Kan man se, om en fil er blevet åbnet? Spor i Windows og Microsoft 365

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Ofte ja, men ikke ud fra filens “senest åbnet”-dato, som er upålidelig. På en Windows-computer viser genveje, jump lists og programmernes lister over seneste filer typisk, at en bruger åbnede filen. I SharePoint og OneDrive viser auditloggen hændelsen FileAccessed. På en filserver kræver det, at objektadgang blev logget på forhånd.

Hvilken kilde der kan bruges, afhænger af, hvor filen lå, og hvad der var slået til, før spørgsmålet opstod. Artiklen gennemgår kilderne på computeren, på filserveren og i Microsoft 365, og hvad de hver især kan bære.

Hvorfor fildatoen ikke er nok

NTFS har et tidsstempel for seneste adgang, men det opdateres forsinket, kan være slået fra, og det ændres også, når antivirus, indeksering, forhåndsvisning eller backup læser filen. Omvendt kan en bruger åbne filen, uden at datoen ændres. Indstillingen styres af NtfsDisableLastAccessUpdate og kan aflæses med fsutil behavior query disablelastaccess. Detaljerne står i oprettet, ændret, åbnet: hvad fildatoerne betyder. Konklusionen er, at datoen højst kan bruges som et supplerende spor, aldrig alene.

Spor på Windows-computeren

De stærkeste spor er dem, Windows og programmerne opretter, fordi en bruger aktivt åbner en fil:

• LNK-filer i brugerens mappe for seneste elementer. Oprettelsestiden svarer typisk til første åbning af en fil med det navn, ændringstiden til seneste. LNK-filen gemmer også sti og volumenserienummer, så det kan ses, om filen lå på et USB-drev eller et netværksdrev.
• Jump lists pr. program, som kan vise, hvilket program der åbnede filen, og bevarer ofte ældre poster.
• RecentDocs og dialogboksenes MRU-lister i brugerens NTUSER.DAT, med rækkefølge og senest skrevne tidspunkt pr. nøgle.
• Office’ egne lister over seneste filer i registreringsdatabasen, som pr. program viser filer, der er åbnet i Word, Excel eller PowerPoint.
• Shellbags, som viser, at en mappe er vist i Stifinder, men ikke at en bestemt fil er åbnet.

Artefakterne er beskrevet i Windows-artefakter: LNK, jump lists og shellbags og UserAssist, RecentDocs og MRU-lister. De ligger i brugerens profil, så de knytter åbningen til en bestemt Windows-konto.

Hvad de ikke dækker

Filer, der åbnes direkte i en webbrowser, i en webversion af Office eller via en app, der ikke bruger Windows’ fælles dialoger, efterlader ikke nødvendigvis LNK-filer eller MRU-poster. Filer åbnet fra en synkroniseret OneDrive-mappe giver lokale spor på computeren og samtidig hændelser i Microsoft 365, men tidspunkterne kan afvige, fordi synkroniseringen sker separat.

Spor på filserveren

En Windows-filserver logger kun adgang til filer, hvis to ting var på plads, før adgangen skete: revisionspolitikken for objektadgang skal være slået til, og den relevante mappe skal have en revisionsliste (SACL), der angiver, hvilke handlinger der logges. Så registrerer Security-loggen fx 4663 (forsøg på adgang til et objekt) med konto, proces og adgangstype og ved netværksadgang 5145 for den delte mappe. Uden den opsætning er der normalt intet at hente. Se filserverens revision og objektadgang.

Vær opmærksom på, at en læseadgang i loggen ikke skelner mellem en person, der åbner filen, og et program, der læser den, fx en backupagent eller en indeksering. Processen og kontoen i hændelsen er derfor afgørende for fortolkningen.

Spor i SharePoint og OneDrive

Microsoft 365’s samlede auditlog registrerer filaktivitet i SharePoint og OneDrive. De relevante hændelser er:

• FileAccessed · En bruger eller systemkonto har tilgået filen
• FileAccessedExtended · Samme person har tilgået filen vedvarende over en længere periode
• FilePreviewed · Filen er vist som forhåndsvisning
• FileDownloaded · Filen er hentet ned

Microsoft angiver, at FileAccessed ikke logges igen for samme bruger og fil inden for de næste fem minutter, og at vedvarende adgang i op til tre timer samles i FileAccessedExtended. Antallet af hændelser er derfor ikke et mål for, hvor mange gange filen blev åbnet. Hændelserne har IP-adresse, brugeragent og ofte oplysning om, hvilken app der blev brugt. Opbevaringsperioden afhænger af licens og opsætning, så loggen skal eksporteres hurtigt. Se download og synkronisering i SharePoint og OneDrive.

Systemkonti og tjenester, fx indeksering, antivirus og automatiseringer, kan også udløse FileAccessed. Kontoen og brugeragenten skal derfor vurderes, før hændelsen tilskrives en person.

Mail og vedhæftninger

Er spørgsmålet, om en mail eller en vedhæftning er åbnet, er kilderne andre: MailItemsAccessed i postkassens auditlog, læst-markeringen og klientens egne spor. Det er et særskilt emne med sine egne begrænsninger.

Sådan kombineres kilderne

Det stærkeste svar kommer, når uafhængige kilder peger på det samme. En metode, der virker i de fleste sager:

1. Afgræns spørgsmålet: hvilken fil, i hvilken version, på hvilken placering og i hvilket tidsrum. Samme filnavn kan findes flere steder.
2. Find filen i de centrale logs først, fordi de har kort opbevaring: auditloggen i Microsoft 365 og filserverens Security-log.
3. Sammenhold med computerens spor: LNK-fil, jump list og MRU-poster for samme filnavn og sti. Passer tidspunkterne inden for få minutter, styrker kilderne hinanden.
4. Tjek for konkurrerende forklaringer: synkronisering, backup, antivirus, indeksering og automatiseringer, der kan have tilgået filen på samme tid.
5. Placér fundet på en tidslinje sammen med logon, låsning af skærmen og andre handlinger, så det kan ses, om brugeren var aktiv ved computeren.

Er kilderne i modstrid, fx en FileAccessed-hændelse uden spor på den computer, brugeren angiveligt arbejdede på, er det i sig selv et fund. Det kan pege på en anden enhed, en webbrowser eller en anden person med adgang til kontoen.

Typiske fejltolkninger

• “Datoen er ændret, så filen er åbnet.” Den kan være ændret af systemet.
• “Der er ingen LNK-fil, så filen er ikke åbnet.” Filen kan være åbnet på en måde, der ikke skaber en genvej, eller genvejen kan være overskrevet af en anden fil med samme navn.
• “Forhåndsvisning er åbning.” En forhåndsvisning i Stifinder eller i browseren viser indhold, men er teknisk og ofte juridisk ikke det samme som at åbne dokumentet.
• “Kontoen åbnede filen, så personen gjorde det.” Delte computere, fjernadgang og automatiseringer kan give samme spor. Se attribution af brugerhandlinger.

Sikring

Sikr brugerens profil som en del af en forensisk kopi af computeren, så LNK-filer, jump lists og NTUSER.DAT bevares med deres tidsstempler. Kopiering af enkelte filer ændrer eller mister tidsstemplerne. Eksportér auditloggen fra Microsoft 365 for den relevante periode og konto med hash, og dokumentér søgekriterierne. Hent Security-loggen fra filserveren, før den overskrives.

Hvad sporene kan og ikke kan vise

Sammen kan kilderne ofte vise, at en bestemt konto åbnede en bestemt fil fra en bestemt placering på et bestemt tidspunkt, og hvilket program der blev brugt. De viser ikke, hvor længe dokumentet var åbent, hvad der blev læst, eller om indholdet blev kopieret videre. Det sidste kræver andre spor, fx upload, mail eller USB-aktivitet. Et negativt resultat skal formuleres som “ikke fundet i de undersøgte kilder”, ikke som bevis for, at filen aldrig blev åbnet.

Kilder og versioner

• Microsoft Learn: Audit log activities (File and page activities)
• Microsoft Learn: Event 4663, An attempt was made to access an object
• Microsoft Learn: fsutil behavior

Senest gennemgået: oktober 2026.

Næste skridt

• Volume Shadow Copies: tidligere versioner som bevis
• RDP-spor: fjernskrivebord i logs, register og bitmap-cache
• Active Directory og domænecontroller-logs: konti, grupper og nulstillinger

Del af: Windows-forensik

Læs også: Kerberos og NTLM: autentificeringsspor ud over 4624 · Hvem installerede programmet? Installationsspor i Windows

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT