Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen
I Google Workspace ligger sporene efter Chat og Meet tre steder: i administrationskonsollens revisionslogs (Chat log events og Meet log events), i selve indholdet, som Vault kan fastholde og eksportere, og i Drive, hvor Meet-optagelser og transskriptioner gemmes. Revisionsloggene viser, at noget skete, og hvem der var involveret. Indholdet viser, hvad der blev skrevet eller sagt. Om indholdet overhovedet findes, afhænger især af én indstilling: om chathistorik var slået til.
Vault og de generelle revisionslogs er beskrevet i Google Vault og revisionslogs i Google Workspace. Her går vi i dybden med kommunikationstjenesterne.
Chathistorik: den indstilling, der afgør alt
Administratoren kan slå historik til eller fra for organisationen eller for organisationsenheder, og i nogle opsætninger kan brugerne selv vælge pr. samtale. Når historikken er slået fra, slettes beskeder efter 24 timer, og Vault kan ikke fastholde, opbevare eller søge i dem. Når historikken er slået til, styrer Vaults opbevaringsregler, hvor længe beskederne findes. Ændringer af indstillingen gælder kun nye beskeder.
For en undersøgelse betyder det, at første skridt er at fastslå, hvordan historikken var indstillet for de relevante brugere og samtaler i hele perioden. Er historikken slået fra, er indholdet som udgangspunkt væk, og sagen må bygge på revisionsloggen, på kopier hos modtagerne eller på andre kanaler. Google gør selv opmærksom på, at en besked kan være kopieret andre steder, fx videresendt til Gmail eller gemt af en tredjepartsklient.
Chat log events
Chat-revisionsloggen i administrationskonsollen viser hændelser som redigerede beskeder, uploadede og downloadede vedhæftninger, invitationer og ændringer i medlemskab af rum, med aktør, tidspunkt, besked-id, rum-id og samtaletype. For vedhæftninger registreres bl.a. filnavn og en hashværdi, hvilket gør det muligt at koble en fil i loggen til en fil fundet andetsteds. Listen over hændelsestyper er udvidet over tid, så kontrollér i konsollen, hvilke typer der fandtes i den relevante periode. Indholdet af beskeden er ikke det, loggen er bygget til at vise; det hentes fra Vault. Hvordan hændelser for samtaler med historik slået fra fremstår i loggen, har ændret sig over tid, så kontrollér den aktuelle beskrivelse i Googles hjælp og vurdér det konkret.
Google oplyser en opbevaring af Chat log events på seks måneder, og administratorer kan hverken slette data i revisionsloggene eller ændre opbevaringstiden. Ældre hændelser kan kun findes, hvis de løbende er eksporteret til fx BigQuery eller en SIEM.
Meet log events
Meet-revisionsloggen registrerer deltagelse i møder pr. deltager. Felterne omfatter bl.a.:
- mødekode og konferencens id,
- deltagerens identitet, eller visningsnavn for deltagere uden konto,
- klienttype, fx browser, Android, iOS, mødeudstyr eller telefonopkald,
- varighed for deltagerens tilstedeværelse,
- IP-adresse og om deltageren er ekstern,
- tekniske målinger for lyd og video.
Visningen i konsollen viser som standard de seneste syv dage, men kan søges længere tilbage inden for opbevaringstiden. Via Admin SDK Reports API kan de samme hændelser hentes maskinelt med feltnavne som ip_address, is_external og device_type. Eksport via API er at foretrække, fordi forespørgslen kan dokumenteres og gentages.
Den organisation, der ejer mødet, ser alle deltagere. Interne deltagere i et møde hos en anden organisation fremgår af egen organisations log, men med færre detaljer om de øvrige deltagere.
Optagelser, transskriptioner og noter
Meet-optagelser gemmes som videofiler i arrangørens Drive, typisk i mappen Meet Recordings, og transskriptioner og automatiske noter gemmes som dokumenter. De er derfor almindelige Drive-filer med revisioner, delingshistorik og Drive-revisionslog. Det betyder, at download, deling og sletning af en optagelse kan ses i Drive-loggen, og at Vault kan fastholde og eksportere optagelsen som en Drive-fil, hvis den er omfattet af et hold. Se Google Drive: revisioner, aktivitet og delingsspor.
Chatbeskeder sendt i selve mødet kan, afhængigt af indstillinger, gemmes sammen med optagelsen eller som en Chat-samtale. Afklar, hvilken model organisationen brugte.
Sikring
- Dokumentér indstillingerne for chathistorik og Vault-opbevaring for de relevante organisationsenheder, med skærmbilleder eller API-output og dato.
- Opret et hold i Vault for de relevante konti, før yderligere data udløber. Har organisationen ikke Vault, er mulighederne langt mere begrænsede; se bevissikring-digitalt.dk om Vault-licens.
- Eksportér Chat-indhold fra Vault for perioden, og gem eksportens egne metadata- og kontrolfiler.
- Eksportér Chat og Meet log events via Reports API for hele den tilgængelige periode, og gem rå JSON.
- Sikr optagelser og transskriptioner som Drive-filer med metadata, og eksportér Drive-loggen for dem.
- Hash alle eksporter, og notér forespørgsler, filtre og antal poster.
Selvindsamling via Google Takeout fra brugerens konto giver et andet indhold og andre metadata end en Vault-eksport. Forskellen er beskrevet i Google Takeout eller Vault-eksport.
Fejlkilder
- Historik slået fra: Ingen besked i Vault betyder ikke, at der ikke blev skrevet noget.
- Seks måneder: Revisionsloggene rækker kun et halvt år tilbage, medmindre de er eksporteret løbende.
- Forsinkelse: Nogle hændelser optræder i loggen med forsinkelse. En eksport lige efter en hændelse kan være ufuldstændig.
- Navne uden konto: Deltagere uden Google-konto identificeres kun med det navn, de selv angav, og en IP-adresse, hvis den registreres.
- Tidszoner: Konsollen viser tid i administratorens tidszone, API’et i UTC.
- Eksterne rum: I rum med eksterne deltagere kan beskeder være omfattet af den eksterne organisations regler.
Dokumentation
Rapporten skal beskrive, hvordan chathistorik og Vault-opbevaring var indstillet, fordi det forklarer, hvad der kunne og ikke kunne findes. For hver eksport angives værktøj, konto, tidspunkt, søgekriterier og antal poster eller beskeder, og eksportens kontrolfiler gemmes sammen med hashværdierne. Fund fra revisionsloggen gengives med besked-id eller mødekode, så de kan genfindes. Når Meet-loggen bruges til at fastslå deltagelse, skal det fremgå, om deltageren var intern, ekstern eller uden konto, og hvilke felter der derfor mangler. Begrænsninger som udløbne logs eller historik slået fra skrives som begrænsninger, ikke som negative fund.
Hvad sporene kan og ikke kan bevise
Meet-loggen kan vise, at en konto deltog i et møde, fra hvilken klienttype, i hvor lang tid og fra hvilken IP-adresse. Chat-loggen kan vise, at beskeder blev sendt, redigeret eller slettet. Indholdet kræver Vault eller en anden kopi. Ingen af kilderne viser, hvem der fysisk brugte kontoen. For den samlede tilgang til Workspace, se Google Workspace-forensik. For Microsofts tilsvarende kilder, se Teams-opkald og møder.
Kilder og versioner
- Google Workspace Admin Help: Turn chat history on or off for an organization
- Google Workspace Admin Help: Meet log events
- Google Workspace Admin Help: Data retention and lag times
- Google for Developers: Google Meet Audit Activity Events (Reports API)
Senest gennemgået: oktober 2026.
Del af: Google Workspace-forensik
Læs også: Electron-apps lokalt: Teams, Slack og Discord på computeren · Google Vault og revisionslogs i Google Workspace som bevis
→ Google Workspace-forensik · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
