Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen
Google Takeout og Google Vault kan begge levere en brugers mails og filer, men de er bygget til forskellige formål og giver forskellige resultater. Takeout er brugerens egen kopi af det, brugeren kan se i sin konto. Vault er organisationens værktøj til at bevare, søge og eksportere data i Google Workspace, inklusive det, brugeren har slettet, hvis det er omfattet af en fastholdelse. Til en sag er Vault den stærkeste kilde, når den findes. Takeout er ofte den eneste vej for private Google-konti, og den kræver kontoejerens medvirken.
Vaults byggesten, fastholdelser og auditlogs er gennemgået i Google Vault og auditlogs i Google Workspace. Her sammenligner vi de to eksporter.
Overblik
- Hvem starter · Takeout: Kontoejeren · Vault-eksport: Administrator med Vault-rettigheder
- Kontotyper · Takeout: Private konti og Workspace, hvis tilladt · Vault-eksport: Kun Workspace med Vault
- Omfang · Takeout: Det, brugeren ser nu · Vault-eksport: Søgeresultat, inkl. fastholdt indhold
- Slettet indhold · Takeout: Nej · Vault-eksport: Ja, hvis fastholdt
- Gmail-format · Takeout: MBOX · Vault-eksport: MBOX eller PST med metadatafil
- Drive-filer · Takeout: Konverteret efter brugerens valg · Vault-eksport: Konverteret eller originalt, med metadatafil
- Hashfil · Takeout: Ikke dokumenteret som standard · Vault-eksport: Ja, en fil med MD5 for alle filer i eksporten
- Spor · Takeout: Auditlog i Workspace, hvis Takeout bruges der · Vault-eksport: Vault-loggen
Googles hjælpesider for Takeout beskriver ingen kontrolsummer for arkiverne, så hashværdier skal beregnes efter download. Formatvalgene i begge værktøjer ændres af Google og bør noteres, som de så ud ved eksporten.
Gmail
Begge eksporter kan levere Gmail som MBOX, hvor hver mail er gemt i sin oprindelige MIME-form med alle headere. Det er det vigtigste: Headerne med Received-linjer, Message-ID og autentificeringsresultater er intakte og kan analyseres. Se Mailheadere, SPF, DKIM og DMARC.
Forskellene ligger i Googles egne metadata:
- Takeout tilføjer headere med Gmails etiketter og tråd-id til hver mail i MBOX-filen. Det viser, hvilke etiketter mailen havde, fx Indbakke, Sendt eller Papirkurv, på eksporttidspunktet.
- Vault leverer en separat metadatafil med bl.a. konto, etiketter, tråd-id og tidspunkter for hver mail. Metadatafilen er knyttet til mailene via id og skal holdes sammen med MBOX-filen.
Takeout medtager det, der er i kontoen, herunder papirkurv og spam, så længe elementerne ikke er slettet endeligt. Det, brugeren har tømt, er væk fra Takeout, men kan findes i Vault, hvis det var fastholdt.
Drive
Filer, der er uploadet i deres oprindelige format, fx PDF eller DOCX, kan eksporteres som originaler i begge værktøjer. Googles egne dokumenter, regneark og præsentationer er ikke filer i traditionel forstand og skal konverteres ved eksport:
- Takeout lader brugeren vælge formatet, fx Office-format eller PDF. Konverteringen giver nye interne metadata i filen.
- Vault konverterer også, men leverer en metadatafil med Drive-oplysninger som ejer, oprettet, senest ændret, delinger og placering. De præcise felter fremgår af Googles beskrivelse af eksportens indhold og bør noteres for den konkrete eksport.
Ingen af de to eksporterer normalt hele revisionshistorikken for Google-dokumenter. Den skal sikres særskilt; se Google Drive: revisioner, aktivitet og delingsspor.
Andre tjenester
Takeout dækker mange flere Google-tjenester end Vault, fx Kalender, Kontakter, Fotos, Chrome-data, YouTube og aktivitetsdata. De leveres i formater som ICS, VCF, JSON og HTML. Det gør Takeout relevant for private konti, hvor aktivitetsdata kan være centrale; se Private Google-konti: aktivitetsdata og placeringshistorik. Vault er derimod afgrænset til de tjenester, Google understøtter for eDiscovery i Workspace.
Takeout som spor i sig selv
I medarbejdersager er brugen af Takeout ofte et spor, ikke kun et værktøj. Har en medarbejder hentet en fuld kopi af sin arbejdskonto kort før fratrædelse, kan det ses i Workspaces auditlogs, hvis Takeout var tilladt for brugeren. Hændelserne findes i administrationskonsollens auditlog for Takeout. Kontrollér både indstillingen og logposterne for perioden.
Sikring med Takeout
Når Takeout er den eneste vej, fx for en privat konto med ejerens samtykke, bør eksporten ske på en måde, der kan dokumenteres:
- Ejeren logger ind og starter eksporten, mens den IT-sagkyndige observerer og noterer tidspunkt, valgte tjenester og formater.
- Arkiverne downloades til et dedikeret medie.
- Der beregnes SHA-256 for hvert arkiv straks efter download.
- Der tages skærmbilleder af eksportens oversigt hos Google.
- Arkiverne pakkes ud i en arbejdskopi, mens originalerne opbevares uændret.
Det er brugerens eget udtræk, og det skal fremgå af rapporten. Det giver en svagere dokumentation end en organisations administratoreksport, fordi brugeren kunne have slettet indhold før eksporten. Afgræns også omfanget med ejeren på forhånd. En fuld Takeout af en privat konto indeholder langt mere end sagen typisk kræver, og udvælgelsen af relevante dele bør ske efter aftalte kriterier, så private oplysninger, der ikke vedrører sagen, ikke spredes. Notér kriterierne og hvem der har set hvad.
Sikring med Vault
Vault-eksporten følger fremgangsmåden i Vault-artiklen: sag, fastholdelse, søgning, optælling, eksport og download inden for den periode, eksporten er tilgængelig. Kontrollér MD5-filen mod de downloadede filer, beregn egne SHA-256-værdier, og gem Vault-loggens poster for sagen. Se Hashalgoritmer i forensic.
En tredje vej: administratorens dataeksport
Workspace har også et værktøj, hvor en superadministrator kan eksportere data for hele organisationen eller for udvalgte brugere. Det er tænkt til migrering og arkivering, ikke til undersøgelser. Det giver brede udtræk uden søgning og uden fastholdt slettet indhold, og eksporten lægges i et lager, som skal sikres og dokumenteres særskilt. Hvor ofte og i hvilket omfang værktøjet kan bruges, afhænger af udgaven. Det kan være en nødløsning i organisationer uden Vault, men det skal beskrives i rapporten, at det ikke er et eDiscovery-værktøj, og hvilke begrænsninger det har.
Verifikation af fuldstændighed
Uanset værktøj bør eksporten kontrolleres, før den bruges:
- Antal mod kilde. Sammenlign antal mails og filer i eksporten med Vaults optælling eller med det antal, brugerfladen viser for kontoen.
- Arkivernes helhed. Kontrollér, at alle delarkiver er downloadet og kan pakkes ud uden fejl, og at hashværdierne stemmer.
- Stikprøver. Find udvalgte mails og filer i eksporten og i kontoen, og sammenlign tidspunkter, afsendere og indhold.
- Kendte elementer. Elementer, som parterne er enige om findes, bør være med. Mangler de, er der et problem med søgningen eller eksporten.
Afvigelser skal forklares i rapporten, ikke udbedres ved at supplere med skærmbilleder.
Fejlkilder
- Tidszoner: MBOX-headere har tidszone pr. linje, metadatafiler bruger typisk UTC, og HTML-filer fra Takeout kan vise lokal tid.
- Dubletter: En mail med flere etiketter optræder én gang i MBOX, men kan vises flere steder i værktøjer, der læser etiketter som mapper.
- Opdelte arkiver: Store eksporter deles i flere filer. Mangler én, mangler data, uden at de øvrige arkiver viser det.
- Konverteringer af Google-dokumenter giver filer, hvis interne datoer og forfatterfelter ikke er originale.
Hvad eksporterne kan og ikke kan bevise
En Vault-eksport kan vise, hvad der fandtes i Workspace, inklusive fastholdt slettet indhold, på eksporttidspunktet. En Takeout kan vise, hvad der fandtes i kontoen, da ejeren lavede eksporten. Ingen af dem viser alene, hvem der gjorde hvad. Det kræver auditlogs. Den juridiske side af at få data fra modpartens Workspace er beskrevet i Google Workspace og editionsbegæringer.
Dokumentation til rapporten
Angiv værktøj, udførende person, tidspunkt, valgte tjenester og formater, søgekriterier, antal elementer, arkiver med hashværdier og de konverteringer, der er foretaget.
Kilder og versioner
- Google Vault Help: Vault export contents
- Google Workspace Admin Help: Takeout log events
- Google Workspace Admin Help: Export all your organization’s data
- Google Account Help: How to download your Google data
Senest gennemgået: oktober 2026.
Del af: Google Workspace-forensik
Læs også: Google Vault og revisionslogs i Google Workspace som bevis · Gmail-logsøgning: leveringsspor i Google Workspace
→ Google Workspace-forensik · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
