Ratgeber / IT-Sicherheit

E-Mail-Header: So sieht er aus und das steckt drin

Stand: 27. Oktober 2026 · Lesezeit etwa 6 Minuten

Ein E-Mail-Header ist wie ein digitaler Umschlag deiner Nachricht. Er enthält technische Informationen über den Absender, den Weg der E-Mail durch verschiedene Server und die Zustellung. Diese Daten sind entscheidend, um die Echtheit einer E-Mail zu prüfen oder Zustellungsprobleme zu analysieren.

Was ist ein E-Mail-Header und warum ist er wichtig?

Der E-Mail-Header ist der technische Teil jeder E-Mail, der für den normalen Nutzer oft unsichtbar bleibt. Er wird von den E-Mail-Programmen und Servern automatisch erstellt und mit jeder Station auf dem Weg der E-Mail ergänzt. Stell dir vor, du schickst einen Brief: Der Header ist nicht der Inhalt des Briefes, sondern alle Stempel, Adressen und Notizen, die Postämter und Zusteller auf dem Umschlag anbringen.

Die Informationen im Header sind aus mehreren Gründen wichtig:

• Sicherheit: Du kannst erkennen, ob eine E-Mail wirklich vom angegebenen Absender stammt und nicht gefälscht ist (Phishing).
• Problembehebung: Bei Zustellungsproblemen (E-Mails kommen nicht an oder landen im Spam) hilft der Header, den genauen Fehlerpunkt zu finden.
• Transparenz: Er zeigt den Weg einer E-Mail von Absender zu Empfänger und alle beteiligten Server.

Ohne den Header wäre es unmöglich, E-Mails sicher und zuverlässig zu versenden und zu empfangen.

Wie sieht ein E-Mail-Header im Detail aus?

Ein E-Mail-Header besteht aus einer Reihe von Zeilen, die jeweils ein Feld und einen Wert enthalten. Jedes Feld beginnt mit einem Namen, gefolgt von einem Doppelpunkt und dem entsprechenden Wert. Die Reihenfolge der Felder kann variieren, aber bestimmte Felder sind immer vorhanden. Hier sind die wichtigsten Felder und ihre Bedeutung:

• Received: Dies ist das wichtigste Feld und kommt oft mehrfach vor. Jedes "Received"-Feld wird von einem Server hinzugefügt, der die E-Mail empfangen und weitergeleitet hat. Es zeigt den Absender-Server, den Empfänger-Server, das Datum und die Uhrzeit des Empfangs. Die Reihenfolge ist umgekehrt chronologisch: Das oberste "Received"-Feld zeigt den letzten Server, der die E-Mail vor deinem Postfach empfangen hat, das unterste den ersten Server, der die E-Mail vom ursprünglichen Absender erhalten hat.
• From: Die angezeigte Absenderadresse. Diese kann leicht gefälscht werden, daher ist sie allein kein Beweis für die Echtheit.
• To: Die Empfängeradresse(n).
• Subject: Der Betreff der E-Mail.
• Date: Das Datum und die Uhrzeit, zu der die E-Mail vom Absender erstellt wurde.
• Message-ID: Eine eindeutige Kennung für jede E-Mail, die vom Absender-Mailserver generiert wird. Nützlich zur Nachverfolgung.
• Return-Path: Die Adresse, an die unzustellbare Nachrichten (Bounces) gesendet werden sollen. Oft identisch mit dem "From"-Feld, aber nicht immer.
• Reply-To: Eine optionale Adresse, an die Antworten gesendet werden sollen, falls diese von der "From"-Adresse abweicht.
• X-Mailer: Zeigt das E-Mail-Programm an, das der Absender verwendet hat (z.B. Outlook, Thunderbird).
• Content-Type: Beschreibt das Format des E-Mail-Inhalts (z.B. Text oder HTML).
• MIME-Version: Gibt die verwendete MIME-Spezifikation an, die für den Austausch von Multimedia-Inhalten über E-Mails wichtig ist.
• Authentication-Results: Zeigt die Ergebnisse von Authentifizierungsprüfungen wie SPF, DKIM und DMARC. Diese sind entscheidend, um die Echtheit des Absenders zu verifizieren.
• X-Spam-Status / X-Spam-Flag: Von Spamfiltern hinzugefügte Felder, die den Spam-Score oder den Status der E-Mail anzeigen.

Ein typischer Header kann sehr lang sein und viele weitere, weniger gebräuchliche Felder enthalten. Für die meisten Analysen reichen die oben genannten Felder aus.

Wie kommst du an den vollständigen E-Mail-Header?

Der vollständige E-Mail-Header ist in den meisten E-Mail-Programmen standardmäßig ausgeblendet. Du musst ihn manuell anzeigen lassen. Die genaue Vorgehensweise variiert je nach Programm:

1. Outlook (Desktop-Version):
   • Öffne die E-Mail in einem eigenen Fenster (Doppelklick).
   • Klicke in der Registerkarte "Datei" auf "Eigenschaften".
   • Der vollständige Header wird im Feld "Internetkopfzeilen" angezeigt.
2. Outlook (Web-Version, Outlook.com / Microsoft 365):
   • Öffne die E-Mail.
   • Klicke auf die drei Punkte ("Weitere Aktionen") oben rechts in der E-Mail.
   • Wähle "Nachrichtenquelle anzeigen" oder "Details anzeigen" und suche nach "Originalnachricht anzeigen".
3. Gmail:
   • Öffne die E-Mail.
   • Klicke auf die drei Punkte ("Mehr") rechts neben der Absenderinformation.
   • Wähle "Original anzeigen". Der Header wird in einem neuen Tab angezeigt.
4. Thunderbird:
   • Öffne die E-Mail.
   • Drücke Strg + U (Windows/Linux) oder Cmd + U (macOS). Alternativ: "Ansicht" > "Nachrichten-Quelltext".
5. Apple Mail:
   • Öffne die E-Mail.
   • Gehe im Menü auf "Darstellung" > "E-Mail" > "Alle Header".

Kopiere den gesamten Text, der dort angezeigt wird. Dieser Text ist dein vollständiger E-Mail-Header.

Wie liest und interpretierst du einen E-Mail-Header?

Nachdem du den Header kopiert hast, kannst du ihn analysieren. Da er oft sehr lang und unübersichtlich ist, gibt es Tools, die dir dabei helfen. Unser Kniffwerk-Tool zur E-Mail-Header-Analyse kann den Header für dich aufbereiten und die wichtigsten Informationen übersichtlich darstellen. Du fügst den kopierten Header einfach in das Textfeld ein und erhältst eine strukturierte Ansicht, ohne dass deine Daten hochgeladen werden.

Hier sind die Schritte zur manuellen Interpretation:

1. Beginne mit den "Received"-Feldern: Lies sie von unten nach oben. Das unterste "Received"-Feld zeigt den ersten Server, der die E-Mail vom Absender erhalten hat. Prüfe hier die IP-Adresse und den Hostnamen. Stimmt der Hostname mit der Domain des Absenders überein? Wenn eine E-Mail angeblich von "bank.de" kommt, aber das erste "Received"-Feld eine IP aus China anzeigt, ist das ein starkes Warnsignal.
2. Prüfe "From" und "Return-Path": Stimmen diese Adressen überein? Wenn der "Return-Path" von einer ganz anderen Domain kommt als "From", kann das auf eine Fälschung hindeuten.
3. Achte auf "Authentication-Results":
   • SPF (Sender Policy Framework): Prüft, ob der sendende Server berechtigt ist, E-Mails im Namen der Absenderdomain zu versenden. Ein "pass" ist gut, "fail" oder "softfail" sind Warnsignale.
   • DKIM (DomainKeys Identified Mail): Verwendet eine digitale Signatur, um zu bestätigen, dass die E-Mail während des Transports nicht verändert wurde und vom angegebenen Absender stammt. Ein "pass" ist gut.
   • DMARC (Domain-based Message Authentication, Reporting & Conformance): Baut auf SPF und DKIM auf und gibt an, wie der Empfänger mit E-Mails umgehen soll, die die Authentifizierungsprüfungen nicht bestehen. Ein "pass" ist ideal.

   Wenn diese Prüfungen fehlschlagen, ist die E-Mail mit hoher Wahrscheinlichkeit gefälscht oder manipuliert.

4. Suche nach "X-Spam-Status" oder ähnlichen Feldern: Diese zeigen an, wie der Spamfilter die E-Mail bewertet hat. Ein hoher Score oder ein "Yes" im Spam-Flag bedeutet, dass die E-Mail wahrscheinlich Spam ist.
5. Vergleiche "Date" und die Zeitstempel in den "Received"-Feldern: Die Zeitstempel sollten logisch aufeinander aufbauen. Große Sprünge oder eine falsche Reihenfolge können auf Manipulation hindeuten.
6. Achte auf Ungereimtheiten: Wenn der Header viele unbekannte Server, ungewöhnliche IP-Adressen oder widersprüchliche Informationen enthält, sei misstrauisch.

Beispiel für eine kritische Stelle:

Angenommen, du erhältst eine E-Mail von "support@deinebank.de". Im Header findest du aber folgende Zeilen:

Received: from [192.0.2.1] (unknown [192.0.2.1])
        by mail.example.com (Postfix) with ESMTP id ABCDEF123
        for <deineadresse@example.com>; Tue, 1 Jan 2024 10:00:00 +0100
From: "Deine Bank Support" <support@deinebank.de>
Authentication-Results: mail.example.com; spf=fail (sender IP is 192.0.2.1) smtp.mailfrom=deinebank.de; dkim=fail header.d=deinebank.de; dmarc=fail action=reject header.from=deinebank.de

Hier siehst du:

• Das "Received"-Feld zeigt eine IP-Adresse (192.0.2.1), die nicht zur Bank gehört. Der Hostname ist "unknown".
• Die "Authentication-Results" zeigen spf=fail, dkim=fail und dmarc=fail für die Domain "deinebank.de".

Diese Kombination ist ein sehr starkes Indiz dafür, dass die E-Mail gefälscht ist, obwohl die "From"-Adresse korrekt aussieht. Du solltest diese E-Mail als Phishing betrachten und keinesfalls auf Links klicken oder Anhänge öffnen.

Was tun, wenn du eine verdächtige E-Mail analysiert hast?

Wenn die Analyse des E-Mail-Headers ergibt, dass eine E-Mail verdächtig ist (z.B. Phishing, Spam oder ein Virus), gehe wie folgt vor:

• Nicht antworten: Antworte niemals auf verdächtige E-Mails.
• Keine Links klicken: Klicke auf keinen Fall auf Links in der E-Mail.
• Keine Anhänge öffnen: Öffne keine Anhänge, da diese Schadsoftware enthalten können.
• Löschen: Lösche die E-Mail aus deinem Posteingang und auch aus dem Papierkorb.
• Melden: Wenn es sich um Phishing handelt, melde die E-Mail bei der betroffenen Organisation (z.B. deiner Bank, PayPal) oder bei der Polizei. Viele Unternehmen haben spezielle E-Mail-Adressen für die Meldung von Phishing-Versuchen.
• Informiere Kollegen: Wenn die E-Mail in einem geschäftlichen Kontext auftaucht, informiere deine IT-Abteilung oder Kollegen, um sie vor der Bedrohung zu warnen.

Die Fähigkeit, E-Mail-Header zu lesen, ist ein wertvolles Werkzeug für deine IT-Sicherheit und hilft dir, dich und dein Unternehmen vor digitalen Bedrohungen zu schützen.