Forside › Sporsikring ved digital stalking · Gennemgået oktober 2026 · Af John Nielsen
Hvis en medarbejder har deltaget i et videomøde, hvor en ledelsesperson eller en forretningsforbindelse viste sig at være en falsk deltager med manipuleret video eller stemme, er de mest holdbare spor ikke billedet, men platformens data om mødet. Hvilken konto deltog, hvordan var deltageren logget ind, kom vedkommende ind som gæst eller via en ekstern organisation, og fra hvilken IP-adresse? Disse oplysninger registreres af mødeplatformen og identitetssystemet, og de skal sikres, før de udløber.
Haster det? Deltagerrapporter, optagelser og loginlogs fra mødeplatformen har ofte kort opbevaring og kan være væk efter få uger. Se akut forensisk sikring; hastesager koster ekstra.
Den grundlæggende vejledning om at sikre Teams- og Zoom-møder findes på digitalbevissikring.dk. Her gennemgås de tekniske kilder, og hvordan de bruges til at afgøre, hvem der faktisk deltog.
Datakilderne
- Mødeinvitationen · Hvem der oprettede mødet, hvornår, med hvilket link og hvem der var inviteret
- Deltagerrapport · Navne, konti, tidspunkter for ind- og udgang, gæst eller intern
- Platformens auditlog · Oprettelse af møder, deltagelse, optagelse og deling
- Loginlogs · Hvilken konto loggede ind, fra hvilken enhed og IP, og om det lykkedes
- Opkaldsdetaljer · Klienttype, netværk, enhedsoplysninger pr. deltager, afhængigt af platform
- Optagelser og transskription · Billede og lyd, hvis mødet blev optaget
- Chat i mødet · Beskeder, links og filer delt under mødet
Hvilke detaljer der findes, afhænger af platform og licens, og af om mødet var arrangeret i virksomhedens egen organisation eller af en ekstern part.
Hvem arrangerede mødet
Det første spørgsmål er, hvor mødet blev oprettet. Var det et møde i virksomhedens egen platform, har virksomheden adgang til de fleste data. Var det et møde, som en ekstern part oprettede og inviterede til, ligger de detaljerede data hos den eksterne organisation eller hos en konto, som den falske deltager selv kontrollerer. Virksomheden har så kun sin egen deltagers spor: invitationen, klienten på medarbejderens computer og de logs, egen platform registrerede om den eksterne deltagelse.
Undersøg mødelinket i invitationen. Et link til et domæne, der ligner platformens, men ikke er det, er et stærkt spor og sikres som en del af mailanalysen.
Microsoft Teams
I Teams kan mødeoplysninger findes flere steder. Deltagerlisten kan hentes for møder i egen organisation, og auditloggen i Microsoft 365 har hændelserne MeetingDetail og MeetingParticipantDetail med bl.a. mødets tidspunkter og deltagernes bruger-id og tidspunkter for ind- og udgang. Enkelte ekstra felter kræver den udvidede auditlicens. Auditposter gemmes som standard i 180 dage og længere med den udvidede licens. Opkaldsdetaljer i administrationscenteret kan vise klienttype og netværk pr. deltager i en begrænset periode. Se Unified Audit Log i Microsoft 365 og placeringen af Teams-data i Teams teknisk.
En deltager, der kom ind som anonym gæst eller via en ekstern organisation med et navn, der ligner direktørens, er et klart signal. Teams markerer normalt eksterne og ubekræftede deltagere, men visningen afhænger af indstillinger og klient.
Zoom, Google Meet og andre platforme
De øvrige mødeplatforme har tilsvarende kilder, men med forskellige navne og opbevaringsregler. Typisk kan kontoens administrator hente en deltagerrapport pr. møde med navn, e-mail, tidspunkter og ofte IP-adresse og klientversion, og platformen har en aktivitetslog over oprettede møder og optagelser. Hvor meget der kan hentes, afhænger af abonnement, og gratis konti har ofte få eller ingen rapporter. På tidspunktet for gennemgangen (oktober 2026) gav Zoom kun møderapporter for møder holdt af betalte konti, tilgængelige 15 måneder tilbage, mens deltagernes IP-adresser krævede et højere abonnement. I Google Workspace viser Meet-loggen i administrationskonsollen bl.a. klienttype og, for interne deltagere, IP-adresse.
Brugte den falske deltager en gratis konto på en platform, virksomheden ikke selv bruger, er det kun den eksterne kontoindehaver og platformen, der har de detaljerede data. Medarbejderens side kan stadig dokumenteres: invitationen, linket, klientens lokale spor, netværkslogs og eventuelle skærmbilleder.
Var det den rigtige konto?
