Die sichtbare "From"-Zeile einer E-Mail ist trivial zu fälschen. Die Wahrheit steckt im E-Mail-Header — den verborgenen Metadaten, die festhalten, welche Server eine Nachricht durchlaufen hat und welche Authentifizierungsprüfungen sie bestanden oder nicht bestanden hat. Ihn zu lesen verrät, woher eine Nachricht wirklich kam und ob man ihr trauen kann.
Was Sie brauchen
- Den vollständigen, rohen Header der E-Mail (die Option "Original anzeigen" oder "Quelltext anzeigen" Ihres Programms)
- Ein Werkzeug zur Header-Analyse aus der Kategorie Telefonnummern & E-Mail-Adressen
- IP- und Domain-Abfragen aus der Kategorie Domainnamen & Benutzernamen
Schritte
- Holen Sie den rohen Header. Öffnen Sie den Originalquelltext der Nachricht, damit Sie jedes Feld sehen und nicht nur die freundliche Zusammenfassung Ihres Programms.
- Lesen Sie die Received-Kette von unten nach oben. Die unterste "Received"-Zeile ist meist der Ursprung; jede Zeile darüber ist der nächste Sprung. Folgen Sie ihr nach oben, um den ersten sendenden Server und seine IP-Adresse zu finden.
- Prüfen Sie die Authentifizierungsergebnisse. Sehen Sie sich SPF, DKIM und DMARC an. Fehlschläge — oder eine "From"-Domain, die nicht zum sendenden Server passt — sind starke Anzeichen für Fälschung.
- Verorten und ordnen Sie die Quell-IP zu. Schlagen Sie die Ursprungs-IP nach Inhaber und grobem Standort nach; gleichen Sie die WHOIS-Einträge der sendenden Domain ab.
- Setzen Sie es zum Inhalt in Beziehung. Wägen Sie die technische Herkunft gegen die Behauptungen, Links und Anhänge der Nachricht ab, um zu beurteilen, ob sie echt, gefälscht oder Phishing ist.
Häufige Fehler
- Dem Anzeigenamen vertrauen. Er hat keinerlei Beweiskraft; nur die Header-Kette und die Authentifizierungsergebnisse haben sie.
- Die Received-Reihenfolge falsch lesen. Von unten nach oben lesen — umgekehrt landen Sie bei Ihrem eigenen Mailserver, nicht beim Absender.
- Relays und Dienste vergessen. Mailinglisten und Marketingplattformen fügen legitime Sprünge hinzu, die bei falscher Lesart verdächtig wirken.
Überprüfen Sie Ihr Ergebnis
Sie haben die E-Mail zurückverfolgt, wenn Sie den Ursprungsserver und die IP benennen, angeben können, ob SPF/DKIM/DMARC bestanden wurden, und erklären können, ob die "From"-Adresse echt oder gefälscht ist.