IT-Prozess für das massenhafte löschen von Mails

Hallo zusammen,

heute mal eine Frage in die versammelte runde, die nix mit Technik, sondern mehr mit Verfahren und Juristerei zu tun hat.

Und - ehrlich gesagt - mich interessiert, wie ihr das in euren Firmen löst.

Wir betreiben bei uns einen Exchange-Server als zentralen Mailserver. Dieser kann bekanntermaßen per Powershell angesprochen werden.
Mit Hilfe des Powershellbefehls "SearchMailbox" lassen sich Mails nach vorgegebenen Kriterien löschen, in Kombination mit get-mailbox automatisiert aus allen Postfächern gleichzeitig.

1. Benutzt das jemand von euch?
2. Wenn ja: Nach welchen Kriterien benutzt ihr das? Sind diese vorgegeben und "offiziell abgesegnet" oder macht ihr das "aus dem Bauch heraus"?
3. Protokolliert ihr, wenn ihr etwas löscht?

Wir hatten vor einigen Tagen den Fall, dass ein paar Phishing-Mails mit einem obskuren Link durchgerutscht sind. Wir haben im Anschluß eine Mail an alle verschickt, vor diesen Mails gewarnt und darum gebeten diese Mails unverzüglich zu löschen und nichts anzuklicken. Die meisten MA haben das wohl auch binnen kurzer Zeit gemacht.
Wir haben dann per Zufall, bei einem MA gesehen - Admin war aus einem anderen Grund an diesem Arbeitsplatz - , dass dieser die Mail nicht gelöscht hat. Wir haben dann per "Search-Mailbox" protokollieren lassen, wer diese Mail sonst noch in seinem Postfach hat und waren erstaunt, dass immer noch 40 von 500 durchgerutschten Mails in den Postfächern lagen. Die Versuchung, diese Mails per "-deletecontent" sofort zu löschen ist groß.

Was macht ihr in solch einem Fall?