Forside › E-mail forensics · Gennemgået oktober 2026 · Af John Nielsen
En anonym mail eller en profil uden navn efterlader næsten altid tekniske spor, men de fleste af dem ligger ikke hos modtageren. De ligger hos mailudbyderen, platformen, domæneregistratoren eller internetudbyderen, og de udleveres kun ad retlig vej. Modtageren kan selv sikre det, der er modtaget, og dokumentere det korrekt. Det er grundlaget for alt det, der kommer bagefter.
Artiklen er et teknisk overblik til advokater og andre, der skal vurdere, om en sag om en anonym afsender kan bære en begæring om udlevering. Den juridiske side er beskrevet på digital-bevissikring.dk om den anonyme modpart. Artiklen beskriver ikke metoder til selv at afsløre afsenderen, og det frarådes at forsøge.
Det, modtageren selv har
Den modtagne besked er det første og vigtigste spor. For en mail består den af to dele: indholdet og headerne. Headerne indeholder blandt andet:
- Received-linjer, som hver mailserver på vejen tilføjer, med servernavn, IP-adresse og tidspunkt.
- Message-ID, en entydig identifikation, som den afsendende server eller klient danner.
- Autentificeringsresultater for SPF, DKIM og DMARC, der viser, om mailen kom fra et domæne, der godkender afsenderserveren.
- Klient- og programoplysninger, som nogle mailprogrammer tilføjer.
Store mailtjenester fjerner som regel afsenderens egen IP-adresse og angiver kun deres egne servere. Headerne peger derfor typisk på en udbyder, ikke på en person. Det er stadig værdifuldt, fordi det viser, hvem der har de næste data. Læsning af headerne er beskrevet i mailheadere, SPF, DKIM og DMARC.
For en profil på en platform har modtageren beskeder, profilnavn, brugernavn, et eventuelt bruger-id, profilbillede og tidspunkter. Bruger-id’et er vigtigere end navnet, fordi navnet kan ændres, mens id’et normalt består. Det sikres med skærmbilleder suppleret af platformens egen dataeksport, hvis den findes.
Modtagerens egen organisation kan også have spor: mailserverens transportlog, en sikkerhedsgateway eller et filter, der har registreret den indgående forbindelse. Se message trace og transportlogs.
Det, andre har
Bag hvert spor hos modtageren står en part med flere data:
- Mailudbyder eller platform · Oprettelsesdata, telefonnummer eller gendannelsesmail, login-IP’er med tidspunkt
- Domæneregistrator og webhotel · Registrant, betalingsoplysninger, adgangslogs for kontoen
- Internetudbyder eller teleselskab · Hvilket abonnement der havde en IP-adresse på et bestemt tidspunkt
- VPN- eller anonymiseringstjeneste · Afhænger af tjenesten; mange oplyser, at de ikke gemmer forbindelsesdata
Kæden er typisk: platformen har en IP-adresse og et tidspunkt, og internetudbyderen kan forbinde de to til et abonnement. Et abonnement er ikke en person. Det kan være en husstand, en arbejdsplads eller et offentligt net.
Fejlkilder i kæden
Hvert led har sine egne usikkerheder:
- Delte IP-adresser. Mange udbydere deler én offentlig IP-adresse mellem mange kunder. Så kræves også portnummer og et præcist tidspunkt, og ikke alle platforme gemmer porten.
- Tidszoner og ure. Tidspunkter fra forskellige parter skal omregnes til samme tidszone og kontrolleres for afvigelser.
- Mobilnet, VPN og offentlige net kan gøre, at IP-adressen ikke fører videre.
- Opbevaringstid. Udbydernes data gemmes ikke for evigt, og nogle oplysninger gemmes kun kort.
- Kompromitterede konti. En mail fra en kendt konto kan være sendt af en anden, der har overtaget kontoen.
Om IP-adresser generelt, se IP-adresser som bevis.
