🚀 go-pugleaf

Archive-Name: de-net-abuse/email-header-faq
Last-modified: 1999-12-13
Version: 1.1.12
Posting-frequency: monthly
URL: http://www.th-h.de/faq/headrfaq.html
     mailto:archiv@akallabeth.de?subject=headrfaq

          FAQ: E-Mail-Header lesen und verstehen
          ======================================

| Abschnitt 2.a (minimal) ergaenzt
| Abschnitt 3.c (minimal) ergaenzt
| Abschnitt 4.d aktualisiert und ergaenzt

Inhalt:

 1. Vorwort

 2. Aufbau einer E-Mail
  (a) SMTP-Envelope
  (b) Header
  (c) Body

 3. E-Mail-Headerzeilen im einzelnen
  (a) Anschrift, Absender u. Verwandtes - kurz: der Briefkopf
  (b) "Technische" Angaben
  (c) "Zustellvermerke": den Weg einer E-Mail nachvollziehen
  (d) Spezielle Headerzeilen

 4. Hilfreiche Tools fuer die Headeranalyse
  (a) nslookup
  (b) whois
  (c) traceroute
  (d) Programmpakete und Bezugsquellen
  (e) Finger-Gateway auf info.belwue.de

 5. Beschwerden ueber unerwuenschte Massen-E-Mail
  (a) Wo kann ich mich beschweren?
  (b) Wie beschwere ich mich?

 6. Headerzeilen anzeigen lassen

 7. Weiterfuehrende Hinweise

 8. Credits


  1. Vorwort
  ''''''''''

Zweck dieser FAQ ist es, grundlegende Informationen ueber den Aufbau
einer Internet-E-Mail [1] und die Bedeutung der einzelnen Headerzeilen
zu vermitteln, um bspw. den Weg einer E-Mail zurueckzuverfolgen, den
Absender bzw. die beteiligten Mailserver herauszufinden und sich bei
unerwuenschter Massen-E-Mail (Bulkmail oder UBE/UCE [2]) gezielt an den
richtigen Stellen beschweren zu koennen.

Korrekturen, Ergaenzungshinweise und Verbesserungsvorschlaege nehme ich
gerne entgegen (THochstein@gmx.de).

-!-
[1] wie in RFC 822 definiert (URL: http://www.faqs.org/rfcs/rfc822.html)
[2] UBE: unsolicited bulk e-mail, unverlangte Massen-E-Mail
    UCE: unsolicited commercial e-mail, unverlangte kommerzielle E-Mail


  2. Aufbau einer E-Mail
  ''''''''''''''''''''''

Eine E-Mail besteht aus mehreren Teilen, und zwar dem Umschlag (SMTP-
Envelope), den Kopfzeilen (Header) und dem eigentlichen Text oder Inhalt
(Body).


  (a) SMTP-Envelope [1]

Diesen "Umschlag" bekommt man im Normalfall nicht zu sehen. Er enthaelt
die fuer die Zustellung einer E-Mail relevanten Informationen und geht
beim Einsortieren ins Postfach des Empfaengers verloren. Man kann ihn mit
einem konventionellen Briefumschlag vergleichen, der in der Poststelle
einer Firma geoeffnet und weggeworfen wird. Nur sein Inhalt, der
Briefbogen, ereicht den Empfaenger. (Manchmal werden die Daten aus dem
Umschlag aber - zumindest teilweise - in den Header der E-Mail
uebernommen, so dass man den Inhalt des Umschlags nachvollziehen kann.)

Die Daten fuer den Umschlag erhaelt ein Mailserver ganz zu Anfang des
SMTP-Dialogs, also bei der Verbindungsaufnahme mit dem Mailserver des
Einlieferers. Dabei stellt der einliefernde Server sich vor (mittels
HELO/EHLO [2]), gibt den Absender an (Envelope-From) und nennt den oder
die Empfaenger (Envelope-To). Danach folgt nach dem Kommando "DATA" der
Briefbogen, also die E-Mail mit Headern und Body. Wenn diese fertig
uebertragen ist, wird sie den genannten Empfaengern entweder ins Postfach
gesteckt (wenn sie schon "am Ziel" ist), oder, falls noetig, an den
Server weitergeleitet, auf dem sich diese Postfaecher finden.

--> Beispiel eines solchen Dialogs:

(in der obersten Zeile jeweils der sendende Mailserver, darunter die
Antwort des empfangenden)

| HELO ancalagon.rhein-neckar.de
| 250 pri.owl.de Hello ancalagon.rhein-neckar.de [193.197.90.30],
| pleased to meet you

Das ist die Begruessung. Der sendende Mailserver stellt sich vor ("HELO
."), der empfangende antwortet ("Hello ..., pleased to meet you").
Entscheidend sind dabei fuer die Rechner nur der Statuscode (250), nicht
der Text; dieser kann frei gewaehlt werden. Wichtig: Der sendende
Mailserver kann ueber seinen Namen "luegen"; deshalb schaut der Empfaenger
zumeist nach, wer denn wirklich da gerade mit ihm "redet", und merkt
sich die sog. IP-Nummer des Einlieferers (hier 193.197.90.30). Dies ist
eine eindeutige Nummer, mit der man jeden am Internet teilnehmenden
Rechner identifizieren kann. Durch eine Abfrage beim DNS (Domain Name
Server/Service) laesst sich feststellen, welcher Name dieser Nummer
zugeordnet ist; haeufig tut das der Mailserver auch direkt selbst
und uebersetzt die Nummer dann in einen Namen. Allerdings sind diese
Nummern inzwischen knapp; sie werden daher haeufig dynamisch vergeben,
das heisst einem bestimmten Rechner immer nur fuer die Dauer einer
Online-Sitzung zugewiesen. Immerhin laesst sich aber feststellen, welchem
Provider diese IP-Nummer (meist ein ganzer Nummernblock) zur Verfuegung
gestellt wurde, und dieser wiederum kann in seinen Log-Dateien feststellen,
welcher Kunde zu einer bestimmten Zeit unter dieser Nummer online war.

| MAIL FROM:<heinz-gustav@ancalagon.rhein-neckar.de>
| 250 <heinz-gustav@ancalagon.rhein-neckar.de>... Sender ok

| RCPT TO:<karl-heinz@owl.de>
| 250 <karl-heinz@owl.de>... Recipient ok

Der Sender gibt die Absenderadresse an, der Empfaenger bestaetigt;
gleiches gilt fuer die Empfangsadresse. Die Absenderadresse kann auch
hier "gelogen" sein und laesst sich nicht definitiv nachpruefen.

| DATA
| 354 Enter mail, end with "." on a line by itself

Der "Umschlag" ist fertig, jetzt kommt der Briefbogen.

-!-
[1] SMTP steht fuer "Simple Mail Transfer Protokol", den Standard, nach
    dem E-Mail zwischen verschiedenen Servern ausgetauscht wird.
    URL: http://www.faqs.org/rfcs/rfc821.html
[2] Auf HELO folgt der eigene Rechnername, bei EHLO zusaetzlich noch
    Parameter, die angeben, welche erweiterten Funktionen der Mailserver
    beherrscht.

  (b) Header

Der Header einer E-Mail bildet sozusagen den Briefkopf, dem man bspw.
Absender, Empfaenger, Datum und Betreff entnehmen kann. Wichtig dabei:
diese Angaben sind einerseits voellig beliebig durch den Absender
einstellbar, andererseits muessen sie nicht mit den Angaben im Umschlag
uebereinstimmen. Ich kann also, um im Bild zu bleiben, den Briefbogen an
<donald.duck@entenhausen.de> adressieren, aber in einen Umschlag
stecken, der (wie oben) an <karl-heinz@owl.de> adressiert ist. An
letzteren wird die E-Mail dann verschickt. So kann es passieren, dass man
eine E-Mail erhaelt, die scheinbar an jemand ganz anderen adressiert ist.

Sinnvoll ist dieses Vorgehen bspw. fuer Mailinglisten: als Empfaenger
steht dann bpsw. "Alle Teilnehmer der Taubenfutter-Mailingliste"
<taubenfutter@mailingliste.de> oder etwas anderes beliebiges im Header,
die tatsaechlichen Empfaenger stehen nur auf dem Umschlag. Vorteil: bei
100 Teilnehmern muss bloss die Zeile "RCPT TO:<adresse@server.domain>"
hundertmal (jedesmal mit einer anderen Empfaengeradresse) gesendet
werden, die eigentliche E-Mail (den Briefbogen) braucht man aber bloss
einmal zu uebertragen. Um die Zustellung kuemmert sich dann der
empfangende Mailserver. Das spart natuerlich immens Zeit und damit Geld.
Genauso gehen aus demselben Grund auch Bulkmailer vor, die fuer ihre
Zwecke gerne sog. "offene Relays" [1] verwenden; daher findet man beim
Empfang von UBE/UCE haeufig nicht die eigene Mailadresse auf dem
Briefbogen (in der Headerzeile "To:"), sondern eine fremde oder
beliebige.

Ausser dem "Briefkopf", der schon vom Absender mitgeschickt wird, finden
sich aber auch noch Headerzeilen, die von jedem an der Uebertragung
beteiligten Mailserver eingetragen werden, wenn die E-Mail befoerdert
wird, sozusagen Zustellvermerke (die sich bei einem konventionellen
Brief allerdings wohl eher auf dem Umschlag finden wuerden :-)). *Diese*
Headerzeilen sind fuer die Rueckverfolgung einer E-Mail entscheidend.

Fuer den Anfang soll dieser kurze Ueberblick genuegen; die einzelnen Header
werden unten in Abschnitt 3 ausfuehrlich besprochen.

-!-
[1] Ein offenes Relay ist ein Mailserver, der nicht nur Mail von seinen
    eigenen Benutzern und Kunden an die ganze Welt und umgekehrt Mail
    von ueberall an die eigenen Kunden ausliefert, sondern von ueberall
    und jedermann Mail annimmt, die er auch nach ueberall wieder
    ausliefert. Frueher war das eine nette Geste, um Serverausfaelle bei
    kleineren Providern abzufangen; heute werden offene Relays
    missbraucht, um Bulkmail auszuliefern und landen deswegen auf
    "schwarzen Listen" mit der Folge, dass viele Systeme weltweit Mail
    von dort gar nicht mehr oder nur noch verzoegert annehmen.


  (c) Body

Nach einer simplen Leerzeile, die die Trennung zwischen Header und Body
darstellt, folgt dann der eigentliche Text bzw. Inhalt der E-Mail.

== end of part 1 ===

Greetings,
     Tobias