IT-Forensik Wiki - Benutzerbeiträge [de]

E-Mail-Header

2022-07-17T08:19:58Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''DomainKeys Identified Mail'''

Eine Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| v || gibt die Version der Signaturspezifikation an; der Wert sollte immer auf 1 gesetzt werden
|-
| a || gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden; von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten
|-
| s || gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden; der Wert ist ein vom Absender erstellter Name oder eine Nummer
|}

weitere Tags der DKIM sind:

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| k || verwendete Verschlüsselung
|-
| p || öffentlicher Schlüssel
|-
| b || sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
|-
| bh || ist der berechnete Hash des Nachrichtentextes; der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
|-
| d || gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden; der Wert ist ein Domänenname, der dem Absender gehört
|-
| h || ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen; Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden.
|}

Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:

<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T08:15:50Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| v || gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden
|-
| a || gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten
|-
| s || gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer
|}

weitere Tags der DKIM sind:

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| k || verwendete Verschlüsselung
|-
| p || öffentlicher Schlüssel
|-
| b || sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
|-
| bh || ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
|-
| d || gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört
|-
| h || ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden
|}

Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:

<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T08:13:42Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| v || gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden
|-
| a || gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten
|-
| s || gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer
|}

Die weiteren Tags der DKIM sind:

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| k || verwendete Verschlüsselung
|-
| p || öffentlicher Schlüssel
|-
| b || sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
| -
| bh || ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
| -
| d || gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört
| -
| h || ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden
|}

Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:

<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T08:12:00Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| v || gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden
|-
| a || gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten
|-
| s || gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer
|}

Die weiteren Tags der DKIM sind:

{| class="wikitable"
|-
! Tag !! Bedeutung
|-
| k || verwendete Verschlüsselung
|-
| p || <öffentlicher Schlüssel>
|-
| b || sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
| bh || ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
| d || gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört
| h || ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden
|}

Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:

<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T08:06:54Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur (bh) besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel (b) sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.
a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten.
s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.

Die weiteren Tags der DKIM sind:

k=rsa; p=<öffentlicher Schlüssel>
b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert.
bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt.
d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört.
h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden.

Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:

<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T08:06:22Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz: DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur (bh) besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel (b) sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.
a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten.
s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.

Die weiteren Tags der DKIM sind:

k=rsa; p=<öffentlicher Schlüssel>
b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert.
bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt.
d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört.
h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden.

Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:

<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T08:02:09Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz: DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur (bh) besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel (b) sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.
a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit
geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher
Sicherheitsrisiken abgeraten.
s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im
DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.
Hier ist ein Beispiel für einen DNS-Selektoreintrag. Die in diesem Beispiel gezeigten Tags erscheinen nur in diesem
Datensatz innerhalb von DNS und nicht in der E-Mail-Kopfzeile selbst: <selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;
k=rsa; p=<öffentlicher Schlüssel>
b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64
kodiert.
bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus
ermittelten Hashwert darstellt.
d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert
ist ein Domänenname, der dem Absender gehört.
h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen.
Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden,
und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von
Header-Feldern, die sich nicht ändern oder entfernt werden.

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T07:38:33Z

St201209: /* Auswertung von E-Mail-Headern */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Anazlyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Teile dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz: DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beigefügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließen kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T07:37:34Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. https://gaijin.at/de/tools/e-mail-header-analyzer, sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Teile dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz: DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beigefügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließen kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T07:31:20Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. https://gaijin.at/de/tools/e-mail-header-analyzer, sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Teile dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls autorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht autorisiert.
|}

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz: DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beigefügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließen kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T07:29:10Z

St201209: /* Absender-Authentizität */

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. https://gaijin.at/de/tools/e-mail-header-analyzer, sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

'''Sender Policy Framework'''

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht authorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Teile dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind authorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls authorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht authorisiert.
|}

'''DomainKeys Identified Mail'''

Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz: DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beigefügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließen kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders, als auch die Integrität der Nachricht sicherstellen.

Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T07:19:34Z

St201209:

== E-Mail Header ==

Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden individueller Nachrichten.<ref>Vgl. Eckert, Claudia: IT-Sicherheit: Konzepte - Verfahren - Protokolle, 10. Aufl., Berlin, Deutschland: De Gruyter, 2018. S. 801.</ref> Solche Nachrichten enthalten standardisiert einen für den Nutzer anzeigbaren Kopf / Header (engl. „header“) und einen Rumpf (engl. „body“). Im Header befinden sich mehrere Zeilen aus verschiedenen Zeichen mit einer speziellen Syntax, die durch dem Standard RFC 5322<ref>Vgl. RFC 5322 - Internet Message Format: in: IETF, o. D., https://datatracker.ietf.org/doc/html/rfc5322 (abgerufen am 16.07.2022).</ref> definiert ist. Grundsätzlich folgt jede Header-Zeile der folgenden Syntax:

Feld_Bezeichnung: Inhalt

Normalerweise besteht ein Header-Eintrag aus einer Zeile; da es allerdings eine Längenbeschränkung auf 998/78 Zeichen pro Zeile gibt, ist es möglich, einen Eintrag auf mehrere Zeilen zu verteilen. Dies wird im Standard als ''folding'' bezeichnet. Die Fortsetzungszeilen beginnen in diesem Fall mit einem ''whitespace'' (z. B. einem Leerzeichen.)

Die Auswertung solcher Header kann gewinnbringende Informationen über den Absender und den Zeitpunkt des Absendens sowie den Laufweg der Nachricht und die verarbeitenden Systeme enthalten.
Typische Informationen des Headers sind u.a.
* Datums- und Uhrzeit-Angaben
* Zeitzone
* Display-Name
* Domain
* IP-Adresse des Absenders
* Absender / Empfänger / Cc / Bcc (Display-Namen und E-Mailadressen)

== Sicherung von E-Mail Headern ==

Um E-Mail-Header analysieren zu können, müssen diese zunächst extrahiert werden. Je nach Webanwendung oder Client ist das Vorgehen dazu unterschiedlich. Nachfolgend wird eine Auswahl dieser Vorgehen anhand gängiger Webanwendungen und Clients dargestellt.

1. Outlook<ref>Vgl. Microsoft: Anzeigen von Kopfzeilen für Internetnachrichten in Outlook, in: Microsoft, o. D., https://support.microsoft.com/de-de/office/anzeigen-von-kopfzeilen-f%C3%BCr-internetnachrichten-in-outlook-cd039382-dc6e-4264-ac74-c048563d212c (abgerufen am 16.07.2022).</ref> (Lokaler Client)
* Doppelklicken Sie auf eine E-Mail-Nachricht, um sie außerhalb des Lesebereichs zu öffnen.
* Klicken Sie auf Datei> Eigenschaften.
* Kopfzeileninformationen werden im Feld Internetkopfzeilen angezeigt.
* Tipp:Sie können die Informationen in diesem Feld hervorheben, STRG+C drücken, um sie zu kopieren, und sie in Editor oder Word einfügen, um die gesamte Kopfzeile gleichzeitig zu sehen.

2. Thunderbird (Lokaler Client)
* E-Mail auswählen
* Einstellungen -> Ansicht -> E-Mail-Quelltext anzeigen

3. Web.de<ref>Vgl. Erweiterten Header weiterleiten - WEB.DE Hilfe: in: WEB, o. D., https://hilfe.web.de/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C

4. Gmx.de<ref>Erweiterten Header weiterleiten - GMX Hilfe: in: GMX, o. D., https://hilfe.gmx.net/email/empfangen-und-lesen/header-weiterleiten.html (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Klicken Sie auf das Info-Symbol der betreffenden E-Mail. Es öffnet sich ein Fenster mit den erweiterten E-Mail-Informationen.
* Markieren Sie den Text mit gedrückter linker Maustaste und kopieren Sie den markierten Text mit Strg + C.

5. iCloud.com<ref>Vgl. Header in einer E-Mail in „Mail“ auf iCloud.com anzeigen: in: Apple Support, o. D., https://support.apple.com/de-de/guide/icloud/mmcc887ce9/icloud (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Wähle eine Nachricht in „Mail“ auf iCloud.com aus.
* Klicke auf und anschließend auf „Alle Header einblenden“.
* Klicke auf und anschließend auf „Standard-Header einblenden“, um nicht mehr alle Header anzuzeigen.

6. Gmail.com<ref>Vgl. Vollständige E-Mail-Header lesen - Gmail-Hilfe: in: Google Support, o. D., https://support.google.com/mail/answer/29436?hl=de (abgerufen am 16.07.2022).</ref> (Webanwendung)
* Öffnen Sie die E-Mail, deren Header Sie überprüfen möchten.
* Klicken Sie neben „Antworten“ auf das Dreipunkt-Menü Original anzeigen.
* Kopieren Sie den Text auf der Seite.
* Öffnen Sie das Tool „Nachrichten-Header“.
* Fügen Sie im Abschnitt "E-Mail-Header hier einfügen" Ihren Header ein.
* Klicken Sie auf Header oben analysieren.

