Data taget ved fratræden: den tekniske undersøgelsesplan

Forside › Undersøgelse ved fratræden · Gennemgået oktober 2026 · Af John Nielsen

Skal det undersøges, om en medarbejder har taget data med ved fratræden, afgøres resultatet ofte af rækkefølgen. Først fastlægges tidsrammen og hypoteserne. Derefter sikres de kilder, der udløber hurtigst: cloudlogs, meddelelsessporing, loginlogs og netværkslogs. Så sikres computeren, cloudlagrene, CRM og andre fagsystemer, printlogs og en eventuel firmatelefon. Analysen sammenligner til sidst perioden op til fratræden med medarbejderens normale mønster. Overblikket over de tre almindelige veje ud af virksomheden er beskrevet for ledere i USB, privat mail eller cloud, og advokatens valg af bevisvej i Fratrådt medarbejder har taget data. Her er den tekniske plan. De enkelte spor er uddybet i egne artikler: upload til privat cloud, mail til privat adresse, eksport fra CRM og tidslinjen for de sidste uger før fratræden.

Haster det? Når kontoen lukkes og computeren nulstilles efter den normale fratrædelsesrutine, forsvinder sporene, og loginlogs har ofte kun få dages opbevaring. Se akut forensisk sikring, men vær opmærksom på, at hastesager koster ekstra.

Trin 0: tidsramme og hypoteser

Før noget sikres, skal fire datoer ligge fast: hvornår medarbejderen sagde op eller blev opsagt, hvornår der var fritstilling, sidste arbejdsdag og hvornår mistanken opstod. De afgør, hvilken periode logs skal dække, og hvilken periode der kan bruges som sammenligningsgrundlag.

Formulér også hypoteserne konkret: Hvilke data er det, der mistænkes taget, fx en kundeliste, tilbud eller tegninger? Hvor lå de? Hvilke veje er mulige? Planen bliver mere præcis, og undersøgelsen lettere at afgrænse af hensyn til private data, når det er klart, hvad der ledes efter. Notér også de forklaringer, der ville være uskyldige, så de kan afprøves på lige fod.

Trin 1: stop det, der sletter

Fratrædelsesrutiner er ofte automatiserede. Før noget andet:

sæt nedlukning, sletning og licensfjernelse af kontoen i bero,
sæt hold på postkasse og personligt cloudlager,
tag computer og firmatelefon ud af den normale returproces, så de ikke nulstilles,
bed CRM-administrator og eventuelle leverandører om ikke at slette eller anonymisere brugeren.

Notér tidspunkt og hvem der har gjort hvad. Disse skridt ændrer ikke de data, der skal undersøges, men de skal kunne forklares.

Trin 2: sikr det, der udløber

Auditlog i Microsoft 365 eller Google Workspace · Begrænset opbevaringsperiode afhængigt af licens
Meddelelsessporing · Kort opbevaringsperiode for detaljeret sporing
Loginlogs i identitetsudbyderen · Kort opbevaring på mange licenser
Firewall, proxy og DNS · Roteres ofte efter dage eller uger
EDR- og DLP-telemetri · Opbevaringsperiode bestemt af produktets licens
CRM- og fagsystemers eksportlogs · Kan være korte eller forsvinde med brugeren

På tidspunktet for gennemgangen (oktober 2026) gemmer Microsoft 365 som udgangspunkt auditloggen i 180 dage, meddelelsessporing rækker 90 dage tilbage, Entra ID gemmer loginlogs i 7 eller 30 dage efter licens, og Google Workspace gemmer de fleste logs i 6 måneder. Perioderne ændres jævnligt. Eksportér for hele den relevante periode og en sammenligningsperiode før, beregn hashværdier, og notér, hvordan eksporten er foretaget. Mail til private adresser er beskrevet i message trace, auditlog og vedhæftninger, og CRM i eksportlogs i SaaS-systemer.

Trin 3: computeren

Computeren sikres med en forensisk kopi, typisk efter at være slukket, medmindre kryptering eller andre forhold taler for en anden metode. De relevante artefakter er især:

USB-tilslutninger: enheder med serienummer, første og sidste tilslutning og drevbogstav. → USB-tidslinjen i Windows
Åbnede filer og mapper: LNK-filer, jump lists og shellbags, der kan vise filer åbnet fra eksterne drev eller netværksdrev.
Browser: besøg på cloudtjenester og webmail, downloads og uploadsider.
Synkroniseringsklienter: spor efter private cloudtjenester installeret eller brugt på computeren.
Arkiver og samlinger: zip-filer og mapper oprettet kort før fratræden.
Print: spool- og printlogs, hvis de findes lokalt.
Sletning: papirkurv, ændringsjournal og spor af oprydning.

Hvordan spor efter upload til private tjenester kombineres med netværkslogs, er beskrevet i upload til privat cloud.

