Eine Mail mit dem Betreff “Ihr WinHero Bonus wartet” landet im Postfach, dazu ein Willkommenspaket von 325 % bis 3.750 € Bonusgeld und 500 WinHero Freispiele. Wer solche Gewinnversprechen bekommt, sollte nicht auf den Button klicken, sondern zuerst einen Blick in den Quelltext der Nachricht werfen. Genau dort entscheidet sich oft, ob eine angebliche WinHero Casino-Mail echt ist oder nur ein Phishing-Köder mit aufgeblasenen Zahlen.

Der Grund für die Skepsis ist handfest: Ein seriöses Willkommenspaket dieser Größe hängt an Bonusbedingungen, Umsatzanforderungen und Einzahlungsstufen, die kein Newsletter in drei Sätzen abhandelt. Die Masche funktioniert trotzdem, weil sie mit Zeitdruck und einem fast echten Absender arbeitet. Wer Return-Path und Received lesen kann, entlarvt die meisten Fälschungen in unter zwei Minuten, ohne auf irgendeinen Link zu tippen.

Die folgenden Schritte zeigen, wie Sie den vollständigen Header in Gmail, Outlook und Thunderbird öffnen, die Return-Path-Adresse gegen die echte Domain abgleichen und die Received-Kette von unten nach oben durchgehen. Am Ende steht kein Bauchgefühl, sondern ein Befund: entweder eine plausible Zustellung oder eine Serverkette, die zu einer angeblichen WinHero Bonus-Mail schlicht nicht passt. Erst danach lohnt sich der Blick auf WinHero Lizenz und offiziellen Support.

Verdächtige Gewinnversprechen per E-Mail zuerst richtig einordnen

Die Mail liegt seit dem Frühstück im Postfach: “Ihr WinHero Bonus wartet, 325 % bis 3.750 € plus 500 WinHero Freispiele.” Wer nüchtern nachrechnet, stutzt. Ein Willkommenspaket dieser Größe verteilt kein seriöser Anbieter ohne Einzahlung, und schon gar nicht per Rundmail an Adressen, die nie ein Konto eröffnet haben. Genau darauf setzt der Köder: Er setzt auf Gier und Zeitdruck, nicht auf Logik.

Warum das WinHero-Bonus-Angebot als Köder funktioniert

Die Masche lebt von einem echten Namen. WinHero Casino existiert, bietet tatsächlich einen Willkommensbonus von 325 % bis 3.750 € über mehrere Einzahlungsstufen und gewährt 500 Freispiele auf vier Einzahlungen. Phishing-Kampagnen kopieren diese Zahlen, weil sie glaubwürdig klingen und sich leicht nachschlagen lassen. Der Unterschied liegt im Detail: Das echte Angebot ist an Bonusbedingungen gebunden, eine Umsatzanforderung von 45x nur mit Bonusgeld, einen Auszahlungsdeckel und eine Registrierung mit Verifizierung. Eine Mail, die den Bonus ohne diese Fußangeln verspricht, beschreibt ein Produkt, das es nicht gibt.

Auch der Betreiber taucht im Kleingedruckten selten auf. Wer nachschaut, findet einen Betreiber aus Costa Rica und keine GGL-Erlaubnis. Das ist kein Beweis für Betrug, aber ein Grund, Angaben nicht ungeprüft zu übernehmen. Ein Phishing-Absender nutzt genau diese Wissenslücke: Er verlässt sich darauf, dass niemand die WinHero Lizenz und die Bonusbedingungen gegeneinander abgleicht.

