Was die Analyse zeigt
Zustellweg. Jeder Server, der eine E-Mail weiterreicht, setzt oben eine Received:-Zeile ein, die Liste liest sich also von neu nach alt. Die Analyse dreht sie um (älteste zuerst) und berechnet aus den Zeitstempeln die Verzögerung zwischen den Stationen. Kam eine Nachricht erst nach zwei Stunden an, hing sie meist an einer Station fest, und so findest du heraus, an welcher.
Authentifizierung. Die SPF-, DKIM-, DMARC- und ARC-Ergebnisse, die dein Anbieter festgehalten hat, mit einer kurzen Erklärung, was jede Prüfung testet.
Warnzeichen. Ein Reply-To auf einer anderen Domain als die Absenderadresse, eine Absender-Domain, die die Nachricht nicht signiert hat, eine fehlgeschlagene DMARC-Prüfung oder Header ganz ohne Received-Zeilen.
SPF, DKIM und DMARC einfach erklärt
| SPF | Die Domain des verborgenen Envelope-Absenders (Return-Path) veröffentlicht eine Liste von Servern, die für sie senden dürfen. Pass heißt, der sendende Server stand auf der Liste. Über die sichtbare Absenderadresse sagt das nichts. |
| DKIM | Die sendende Domain signiert die Nachricht mit einem privaten Schlüssel, der Empfänger prüft sie mit dem öffentlichen Schlüssel im DNS. Pass heißt, die signierten Teile wurden unterwegs nicht verändert. Die signierende Domain ist der Wert d=. |
| DMARC | Verknüpft beides mit der sichtbaren Absender-Domain: Bestanden ist DMARC nur, wenn SPF oder DKIM für eine Domain bestanden hat, die zur Absenderadresse passt. Diese Prüfung verhindert, dass jemand von seinem eigenen Server aus im Namen deiner Bank schreibt. |
Seit Februar 2024 verlangen Gmail und Yahoo von Massenversendern, dass sie DMARC bestehen. Dass die E-Mail eines seriösen Unternehmens daran scheitert, ist also selten. Fällt eine Nachricht, die dich zum Einloggen oder Bezahlen auffordert, bei DMARC durch, ist das ein starkes Zeichen für Phishing.
Häufige Gründe für verspätete E-Mails
Kommt ein Bestätigungscode zu spät, verrät die Tabelle der Stationen meist den Grund. Eine lange Lücke bei der ersten Station heißt, dass schon die Warteschlange des Absenders langsam war. Eine Lücke beim empfangenden Server bedeutet oft Greylisting: Der Server lehnt den ersten Versuch ab und wartet auf einen zweiten, den seriöse Absender nach ein paar Minuten starten. Mit der MX-Abfrage prüfst du die Mailserver der empfangenden Domain.
Häufige Fragen
Wo finde ich die rohen Header?
Gmail: E-Mail öffnen, Drei-Punkte-Menü, dann Original anzeigen. Outlook im Web: Drei-Punkte-Menü, Ansicht, Nachrichtenquelle anzeigen. Apple Mail: Darstellung, E-Mail, Alle Header. Thunderbird: Ansicht, Quelltext der Nachricht (Strg+U). Kopiere alles oberhalb der ersten Leerzeile oder einfach alles: Die Analyse hört beim Nachrichtentext auf.
Werden die Header hochgeladen?
Nein. Sie werden per JavaScript auf dieser Seite ausgewertet und verlassen deinen Browser nie. Header können deine Adresse und IP-Adressen enthalten, deshalb ist das wichtig.
Kann ich den angezeigten SPF-, DKIM- und DMARC-Ergebnissen trauen?
Es sind die Ergebnisse, die dein eigener Mailanbieter beim Empfang festgehalten hat (der Header Authentication-Results). Die Analyse prüft Signaturen nicht erneut, sondern liest und erklärt, was der empfangende Server entschieden hat. Weiter unten stehende Header kann der Absender fälschen. Deshalb zählen die obersten Ergebnisse, die dein Anbieter hinzugefügt hat.
Warum ist die Verzögerung bei einer Station negativ?
Die Uhren der Server gehen unterschiedlich. Jeder Server stempelt seine eigene Zeit, ein paar Sekunden negative Verzögerung heißen also nur, dass eine Uhr vorgeht. Große Lücken (Minuten oder Stunden) deuten meist auf Greylisting, eine Spamfilter-Warteschlange oder einen gedrosselten Absender hin.