Microsoft 365 / Fehlende E-Mails mit der Nachrichtenablaufverfolgung untersuchen

Wenn E-Mails in Exchange Online nicht ankommen, sammeln Sie zuerst die E-Mail-Adressen des Absenders und des Empfängers sowie die Sendezeit und suchen Sie dann im Exchange Admin Center unter [Nachrichtenfluss] → [Nachrichtenablaufverfolgung]. Die Nachrichtenablaufverfolgung ist der Ausgangspunkt, um zu prüfen, ob Microsoft 365 die Mail erhalten hat und ob sie in die Warteschlange gestellt, abgelehnt oder zugestellt wurde.

Informationen, die vor der Suche benötigt werden

• Genaue E-Mail-Adressen des Absenders und des Empfängers
• Datum, Uhrzeit und Zeitzone des Versands, mit einem ungefähr zulässigen Bereich
• Falls ein Zustellungsfehlerbericht (NDR, auch als Bounce-Nachricht bezeichnet) vorliegt, der Fehlercode und der Inhalt
• Wenn Sie den Betreff der E-Mail oder die Nachrichten-ID haben, sammeln Sie nur die Details, die zur Identifizierung der Nachricht erforderlich sind.

Es ist nicht erforderlich, den gesamten Inhalt der an den Kunden gesendeten E-Mail anzufordern. Begrenzen Sie zunächst den Bereich nach Adresse und Zeit und bearbeiten Sie nur die minimal notwendigen Informationen.

Berechtigungen und Suchzeitraum vorbereiten

Sie benötigen die Exchange-Administratorrolle oder entsprechende Exchange Online-Berechtigungen, um eine Nachrichtenablaufverfolgung durchzuführen. Es reicht nicht, ein normaler Benutzer zu sein, der E-Mails sendet, oder ein Microsoft 365-Lizenzadministrator. Statt allen globale Administratorrechte für Abfragen zu geben, sollte eine genehmigte Person für Mail-Operationen die Untersuchung durchführen.

Die Aufbewahrungsfrist für Daten der Nachrichtenablaufverfolgung beträgt standardmäßig 90 Tage und ist nicht konfigurierbar. Derzeit erlauben Zusammenfassungsabfragen eine maximale Suchdauer von 10 Tagen auf einmal innerhalb des 90-Tage-Zeitraums. Suchintervalle, die länger als 10 Tage sind, erfordern einen herunterladbaren erweiterten Zusammenfassungsbericht oder einen erweiterten Bericht. Überprüfen Sie den Berichtstyp auf dem Suchbildschirm. Beachten Sie, dass das Erstellen einer Download-Anfrage mehrere Stunden dauern kann, sodass das Fehlen sofortiger Ergebnisse nicht bedeutet, dass die E-Mail nicht existierte.

Wenn die Daten unmittelbar nach dem Senden nicht sichtbar sind, fragen Sie kurz danach unter den gleichen Bedingungen erneut ab. Laut Microsoft FAQ kann es etwa 5–10 Minuten dauern, bis Tracking-Daten angezeigt werden. Dies gibt nicht die Zustellverzögerungszeit für alle E-Mails an. Für Vorgänge, die eine langfristige Historienaufbewahrung erfordern, verwalten Sie die notwendigen Berichte separat gemäß den Aufbewahrungsrichtlinien Ihrer Organisation.

Führen Sie eine Nachrichtenablaufverfolgung durch

1. Melden Sie sich im Exchange Admin Center mit den erforderlichen Administratorrechten an und öffnen Sie [Nachrichtenfluss] → [Nachrichtenablaufverfolgung].
2. Geben Sie den Absender, Empfänger und den Zeitraum an. Wenn die Zeit nicht übereinstimmt, überprüfen Sie die vom Benutzer angegebene Zeitzone und erweitern Sie den Zeitraum leicht.

3. Überprüfen Sie den Status und die Empfängeradresse in den Ergebnissen. Wenn mehrere Nachrichten denselben Betreff haben, unterscheiden Sie sie anhand der Nachrichten-ID und der Uhrzeit.
4. Öffnen Sie die Zielnachricht und lesen Sie den Ereignisverlauf sowie den endgültigen Status. Die Microsoft-Dokumentation zur Nachrichtenablaufverfolgung im Exchange Admin Center erläutert die Statuswerte.

Beispiel, wie man einen einzelnen Fall anhand der Adresse und der Uhrzeit findet

Angenommen, ein externer Kunde sagte, die Nachricht wurde um '9:20 Uhr' gesendet. Bestätigen Sie zuerst, ob die Zeitzone des Absenders koreanische Zeit ist, und bestätigen Sie die genaue Adresse, die der Absender verwendet hat: eine individuelle Adresse, eine gemeinsame Adresse oder eine Gruppenadresse. Suchen Sie nicht nur anhand des Anzeigenamens im Adressbuch.

1. Geben Sie die externe Absender- und die tatsächliche Empfängeradresse ein, um mit der Verfolgung zu beginnen. Stellen Sie zunächst den Lieferstatus auf 'Alle', damit fehlgeschlagene oder in Quarantäne befindliche Ergebnisse nicht ausgeschlossen werden.
2. Die benutzerdefinierte Zeitzoneneinstellung gilt sowohl für die Sucheingaben als auch für die angezeigten Ergebnisse. Passen Sie sie an und wählen Sie ein kleines Intervall, das sowohl vor als auch nach dem Vorfall liegt. Beginnen Sie mit einem ein- oder zweistündigen Intervall und erweitern Sie es auf Basis der Beweise.
3. Überprüfen Sie die Adresse, Zeit, Größe und Nachrichtenkennungsinformationen der Ergebnisse. Wieder versendete E-Mails mit demselben Betreff können mit den Originalen vermischt sein.
4. Öffnen Sie die notwendigen Ergebnisse, um detaillierte Ereignisse wie Empfang, Richtlinienverarbeitung oder Weiterleitung zu lesen. Ziehen Sie keine Schlüsse basierend auf anderen Nachrichten, die nur denselben Betreff haben.

