Quellenprüfung: 29. September 2026. Tenant-Validierung ausstehend.
Werkzeuge und Dokumentdetails
Mit einer bestimmten Nachricht beginnen
Wiederholtes Senden kann Duplikate erzeugen und die ursprüngliche Ursache verdecken. Zuerst die Originalnachricht verfolgen.
Autorisierten Exchange-Zugriff verwenden
Der Tenant benötigt Exchange Online, der Operator eine autorisierte Exchange-Rolle mit Nachrichtenablaufverfolgung. Exchange Administrator ist eine unterstützte Option; Global Administrator nicht aus Bequemlichkeit verwenden. Normale Postfachbenutzer liefern dem Helpdesk Beweise.
Das aktuelle EAC kann bis zu 90 Tage Verlauf durchsuchen. Für eine Zusammenfassungsabfrage einen engen Zeitraum von höchstens 10 Tagen verwenden. Umfangreichere Berichte sind Downloads und können länger dauern. Aktuelle Statuswerte können um einige Minuten verzögert sein. Zeitraum dokumentieren und gegebenenfalls erneut prüfen.
Hybride Wege oder externe Gateways können Nachweise anderer Systeme erfordern. Eine Lücke in diesem Tenant beweist nicht, dass der Absender nie gesendet hat.
Nachricht verfolgen und Ereignisse lesen
- Exchange admin center → Mail flow → Message trace → Start a trace öffnen. Tenant prüfen.
- Genauen Absender, Empfänger und begrenzten Zeitraum mit richtiger Zeitzone einstellen. Mit allen Zustellstatus beginnen. Bei bekannter Nachricht die vollständige Internet-Message-ID einschließlich vorhandener spitzer Klammern verwenden.
- Passendes Ergebnis und Nachrichtenereignisse öffnen. Empfängerauflösung, Weiterleitung und endgültiges Ziel zusätzlich zum übergeordneten Status prüfen.
- Filter, Ergebnis und UTC-Untersuchungszeit sichern. Bericht im genehmigten Speicher behalten; er kann persönliche Adressen und Betreffzeilen enthalten.
| Ergebnis | Aktion |
|---|---|
| Kein passendes Ergebnis | Adressen, Zeitzone, Aliase und Message-ID prüfen; Zeitraum vorsichtig erweitern. Übergabe an diesen Weg im Quellsystem bestätigen. NDR oder vorgelagerte Trace sichern. |
| Ausstehend oder verzögert | Letztes Ereignis und Wiederholungsgrund lesen. Dienststatus und angegebenes Ziel/Connector prüfen. Dieselbe Nachricht vor erneutem Senden kontrollieren. |
| Fehlgeschlagen oder gefiltert | Konkreten SMTP-Fehler oder Filtergrund zur Korrektur verwenden. Nicht jeden Fehler dem DNS zuschreiben. |
| Quarantäne | Autorisierter Operator prüft Nachricht, Erkennung und Freigabemöglichkeit. Keine Schadsoftware freigeben oder breite Zulassung zum Zustelltest erstellen. |
| Zugestellt | Ereignisse, Empfänger und Ordner-/Regelverhalten prüfen. Zustellung beweist weder Sichtbarkeit im Posteingang noch Lesen durch die Person. |
Schreibgeschützte PowerShell-Nachverfolgung einer Nachricht
Eine bereits autorisierte Exchange-Online-PowerShell-Sitzung im richtigen Tenant verwenden. Für die V2-Befehle ist ExchangeOnlineManagement 3.7.0 oder neuer erforderlich. Das Beispiel verbindet sich nicht und ändert keine Tenant-Einstellungen. Es fragt genauen Absender, Empfänger, Message-ID und UTC-Zeitraum ab.
V2 durchsucht verfügbare Daten der letzten 90 Tage, höchstens 10 Tage je Anfrage. Standardmäßig werden 1.000, maximal 5.000 Zeilen geliefert. Das Skript fordert 5.000 an und stoppt die Interpretation bei Erreichen der Grenze. Zeitraum verkleinern oder dokumentierte Fortsetzung nutzen. -Page ist keine V2-Paginierung.
Die vollständige Internet Message-ID einschließlich vorhandener spitzer Klammern erhalten. Sie unterscheidet sich von der dienstseitigen MessageTraceId für Detailabfragen. Auch dem Detailbefehl die ursprünglichen Datumsgrenzen übergeben, sonst gilt ein kürzeres aktuelles Standardfenster.
# Read only. Use an existing authorized Exchange Online session in the correct tenant.
# Requires ExchangeOnlineManagement 3.7.0 or later. Does not connect or change settings.
$ErrorActionPreference = 'Stop'
Get-Command Get-MessageTraceV2, Get-MessageTraceDetailV2 -ErrorAction Stop | Out-Null
$sender = (Read-Host 'Exact sender address').Trim()
$recipient = (Read-Host 'Exact recipient address').Trim()
$messageId = (Read-Host 'Full Internet Message-ID, including angle brackets if present').Trim()
if (-not $sender -or -not $recipient -or -not $messageId) { throw 'All message identifiers are required.' }
$startInput = Read-Host 'Start with UTC offset, e.g. 2026-09-29T08:00:00Z'
$endInput = Read-Host 'End with UTC offset, e.g. 2026-09-29T10:00:00Z'
if ($startInput -notmatch 'T.*(Z|[+-][0-9]{2}:[0-9]{2})$' -or $endInput -notmatch 'T.*(Z|[+-][0-9]{2}:[0-9]{2})$') {
throw 'Both timestamps need Z or an explicit UTC offset.'
