.eml-Datei analysieren: Header, Received-Kette, Links, Hashes von Anhängen, abweichende Absender.
Neu
E-Mail-Header-Parser
Läuft lokal
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
E-Mail-Header-Parser verwenden
Was es bewirkt
Fügen Sie die Roh-Header einer verdächtigen Nachricht ein, um die Felder „Von“, „An“, „Datum“ und „Betreff“ sowie die vom empfangenden Server ausgegebenen SPF-, DKIM- und DMARC-Ergebnisse, alle „Received“-Hops in absteigender Reihenfolge nach Alter und eine Tabelle aller Header einschließlich „Reply-To“ und „Return-Path“ anzuzeigen.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie E-Mail-Header-Parser
- Header kopieren. Öffnen Sie den Quelltext der Nachricht (Gmail: Show original bzw. Original anzeigen, Outlook: View message source, Thunderbird: View source), und kopieren Sie die Header-Zeilen bis zur ersten Leerzeile.
- Einfügen und parsen. Fügen Sie sie in die „Raw“-E-Mail-Header ein und klicken Sie auf „Parse“. Wenn Sie auch den Textkörper einfügen, hält der Parser an der ersten Leerzeile an und gibt an, wie viele Zeilen er nicht gelesen hat.
- Obere Felder lesen. From, To und Date erscheinen zuerst, dann Subject, sofern vorhanden. Die Werte werden genau so angezeigt, wie sie geschrieben sind, ohne Dekodierung.
- Die Authentifizierungsergebnisse lesen. SPF, DKIM und DMARC zeigen die Ergebnisse an, die der empfangende Server im obersten „Authentication-Results“-Header zusammen mit dem Namen des Servers angegeben hat. Sie werden hier nicht erneut überprüft.
- Folgen Sie den Hopfen. Die empfangenen Hops werden wie im EML Analyzer nach dem Prinzip „ältester zuerst“ aufgelistet: Hop 1 ist dem Absender am nächsten, der letzte Hop wurde von dem Server hinzugefügt, der die Nachricht an Sie übermittelt hat.
- Die gesamte Tabelle scannen. Unter „Alle Kopfzeilen“ werden alle Kopfzeilen aufgelistet, einschließlich „Reply-To“ und „Return-Path“. Mit „Senden an“ wird das analysierte Ergebnis weitergeleitet, beispielsweise an den EML Analyzer.
Beispiel
Gefälschte Bankbenachrichtigung
Return-Path: <bounce@mailer.example.net>
Received: from mail.example.net (mail.example.net [203.0.113.25])
by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received: from [198.51.100.10] (unknown [198.51.100.10])
by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results: mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From: "Example Bank Security" <security@example.org>
Reply-To: <help-desk@example.net>
To: <alice@example.com>
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:03 +0000
Message-ID: <20261019091403.1234@mail.example.net>FROM
"Example Bank Security" <security@example.org>
TO
<alice@example.com>
DATE
Mon, 19 Oct 2026 09:14:03 +0000
SUBJECT
Action required: verify your account
Authentication-Results by mx.example.com (as written by that server, not verified here)
SPF
pass
DKIM
none
DMARC
fail
Received hops (2, oldest first)
HOP 1 · OLDEST, NEAREST THE SENDER
from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
HOP 2 · NEWEST, ADDED BY THE RECEIVING SERVER
from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
All headers (10)
Return-Path <bounce@mailer.example.net>
Received from mail.example.net (mail.example.net [203.0.113.25]) by mx.example.com with ESMTPS id 4Xk2Lm; Mon, 19 Oct 2026 09:14:07 +0000
Received from [198.51.100.10] (unknown [198.51.100.10]) by mail.example.net with ESMTPSA id 77QaZ1; Mon, 19 Oct 2026 09:14:05 +0000
Authentication-Results mx.example.com; spf=pass smtp.mailfrom=mailer.example.net; dkim=none; dmarc=fail (p=reject) header.from=example.org
From "Example Bank Security" <security@example.org>
Reply-To <help-desk@example.net>
To <alice@example.com>
Subject Action required: verify your account
Date Mon, 19 Oct 2026 09:14:03 +0000
Message-ID <20261019091403.1234@mail.example.net>In den obersten Feldern werden der Anzeigename und die Adresse des Absenders angezeigt, gefolgt von den vom empfangenden Server geschriebenen Authentifizierungsergebnissen (spf=pass, dkim=none, dmarc=fail) sowie zwei „Received“-Hops, wobei der älteste zuerst aufgeführt wird, wie im EML Analyzer: In Hop 1 nimmt mail.example.net die Nachricht von 198.51.100.10 entgegen, in Hop 2 nimmt mx.example.com sie von mail.example.net entgegen. Die Tabelle aller 10 Header zeigt ein „Reply-To“ auf einer anderen Domain; zusammen mit „dmarc=fail“ sind dies zwei Anzeichen für einen gefälschten Absender.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| From | Vergleichen Sie den Anzeigenamen mit der Adresse in spitzen Klammern. Ein Markenname neben einer fremden Domain ist ein häufiges Zeichen für Spoofing. |
| To | Fehlt Ihre eigene Adresse, waren Sie wahrscheinlich in Bcc oder auf einer Mailingliste. Massen-Phishing nutzt oft Bcc. |
| Date | Wird von der Software des Absenders geschrieben und kann daher gefälscht sein. Vergleichen Sie es mit den Zeiten in den Received-Hops. |
| Subject | Wird roh angezeigt. Ein Wert wie =?UTF-8?B?...?= ist kodierter Text, den dieser Parser nicht dekodiert. |
| SPF, DKIM, DMARC | Die Beurteilungen des empfangenden Servers. „dmarc=fail“ für die Domain einer Marke ist ein deutliches Anzeichen für Spoofing; „not reported“ bedeutet, dass der Server für diese Prüfung kein Ergebnis ausgegeben hat. |
| Eingegangener Hopfen | Jeder Hop wird auf 200 Zeichen gekürzt. Nur den Hops am Ende der Liste, die von Ihrem eigenen Provider hinzugefügt wurden, kann man vertrauen; frühere Hops können gefälscht sein. |
| Antwort an | Eine Antwortadresse auf einer anderen Domain als die des Absenders bedeutet, dass Ihre Antwort an eine andere Adresse gesendet würde. |
| Return-Path | Die Bounce-Adresse, die von SPF überprüft wird. Dass diese Domäne von der „Von“-Adresse abweicht, ist bei E-Mail-Diensten üblich, sollte aber dennoch erwähnt werden. |
| Message-ID | Der Teil nach @ nennt oft das System, das die Nachricht erstellt hat. Vergleichen Sie ihn mit der Domain aus From. |
Weitere Beispiele
Kodierter Absendername und Betreff
Received: from mail.example.org (mail.example.org [192.0.2.44])
by mx.example.com with ESMTPS; Tue, 20 Oct 2026 10:02:11 +0000
From: =?UTF-8?B?UGF5cm9sbCBUZWFt?= <payroll@example.org>
To: staff@example.com
Subject: =?UTF-8?B?U2FsYXJ5IHVwZGF0ZQ==?=
Date: Tue, 20 Oct 2026 10:02:09 +0000Die Felder „Von“, „An“, „Datum“ und „Betreff“ sind ausgefüllt, aber der Name und der Betreff bleiben als „=?UTF-8?B?...?=“ stehen, da nichts dekodiert wird (es heißt dort „Payroll Team“ und „Salary update“). Unter „Empfangene Hops“ wird der zusammengefasste Hop in einer Zeile aufgeführt, und unter „Alle Header“ werden alle Header aufgelistet.
Nachrichtentext zusammen mit den Headern eingefügt
From: IT Support <it@example.net>
To: you@example.com
Subject: Password expires
Hello,
Action needed: confirm your password today.Nur die Zeilen vor der ersten Leerzeile werden als Kopfzeilen gelesen. Ein Hinweis unter der Tabelle besagt, dass die darauf folgenden Zeilen, also der Nachrichtentext, nicht als Kopfzeilen gelesen wurden.
Eine gefaltete Subject-Zeile
From: Example Shop <orders@example.com>
Subject: Your order
has shippedFrom zeigt Example Shop mit der Adresse orders@example.com, To und Date zeigen einen Strich, und Subject lautet "Your order has shipped" in einer Zeile. Received hops (0) und All headers (2).
Häufig gestellte Fragen
Wie lese ich die Received-Hops?
Die Hops werden beginnend mit dem ältesten nummeriert, wie im EML Analyzer: Hop 1 ist der unterste „Received“-Header, der vom ersten Server hinzugefügt wurde, der die Nachricht verarbeitet hat, und der letzte Hop ist der oberste, der von dem Server hinzugefügt wurde, der sie an Sie zugestellt hat. Nur die von Ihrem eigenen E-Mail-Anbieter hinzugefügten Hops sind vertrauenswürdig, da ein Absender alle darunter liegenden „Received“-Zeilen fälschen kann.
Prüft er SPF, DKIM oder DMARC?
Nein. Es zeigt die SPF-, DKIM- und DMARC-Ergebnisse aus dem obersten „Authentication-Results“-Header an und listet „Received-SPF“ und „DKIM-Signature“ so auf, wie sie vom empfangenden Server geschrieben wurden, ohne irgendetwas zu überprüfen, wobei „=?UTF-8?B?...?= Betreffzeilen zu entschlüsseln oder den Textkörper zu lesen (es hört bei der ersten Leerzeile auf) und kürzt lange Werte (Hops auf 200 Zeichen, Tabellenzellen auf 300). Für eine vollständige .eml-Datei verwenden Sie den EML Analyzer.
Werden die Header hochgeladen?
Nein. Die Verarbeitung erfolgt in Ihrem Browser, und nichts wird irgendwohin gesendet. Header können persönliche Adressen und interne IPs enthalten, entfernen Sie diese daher, bevor Sie sie weitergeben.
Kann ich die ganze Nachricht samt Text einfügen?
Ja, aber es wird nur der Header-Block gelesen: Die Analyse endet gemäß RFC 5322 bei der ersten Leerzeile, und auf der Seite wird angezeigt, wie viele Zeilen des Hauptteils übersprungen wurden. EML Analyzer liest vollständige Nachrichten, einschließlich Anhänge.
Was passiert mit gefalteten Header-Zeilen?
Eine Zeile, die mit einem Leerzeichen oder Tab beginnt, wird mit einem einzelnen Leerzeichen an den Header darüber angehängt, sodass ein langer Received- oder Subject-Header als ein Wert erscheint.
Welcher „Authentication-Results“-Header wird verwendet?
Der oberste Eintrag, der zuletzt von dem Server hinzugefügt wurde, der Ihnen die Nachricht übermittelt hat. Die darunter liegenden „Authentication-Results“-Header können von früheren Servern stammen oder vom Absender gefälscht worden sein.