist an der Authentifizierung der Bank selbst gescheitert und will Ihre Antwort auf einer dritten Domain. Wenn Sie wissen, wo Sie hinschauen müssen, kommen Sie in weniger als einer Minute zu diesem Schluss, und die Header-Analyse markiert den DMARC-Fehler und die abweichende Reply-To-Adresse für Sie.

SPF, DKIM und DMARC einfach erklärt

Diese drei Prüfungen sind der Teil der Header, den ein empfangender Server nach dem Test der Nachricht schreibt, und nicht Text, den der Absender eingetippt hat. Jede beantwortet eine andere Frage.

SPF: Darf dieser Server für die Domain des Envelope-Absenders Post versenden? Der Inhaber der Domain veröffentlicht im DNS eine Liste erlaubter Server, und der Empfänger gleicht sie mit der verbindenden IP-Adresse ab. SPF prüft die Return-Path-Domain, nicht die From-Adresse, die Sie sehen. Deshalb kann eine Phishing-Mail SPF für ihre eigene Domain bestehen. Siehe SPF in unserem Glossar.
DKIM: Wurde die Nachricht von einer Domain signiert, und wurde sie seitdem verändert? Der sendende Server fügt eine kryptografische Signatur hinzu, und der Empfänger prüft sie mit einem öffentlichen Schlüssel aus dem DNS des Signierenden. Der Wert header.d= nennt die Domain, die signiert hat. Eine gültige Signatur einer fremden Domain sagt nichts über die Marke in der From-Zeile.
DMARC: Passt die Domain in der From-Zeile zu einer Domain, die SPF oder DKIM bestanden hat? Dieser Abgleich (Alignment) verknüpft die Prüfungen mit dem Namen, den Sie tatsächlich lesen. Mit DMARC kann der Domaininhaber Empfängern außerdem sagen, was mit Fehlschlägen geschehen soll: nichts (p=none), Quarantäne oder Abweisung. Deshalb kann eine gefälschte Nachricht trotzdem in Ihrem Posteingang landen, wenn das echte Unternehmen die Durchsetzung nicht eingeschaltet hat.

Was die einzelnen Ergebnisse bedeuten

Ergebnis	Bedeutung	Wie besorgt Sie sein sollten
`pass`	Die Prüfung war für die daneben genannte Domain erfolgreich.	Gering, aber lesen Sie, welche Domain bestanden hat. Ein Bestehen für eine Doppelgänger-Domain bleibt Phishing.
`fail`	Nach den eigenen Regeln der Domain hätte diese Nachricht nicht von dort kommen dürfen, woher sie kam.	Hoch, wenn es DMARC für eine Marke ist, die Sie kennen.
`softfail`	Nur SPF. Die Domain erklärt, dass der Server wahrscheinlich nicht berechtigt ist, bittet Empfänger aber, nicht sofort abzuweisen.	Mittel. Häufig bei Weiterleitungen und schlecht gepflegten SPF-Einträgen, verdächtig zusammen mit anderen Warnzeichen.
`neutral`	Die Domain trifft über diesen Server keine Aussage, weder dafür noch dagegen.	Wie fehlende Beweise behandeln.
`none`	Es gab keinen Eintrag und keine Signatur, die man hätte prüfen können.	Mittel bei einem großen Unternehmen, das normalerweise alle drei veröffentlicht.
`temperror / permerror`	Die Prüfung konnte nicht laufen: eine DNS-Zeitüberschreitung oder ein fehlerhafter Eintrag auf Absenderseite.	Für sich allein gering. Achten Sie auf die anderen Ergebnisse.

Der schwierigere Fall: Jede Prüfung wird bestanden

Geschickte Angreifer fälschen die Domain einer Bank gar nicht erst. Sie registrieren eine ähnliche, richten SPF, DKIM und DMARC ordentlich ein und versenden von dort. Die Header sehen dann tadellos aus:

Authentication-Results: mx.example.com;
    spf=pass smtp.mailfrom=examplebank-secure.com;
    dkim=pass header.d=examplebank-secure.com;
    dmarc=pass header.from=examplebank-secure.com
From: "Example Bank" <[email protected]>

Alle drei Prüfungen werden bestanden, denn examplebank-secure.com gehört dem Angreifer, und er hat die Domain korrekt eingerichtet.

