E-Mail Header auslesen - so klappt es!
Hinter dem Absendernamen befindet sich nicht immer die tatsächliche Person. Um eine größere Sicherheit zu haben lohnt es sich den E-Mail Header auszulesen!
TL;DR
Jede E-Mail enthält einen Header, den Thunderbird und Outlook standardmäßig ausblenden - doch dieser Quelltext verrät Phishing-Versuche, bevor sie Schaden anrichten. Im Feld „Return-Path" steht die tatsächliche Absenderadresse, die vom angezeigten Namen abweichen kann. Noch aufschlussreicher ist das Feld „Received": Die dort hinterlegte IP-Adresse des Mailservers lässt sich per Terminal-Befehl `nslookup [IP-Adresse]` auf Echtheit prüfen. Stimmt der zurückgemeldete Servername nicht mit dem Header-Eintrag überein, ist Vorsicht geboten. Da Angreifer einzelne Felder fälschen können, erhärtet erst das Zusammenspiel mehrerer auffälliger Signale den Phishing-Verdacht.
Diese Zusammenfassung wurde KI-gestützt erstellt (EU AI Act Art. 50).
Inhaltsverzeichnis (2 Abschnitte)
Ein sogenannter Header wird bei jeder E-Mail übertragen. In den meisten Mailprogrammen, wie z.B. Thunderbird oder Outlook, wird dieser jedoch nicht automatisch angezeigt. Wie Sie die E-Mail Header anzeigen und anschließend auslesen können und warum es hilft Phishing-Mails zu erkennen, erklären wir in diesem Beitrag.
E-Mail Header anzeigen lassen
Wie bereits erwähnt müssen Sie in Ihrem Mailprogramm auswählen, dass Sie den E-Mail Header auslesen möchten. Diese Option befindet sich in den meisten Mailprogrammen hinter den Feldern "Ansicht" oder "Optionen". Der Header wird manchmal als "Quelltext" bezeichnet und sollte nun angezeigt werden. 
Nun öffnet sich ein neues Fenster oder eine Anzeige in der wir den E-Mail Header sehen können. In Thunderbird öffnet sich ein neues Fenster, das den kompletten Inhalt der E-Mail als Quelltext anzeigt. Im folgenden gehen wir nun auf den Teil ein, der für uns in diesem Beitrag interessant ist: 
E-Mail Header interpretieren und Phishing verhindern
Phishing ist die größte Gefahr im Internet und mit Abstand der häufigste Angriffsvektor für große Cyber-Angriffe. Durch das Auslesen des Headers lassen sich einige Phishing-Mails vorab erkennen.
Wir gehen dabei nicht zu tief ins Detail, sondern schauen nur auf die besonders interessanten Zeilen.
Return-Path: die Adresse des Absenders
Die erste Zeile zeigt hinter „Return-Path:" die E-Mail-Adresse desjenigen, der die Mail verschickt hat. Steht dort ein kryptischer Name oder eine Adresse, die nicht zum Inhalt passt, ist das ein erstes Zeichen für Phishing.
Umgekehrt gilt aber nicht: Der Angreifer kann diese Adresse gefälscht haben. Auch bei einer validen Adresse in diesem Feld kann es sich also um eine Phishing-Mail handeln.
Received: der Weg über die Mail-Server
In den folgenden Zeilen hinter dem Stichwort „Received" sehen wir, welche Mail-Server die E-Mail entgegengenommen haben, bevor sie unser Postfach erreichte. Die erste Zeile dieser Kategorie zeigt, von welchem Server die E-Mail initial verschickt wurde. Im oben aufgeführten Beispiel lautet die IP-Adresse des Absenders 72.4.119.8.
Die richtige IP-Adresse des Absenders verarbeiten
Jetzt wissen wir, von welcher IP-Adresse die E-Mail verschickt wurde. Damit lässt sich prüfen, ob der angegebene Mail-Server (im Beispiel mail.lanyonevents.com) verfälscht wurde.
So öffnen Sie das Terminal:
- macOS: Leertaste + Command drücken, „Terminal" eingeben, mit Enter bestätigen.
- Windows: Windows-Taste + R drücken, „cmd" eingeben, mit Enter bestätigen.
Im Terminal geben Sie dann folgenden Befehl ein, wobei Sie die IP-Adresse aus dem E-Mail-Header einsetzen:
nslookup 72.4.119.8Das Programm gibt aus, welcher Mail-Server hinter der IP-Adresse liegt. Unterscheidet sich dieser Name von dem Eintrag im E-Mail-Header, kann das ein Zeichen für eine Phishing-Mail sein.
Nicht jede Abweichung bedeutet zwingend Phishing, der Vergleich ist aber eine gute Maßnahme zur Erkennung. Am Ende gibt es selten das eine Argument, an dem eine professionelle Phishing-Mail auszumachen ist. Sprechen jedoch mehrere Argumente dafür, sollte die Skepsis steigen und die Bereitschaft, Daten preiszugeben, sinken.
Nächster Schritt
Unsere zertifizierten Sicherheitsexperten beraten Sie zu den Themen aus diesem Artikel — unverbindlich und kostenlos.
Kostenlos · 30 Minuten · Unverbindlich
