Phänomen Email - Absender einer Email die Original von jemand anderem verfasst wurde - Versand an selbe Empfänger

Hi Emeriks,

Danke für die Nachfrage. Nein diese wurden im Original von Hand von Herr Maier geschrieben und eine mit Anhängen versehen. Lediglich die Signatur wird von Outlook hinzugefügt.
Die Kopien sind von Outlook versendet wurden (haben auch Outlook Header)
Sonst laufen keine Mailrelevanten Anwendungen auf dem Terminalserver.

Hallo, wir nutzen einen Terminalserver (Windows Server 2012 R2) mit einer Volumenlizenz von Outlook 2016 als Mailclient.
PST Files sind auf Fileserver ausgelagert in via Active Directory geschützten Benutzerordnern.
Die PST Files, werden via Bandsicherung täglich gesichert.

An der Konfiguration des Terminalservers (Als Hpyer-V VM) wurde nichts geändert seit Monaten. Der ist rudimentär eingerichtet. Lediglich Officepaket, Warenwirtschaft und Rechnungswesen sind dort installiert. Zugriffsrechte in der Domäne via Active Directory geregelt.

Datenbank und Fileserver sind separate VMs. Zusätzlich setzen wir noch eine VM als Domaincontroller ein.

Grundsätzlich ist zu sagen, dass es sich hier um einen Einzelfall handelt. Wir nutzen insgesamt um die 60 Emailadressen täglich.

Was das Sicherheitsleck sein könnte erschliesst sich hier gerade nicht, da ja definitiv wärend der Kernarbeitszeit, dies manuell hätte machen müssen. Das ist gerade nicht nachvollziehbar, da der Kollege zu dem Zeitpunkt, als sich das verselbstständigt zu haben scheint, ja auf dem Terminal eingeloggt gewesen ist und Outlook gestartet war. Das er selbst dies aktiv hätte machen können, setzt ja voraus, dass er die Originalmail zumindest mal erhalten hat. Da die Mail ja in einer nutzerbezogenen PST im gesendete Objekte liegt, wäre lediglich der Ansatz, dass die angesprochenen Emails in seinen Postausgang (in der PST) von externer Maleware geschrieben wurden. Was das Szenario unwahrscheinlich macht ist aber, dass dies eben nur 1x mit 2 Emails passierte und NICHT mehrfach trotz 50 Postfächern die auf dem Terminalserver im Outlook eingerichtet sind. Ausserdem sind die PST Files ja nicht beschreibbar solange Outlook auf diese Zugriff hat.
Verstehe aber grob den Ansatz, schlau werd ich aber immer noch nicht daraus.
Habe die Header überprüft. Versand definitiv über Outlook-client von unserem Terminalserver. Grundsätzlich sind die unauffällig.
Noch einige konkretere Ansätze um das Problem einzugrenzen? Dankeschön