Udlevering kræver retlig vej
Udbydere og platforme udleverer ikke data om deres brugere på opfordring fra en privat part. Data om en anden persons konto, login og abonnement er beskyttede, og en udbyder, der udleverer dem uden hjemmel, risikerer selv at handle i strid med reglerne. Vejen går derfor gennem retten, typisk som en begæring om edition fra tredjemand. Hvilke muligheder der er, og hvad en begæring skal indeholde, er beskrevet på digital-bevissikring.dk om edition fra tredjemand.
Teknisk set kan IT-sagkyndige bidrage med at beskrive præcist, hvilke data der søges, hos hvem, for hvilket tidsrum, og i hvilken form de skal leveres. En begæring, der er teknisk præcis, har bedre chancer for at give et brugbart svar. En begæring om “alle oplysninger om brugeren” giver ofte en lang, men ubrugelig liste.
Udenlandske platforme har egne procedurer for henvendelser og stiller egne krav til dokumentation. Det kan tage tid, og opbevaringstiden kan løbe ud imens. Derfor er det vigtigt at vurdere tidligt, om sagen skal den vej.
En teknisk vurdering før begæringen
Inden en begæring skrives, kan en teknisk gennemgang af det modtagne materiale afklare flere ting, der påvirker både chancerne og omfanget:
- Er afsenderen forfalsket? Viser autentificeringsresultaterne, at mailen kun foregiver at komme fra et bestemt domæne, peger sporet mod den server, der faktisk sendte den, ikke mod domænets ejer.
- Er kontoen kompromitteret? En mail fra en kendt adresse kan være sendt af en anden. Så er det kontoens ejer, der har de relevante loginlogs.
- Hvilken part har de næste data? Headerne og platformens id’er viser, hvem begæringen skal rettes mod.
- Hvilke tidspunkter er relevante? Tidspunkterne omregnes til UTC og angives med sekunder, så udbyderen kan finde de rigtige poster.
Resultatet er en kort, præcis liste over de data, der søges. Den er lettere for retten at tage stilling til og for udbyderen at besvare.
Det, man ikke skal gøre
Forsøg på selv at afsløre en anonym afsender kan skade sagen. Det gælder fx at sende links eller filer, der skal registrere modtagerens IP-adresse, at oprette falske profiler for at komme i kontakt eller at logge ind på konti, man ikke selv ejer. Det kan være ulovligt, og det kan få beviset til at fremstå manipuleret. Hold dig til at sikre det, du har modtaget, og lad resten gå gennem retten.
Er der tale om vedvarende chikane eller forfølgelse, er det en anden situation. Den ramte kan få hjælp til at sikre spor og lukke adgange på Nielco IT’s side om stalking-hjælp.
Sådan sikres det, der er modtaget
- Gem mailen i det originale format, fx EML eller MSG, ikke kun som udskrift. Videresendelse ændrer headerne.
- Notér, hvornår mailen blev modtaget, og i hvilken postkasse.
- Beregn en hashværdi af den gemte fil og notér den.
- For profiler: skærmbilleder med url og tidspunkt, suppleret med platformens dataeksport og bruger-id.
- Sikr modtagerens egne serverlogs, før de roterer.
Hvad sporene kan og ikke kan vise
Modtagerens egne spor kan vise, at en besked blev modtaget, fra hvilken udbyder, og om den er ægte i teknisk forstand. Den samlede metode er beskrevet i er mailen ægte?. Sporene kan sjældent alene vise, hvem der skrev den. Selv efter udlevering fører kæden til et abonnement eller en konto, og forbindelsen til en bestemt person skal understøttes af andre beviser.
Kilder og versioner
- RFC 5321: Simple Mail Transfer Protocol, sporingsfelter
- RFC 5322: Internet Message Format
- Google: spor en mail med de fulde headere
Senest gennemgået: oktober 2026.
Næste skridt
- Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer
- Kompromitteret konto, spoofing eller lookalike-domæne? Sådan skelnes de
- Exchange Server lokalt og hybrid: logkilder
Del af: E-mail forensics
Læs også: Digital Post teknisk: kvitteringer og læst-status · Analyse af mail-headere, SPF, DKIM og DMARC
→ E-mail forensics · For advokater · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
