Forside › E-mail forensics · Gennemgået oktober 2026 · Af John Nielsen
Når en mail med persondata eller fortrolige oplysninger er sendt til den forkerte modtager, eller et dokument er delt med et link, der giver for bred adgang, er det tekniske spørgsmål altid det samme: Hvem modtog eller fik adgang, til hvad, og hvornår? Svaret findes i transportsporet for mails og i auditloggen for delinger. Om modtageren faktisk åbnede indholdet, kan sjældent dokumenteres, når modtageren er uden for organisationen. Det skal den tekniske dokumentation være ærlig om, fordi vurderingen af hændelsen ofte afhænger af netop den skelnen.
Haster det? Message trace og auditlog kan kun søges en begrænset periode tilbage, så eksporten bør ske inden for de første dage. Se Akut forensisk sikring; hastesager koster ekstra.
Hvad organisationen skal have på plads for at kunne anmelde et persondatabrud rettidigt, er beskrevet på bevissikring-digitalt.dk. Her handler det om at fastlægge omfanget teknisk.
Fejlsendt mail: de fire spørgsmål
- Hvilken mail? Den præcise mail med
Message-ID, emne, tidspunkt, indhold og vedhæftninger. - Hvem modtog den? Alle modtagere, inklusive dem, der kom med via distributionslister, cc, bcc og automatisk videresendelse.
- Blev den leveret? Eller blev den afvist, sat i karantæne eller stoppet af en regel?
- Hvad skete bagefter? Blev den tilbagekaldt, åbnet, videresendt eller slettet hos modtageren?
Modtagerne
Transportsporet er den centrale kilde. Det viser hver levering, også til modtagere, der ikke står synligt i mailen, fx bcc-modtagere og medlemmer af en distributionsliste. En mail til en liste vises som én modtagelse, der udvides til mange leveringer. Udvidelsen afspejler listens medlemmer på afsendelsestidspunktet, ikke i dag, og det er derfor transportsporet og ikke den nuværende liste, der skal bruges. Se Message trace og transportlogs.
Tjek også, om en af modtagerne har en automatisk videresendelse, som har sendt mailen videre. Det fremgår som en ny afsendelse i sporet fra modtagerens system, hvis modtageren er intern.
Levering eller ej
Status i transportsporet viser, om mailen blev leveret til den eksterne server. Et accepteret svar fra modtagerens server betyder, at mailen nåede frem til modtagerens mailsystem. Det betyder ikke, at den lå i indbakken, fordi modtagerens eget spamfilter kan have sorteret den fra. Det kan kun modtageren selv oplyse.
Tilbagekaldelse
Tilbagekaldelse af mails virker som udgangspunkt kun inden for samme organisation eller mailsystem og kun på bestemte betingelser. En mail til et eksternt domæne kan normalt ikke tilbagekaldes teknisk. Exchange Online kan dog også tilbagekalde hos andre Microsoft 365-organisationer, hvis modtagerens organisation udtrykkeligt har tilladt det. Afsenderen får en statusrapport med status pr. modtager, og den bør sikres, men den dokumenterer kun, hvad systemet forsøgte, og om det lykkedes. Message trace kan bekræfte resultatet.
Åbning
For interne modtagere kan postkassens auditlog vise, om mailen er åbnet, hvis den relevante logning var aktiv; se MailItemsAccessed og mailbox-auditlog. For eksterne modtagere findes der normalt ingen pålidelig teknisk kilde. Læsekvitteringer kan afvises af modtageren, og indlejrede billeder, der henter indhold fra en server, blokeres af mange mailklienter eller hentes af sikkerhedsfiltre, som ikke er mennesker. Fravær af åbningsspor beviser derfor ikke, at mailen ikke er læst.
Fejldeling: links og tilladelser
Ved fejldeling af filer i SharePoint, OneDrive, Google Drive eller lignende er spørgsmålene:
- Hvilken type link? Et link, som alle med adressen kan bruge, et link for alle i organisationen, eller et link til bestemte personer.
- Hvad omfattede linket? En enkelt fil, en mappe eller et helt bibliotek, og hvilke filer lå der i perioden.
- Hvornår blev det oprettet og fjernet? Tidsrummet, hvor adgangen var åben.
- Blev det brugt? Hvilke adgange, visninger og downloads er registreret via linket.
