Hvem er logget ind på kontoen? Enheder og sessioner

Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Microsoft, Google og Apple viser på kontoens sikkerhedsside, hvilke enheder og sessioner der er logget ind, ofte med tidspunkt, omtrentlig placering og enhedstype. Listen viser, hvorfra kontoen bruges, ikke hvem der sidder ved enheden. Tag skærmbilleder og bestil dataeksport, før ukendte sessioner logges ud, fordi oplysningerne ellers kan forsvinde.

Haster det? Gmails kontoaktivitet viser kun de seneste ti adgange, og enhedslisterne dækker kun de seneste uger, så en ukendt session kan være væk fra visningen inden for dage. Se akut forensisk sikring; hastesager koster ekstra.

Artiklen gælder kun egne konti eller konti, man har lovligt grundlag for at undersøge, fx en virksomheds egne brugerkonti. Den beskriver, hvordan oplysningerne læses og dokumenteres, ikke hvordan man får adgang til andres konti. Er du udsat for digital stalking, kan Nielco IT hjælpe med at sikre spor og lukke adgange: hjælp ved digital stalking.

Enhed, session og token

Tre begreber blandes ofte sammen:

Enhed: en telefon, computer eller tablet, der er registreret på kontoen, typisk med modelnavn og styresystem.
Session: et login fra en browser, app eller tjeneste på en enhed. En enhed kan have flere sessioner.
Token: den tekniske nøgle, der holder sessionen i live. Et token kan fortsætte med at virke, efter at adgangskoden er skiftet. Se sessioner og tokens.

Listen på sikkerhedssiden er en visning af enheder og sessioner, som tjenesten vælger at vise. Den er ikke en komplet loginlog.

Microsoft-konti

Private Microsoft-konti har en side med seneste aktivitet, der viser logins med tidspunkt, land eller region, IP-adresse, browser og styresystem, samt om forsøget lykkedes. Usædvanlige forsøg markeres særskilt. Siden har også en oversigt over enheder, der er knyttet til kontoen.

Arbejds- og skolekonti i Microsoft Entra ID har en tilsvarende side for brugeren med logins og enheder. For administratoren er den egentlige kilde Entra ID’s loginlogs, som skelner mellem interaktive og ikke-interaktive logins og viser klientapp, enheds-id, betinget adgang og resultat. Se Entra ID-loginlogs. Registrerede enheder i Entra ID kan i sig selv være en vedvarende adgangsvej og bør gennemgås: registrerede enheder som vedvarende adgang.

Google-konti

Google-kontoens sikkerhedsside viser enheder, der er logget ind nu eller har været det inden for de seneste uger, med enhedstype, omtrentlig placering og seneste aktivitet. Nogle poster er sessioner frem for fysiske enheder. Siden viser også nylige sikkerhedshændelser som nye logins, ændret adgangskode og ændrede gendannelsesoplysninger.

I Gmail findes desuden en oversigt over seneste kontoaktivitet med adgangstype (browser, mobil, IMAP) og IP-adresse. For Google Workspace-konti har administratoren login-auditloggen, som rækker længere tilbage end brugerens egen visning. For private konti er begge visninger korte: Googles hjælpeside beskriver enhedslisten som enheder, der er logget ind nu eller har været det inden for de seneste uger, og Gmails kontoaktivitet viser de seneste ti adgange med IP-adresse. Begge skal derfor dokumenteres hurtigt.

Apple-ID

Apples enhedsliste viser de enheder, der er logget ind med kontoen, med model, navn og for nogle enheder serienummer og softwareversion. Den viser, hvilke enheder der er betroede og kan modtage bekræftelseskoder. Apple viser normalt ikke tidspunkt for seneste login eller IP-adresse i listen. Webbrowserlogins på iCloud.com fremgår ikke på samme måde som enheder.

For stalking-ramte er iPhonens sikkerhedstjek (Safety Check) relevant, fordi det samler delinger og adgange. Brug funktionens gennemgang til at dokumentere først. Nulstillingen afbryder delinger og bør først bruges, når skærmbilleder og noter er taget. Se delt konto som overvågning.

Sociale medier og beskedtjenester

Facebook, Instagram og Messenger samler aktive sessioner under kontocentrets sikkerhedsindstillinger, hvor de vises med enhed, placering og seneste aktivitet. Beskedapps som WhatsApp og Signal har deres egne lister over tilknyttede enheder. Se tilknyttede enheder i beskedapps.

Overblik: hvad tjenesterne typisk viser

Microsoft-konto (privat) · Logins med tid, region, IP, browser, styresystem og resultat
Microsoft Entra ID (arbejde) · Egne logins og enheder; administratoren har den fulde loginlog
Google-konto · Enheder og sessioner med type, placering og seneste aktivitet; sikkerhedshændelser
Apple-ID · Enheder med model og navn; normalt uden tid og IP
Meta (Facebook, Instagram, Messenger) · Aktive sessioner med enhed, placering og seneste aktivitet

Visningerne ændres jævnligt af leverandørerne, så felter og placering i menuerne kan afvige fra beskrivelsen. Notér derfor altid datoen for gennemgangen og, hvis muligt, appens eller browserens version.

Når kontoen er en virksomhedskonto

For konti, som virksomheden selv ejer og administrerer, er brugerens egen visning sjældent den bedste kilde. Administratoren har adgang til centrale logs med længere historik, flere felter og mulighed for eksport i et format, der kan hashes og efterprøves. Det gælder Entra ID’s logins og auditlog, Google Workspaces loginrevision og MDM-systemets enhedsoversigt.

Undersøgelsen skal have et lovligt grundlag og være afgrænset til formålet, og den bør dokumenteres med, hvem der foretog opslag, hvornår og med hvilken rolle. Brugerens egne enhedslister kan supplere, fx når en privat enhed er logget ind på arbejdskontoen, men de erstatter ikke de centrale logs.

Dokumentér, før der logges ud

Når en ukendt session logges ud eller en enhed fjernes, forsvinder posten ofte fra listen. Har man ikke dokumenteret den, kan det senere være umuligt at vise, at den fandtes. Rækkefølgen bør derfor være:

Brug en sikker enhed til gennemgangen, som ikke selv er mistænkt.
Tag skærmbilleder eller skærmoptagelse af hver liste, og åbn hver ukendt post for detaljer. Sørg for, at kontonavn, dato og klokkeslæt fremgår.
Notér for hver post: enhedstype, navn, placering, første og seneste aktivitet, som tjenesten viser dem.
Bestil dataeksport fra tjenesten, fordi eksporten kan indeholde mere historik end visningen.
Sikr administratorlogs, hvis kontoen er en arbejdskonto, før IT nulstiller noget. Se også login fra et ukendt land.
Luk derefter adgangen samlet: ny adgangskode, gennemgang af tofaktor-metoder, log alle sessioner ud, fjern ukendte enheder og tredjepartsapps.

Et skift af adgangskode alene lukker ikke nødvendigvis sessioner, der allerede er aktive.

Fortolkning og fejlkilder

Placering ud fra IP er omtrentlig. Mobilnet, VPN og virksomhedens proxy kan placere et login i en anden by eller et andet land.
Egne glemte enheder er den hyppigste forklaring på ukendte poster: en gammel telefon, en arbejdscomputer, en smart-tv-app.
Browsere opdateres og kan dukke op som nye sessioner med nyt navn.
Synkroniseringstjenester og mailapps logger ind på vegne af brugeren og kan se ud som separate logins.
Fravær af ukendte poster udelukker ikke adgang. Listen viser kun det, tjenesten registrerer som enhed eller session, og ældre poster kan være udløbet.

Hvad listen kan og ikke kan vise

En enheds- eller sessionsliste kan vise, at kontoen har været brugt fra en bestemt enhedstype, på et omtrentligt sted og tidspunkt. Den kan ikke alene vise, hvem der brugte enheden. Koblingen til en person kræver andre spor: en enhed med et bestemt navn, en model, som en bestemt person ejer, eller tidspunkter, der passer med andre oplysninger. Den kobling skal beskrives forsigtigt og med de usikkerheder, der er.

I en rapport bør hver iagttagelse stå med tjeneste, konto, tidspunkt for gennemgangen og den præcise tekst, tjenesten viste. “Google viste en Windows-enhed i Aarhus med seneste aktivitet den 14.” er en observation, der kan efterprøves mod skærmbilledet. Fortolkningen af, hvem enheden tilhører, skrives særskilt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse efter et hackerangreb

Læs også: Misbrug af cloudkontoen og regningen bagefter: dokumentation til tvisten · Er telefonen hacket? Hvad en undersøgelse kan vise

→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik