Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen
Google Drive registrerer tre slags spor, der kan bruges i en sag: revisioner, som viser, hvordan et dokument har set ud over tid; aktivitet, som viser, hvem der har redigeret, kommenteret, flyttet eller delt; og auditloggen i administrationskonsollen, som viser handlinger som visning, download og ændring af adgang på tværs af organisationen. Det vigtigste at forstå er, at Googles egne dokumenter (Docs, Sheets, Slides) og uploadede filer (fx PDF og Word) har to helt forskellige former for versionshistorik, med forskellig detaljegrad og levetid.
Den grundlæggende gennemgang af, hvad der kan sikres i Drive, findes på hubben i Bevissikring af Google Drive og delte dokumenter. Her går vi i dybden med de tekniske spor. Metoden på tværs af cloudtjenester står i Tidligere versioner i cloud.
Revisioner i Googles egne dokumenter
Et Google-dokument gemmes løbende, mens der skrives. Versionshistorikken i dokumentet viser revisioner med tidspunkt og de konti, der har bidraget, og ændringerne kan farves pr. person. Detaljegraden er høj, men ikke ubegrænset:
- Sammenlægning: Små ændringer tæt på hinanden vises samlet. I visningen kan revisioner grupperes yderligere, og ældre revisioner af Docs, Sheets og Slides kan blive slået sammen eller vist samlet, så historikken ikke rummer hvert enkelt mellemtrin. Detaljegraden for gamle perioder kan derfor være lavere end for nye.
- Navngivne versioner: Brugere kan navngive en version, så den er let at finde. Navnet er brugerens og siger intet om indholdet i sig selv.
- Flere forfattere: Samtidig redigering registreres pr. konto, så det kan ses, hvem der skrev hvad, også i samme revision.
Revisionerne kan tilgås via Drive-API’et med tidspunkt og den konto, der senest ændrede, og indholdet af en revision kan hentes via revisionens eksportlinks i et valgt format. API’ets liste over revisioner svarer ikke nødvendigvis til den mere detaljerede historik i dokumentets brugerflade, så skærmbilleder af historikken kan være nødvendige som supplement.
Versioner af uploadede filer
For filer, der er uploadet til Drive, gemmes en ny version, når en fil med samme navn uploades som ny version, eller når den synkroniseres fra Drive til computer. Hver version er den fulde fil. Ældre versioner slettes automatisk efter 30 dage, eller når der er mere end 100 versioner, medmindre de er markeret til at blive gemt permanent. Versioner kan hentes via API som originalfiler, og deres hashværdier kan beregnes direkte.
Forskellen er vigtig i en sag om et kontraktudkast. Er udkastet skrevet i Google Docs, kan der være en detaljeret historik over hvert skridt. Er det redigeret i Word og uploadet, findes kun de versioner, der blev uploadet. Den juridiske betydning af versionshistorik i kontraktudkast er beskrevet i Versionshistorik i kontraktudkast.
Aktivitet og kommentarer
Drive viser for hver fil en aktivitetsoversigt med redigering, kommentarer, flytning, omdøbning og deling. Den kan også tilgås via Drive Activity API med tidspunkt, handling og konto. Kommentarer og forslag gemmes som selvstændige elementer, også når de er løst, og de har deres egne tidspunkter og forfattere.
Visninger af en fil kan i Workspace ses i aktivitetsoversigten for den enkelte fil, men brugerne kan, hvis administratoren tillader det, slå visningen af deres egen visningshistorik fra over for andre brugere. Det påvirker oversigten, ikke administratorens auditlog, som fortsat registrerer visninger.
Auditloggen for Drive
Administratorens auditlog for Drive registrerer hændelser som visning, redigering, download, udskrivning, kopiering, oprettelse, sletning, flytning og ændringer af adgang og synlighed, med konto, tidspunkt, IP-adresse og fil-id. Den dækker hele organisationen og er det centrale spor for spørgsmål som “hvem downloadede filerne” og “hvem delte med en ekstern adresse”. Loggens opbevaring og fortolkning er gennemgået i Google Vault og auditlogs i Google Workspace.
Ændringer af adgang er registreret som hændelser med den gamle og nye værdi. Det gør det muligt at rekonstruere, hvem der havde adgang til en fil på et bestemt tidspunkt, også selvom delingen er fjernet siden.
Sådan sikres sporene
- Fastlæg ejer og placering for hver central fil: Mit drev eller delt drev, og hvilken konto der ejer filen.
- Sæt fastholdelse i Vault for ejere og delte drev.
- Eksportér auditloggen for Drive for de relevante filer og konti i perioden.
- Hent revisioner og versioner via API med metadata, og gem originalfiler for uploadede versioner.
- Sikr historikken visuelt for Google-dokumenter, hvor eksport ikke er mulig, med skærmbilleder, der viser tidspunkt og forfattere.
- Hent aktivitet og kommentarer via API.
- Hash alle filer og eksporter.
Åbn ikke dokumenterne for redigering under sikringen. En konto med redigeringsadgang kan utilsigtet oprette en ny revision. Brug en konto med læseadgang eller API.
Forskellene mellem eksport med Takeout og Vault er beskrevet i Google Takeout eller Vault-eksport.
Delte drev og ejerskab
Filer i et delt drev ejes af organisationen, ikke af den enkelte bruger. De forsvinder derfor ikke, når en medarbejder stopper, og en fastholdelse lægges på det delte drev, ikke på brugeren. Filer i en brugers Mit drev ejes af brugeren og følger kontoens skæbne. En fil, som en medarbejder har redigeret, men som en kollega ejer, er kun omfattet af en fastholdelse på kollegaens konto.
For auditloggen betyder det, at hændelser for filer i delte drev kan findes, selvom den handlende bruger er slettet, mens filer i en slettet brugers Mit drev kan være væk, selvom loggen stadig viser hændelser for dem. Notér for hver central fil, hvor den lå på hændelsestidspunktet, og hvor den ligger nu, fordi flytning mellem Mit drev og delte drev ændrer ejerskab.
Verifikation
Kontrollér, at sporene hænger sammen. En revision bør passe med en redigeringshændelse i auditloggen fra samme konto og omtrent samme tidspunkt. En deling i aktivitetsoversigten bør have en tilsvarende adgangshændelse i loggen. Hashværdien af en downloadet version bør stemme, hvis samme version hentes igen. Afvigelser kan have tekniske forklaringer, fx forsinkelse eller sammenlægning, men de skal beskrives.
Fejlkilder i fortolkningen
- Tidspunkt for revision: Det er tidspunktet, hvor ændringen blev gemt hos Google. Offlineredigering synkroniseres senere og kan give revisioner med tidspunkt for synkroniseringen.
- Kopier: “Lav en kopi” giver et nyt dokument uden den oprindelige historik. Den nye fils oprettelsestid er kopieringstidspunktet.
- Ejerskifte: Overførsel af ejerskab, fx ved offboarding, ændrer ejer, men ikke revisionernes forfattere.
- Konverteringer: En Word-fil, der konverteres til Google Docs, får en ny historik fra konverteringstidspunktet.
- Visning i auditloggen: Forhåndsvisning og synkronisering kan give hændelser, der ligner bevidste åbninger.
Hvad sporene kan og ikke kan bevise
Revisioner kan vise, hvad et dokument indeholdt på et tidspunkt, og hvilken konto der bidrog. Auditloggen kan vise, hvilken konto der så, hentede eller delte en fil. Ingen af dem viser, hvad der skete uden for Google, fx med en downloadet kopi. Metoden på tværs af tjenester er samlet i Tidligere versioner i cloud.
Dokumentation til rapporten
Angiv filer med id, ejer og placering, revisioner og versioner med tidspunkter i UTC og forfattere, hvordan de er hentet, hvilke der kun er sikret visuelt, revisionshændelser, fastholdelser og hashværdier.
Kilder og versioner
- Google for Developers: Manage file revisions (Drive API)
- Google Drive Help: Check activity and file versions
- Google Workspace Admin Help: Drive log events
Senest gennemgået: oktober 2026.
Del af: Google Workspace-forensik
Læs også: Gmail-logsøgning: leveringsspor i Google Workspace · Overtaget Google Workspace-konto: filtre, videresendelse og app-adgang i revisionsloggen
→ Google Workspace-forensik · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
