Wiederherstellbare Elemente aus Backup wiederherstellen

[TobiasNYSE 10]

Allgemeines Szenario:

Benutzer hat vor ca. 5 Monaten unerlaubt E-Mails weitergeleitet und diese sofort aus "gesendete Objekte" und anschließend aus dem Ordner "gelöschte Elemente" gelöscht! Diese E-Mails müssen nun wiederhergestellt werden.

 

Was bisher geschah:

Datenwiederherstellung, mit 1 Tag Abstand zum Löschdatum, in eine ExSrv. RecoveryDatabase, Status Clean Shutdown, und in der ExSrv. MMC Online (2010 SP2) - soweit alles wunderbar. 

 

Das Problem:

Wie komme ich an die "wiederherstellbaren Elemente" http://technet.microsoft.com/de-de/library/ee364755(v=exchg.141).aspx des Benutzerpostfaches?

 

Habe schon einige Lösungsansätze recherchiert, evaluiert und getestet aber ich sehe kein Licht....am Ende des Tunnels :confused:

Jetzt die Frage an alle ExSrv. Experten, habt Ihr ne Kerze oder sogar ein Scheinwerfer - Im voraus danke ich für Eure Unterstützung.

[RobertWi 81]

Moin,

 

die erste Frage lautet: Ist "SingleItemRecorvy" für diese Mailbox aktiviert gewesen:

 

get-mailbox ALIAS | fl Alias,SingleItemRecoveryEnabled

 

Bekommst Du dort ein "false", kannst Du aufhören. Ohne aktiviertem SingeItemRecovery gibt es keinen Ordner "Wiederherstellbare Elemente". In diesem Fall sind die Elemente unwiderbringlich weg.

 

Das steht übrigens auch sehr gut verklausiert in Deinem verlinkten Artikel.

Nachtrag: Damit das vollständig ist, bitte auch die "LitigationHold" prüfen:

 

get-mailbox ALIAS | fl Alias,SingleItemRecoveryEnabled,LitigationHoldEnabled

[TobiasNYSE 10]

ja scheiße... Ergebnis 2x False.

 

ABER es besteht trotzdem bei diesem Postfach die Möglichkeit über Outlook, über die Funktion "Gelöschte Elemente wiederherstellen", auf 14 Tage alte Mails zurückzugreifen - der Misst muss doch physisch irgendwo aufzufinden sein! 

 

Angenommen ich vollziehe einen "Bare Metal Restore" auf das entsprechende Datum und Verbinde Outlook mit dem besagten Postfach, müsste ich doch rückwirkend auf die "Gelöschten Elemente" Zugreifen können - rein theoretisch?! 

[RobertWi 81]

Richtig. Aber aus diesem Ordner darf der User löschen und dann sind sie sofort weg. Den Papierkorb "hinter dem Papierkorb", an den der User nicht mehr rankommt, gibt es nur mit SingleItemRecovery.

 

Lies Dir mal in Ruhe das hier durch: Klick

 

Du hast "Dumpster 1.0" -> Mails können komplett gelöscht werden.

 

Nur "Dumpster 2.0" hätte sie in einem weiteren Papierkorb gesichert. Der muss aber VORHER aktiviert werden.

 

Dein Backup hilft Dir nur, wenn Du VOR dem kompletten Löschen eines gemacht hast.

[TobiasNYSE 10]

Vielen Dank, lese ich mir durch...

 

Also ich bin mir ziemlich sicher, dass der Benutzer die E-Mails aus dem Bereich "Gelöschte Elemente wiederherstellen" nicht gelöscht hat, dafür ist diese Funktion zu unbekannt, und ich traue dieses Vorgehen dem Benutzer nicht zu! 

(Vielleicht verstehen wir uns hier evtl. falsch)

 

So sieht die Kaskade in dem Falle doch aus "Gesendete Objekte" >DEL> "Gelöschte Objekte" >DEL> "Gelöschte Elemente wiederherstellen" >hier wurde nicht gelöscht> endgültig weg

 

Ich schätze dass hier, mit an 100% grenzender Wahrscheinlichkeit, kein "endgültiger Löschvorgang" durchgeführt wurde!

 

Ich glaube es besteht doch noch Hoffnung  :) ...any ideas?

 

[Ergänzung]

Ok, habe den Artikel mal kurz überflogen, bestätigt meine Theorie, ich kann meine Frage präzisieren - Wie komme ich an die "Recoverable Items" aus Dumster 1.0 heran?

bearbeitet 8. April 2013 von TobiasNYSE

[RobertWi 81]

Moin,

 

dann würde die Mail nach 14 Tagen (Standardwert) automatisch verschwinden.

 

Dann mach doch einfach eine Wiederherstellung vom Tag nach der Löschung in eine "Testumgebung" und öffne Dir da das Postfach ganz normal in Outlook.

[TobiasNYSE 10]

Für das Protokoll:

 

 Wie komme ich an die "Recoverable Items" aus Dumster 1.0 heran?

 

Hiermit: DigiScope http://www.lucid8.com/product/digiscope.asp 

Funktioniert sehr gut, die E-Mails konnte ich auffinden, scheinbar ist es mit Windows Bordmitteln nicht möglich.

[RobertWi 81]

Doch, geht mit Windows-Bordmitteln auch - ist nur sehr aufwendig und langwierig. Wobei ich noch nie einen Restore der Recoverable Items mit Bordmitteln gemacht habe, kann also sein, dass man neben der Recoverydatabase auch einen Recoveryserver braucht - was das ganze noch aufwendiger macht.

 

Daher sichert man ja seinen Exchange auch nicht mit Windows Bordmitteln. :)