Jede E-Mail · mehr Details für Microsoft 365
Fügen Sie die Header einer beliebigen E-Mail ein und lesen Sie, was sie festhalten: den Weg der Nachricht und die Dauer jedes Schritts, ihre Authentifizierung, wer sie gesendet hat und wohin Antworten gehen. Bei Mail, die durch Microsoft 365 oder Exchange ging, kommt dazu, was Microsoft auf ihr vermerkt hat. Sie liest Header von Gmail, Exchange, Postfix, Exim und den verbreiteten Secure Email Gateways.
Gilt für das, was Sie kopieren oder herunterladen; die Analyse auf der Seite bleibt, wie sie ist.
Jeder Schritt ist ein Server, der die Nachricht empfangen hat, in der Reihenfolge des Wegs. Dazwischen steht die Zeit zwischen zwei festgehaltenen Empfängen.
Header enthalten nur, was mit der Nachricht reiste: Wiederholungen, Quarantäne und vieles der internen Verarbeitung von Microsoft 365 stehen nicht darin. Für Exchange Online zeigt die Nachrichtenablaufverfolgung im Exchange Admin Center mehr.
Die Balken vergleichen die Schritte miteinander; im Zeitverlauf hat jeder Schritt denselben Abstand.
So, wie das empfangende System sie festhielt. Dieses Tool prüft keine Signaturen und fragt kein DNS ab; es zeigt, was in den Headern steht.
So funktioniert es
Jeder Mailserver, der eine Nachricht annimmt, fügt eine Received-Zeile hinzu: wer sie übergab, wer sie nahm, wie und wann. Zusammen halten sie den Weg fest, vom Server des Absenders über Gateways und Filter bis zum Postfach des Empfängers. Server fügen weitere Header hinzu: Authentifizierungsergebnisse, Spambewertungen, IDs.
Jeder Server setzt seine Received-Zeile über die bereits vorhandenen. Von oben gelesen laufen die Zeilen vom Empfänger zurück zum Absender; die Analyse dreht sie um, damit der Zeitverlauf in der Reihenfolge steht, in der die Nachricht reiste.
Jede Received-Zeile endet mit einem Zeitstempel. Die Analyse rechnet sie in eine Zeitzone um und zieht jeden vom nächsten ab: Das Ergebnis ist die Zeit zwischen zwei Servern, die die Nachricht festhielten. Die Gesamtdauer reicht vom ersten bis zum letzten festgehaltenen Zeitstempel, nicht vom Date-Header, den das System des Absenders setzt und der falsch sein kann.
Zehn Minuten zwischen zwei Zeitstempeln sagen, dass zehn Minuten vergingen, nicht wer die Nachricht hielt. Der erste Server kann sie zurückgehalten haben, die Verbindung kann ausgefallen und wiederholt worden sein, der zweite Server kann sie zurückgestellt haben, ein Schritt hat womöglich keine Zeile hinzugefügt, oder eine Uhr geht falsch. Der Zeitverlauf zeigt, wo man suchen muss; die Protokolle der beteiligten Systeme sagen warum.
SPF prüft, ob der sendende Server für die Domain des Envelope-Absenders senden darf. DKIM prüft eine Signatur, die eine Domain auf die Nachricht gesetzt hat. DMARC fragt, ob eines der beiden für die Domain in der sichtbaren From-Adresse bestanden wurde, und sagt dem Empfänger, was andernfalls geschehen soll.
Header enthalten nur, was mit der Nachricht reiste. Für eine Nachricht in Exchange Online enthält die Nachrichtenablaufverfolgung im Exchange Admin Center den eigenen Eintrag von Microsoft zu jedem Ereignis, auch zu Wiederholungen, Quarantäne und Nachrichten, die nie ankamen.