Wie eine E-Mail vom Absender zum Empfänger reist

Sie klicken auf „Senden“, und wenige Sekunden später erscheint die Nachricht am anderen Ende der Welt. Das wirkt sofort und direkt. In Wirklichkeit ist die E-Mail von Server zu Server gereist, ähnlich wie ein Brief vom Briefkasten ins Briefzentrum. Wer diesen Weg versteht, versteht auch, warum es Spam gibt und wie sich seine Herkunft ermitteln lässt.

Eine E-Mail ist ein Brief, kein Telefonanruf

Wenn Sie eine Webseite öffnen, unterhalten sich Ihr Browser und die Website live, wie am Telefon: Der Browser stellt eine Frage, die Website antwortet sofort. Ist die Website ausgefallen, merken Sie es sofort an einer Fehlermeldung.

E-Mail funktioniert anders: Sie ist asynchron, wie die Briefpost. Niemand wartet am anderen Ende der Leitung auf eine Antwort. Jeder Server nimmt die Nachricht entgegen, bewahrt sie auf und reicht sie weiter, sobald er kann. Ist der Server des Empfängers ausgefallen, geht die Nachricht nicht verloren: Der Versandserver versucht es regelmäßig erneut, mehrere Tage lang (oft 4 oder 5). Klappt es dann immer noch nicht, schickt er Ihnen eine Unzustellbarkeitsmeldung zurück, das Gegenstück zu „Empfänger unbekannt“ bei der Post.

Die sechs Etappen der Reise

1. Schreiben. Sie verfassen die Nachricht in Ihrem Mailprogramm. Fachleute nennen es den MUA (Mail User Agent): Das ist Ihr Papier und Ihr Stift.
2. Einwerfen. Das Programm übergibt die Nachricht dem Versandserver Ihres Anbieters, nachdem es Sie per Passwort identifiziert hat. Das ist der gelbe Briefkasten an der Ecke.
3. Die Adresse finden. Der Versandserver schaut sich die Domain des Empfängers an (alles nach dem @) und fragt das Adressverzeichnis des Internets, das DNS, welcher Server die Post für diese Domain annimmt. Diese Angabe heißt MX-Eintrag: Das ist die Postleitzahl der E-Mail.
4. Transportieren. Der Versandserver kontaktiert den Empfangsserver und übergibt ihm die Nachricht über das Protokoll SMTP. Diese Transportserver heißen MTA (Mail Transfer Agent): Das sind die Briefzentren. Manchmal sind es mehrere hintereinander (Spamfilter-Gateway, Firmenserver …). Jeder fügt oben im Header einen Stempel hinzu: eine Zeile Received.
5. Zustellen. Sind die Prüfungen bestanden (Spamfilter, Virenscanner), legt der MDA (Mail Delivery Agent) die Nachricht im richtigen Ordner ab: Posteingang oder Spam. Das ist der Briefträger.
6. Lesen. Der Empfänger holt seine Post mit seinem eigenen Programm ab, das IMAP oder POP spricht, oder mit einem Webmail im Browser.

Drei Wege zum Versenden, eine einzige Route

Eine E-Mail kann an drei verschiedenen Orten starten. Nur der Anfang der Reise ist unterschiedlich:

• Ein Mailprogramm (Thunderbird, Outlook, Apple Mail, die Mail-App auf dem Handy): Es spricht direkt SMTP, die Sprache der E-Mail, mit dem Versandserver.
• Ein Webmail (zum Beispiel Gmail oder Outlook.com im Browser): Ihr Browser spricht HTTP, die Sprache des Webs, mit der Website des Anbieters. Erst der Anbieter übergibt die Nachricht dann per SMTP an seinen eigenen Mailserver.
• Ein Programm auf einem Server: ein in PHP geschriebenes Kontaktformular, ein Onlineshop, der seine Rechnungen verschickt, ein Newsletter … Das Programm übergibt die Nachricht der Mailsoftware des Servers, ohne dass jemand an einer Tastatur sitzt.

In allen drei Fällen landet die Nachricht schließlich bei einem MTA und dann beim MDA des Empfängers. Der Rest der Reise ist genau gleich.

Der berühmte Port 25, und warum Ihr Router ihn sperrt

Ein Server ist wie ein großes Gebäude: Jeder Dienst hat dort seine nummerierte Tür, die man Port nennt. Das Web nutzt Tür 443 (oder 80), und seit 1982 übergeben sich Mailserver die Post über Tür 25.