Die Authentifizierung beweist, dass examplebank-secure.com diese E-Mail gesendet hat. Ob diese Domain Ihrer Bank gehört, kann sie Ihnen nicht sagen. Das ist Ihre Aufgabe, und sie läuft darauf hinaus, die Domain selbst sehr langsam zu lesen. Diese Tricks sehen wir am häufigsten:

Zusätzliche Wörter. Der echte Name plus -secure, -login, -support oder -verify.
Vertauschte Zeichen. rn statt m, eine Null statt des Buchstabens o, ein doppelter oder fehlender Buchstabe.
Eine andere Endung. Der richtige Name auf .co, .net oder einer neuen Top-Level-Domain statt der, die das Unternehmen verwendet.
Der echte Name als Subdomain. Bei examplebank.com.account-check.net lautet die Domain account-check.net. Lesen Sie Domains von rechts.
Doppelgänger-Alphabete. Ein kyrillisches а sieht genauso aus wie ein lateinisches a. In den Roh-Headern erscheinen solche Domains oft mit dem Anfang xn--, so werden nicht-lateinische Domainnamen kodiert.
Ein Anzeigename, der die Arbeit macht. „Example Bank“ vor einer Adresse bei einem kostenlosen Webmail-Anbieter. Viele Smartphones zeigen nur den Namen an, tippen Sie also darauf, um die Adresse zu sehen.

Wenn Sie nicht sicher sind, ob eine Domain zum Unternehmen gehört, verwenden Sie nichts aus der E-Mail, um es herauszufinden. Geben Sie die Adresse des Unternehmens selbst in Ihren Browser ein und vergleichen Sie.

Warnzeichen in E-Mail-Headern, nach Gewicht geordnet

Manche Signale kommen einem Beweis nahe, andere zählen erst, wenn mehrere zusammenkommen. So ungefähr gewichten wir sie.

Signal	Wo Sie nachsehen	Gewicht
DMARC schlägt bei einer bekannten Marke fehl	Authentication-Results, `dmarc=fail header.from=`	Stark. Die From-Zeile ist sehr wahrscheinlich gefälscht.
From-Domain ähnelt der echten, ist aber nicht identisch	From und der Wert `header.from=`	Stark, auch wenn alles bestanden wird.
Reply-To auf einer anderen Domain	Reply-To	Stark, wenn die Nachricht Sie um eine Antwort bittet.
Erste Station ist ein Heimrechner oder ein fremder Anbieter	Unterste Received-Zeile	Mittel. Seriöse Post beginnt meist im Unternehmen oder bei dessen Versanddienstleister.
Überhaupt keine Authentifizierungsergebnisse	Authentication-Results fehlt	Mittel bei großen Marken, die SPF, DKIM und DMARC veröffentlichen.
Message-ID-Domain ohne Bezug zum Absender	Message-ID	Schwach. Nur ein zusätzliches Indiz.
Return-Path auf einer anderen Domain	Return-Path	Schwach. Normal bei Newslettern, die über einen Versanddienst laufen.

Eine Fünf-Minuten-Routine für jede verdächtige E-Mail

Die vollständigen Header kopieren
Nutzen Sie „Original anzeigen“ oder „Nachrichtenquelle anzeigen“ wie oben beschrieben und kopieren Sie den ganzen Block, einschließlich aller Received-Zeilen.
In eine Header-Analyse einfügen
Unsere E-Mail-Header-Analyse stellt From, Reply-To und Return-Path nebeneinander, zeigt die Ergebnisse von SPF, DKIM und DMARC und listet den Zustellweg mit der ältesten Station zuerst. Die Auswertung geschieht in Ihrem Browser.
DMARC mit der From-Domain abgleichen
Suchen Sie dmarc= und die Domain daneben. Ein Fehlschlag bei einer Marke, die Sie kennen, reicht aus, um hier aufzuhören und die Nachricht zu löschen.
Jede Domain langsam lesen, von rechts
From, Reply-To und die Domain, die DKIM bestanden hat, sollten alle zum Unternehmen gehören. Achten Sie auf die oben beschriebenen Doppelgänger-Tricks.
Die Received-Kette von unten lesen
Die unterste Zeile zeigt, wo die Nachricht begann. Vertrauen Sie nur den Zeilen, die Ihr eigener Anbieter oben hinzugefügt hat. Ein Absender kann darunter gefälschte Received-Zeilen und sogar eine gefälschte Authentication-Results-Zeile einfügen.
Links prüfen, ohne zu klicken
Die Header zeigen die Links im Nachrichtentext nicht. Fahren Sie am Computer mit der Maus über jede Schaltfläche und lesen Sie die Adresse in der Ecke des Fensters. Alles, was nicht zur echten Domain des Unternehmens führt, ist ein Grund, die Nachricht zu verlassen.

Wenn Sie Phishing vermuten

Nicht klicken, nicht antworten, keine Anhänge öffnen. Eine Antwort bestätigt, dass Ihre Adresse gelesen wird, und Anhänge sind der übliche Weg, auf dem Schadsoftware ankommt.
Kontaktieren Sie das Unternehmen auf anderem Weg. Geben Sie seine Adresse selbst in den Browser ein oder nutzen Sie die Nummer auf Ihrer Karte oder Ihrem Vertrag, nie die aus der E-Mail.
Melden Sie die Nachricht in Ihrem Mailprogramm. In Gmail über das Dreipunktmenü und Phishing melden. In Outlook über Melden und dann Phishing melden. Das trainiert den Filter für alle Nutzer dieses Dienstes.
Leiten Sie sie an die Anti-Phishing Working Group weiter, an [email protected]. Sie teilt Meldungen mit Sicherheitsfirmen und Browserherstellern.
In den USA melden Sie den Fall der FTC unter ReportFraud.ftc.gov, vor allem wenn Geld oder persönliche Daten im Spiel waren.
Wenn Sie bereits ein Passwort eingegeben haben, ändern Sie es sofort auf der echten Website, schalten Sie die Zwei-Faktor-Anmeldung ein und ändern Sie es überall dort, wo Sie es ebenfalls verwendet haben. Unser Ratgeber So prüfen Sie, ob Ihre E-Mail-Adresse in einem Datenleck war behandelt die erste Stunde nach einem Datenleck.

Fazit

Um eine Phishing-Mail an ihren Headern zu erkennen, vertrauen Sie nur dem, was Ihr eigener Anbieter geschrieben hat, prüfen Sie, ob DMARC für genau die Domain in der From-Zeile bestanden wurde, und lesen Sie diese Domain so sorgfältig, dass Ihnen ein Doppelgänger auffällt. Diese drei Gewohnheiten entlarven die meisten gefälschten Mails. Für den Rest gilt wie immer: Wenden Sie sich direkt an das Unternehmen, nicht über die E-Mail. Fügen Sie die nächste verdächtige Nachricht in die Header-Analyse ein und sehen Sie, was sie zeigt.

Quellen

IETF, RFC 7208: Sender Policy Framework (SPF), einschließlich der Bedeutung von pass, fail, softfail und neutral.
IETF, RFC 6376: DomainKeys Identified Mail (DKIM) Signatures.
IETF, RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (DMARC), veröffentlicht 2026 als Ersatz für RFC 7489.
IETF, RFC 8601: Message Header Field for Indicating Message Authentication Status, das den Header Authentication-Results definiert.
US Federal Trade Commission, How to Recognize and Avoid Phishing Scams, für die Meldeadressen von FTC und APWG.
Anti-Phishing Working Group, Report Phishing.