Uhrzeit von E-Mails werden unterschiedlich dargestellt

[Blackmoon]

Hallo zusammen,
ich habe im DNS einen Eintrag für DMARC Reports. Die erste angegeben E-Mail-Adresse dmarc@test.de liegt auf einem KeyHelp Server (24.2 (Build 3326). Die zweite E-Mail-Adresse ist ein Exchange Online Postfach dmarc@test.org.

Alle 24 Stunden erhalte ich von noreply-dmarc-support@google.com einen Report zu gestellt. In dem Postfach auf dem KeyHelp Server steht als Zeit Stempel im Posteingang Heute um 1:59 Uhr. Als Webmail Client kommt SnappyMail zum Einsatz. Wobei bei Roundcube das Ergebnis das Gleiche ist.Daher schließe ich ein Bug im Webmailer erst einmal aus.

2024-09-28 13_02_37.png (7.74 KiB) Viewed 1759 times

Schau ich die selbe E-Mail in meinem Exchange Online Postfach an, so wird dort als Zeit Stempel "Heute, 12:12 Uhr" angezeigt.

2024-09-28 13_01_41.png (8.46 KiB) Viewed 1759 times

Nachstehend die Informationen aus dem E-Mail-Header von der E-Mail auf dem KeyHelp Server:

Code: Select all

Return-Path: <noreply-dmarc-support@google.com>
Received: from server.domain.de
	by server.domain.de with LMTP
	id mjYGFnDW92YvPgUADhXLDw
	(envelope-from <noreply-dmarc-support@google.com>); Sat, 28 Sep 2024 12:12:00 +0200
Received-SPF: Pass (mailfrom) identity=mailfrom; client-ip=2607:f8b0::f4a; helo=mail-qv1-xf4a.google.com; envelope-from=noreply-dmarc-support@google.com; receiver=test.kh.domain.de 
Received: from mail-qv1-xf4a.google.com (mail-qv1-xf4a.google.com [IPv6:2607:f8b0::f4a])
	by server.domain.de (Postfix) with ESMTPS id AB2E27FD65
	for <dmarc@test.de>; Sat, 28 Sep 2024 12:11:57 +0200 (CEST)
Received: by mail-qv1-xf4a.google.com with SMTP id 6a1803df08f44-6cb461aed30so16366236d6.2
        for <dmarc@test.de>; Sat, 28 Sep 2024 03:11:57 -0700 (PDT)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=google.com; s=20230601; t=1727518317; x=1728123117; darn=test.kh.domain.de;
        h=content-transfer-encoding:content-disposition:to:from:subject
         :message-id:date:mime-version:from:to:cc:subject:date:message-id
         :reply-to;
        bh=Aa5Ko0dXEeEqxU/jTDRcfGFua0Y42jc6O7omPCciw6w=;
        b=H7NhUcsV138MWd0p/iGHOaGa5ACjU/ihjHSMi3+NHo6Ku0LxsYxReeIVXTqeYQrCb7
         3lhgX1baA6MJoC/K7hvSk54oDNZW4g9qtcHULLJDPOAAloj8EFN0EN0lF2/Yu9rlCFn/
         9JkQ==
X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=1e100.net; s=20230601; t=1727518317; x=1728123117;
        h=content-transfer-encoding:content-disposition:to:from:subject
         :message-id:date:mime-version:x-gm-message-state:from:to:cc:subject
         :date:message-id:reply-to;
        bh=Aa5Ko0dXEeEqxU/jTDRcfGFua0Y42jc6O7omPCciw6w=;
        b=jiPDcX247qa4nkQnpHVzTiS6g/IW0Z4D4ntBccI+D3aFMJsjcgMUtqXolGvuFoY8Tr
         tiC6ExEPQruT7Hn15CnUVyum977uCsHBDWAVFIEc1P3A+kF8r4kACdScONGJBANSBneh
         T7VQ==
X-Forwarded-Encrypted: i=1; AJvYcCXRVVhfw8z/VckKt2xev3Iv4UzZ7bD5m8DG7dBc2kqSC5ktEdwYw==@test.kh.domain.de
X-Gm-Message-State: AOJu0Yxhz8H0o8jKACml1sVM/Lc19KQabEb0YI3xu9FfyI4E
	P2YlpelAj9cKl3paZzG2zoc8vkK+LWucZFOAy5jwZ2cWgkOCGAg3j1//+oU0Ag=
X-Google-Smtp-Source: AGHT+IFgW0nWNFsrrolz8BCXEQ6fusfIFu771gN7V1CGDmNGviMGFAYfMTLoVpdi8OSUA==
MIME-Version: 1.0
X-Received: by 2002:a05:6214:c7:6879:4290 with SMTP id
 6a1803df08f44-6cb3b5f2fe3mr106237996d6.20.1727518316775; Sat, 28 Sep 2024
 03:11:56 -0700 (PDT)
Date: Fri, 27 Sep 2024 16:59:59 -0700
Message-ID: <16406426753492077216@google.com>
Subject: Report domain: domain.de Submitter: google.com Report-ID: 16406426753492077216
From: noreply-dmarc-support@google.com
To: dmarc@test.org, dmarc@test.de
Content-Type: application/zip; 
	name="google.com!domain.de!1727395200!1727481599.zip"
Content-Disposition: attachment; 
	filename="google.com!domain.de!1727395200!1727481599.zip"
Content-Transfer-Encoding: base64

Im KeyHelp CP stimmt sowohl Datum/Zeit als auch Zeitzone.

2024-09-28 12_33_16.png (3.92 KiB) Viewed 1768 times

Genau so sieht es auch direkt auf den OS (Ubuntu Server 24.04.1 LTS) aus:

timedatectl
Local time: Sat 2024-09-28 12:34:46 CEST
Universal time: Sat 2024-09-28 10:34:46 UTC
RTC time: Sat 2024-09-28 10:34:46
Time zone: Europe/Berlin (CEST, +0200)
System clock synchronized: yes
NTP service: active
RTC in local TZ: no

Schicke ich mir von vorname.nachname@gmail.com eine Test E-Mail an dmarc@test.de, so wird der korrekte Zeit Stempel im Webmail angezeigt.

Aktuell habe ich keine Idee mehr, wodurch der Anzeigefehler verursacht wird.
Hat jemand von euch sowas schon mal beobachtet? Hat jemand noch eine Idee wodurch das Problem verursacht werden könnte?

/Dani

[Tobi]

Also du wunderst dich warum zwei unterschiedliche Mailserver eine unterschiedliche Uhrzeit für den Mailempfang anzeigen?
Ich frage deswegen nach weil ich dein Problem nach dreimaligem Lesen noch nicht wirklich verstanden habe.
Oder doch ?

Eingehende Mails nehmen im Internet unterschiedliche Wege, selbst wenn Sie per BC versandt werden. Nach dem Empfang durchlaufen eingehende Mails im Zielsystem unterschiedlichste Filter und Scanner.
Zusätzlich dürfte das MS System in einer anderen Zeitzone stehen.

Aus meiner Sicht erklärt das den Zeitunterschied.

[tab-kh]

Meine DMARC-Reports von Google schlagen hier typischrweise so um ca 14:00 (Edit: 12:xx) Uhr auf. Mein Mailclient (Thunderbird) zeigt die in der Liste auch immer mit 1:59 an. Schaut man genauer rein, dann ist die Mail aber tatsächlich um 12 Uhr irgendwas eingegangen. Ich habe das auch schon live beobachtet. Ich bekomme um die Mittagszeit eine Benachrichtigung, dass neue Mail angekommen ist von Google, schaue in Thunderbird und da ist sie mit der Uhrzeit 1:59 einsortiert. Und da ist Keyhelp überhaupt nicht involviert, jedenfalls keiner meiner Keyhelp-Server.

Ich tippe also darauf, dass Keyhelp jedefalls nichts damit zu tun hat, sondern man muss halt mal schauen, welche Uhrzeit Mailclients da eintragen, also aus welcher Headerzeile die das nehmen und in die (ihre!) lokale Zeitzone umrechnen.

