Wie der Scam‑E‑Mail‑Analyzer funktioniert

Der Scam‑E‑Mail‑Analyzer lässt Sie eine einzelne .msg- oder .eml-Datei (bis zu 5 MB) hochladen und sofort ein Bildschirm‑Urteil erhalten – Sicher, Verdächtig, Gefährlich oder Unbekannt – zusammen mit knappen Befunden. Pro Anfrage darf nur eine Datei eingereicht werden; eine zweite Datei wird mit „Only a single file may be uploaded“ abgelehnt. Dateien anderer Typen werden mit „Only .msg and .eml files are supported“ abgelehnt, und nicht lesbare Dateien geben „Could not parse this file — it may be corrupted or password‑protected“ zurück.

Nutzungs‑Limits

Kostenlose Nutzer können bis zu fünf Dateien pro Tag analysieren, ein kostenpflichtiges Abonnement erhöht das Limit auf fünfzehn. Bei Erreichen des Limits zeigt das Tool einen Dialog, der die kostenlosen und Premium‑Stufen vergleicht. Nach Anzeige eines Ergebnisses können Sie eine neue Analyse starten, indem Sie die Schaltfläche „Analyze Another File“ klicken, wodurch die Oberfläche zurückgesetzt wird.

Urteilsbestimmung

Das Urteil beginnt bei Sicher und wird nur – nie gesenkt – durch das schwerste Ergebnis in der E‑Mail erhöht. Die vier möglichen Ergebnisse sind:

• Sicher: keine technischen oder KI‑basierten Befunde erhöhen das Niveau.
• Verdächtig: mindestens ein Befund mit Verdächtig-Schwere (z. B. SPF‑Fehler, verdächtiger Anhangsname, nicht passende Link‑Anzeige).
• Gefährlich: irgendein Gefährlich-Befund (z. B. DKIM‑ oder DMARC‑Fehler, Makro‑aktiviertes Office‑Dokument, Widerspruch zwischen Body und Anhang, KI‑erkanntes Impersonation).
• Unbekannt: die KI‑Überprüfung konnte kein Urteil fällen und keine technischen Prüfungen lieferten ein Ergebnis.

Jedes Urteil wird von kurzen Tags begleitet, die die auslösenden Prüfungen benennen. Wenn ausschließlich die KI die Entscheidung trifft, lautet der Tag ai-flagged; bei rein unentschiedener KI‑Bewertung ist der Tag inconclusive. Ein zusammenklappbarer Vollbericht enthält eine leicht verständliche Erläuterung und eine Liste aller einzelnen Befunde, gekennzeichnet nach Schweregrad (Informativ, Verdächtig, Gefährlich) und Herkunft (technische Prüfung oder KI‑Review).

Technische Prüfungen

Absender‑Authentifizierung

Der Analyzer liest die SPF‑, DKIM‑ und DMARC‑Ergebnisse, die bereits vom empfangenden Server protokolliert wurden. Es werden keine Live‑DNS‑Abfragen durchgeführt. Ein DKIM‑ oder DMARC‑Fehler wird als Gefährlich gewertet, ein SPF‑Fehler als Verdächtig, und das Fehlen irgendeines Authentifizierungs‑Records wird als „nicht verifizierbar“ gemeldet, ohne das Urteil zu beeinflussen. Existieren mehrere Authentifizierungs‑Records, wird der dem Empfänger am nächsten liegende verwendet und sein Quell‑Server im Bericht angezeigt.

Anhangs‑Prüfungen

Anhangsdateinamen werden auf 22 bekannte ausführbare oder Skript‑Erweiterungen geprüft (z. B. .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Ein Treffer wird als Verdächtig markiert. Doppelte Erweiterungen wie invoice.pdf.exe werden ausdrücklich als „eine gängige Technik, ausführbare Dateien als Dokumente zu tarnen“ gemeldet. Makro‑aktivierte Office‑Dateien (.docm, .xlsm, .pptm) werden ebenfalls als Verdächtig gekennzeichnet. Das Tool vergleicht die tatsächliche Dateisignatur jedes Anhangs mit seiner deklarierten Erweiterung; eine Diskrepanz wird als Verdächtig gemeldet, wobei sowohl der behauptete als auch der erkannte Typ aufgeführt werden. Moderne Office‑Archive (.docx, .xlsx) werden korrekt erkannt und nicht als maskierte Archive markiert. Anhangsinhalte verlassen nie den Server und werden nicht an das KI‑Modell gesendet; die KI erhält nur den Dateinamen und den deklarierten Typ.

Link‑Prüfungen

Jeder Hyperlink im E‑Mail‑Body wird auf eine Diskrepanz zwischen angezeigter Adresse und tatsächlicher Ziel‑URL untersucht. Sieht der sichtbare Text wie eine Web‑Adresse oder Domain aus und weicht davon ab, wird der Link als Verdächtig gekennzeichnet und beide Hosts angezeigt. Einfacher Call‑to‑Action‑Text wie „Click here“ löst diese Prüfung nie aus, sodass normale Schaltflächen nicht markiert werden. Links werden nie besucht und es wird kein externer Reputation‑Dienst konsultiert.

KI‑Review

Zusätzlich zu den technischen Prüfungen verarbeitet ein einzelner KI‑Review Betreff, Klartext‑Body, Absenderadresse, angezeigten Absendernamen, Anhangsliste und alle technischen Befunde. Die KI sucht nach nicht übereinstimmenden Anzeigenamen, Marken‑Typosquatting, Look‑alike‑Domains und Widersprüchen zwischen behaupteten und tatsächlichen Anhängen. Jeder Widerspruch zwischen Body und Anhang wird automatisch als Gefährlich klassifiziert. Die KI erzeugt eine leicht verständliche Erzählung für den oberen Teil des Vollberichts, die sich an nicht‑technische Nutzer richtet. Kann die KI‑Review nicht abgeschlossen werden, aber technische Prüfungen haben bereits Befunde geliefert, wird das technische Urteil zusammen mit einem Hinweis angezeigt, dass die KI‑Analyse nicht verfügbar war. Kann die KI nicht laufen und gibt es keine technischen Befunde, schlägt die Anfrage fehl, anstatt ein falsches „Sicher“-Ergebnis zurückzugeben.

Transparente Einschränkungen

• Keine Live‑DNS‑Nachprüfung von SPF-, DKIM- oder DMARC‑Records.
• Makro‑aktivierte Dokumente werden markiert, ihr Makrocode wird jedoch nicht extrahiert oder analysiert.
• Anhänge werden nie ausgeführt, in einer Sandbox geöffnet oder von einer Antiviren‑Engine gescannt.
• Links werden nur als Text analysiert; sie werden nicht verfolgt und es wird keine Reputationsdatenbank verwendet.