Hallo Raketenwilli,
ich gebe Dir 100% Recht.
Zu meiner Entschuldigung aber folgendes. In einer der ersten Antworten und auch später wurde darauf hingewiesen, dass statt des unsicheren mail der PHPMailer verwendet werden sollte. Daher war für mich die Suche nach der Ursache in den Hintergrund geraten.
mail()
ist nicht „per se“ unsicher. Jedenfalls nicht so lange man das Mail mit festgelegtem Subjekt an eine festgelegte Mailadresse sendet. PHPMailer versucht viele Dinge (Mail mit HTML und Text, Anhängen) zu vereinfachen und z.B. den Direktversand unter Umgehung des SMTP (Mailtransportserver, oft „Smartserver“) des Hosters, ggf. Nutzung eines alternativen SMTP zu ermöglichen. Aber auch das geht nicht immer (z.B. wegen Firewall oder anderen Sicherheitsregeln).