Aha, es gibt also keinen bestimmten Verdächtigen, sondern ein Rudel verdächtiger! Sorry, hatte ich so nicht interpretiert.
Es gibt ein Feld "RouteServers" bei den Dok-Eigenschaften, sieht man darin was? Da müsste ja ggf. der Mailserver eines Verdächtigen aufgelistet sein, falls die DBs auf verschiedenen Servern liegen.