Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen
En slettet mail i Exchange Online forsvinder sjældent med det samme. Den bevæger sig gennem en række skjulte undermapper i postkassens Recoverable Items-område, og hvor længe den bliver der, afhænger af tre ting: opbevaringsperioden for slettede elementer, om enkeltelementgendannelse er slået til, og om postkassen er omfattet af et hold eller en opbevaringspolitik. Forstår man mekanismen, kan man ofte svare præcist på, om en bestemt mail stadig kan findes, og om den er ændret, efter den blev sendt eller modtaget.
Haster det? Slettede elementer bevares som standard kun i 14 dage, og en slettet postkasse uden hold kun i en kort periode, så hold og eksport skal på plads hurtigt. Ved akut behov: akut forensisk sikring; hastesager koster ekstra.
Det grundlæggende om at sikre mail i Microsoft 365 står på hubben i Bevissikring af mail i Microsoft 365, og hvad det betyder i en retssag, at en mail “er slettet”, er behandlet på digital-bevissikring.dk. Her ser vi på mekanikken. Oversigten over tidligere versioner og slettede elementer på tværs af cloudtjenester står i Tidligere versioner i cloud.
Sletningens trin
- Slettet post: Brugeren sletter en mail, og den flyttes til mappen Slettet post. Den er stadig synlig og kan flyttes tilbage.
- Blød sletning: Mailen slettes fra Slettet post, eller den slettes direkte med Skift+Delete. Den flyttes til undermappen Deletions i Recoverable Items og kan gendannes af brugeren selv i en periode.
- Udrensning: Brugeren fjerner mailen fra listen over gendannelige elementer, eller en automatisk proces, fx en opbevaringsmærkat, fjerner den fra Deletions. Mailen flyttes til Purges. Er der hverken enkeltelementgendannelse eller hold, slettes den derfra af systemets baggrundsproces.4. Endelig sletning: Når alle opbevaringsbetingelser er udløbet, fjernes mailen permanent.
Opbevaringsperioden for slettede elementer er som standard 14 dage og kan sættes op til 30 dage pr. postkasse, ifølge Microsoft på tidspunktet for gennemgangen (oktober 2026). Kalenderelementer har en længere standardperiode. Bemærk, at oprydningen sker af en baggrundsproces, så et element kan ligge lidt længere end perioden, før det faktisk fjernes. Det er ikke noget, man kan regne med.
Undermapperne
- Deletions · Blødt slettede elementer, som brugeren selv kan gendanne
- Purges · Elementer, brugeren har udrenset, og som bevares på grund af enkeltelementgendannelse eller hold
- Versions · Oprindelige versioner af elementer, der er ændret, mens et hold eller en opbevaringspolitik var aktiv
DiscoveryHolds· Elementer, der bevares på grund af et eDiscovery-hold eller en opbevaringspolitikSubstrateHolds· Kopier af data fra andre tjenester, fx Teams-beskeder, der bevares af opbevaringspolitikker- Calendar Logging · Ændringer af kalenderelementer
- Audits · Postkassens egne auditposter
Kun Deletions er synlig for brugeren.
Versions er den mest oversete undermappe i sager om ægthed. Når et element i en postkasse ændres, mens et hold eller en opbevaringspolitik er aktiv, gemmes den oprindelige version der. Det betyder, at en mail, der er redigeret i postkassen efter modtagelsen, i mange tilfælde kan sammenlignes med originalen. Det er kopi-ved-skrivning for udvalgte egenskaber, ikke en fuld versionshistorik af alt, så fraværet af en version beviser ikke, at intet er ændret.
Enkeltelementgendannelse og hold
Enkeltelementgendannelse sørger for, at udrensede elementer bevares i Purges i opbevaringsperioden, så brugeren ikke selv kan fjerne dem endeligt før tid. Microsoft angiver, at den er slået til som standard, når en ny postkasse oprettes i Exchange Online, men den kan være slået fra for enkelte postkasser, så indstillingen kontrolleres.
Hold og opbevaringspolitikker går videre:
- Litigation hold: Bevarer alt i hele postkassen, uendeligt eller i en angivet periode. Sættes pr. postkasse.
- eDiscovery-hold: Knyttet til en sag i Purview og kan afgrænses med søgekriterier.
- Opbevaringspolitikker og etiketter: Bevarer eller sletter efter regler for hele organisationen eller for udvalgte placeringer; se Purview-opbevaringspolitikker og etiketter.
Når en postkasse er omfattet af et hold, øges kvoten for Recoverable Items, og elementer bliver liggende, til holdet ophæves. Slettes en brugerkonto, hvis postkasse er under hold, bliver postkassen inaktiv og bevares. Uden hold bevares en slettet postkasse kun i en kort periode, som Microsoft på tidspunktet for gennemgangen (oktober 2026) angiver til 30 dage. Er kvoten for Recoverable Items nået, gemmes der ikke flere versioner eller auditposter. Den praktiske beslutning om konti for fratrådte er beskrevet på bevissikring-digitalt.dk.
Sådan undersøges området
Start med at fastlægge tilstanden: Hvilke hold og politikker gælder postkassen nu, og hvilke gjaldt i den relevante periode? Hvornår blev de sat, og af hvem? Holdets tidspunkt er afgørende, fordi det kun bevarer det, der stadig fandtes, da det blev sat. Ændringer af hold og politikker registreres i auditloggen; se Unified Audit Log i Microsoft 365.
Notér derefter postkassens indstillinger for opbevaring af slettede elementer og enkeltelementgendannelse, og hent statistik over Recoverable Items-mapperne: antal elementer og størrelse pr. undermappe. Statistikken er et øjebliksbillede, der viser, om der overhovedet er noget at hente, og om kvoten er tæt på at være fyldt, hvilket kan betyde, at ældre elementer er skubbet ud.
Selve indholdet hentes med eDiscovery-søgning, som kan omfatte Recoverable Items, og eksporteres til PST eller enkelte filer. Notér søgekriterier, antal resultater og eksportens hashværdier; se Microsoft Purview eDiscovery. Ved eksport til PST bevares mappestien, så det kan ses, om en mail kom fra Deletions, Purges eller Versions. Den interne struktur i PST er beskrevet i PST og OST.
Hvem slettede, og hvornår?
Recoverable Items viser, at et element blev slettet, men ikke nødvendigvis hvem eller hvordan. Det svar ligger i postkassens auditlog, hvor handlinger som flytning til Slettet post, blød sletning og hård sletning kan registreres med tidspunkt, klient og den konto, der udførte handlingen. Om handlingerne logges, afhænger af postkassens auditkonfiguration og licens. Elementets egne egenskaber, fx tidspunktet for sidste ændring, kan supplere, men de ændres også af systemprocesser.
Lokale kopier og andre postkasser
Recoverable Items er ikke den eneste kilde. En Outlook-klient i cachelagret tilstand har en lokal OST-fil, der kan indeholde elementer, som ikke længere findes på serveren, eller ældre versioner af dem, afhængigt af hvornår klienten sidst synkroniserede. Modtagere og afsendere har deres egne kopier i egne postkasser, og en mail sendt internt findes derfor typisk mindst to steder. Er afsenderens kopi slettet, kan modtagerens kopi stadig ligge urørt, og omvendt.
Sammenligning af kopier fra flere postkasser er ofte den stærkeste måde at vise, om en mail er ændret. Message-ID og de transportrelaterede headere er de samme i alle kopier af samme forsendelse, mens indhold og egenskaber, der kan redigeres i postkassen, kan afvige.
Typiske fejlkilder
- Holdet blev sat for sent: Det bevarer kun det, der fandtes, da det blev sat.
- Søgningen udelod Recoverable Items: Nogle søgevisninger og klienter viser kun de synlige mapper.
- Delte postkasser og arkiver: Har brugeren et onlinearkiv eller adgang til en delt postkasse, har de deres egne Recoverable Items.
- Dubletter: Samme mail kan ligge i Purges og Versions og i flere postkasser. Deduplikér med forsigtighed og angiv metoden.
- Kvote fyldt: Ved fyldt kvote kan nye elementer ikke gemmes eller ældre fjernes, afhængigt af indstillinger.
Hvad området kan og ikke kan bevise
Recoverable Items kan vise, at en mail fandtes i postkassen, at den blev slettet, og i nogle tilfælde, hvordan den så ud, før den blev ændret. Fravær af en mail kan skyldes, at den aldrig var der, at den er slettet endeligt, før beskyttelse blev sat, eller at søgningen ikke ramte. Konklusioner om sletning bør derfor bygge på både indhold, auditlog og en dokumenteret gennemgang af gældende hold og politikker i perioden.
Dokumentation
Angiv postkassens indstillinger på sikringstidspunktet, alle hold og politikker med tidspunkter, mappestatistik, søgekriterier og antal resultater, eksportformat og hashværdier. Når en konklusion bygger på en version i Versions, gengives både originalen og den ændrede udgave med de relevante egenskaber, så forskellen kan efterprøves.
Kilder og versioner
- Microsoft Learn: Recoverable Items folder in Exchange Online
- Microsoft Learn: Enable or disable single item recovery for a mailbox
- Microsoft Learn: Delete or restore user mailboxes in Exchange Online
Senest gennemgået: oktober 2026.
Næste skridt
- Entra ID sign-in logs: felter, fejlkoder og fortolkning
- MFA-ændringer og betinget adgang i Entra ID-loggene
- Adgang til andres postkasser: FullAccess, SendAs og delegering i auditloggen
Del af: Microsoft 365 og Entra ID: logkilderne
Læs også: Unified Audit Log i Microsoft 365 som bevis · MailItemsAccessed og mailbox-auditloggen: hvilke mails blev læst?
→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