== Beispiel E-Mail-Header ==

Zur Veranschaulichung wird nachfolgend ein Ausschnitt des E-Mail-Headers einer Werbemail der Plattform GMX dargestellt (personenbezogene Daten wurden an dieser Stelle pseudonymisiert).

Header:

Return-Path: <mailings@mailings.gmx.net>
Authentication-Results: gmx.net; dkim=pass header.i=@mailings.gmx.net
Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
s=isystem1; t=1656586043;
bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=
X-UI-Sender-Class: b1815dde-56d5-42be-91f0-18350f97da04
Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200
Date: Thu, 30 Jun 2022 12:47:22 +0200
To: Max_Mustermann@gmx.de
From: GMX Magazin <mailings@mailings.gmx.net>
Reply-To: mailings@gmxnet.de
Subject: Ihr Stromtarif + iPad oder 4K-TV
Message-ID: <E5-3hqyee3o-elaine/10/534-004a6uhu@esix-sender-gmx-bs04.ui-portal.com>
[…]

== Auswertung von E-Mail-Headern ==

Anhand des o.g. Beispiels der GMX-Werbemail wird im Folgenden dargestellt, wie solche E-Mails ausgewertet werden können.
Offensichtlich können die Zeitangaben, die Empfängeradresse und teilweise auch die Absenderadresse direkt ausgelesen werden.
Die Datums- und Uhrzeitangaben basieren bei lokal installierten Rechner-Clients i.d.R. auf der Rechnerzeit. Bei Webanwendungen ist die in den Headern angegebene Zeit die des Mailservers der Empfänger-Adresse. Insofern ist auch von Relevanz, auf welchem Server in welcher Zeitzone die E-Mail empfangen worden ist. Ein Vergleich zwischen den Angaben der E-Mail und der jeweiligen Systemzeit ist somit obligatorisch. Im Beispiel wird die Zeitzone über die Zeilen "+0200" identifiziert, welche auf UTC + 2 Std. deutet.

Die tatsächlich absendende Stelle lässt sich anhand der „Received“-Zeilen ermitteln. Je nachdem, wie viele Mail-Server an der Kommunikation beteiligt sind, gibt es entsprechend viele „Received“-Zeilen.
Bei „Received“-Zeilen und den Absende-Adressen muss beachtet werden, dass Absender u.a. diese Zeilen fälschen kann. Dieses Phänomen wird auch Spoofing genannt, bei der ein Angreifer seine Identität maskiert bzw. fälscht, um unter dieser gefälschten Identität zu kommunizieren.

Unter der Prämisse, dass dies in dem obigen Fall unzutreffend ist, betrachten wir die beiden vorhandenen „Received“-Zeilen genauer.

Received: from mout-csbulk.1and1.com ([212.227.15.53]) by mx-ha.gmx.net
(mxgmx103 [212.227.17.5]) with ESMTPS (Nemesis) id 1MeCZ5-1nWyOC0iSF-00bMu8
for <Max_Mustermann@gmx.de>; Thu, 30 Jun 2022 12:47:23 +0200

Received: from esix-sender-gmx-bs04.ui-portal.com ([10.74.4.16]) by
mrs-csbulk.1and1.com (mrsbulk009 [172.19.128.198]) with ESMTPSA (Nemesis) id
0LgNmu-1nJRz43zSG-00nlFe for < Max_Mustermann@gmx.de>; Thu, 30 Jun 2022
12:47:23 +0200

Relevant sind hierbei nun die beiden „from“-Angaben. Die IP-Adresse der zweiten „received“-Nachricht kann ignoriert werden, da diese gem. des Standards der IANA (Internet Assigned Numbers Authority) in den privaten IP-Adressraum fällt und lediglich öffentlich IP-Adressen einzigartig zu einem bestimmten Zeitpunkt und somit nachverfolgbar sind.<ref>Vgl. Private Adressbereiche: in: IBM, o. D., https://www.ibm.com/docs/de/networkmanager/4.2.0?topic=translation-private-address-ranges (abgerufen am 16.07.2022).</ref>

Zu den privaten IP-Adressbereichen zählen gem. der IANA:
* Klasse A: 10.0.0.0 to 10.255.255.255
* Klasse B: 172.16.0.0 to 172.31.255.255
* Klasse C: 192.168.0.0 to 192.168.255.255

Somit ist nur noch die IP-Adresse 212.227.15.53 zu untersuchen. Mittels einer Whois-Abfrage, bspw. über das Whois-Tool der Website www.viewdns.info, lassen sich weitere Informationen zu dieser IP-Adresse ermitteln:

