Adgangskodeadministratorer: auditlogs ved fratræden

Forside › Cloud- og SaaS-forensik · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Erhvervsversionerne af adgangskodeadministratorer fører en hændelseslog over virksomhedens delte bokse og elementer: hvem der oprettede, ændrede, slettede, viste, kopierede eller udfyldte et element, og hvem der eksporterede data. Ved en fratræden kan loggen vise, hvilke delte adgangskoder medarbejderen faktisk brugte i den sidste periode, og dermed hvilke der skal skiftes. Loggen dækker kun det, virksomhedens løsning registrerer, typisk delte elementer, og en del af hændelserne rapporteres af klientprogrammet, hvilket begrænser bevisværdien.

Artiklen handler kun om virksomhedens egen løsning og dens logs. Den praktiske side for virksomheden er beskrevet på Adgangskodeadministratoren: delte bokse, og hvem der åbnede dem.

Hvad loggen typisk indeholder

Hændelserne falder i fire grupper:

Elementhændelser: oprettet, redigeret, flyttet, sendt til papirkurv, gendannet og slettet permanent.
Brug af elementer: vist, adgangskode vist, kopieret og udfyldt automatisk. Det er disse hændelser, der viser, hvad en bruger faktisk har haft fat i.
Organisationshændelser: brugere inviteret, fjernet eller ændret, grupper og samlinger ændret, politikker ændret og eksport af organisationens data.
Login og enheder: login, mislykkede forsøg, tofaktor og nye enheder, ofte suppleret af identitetsudbyderens log, når der bruges SSO; se Identitetsudbydere og SSO.

To udbredte løsninger kan illustrere forskellene. Bitwarden har hændelseslogs i Teams- og Enterprise-planerne. Ifølge Bitwardens dokumentation opbevares hændelserne uden tidsbegrænsning, men der kan højst vises 367 dage ad gangen, og loggen kan eksporteres som CSV fra webappen eller som JSON via API’et. Hændelsestyperne skelner bl.a. mellem visning af et element, visning af adgangskoden, kopiering og automatisk udfyldning. 1Password leverer tilsvarende data via sit Events API, hvor brug af elementer i delte bokse registreres med handlinger som visning, kopiering, udfyldning, redigering og eksport. Andre løsninger har lignende rapporteringsmoduler, nogle gange som tilkøb.

Klientrapporterede hændelser

Det vigtigste forbehold er, at mange brugshændelser registreres af klientprogrammet og sendes til serveren bagefter. Bitwarden oplyser, at klienterne sender hændelser cirka hvert minut, at hændelser ikke kan registreres, hvis klienten mister forbindelsen til API’et, og at klientrapporterede data teknisk kan ændres eller undertrykkes. Bitwarden skriver selv, at loggen derfor ikke nødvendigvis er tilstrækkelig til juridisk forensisk brug. 1Password oplyser, at brugshændelser kun registreres fra klienter fra en bestemt version og sendes, når klienten synkroniserer, så de kan komme forsinket.

Konsekvensen er, at fravær af en visningshændelse ikke beviser, at et element ikke blev set. En medarbejder, der arbejdede offline eller med en ældre klient, kan have brugt elementer uden spor i loggen. Serverhændelser som oprettelse, ændring, sletning og eksport er mere robuste, fordi de opstår på serveren.

Spørgsmålene ved en fratræden

Hvilke delte bokse og samlinger havde medarbejderen adgang til? Rettighederne skal dokumenteres, som de var før fratrædelsen, ikke efter oprydningen.
Hvilke elementer blev brugt i den sidste periode? Vist, kopieret eller udfyldt, fordelt på tid. Mønstre som mange visninger af elementer, medarbejderen normalt ikke bruger, er relevante.
Blev der eksporteret data? Eksport af organisationens bokse er en selvstændig hændelse og bør kobles til andre spor fra samme tidsrum; se Data taget ved fratræden: den tekniske undersøgelsesplan.
Blev elementer flyttet eller slettet? Flytning fra en delt boks til en personlig boks eller sletning kort før fratræden.
Hvilke adgange skal skiftes? Svaret afgrænser rotationen. Hvis loggen er ufuldstændig, er den sikre løsning at skifte alt, medarbejderen havde adgang til.

Personlige bokse

Mange løsninger giver medarbejderne en personlig boks ved siden af de delte. Virksomhedens hændelseslog dækker typisk ikke personlige elementer, og administratoren kan normalt ikke se indholdet. Adgang til indholdet hører under virksomhedens politikker og de juridiske rammer, ikke under den tekniske undersøgelse, og artiklen beskriver ikke metoder til at skaffe den.

Sikring

Fasthold tilstanden, før kontoen deaktiveres: brugerens rettigheder, grupper, samlinger og enheder. Tag eksport og dokumenterede skærmbilleder.
Eksportér hændelsesloggen for en periode, der rækker et godt stykke før fratrædelsen. Brug API’et, hvis brugerfladen begrænser perioden, og gem de rå svar.
Sikr identitetsudbyderens loginlog for samme periode.
Notér rotationen: hvilke adgangskoder der blev skiftet, hvornår og af hvem. Skiftet er nødvendigt, men det ændrer også tilstanden og skal stå i handlingsloggen.
Hash alle filer og registrer dem i bevisloggen.

Administratorens egen rolle

Den, der administrerer løsningen, kan som regel både se hændelsesloggen og ændre rettigheder, og i nogle løsninger også slette elementer og samlinger. Er administratoren selv involveret i sagen, eller er det en ekstern IT-leverandør, der også skal udføre oprydningen, bør eksporten foretages eller overværes af en anden, og tidspunktet bør ligge før enhver oprydning.

Giv en ekstern sagkyndig en særskilt rolle med læseadgang til rapporter og hændelser frem for at dele en eksisterende administratorkonto. Så kan den sagkyndiges egne handlinger skelnes fra virksomhedens i loggen, og det kan dokumenteres, at sikringen ikke ændrede noget. Mange løsninger kan sende hændelserne løbende til et eksternt logsystem eller en SIEM-løsning. Er det sat op, er den kopi uafhængig af administratorkontoen og bør sikres sammen med eksporten fra selve løsningen. Hvor de to kilder afviger, skal forskellen forklares, fx med forsinket levering eller filtre i integrationen.

Kobling til andre spor

Loggen bliver stærkere, når den kobles til de systemer, adgangskoderne giver adgang til. En visning af adgangskoden til et leverandørsystem kl. 21.14 og et login i det system kl. 21.16 fra en ukendt IP-adresse er et sammenhængende spor. Metoden er beskrevet i Tidslinje for de sidste uger før fratræden. Den samlede undersøgelse ved fratræden er beskrevet på Teknisk undersøgelse ved fratræden.

Rækkefølgen ved fratrædelsen betyder noget. Deaktiveres kontoen først, kan rettighederne forsvinde fra brugerfladen, og fjernes medarbejderen fra organisationen, kan nogle løsninger ændre, hvordan brugerens hændelser vises. Eksportér derfor rettigheder og hændelser, mens kontoen stadig er aktiv, og deaktivér umiddelbart derefter. Notér begge tidspunkter i handlingsloggen.

Typiske fejlkilder

Udfyldning er ikke login: automatisk udfyldning viser, at adgangskoden blev sat ind i en formular, ikke at login lykkedes.
Delte konti: flere brugere bag samme login i det system, adgangskoden hører til, gør koblingen usikker.
Synkroniseringsforsinkelse: hændelsens tidspunkt kan være klientens eller serverens. Afklar, hvilket felt eksporten viser.
Administratorens egne handlinger: oprydning efter fratræden giver mange hændelser, der kan forveksles med medarbejderens.

Hvad loggen kan og ikke kan bevise

Loggen kan vise, at en bestemt brugerkonto oprettede, ændrede, slettede eller eksporterede elementer, og med de nævnte forbehold, at den viste, kopierede eller udfyldte bestemte elementer. Den kan ikke vise, hvad adgangskoden blev brugt til bagefter, og den kan ikke vise brug, der ikke blev rapporteret. Formulér konklusionerne med det forbehold, og støt dem med logs fra de systemer, adgangskoderne giver adgang til.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Cloud- og SaaS-forensik

Læs også: Bank- og MobilePay-data som datakilde · Cloud-forensic: sikring via API og administratoreksport

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik