Den P.S.-Vermerk verstehe ich nicht. Was besagt denn die Lesebestätigung ?
Sie besagt erstmal gar nichts. Aber wenn ich eine unglaublich wichtige Mail verschicke, die ja anscheinend Konsequenzen für die Firma hat (sonst würde es ja kaum so hochkochen), dann hätte der Chef im Vorfeld eine Info gehabt, ob Mitarbeiter B die Mail erhalten hat und ggf. zum Telefonhörer gegriffen, um dem Mitarbeiter mitzuteilen, dass da was wichtiges zu tun oder zu lassen ist - und nicht zwei Monate später vor dem Problem gestanden, dass Mitarbeiter B sie nicht beachtet hat. Chef A hat also seinen Job nicht richtig gemacht, und will wahrscheinlich alles auf den Mitarbeiter B abwälzen...
Eine Empfangsbestätigung ist übrigens keine Verhaltenskontrolle, wenn sie nur bei bestimmten Mails aktiviert ist (analog dazu: Nachhaken bei jemanden, ob er etwas bereits erledigt hat, ist nur dann Verhaltenskontrolle, wenn man das bei jedem Schritt tut).
habe auch schon mehrfach ähnliche (wenn nicht identische) Forensik machen müssen
Die Forensik ist halt auch etwas umfangreicher, als mal den internen Admin und einer revisions-unsicheren Umgebung in die Logs schauen zu lassen, und in die Mail DB des Mitarbeiters rein zu gucken (garniert mit nem EML-Export einer Mail... Setzen , 6!).
Was sollen die Logs den auch Aussagen? Das da ne Mail kam?
Und wie schon geschrieben: N bischen kriminelle Energie, und die Datumsstempel sind nichts mehr wert - einfach mal ne VM starten, das Datum "anpassen" und die nötigen IDs zu Hand nehmen, und - tadaa - Logs und Mailfiles passen zur jeweiligen gewünschten Aussage. Dann halt noch die Backups "modifizieren"...
WENN das email so wichtig war, und der Chef einen Admin einen EML datei erstellen läßt, würde ich mir denken das dieses email von draussen gekommen sein mußte.
Wenn daß der Fall wäre, hätte man wohl ne Mail vom Absender, denn der wird ja wohl mitgeteilt haben, daß er ne Mail geschickt hat, und diese ggf. auch vorlegen. Dann würde die Forensik auch Sinn machen. Hier sieht es doch eher so aus, als hätte der Chef eine wichtige Anweisung erteilt ("Gebäude nicht abreißen" / "Einkauf stoppen!" / whatever), und der Admin wollte die Mail zum Beweis aus dem Mailfile exportieren.