}
$start = [datetimeoffset]::Parse($startInput, [cultureinfo]::InvariantCulture).UtcDateTime
$end = [datetimeoffset]::Parse($endInput, [cultureinfo]::InvariantCulture).UtcDateTime
if ($end -le $start -or ($end - $start).TotalDays -gt 10) { throw 'Use a positive interval no longer than 10 days.' }
if ($start -lt [datetime]::UtcNow.AddDays(-90) -or $end -gt [datetime]::UtcNow) { throw 'Choose a past interval within the last 90 days.' }
$trace = @(Get-MessageTraceV2 -SenderAddress $sender -RecipientAddress $recipient -MessageId $messageId -StartDate $start -EndDate $end -ResultSize 5000)
if ($trace.Count -ge 5000) { throw 'Result cap reached. Narrow the query before interpreting the results.' }
$trace | Format-List Received,SenderAddress,RecipientAddress,Subject,Status,MessageId,MessageTraceId
if ($trace.Count -eq 0) { Write-Warning 'No match in this query. Recheck identifiers, route, timing and coverage.' }
foreach ($row in $trace) {
Get-MessageTraceDetailV2 -MessageTraceId $row.MessageTraceId -RecipientAddress $row.RecipientAddress -StartDate $start -EndDate $end |
Format-List *
}Dieses Beispiel wurde mit Quellen und simulierten Befehlen geprüft. Es wurde nicht in einem Kundentenant ausgeführt.
Get-MessageTraceV2 · Get-MessageTraceDetailV2 · Microsoft: EAC message trace
Die durch die Trace belegte Ursache korrigieren
Falsche Adresse oder Empfängerkonfiguration lässt der Verantwortliche gezielt korrigieren. Bei einem reinen Clientproblem die Cloudkopie behalten und Konto, Ansichten sowie Synchronisierung des betroffenen Clients prüfen.
Bei Filterung prüft der Sicherheitsverantwortliche die Erkennung und den passenden False-Positive- oder Freigabeprozess. Bei Connector-, Regel- oder DNS-Problemen vorherige Konfiguration sichern und mit dem Dienstverantwortlichen begrenzt ändern. Keinen tenantweiten Bypass anlegen.
Wird eine Regel genannt, aktuelle Einstellungen mit denen zur Nachrichtenzeit vergleichen. Die Regel kann seit dem Ereignis geändert worden sein. Diese Unsicherheit dokumentieren, bevor die ursprüngliche Aktion heutigen Einstellungen zugeschrieben wird.
Unerwartete Weiterleitungen oder unautorisierte Regeln können einen Vorfall bedeuten. Sichern und Kompromittiertes Konto verwenden, statt Beweise sofort zu löschen.
Das Transportereignis bis zum Ziel verfolgen
RECEIVE bedeutet Annahme durch den Dienst. DELIVER dokumentiert Postfachzustellung. SEND beschreibt eine Übergabe durch den Dienst, keinen Beweis für Lesen oder Eingang im externen Posteingang. Bei externer Übergabe Ziel und Antwort sichern und die Nachverfolgung des nächsten Systems anfordern.
EXPAND betrifft Mitglieder einer Verteilergruppe. Den entstandenen Pfad des Ziel-Empfängers verfolgen. DEFER bedeutet Aufschub: Grund und Folgeereignisse auswerten. Bei FAIL die tatsächliche SMTP-Antwort oder den NDR verwenden, keine DNS-Korrektur vermuten.
Bei Delivered und fehlender Nachricht in Outlook im Web nach genau dieser Nachricht suchen, auch in Junk, Gelöschte Elemente, Archiv und Posteingangsregeln. Weiterleitungen, Quarantäne oder spätere Sicherheitsaktionen anhand der Belege prüfen. Postfachzustellung mit anschließendem Verschieben durch eine Regel unterscheidet sich von einem Fehler am externen Gateway.
Original und einen kontrollierten Test prüfen
Führt die begrenzte Änderung zu einer Regression, stellt der autorisierte Verantwortliche die gesicherte Konfiguration wieder her und prüft denselben Weg erneut. Mit Trace/NDR eskalieren, wenn ein anderer Dienst zuständig ist oder die Ursache ungeklärt bleibt.
Die Mailflow-Übergabe vorbereiten
Problem: fehlt / verspätet / fehlgeschlagen / nur Client Richtung und betroffener Empfängerumfang: Ursprüngliche Sendezeit und UTC-Offset: Message-ID und NDR intern gesichert: Trace-Zeitraum, Status und relevantes Ereignis: Cloudpostfach / vorgelagertes System geprüft: Begrenzte Änderung und Testergebnis: Beweislücke / nächster Verantwortlicher:
Mailflow-Support anfragen und sensible Details entfernen. Vor Übertragung von Headern, Nachrichteninhalten oder Trace-Exporten einen sicheren Kanal vereinbaren.