Jede E-Mail trägt eine verborgene technische Geschichte in sich: eine Reihe von Headern, die das Mailprogramm normalerweise ausblendet, die aber ehrlich festhalten, welche Server die Nachricht durchlaufen hat und ob der Absender wirklich der ist, der er zu sein vorgibt.
Warum der Betreff manchmal wie „=?UTF-8?Q?...?=" aussieht
E-Mail-Header wurden vor Jahrzehnten für reines 7-Bit-ASCII entworfen, weshalb ein Betreff wie „Übergabe morgen — Grüße von Jürgen" nicht einfach so in einen Header geschrieben werden kann. RFC 2047 löst das mit der „Encoded-Word"-Syntax: =?UTF-8?Q?=C3=9Cbergabe_morgen?= — zuerst der Zeichensatz (UTF-8), dann Q für quoted-printable oder B für Base64, danach die codierten Bytes selbst. Deutsche Umlaute (ä, ö, ü) und das ß sind der häufigste Auslöser dieser Codierung in deutschsprachigen E-Mails, und genau deshalb wirkt ein roher Header-Dump oft wie eine unlesbare Zeichenkette, bis man ihn dekodiert.
Received-Header: die Route der Nachricht als Landkarte
Jeder Mailserver, den die Nachricht durchläuft, fügt seinen eigenen Received-Header oben in die Liste ein — um den tatsächlichen Weg der Nachricht vom Absender bis zum Posteingang nachzuvollziehen, müssen die Header deshalb von unten nach oben gelesen werden, also in umgekehrter Reihenfolge ihres Hinzufügens.
SPF, DKIM und DMARC: drei getrennte Vertrauensprüfungen
SPF (Sender Policy Framework) ist ein DNS-Eintrag der Domain, der auflistet, welche Server in ihrem Namen E-Mails versenden dürfen; der Header Received-SPF zeigt, ob der sendende Server auf dieser Liste stand. DKIM fügt eine kryptografische Signatur hinzu, die sich mit einem im DNS des Absenders veröffentlichten öffentlichen Schlüssel prüfen lässt und bestätigt, dass der Inhalt unterwegs nicht verändert wurde. DMARC teilt dem empfangenden Server schließlich mit, was mit Mails geschehen soll, die SPF oder DKIM nicht bestehen: ablehnen, als Spam markieren oder mit Warnhinweis zustellen. Gerade bei Phishing-Mails, die sich als Banken, Paketdienste oder Behörden ausgeben, verrät oft genau dieser Dreiklang die Fälschung.
Wofür man das braucht
- Prüfen, ob eine verdächtige E-Mail ein Phishing-Versuch mit gefälschter Absenderadresse ist.
- Einen Betreff oder Absendernamen dekodieren, der als unlesbare Zeichenkette
=?UTF-8?Q?...?=ankam. - Diagnostizieren, warum eigene E-Mails im Spam-Ordner der Empfänger landen.
Wofür die Message-ID gebraucht wird
Der Header Message-ID ist eine eindeutige Kennung, die das Mailprogramm beim Versenden vergibt und die sich theoretisch in keiner anderen E-Mail der Welt wiederholt. Sie ist entscheidend für das Gruppieren von Konversationen in „Threads": Antwortet man auf eine Nachricht, kopiert das Mailprogramm die ursprüngliche Message-ID in den Header In-Reply-To, und genau diese Verknüpfung sorgt dafür, dass Mail-Dienste die Nachrichten als eine zusammenhängende Konversation statt als einzelne Nachrichten anzeigen.