EML-Viewer und MIME-E-Mail-Decoder

So sehen Sie den Quelltext einer E-Mail an

1. Holen Sie die Rohnachricht aus Ihrem Mailprogramm (siehe Tabelle unten) und fügen Sie sie ein, oder legen Sie die .eml- oder .mht-Datei auf der Seite ab.
2. Die Zusammenfassung zeigt From, To, Cc, Subject, Date und Message-ID, dekodiert. Alle Header listet jeden Header mit dekodiertem und rohem Wert auf.
3. Lesen Sie den Nachrichtentext als reinen Text oder HTML. HTML wird in einer Sandbox angezeigt.
4. Anhänge listet jede Datei mit Name, Typ, Größe und Content-ID auf, mit einer Schaltfläche Herunterladen und bei Bildern einer Vorschau.
5. MIME-Struktur zeigt, wie die Teile verschachtelt sind, was hilft, wenn ein Anhang zu fehlen scheint.

Was der Decoder verarbeitet

• Kodierte Header: RFC-2047-Wörter in Base64 (B) und Quoted-printable (Q), benachbarte Wörter zusammengeführt, jeder Zeichensatz, den der Browser kennt, dazu rohe UTF-8-Header.
• Namen von Anhängen in der Form nach RFC 2231, etwa filename*=UTF-8''Rechnung%20M%C3%A4rz.pdf und aufgeteilte Fortsetzungen filename*0*=.
• Inhalte in base64 und quoted-printable, dekodiert mit dem angegebenen Zeichensatz. f=C3=BCr wird zu für.
• Verschachtelte Nachrichten: Eine weitergeleitete E-Mail, die als message/rfc822 angehängt ist, wird wie die äußere durchlaufen.
• Eingebettete Bilder: cid:-Verweise im HTML werden zu den angehängten Bildern aufgelöst.
• Unvollständige Eingaben: ein einzelner Base64-MIME-Teil, eine komplett Base64-kodierte Nachricht oder ein Multipart-Body, der ohne Header bei --boundary beginnt.

Eine komplett Base64-kodierte Nachricht beginnt meist mit UmV0dXJuLVBhdGg6 (Return-Path:) oder UmVjZWl2ZWQ6 (Received:). Fügen Sie sie so ein, wie sie ist; der Decoder packt sie zuerst aus.

Eine verdächtige Nachricht prüfen

Die Header verraten über einen Phishing-Versuch mehr als der Inhalt. Was Sie unter Alle Header vergleichen sollten:

• From mit Return-Path und Reply-To. Eine Antwortadresse auf einer anderen Domain ist ein klassisches Warnzeichen.
• Authentication-Results, vom empfangenden Server ergänzt: spf=, dkim= und dmarc= mit pass oder fail.
• Received-Zeilen, von unten nach oben gelesen, zeigen den Weg vom sendenden Server bis zu Ihrem.
• Typen der Anhänge: Ein Anhang .html, .iso oder .zip von einem unbekannten Absender verdient Misstrauen, ebenso eine doppelte Endung wie invoice.pdf.html.

Weil externe Inhalte blockiert sind, lädt das Ansehen des HTML-Inhalts hier keine Tracking-Pixel und bestätigt nicht, dass Ihre Adresse gelesen wird. Auch das CSS der Nachricht entfällt, Newsletter sehen also schlichter aus als im Mailprogramm.

Anhänge in Python extrahieren

from email import policy
from email.parser import BytesParser

with open("message.eml", "rb") as f:
    msg = BytesParser(policy=policy.default).parse(f)

print(msg["Subject"])
for part in msg.iter_attachments():
    name = part.get_filename()
    with open(name, "wb") as out:
        out.write(part.get_payload(decode=True))
    print("saved", name)

policy.default dekodiert Header mit Encoded Words, msg["Subject"] ist also bereits lesbar. Im echten Einsatz bereinigen Sie name vor dem Schreiben, denn der Name stammt vom Absender. Mehr dazu, wie Anhänge kodiert werden, steht unter Base64 in E-Mails, und der MIME-Base64-Encoder erzeugt das Format mit 76 Spalten.

Bekannte Grenzen

• Outlook-.msg-Dateien werden nicht unterstützt. Ein Teil winmail.dat (TNEF) wird als Anhang aufgelistet, aber nicht entpackt.
• Links im HTML-Inhalt bewirken absichtlich nichts.
• Nachrichten mit extrem vielen MIME-Teilen werden mit einem Hinweis abgeschnitten.

Häufige Fragen