tesso

SYSVOL_DFSR heißt der Ordner nach der Umstellung von FRS auf DFS, kein Problem. Du musst schauen warum es bei dir keine Replikation des Sysvol gibt und das in Ordnung bringen. Dazu gab es hier in den letzten Tagen etliche Threads zum gleichen Thema, schau dich mal um.

@NorbertFe Danke fürs raussuchen. Dann war ich auf dem richtigen Weg. Ich dachte mir schon, das beim Recovery die Version nicht gesetzt wird (Warum auch, ist kein Update). Zur Sicherheit würde ich das CU nochmal installieren. Dann sind wir sicher das auch alle Schemaerweiterungen korrekt angekommen sind. Die Version ist schließlich von CU8 auf CU20 geändert. Ich müsste erst nachschauen, ob es dort Schemaänderungen gab. Ich sage immer: Ich lese keine Handbücher, ich drücke Knöpfe bis es geht.

@chrismue Ich habe gelernt man muß das gleiche CU nehmen wie installiert war. An deiner Stelle würde ich das CU20 nochmals drüber installieren. Denk auch an .net

@chrismue Hausaufgabe: Jetzt machst du das noch hübsch und verschiebst die DB und die Logs auf eigene Partitionen.

Und vom neuen Server? Der liest doch das selbe AD aus. Wo liegt deine DB auf dem neuen Server? Entweder legst du die DB/logs in die Ordner wo die laut AD stehen oder du verschiebst die Datenbank an die Stelle wo sie nun liegt.

Danke für die Info. Nach Lesen des Blogartikels verstehe ich auch was das Problems war/ist. Ich habe den Essentials bei keinem Kunden im Einsatz.

Liegt die DB und die Logs auch an der gleichen Stelle wie auf dem alten Server? Vergleiche bitte die Pfade von Get-MailboxDatabase mit deinen Pfaden.

und das nur für den einen Ordner oder eine Datei.

Das habe ich schon mehrfach erlebt, das die das nicht anders können. Erst nach längerer Diskussion hatten sie dann komischerweise auch eine Lösung über einen USB-Stick. Ich hätte sie würgen können.

Ich verstehe nicht was du tust. Wieso die alte Domain entfernen? Läuft die Replikation? DNS? FSMO Rollen wirklich alle verschoben?

Wie oft nun noch? Als Dienstleister hätte ich paar mehr Ideen von dir erwartet.

Du bist doch selbst Dienstleister. Ich tue mich sehr schwer damit eine Exfiltration 100%ig auszuschließen, du kannst das besser als ich.

Hm, ich habe das bisher in allen Windows gesehen, war vielleicht Zufall.

Den Befall kannst du so einfach ausschließen? Du solltest ins Pentestgeschäft einsteigen. Es gibt etliche Maßnahmen sich so zu verstecken, daß du nichts siehst. Kein Kommentar.

Das ist Einstellung in Windows, nicht der Netzwerkkarte. (Dort gibt es das evtl. auch, je nach Treiber)

Vom Netz nehmen und neu aufsetzen? Dauert doch auch nicht so lange und du kannst dir die ganze Bastelei sparen. Zumindest der Exchange ist kompromittiert. Wie sieht es mit anderen System (DC) aus? Gab es schon Daten Exfiltration? Evtl. ist die gesamte Umgebung schon gefallen. Den weiter zu betreiben ist unverantwortlich.

Und was folgerst du raus? Welche Maßnahmen unternimmst du jetzt?

Das ist ein Feature von Windows 10, das man deaktivieren kann. Sollte irgendwo im Umkreis der WLAN Einstellung in Windows befinden.

Dann könnte das Kennwort noch irgendwo gespeichert. Mit dem hmail kenne ich mich nicht aus.

Evtl. hast ein Problem mit 365. Dann könnte das helfen. https://www.managed-office.at/wissensdatenbank/item/office-365-autodiscover-uebergehen oder dein Autodiscover ist nicht korrekt konfiguriert.

Kommt darauf an, was und wie du überwachst. Man kann das einschränken. Wenn die Dateien jede Woche weg sind hast du auch keine neue Erkenntnis. Da möchte ich schon wissen wer oder was dort löscht.

Dann hast du irgendwas falsch gemacht. Das nutzen wir seit x Jahren und es funktioniert.

Mir fällt da die erweiterte Überwachung im AD ein. Dort siehst du dann auch wer löscht. Vorsicht, das könnte auch Personalüberwachung werden.

Genau darum testet man ja.

Klingt auf den ersten Blick richtig. Warum probierst du es nicht einfach aus?