Ihr Mailprogramm nutzt diese Tür normalerweise nicht: Es liefert seine Nachrichten über Port 587 (oder 465) bei Ihrem Anbieter ab und meldet sich dabei mit Ihrem Passwort an.

Viele Internetanbieter sperren den ausgehenden Port 25 bei Privatanschlüssen. Der Grund ist einfach: Sonst könnte ein mit Schadsoftware infizierter Computer Tausende Spam-Mails direkt an Empfangsserver schicken, ganz ohne Kontrolle. Jeder Haushalt würde zu einem möglichen Spam-Versender. Mit dieser geschlossenen Tür zwingt der Anbieter alle Post über seinen eigenen Versandserver, der den Absender identifiziert und die Zahl der Nachrichten begrenzt.

Auch deshalb mieten Betrüger lieber einen Server oder hacken einen: Dort ist Port 25 offen. Der Ratgeber Phishing: Wie Betrüger ihre E-Mails durchbringen erklärt diese Techniken im Detail.

Die E-Mail des Betrügers nimmt genau denselben Weg

Bei der E-Mail ist alles standardisiert: Überall auf der Welt gelten dieselben Regeln, und genau das erlaubt es jedem, jedem zu schreiben. Eine Betrugs-E-Mail folgt also genau demselben Weg wie eine ehrliche. Nur der Startpunkt ist ein anderer: ein für ein paar Tage gemieteter Server, eine gehackte Website, ein gestohlenes Konto.

Und wie bei einem Brief gibt es auf der einen Seite den Umschlag, mit dem die Server die Nachricht transportieren, und auf der anderen Seite den Brief selbst, mit dem „Von:“-Header, den Sie angezeigt bekommen. Nichts zwingt die beiden, übereinzustimmen. Deshalb lässt sich der angezeigte Absender so leicht fälschen.

Die Received-Stempel der empfangenden Server, und vor allem der Ihres eigenen, sagen dagegen die Wahrheit über die Herkunft der Nachricht. Genau dort sucht Baitback nach der IP-Adresse des Servers, der die E-Mail verschickt hat.

Schon gewusst?

• Die erste E-Mail stammt aus dem Jahr 1971. Der amerikanische Ingenieur Ray Tomlinson schickte sie zwischen zwei Computern, die direkt nebeneinander standen. Er wählte auch das Zeichen @, um den Namen der Person vom Namen des Rechners zu trennen.
• Anfangs keine Umlaute! Das 1982 veröffentlichte Protokoll SMTP transportierte nur einfachen Text mit englischen Zeichen: keine Umlaute, keine Anhänge, keine Bilder. All das kam erst mit der Norm MIME ab 1992: Sie verwandelt jede Datei in Text, damit sie reisen kann. Kurioser Nebeneffekt: Ein Anhang wird unterwegs etwa ein Drittel größer.
• Keine Maximalgröße in der Norm. Die Server legen ihre eigenen Grenzen fest: oft zwischen 20 und 50 MB pro Nachricht, bestimmte Dateitypen verboten (.exe, .js …), ein Speicherkontingent pro Postfach, eine Höchstzahl an Nachrichten pro Tag. Die Norm verlangt nur … dass eine Zeile nicht länger als 998 Zeichen ist.
• Adressen mit Umlauten und Akzenten. Seit 2012 erlaubt eine Norm Adressen wie josé@café.example. Viele Server akzeptieren sie aber noch schlecht.
• Ein Gespräch im Klartext. Server unterhalten sich mit Textbefehlen, die man fast von Hand eintippen könnte. Hier ein vereinfachter Austausch (C: der sendende Server, S: der empfangende Server):

S: 220 mx.destinataire.example ESMTP
C: EHLO mail.expediteur.example
S: 250 mx.destinataire.example
C: MAIL FROM:<alice@expediteur.example>
S: 250 OK
C: RCPT TO:<bob@destinataire.example>
S: 250 OK
C: DATA
S: 354 End data with <CR><LF>.<CR><LF>
C: From: Alice <alice@expediteur.example>
C: Subject: Bonjour !
C:
C: Salut Bob !
C: .
S: 250 OK: queued
C: QUIT

Die Zeilen MAIL FROM und RCPT TO bilden den Umschlag; die Zeile From: gehört zum Brief. Die Nachricht endet mit einer Zeile, die nur einen Punkt enthält.