Excel i undersøgelser: skjulte ark, formler, eksterne links og ændringer

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

I tvister om regnskaber, kalkulationer, bonusser og prisberegninger er regnearket ofte det centrale dokument. Det, der står i cellerne på skærmen, er kun en del af filen. En xlsx-fil rummer også skjulte ark, formler sammen med deres senest beregnede resultater, eksterne kilder med gemte værdier, pivotdata, kommentarer og navne. Mange af sporene overlever, selvom brugeren tror, at de er fjernet, og nogle af dem ændres i det øjeblik, filen åbnes i Excel.

Hvordan Word- og Excel-filer bruges som bevis i almindelighed, står på hubben i Word- og Excel-filer som bevis. Generelle tegn på forfalskning i Office-filer er beskrevet i Dokumentforfalskning i Office og PDF. Her går vi i dybden med det, der er særligt for regneark.

Åbn ikke filen i Excel

Det første princip er, at den originale fil ikke åbnes i Excel. Ved åbning kan Excel genberegne formler, forsøge at opdatere eksterne links, køre makroer, hvis de er tilladt, og ved gem skrive nye metadata og en ny beregningskæde. Selv uden gem kan programmet skrive midlertidige filer og opdatere listen over seneste filer.

Sikr filen med hashværdi, lav en arbejdskopi, og pak arbejdskopien ud som ZIP-arkiv. Så kan delene læses direkte som XML. Skal arket ses i Excel, så brug en yderligere kopi på en maskine uden netværksadgang og med makroer og automatisk opdatering af links slået fra.

Filens dele

• xl/workbook.xml · Arkenes navne, rækkefølge og synlighed, definerede navne og beregningsindstillinger
• xl/worksheets/sheetN.xml · Cellernes formler og gemte værdier, skjulte rækker og kolonner, beskyttelse
• xl/sharedStrings.xml · Tekstværdier, som cellerne henviser til
• xl/calcChain.xml · Rækkefølgen, Excel senest beregnede formelcellerne i
• xl/externalLinks · Eksterne projektmapper med sti og gemte værdier
• xl/pivotCache · Kopi af kildedata bag pivottabeller
• xl/comments og threadedComments · Noter og trådede kommentarer med forfattere og tidspunkter
• docProps/core.xml og app.xml · Forfatter, sidst gemt af, tidspunkter og program

Metadatafelterne i docProps er gennemgået i Office-metadata.

Skjulte ark og skjult indhold

I workbook.xml har hvert ark en synlighed. Ud over synlige ark findes skjulte ark, som kan vises igen fra Excels menu, og meget skjulte ark, som ikke kan vises fra den almindelige brugerflade. Et meget skjult ark er ikke mistænkeligt i sig selv, for det bruges af skabeloner og tilføjelsesprogrammer, men det skal gennemgås.

Andet skjult indhold:

• skjulte rækker og kolonner samt grupperinger, der er foldet sammen,
• celler med talformat, der skjuler værdien, eller med hvid skrift på hvid baggrund,
• definerede navne, der peger på områder eller konstanter, og som selv kan være skjulte,
• ark- og projektmappebeskyttelse, der forhindrer visning af formler.

Alt dette kan læses direkte i XML uden at ændre noget.

Delte tekststrenge fortjener også et blik. sharedStrings.xml rummer de tekster, cellerne henviser til, og indeholder den tekster, som ingen celle længere bruger, kan det være rester af tidligere indhold, fx et kundenavn eller en kontotekst, der er slettet. Excel rydder normalt op ved gem, men standarden kræver det ikke, og andre programmer og biblioteker gør det ikke altid. Fundet afhænger derfor af, hvilket program der senest har skrevet filen, og det bør fremgå af app.xml.

Formler og gemte værdier

For hver formelcelle gemmer filen både formlen og det senest beregnede resultat. Det giver tre spørgsmål:

• Er tallet beregnet eller indtastet? En celle med en værdi, men uden formel, kan være indsat som værdi oven på en tidligere formel. Mønstre, hvor én celle i en ellers ensartet kolonne mangler formel, er værd at undersøge.
• Passer de gemte værdier med formlerne? Genberegnes arket i en kopi, og giver det andre resultater, kan det skyldes manuel beregning, ændrede eksterne kilder eller ændrede inputceller. Forskellen skal forklares, ikke blot konstateres.
• Hvad siger beregningskæden? calcChain.xml viser formelceller i den rækkefølge, Excel senest beregnede dem. Henvisninger til celler, der ikke længere indeholder formler, kan tyde på, at formler er fjernet efter seneste fulde beregning. Filen er valgfri i formatet, kan mangle helt og genskrives ofte, så sporet er svagt og skal bruges forsigtigt. Hvordan en bestemt Excel-version opdaterer den, bør afprøves med en testfil, hvis sporet skal bære en konklusion.

Eksterne links

En projektmappe, der henter tal fra en anden fil, gemmer stien til kilden og en kopi af de værdier, der senest blev hentet. Det kan afsløre:

• filnavne, mapper og netværksstier, der fortæller, hvor regnearket har været brugt,
• brugernavne i stier, fx under en brugerprofil,
• tal fra en kildefil, som ikke længere findes eller ikke er udleveret.

De gemte værdier er en tidslig kopi. De viser, hvad kilden indeholdt, da linket sidst blev opdateret, ikke hvad den indeholder nu. Tilsvarende kan forbindelser til databaser og forespørgsler gemme servernavne og tabelnavne.

Pivotdata, kommentarer og versioner

• Pivotcachen gemmer en kopi af kildedataene bag en pivottabel. Er kildearket slettet eller ændret, kan cachen stadig indeholde de oprindelige rækker.
• Trådede kommentarer har forfatter og tidspunkt for hvert indlæg, mens ældre noter kun har en forfatter.
• Versionshistorik i OneDrive eller SharePoint er ofte den stærkeste kilde til, hvornår tal er ændret, fordi den føres af tjenesten. Se Versioner og deling i SharePoint og OneDrive.
• Makroer i xlsm-filer ligger i et særskilt binært projekt og kan indeholde kode, der ændrer data. Kør dem ikke. Udtræk og læs koden statisk.

Kommer tallene fra et økonomisystem, er systemets egen ændringslog ofte stærkere end regnearket; se Audit trail i ERP-systemer.

Typiske fejlkilder i fortolkningen

• Indsatte værdier er ikke manipulation. Mange kopierer bevidst værdier ind for at fastfryse en beregning. Mønsteret skal sammenholdes med, hvordan arket normalt bruges.
• Gemte værdier er ikke “originale” værdier. De afspejler seneste beregning, som kan være foretaget med andre input.
• Ældre formater. En xls-fil i det binære format har en anden struktur, og sporene ligger andre steder. Konvertering til xlsx ændrer filen.
• Andre programmer. Regneark gemt i LibreOffice, Google Sheets eller af et eksportmodul i et økonomisystem har en anden struktur, og fravær af Excel-spor siger da intet.
• Forfatterfelter. “Sidst gemt af” afspejler brugernavnet i den Office-installation, der gemte filen, ikke nødvendigvis den person, der sad ved tastaturet.
• Skjult er ikke slettet. Og slettet er ikke nødvendigvis væk, hvis pivotcache, eksterne links eller tidligere versioner rummer data.

Hvad det kan og ikke kan bevise

En teknisk gennemgang kan vise, hvordan regnearket er bygget, hvilke tal der er beregnet eller indtastet, og hvilke kilder det har hentet fra. Sammen med versionshistorik og filsystemets tidsstempler kan den ofte vise, hvornår ændringer er sket. Den kan ikke vise, hvem der tastede et bestemt tal, uden understøttelse fra logs, versioner med brugernavn eller andre kilder, og den kan ikke vurdere, om beregningsmodellen er fagligt rigtig.

I rapporten

Angiv hashværdi og kilde for hver version af filen, og gengiv fund med arknavn, celleadresse, formel og gemt værdi. Beskriv, hvordan genberegning er udført, i hvilken kopi og med hvilket program og version. Hold konstateringer om filens struktur adskilt fra vurderinger af regnskabsmæssig betydning, som hører til revisor eller skønsmand. Kronologien bygges som beskrevet i Tidslinjeanalyse.

Kilder og versioner

• Ecma International: ECMA-376 Office Open XML
• Microsoft Learn: Tabellen med delte tekststrenge i Open XML
• Microsoft Learn: Formler i Open XML-regneark

Senest gennemgået: oktober 2026.

Næste skridt

• Audit trail i e-signaturløsninger

Del af: Analyse og fortolkning

Læs også: Digitale signaturer i PDF: teknisk validering og tidsstempling · Filsignaturer og forkerte filendelser

→ Teknisk undersøgelse af dokumenter og metadata · For IT-revision · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT