Gmail‑logsøgning: leveringsspor i Google Workspace

Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen

Gmail-logsøgning (Email Log Search) i administrationskonsollen i Google Workspace viser, hvordan en mail bevægede sig gennem Googles mailsystem: hvornår den blev modtaget eller sendt, fra og til hvilke adresser, via hvilke servere, med hvilket resultat for SPF, DKIM og DMARC, og om den blev leveret, afvist, sat i karantæne eller sendt videre. Det svarer til message trace i Microsoft 365. Logsøgningen viser leveringen, ikke indholdet, og den har et begrænset søgevindue, så resultaterne skal sikres, mens de findes.

Haster det? Den almindelige logsøgning i Gmail dækker kun de seneste 30 dage, så leveringsspor fra en bestemt dag kan være væk få uger senere. Se akut forensisk sikring, og bemærk, at hastesager koster ekstra.

Den grundlæggende gennemgang af sikring i Gmail og Workspace findes på hubben i Bevissikring af Gmail og Google Workspace. Modstykket i Microsoft 365 er beskrevet i Message trace og transportlogs.

Hvad logsøgningen indeholder

En søgning kan afgrænses på afsender, modtager, Message-ID, emne, afsender- eller modtager-IP og periode. Resultatet viser en liste over mails og for hver mail en række hændelser:

Message-ID · Mailens globale id, som også står i headeren
Tidspunkter · Modtagelse og levering for hvert trin
Afsender og modtager · Konvolutadresser, som kan afvige fra Fra-feltet
Forbindende IP · Den server, der afleverede mailen til Google
Autentificering · Resultat af SPF, DKIM og DMARC
TLS · Om forbindelsen var krypteret
Leveringsstatus · Leveret, afvist, sat i spam eller karantæne, sendt videre
Regler · Om en routing- eller indholdsregel blev udløst

Felter og visning kan variere med udgave og ændres af Google. Notér derfor, hvilke felter og filtre konsollen viste ved søgningen. En enkelt søgning har også en grænse for, hvor mange mails og loghændelser den returnerer, så brede søgninger bør deles op.

Søgevinduet

Den almindelige logsøgning dækker på tidspunktet for gennemgangen (oktober 2026) de seneste 30 dage. Mails, der er ældre, kan kun findes med modtagerens fulde adresse og Message-ID, og så vises kun oplysninger fra efter leveringen. Ældre leveringsspor findes kun, hvis organisationen har sendt Gmail-logs videre til BigQuery eller et SIEM-system, hvilket kræver en bestemt udgave og opsætning. I udgaver med undersøgelsesværktøjet kan Gmail-loghændelser også søges der, med andre muligheder for filtrering og handlinger.

Notér altid søgevinduet på sikringstidspunktet. Hvis en mail ikke findes, er det første spørgsmål, om den ligger uden for vinduet.

Typiske spørgsmål, logsøgningen kan besvare

Blev mailen leveret? Leveringsstatus og modtagerens postkasse viser det. En påstand om, at en mail aldrig kom frem, kan afkræftes eller bekræftes.
Blev mailen afvist, og hvorfor? Afvisningskoden og autentificeringsresultatet viser, om afvisningen skyldtes politik, spamvurdering eller en teknisk fejl.
Kom mailen fra den server, den påstår? Forbindende IP og autentificeringsresultat kan sammenholdes med afsenderdomænets SPF-poster og DKIM-signatur.
Blev mails sendt videre til en ekstern adresse? Videresendelse registreres som en selvstændig hændelse med ny modtager.
Hvornår præcis? Tidspunkterne fra Googles servere er uafhængige af klientens ur.

Sammenhæng med mailens header

Logsøgningen og headeren supplerer hinanden. Headeren findes i selve mailen, så længe den eksisterer, og viser hele vejen fra afsenderens server. Logsøgningen viser Googles egen registrering, også når mailen er slettet eller aldrig blev leveret. Message-ID er nøglen mellem de to. Se Mailheadere, SPF, DKIM og DMARC.

Stemmer tidspunkter og servere i headeren ikke med logsøgningen, er det et tegn, der skal undersøges. Det kan skyldes, at mailen er manipuleret, eller at den er videresendt og importeret, så headeren beskriver en anden forsendelse.

Loghændelser uden for konsollens søgning

I udgaver med undersøgelsesværktøjet findes Gmail-loghændelser som en selvstændig datakilde, der kan filtreres på flere felter end den almindelige logsøgning, og som kan kobles til andre loghændelser for samme konto. Er Gmail-logs desuden sendt til BigQuery, kan de forespørges med SQL i den periode, organisationen selv har valgt at opbevare dem. Det er ofte den eneste vej til leveringsspor, der er ældre end konsollens vindue.

BigQuery-data skal sikres med samme omhu som andre logs: Gem forespørgslen, kørselstidspunktet og resultatet i rå form, og beregn hashværdien. Notér også, hvornår eksporten til BigQuery blev slået til. Hændelser fra før det tidspunkt findes ikke dér, og det forklarer et hul i tidslinjen.

Mails fra afsendere uden for organisationen

Logsøgningen viser kun, hvad Googles system så. Hvordan en mail blev sendt fra en ekstern afsender, før den nåede Google, ligger i afsenderens system og i de mellemliggende servere. Er det afgørende, om en mail blev afsendt på et bestemt tidspunkt, kan afsenderens egne leveringslogs være nødvendige. De skal bevares hos afsenderen, og det bør ske hurtigt, fordi mange mailtjenester kun gemmer leveringslogs i kort tid.

Sådan sikres resultatet

Søg bredt på adresser og periode, og notér søgekriterierne præcist.
Åbn detaljerne for de relevante mails, og eksportér resultatet med konsollens eksportfunktion. Supplér med skærmbilleder af detaljevisningen med synlig adresselinje og tidspunkt, fordi eksporten ikke nødvendigvis rummer alle detaljer.
Notér tidszonen, som konsollen viser tidspunkterne i.
Sikr selve mailen via Vault, hvis den findes, så header og indhold kan sammenholdes med leveringssporet. Se Google Vault og auditlogs.
Hash eksporterede filer og skærmbilleder, og registrér dem i bevisloggen.

Fejlkilder i fortolkningen

Konvolut og Fra-felt: Logsøgningen bygger på konvolutadresserne, som kan være anderledes end den afsender, brugeren ser.
Grupper og aliasser: En mail til en gruppe eller et alias udfoldes til flere modtagere, som hver har deres egen levering.
Spam er leveret: En mail i spam er leveret til postkassen. Om brugeren så den, er et andet spørgsmål.
Tidszone: Konsollen kan vise tidspunkter i administratorens tidszone. Omregn til UTC i rapporten.
Interne mails mellem brugere i samme domæne kan have færre hændelser end eksterne.

Verifikation

Kontrollér de centrale resultater fra mindst én anden side. Findes mailen i modtagerens postkasse med samme Message-ID og tidspunkt? Stemmer forbindende IP med den første Received-linje, der er tilføjet af Googles servere? Er en afvisning også registreret hos afsenderen som en returmail? Gentag søgningen senere med samme kriterier, og sammenlign, så det kan vises, at resultatet er stabilt.

Når kontoen er overtaget

I sager om overtagne konti er logsøgningen central for at se, hvilke mails der blev sendt fra kontoen, og om mails blev sendt videre automatisk. Den viser forsendelserne, mens auditloggen viser, hvem der oprettede filtre og videresendelse. Begge dele er gennemgået i Overtaget Google Workspace-konto.

Hvad logsøgningen kan og ikke kan bevise

Logsøgningen kan vise, at Googles system modtog, leverede, afviste eller sendte en mail videre på et bestemt tidspunkt. Den kan ikke vise, at modtageren læste mailen, og den viser ikke indholdet. Den viser heller ikke, hvem der sad ved kontoen, da en mail blev sendt. Til det kræves loginhændelser og andre spor, der kan knytte afsendelsen til en bestemt session, enhed og person. En leveret mail til en forkert adresse kan desuden skyldes en stavefejl eller en autoudfyldning i klienten, og logsøgningen alene kan ikke skelne mellem en fejl og en bevidst handling.

Dokumentation til rapporten

Angiv søgekriterier, søgevindue, tidspunkt for søgningen, udførende administrator, de relevante mails med Message-ID og hændelser, tidszone, eksporterede filer med hashværdier og sammenhængen med header og Vault-eksport.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Google Takeout eller Vault-eksport: forskelle i indhold og metadata

Del af: Google Workspace-forensik

Læs også: Google Takeout eller Vault-eksport: forskelle i indhold og metadata · Google Drive: revisioner, aktivitet og delingsspor

→ Google Workspace-forensik · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik