E-Mail-Header-Analyse
Fügen Sie die Rohdaten der Header einer verdächtigen E-Mail ein. Die Analyse zeigt, wer sie wirklich gesendet hat, ob der Absender die Authentifizierung bestanden hat und wie die Nachricht zu Ihnen gelangt ist.
Die Header werden in Ihrem Browser ausgewertet und nirgendwohin gesendet.
So funktioniert es
Die Analyse liest den Header-Block so, wie es ein Mailserver tut: Sie fügt umbrochene Zeilen zusammen, dekodiert kodierte Betreffzeilen und Namen und listet die Received-Header als Zustellweg mit der Verzögerung an jeder Station auf.
Für die Authentifizierung vertraut sie nur dem obersten Authentication-Results-Header, also dem, den Ihr eigener E-Mail-Anbieter hinzugefügt hat. Sie zeigt die Ergebnisse von SPF, DKIM und DMARC, prüft, ob DKIM-Signatur und Bounce-Adresse zur From-Domain gehören, und sucht nach verbreiteten Täuschungstricks: eine andere Adresse im Anzeigenamen, eine bekannte Marke im Namen, Antworten, die an eine andere Domain umgeleitet werden, sowie fehlende oder merkwürdige Datumsangaben.
So lesen Sie das Ergebnis
DMARC ist die Prüfung, die die angezeigte From-Adresse schützt. Bestanden heißt, dass SPF oder DKIM des Domaininhabers sie bestätigt hat; fehlgeschlagen heißt, dass die Adresse sehr wahrscheinlich gefälscht ist. SPF und DKIM allein können für jede Domain bestehen, die der Absender kontrolliert.
Alles unterhalb der Zeilen Ihres eigenen Anbieters kann der Absender geschrieben haben. Behandeln Sie frühere Stationen daher als Behauptungen, nicht als Tatsachen.
Häufige Fragen
Wo finde ich die Header-Rohdaten?
Gmail: Nachricht öffnen, Mehr (⋮) und dann „Original anzeigen“. Outlook im Web: Weitere Aktionen, Anzeigen, „Nachrichtenquelle anzeigen“. Outlook für Windows: Datei, Eigenschaften, Internetkopfzeilen. Apple Mail: Darstellung, E-Mail, Alle Header. Thunderbird: Ansicht, Nachrichten-Quelltext.
Werden meine Header irgendwohin gesendet?
Nein. Die Header werden in Ihrem Browser ausgewertet, nichts wird hochgeladen. Header enthalten Ihre E-Mail-Adresse und Netzwerkdetails; überlegen Sie daher gut, bevor Sie sie in Online-Dienste einfügen.
Warum kann eine Phishing-Mail SPF und DKIM bestehen?
SPF und DKIM bestätigen die Domain, die die Nachricht gesendet oder signiert hat, und das kann die eigene Domain des Angreifers sein. Nur DMARC verknüpft diese Ergebnisse mit der From-Adresse, die Sie sehen.
Was soll ich tun, wenn das Ergebnis Anzeichen einer Fälschung zeigt?
Klicken Sie keine Links an, öffnen Sie keine Anhänge und antworten Sie nicht. Melden Sie die Nachricht in Ihrem E-Mail-Programm als Phishing und informieren Sie Ihr IT- oder Sicherheitsteam.
Sie brauchen mehr, als ein Tool zeigen kann?
Ein Tool prüft einen einzelnen Punkt. Unsere Berater sehen sich das Gesamtbild an.
Incident ResponsePassende Artikel
-
Phishing-Links erkennen, bevor Sie klicken
URLs so lesen, wie Angreifer sie bauen: registrierbare Domains, Doppelgänger und Punycode, der @-Trick, offene Weiterleitungen, Kurz-URLs, neue TLDs.
-
SPF, DKIM und DMARC erklärt – sicher zu p=reject
Wie SPF, DKIM und DMARC verhindern, dass andere in Ihrem Namen mailen, wie Sie sicher von p=none zu p=reject wechseln und welche Fehler E-Mails blockieren.