Bevor Sie irgendetwas anklicken, sortieren Sie die Mail nach harten Kriterien. Diese fünf Punkte filtern den Großteil der Fälschungen aus:

• Absenderdomain: Steht im sichtbaren Absender wirklich die offizielle Domain, oder eine Variante mit Bindestrich, Zusatzwort oder anderer Endung?
• Anrede und Daten: Fehlt der Kontoname, obwohl ein Casino ihn kennen müsste? Wird ein Guthaben genannt, das nie eingezahlt wurde?
• Links: Führt der Button beim Darüberfahren auf eine fremde Adresse statt auf die Casino-Domain?
• Zeitdruck: Wird eine Frist von wenigen Stunden gesetzt, oft kombiniert mit “letzte Mahnung” oder “Konto wird gesperrt”?
• Datenerhebung: Werden Passwort, Ausweiskopie oder Kartendaten direkt in der Mail oder auf einer verlinkten Seite abgefragt?

Trifft einer dieser Punkte zu, behandeln Sie die Mail als nicht authentisch, bis das Gegenteil belegt ist. Der nächste Schritt ist keine Antwort an den Absender, sondern ein Blick in den technischen Kopf der Nachricht. Dort stehen Return-Path und Received-Zeilen, und die lügen deutlich schlechter als der Text im Body.

E-Mail-Header öffnen: So finden Sie Return-Path und Received

Header öffnen ist der Moment, in dem aus einem Bauchgefühl ein Befund wird. Die sichtbare Absenderzeile einer angeblichen WinHero Bonus-Mail sagt fast nichts aus, denn der Anzeigename lässt sich frei setzen. Erst der vollständige Header zeigt, welcher Server die Nachricht tatsächlich eingeliefert hat und wohin eine Antwort laufen würde.

Schritt für Schritt: Gmail, Outlook und Thunderbird

In Gmail öffnen Sie die verdächtige Mail, klicken rechts oben auf die drei Punkte und wählen “Original anzeigen” (bei englischer Oberfläche “Show original”). Es öffnet sich ein neuer Tab mit dem kompletten Quelltext. Suchen Sie mit Strg+F nach “Return-Path:” und “Received:”. Gmail setzt den eigenen Received-Eintrag an die oberste Stelle, die älteste Zeile steht ganz unten.

In Outlook (Web und Desktop) doppelklicken Sie die Mail, damit sie in einem eigenen Fenster aufgeht. Dann folgen Sie unter “Datei” dem Pfad “Eigenschaften” und sehen im Feld “Internetkopfzeilen” den vollständigen Header. In der klassischen Desktop-Version geht das auch über “Nachricht” und “Optionen”. Kopieren Sie den Block in einen Texteditor, sonst verlieren Sie beim Scrollen die unteren Received-Zeilen.

In Thunderbird markieren Sie die Mail, drücken Strg+U und wählen “Quelltext anzeigen”. Alternativ über “Ansicht”, “Nachrichtenkopf” und “Alle”. Der Quelltext-Tab zeigt Return-Path und sämtliche Received-Einträge in der Reihenfolge, in der sie beim Empfang angekommen sind.

Isolieren Sie anschließend nur die relevanten Zeilen. Suchen Sie den letzten “Return-Path:”-Eintrag vor dem Body, also vor der ersten Zeile mit “Content-Type” oder lesbarem Text. Notieren Sie jede “Received:”-Zeile einzeln, mit Server-Name, Zeitstempel und der Angabe “from” beziehungsweise “by”. Alles andere, also MIME-Grenzen, HTML-Quellcode und Tracking-Pixel, blenden Sie aus. Wer den Header in einen Editor kopiert, kann die Zeilen nummerieren und die Kette sauber von unten nach oben abarbeiten.

Ein Detail, das viele übersehen: In Gmail steht ganz oben oft ein “Authentication-Results”-Block mit SPF, DKIM und DMARC. Diese Zeilen gehören zum Befund dazu, ersetzen aber nicht die Prüfung von Return-Path und Received. Halten Sie beide Bereiche getrennt, sonst vermischen sich Absenderauthentifizierung und tatsächlicher Zustellweg.

Return-Path prüfen: gefälschte Absender und Lookalike-Domains entlarven

Der Return-Path steht im Header meist ganz oben oder ganz unten, je nach Client, und trägt ein Label wie “Return-Path:”, “Envelope-From:” oder “X-Envelope-From:”. In diesem Feld steht die Adresse, an die Bounces gehen, also die technische Absenderadresse. Sie wird vom versendenden Mailserver gesetzt, nicht vom Anzeigenamen in der Inbox. Genau deshalb lohnt der Blick: Ein angeblicher WinHero Bonus über 325 % bis 3.750 € kann im sichtbaren “Von”-Feld perfekt aussehen, während der Return-Path auf eine völlig andere Domain zeigt.

Vergleichen Sie zuerst die Domain hinter dem @-Zeichen im Return-Path mit der Domain, die WinHero Casino tatsächlich nutzt, etwa unter https://winhero-online.de/. Auffällig wird es, wenn dort Zahlen, Bindestriche oder angehängte Wörter auftauchen: winhero-bonus.com, winhero.casino-promo.net, winhero-support.info oder winherro.com mit doppeltem r. Solche Konstruktionen sind das Standardwerkzeug für Lookalike-Domains. Ein seriöser Absender schickt Gewinnbenachrichtigungen nicht über eine Wegwerf-Domain, die drei Tage später abgeschaltet wird.

Prüfen Sie auch die Subdomain-Struktur. Steht im Return-Path etwa mail.winhero.de und im sichtbaren Absender support@winhero.de, passt das zusammen. Lautet der Return-Path dagegen bounce@winhero.de.secure-mailer-42.ru, gehört die eigentliche Domain secure-mailer-42.ru und nicht WinHero. Die Leserichtung ist entscheidend: Die Domain direkt vor der letzten Endung ist die maßgebliche, alles davor ist Subdomain und kann frei erfunden werden.

• Return-Path notieren und mit dem sichtbaren Absender vergleichen. Weichen beide Domains ab, ist das ein starkes Warnsignal.
• Domain von rechts nach links lesen: die letzten zwei Segmente vor der Top-Level-Domain zählen.
• Zeichen auf Verwechslung prüfen: rn statt m, 0 statt o, l statt I, zusätzliche Bindestriche.
• Prüfen, ob die Domain überhaupt eine Website mit Impressum und Glücksspiellizenz hat. Fehlt beides, ist die Mail erledigt.
• Bei Gmail den Header über “Mehr” und “Original anzeigen” öffnen, bei Outlook über “Eigenschaften” und “Internetkopfzeilen”.

Ein weiterer Test: Antworten Sie nicht, sondern leiten Sie die Mail an sich selbst weiter und schauen Sie, welche Adresse der Client als Empfänger der Antwort vorschlägt. Häufig erscheint dort eine ganz andere Domain als im sichtbaren Absender. Das bestätigt den Verdacht schnell und ohne Risiko.

Bleibt der Return-Path unauffällig, ist das noch kein Freibrief. Phishing-Dienste mieten manchmal echte Domains mit sauberem Return-Path und fälschen nur den Inhalt. Die zweite Prüfinstanz sind deshalb die Received-Zeilen, die im nächsten Schritt zeigen, über welche Server die Mail tatsächlich gelaufen ist.

Received-Zeilen lesen: Serverkette und Zustellweg nachvollziehen

Die Received-Zeilen sind der eigentliche Prüfstein, denn sie dokumentieren jeden Server, der die Mail weitergereicht hat. Gelesen wird immer von unten nach oben: Der unterste Eintrag stammt vom ersten fremden Mailserver, der die Nachricht angenommen hat, der oberste vom letzten System vor Ihrem Postfach. Jede Zeile beginnt typischerweise mit “Received: from [Absender-Server] by [Empfänger-Server]”, gefolgt von einem Zeitstempel und oft einer IP-Adresse in Klammern.

Nehmen Sie sich eine verdächtige Mail mit angeblichem WinHero Bonus über 325 % bis 3.750 € vor und arbeiten Sie sich nach oben. Prüfen Sie bei jedem Eintrag drei Dinge: den Servernamen, die IP-Adresse und die Uhrzeit. Der unterste Server sollte halbwegs plausibel zum angeblichen Absender passen. Steht dort ein generischer Hostname wie “unknown” oder eine IP aus einem Rechenzentrum, das nichts mit dem angeblichen Absender zu tun hat, ist das ein erstes Warnzeichen.

Die Zeitstempel verraten mehr, als viele denken. Die Differenz zwischen dem untersten und dem obersten Received-Eintrag zeigt, wie lange die Mail unterwegs war. Bei einer echten Benachrichtigung über WinHero Freispiele sind das meist Sekunden bis wenige Minuten. Liegen zwischen dem ersten und letzten Eintrag Stunden oder gar Tage, oder widersprechen sich die Uhrzeiten (ein oberer Eintrag ist älter als der untere), wurde die Mail mit hoher Wahrscheinlichkeit künstlich zusammengesetzt. Achten Sie auch auf fehlende Zeitzonen-Angaben oder Formate, die nicht zum Rest der Kette passen.

Auch die Serverkette selbst erzählt eine Geschichte. Bei einer Mail, die angeblich von einem seriösen Anbieter mit WinHero Lizenz stammt, sollte die Kette nachvollziehbar sein: Absender-Server, eventuell ein Relay des Providers, dann Ihr Mailanbieter. Fehlt ein Glied, taucht mitten in der Kette ein unbekannter Server auf oder endet die Kette bei einem Hosting-Dienst, der für Massenmailings bekannt ist, spricht das gegen die Echtheit. Ein Blick auf die oberste Received-Zeile zeigt zudem, ob Ihr eigener Mailanbieter die Nachricht überhaupt geprüft hat. Steht dort ein Vermerk wie “SPF: none” oder “DKIM: fail”, hat die Authentifizierung nicht gegriffen.

Notieren Sie sich bei Auffälligkeiten die IP-Adresse aus der untersten Received-Zeile. Mit einem Whois-Abfragedienst lässt sich prüfen, welchem Anbieter sie gehört und in welchem Land der Server steht. Weicht das Land deutlich vom angeblichen Firmensitz ab oder gehört die IP zu einem bekannten Spam-Netzwerk, ist die Sache klar. Diese Prüfung kostet zwei Minuten und liefert ein belastbares Indiz, bevor Sie überhaupt auf den Inhalt der Mail eingehen.

Header-Befund bewerten und im Zweifel WinHero Lizenz und Support gegenprüfen

Am Ende bleibt ein simples Urteil: Return-Path und Received sind keine Beweise für Echtheit, sondern Ausschlusskriterien. Passt die Return-Path-Domain nicht zur behaupteten Absenderadresse, oder fehlt der erste Received-Eintrag eines nachvollziehbaren Servers, ist die Mail erledigt. Bei einer angeblichen WinHero Bonus-Mail mit “325 % bis 3.750 € Bonus” und WinHero Freispielen reicht meist ein Blick auf die Absenderdomain und ein zweiter auf die unterste Received-Zeile. Stimmt beides nicht überein, löschen.

Melden, löschen und die Echtheit über offizielle Kanäle prüfen

Bevor Sie löschen, melden Sie die Mail beim Provider. In Gmail über “Melden” > “Phishing melden”, in Outlook über “Junk” > “Phishing”, in Thunderbird über “Als Junk markieren” und eine Weiterleitung an die Missbrauchsstelle Ihres Providers. Das kostet zwei Klicks und hilft anderen Empfängern. Danach die Mail samt Anhang löschen. Nicht auf Links klicken, nicht antworten, keine Daten nachreichen.

Wer prüfen will, ob hinter dem Gewinnversprechen ein reales Angebot steht, geht ausschließlich über die offizielle Seite des Anbieters. Für WinHero Casino gilt dabei ein nüchterner Befund: Der Betreiber sitzt in Costa Rica, eine GGL-Erlaubnis liegt nicht vor, und klare Auszahlungslimits veröffentlicht das Casino nicht. Das sind Punkte, die unabhängig von jeder E-Mail gelten und die Sie vor einer Einzahlung abwägen sollten. Ein Willkommenspaket mit 325 % bis 3.750 € Bonus über vier Einzahlungsstufen, 500 Freispiele auf vier Einzahlungen, 45x Umsatz nur mit Bonusgeld und täglicher Cashback bis 20 % klingen verlockend, sind aber an Bonusbedingungen gebunden, die Sie im Kleingedruckten nachlesen müssen.

Die WinHero Lizenz lässt sich nicht per E-Mail bestätigen. Prüfen Sie die Angaben im Footer der offiziellen Seite, vergleichen Sie die dort genannte Lizenznummer mit der Quelle, und nutzen Sie den Support nur über die auf der echten Domain hinterlegten Kontaktwege. Verlinkungen zu “Check-dein-Spiel” und zur BZGA sind ein Indiz für Spielerschutz-Bemühungen, ersetzen aber keine behördliche Erlaubnis. Demo-Spiele und Slots sowie Live-Tische können Sie zunächst ohne Einzahlung testen.

Merksatz: Eine Gewinnmail ist erst dann ein Thema, wenn Absenderdomain, Return-Path und Received-Kette zusammenpassen und Sie das Angebot zusätzlich auf der offiziellen Seite wiederfinden. Fehlt einer der drei Punkte, ist es Phishing.

Bewahren Sie den Header bei Zweifeln als Textdatei auf. Falls doch ein Schaden entstanden ist, hilft diese Datei bei der Anzeige und bei der Rückbuchung.

Wenn die Received-Kette sauber von einem bekannten Provider bis zu Ihrem Postfach läuft, der Return-Path aber auf eine fremde oder leicht verfremdete Domain zeigt, ist die Sache entschieden: nicht antworten, nicht auf Links klicken, Anhang nicht öffnen. Löschen Sie die Mail und melden Sie sie in Ihrem Client als Phishing, damit der Filter nachlernt. Bewahren Sie den vollständigen Header als Textdatei auf, falls Sie Anzeige erstatten wollen; die Polizei und die Verbraucherzentrale fragen danach. Wer ein Konto bei einem echten Anbieter hat, prüft Bonus- und Gewinnmitteilungen ausschließlich im eingeloggten Bereich. Das gilt auch für WinHero Casino: Das Willkommenspaket mit 325 % bis 3.750 € Bonus und die 500 Freispiele auf vier Einzahlungen werden im Konto aktiviert, nicht per Mail zugesagt. Die Umsatzbedingung von 45x nur mit Bonusgeld, der tägliche Cashback bis 20 % und alle weiteren Konditionen stehen in den Bonusbedingungen auf der Seite selbst.

Ein Realitätscheck gehört dazu: Der Betreiber sitzt in Costa Rica, eine GGL-Erlaubnis liegt nicht vor, klare Auszahlungslimits veröffentlicht das Casino nicht. Wer trotzdem einzahlt, sollte Beträge klein halten und den Support ausschließlich über die offizielle Domain kontaktieren, nie über eine Adresse aus der verdächtigen Mail. Prüfen Sie parallel, ob Ihr Passwort in einem Leak auftaucht, und ändern Sie es, falls Sie irgendwo dieselbe Kombination verwendet haben. Für den nächsten Schritt reicht ein Blick in den Header: Return-Path und die unterste Received-Zeile vergleichen, Abweichung notieren, Mail melden, löschen. Dauert zwei Minuten und erspart im Zweifel den Ärger mit einer Einzahlung, die niemand erstattet.