Versteckte Metadaten in E-Mails und Anhängen anzeigen (.eml und .msg)

Du kannst die versteckten Metadaten einer E-Mail und jeder angehängten Datei ansehen, indem du die .eml oder .msg-Datei in einen Metadaten-Viewer hochlädst, der die Nachricht als strukturierten Baum liest, nicht nur als Text. Der kostenlose E-Mail-Metadaten-Viewer von PDFengine ist genau dafür gebaut: Er zeigt die vollständigen Kopfzeilen, öffnet dann jeden Anhang und legt dessen eingebetteten Autor, die Software und die Erstellungsdaten offen, und er klappt sogar eine darin versteckte weitergeleitete E-Mail auf. Kein Konto, keine Installation, und die Datei wird gelöscht, sobald die Metadaten ausgelesen sind.

Laut DLA Piper stieg die Zahl der Meldungen von Datenschutzverletzungen in Europa bis Januar 2026 auf 443 pro Tag, ein Anstieg von 22 % gegenüber dem Vorjahr (DLA Piper, 2026). Vieles von dem, was aus einer Organisation herausgelangt, wird nie geprüft, und Anhänge sind der blinde Fleck.

Das Wichtigste in Kürze

• Lade eine .eml oder .msg-Datei hoch, um E-Mail-Kopfzeilen, Dateimetadaten pro Anhang und eine verschachtelte weitergeleitete E-Mail in einem einzigen Baum zu lesen, ohne Outlook.

• Das eingebettete Erstellungsdatum in einem PDF- oder Word-Anhang bleibt beim Versand per E-Mail erhalten. So kannst du prüfen, wann eine Datei tatsächlich erstellt wurde, selbst wenn sich das sichtbare Download-Datum ändert.

• Anhänge enthalten vor dem Versand Autorennamen, Firma, Anzahl der Überarbeitungen, Bearbeitungszeit, frühere Dateinamen und GPS-EXIF-Daten.

• PDFengine gibt die SPF-, DKIM- und DMARC-Ergebnisse des empfangenden Servers so wieder, wie sie gespeichert sind, ohne die kryptografischen Prüfungen erneut auszuführen.

• Die Niederlande führen Europa mit 39.773 Meldungen von Datenschutzverletzungen an (DLA Piper, 2026), ein Hinweis darauf, dass Datenhygiene, einschließlich Metadaten, unter Beobachtung steht.

Welche versteckten Metadaten stecken in einer E-Mail und ihren Anhängen?

Jede E-Mail trägt zwei Schichten versteckter Daten: die Transportmetadaten in den Kopfzeilen und die Dateimetadaten, die in jedem Anhang stecken. Forensiker verlassen sich seit zwei Jahrzehnten darauf. Der Serienmörder BTK wurde 2005 identifiziert, nachdem die Metadaten eines wiederhergestellten Word-Dokuments als letzten Autor „Dennis“ und als Organisation „Christ Lutheran Church“ auswiesen (Forensics Colleges).

Die Kopfzeilen-Schicht ist der Umschlag. Sie hält Von, An, Betreff, Datum, die Message-ID und die vollständige Transportkette fest: jede Received-Station, die die Nachricht auf dem Weg zu dir durchlaufen hat. Außerdem enthält sie die SPF-, DKIM- und DMARC-Ergebnisse, die der empfangende Mailserver notiert hat.

Die Anhangsschicht ist der Inhalt. Ein PDF speichert seinen Autor, die erzeugende Software sowie Erstellungs- und Änderungsdatum in XMP. Ein Bild enthält EXIF-Daten, manchmal auch GPS-Koordinaten. Ein Office-Dokument hält Autor, Firma, Anzahl der Überarbeitungen und die gesamte Bearbeitungszeit fest. Die meisten E-Mail-Programme zeigen dir nichts davon.

Der rekursive Baum: außen der E-Mail-Knoten mit seinen Kopfzeilen, darin jeder Anhang mit seinen eigenen eingebetteten Metadaten und eine verschachtelte weitergeleitete E-Mail, wie bei einer Matroschka.

Der Viewer von PDFengine ordnet alles als rekursiven Baum an. Die E-Mail ist der äußere Knoten. Jeder Anhang wird zu einem untergeordneten Knoten mit seinen vollständigen Dateimetadaten. Ist ein Anhang selbst eine weitergeleitete E-Mail (ein message/rfc822-Teil), öffnet der Viewer sie eine Ebene tief. Jeder Knoten erhält außerdem einen SHA-256-Fingerabdruck, den du später mit dem Fingerabdruck-Tool pro Knoten.

Wie liest du E-Mail-Kopfzeilen ohne Outlook oder E-Mail-Programm?

Zum Lesen von E-Mail-Kopfzeilen brauchst du kein Outlook. Nach unseren Tests geht es am schnellsten, die Nachricht als Datei zu exportieren und in einem Viewer zu öffnen, der die Struktur für dich auswertet. In Gmail speicherst du die Rohnachricht über „Original anzeigen“ (Google); in Outlook speicherst du das Element als .msg. Anschließend lädst du diese Datei hoch.

Frag im Forum der Linux Foundation, wie man EML-Dateien samt Anhängen liest, und die Antwort lautet immer: „Du brauchst ein E-Mail-Programm“ (Linux Foundation Forum). Brauchst du nicht. Header-Analyzer wie MXToolbox werten Routing und Authentifizierungsergebnisse gut aus, hören aber beim Umschlag auf. Was in den Anhängen steckt, ignorieren sie komplett.

Der Viewer von PDFengine schließt diese Lücke. Lade eine .eml oder .msg-Datei hoch, und du kannst die Kopfzeilen und die Metadaten jedes Anhangs online in einem Durchgang lesen. Du kannst auch die Metadaten einer .msg-Datei ohne installiertes Outlook öffnen, was allen hilft, die Outlook-Exporte erhalten, aber in einer anderen E-Mail-Umgebung arbeiten. Exportiere das Ergebnis als JSON-Baum oder als baumfähige CSV-Datei, wenn du einen Nachweis brauchst.

Worin unterscheidet sich das Ansehen von Metadaten von der Umwandlung einer E-Mail in PDF?

Metadaten ansehen und eine E-Mail umwandeln sind zwei verschiedene Aufgaben, und es hilft, sie auseinanderzuhalten. Unsere frühere Anleitung E-Mail mit Kopfzeilen in PDF umwandeln macht aus einer Nachricht ein lesbares, archivierbares PDF-Dokument, bei dem die Kopfzeilen auf der Seite gedruckt sind. Dabei geht es darum, einen festen Nachweis zu erzeugen, den du ablegen oder teilen kannst.

Der Metadaten-Viewer geht in die entgegengesetzte Richtung. Er prüft die Originaldatei und wandelt sie nie um. Nichts wird gerendert, nichts verflacht, und es entsteht kein neues Dokument. Du liest, was die Nachricht bereits enthält, statt sie neu zu verpacken.

Die Umwandlung beantwortet die Frage „Wie bewahre ich eine saubere Kopie dieser E-Mail für meine Akte auf?“ Die Prüfung beantwortet die Frage „Was verrät diese E-Mail und jede Datei darin tatsächlich?“ Juristische Teams brauchen oft beides, in dieser Reihenfolge: erst prüfen, dann die Version umwandeln, die sie aufbewahren wollen.

Wie prüfst du, wann ein PDF-Anhang tatsächlich erstellt wurde?

Das tatsächliche Erstellungsdatum eines PDF-Anhangs prüfst du, indem du seine eingebetteten Metadaten liest, statt dem Datum zu vertrauen, das dein Computer anzeigt. Wenn du einen Anhang speicherst, überschreibt dein Betriebssystem das sichtbare Dateisystemdatum mit dem Zeitpunkt deines Downloads. Das in der Datei gespeicherte Erstellungsdatum übersteht den Weg per E-Mail unverändert (Meridian Discovery). In Streitfällen macht dieser Unterschied viel aus.

Der erhalten gebliebene Zeitstempel entlarvt Rückdatierungen. Behauptet ein Vertrags-PDF ein Erstellungsdatum im Januar, die E-Mail, die es geliefert hat, trägt aber Received-Stationen und einen Date-Kopfzeile vom März, ist die Abweichung im Baum sichtbar. Forensiker halten die eingebetteten Anhangsmetadaten gerade deshalb für verlässlicher als das Dateisystemdatum, weil sie den Versand per E-Mail überdauern (ArcherHall).

Um zu sehen, wer ein Dokument erstellt hat, vergleichst du auf dieselbe Weise. Das Autorenfeld des Anhangs, die erzeugende Software und das Änderungsdatum stehen in einer Ansicht neben den eigenen Zeitstempeln der E-Mail. Kein Hin- und Herkopieren von Daten zwischen Fenstern, kein Raten. Du liest die eingebetteten Werte im Vergleich zur Transportkette, und die Abweichung, falls es eine gibt, fällt sofort auf.

Was gibst du bei jedem Anhang preis, den du verschickst?

Bevor du auf „Senden“ klickst, lohnt sich ein Blick darauf, was dein Empfänger sehen kann. Dokumente enthalten routinemäßig Autorennamen, die Firma, die Person, die zuletzt gespeichert hat, die Anzahl der Überarbeitungen, die gesamte Bearbeitungszeit, frühere Dateinamen und bei Fotos GPS-Koordinaten aus den EXIF-Daten (EDUCAUSE, 2017). Nichts davon ist sichtbar, wenn du die Datei normal öffnest, und doch wandert alles mit dem Anhang mit.

Zwei Fälle zeigen, was das kosten kann. Das „Dodgy Dossier“ der britischen Regierung von 2003 ließ sich zu seinen Autoren zurückverfolgen, weil die Metadaten der Word-Datei die Kette der Bearbeiter offenlegten (North Carolina Bar, 2022). 2004 enthüllten Metadaten in einem Schriftsatz der SCO Group, dass die Klage ursprünglich gegen die Bank of America aufgesetzt worden war, so dieselbe Analyse der North Carolina Bar.

Für ein juristisches Team oder eine Compliance-Abteilung ist die Lehre eindeutig: Prüfe deine eigenen ausgehenden Anhänge so, wie es eine Gegenpartei täte. Lass die Datei durch den Viewer laufen, sieh dir Autor, Firma und Überarbeitungsverlauf an, und wenn etwas das Haus nicht verlassen sollte, entferne die Metadaten, bevor es das tut. Hast du gesehen, was du preisgibst? Entferne es vor dem Versand.

Können E-Mail-Metadaten beweisen, wer eine Nachricht wirklich gesendet hat?

E-Mail-Metadaten sind ein starkes Indiz, aber kein kryptografischer Beweis, und wer diese Grenze offen benennt, schafft Vertrauen. Metadaten sind lesbar und oft ausschlaggebend, lassen sich aber auch fälschen. Ein entschlossener Absender kann Kopfzeilen-Felder und Dokumenteigenschaften bearbeiten. Der Baum sagt dir also, was die Datei enthält, nicht ob jeder Wert echt ist.

PDFengine ist bei dieser Grenze eindeutig: Der Viewer gibt die SPF-, DKIM- und DMARC-Ergebnisse so wieder, wie sie der empfangende Mailserver in der Kopfzeile Authentication-Results festgehalten hat, ohne die kryptografischen Prüfungen erneut auszuführen. Hat der Server „dkim=pass“ geschrieben, zeigt der Viewer „dkim=pass“.

Ein fehlendes Feld bedeutet, dass die Information schlicht nicht in der Datei steht, nicht dass das Tool versagt hat. Das Lesen von Metadaten liefert dir ein klares, exportierbares Bild und einen belastbaren Ausgangspunkt. Für sich allein beglaubigt es aber nicht, dass eine E-Mail echt ist.

Wie schneidet der Viewer von PDFengine im Vergleich zu Adobe Acrobat ab?

Adobe Acrobat kann Metadaten lesen, aber nur von einem einzelnen PDF, das du bereits herausgelöst hast. Das Fenster „Datei“ und dann „Eigenschaften“ zeigt Titel, Autor und Erstellungsdatum dieses einen Dokuments. Eine .eml oder .msg-Datei kann Acrobat nicht öffnen, keine E-Mail-Kopfzeilen auswerten, keine verschachtelte E-Mail aufklappen, keine EXIF-Daten eines Bildanhangs lesen, keine Office-Eigenschaften lesen und keinen Baum exportieren. Acrobat beantwortet die Frage „Wer hat dieses eine PDF erstellt?“ Der E-Mail-Viewer beantwortet die Frage „Was steckt in dieser ganzen E-Mail und in jeder Datei darin?“

Für ein einzelnes Dokument, das du schon in der Hand hast, reicht Acrobat. Für eine ganze E-Mail mit Anhängen brauchst du ein Tool, das für den Baum gebaut ist.

Häufig gestellte Fragen

Wie sehe ich Metadaten einer Datei, die mir jemand per E-Mail geschickt hat?

Speichere die E-Mail als .eml oder .msg-Datei und lade sie dann in den kostenlosen Viewer hoch. Er liest die Nachricht als Baum und zeigt für jeden Anhang den eingebetteten Autor, die Software und die Erstellungsdaten. Viele stoßen auf dieses Problem, wenn eine .eml-Datei in einem Postfach ohne Outlook landet. Die Datei wird direkt nach dem Auslesen der Metadaten gelöscht.

Wie öffne ich die Metadaten einer .msg-Datei ohne Outlook?

Du brauchst kein Outlook. Lade die .msg-Datei in einen Viewer hoch, der das Outlook-Format direkt auswertet, und er liefert dir die Kopfzeilen plus die Dateimetadaten jedes Anhangs. Header-Analyzer hören beim Umschlag auf; ein browserbasierter Reader öffnet, was darin steckt, ohne dass du ein E-Mail-Programm installieren musst.

Bleiben Metadaten in E-Mail-Anhängen nach dem Versand erhalten?

Ja. Eingebettete Dokumentmetadaten, einschließlich des internen Erstellungsdatums und des Autors, wandern unversehrt mit dem Anhang durch die E-Mail. Dein Betriebssystem überschreibt womöglich das sichtbare Dateidatum mit dem Download-Zeitpunkt, aber die eingebetteten Werte bleiben erhalten (ArcherHall). Weil sie erhalten bleiben, kannst du das tatsächliche Erstellungsdatum eines PDFs auch nach dem Download noch prüfen.

Kann ich Kopfzeilen und Anhänge einer .eml-Datei online lesen?

Ja. Lade die .eml-Datei in einen webbasierten Viewer hoch und lies Kopfzeilen und alle Anhänge in einem Durchgang, ohne etwas zu installieren. Open-Source-Projekte wie eml_analyzer zeigen, wie groß die Nachfrage nach dem Lesen ohne E-Mail-Programm ist (GitHub), und der Viewer von PDFengine ergänzt Dateimetadaten pro Anhang und eine Ebene verschachtelter E-Mails.

Wo stehen die Fotometadaten eines Bildes, das ich per E-Mail erhalten habe?

Sie stehen im EXIF-Block des Bildes, den der Viewer als Knoten unter der E-Mail anzeigt, manchmal einschließlich GPS-Koordinaten. Beachte, dass manche Absender und Plattformen EXIF entfernen; ein fehlendes Feld bedeutet, dass die Daten nicht in der Datei standen, die du erhalten hast.

Wenn du mit E-Mail-Beweisen, Datenschutzprüfungen oder der Kontrolle ausgehender Dokumente zu tun hast, beginne mit dem kostenlosen E-Mail-Metadaten-Viewer und entferne die Metadaten aus allem, bevor es dein Büro verlässt. Für E-Discovery-Mengen gilt bei der Massenextraktion und der API: 1 Credit pro Metadatenknoten (der Text, jeder Anhang und eine verschachtelte E-Mail zählen jeweils als Knoten), eine E-Mail mit drei Teilen kostet also 3 Credits; der kostenlose Viewer deckt einzelne Dateien ab.

Von Daan van Tongeren, Gründer von PDFengine, wo er Werkzeuge für E-Mail-Archivierung und Metadaten-Forensik entwickelt.