Serverantworten in Nicht-Zustellungs-Benachrichtigungen (NDRs) und die Message-ID der ursprünglichen Nachricht helfen, das Ziel einzugrenzen. Die Internetnachrichten-ID und die Tracking-ID, die vom Tracking-Tool angezeigt wird, können unterschiedliche Elemente sein, daher notieren Sie, welcher Wert welches ist. Wenn es zu viele Ergebnisse gibt oder ein Timeout auftritt, grenzen Sie die Suche nach Absender, Empfänger oder Zeitraum stärker ein und suchen Sie erneut.

Wie interpretieren Sie die Ergebnisse?

„Zugestellt“ bedeutet nicht, dass der Benutzer es tatsächlich gelesen hat. Es zeigt auch nicht alle Situationen in externen Segmenten, die das Microsoft 365-Tracking nicht erreicht haben. Überprüfen Sie Microsofts Message Trace FAQ für das Timing der Ergebnisanzeige und die Einschränkungen des Suchumfangs.

Wenn Sie Erweitert (Expanded) in der Verteilergruppe sehen, bedeutet dies, dass die Gruppenadresse in einzelne Empfänger aufgelöst wurde. Sie sollten danach auch die Zustellungsergebnisse für die einzelnen Empfänger überprüfen. Unter Quarantäne gestellt (Quarantined) ist das Element, für das Sie Defenders Quarantäne und Richtliniengründe überprüfen müssen, und Abrufen des Status (Getting status) kann darauf hinweisen, dass die endgültigen Daten noch nicht bereit sind.

„Zugestellt“ für extern gesendete E-Mails kann darauf hinweisen, dass die Nachricht an das Mailsystem des Empfängers übergeben wurde. Sie können Situationen, in denen der empfangende Server sie als Spam eingestuft oder seine eigenen Richtlinien nach der Annahme angewendet hat, nicht nachverfolgen. Im Gegensatz dazu sollten bei bestätigter interner Zustellung innerhalb der Organisation Posteingangsregeln, Weiterleitungen, Junk-Ordner und die Anzeige im Client als nächstes überprüft werden. Die Nachrichtenablaufverfolgung ist kein Werkzeug, um E-Mail-Inhalte wiederherzustellen oder nachzuweisen, ob eine E-Mail gelesen wurde.

Wählen Sie die nächste Aktion für jeden Befund

• Eingehende E-Mail von einem externen Absender hat kein Ergebnis: Überprüfen Sie die Adresse, die Zeitzone und die Verfügbarkeit der Trace-Daten und fordern Sie anschließend Bounce-Informationen und Protokolle vom Absender an. Wenn der MX-Eintrag auf ein anderes Gateway zeigt, verifizieren Sie auch, ob es tatsächlich im entsprechenden Segment an Microsoft 365 zugestellt wurde.
• Vom Unternehmen an einen externen Empfänger gesendete E-Mail ist fehlgeschlagen:Vergleichen Sie die Antwort des entfernten Servers und den NDR-Code für detaillierte Ereignisse. Bestimmen Sie, ob es sich um einen Adressfehler, eine Richtlinie des empfangenden Servers oder einen Authentifizierungsfehler handelt, und leiten Sie sie gegebenenfalls an die zuständige Person weiter.
• Zugestellt, aber für den Benutzer nicht sichtbar: Überprüfen Sie zuerst alle relevanten Ordner und Regeln in Outlook für das Web. Wenn sie im Web sichtbar ist, aber in einer bestimmten App nicht, untersuchen Sie die Clientsynchronisierung und die Anzeigeeinstellungen.
• Aufgrund einer Sicherheitsrichtlinie unter Quarantäne gestellt: Überprüfen Sie, ob die Nachricht legitim ist, und untersuchen Sie die Richtlinie sowie die Senderauthentifizierung. Wenden Sie Ausnahmen an, indem Sie Ziel, Grund und Dauer angeben, ohne den gesamten Filter zu deaktivieren.

Beheben Sie die Ursache und überprüfen Sie die Zustellung

Wenn es durch die Richtlinie unter Quarantäne gestellt wurde, schalten Sie die gesamte Richtlinie nicht willkürlich aus; überprüfen Sie die Angemessenheit der Nachricht und der Richtlinie. Falls ein Bounce aufgetreten ist, senden Sie den Fehlercode und die Antwort des entfernten Mailservers an den Absender weiter. Wenn sie im Postfach zugestellt, aber nicht sichtbar ist, überprüfen Sie sowohl Web Outlook als auch die Desktop-App und untersuchen Sie Regeln und Junk-Mail-Einstellungen. Nach der Behebung senden Sie eine Testmail über denselben Versandweg, um sowohl den Tracking-Status als auch den tatsächlichen Empfang zu überprüfen.

Der Verarbeitungsdatensatz enthält die Suchbedingungen und die Zeitzone, die Nachrichtenkennung, das bestätigte endgültige Ereignis, die ergriffenen Maßnahmen und die Retestergebnisse. Nur die erforderlichen Adressen, Zeitangaben und Fehlercodes werden über einen sicheren Kanal an externe Mitarbeiter gesendet, und der vollständige Bericht wird nicht wahllos geteilt. Wenn DNS oder Richtlinien geändert wurden, sollten auch die vorherigen Werte und Wiederherstellungskriterien aufgezeichnet werden, damit sie verglichen werden können, falls dasselbe Problem erneut auftritt.