[English]Ich spüle nochmals eine ziemlich krude Beobachtung hoch: Im Frühjahr 2025 meldete sich ein Administrator, weil in einigen Microsoft 365-Konten seiner Benutzer zuerst sporadisch Kontakte und später Mails mysteriös gelöscht wurden. Nun ist mir ein solcher Fall bei Microsoft im Forum untergekommen.
Kurzer Rückblick auf den alten Fall
Im Februar 2025 hatte sich Blog-Leser Christian M. per E-Mail mit einem Problem in Verbindung mit Microsoft 365 und Exchange Online gemeldet. Er musste als Administrator feststellen, dass bei einer Hand voll Microsoft M365-Konten im Unternehmen tageweise plötzlich alle Kontakte gelöscht wurden. Auf Seite der Endanwender sei kein Muster zu erkennen, hieß es, und im Unternehmen werden Clients mit Windows und MacOS eingesetzt.
In den Log-Dateien konnte der Leser sehen, dass plötzlich Unmengen an "MovedToDeletedItems"-Aktionen bei einem Postfach aufgezeichnet wurden.
Ich hatte den Sachverhalt im Blog-Beitrag Autsch: Kontakte werden in Microsoft 365 gelöscht detaillierter beschrieben. Frank Carius vermutete in diesem Kommentar, dass ein Client (Smartphone etc.) da diesen Effekt verursachen könnte und machte Vorschläge für eine Fehleranalyse.
Ende März 2025 meldete sich der Blog-Leser erneut und schrieb, dass bei einem Benutzer zum 25. März 2025 plötzlich die Situation aufgetreten sei, dass nun E-Mails aus dem Archiv-Ordner gelöscht werden. Der Leser schrieb, dass es bisher ca 15.000 gelöschte Mails sind, und man können zusehen, wie die Anzahl im Archiv Ordner sinkt. Der Sachverhalt ist im Beitrag Microsoft 365: Nach Kontakten werden nun auch Mails gelöscht besprochen. So richtig eine Erklärung gab es nicht – möglicherweise spielt ein volles Speicherkontingent eine Rolle – E-Mail-Regeln konnten erinnerungsmäßig ausgeschlossen werden.
Neuer Fall im Microsoft Forum
Ende August 2025 bin ich bei Microsoft Q&A auf den Thread Outlook-Emails löschen sich automatisch vom 13. August 2025 gestoßen. Ein Anwender beklagt sich dort, dass seit dem 12. August E-Mails in seinem E-Mail-Konto (ein Firmen-Account) "vor seinen Augen" automatisch gelöscht werden.
Der IT-Service können sich das auch nach mehrfacher und durch mehrere Mitarbeiter geprüfter Suche nicht erklären, was die Ursache sei. Der Betroffene konnte zunächst die E-Mails wiederherstellen, indem er sich direkt im Outlook angemeldet und unter "Ansicht" alle gelöschten E-Mails aus dem Ordner "Gelöscht" wiederherstellen ließ. Die galt allerdings nur für E-Mails, die bis zum Vortag vormittags gelöscht wurden. Alle anderen E-Mails bleiben verschwunden.
Mich erinnerte das Ganze an den oben erwähnten Fall Microsoft 365: Nach Kontakten werden nun auch Mails gelöscht. Bei der Suche bin ich auf reddit.com in älteren Threads hier, hier und hier auf ähnliche Beschreibungen gestoßen.
Mobile-Geräte Outlook-App als Ursache
Wenn man "Regeln" zum Behandeln von Nachrichten in Outlook ausschließen kann, gibt es noch eine wilde aber einleuchtende Erklärung – wenn ich beim Querlesen alles in den reddit.com-Threads verstanden habe. Betroffene nutzten ein Smartphone mit der Outlook-App zum Zugriff auf die Mails.
Und auf diesen Smartphones wurden Kontakte blockiert. In einem Fall hatte sich der Betroffene irrtümlich mit der eigenen E-Mail-Adresse als "Spam" blockiert, worauf seine Mails automatisch gelöscht wurden. Im Kommentar hier schrieb ein Administrator, dass er ein Smartphone (iPhone) zurücksetzen musste. Danach war der Spuk vorbei.
Alte Apps und Pureview als Debugger
Interessant fand ich noch diesen Kommentar in einem weiteren (2 Jahre alten) reddit.com-Thread. Der zuständige Administrator hat Microsofts Purview zur Compliance-Prüfung von Purview für MovetoDeletedItems und Softdelete-Aktionen in Bezug auf das Postfach genutzt. Er erhielt dann die ClientAppId-GUID des Akteurs, der für das Löschen verantwortlich war. Durch die Ausführung von Get-AzureADApplication erhielt er den Namen der betreffenden Anwendung.
Das Problem war, dass Graphus von Kaseya lief und dort eineFilterregel (als "Proof of Concept", PoC bezeichnet) definiert war, was dann Mails löschte. Nachdem die Graphus-App-Registrierung gelöscht war, verschwand auch das Problem der gelöschten Mails.
