Kundelisten fra CRM: eksportlogs i SaaS‑systemer

Forside › Undersøgelse ved fratræden · Gennemgået oktober 2026 · Af John Nielsen

Om en bruger har eksporteret kundedata fra et CRM, afhænger af, hvad systemet logger, på hvilken licens og hvor længe. De fleste SaaS-CRM-systemer kan vise logins, og mange kan vise rapportkørsler og eksporter, men detaljegraden varierer fra en enkelt hændelse uden indhold til poster med antal rækker, felter og filnavn. Den tekniske undersøgelse består i at finde ud af, hvilke logs der findes, sikre dem dokumenteret, før de udløber, og koble dem til spor på den computer, filen blev hentet til. Ledelsens første skridt er beskrevet i CRM: medarbejderen har eksporteret kundelisten, og den grundlæggende sikring af CRM i Bevissikring af CRM-systemer. Sker eksporten op til en fratræden, er CRM ét spor i undersøgelsesplanen ved fratræden.

Haster det? Hændelseslogs i SaaS-systemer slettes ofte efter 30 dage eller mindre, og historikken kan forsvinde, når brugeren slettes. Se akut forensisk sikring; hastesager koster ekstra.

Veje ud af et CRM

Data kan forlade et CRM på flere måder, og de logges forskelligt:

Eksport fra liste eller visning · Ofte som eksporthændelse, nogle gange med antal rækker
Rapport kørt og downloadet · Rapportkørsel logges oftere end selve download
Planlagt rapport sendt pr. mail · Abonnementet ses i opsætningen, afsendelsen i mailsporingen
API eller integration · API-kald og forbundne apps, ofte kun på højere licenser
Synkronisering til mail eller mobil · Sjældent som eksport, men som forbundet klient
Udskrift eller skærmbillede · Normalt ikke i CRM’s logs

Den samme kundeliste kan altså forlade systemet ad en vej, der logges detaljeret, eller ad en vej, der næsten ikke logges. Undersøgelsen skal dække alle de veje, systemet og opsætningen gør mulige.

Find ud af, hvad systemet logger

Start med dokumentationen for det konkrete system og licensniveau, og bekræft med leverandøren. Typiske logtyper er:

Loginhistorik: tidspunkt, IP-adresse, klienttype og resultat.
Administrationslog: ændringer i opsætning, rettigheder, brugere og integrationer.
Ændringshistorik på felter: hvem der ændrede hvilke værdier, ofte kun for udvalgte felter. → Feltlog og ændringshistorik i CRM-systemer
Hændelseslogs for brugeraktivitet: rapportkørsler, eksporter, API-kald og visninger, i nogle systemer som et tilkøb.

Forskellen mellem licensniveauer kan være stor. I Salesforce registreres rapporteksporter fx som en særskilt hændelsestype i Event Monitoring, som er et tilkøb, og hændelsesfilerne slettes som standard efter 30 dage. Andre systemer har tilsvarende skel, så det skal undersøges for det konkrete system og den konkrete aftale. Overblikket over SaaS-logs generelt, og hvem der har dem, står i SaaS-systemer som datakilde.

Spørg også leverandøren, om der findes logs på deres side, som kunden ikke selv kan se, og hvad der kræves for at få dem udleveret. Få svaret skriftligt, og bed om bevarelse, mens sagen afklares.

Sikring af loggene

Brug en administratorkonto, der ikke tilhører den undersøgte. Er den undersøgte selv administrator, skal en anden, eventuelt leverandøren, hente loggene.
Eksportér i systemets eget format via administrationsgrænsefladen eller API’et, for hele perioden og en sammenligningsperiode.
Notér fremgangsmåden: konto, tidspunkt, filtre, eksportformat og eventuelle begrænsninger i antal rækker.
Beregn hashværdier af eksportfilerne.
Dokumentér det, der ikke kan eksporteres, med skærmbilleder med synligt tidspunkt og en beskrivelse af, hvor de er taget.
Bevar brugeren. Spær adgangen, men slet ikke brugeren, fordi sletning kan anonymisere eller fjerne historikken.

Eksportfunktioner i SaaS-systemer har ofte grænser for antal rækker eller perioder. Kontrollér, at eksporten er komplet, fx ved at sammenligne antal poster med det, grænsefladen viser. Nogle systemer leverer kun logs for de seneste dage direkte i grænsefladen og ældre logs som en fil, der skal bestilles. Er det tilfældet, så bestil den med det samme, og notér, hvornår den blev bestilt og modtaget, så det kan ses, hvorfor der eventuelt er forskel på de to leverancer.

Fra CRM til computer

En eksport ender som en fil, der hentes ned. Det er her, logs i CRM kobles til spor på computeren:

Browserens downloadhistorik viser filnavn, adresse og tidspunkt for download.
Markeringen af hentede filer kan i nogle tilfælde indeholde adressen på den side, filen blev hentet fra. → Downloads og Mark of the Web
Filsystemet viser, om filen ligger i Overførsler, er flyttet, omdøbt eller slettet.
Åbningsspor som LNK-filer og jump lists viser, om filen er åbnet, og fra hvilken placering.

Stemmer tidspunktet for eksporten i CRM med downloadtidspunktet på computeren, og passer filnavnet med systemets navngivning af eksportfiler, er koblingen stærk. Herfra følges filen videre, fx til USB, mail eller cloud, som beskrevet i den tekniske undersøgelsesplan ved fratræden.

Integrationer og API

En bruger med tilstrækkelige rettigheder kan forbinde et CRM til en ekstern tjeneste, fx et synkroniseringsværktøj, en mailudvidelse eller et eget script. Data kan så hentes uden en synlig eksport. Undersøg forbundne apps, udstedte tokens og API-brugere, hvem der oprettede dem, og hvornår de sidst blev brugt. I systemer, der bruger fælles identitetsudbyder, kan samtykke til apps også fremgå af identitetsudbyderens logs. → OAuth-apps og samtykke

Typiske fejlfortolkninger

Rapportkørsel er ikke eksport. At en rapport er kørt, viser, at den er vist, ikke nødvendigvis at den er hentet ned.
Planlagte rapporter. En rapport, der sendes automatisk hver mandag, kan ligne en aktiv eksport. Abonnementets oprettelsesdato er det relevante tidspunkt.
Synkronisering. Mailudvidelser og mobilapps kan hente store mængder kontaktdata som led i almindelig brug.
Fælles integrationsbrugere. Hændelser fra en integrationskonto kan ikke uden videre knyttes til en person.
Tidszoner. SaaS-logs kan være i UTC, i organisationens tidszone eller i den eksporterende brugers tidszone.
Normal adfærd. Sælgere eksporterer lister som en del af jobbet. Sammenlign med en periode, hvor ingen mistanke var.

Omfang: hvad blev eksporteret?

Logger systemet antal rækker, felter eller filtre, kan omfanget beskrives præcist. Gør det ikke, kan omfanget sommetider rekonstrueres: Visningen eller rapporten, der blev eksporteret, har en definition, og dens filtre kan anvendes på data, som de så ud på tidspunktet, hvis ændringshistorikken tillader det. Det giver et skøn, ikke en sikker gengivelse, og skal beskrives sådan. Findes eksportfilen på computeren, er den naturligvis det bedste grundlag.

Har medarbejderen haft adgang via en mobilapp, bør det også undersøges, om appen gemmer kundedata lokalt på telefonen. På en firmatelefon kan et selektivt udtræk vise, hvilke data appen havde synkroniseret. Det er ikke en eksport i CRM’s forstand, men det kan forklare, hvordan kundedata kan være taget med, uden at eksportloggen viser noget.

Persondata under undersøgelsen

Kundelister indeholder kontaktpersoners navne, mailadresser og telefonnumre, og CRM-logs kan indeholde felter med samme oplysninger. Hold undersøgelsen til det nødvendige: eksportér logs for de relevante brugere og perioder, og gengiv i rapporten kun de felter, der er nødvendige for at identificere hændelsen. Er der sket et udtræk, kan det i sig selv skulle vurderes som et brud på persondatasikkerheden. Den vurdering hører hos virksomheden og dens rådgivere, men de tekniske fund om omfang og tidspunkt er grundlaget for den, så de skal beskrives præcist.

Hvad loggen kan og ikke kan vise

En eksportlog kan vise, at en bestemt brugerkonto eksporterede bestemte data på et bestemt tidspunkt. Den kan ikke vise, hvad filen blev brugt til, om den forlod virksomheden, eller hvem der sad ved tastaturet, hvis kontoen var delt. Konklusionen styrkes, når eksporten kan kobles til login fra den undersøgtes sædvanlige enhed, til en download på den undersøgtes computer og til et efterfølgende spor ud af virksomheden.

Dokumentation

For hver logkilde angives system, licensniveau, eksportmetode, konto, periode, tidszone, tidspunkt for eksport og hashværdi. Beskriv også, hvad systemet ikke logger på den aktuelle licens, så læseren kan se, hvilke veje ud af systemet undersøgelsen ikke kan udelukke.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse ved fratræden

Læs også: Mail til privat adresse: message trace, auditlog og vedhæftninger · Tidslinje for de sidste uger før fratræden

→ Undersøgelse ved fratræden · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik