[English]Mir ist gerade die Information von einem Blog-Leser zugegangen, der in seinem Administratorumfeld damit kämpft, dass bei einigen Microsoft 365-Konten seiner Benutzer sporadisch Kontakte gelöscht werden.
Anzeige
Microsoft 365 erweist sich immer mehr als kaum beherrschbare Dauerbaustelle, wo ständig irgendwelche Fehlfunktionen und Bugs die Nutzer nerven und Administratoren zur Verzweiflung bringen.
Eine Lesermeldung zu gelöschten Kontakten
Blog-Leser Christian M. ist in der IT eines Unternehmens tätig, wo auch Microsoft 365 in Verbindung mit Exchange Online eingesetzt wird. Und dort gibt es momentan wohl Probleme.
Der Leser beschreibt es so, dass "seit einigen Tagen bei einer Hand voll Microsoft M365-Konten plötzlich alle Kontakte gelöscht sind. Auf Seite der Endanwender sei kein Muster zu erkennen, gibt Christian an. Im Unternehmen werden Clients mit Windows und MacOS eingesetzt. Dabei kommen Exchange Online und Microsoft M365 Standard Business Lizenzen zum Einsatz.
Log zeigt komische Aktionen
Der Leser hat sich dann die Logs in Wazuh angesehen. Wazuh ist eine Open Source Sicherheitslösung, die beim Nutzer an die Microsoft 365 Audit Logs angebunden ist. In den Protokolleinträgen ist dem Leser dann aufgefallen, dass plötzlich Unmengen an "MovedToDeletedItems"-Aktionen bei einem Postfach aufgezeichnet wurden.
Anzeige
Für jeden Kontakt habe es dann einen einzelnen Eintrag gegeben, der belegt, dass dieser aus "\Kontakte" nach "\Gelöschte Elemente" verschoben wurde. Auf Nachfrage bei zugehörigen Anwender, ob alles ok sei, ergab lediglich, dass alle unter dem MS365-Konto gespeicherten Kontakte plötzlich verschwunden sind.
Ein anderer Nutzer meldete sich bei der IT und berichtete, dass er auf dem Smartphone keine Mails mehr via S/MIME verschlüsseln kann. Der Hintergrund ist wohl, dass in diesem Fall das Zertifikat wohl am Kontakt hängt.
Das "Gute" an dieser misslichen Situation sei, dass man die Kontakte eigenständig aus dem Papierkorb wiederherstellen könne, merkt der Leser an. Hierzu muss man jedoch im OWA(*https://outlook.office.com/mail) angemeldet sein und kann dort unter "People" im Papierkorb die Kontakte wiederfinden und wiederherstellen.
Ursache und Muster unklar
Christian schreibt, dass er keine wirkliche Ursache oder ein Muster erkennen könne, was für die gelöschten Kontakte verantwortlich ist. Was er noch festgestellt hat, ist, dass bisher nur Konten betroffen sind , die den folgenden Microsoft Servern ("OriginatingServer") zugewiesen sind:
BEZP281MB3208 (15.20.4200.000)
BE0P281MB0099 (15.20.4200.000)
FR2P281MB2043 (15.20.4200.000)
FR2P281MB3246 (15.20.4200.000)
Alle (noch) nicht betroffenen Konten "hängen" auf anderen Servern. Der Blog-Leser vermutet, dass dies die Exchange-Online Backend Server sind, die je nach Lokation zugewiesen sind. Allerdings gibt der Leser an, dass sie in der IT noch nie explizit eine Lokation für die Tenants gewählt haben. Und erst recht wurden keine unterschiedlichen Lokationen für einzelne Nutzer zugewiesen.
Der Leser schreibt, dass er nicht weiß, ob dieser Effekt einem Backend-Job von Microsoft geschuldet ist, oder was das verursacht. Seine Hoffnung ist, dass das Schwarmwissen der Blog-Leserschaft vielleicht weiter hilft – mir selbst ist da aktuell nichts hinsichtlich dieses Problems untergekommen.
Ähnliche Artikel:
Derzeit massive Outlook / Exchange Online Probleme (Feb. 2025)?
Microsoft Office 365: (Ricoh) Scan-Fehler "Cannot connect to SMTP server"
Microsoft Office 365 und Office 2021 und der Exchange Online-Archivspeicher
Microsoft 365 auf WTS 2016: OneNote (18324.20194) startet nicht mehr
Microsoft 365: Outlook Fehler [58tm1]
Microsoft 365: Werbung für Python in Excel – geht's noch
Microsoft korrigiert Absturzproblem bei Microsoft 365 (Office) Apps (16.1.2025)Microsoft 365 Abkündigungen für 2025 – 2026
Microsoft 365: Wechsel in "Classic-Tarif" ohne CoPilot-Aufschlag (noch) nicht möglich
Microsoft 365 Personal und Family wird teurer wegen Copilot
Anzeige
Wir haben seit Tagen das Problem das im OneDrive eines Nutzers von uns ungefragt Ordner gelöscht werden. Nach Änderungen der Passwörter und MFA-Methoden besteht das Problem weiterhin.
Wir können das Problem nicht eingrenzen und der Microsoft Support lässt sich auch Zeit
Ich habe exakt das gleiche Problem bei einem Nutzer eins Kunden (1 von 40). Sporadisch werden Dateien vom Desktop (OneDrive sync) gelöscht.
Wenn ich die Datei aus dem Papierkorb wiederherstelle, wird sie Sekunden später wieder gelöscht. Stelle ich die Datei woanders wieder her und benenne sie um und kopiere sie wieder auf den Desktop, bleibt sie. Benenne ich sie wieder in den ursprünglichen Namen um, wird sie wieder gelöscht.
Moin,
vielleicht hat MS etwas beim unlizensierten Konten archivieren falsch gemacht und das ist ein Nebeneffekt? Wäre dann lösgegangen ab dem 27.01.25:
https://www.borncity.com/blog/2025/01/22/unlizenzierte-onedrive-konten-ab-27-januar-2025-als-problem/
Edit:
Keine mich mit OneDrive nicht aus, aber ausversehen geteilte Ornderfreigabe mit einem betroffenen Konto?
MfG,
Blackii
wie lauteten die Namen denn genau?
Da gab es doch neulich ein Problem, das MS gewisse Datei Namen nicht wollte.
Wenn einen ein System nicht gehört, kann der Besitzer natürlich machen was er will.
Wir haben es ca. 1 bis 2 mal im Jahr, dass bei manchen Shared Mailboxes der Posteingang geleert wird. Die Mails sind dann nicht mal mehr im Papierkorb, sondern müssen über den erweiterten Dialog wiederhergestellt werden. Sie sind nicht über die Caching-Funktion angebunden.
Es kann alles sein aber meist ist das ein Client, der quer läuft, z.B. Smartphone etc. Es gibt ein "Mailbox AuditLog" und damit kann man das als Admin nachtracken, wer wann was gelöscht hat (Muss man ggfls. aktivieren und man braucht Rechte zum einsehen)
Über den Weg kann er aber den User, die IP-Adresse, die Zeit, den Useragent etc. ermitteln. Das sind "NICHT" die AuditLogs.
AzureAuditLog liefern Änderungen am UserObjekt selbst.
SignIn-Logs protokollieren anmeldungen
Hier geht es um die Mailbox Logs. bzw AdminAuditLogs
Die sind über ein "UniversalSearch" zuermitteln oder Purview Portal
habe das Mailbox Audit mal kontrolliert.
Die Client IP ist eine Microsoft IP
Die AppID ist Exchange Online.
Mehr kann ich daraus leider nicht lesen, außer das offensichtlich nicht der Client selbst die Kontakte gelöscht hat.
Operation : MoveToDeletedItems
OperationResult : Succeeded
LogonType : Owner
ExternalAccess : False
DestFolderId : LgAAAABZOyzz2dCdSbqZi9xHT58TAQC9FTjObIaOSLQMnkT9fAEaAAAAAAEKAAAB
DestFolderPathName : \Gelöschte Elemente
FolderId : LgAAAABZOyzz2dCdSbqZi9xHT58TAQC9FTjObIaOSLQMnkT9fAEaAAHbKDN9AAAD
FolderPathName : \Kontakte\Restore_20250207_194410
FolderName :
MemberRights :
MemberSid :
MemberUpn :
ClientInfoString : Client=REST;Client=RESTSystem;;
ClientIPAddress : 2603:10a6:b10:9c::9
ClientIP : 2603:10a6:b10:9c::9
ClientMachineName :
ClientProcessName :
ClientVersion :
InternalLogonType : Owner
MailboxOwnerUPN : username@DOMAIN.CXM
MailboxOwnerSid : S-1-5-21-999999999-3838226699
DestMailboxOwnerUPN :
DestMailboxOwnerSid :
DestMailboxGuid :
CrossMailboxOperation : False
LogonUserDisplayName : User Name
LogonUserSid : S-1-5-21-999999999-3838226
SourceFolders : {}
SourceItemSubjectsList : congstar Service
SourceItemAttachmentsList :
SourceItemFolderPathNamesList : Kontakte\Restore_20250207_194410
SourceFolderPathNamesList :
ItemId :
ItemSubject :
ItemAttachments :
ItemInternetMessageId :
DirtyProperties :
OriginatingServer : BEUP281MB3686 (15.20.4200.000)
SessionId :
OperationProperties :
AuditOperationsCountInAggregatedRecord :
AggregatedRecordFoldersData :
AppId : 34421fbe-f100-4e5b-9c46-2fea25aa7b88
ClientAppId : 3c8e478f-21ca-493a-b87c-c7366d664d54
ItemIsRecord :
ItemComplianceLabel :
MailboxGuid : xxxxxxx-55e1-40d7-b9bb-7b19598fc2f7
MailboxResolvedOwnerName : UsernameX
LastAccessed : 09.02.2025 23:01:48
Identity : AAMkAshortendedAAA=
IsValid : True
ObjectState : New
HOLY CRAP you are the only person on the internet that this is also happening to. I know you'll have to translate this, but if you find an answer to this – we have the exact same thing happening and Microsoft support has been useless! I've been digging into this for 2 weeks almost. I have users that are doing this with ActiveSync only, outlook ios only, a combination of both. Same as you, the AppID is exchange, and the IP address is Microsoft owned.
Vielleicht mag der Copilot keine anderen Gesprächspartner neben sich. Ich denke auch, daß da Hacker-Kids einfach ihren Spaß treiben. Wahrscheinlich gibts wieder diverse Wolken-Löcher.
Sorry aber dieser Kommentar ist weder hilfreich noch sehr gehaltvoll.
so ärgerlich es für Betroffene ist, irgendwie komme ich aus dem grinsen nicht mehr heraus. Dass immer noch viele diese Dienste von MS einsetzen wundert mich jeden Tag auf neue.
Das ganze ist irgendwie zu einer richtigen Pommes-Bude-Software/Cloud-Lösung geworden.
Jetzt gerade mit dem was in den USA so abgeht… wäre es nicht jetzt spätestens an der Zeit sich davon zu lösen?
Ich nutze https://www.open-xchange.com beruflich als auch privat über mailbox.org und bin absolut begeistert.
OpenXchange lässt sich wunderbar auch on premise betreiben.
es krankt, wie so oft, an der Outlook Integration.
Daher bleibt nur das original, aber eben selbst vor Ort betreiben
Alles, wie Günter schreibt, nicht mehr beherrschbar, selbst von MS nicht. Finger weg und raus aus dem Güllefass.
Ich höre immer nur: "Können wir nicht zu Outlook wechseln, da gibt es diese Probleme nicht?" (gemeint sind viel trivialere Probleme in Thunderbird) oder "Alle professionellen, großen Unternehmen nutzen Outlook. Das kann kein schlechtes Programm sein."
Tja liebe Leute, abgekündigt zu 2029. Dann ist der Spuk vorbei und das große Kotzen mit dem neuen Outlook geht erst richtig los.
Fairerweise muss man sagen, dass 2029 auch das "neue" Outlook bereits alt sein wird.
Diese Probleme werden bis dahin längst gefixt sein.
Viele neue werden bis dahin aber hinzukommen…
Vielleicht gibt es dann auch bereits ein "neues neues" Outlook, mit neuen Macken…
Mal sehen, was mein AG bis dahin macht, ich bin "zum Glück" nur dienstlicher Anwender von MS Outlook…
Ich hatte auch das Problem heute bei einem User.
Es waren auf einmal über 500 Kontakte gelöscht.
Klingt technisch so, als wäre hier eine Archivierungsregel aktiv, die in den Papierkorb verschiebt, es muss ja eine technische Ursache habe und der tag wirkt auf die Kontakte. Wenn dem wirklich so ist, heißt nicht, dass es vom Admin konf. würde, sondern ggf. ein Bug ist oder vom Endgerät ausgelöst wird, wie Frank sagt.
Ich dachte schon ich sei bescheurt, dass auf einmal meine Kontakte gelöscht werden! Vielen Dank für die Info bzgl. Wiederherstellung.
Servus,
das gleiche Problem hier, allerdings nur bei einer Mailbox.
Gerade zum zweiten Mal Kontakte wiederhergestellt.
MFA ist aktiv – keine auffälligen Anmeldeversuche im entraID.
Habe alle Sessions abgemeldet und hoffe noch, dass es nicht wieder passiert.
Zum Glück haben wir neuerdings Defibrillatoren im Unternehmen. Die wurden mit Office 361 Pflicht.
This is happening to us as well, with NO pattern and NO discernible cause. This is the only site on the internet that I find this issue. Some users have Outlook on desktop only, some only use iOS apps, some only Outlook app – all different. And not all users have this happening to them, just a subset with no pattern.
Gleiches Verhalten bei einem unserer O365 User in Spanien – die über 1000 Kontakte wurden bei, selben Postfach einmal am 04.02.2025 (da ging ich noch von einem versehentlichen löschen aus) und einmal am 10.02.2025 in den Papierkorb verschoben.
Ich wurde über die "ClientAppId 3c8e478f-21ca-493a-b87c-c7366d664d54" auf diesen Beitrag aufmerksam.
Das Log zeigt verschiedene Microsoft IPs, die die einzelnen Löschvorgänge ausführen, z.B. 2603:10a6:b18::62a / 2603:10a6:b18::667 / 2603:10a6:b10:bf::14 / etc
Der Originating Server ist bei uns ein anderer, beide male: BE1PPF9E73E6194 (15.20.4200.000)
Der Nutzer verwendet den Outlook Classic Client sowie die Outlook App auf iOS.
@St: Welche IP wird denn angezeigt, wenn man einen Kontakt manuell im Outlook Classic Client löscht?
Powershell to find these, for microsoft support:
Search-unifiedauditlog -startdate 1/31/25 -enddate 02/15/25 -resultsize 5000 -freetext "3c8e478f-21ca-493a-b87c-c7366d664d54" -Operations "MoveToDeletedItems" -formatted
@fromtheus:
Ich habe mit Deinem PoSh-Befehl einige Löschungen gefunden. Aber bei einer Löschung von Kontakten durch mich ist das Feld "ClientIPAddress" unter AuditData mit einer MS-V6-IP-Adresse gefüllt, obwohl ich diese Kontakte manuell in meinem Classic Outlook gelöscht habe.
Auch diese Werte:
"AppId": "34421fbe-f100-4e5b-9c46-2fea25aa7b88",
"ClientAppId": "3c8e478f-21ca-493a-b87c-c7366d664d54",
sind bei meinen Löschungen genauso, wie im obigen Beispiel aus diesem Thread.
Im übrigen haben alle Einträge, die ich in Deinem Zeitraum gefunden habe, eine MS-IP-Adresse und dieselben AppID und ClientAppID.
Für mich heißt das, dass Dein PoSh-Befehl auch normale, user-initiierte Löschungen umfasst, also zur Fehlersuche nicht hilfreich ist.
Wie sehen die Mitleser das?
PS: Eventuell kann Frank Carius (MVP) einen geeigneten PoSh-Befehl hier einstellen?
Hi, wir haben nun auch einen bekannt gewordenen Fall. Hunderte Kontakte weg über Nacht (6.2.2025 morgens)… das ist doch Mist…
3c8e478f-21ca-493a-b87c-c7366d664d54
hab ich gegoogelt und kam dann hier raus :(
Auch bei uns gibt es nun ein paar Betroffene.
gibt es mittlerweile was offizielles?