Daher die Nachfrage, ob unter der Leserschaft Administratoren etwas ähnliches beobachten konnten?
MVP: 2013 – 2016
Zum konkreten Fall "Löschen von Emails" kann ich nichts sagen.
Aber eine jüngere Untersuchung des EWS Usage Reports im MS365 admin center unseres Tenants zeigte, dass die AppID 3c8e478f-21ca-493a-b87c-c7366d664d54 hunderttausende von EWS SoapActions wie GetItem, FindItem, GetClientIntent etc ausführt.
Und einer der wenigen Google-Treffer zur AppID führt auf Guennis Artikel:
https://borncity.com/blog/2025/02/07/autsch-kontakte-werden-in-microsoft-365-geloescht/
Hat jemand eine Idee, welche Application zu dieser ID gehört?
https://learn.microsoft.com/en-us/answers/questions/1681865/app-id-how-do-i-identify-application-name-of-these
im vorletzten Post wird dir aufgezeigt, wie du den AppNamen zur ID finden kannst. Ob das wirklich so stimmt keine Ahnung
@MOM20xx: Wie ich von der AppID zum Klarnamen komme, ist mir schon klar. Dazu gibt es diverse Wege. Die haben wir natürlich alle durchprobiert.
Get-MgServicePrincipal -Filter "Appid eq '3c8e478f-21ca-493a-b87c-c7366d664d54'" | Select-Object DisplayName, AppId
Ergebnis: Keine einzige Methode findet die AppID zur ID 3c8e478f-21ca-493a-b87c-c7366d664d54.
Ich denke, dass die AppID eine von den "geheimen" Microsoft-Apps ist, die nirgends dokumentiert sind.
Dazu gehört auch die AppID 47232a61-61ee-4318-80f8-82568651aa9f
Diese taucht auch im EWS Usage Report auf, kann jedoch nicht identifiziert werden.
per zufall gefunden
https://store.office.com/app/download?assetid=WA104379334&cmu=en-us&ClientSessionId=b66e86df-48ce-4939-9600-915120318504
das sind wohl Outlook Addins.
AppID 47232a61-61ee-4318-80f8-82568651aa9f
dürfte Work with Salesforce records directly in your email application with the Salesforce Outlook integration sein.
bzw. würde ich dann mal einen Case bei MS öffnen, die müssten ja wissen was für eine APP das dann ist.
@MOM20xx: Danke für Deinen Link. Das Salesforce Outlook-Addin könnte es sein, da wir Salesforce einsetzen.
Allerdings frage ich mich, warum dieses Add-In nicht unter den Enterprise applications im Entra-Portal auftaucht?
Vor allem die Folgefrage: Welche Rechte hat das Add-in? Wo sind die Rechte definiert?
Und vor allem würde ich da nach dem Salesforce-Hack mal ganz genau hinschauen…
Die AppID 4723… kannst du auflösen über
Get-App -PrivateCatalog -OrganizationApp | select Displayname, Identity, AppId
Das ist ein Outlook Add In von Salesforce – auf jeden Fall bei uns.
Montagabend rief ein O365-Kunde an und sagte: "Alle Mails aus meinem Posteingang liegen im Papierkorb. Ich hab nichts ungewöhnliches gemacht, plötzlich sehe ich, wie Outlook anfängt zu synchronisieren und mein Posteingang immer leerer wird".
Zwischen 16:20 und 16:50 Uhr wurden gut 6.000 Mails bei ihm gelöscht. Er versicherte mir, dass es kein Anwenderfehler war. Ich kenne ihn lange und glaube ihm.
Es gab keine ungewöhnlichen Logins usw..
Apropos verschwundene Nachrichten:
Vor ca. 2 Monaten sagte ein anderer O365-Kunde, dass übers Wochenende ca. 10 Mails aus seinem Posteingang verschwunden sind.
Nach kurzer Suche fand ich diese im Archiv-Ordner von O365. Wir arbeiten mit diesem Archiv aber sonst nicht.
2 Tage später passierte mir aber genau das selbe:
Ich sah die täglich erscheinende Tageszusammenfassung meines Ticket-System im Handy kurz als eintreffende Nachricht aufblitzen, dann war die Mail aber weg. Ich hab zu 100 % nichts gedrückt (dafür ging das viel zu schnell) und auch bei mir lag die Mail dann im Archiv.
Jaja, auf einmal Mails gelöscht und keiner will es gewesen sein. Habe die Fälle seit 25 Jahren immer wieder auf meinem Tisch und es war jedes mal ein Anwenderfehler.
Tony Redmond hatte mal dazu was mit Bezug auf Retention Policies und plötzlich verschwundenen Daten. https://office365itpros.com/2025/07/22/retention-label-last-modified-date
Vielleicht ist das Problem hier ähnlich gelagert.