Eine andere Beobachtung zum ähnlichen Thema: Einige Monate lang hatte mein damaliger Keyhelp-Mailserver sehr viele der üblichen Spammerangriffe zu verzeichnen und fail2ban war sehr scharf eingestellt. Dadurch waren Tausende von IPs im entsprechenden Jail. Da wurde dann mit dem Eintrag in /etc/cron.daily logwatch mit der höchsten Detailstufe drüber gejagt. In den Logwatch-Mails standen die IPs auch fein säuberlich gelistet inklusive RDNS-Eintrag, sofern vorhanden. Die entsprechenden Mails von logwatch aller meiner Server wurden grundsätzlich immer mit einer Zeit von 6:25 im Thunderbird angezeigt. Ich war hoch erfreut, wie schnell der Mailserver die Unmenge von IPs abgearbeitet hat, von denen er auch jeweils noch den RDNS-Eintrag abgefragen musste. Bis ich mal eines Tages schon morgens um 6:30 Uhr in das entsprechende Postfach geschaut habe. Da war ich erst einmal alarmiert, weil die Logwatch-Mail vom Keyhelp-Mailserver fehlte. Der lief aber immerhin anscheinend normal. Nach einer halben Stunde machte es "Pling" und die Mail war da.In Thunderbird mit 6:25 angezeigt und einsortiert.

Das scheint also eher die Zeit zu sein, die der versendende Server einträgt, wenn er die Mail erzeugt. Logwatch hat also für die Erzeugung der Mail in Wirklichkeit wohl eine gute halbe Stunde gebraucht und nicht etwa nur < 1 Minute . Zeitzonen des Mailclients kommen natürlich auch noch dazu. Das Exchange Postfach verwendet aber offensichtlich für die Anzeige einen anderen Timestamp, vermutlich die Zeit, zu der die Mail tatsächlich empfangen wurde. Denn der Unterschied bei den Minuten der Zeitanzeige ist sicher nicht durch Zeitzonen erklärbar. 12:12 deckt sich ganz gut mit meinen Werten. Der aktuelle DMARC-Report von Google zu einer Domain ist heute um 12:07 beim Mailserver in Hamburg (Webgo) aufgeschlagen, wird aber in Thunderbird mit 1:59 angezeigt.

[Blackmoon]

@tab-kh

Mein Mailclient (Thunderbird) zeigt die in der Liste auch immer mit 1:59 an. Schaut man genauer rein, dann ist die Mail aber tatsächlich um 12 Uhr irgendwas eingegangen.

Genau, der Mailclient (Thunderbird) zeigt die selbe Uhrzeit an, Heute um 01:59 Uhr. Daher habe ich es auch nicht extra erwähnt. Weil es nur mehr Text zum Lesen ist.

Und da ist Keyhelp überhaupt nicht involviert, jedenfalls keiner meiner Keyhelp-Server.

Wo liegt das Postfach in deinem Fall?

Das scheint also eher die Zeit zu sein, die der versendende Server einträgt, wenn er die Mail erzeugt.

Das müsste dann die Zeile "Date: Fri, 27 Sep 2024 16:59:59 -0700". Wenn ich dies um rechne ist es bei uns Samstag 01:59 Uhr.

Witzigerweise werden die SMTP TLS/MTA-STS Reports von noreply-smtp-tls-reporting@google.com mit der korrekten Uhrzeit angezeigt. Sowohl im Exchange Online als auch unter SnappyMail unter KeyHelp.

[Blackmoon]

@Tobi

Also du wunderst dich warum zwei unterschiedliche Mailserver eine unterschiedliche Uhrzeit für den Mailempfang anzeigen?

Es ist eine E-Mail, welche an zwei E-Mail-Adressen von mir geschickt worden ist. Keine Weiterleitung, keine Kopie, etc. Und wie du dem E-Mail-Header entnehmen kannst, sind sämtliche Zeitzone korrekt gesetzt. Um so verwunderlicher eben, dass es bei DMRAC Reports ausschließlich von Google zu dieser Thematik kommt.

Aus meiner Sicht erklärt das den Zeitunterschied.

Es ist für dich also völlig normal, dass in deinem E-Mail Clients E-Mails chronologisch falsch sortiert sind, weil der Zeit Stempel nicht korrekt ausgewertet wird. Kann ich fast nicht glauben...

[tab-kh]

@tab-kh

Und da ist Keyhelp überhaupt nicht involviert, jedenfalls keiner meiner Keyhelp-Server.

Wo liegt das Postfach in deinem Fall?

Das Postfach liegt bei Webgo in ihrem Hamburger Rechenzentrum. Da läuft auch kein Keyhelp.

[Tobi]

Sorry, dann habe ich das Problem wirklich nicht verstanden.

[Blackmoon]

Dafür brauchst du dich nicht entschuldigen. Ich kann kompliziert sein.
Ich habe nun bei den Postmastern bei Google einen Support Case erstellt. Mal schauen, was die dazu meinen.