danke für den hinweis, werd mir das mail mal zu gemüte führen.
wobei es komisch ist, der client war in einem fall das webinterface von openxchange, das auf dem gleichen host läuft wie der smtp/imap server.
in einem andren fall wars zwar outlook, aber im internen netzwerk ... ok da könns schon ein virenscanner gewesen sein.
naja den header checken ... warum ich da nicht selbst draufgekommen bin
ich finds halt nur sehr komisch, da das bisher lediglich bei einem user aufgetreten ist. außerdem wars nur interner mailverkehr.
aber ja.
danke nochmal!