Erklärung
Jede E-Mail trägt neben dem sichtbaren Text eine Reihe technischer Kopfzeilen: Von welchem Server wurde sie eingeliefert, über welche Stationen wurde sie weitergeleitet, welche Zeitstempel tragen sie, und welche Ergebnisse haben Authentifizierungsverfahren wie SPF, DKIM und DMARC geliefert? Der angezeigte Absendername ist dagegen leicht zu fälschen.
Eine Header-Analyse hilft, zwischen verschiedenen Fällen zu unterscheiden: einer gefälschten Absenderangabe, einer ähnlichen Domain, einer Zustellung über ein legitimes, aber missbrauchtes Konto oder einer manipulierten Weiterleitung. Wichtig ist, dass Header nur teilweise vertrauenswürdig sind. Einträge der eigenen Server und des empfangenden Systems sind verlässlicher als Angaben, die vom Absender selbst stammen, weil diese gefälscht sein können.
Die Auswertung braucht das Original der Nachricht samt vollständiger Header. Weiterleitungen, Screenshots oder in andere Formate konvertierte Nachrichten verlieren diese Angaben oft.
Typisches Beispiel (schematisch)
Der angezeigte Absender lautet auf die Geschäftsführung, der Header zeigt jedoch eine Einlieferung über einen fremden Server, und die Authentifizierung schlug fehl. Das spricht für eine Fälschung der Absenderangabe. Eine Kontoübernahme ist damit noch nicht ausgeschlossen oder bestätigt.
Bedeutung für Forensik und Ermittlungen
Der Header ist oft der erste Beleg im Betrugsfall, wenn es um die Frage geht, ob ein echtes Konto beteiligt war. Zusammen mit Anmeldeprotokollen entsteht ein belastbareres Bild.
Erkennung und Prävention
Verdächtige Nachrichten sollten als Original gesichert (nicht nur weitergeleitet) und gemeldet werden. Organisationen können SPF, DKIM und DMARC für die eigenen Domains konfigurieren.
Auch gesucht als Mailheader-Analyse, E-Mail-Kopfzeilen, Header-Analyse, Mail-Header, E-Mail-Header prüfen, SPF DKIM DMARC, Absenderprüfung