Auditloggen
I Microsoft 365 registrerer auditloggen oprettelse af delinger og links, brug af anonyme links og filadgange som visning og download. Oprettelse og brug af et link, som alle kan bruge, logges som AnonymousLinkCreated og AnonymousLinkUsed med IP-adresse og brugeragent, men uden identitet. Ved links til bestemte personer viser AddedToSecureLink, hvem der blev tilføjet, og senere filadgange logges med den eksterne bruger. Detaljerne om deling er beskrevet i SharePoint og OneDrive: versionshistorik og delingslinks, og filaktivitet i Download og synkronisering i SharePoint og OneDrive. Google Workspace har tilsvarende hændelser i Drive-auditloggen. Visninger fra brugere, der ikke er logget ind, registreres med færre oplysninger.
Mappen ændrer sig
Hvis linket gav adgang til en mappe, skal indholdet af mappen i hele perioden fastlægges, ikke kun det nuværende indhold. Filer kan være tilføjet eller fjernet, mens linket var aktivt. Versionshistorik og auditlog for filhandlinger i mappen giver svaret.
Afgrænsning af de berørte data
Når modtagerne er fastlagt, skal indholdet afgrænses: hvilke personer og hvilke kategorier af oplysninger der fremgik af mailen, vedhæftningerne eller de delte filer. Det kræver gennemgang af indholdet, ofte med søgning efter CPR-numre, navne og andre identifikatorer i vedhæftninger og filer. Metoden er beskrevet i Hvilke persondata blev berørt?.
Typiske fejl i opgørelsen
- Den nuværende distributionsliste bruges. Medlemmer kan være kommet til eller gået, siden mailen blev sendt. Kun transportsporet viser, hvem der faktisk fik den.
- Bcc overses. Bcc-modtagere fremgår ikke af modtagernes eksemplarer, men de står i transportsporet og i afsenderens eksemplar.
- Svar og videresendelser glemmes. Hvis en modtager har svaret til alle eller videresendt mailen, er kredsen udvidet. Søg efter mails med samme emne eller med henvisning til den oprindelige
Message-ID. - Kun mailen, ikke vedhæftningen. Vedhæftede regneark kan indeholde skjulte ark, kolonner eller tidligere versioner med langt flere data end det synlige.
- Linkets aktuelle tilstand. At linket er fjernet nu, siger intet om, hvor længe det var aktivt, eller om indholdet blev hentet i mellemtiden.
- Synkroniserede kopier. En intern modtager, der har synkroniseret en delt mappe, har en lokal kopi, som ikke forsvinder, når delingen fjernes.
En omhyggelig opgørelse går fra det, der med sikkerhed er sket, til det, der kan være sket, og beskriver for hvert led, hvilken kilde der ligger til grund.
Sikring
Rækkefølgen styres af, hvad der forsvinder først. Transportspor og auditlog har begrænset opbevaring, i Microsoft 365 blandt andet afhængigt af licensen (se Audit Standard eller Premium), mens selve mailen normalt ligger i afsenderens postkasse, så længe den ikke slettes.
- Sikr den fejlsendte mail fra afsenderens postkasse med vedhæftninger og egenskaber.
- Eksportér transportsporet med detaljer for alle modtagere, mens søgevinduet er åbent.
- For fejldeling: eksportér auditlog for linkets oprettelse, brug og fjernelse samt filaktivitet i den delte placering.
- Gem delingsindstillingerne, som de var, før de blev rettet, fx med skærmbilleder med tidspunkt og en eksport af tilladelser.
- Beregn hashværdier for alle eksporter.
- Notér, hvornår og af hvem fejlen blev rettet, så eksponeringsperioden kan beregnes.
Hvad dokumentationen kan og ikke kan vise
Den tekniske dokumentation kan normalt vise præcist, hvilke modtagere eller adresser der fik eller kunne få adgang, i hvilket tidsrum, og hvilke data det drejede sig om. For interne modtagere og registrerede brug af links kan den ofte også vise faktisk adgang. For eksterne mailmodtagere kan den sjældent vise, om indholdet blev læst. Rapporten bør skille de tre niveauer ad: mulig adgang, registreret adgang og ukendt. De tekniske fakta, der typisk skal være fastlagt ved en anmeldelse, er samlet i Persondatabrud på 72 timer.
Kilder og versioner
- Microsoft Learn: Cloud-baseret tilbagekaldelse af mails i Exchange Online
- Microsoft Learn: Deling i revisionsloggen
- Microsoft Learn: Mailbox-revision i Microsoft Purview
Senest gennemgået: oktober 2026.
Næste skridt
Del af: E-mail forensics
Læs også: Redigerede mails: tegn på efterfølgende ændring i postkasse eller PST · Kalenderdata og mødeinvitationer teknisk
→ E-mail forensics · For DPO’er · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