Deltog den falske person med direktørens rigtige konto, er kontoen kompromitteret, og sagen er en anden: Så skal loginloggen undersøges for den pågældende konto i tidsrummet. Kendetegn er logins fra ukendte enheder eller adresser, stjålne sessioner og ændringer i MFA. Se Entra ID-loginlogs.
Deltog den falske person med en anden konto, viser det sig ofte i deltagerrapporten som en afvigelse: anden e-mail, ekstern organisation eller gæst. Det er værd at sammenholde med direktørens egen kalender og aktivitet: Deltog den rigtige person i et andet møde på samme tid, eller var vedkommende logget ind et helt andet sted?
Optagelser
Optagelser af møder er ofte den eneste kilde til, hvad der blev sagt og vist. De sikres fra platformens lager i oprindeligt format med hashværdi og metadata. Optagelser har ofte en udløbsdato, som kan være kort. Transskriptioner kan sikres sammen med optagelsen, men skal behandles som maskinelt genereret tekst med mulige fejl. Har en AI-notetager deltaget, kan den have sit eget referat og sin egen log, se AI-notetagere og mødetransskriptioner.
Var mødet ikke optaget, kan der være spor på medarbejderens computer: notater, skærmbilleder eller lokale optagelser. Klientens lokale logfiler kan indeholde forbindelsesoplysninger, men formatet er udokumenteret og ændrer sig mellem versioner.
Billedet og lyden
En teknisk vurdering af, om video eller lyd er manipuleret, kan se på overgange, synkronisering mellem læber og lyd, lys, refleksioner og bevægelser. Komprimeringen i videomøder fjerner mange detaljer, og resultatet vil ofte være usikkert. Metoderne og deres begrænsninger er beskrevet i AI-genereret indhold: teknisk vurdering, og telefonvarianten i deepfake-stemme i telefonopkald.
Ligesom ved telefonopkald er det sjældent nødvendigt at bevise, at billedet var kunstigt. Det er nok at vise, at den konto, der deltog, ikke var den rigtige persons, eller at den rigtige person ikke deltog.
Sikring
- Sikr invitationen som original mail med headere, og notér mødelinket.
- Eksportér deltagerrapporten for mødet, hvis det var i egen organisation.
- Eksportér auditlog- og loginhændelser for mødetidsrummet og for de relevante konti.
- Sikr opkaldsdetaljer pr. deltager fra administrationscenteret, hvis de findes.
- Sikr optagelse, transskription og mødechat, før de udløber.
- Sikr medarbejderens computer, hvis lokale spor kan være relevante.
- Dokumentér den rigtige persons aktivitet i samme tidsrum.
- Hash og registrér alle eksporter.
Forløbet før og efter mødet
Et falsk videomøde står sjældent alene. Det er typisk forberedt med mails eller beskeder, der skaber travlhed og fortrolighed, og fulgt op med instrukser om betaling eller udlevering af data. Disse beskeder har afsenderadresser, headere og domæner, der ofte giver mere sikre spor end selve mødet. Læg derfor hele forløbet på én tidslinje: invitation, mødet, opfølgende beskeder og de handlinger, medarbejderen udførte bagefter.
Fejlkilder
- Det viste navn i mødet tages som identifikation. Navnet kan frit vælges af gæster og eksterne konti.
- Platformens tidsstempler læses uden afklaring af tidszone.
- Fravær af en hændelse i auditloggen tolkes, selvom licensen ikke registrerer den type hændelse.
- En transskription citeres som ordret gengivelse.
Hvad der kan og ikke kan bevises
Platformens data kan med god sikkerhed vise, hvilken konto eller gæsteidentitet der deltog, hvornår, og ofte hvorfra. De kan vise, at den rigtige person ikke deltog med sin egen konto. De kan ikke alene vise, hvem der sad bag den falske deltager. Rapporten bør adskille konto- og loginanalysen fra en eventuel vurdering af billede og lyd, fordi de to har meget forskellig sikkerhed. Den bør også angive platform, licens, hvilke data der var tilgængelige for virksomheden, og hvilke der kun findes hos den eksterne part eller platformen, så det er tydeligt, hvor de åbne spørgsmål ligger.
Kilder og versioner
- Microsoft Learn: aktiviteter i auditloggen, herunder Teams-møder
- Microsoft Learn: opbevaring af Microsoft 365-auditloggen
- Zoom Support: kom i gang med rapporter
- Google Workspace Admin Help: Meet-loghændelser
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Sporsikring ved digital stalking
Læs også: Deepfake-stemme i telefonopkald: hvad kan sikres bagefter · Tilknyttede enheder i WhatsApp, Messenger og Signal
→ Sporsikring ved digital stalking · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