Trin 4: cloudlagre og samarbejdsværktøjer

Auditloggen kan vise downloads, synkronisering og deling fra OneDrive, SharePoint, Google Drive eller tilsvarende. Det centrale er at skelne mellem synkronisering, som en klient udfører automatisk, og en brugers aktive download. Store mængder synkroniseringshændelser kan opstå, når en ny enhed tilknyttes, og må ikke uden videre læses som masseudtræk. Delingslinks til eksterne adresser og tilføjelse af private konti som gæster skal dokumenteres, før de fjernes.

Teams- og chatkanaler hører med, hvis filer kan være delt der. Vær også opmærksom på overførsel af ejerskab: Når en fratrådts filer flyttes til en kollega eller leder, kan det skabe nye hændelser i loggen og ændre metadata. Sikr derfor oversigten over filer og delinger, før ejerskab overdrages.

Trin 5: fagsystemer, print og telefon

CRM, ERP, tegnings- og dokumentsystemer har hver deres logs. Find ud af, hvem der kan hente dem, og om leverandøren har flere data end kunden kan se. Printserverens journal eller printstyringens log kan vise udskrifter med dokumentnavn og antal sider, og multifunktionsprintere kan have egne joblogs og scan-til-mail. → Multifunktionsprintere: joblog og scan En firmatelefon kan sikres selektivt med afgrænsning til arbejdsdata. MDM-systemet kan vise, om telefonen er nulstillet, og hvornår.

Når noget allerede er væk

I mange sager opstår mistanken først, efter at computeren er nulstillet og givet videre, eller kontoen er slettet. Planen skal så justeres, ikke opgives:

Nulstillet computer: Undersøg, om der findes en backup, et image fra genopsætningen eller spor i EDR-, MDM- og administrationsværktøjer, som registrerer enheder og hændelser centralt.
Slettet konto: Mange cloudtjenester har en periode, hvor en slettet konto kan gendannes med data. Undersøg det med det samme. Auditloggen findes typisk fortsat for den periode, den dækker, selv om brugeren er slettet.
Udløbne logs: Andre systemer kan have registreret de samme hændelser, fx firewall, proxy, DLP eller modtagende systemer.

Notér, hvornår og hvordan kilderne forsvandt. Det er en del af sagens fakta og kan have betydning for, hvordan fundene vurderes.

Trin 6: analysen

Analysen følger tre principper:

Sammenlign med det normale. En eksport eller en USB-tilslutning betyder mest, når den afviger fra medarbejderens mønster i en sammenligningsperiode.
Kobl kilderne. Det stærkeste billede opstår, når spor fra flere uafhængige kilder peger på samme tidspunkt og samme data, fx en CRM-eksport, en fil i Overførsler, en USB-tilslutning og en LNK-fil til samme filnavn på drevet.
Afprøv de uskyldige forklaringer. Arbejde hjemme, overdragelse til en kollega, private filer og automatik skal vurderes med samme omhu som hypotesen om udtræk.

Resultatet samles i en tidslinje over perioden. → Tidslinje for de sidste uger før fratræden

Hvad planen ikke dækker

Undersøgelsen omfatter virksomhedens egne systemer og enheder. Private telefoner, private cloudkonti og private mailkonti ligger uden for, og adgang til dem kræver samtykke eller en juridisk vej. Log aldrig ind på medarbejderens konti for at se efter, og brug ikke gemte adgangskoder fundet på computeren. Fundene fra virksomhedens egne systemer kan til gengæld gøre en senere begæring mere præcis, fx ved at identificere et bestemt USB-drev ud fra serienummer.

Afgrænsning og dokumentation

Hvert trin dokumenteres med tidspunkt, hvem der udførte det, metode og hashværdier. Afgrænsningen af søgninger og perioder beskrives, så det kan ses, at private data er holdt ude, så vidt det var muligt. Fund, der ikke vedrører opdraget, håndteres efter en aftalt fremgangsmåde og indgår ikke i rapporten uden grund.

Planen bør skrives ned, før indsamlingen begynder, og opdateres undervejs med dato for hver ændring. Det gør det muligt bagefter at vise, at kilderne blev valgt ud fra sagens oplysninger og ikke ud fra de første fund, og at sammenligningsperioden blev fastlagt, før resultaterne fra undersøgelsesperioden forelå.

Plan på én side

Fastlæg datoer, hypoteser og uskyldige forklaringer.
Stop automatisk sletning og nulstilling.
Eksportér cloud-, login-, netværks- og fagsystemlogs med hash.
Sikr computeren forensisk.
Sikr cloudlagre, delinger og CRM.
Sikr print og firmatelefon efter behov.
Analysér mod en sammenligningsperiode, og byg tidslinjen.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse ved fratræden

Læs også: Insider threat-undersøgelse: tekniske kilder og proportionalitet · Upload til privat cloud: browser-, proxy- og firewallspor

→ Undersøgelse ved fratræden · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik