Vieleicht ist auch grade noch eine Transaction aktiv und wird nach paar Tagen abgebrochen/zurükgerollt?
Ich hatte zwar noch keine Zeit mich mit Transaktionen und Schattenkopieen im NTFS bzw. in der Registry besschäftigt,
aber eigentlich sollte eine fremde Transaction oder Schattenkopie keine Auswirkung auf Dateien haben (denke/hoffe ich mal), die im Explorer kopiert wurden,
obwohl dann eher andresrum, dass dort die Datei auch überschrieben wurde und die Transaction dann committed wird.
NTFS führt doch ein Changelog/Journal?
Da müsste man doch nachsehen können, wann zuletzt diese Datei geändert wurde (vielleicht auch wer)
ntfs logfile parser