Glossar
MailItemsAccessed
Postfachüberwachungsaktion von Exchange Online, die Zugriffe auf E-Mail-Elemente über jedes Protokoll und jeden Client erfasst, um festzustellen, was ein Eindringling sehen konnte.
MailItemsAccessed ist eine Postfachüberwachungsaktion von Exchange Online, die im Unified Audit Log erfasst wird und Zugriffe auf E-Mail-Elemente über jedes Protokoll protokolliert (POP, IMAP, MAPI, EWS, Exchange ActiveSync, REST). Microsoft dokumentiert sie als Teil von Audit (Standard), standardmäßig aktiviert für Benutzer mit Office 365 oder Microsoft 365 E3/E5.
Es gibt zwei Zugriffsarten. Bind-Einträge nennen einzelne Nachrichten per InternetMessageId, zusammengefasst in Zwei-Minuten-Fenstern mit einer Anzahl in OperationCount. Sync-Einträge bedeuten, dass ein Outlook-Desktopclient einen ganzen Ordner heruntergeladen hat, der dann als offengelegt gilt. Einträge können gedrosselt werden (Throttling), wenn ein Postfach zu viele davon erzeugt.
Es belegt einen Zugriff durch einen Client, nicht, dass ein Mensch eine Nachricht gelesen hat. Siehe MailItemsAccessed: was es beweist.