Hvem installerede programmet? Installationsspor i Windows

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Ofte kan det fastslås, hvilken konto installationen kørte under, og hvornår, men sjældent direkte, hvilken person der sad ved tastaturet. Svaret samles fra Windows Installers hændelser, afinstallationsnøglerne, proceslogning, programmappens tidsstempler og logs fra Intune, RMM eller andre deploymentværktøjer. Kørte installationen som SYSTEM, peger det typisk på et centralt værktøj.

Spørgsmålet opstår i licenstvister, i ansættelsessager, når et uautoriseret værktøj er fundet, og efter angreb, hvor et fjernadgangsprogram dukker op. Artiklen beskriver kilderne til installation. Spor efter kørsel af et program, fx Prefetch og Amcache, er beskrevet i Prefetch, Amcache og Shimcache, og de viser kørsel, ikke installation.

Installation er ikke én ting

Windows-programmer installeres på flere måder, og hver efterlader forskellige spor:

MSI-pakke via Windows Installer · Hændelser fra MsiInstaller, afinstallationsnøgle, cachet pakke i C:\Windows\Installer
Installationsprogram (setup.exe) · Afinstallationsnøgle, programmappe, producentens egen log, proceslogning
Installation pr. bruger · Afinstallationsnøgle i brugerens NTUSER.DAT, programmappe under AppData
Microsoft Store og app-pakker · Hændelser i AppX-deploymentlogs, pakkemappe
Portable program uden installation · Ingen installationsspor, kun spor efter download og kørsel
Central udrulning (Intune, RMM, gruppepolitik) · Værktøjets egne logs og agentlogs på computeren, ofte kørt som SYSTEM

Det første skridt er derfor at fastslå, hvordan programmet kom på. Det afgør, hvor resten af sporene skal søges. Er der tvivl, kan programmappens placering, eksistensen af en afinstallationsnøgle og kontoen bag de første kørsler ofte afgøre installationsmåden, før de mere tidskrævende kilder gennemgås.

Windows Installers hændelser

Windows Installer skriver til Application-loggen med kilden MsiInstaller. De mest brugte hændelser er:

11707: installationen er gennemført.
11708: installationen fejlede.
1033: installationen er afsluttet med produktnavn, version, sprog, status og producent.
1034: produktet er fjernet.

Hændelserne bærer normalt en bruger-SID for den konto, installationen kørte under. Det er det tætteste, Windows kommer på et direkte “hvem”. Application-loggen har dog en begrænset størrelse og overskrives løbende, så på en computer i daglig brug kan hændelser fra måneder tilbage være væk.

Afinstallationsnøglerne

Installerede programmer registreres under HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall (og for 32-bit programmer på 64-bit Windows under WOW6432Node), og programmer installeret pr. bruger under samme sti i brugerens NTUSER.DAT. Nøglen rummer bl.a. DisplayName, DisplayVersion, Publisher, InstallLocation, InstallSource og InstallDate.

To ting skal man vide om dem:

InstallDate er ikke nødvendigvis den første installation. For MSI-pakker angiver Microsoft, at værdien er seneste tidspunkt, produktet blev serviceret, og at den erstattes, når en opdatering påføres eller fjernes, eller produktet repareres. Feltet er desuden kun en dato.
Nøglens senest skrevne tidspunkt i registreringsdatabasen er et selvstændigt tidsstempel, som kan supplere, men som også ændres ved opdateringer.

InstallSource kan være værdifuld: Den viser, hvor installationen blev kørt fra, fx brugerens mappe for overførsler, et USB-drev eller et netværksdrev.

Placeringen i HKLM eller i brugerens hive er i sig selv et spor. En installation pr. bruger kræver normalt ikke administratorrettigheder og knytter programmet til netop den profil. Se registreringsdatabasen i en undersøgelse.

Proceslogning og tjenester

Er proceslogning slået til, viser 4688 eller Sysmon, hvilken konto der startede installationsprogrammet, fra hvilken sti og med hvilken kommandolinje. Det er det mest direkte spor, når det findes. Ved elevering via UAC kan der optræde to konti: den bruger, der startede, og den administratorkonto, hvis legitimationsoplysninger blev brugt. Se Event 4688: proceskørsel og kommandolinje.