[…]
inetnum: 212.227.15.0 - 212.227.15.127
netname: IONOS-NET
descr: 1&1 IONOS SE
country: DE
[…]
last-modified: 2022-05-18T09:18:10Z
source: RIPE
[…]

Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. https://gaijin.at/de/tools/e-mail-header-analyzer, sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

== Absender-Authentizität ==

Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

Sender Policy Framework

Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht authorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:

example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

Die verschiedenen Teile dieses Eintrags sind dabei wie folgt zu deuten:

{| class="wikitable"
|-
! Eintrag !! Bedeutung
|-
| v=spf1 || SPF-Version 1
|-
| mx || Die Mail-Eingangsserver (MX) der Domain sind authorisiert zum Senden von E-Mails für die Domain example.net
|-
| a:pluto.example.net || Der Absender pluto.example.net ist ebenfalls authorisiert
|-
| include:aspmx.googlemail.com || alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim
|-
| -all || Alle anderen Absender sind nicht authorisiert.
|}

== Rechtliche Besonderheiten ==

Bei Vorfällen durch E-Mails mit strafrechtlicher Relevanz kann eine Person durch den E-Mail-Header ermittelt werden. Mögliche Szenarien können hierbei sein:

* Beleidigung gem. § 185 StGB oder Bedrohung gem. § 241 StGB per E-Mail
* Phishing-Mails, welche ein Vorbereiten des Ausspähens oder Abfangen von Daten gem. § 202c StGB darstellen können, sofern bspw. Passwörter erfolgreich abgegriffen werden
* per E-Mail versandte Malware können eine Strafbarkeit gem. § 303a StGB darstellen

Bei der Erstattung einer Strafanzeige ist zwingenderweise der Sachverhalt darzulegen, damit die Strafverfolgungsbehörden die Ermittlungen aufnehmen. Zur Beschleunigung der Ermittlungen können der Behörde neben einer Sachverhaltsdarstellung der E-Mail-Header sowie die Analyse des Headers inkl. Nennung des Providers übermittelt werden. Hierzu ist jedoch eine lückenlose Dokumentation des Analyseprozesses mitzuübersenden.

Sofern Bestandsdaten bei dem jeweiligen deutschen Provider hinterlegt sind, können in Strafermittlungsverfahren weitere Ermittlungsansätze zur Identität einer Person erlangt werden. Ermittlungsbehörden können gem. § 100j Abs. 2 StPO i.V.m. § 174 Abs. 1 S. 3 TKG die Bestandsdaten zu einer IP-Adresse bei deutschen Providern ermitteln.

Zu beachten sind etwaige Speicherfristen für Bestandsdaten bei den deutschen Providern, die regelhaft nur wenige Tage (meistens 7 Tage) betragen.

Sollen gegenüber dem Absender Schadensersatzansprüche geltend gemacht werden, so kann bereits im Strafverfahren der Antrag auf ein Adhäsionsverfahren gestellt werden. Die Richterin oder der Richter sind in einem Adhäsionsverfahren befugt, über den Antrag der oder des Verletzten mitzuentscheiden. Wenn das Adhäsionsverfahren nicht angewendet wird, besteht trotzdem die Möglichkeit, gem. § 475 StPO Akteneinsicht für das eigene zivilrechtliche Verfahren zu erlangen, da zivilrechtliche Ansprüche regelrecht als berechtigtes Interesse im Sinne des § 475 Abs. 1 StPO gelten. Durch die erweiterten Befugnisse im Strafverfahren und den damit größeren Erfolgschancen auf Ermittlung eines Verantwortlichen, können dadurch zum Erfolg eines zivilrechtlichen Verfahrens führen.

E-Mail-Header

2022-07-17T06:41:01Z

St201209: /* Rechtliche Besonderheiten */

E-Mail-Header

2022-07-16T12:40:51Z

St201209:

E-Mail-Header

2022-07-16T12:40:21Z

St201209:

E-Mail-Header

2022-07-16T12:39:59Z

St201209:

E-Mail-Header

2022-07-16T08:09:14Z

St201209: Die Seite wurde neu angelegt: „== E-Mail Header == Die Elektronische Mail (kurz E-Mail) ist ein zwischen unterschiedlichen Systemen und Architekturen interoperabler Dienst zum versenden ind…“

Datei:Header.png

2022-07-16T07:52:06Z

St201209:

E-Mail Header Beispiel

Datei:Legende.png

2022-07-16T07:47:53Z

St201209:

Legende E-Mail Header

Hauptseite

2022-07-16T07:22:51Z

St201209: /* E */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]