E-Mail-Kopfzeilen prüfen

SPF, DKIM und DMARC prüfen und Verzögerungen auf dem Weg der E-Mail sehen.

Kopfzeilen einer E-Mail prüfen: echter Absender, Weg über die Server, Verzögerungen und die Prüfungen SPF, DKIM und DMARC. Hilft, Phishing zu erkennen.

E-Mail-Kopfzeilen lesen und Fälschungen erkennen

Auf einen Blick

Der sichtbare Absender einer E-Mail lässt sich frei fälschen; verlässlich sind nur die Prüfergebnisse, die der eigene Mailanbieter in die Kopfzeilen schreibt.
SPF prüft, ob der sendende Server für die Absenderdomain zugelassen ist; DKIM prüft eine digitale Signatur; DMARC legt fest, was bei einem Fehlschlag geschehen soll.
Die Received-Zeilen werden von unten nach oben gelesen: Die unterste stammt vom ersten Server, die oberste vom eigenen Postfach.
Seit Februar 2024 verlangen Google und Yahoo von Massenversendern SPF, DKIM und DMARC.

Stand: Oktober 2026. Quelle: RFC 5322 (Nachrichtenformat), RFC 7208 (SPF), RFC 6376 (DKIM), RFC 7489 (DMARC).

Wo die Kopfzeilen zu finden sind

Gmail: Nachricht öffnen, Drei-Punkte-Menü, „Original anzeigen“.
Outlook im Browser: Drei-Punkte-Menü, „Anzeigen“, „Nachrichtendetails anzeigen“.
Outlook am PC: Nachricht doppelt anklicken, „Datei“, „Eigenschaften“, Feld „Internetkopfzeilen“.
Apple Mail: „Darstellung“, „E-Mail“, „Alle Header“.
Thunderbird: „Ansicht“, „Kopfzeilen“, „Alle“, oder Strg+U für den Quelltext.

Was die drei Prüfungen bedeuten

In der Zeile Authentication-Results trägt der empfangende Mailserver ein, wie die Prüfungen ausgefallen sind. „spf=pass“ heißt, dass der einliefernde Server im SPF-Eintrag der Domain steht. „dkim=pass“ heißt, dass die Signatur zur Domain passt und die Nachricht unterwegs nicht verändert wurde. „dmarc=pass“ heißt, dass mindestens eine der beiden Prüfungen bestanden ist und die geprüfte Domain zur sichtbaren Absenderadresse passt. Erst diese Übereinstimmung macht die Prüfung aussagekräftig.

Beispiel: angebliche Nachricht der Hausbank

Im Absenderfeld steht „Sparkasse <service@sparkasse.de>“, die Kopfzeilen zeigen aber „spf=pass smtp.mailfrom=mailer-xy.com“ und „dmarc=fail header.from=sparkasse.de“. Der Server war für eine fremde Domain zugelassen, nicht für die der Bank. Das ist ein deutliches Zeichen für eine Fälschung.

Den Weg einer Nachricht nachverfolgen

Jeder Server, der eine E-Mail weiterreicht, setzt eine Received-Zeile mit Zeitpunkt und Herkunft davor. Aus den Zeitabständen errechnet das Werkzeug, wo eine Nachricht aufgehalten wurde. Die IP-Adresse in der untersten Zeile zeigt meist den einliefernden Server.

Nur die Zeilen, die dein eigener Anbieter hinzugefügt hat, sind sicher echt. Alles darunter kann ein Absender selbst hineinschreiben. Eine verdächtige Nachricht gehört an die Verbraucherzentrale (Phishing-Radar) oder an die echte Firma weitergeleitet, nicht beantwortet.