Installerer programmet en tjeneste, registrerer System-loggen 7045, og Security-loggen 4697, hvis revision af systemudvidelser er slået til. Fjernadgangsværktøjer og agenter installerer næsten altid en tjeneste.

Filsystemet og downloadet

Programmappens oprettelsestid, installationsfilens placering og dens Zone.Identifier kan vise, hvornår filen blev hentet og fra hvilken adresse. NTFS-journalen kan vise oprettelsen af programfilerne i rækkefølge, hvis den ikke er overskrevet. Er installationsfilen hentet i brugerens browser, binder browserhistorikken og downloadlisten handlingen til brugerens profil.

Central udrulning

I administrerede miljøer installeres en stor del af softwaren centralt. Intune, Configuration Manager, gruppepolitik og RMM-værktøjer kører som SYSTEM, og de lokale spor viser derfor ikke en person. Svaret ligger i værktøjets egne logs og konsolens historik: hvilken administrator oprettede eller tildelte pakken, til hvilke enheder, og hvornår. Se MDM og Intune som datakilde og MSP-adgang og RMM-logs.

App-pakker fra Microsoft Store

Programmer fra Microsoft Store og andre app-pakker installeres pr. bruger i en beskyttet mappe under C:\Program Files\WindowsApps med data under brugerens AppData\Local\Packages. De registreres ikke på samme måde som klassiske programmer under afinstallationsnøglen. Spor findes i stedet i de dedikerede hændelseslogs for AppX-deployment og i Store-klientens egne data, og pakkens mappe i brugerens profil knytter appen til kontoen. Da Windows selv installerer og opdaterer mange indbyggede app-pakker, skal fund holdes op mod, hvad der er standard for den pågældende Windows-version.

Når programmet allerede er fjernet

Er programmet afinstalleret, før undersøgelsen starter, er sporene færre, men ikke nødvendigvis væk. Hændelsen 1034 registrerer afinstallationen med produktnavn og version. Den cachede MSI-pakke kan være fjernet, men programmappen efterlader ofte konfigurationsfiler og logs i ProgramData eller brugerens AppData. Prefetch og Amcache kan vise, at programmet har kørt. Skyggekopier og backup kan indeholde registreringsdatabasen fra før afinstallationen, med afinstallationsnøglen intakt. Selve afinstallationen er også en handling med et tidspunkt og en konto, som kan være relevant for sagen.

Hvem sad ved tastaturet?

Selv når kontoen er fastslået, er personen ikke. En delt administratorkonto, en fjernsession eller en konto, hvis adgangskode andre kender, svækker koblingen. Kombinér med logon- og låsehændelser, fjernadgangslogs og andre handlinger i samme tidsrum. Fremgangsmåden er beskrevet i attribution af brugerhandlinger.

Fejlkilder

Opdateringer og reparationer ændrer InstallDate og nøglens tidsstempel.
Billedudrulning: Programmer, der var med i Windows-billedet, har installationstidspunkt fra udrulningen af maskinen.
Brugerprofilmigrering kan flytte installationer pr. bruger med nye tidsstempler.
Afinstallation fjerner nøglen, men hændelsen 1034, rester i programmappen og cachede pakker kan stadig findes.
Tidszoner: Hændelseslog og registreringsdatabase gemmer tid i UTC, mens InstallDate er en lokal dato uden klokkeslæt.

Dokumentation

Angiv for hvert program: navn og version, installationsmåde, tidspunkter fra hver kilde med tidszone, kontoen fra hændelser og proceslog, installationskilde og eventuelle centrale logs. Skeln mellem konto og person, og beskriv, hvad der ikke kunne fastslås, fx fordi Application-loggen var overskrevet. Spørgsmålet om, hvad installationen betyder i en licenssag, er behandlet for advokater i licensaudit og tvister om softwarelicenser.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Kan man se, om en fil er blevet åbnet? Spor i Windows og Microsoft 365 · Nulstil denne pc og Autopilot: hvad overlever en nulstilling?

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik