E-Mail-Header-Analyse: Warum landete die Mail im Spam oder kam zu spät?

02 / ANLEITUNG

So kommen Sie an den Kopf der Mail

Den Kopf (englisch Header) hat jede Mail, nur zeigt ihn kein Mailprogramm von sich aus. Entscheidend ist, welchen Sie nehmen: den der Mail, wie sie beim Empfänger angekommen ist. Im Gesendet-Ordner fehlt fast alles, was hier zählt, denn die Stempel der Server und die Prüfergebnisse kommen erst unterwegs dazu.

Landen Ihre eigenen Mails bei einem Kunden im Spam, bitten Sie ihn um den Kopf. Oder Sie schicken eine Testmail an ein eigenes Konto bei Gmail oder Outlook.com und nehmen den Kopf von dort. Die Werte von Microsoft 365 (SCL, BCL, CAT) sehen Sie halt nur in einem Postfach bei Microsoft.

Der Kopf enthält Adressen, IP-Adressen und den Betreff. Die Analyse liest ihn nur in Ihrem Browser. Wenn Sie ihn jemandem schicken, dürfen Sie den Betreff vorher gern kürzen; für die Auswertung zählt er nicht.

Quellen: Microsoft-Support: Internetkopfzeilen in Outlook anzeigen · Google-Hilfe: Nachrichten mit vollständigen Headern zurückverfolgen

03 / WEG DER MAIL

Received-Zeilen von unten nach oben lesen

Typische Verzögerungen und woran Sie sie erkennen

Die Analyse meldet eine Station ab 2 min als spürbar und ab 30 min als deutlich verspätet; ab dort hat meist mindestens ein Zustellversuch nicht geklappt. Quellen: RFC 5321 · RFC 6647

Greylisting weist Mail von unbekannten Absendern beim ersten Versuch vorübergehend ab. Ordentliche Server versuchen es später erneut, viele Spam-Programme nicht. Deshalb ist das Verfahren weit verbreitet Pagani u. a. 2016. Wie lange die Mail dann wartet, entscheidet allerdings der Absender: RFC 5321 empfiehlt mindestens 30 Minuten bis zum nächsten Versuch, und gerade bei Meldungen zu Greylisting und Sperrlisten verhalten sich die meisten großen Anbieter nicht so, wie sie sollten Li u. a. 2026. Eine halbe Stunde bei der ersten Mail eines neuen Absenders ist also normal. Kommt jede Mail so spät, lohnt der Blick auf den Server des Empfängers.

Jeder Zeitstempel stammt von einer anderen Uhr. Gehen zwei Server ein paar Sekunden auseinander, ergibt das schon mal eine negative Dauer; Uhrsprünge und Gangunterschiede zwischen Rechnern sind häufiger, als man denkt Paxson 1998. Die Analyse meldet das als Hinweis und nicht als Fehler der Mail.

Verschlüsselung je Station

Ob eine Strecke verschlüsselt war, steht in der Received-Zeile: ESMTPS (das S steht für STARTTLS, RFC 3848), „using TLSv1.3" bei Postfix oder „version=TLS1_2" bei Microsoft. Die Analyse wertet das für jede Station einzeln aus, denn eine verschlüsselte erste Station sagt nichts über die zweite. Große Anbieter verschlüsseln von sich aus, bei kleineren Servern klappte das 2015 nur bei gut einem Drittel Durumeric u. a. 2015. Verschlüsselt heißt außerdem nicht geprüft: Viele Server kontrollieren das Zertifikat der Gegenseite gar nicht Foster u. a. 2015. Steht dort TLS 1.0 oder 1.1, ist der Server veraltet Holz u. a. 2016. Google verlangt TLS seit 2024 von allen Absendern.

04 / PRÜFERGEBNISSE

SPF, DKIM, DMARC und ARC im Kopf lesen

Was der Empfänger geprüft hat, schreibt er in die Zeile Authentication-Results (RFC 8601). Vorn steht, wer geprüft hat, etwa mx.google.com; Microsoft lässt diesen Teil weg. Dahinter folgen die Verfahren mit ihrem Ergebnis, etwa spf=pass, dkim=fail oder dmarc=pass. Die meisten Empfänger prüfen tatsächlich, SPF bis zu 85 Prozent Deccio u. a. 2021, und richten sich nach dem Ergebnis.

Quellen: RFC 8601 · RFC 7208 · RFC 9989

Ausrichtung: der häufigste Grund für dmarc=fail

DMARC reicht es nicht, dass SPF oder DKIM besteht. Die Domain, für die eines davon bestanden hat, muss zur Domain im Absender passen (RFC 9989; gemeint ist die Organisations-Domain, newsletter.ihre-firma.de passt also zu ihre-firma.de). Genau daran scheitern Newsletter-Dienste: Sie versenden mit eigenem Umschlag und eigener Signatur, SPF und DKIM bestehen, DMARC trotzdem nicht. Die Analyse zeigt deshalb neben jedem Ergebnis die Domain und sagt, ob sie passt. Was in Ihrem DNS steht, prüft der E-Mail-Check.

Weiterleitungen, Verteiler und ARC

Leitet ein Server eine Mail weiter, etwa ein Vereinsverteiler, bricht oft beides. SPF gilt nur noch für den Weiterleiter, und bekommt der Betreff ein „[Vorstand]" vorangestellt, passt die DKIM-Signatur nicht mehr. Messungen an 20 Weiterleitungsdiensten zeigen, wie gründlich Weiterleitung die Annahmen hinter SPF, DKIM und DMARC aushebelt Liu u. a. 2023.

ARC (RFC 8617) ist die Antwort darauf: Der Weiterleiter versiegelt, wie die Mail bei ihm ankam, und der nächste Empfänger kann das lesen. Gmail und Outlook werten ARC aus, und die meisten Umsetzungen arbeiten korrekt Wang und Wang 2022. Einen Anspruch darauf gibt es aber nicht. Ob ein Empfänger dem Siegel folgt, entscheidet er selbst; bei Gmail erkennen Sie es an „dis=NONE" trotz p=REJECT, bei Microsoft an compauth mit Grund 130. Die Analyse prüft den Aufbau der Kette (Instanzen, cv-Werte), die Signaturen selbst rechnet nur der Empfänger nach.

05 / SPAM-WERTE

SCL, BCL und Spam-Punkte: was die Filter in den Kopf schreiben

Ein Teil der Anbieter schreibt sein Urteil nachlesbar in den Kopf. Microsoft 365 tut das ausführlich, SpamAssassin und Rspamd auf den Servern vieler Hoster und Firmen ebenfalls. Gmail, Apple und GMX/WEB.DE tun es nicht oder nur in Zeilen, deren Inhalt sie nicht beschreiben. Solche Zeilen zeigt die Analyse roh an, ohne sie zu deuten.

Microsoft 365: Die Kategorie entscheidet, nicht der SCL

Microsoft schreibt in die Zeile X-Forefront-Antispam-Report, welche Regel gegriffen hat (CAT), was der Spam-Filter entschied (SFV) und den älteren Spam-Wert SCL von −1 bis 9. Seit Microsoft nach Kategorien filtert, sagt der SCL in der Cloud nichts mehr darüber, ob eine Mail als Spam gilt; maßgeblich sind CAT und DIR. Für Massenmail gibt es einen eigenen Wert, den BCL in X-Microsoft-Antispam.

Ab BCL 7 sortiert die Standardregel von Microsoft eine Massenmail in den Junk-Ordner, mit der Voreinstellung „Standard" ab 6, mit „Streng" ab 5 und dann in die Quarantäne. Ein BCL von 7 bei einem Newsletter heißt also: Je nach Einstellung des Empfängers landet er im Junk-Ordner oder knapp nicht.

Dazu kommt compauth in der Zeile Authentication-Results: Microsofts Gesamturteil zur Frage, ob die Mail von der Domain im Absender stammt. Es fasst SPF, DKIM, DMARC und eigene Signale zusammen. Ein compauth=fail mit Grund 001 bei einer Domain ohne DMARC-Regel ist der typische Anfang einer Einstufung als SPOOF.

Quellen, Stand 14. November 2026: Microsoft Learn: Anti-Spam-Kopfzeilen · Microsoft Learn: Spam Confidence Level (SCL) · Microsoft Learn: Bulk Complaint Level (BCL)

SpamAssassin und Rspamd: Punkte gegen eine Schwelle

SpamAssassin vergibt für jede zutreffende Regel Punkte und zählt zusammen. Ab der Schwelle required, ab Werk 5, steht in X-Spam-Status „Yes", und der Server markiert die Mail. Rspamd arbeitet ähnlich, kennt aber Stufen: ab einem Wert Greylisting, darüber eine Spam-Markierung, ganz oben die Abweisung. Spam-Filter treffen erstaunlich gut Cormack 2008, aber jeder Server stellt seine Schwelle selbst ein. Darum liest die Analyse den Wert immer gegen die Schwelle des jeweiligen Filters und nennt die Regeln, die am meisten beitrugen.

Die Regeln mit RCVD_IN und URIBL fragen Sperrlisten ab. Das ist seit zwei Jahrzehnten Alltag; schon 2004 machten solche Abfragen am MIT ein Siebtel aller DNS-Abfragen aus Jung und Sit 2004. Sie treffen den Versandweg, nicht den Text. Spam kommt überwiegend aus wenigen Bereichen des Adressraums Ramachandran und Feamster 2006, und Listen nach IP-Ruf erkennen den Großteil schon vor der Annahme Esquivel u. a. 2010. Ein Kopierer, der Scans direkt vom DSL-Anschluss verschickt, landet deshalb im Spam, so harmlos der Scan auch ist. Abhilfe schafft der Versand über den Mailserver des Anbieters, mit Anmeldung.

Quellen: Apache SpamAssassin: Regeldateien (Beschreibungen der Regeln, Standardschwelle 5) · Rspamd-Doku: Aktionen und Schwellen

06 / ABMELDEN

Abmelden mit einem Klick (RFC 8058)

Newsletter brauchen eine Abmeldung, die das Postfach selbst anbieten kann. RFC 8058 legt fest, wie das mit einem Klick geht, und Gmail verlangt es von allen, die mehr als 5.000 Mails am Tag an Gmail-Adressen schicken. Fehlt die Abmeldung, bleibt Empfängern oft nur der Spam-Knopf. Und genau solche Beschwerden misst Microsoft mit dem BCL.

• List-Unsubscribe mit HTTPS-Adresse. Eine mailto-Adresse darf zusätzlich dastehen, allein reicht sie nicht.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click. Genau so, ohne weitere Angaben. Das Postfach schickt diesen Text an die HTTPS-Adresse, ohne Anmeldung und ohne Weiterleitung.
• Eine gültige DKIM-Signatur über beide Zeilen. Beide müssen im h= der Signatur stehen, sonst bietet das Postfach den Klick nicht an.

Für Vereinsverteiler und ähnliche Listen gilt die Pflicht von Gmail meist nicht; die Analyse meldet die fehlende Ein-Klick-Abmeldung dort nur als Info. Quelle: Google: Richtlinien für E-Mail-Absender.

07 / VORGEHEN

Was Sie mit dem Ergebnis tun

1. Sperrliste, kein Reverse-DNS, RCVD_IN_PBL. Das liegt am Versandweg. Geräte und eigene Server schicken Mail über den Mailserver Ihres Anbieters (SMTP mit Anmeldung) statt direkt vom Anschluss.
2. dmarc=fail bei Ihrer eigenen Post. Fast immer sendet ein Dienst ohne DKIM für Ihre Domain: Newsletter, Shop, Rechnungsprogramm. Den Eintrag richtet man beim Dienst und in Ihrem DNS ein; was im DNS steht, zeigt der E-Mail-Check.
3. Massenmail (CAT:BULK, hoher BCL). Empfängerliste pflegen, Ein-Klick-Abmeldung einbauen, gezielter senden. Einzelne Empfänger können Sie bitten, Sie als sicheren Absender einzutragen.
4. Verspätung beim Übergang. Einmal nach Greylisting ist normal. Kommt jede Mail spät, gehört der Server des Empfängers (Ausnahmeliste) oder der eigene (Warteschlange, Wiederholabstand) auf den Prüfstand.
5. Nichts gefunden. Gmail und Apple schreiben ihren Spam-Grund nicht in den Kopf. Dann hilft eine Testmail an ein eigenes Konto bei Microsoft, dessen Kopf mehr verrät.

Wo die Analyse aufhört

• Sie rechnet keine Signaturen nach. Ob DKIM und ARC gültig sind, entscheidet der Empfänger mit dem Schlüssel aus dem DNS. Die Analyse liest sein Urteil und prüft den Aufbau.
• Sie sieht nur, was im Kopf steht. Interne Bewertungen von Gmail, Apple oder GMX bleiben verborgen; Zeilen ohne öffentliche Beschreibung zeigt sie roh.
• Ausrichtung vereinfacht. Die Organisations-Domain bestimmt sie über eine kurze Liste von Endungen, nicht über die DNS-Abfrage aus RFC 9989. Das DMARC-Ergebnis des Empfängers geht vor.
• Keine Betrugserkennung. Ob eine Mail gefälscht oder gefährlich ist, beantwortet sie nicht.

Den Hintergrund in Ruhe erklärt der Ratgeber Warum landen meine E-Mails im Spam?. Wenn Sie es nicht selbst angehen möchten: Domain und Postfächer richten wir im Rahmen unseres IT-Supports ein, Newsletter- und Shop-Dienste binden wir gleich mit an. Bei laufender IT-Betreuung behalten wir die Zustellung im Blick.

08 / FÜR KI-ASSISTENTEN

Dieses Werkzeug aus einem KI-Assistenten nutzen

Assistenten wie Claude oder ChatGPT, die das Model Context Protocol (MCP) sprechen, können die Rechnung dieser Seite direkt aufrufen, statt sie nachzubauen. Der Server ist öffentlich, braucht keine Anmeldung und speichert nichts. Die Antwort enthält immer den Link auf diese Seite, den Stand der Daten und die Grenzen des Ergebnisses.

Endpunkt

https://aureum-tech.com/mcp

Werkzeug

werkzeug_e_mail_header_analyse

Transport

Streamable HTTP, nur lesend

Fragen, bei denen ein Assistent es aufrufen sollte

• „Warum landet unser Newsletter bei Kunden mit Microsoft 365 im Junk-Ordner? Hier ist der Header."
• „Diese Mail kam eine halbe Stunde zu spät an. Woran lag das? (Header eingefügt)"
• „Was bedeuten SCL 5, BCL 7 und compauth=fail reason=001 in diesem Mail-Kopf?"
• „Warum steht bei Gmail dmarc=fail, obwohl die Mail über unseren Vereinsverteiler kam?"

Wie die Anbindung funktioniert und was MCP im eigenen Betrieb leisten kann, steht auf der Seite zu MCP-Integrationen.

09 / HÄUFIGE FRAGEN

Häufige Fragen zum E-Mail-Header