Audit trail i e‑signaturløsninger

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

Når en aftale underskrives via en e-signaturplatform, følger der typisk en underskriftsrapport med: en liste over hændelser fra upload til sidste underskrift med tidspunkter, e-mailadresser, IP-adresser og den metode, hver underskriver brugte. Rapporten er platformens egen registrering, ikke en neutral log. Dens værdi som bevis afhænger af, at den kan valideres teknisk, at den hænger sammen med det underskrevne dokument, og at signeringsmetoden faktisk knytter underskriften til en bestemt person.

Den kryptografiske validering af selve PDF-signaturen er beskrevet i Digitale signaturer i PDF. Her handler det om audit trailen, og hvordan den læses i en tvist.

Hvad en audit trail typisk indeholder

Indholdet varierer mellem platforme, men de fleste registrerer:

Dokument oprettet eller uploadet · Afsenderkonto, tidspunkt, dokumentets navn og hashværdi
Invitation sendt · Modtagerens e-mailadresse eller telefonnummer, tidspunkt
Dokument åbnet eller vist · Tidspunkt, IP-adresse, user agent
Underskrift · Tidspunkt, IP-adresse, signeringsmetode, identitetsoplysninger fra metoden
Afvisning, videresendelse eller tilbagekaldelse · Hvem, hvornår, eventuel begrundelse
Afslutning · Tidspunkt, hashværdi af det endelige dokument, platformens forsegling

Rapporten indlejres ofte som sidste side i den underskrevne PDF eller som vedhæftet fil i PDF’en. Den kan også hentes separat fra platformen af den konto, der sendte dokumentet.

Signeringsmetoden er afgørende

Hvor stærkt en underskrift knyttes til en person, afhænger af metoden, ikke af platformen.

Link i e-mail: Viser kun, at nogen med adgang til e-mailadressen klikkede og godkendte. Den, der har adgang til en delt postkasse eller en videresendt invitation, kan underskrive.
Kode via sms: Viser derudover adgang til telefonnummeret på tidspunktet.
Elektronisk identifikation som MitID: Underskriften er knyttet til en autentificering hos en identitetsudbyder, og rapporten indeholder typisk navnet fra identiteten og en reference til transaktionen. Platformen får oplysningerne gennem en MitID-broker, og hvad der kommer med, afhænger af, hvad platformen beder om og har adgang til: navn og en fast brugeridentifikator er almindelige, mens CPR-nummer kun indgår, når det er bestilt særskilt. Rapporten viser kun det, platformen valgte at gemme.
Kvalificeret certifikat: Underskriften er lavet med et certifikat udstedt af en kvalificeret tillidstjenesteudbyder, og certifikatet ligger i signaturen.

eIDAS-forordningen skelner mellem simple, avancerede og kvalificerede elektroniske underskrifter. Den juridiske betydning af niveauerne hører til advokaten; se Digitale signaturer og elektroniske aftaler som bevis. Teknisk er pointen, at audit trailen skal læses i lyset af metoden: En perfekt rapport for en e-mail-underskrift beviser ikke mere end adgang til mailen.

Platformens forsegling

Mange platforme forsegler det færdige dokument med deres eget certifikat, ofte som en PAdES-signatur over hele PDF’en inklusive rapporten. Forseglingen viser, at dokumentet og rapporten ikke er ændret, siden platformen lukkede forløbet. Den viser ikke i sig selv, hvem der underskrev; det er rapportens indhold, der gør det.

Ved validering skal man derfor skelne mellem:

Forseglingens gyldighed: Er platformens signatur intakt, og kan certifikatkæden og tidsstemplet valideres?
Underskrivernes signaturer: Har den enkelte underskriver sin egen kryptografiske signatur i dokumentet, eller er underskriften kun registreret som en hændelse i rapporten?
Sammenhængen: Svarer hashværdien i rapporten til det dokument, parterne har, og til det, der blev uploadet?

Valideringen bør ske i et værktøj, der følger ETSI’s valideringsprocedure for AdES-signaturer, og resultatet gemmes som rapport. Et grønt flueben i en PDF-læser er ikke dokumentation.

Sikring

Gem den underskrevne PDF, som den blev modtaget, med hashværdi. Åbn og gem den ikke igen i et redigeringsprogram, der kan fjerne signaturen.
Hent den originale rapport og eventuelle detaljerede hændelseslogs direkte fra platformen via afsenderkontoen. Notér, hvem der hentede, hvornår og fra hvilken konto.
Sikr mails med invitationer og kvitteringer, inklusive headere, fra både afsender og modtager, hvis de er tilgængelige.
Sikr kontoens egen aktivitetslog hos platformen, hvis den findes: logins, ændringer af skabeloner, tilbagekaldte forløb.
Spørg platformen om opbevaringstid. Perioden varierer mellem platforme og abonnementer, og nogle platforme sletter afsluttede forløb automatisk efter en fast periode eller lader kontoen indstille det.

Er det uklart, hvem der havde ret til at underskrive på virksomhedens vegne, er det en ledelsesopgave at afklare; se E-signatur: hvem underskrev på virksomhedens vegne?.

Fejlkilder i fortolkningen

Tidszoner: Rapporten kan vise tid i UTC, i platformens tidszone eller i afsenderens. Sammenlign med mailheaderne, før rækkefølgen af hændelser vurderes.
IP-adresser: En IP-adresse fra en mobiloperatør eller et firmanetværk peger på et netværk, ikke på en person. Flere underskrivere fra samme adresse kan være naturligt, fx på samme kontor.
Visning er ikke læsning: En registreret visning betyder, at dokumentet blev hentet til en browser, ikke at det blev læst.
Videresendte invitationer: Nogle platforme tillader, at en modtager overdrager underskriften til en anden. Rapporten viser det, men det overses let.
Flere versioner: Er et forløb annulleret og sendt igen, findes der flere rapporter. Den, der fremlægges, er ikke nødvendigvis den eneste.

Hvis ægtheden bestrides

Bestrider en part at have underskrevet, eller mener en part, at dokumentet er ændret, bør undersøgelsen omfatte forseglingen, signeringsmetoden og identitetsoplysningerne i rapporten, platformens egen log over forløbet og mailsporene omkring invitationen. Tekniske tegn på ændringer i PDF’en uden for signaturen er gennemgået i Dokumentforfalskning: tekniske tegn.

Er der tvivl om rapportens ægthed, kan platformen bedes om at bekræfte, at forløbet findes i deres system med samme hashværdi. Det er den stærkeste uafhængige kontrol, men den forudsætter, at forløbet ikke er slettet.

Mere end rapporten: platformens interne logs

Den rapport, der følger med dokumentet, er et udvalg. Platformen har som regel mere detaljerede data: alle besøg på underskriftssiden, fejlede forsøg på identifikation, påmindelser, ændringer af modtagerens e-mailadresse undervejs og hvilke brugere i afsenderorganisationen der har åbnet eller ændret forløbet. Nogle platforme gør dele af det tilgængeligt i administrationsdelen, andre kun via support.

Det er ofte netop de data, der afgør en tvist. Hvis modtagerens adresse blev rettet efter afsendelsen, eller hvis der var flere mislykkede forsøg med en anden identitet før den gennemførte underskrift, fremgår det sjældent af den korte rapport. Bed derfor skriftligt om det fulde hændelsesforløb for det konkrete dokument med angivelse af forløbets id, og bed platformen beskrive, hvordan udtrækket er lavet.

Dokumentation i rapporten

Den sagkyndiges rapport bør angive platform og abonnementstype, hvordan dokument og underskriftsrapport blev modtaget, hashværdier af alle filer, valideringsværktøj og version, resultatet af valideringen af forseglingen og af eventuelle underskriversignaturer, signeringsmetoden for hver underskriver og tidspunkter normaliseret til én tidszone. Afvigelser mellem rapportens hashværdi og det fremlagte dokument skal forklares, ikke blot noteres.

Hvad audit trailen kan og ikke kan bevise

En valideret rapport kan vise, at et bestemt dokument gennemgik et forløb med bestemte hændelser og tidspunkter, og at det endelige dokument ikke er ændret siden. Hvem der underskrev, kan den kun vise så stærkt, som signeringsmetoden tillader. Den kan ikke vise, om underskriveren forstod indholdet, eller om underskriften var afgivet under pres.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Webarkivering i forensisk kvalitet: WARC, hash og tidsstempel · ESDH og dokumentstyring: auditspor, versioner og journalisering

→ Teknisk undersøgelse af dokumenter og metadata · For advokater · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik