Når IT bliver bedt om at undersøge en kollega

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Teknisk kan IT-afdelingen ofte se næsten alt: postkasser, filshares, loginlogs og endpoints. Men adgangen er givet for at drive systemerne, ikke for at undersøge personer. Når ledelsen beder IT om at “lige kigge på” en kollega, skal IT først have et klart og skriftligt mandat, dernæst begrænse sig til at sikre data uden at læse indhold, og endelig logge egne handlinger, så de kan efterprøves.

Det er en af de mest almindelige situationer i mindre og mellemstore virksomheder, og den går oftest galt, fordi IT gør for meget, ikke for lidt. De juridiske rammer for arbejdsgiverens adgang til mail og filer er beskrevet på bevissikring-digitalt.dk. Her er den tekniske side: hvad IT bør gøre, hvad IT bør lade være med, og hvorfor.

Adgang er ikke mandat

En global administrator kan teknisk søge i alle postkasser. En domæneadministrator kan logge på enhver maskine. Det betyder ikke, at handlingen er aftalt, lovlig eller fornuftig. Tre spørgsmål skal være besvaret, før IT gør noget:

Hvem beslutter? En navngiven person i ledelsen, der har kompetence til at iværksætte en undersøgelse. Ikke den nærmeste leder alene, hvis lederen selv er part i konflikten.
Hvad er spørgsmålet? Et konkret, afgrænset spørgsmål, fx om bestemte filer er sendt ud af huset i en bestemt periode. Ikke “se, hvad vedkommende har lavet”.
Hvad må IT gøre? Sikre, eksportere og bevare. Eller også læse og vurdere. Det er to forskellige opgaver.

Få svarene skriftligt, fx i en mail fra den beslutningstagende leder. Det beskytter IT, hvis undersøgelsen senere bliver anfægtet, og det tvinger ledelsen til at formulere, hvad der faktisk ønskes besvaret.

Sikre er ikke det samme som kigge

Den vigtigste tekniske skelnen er mellem at sikre data og at gennemgå dem. Sikring kan normalt gøres uden at læse indhold:

eksport af en postkasse via eDiscovery eller en administrativ eksport
en forensisk kopi af en computer, fx efter fratræden
eksport af loginlogs, auditlogs og filaktivitet for en afgrænset periode
en litigation hold, så intet slettes, mens sagen afklares

Gennemgang betyder derimod, at nogen læser mails, åbner filer og vurderer indhold. Det rammer også kollegers, kunders og den undersøgtes private data, og det er her, de fleste problemer opstår. En IT-medarbejder, der sidder ved siden af kollegaen til daglig, er sjældent den rette til at læse personens mails. Inhabilitet er beskrevet fra virksomhedens side i den undersøgende er inhabil.

En praktisk regel: IT sikrer, en anden gennemgår. Den anden kan være en uvildig IT-sagkyndig, en advokat eller en særskilt udpeget person med en klar instruks.

Brug metoder, der ikke ændrer data

Når IT sikrer, skal det ske uden at efterlade nye spor i det, der undersøges:

Log ikke ind som brugeren. Nulstil ikke adgangskoden for at komme ind i postkassen. Det giver nye loginposter, ændrer læsestatus og afslutter sessioner, der kunne have vist, hvilke enheder der var forbundet.
Brug administrative værktøjer. eDiscovery-søgning, auditlogs og administrative eksporter læser data uden at ændre brugerens indhold.
Log ikke på brugerens computer. Et logon og et filgennemsyn skaber LNK-filer, jump lists og registreringsdata, der senere kan forveksles med brugerens egen aktivitet.
Kopiér ikke filer med Stifinder. Det ændrer tider og dokumenterer intet. Brug en forensisk kopi eller et værktøj, der bevarer metadata og beregner hashværdier.

Når kollegaen stadig er ansat og på arbejde

Er den undersøgte stadig i huset, er diskretion også et teknisk spørgsmål. Mange handlinger er synlige for brugeren: en litigation hold vises i Outlook under Filer, hvis der er udfyldt en note eller en url på holdet (uden dem får brugeren ingen besked), en ny enhedspolitik kan udløse en notifikation, og en fjernsession via RMM kan dukke op på skærmen. Omvendt kan en pludselig blokering af kontoen få brugeren til at slette data andre steder, fx på en privat telefon.

Vælg derfor først de kilder, der kan sikres på serversiden uden at påvirke brugeren: auditlogs, loginlogs, message trace, filaktivitet og serverbackup. Sikring af selve computeren planlægges, så den kan ske på et aftalt tidspunkt. Rækkefølgen bør aftales med den beslutningstagende leder og noteres, fordi den senere kan få betydning for, hvad der nåede at forsvinde.

Log jeres egne handlinger

Alt, hvad IT foretager sig i forbindelse med undersøgelsen, bør kunne genfindes bagefter. Det gælder især søgninger.

Notér hver handling med tidspunkt, konto, system og formål.
Gem søgekriterier for eDiscovery-søgninger, også dem, der ikke gav resultater.
Brug en dedikeret administratorkonto til opgaven, så handlingerne kan adskilles fra den daglige drift i auditloggen.
Gem eksporter krypteret, med hashværdier, og begræns adgangen til dem.

Søgninger i Microsoft Purview og Google Vault bliver selv auditeret. Det betyder, at en modpart senere kan se, hvem der har søgt efter hvad. Det er en fordel, når søgningerne er aftalt og afgrænsede, og et problem, når de ikke er. Hvordan en analytikers egen adgang dokumenteres, er beskrevet i logning af analytikerens egen adgang.

Private data og tredjemand

En arbejdscomputer og en arbejdspostkasse indeholder næsten altid private data: personlige mails, billeder, sundhedsoplysninger, bankforhold. Dertil kommer kollegers og kunders oplysninger i korrespondancen. IT kan ikke afgøre, hvad der må læses, men kan teknisk begrænse eksponeringen ved at afgrænse på periode, afsendere og modtagere, mappestruktur og filtyper, før nogen læser. Teknikkerne er beskrevet i private data på arbejdsenheden: teknisk adskillelse.

Hvornår IT stopper

IT bør stoppe og sikre i stedet for at undersøge videre, når:

der kan blive en tvist, en afskedigelse eller en retssag
den undersøgte er administrator eller har adgang til de samme logs som IT
lederen, der har bedt om undersøgelsen, selv er part i konflikten
der kommer fund frem, som rækker ud over det oprindelige spørgsmål
IT-medarbejderen kender den undersøgte personligt

I de situationer er det mest værdifulde, IT kan gøre, at sikre kilderne korrekt og overlade gennemgangen til en uvildig. Det giver også IT en ren rolle, hvis IT-medarbejdere senere skal afgive forklaring. Når den undersøgte selv er administrator, er der særlige tekniske forhold; se undersøgelse af en administrator, der kan slette loggen.

Fund uden for spørgsmålet

Under en sikring eller en afgrænset søgning dukker der ofte noget op, som ingen spurgte om. IT bør ikke forfølge det på egen hånd. Notér, at der er et fund, hvor det ligger, og hvornår det blev set, og forelæg det for den beslutningstagende leder. Om det skal undersøges, er en ny beslutning med et nyt mandat. De etiske sider af den situation er behandlet i etiske dilemmaer i digital forensics.

Hvad IT afleverer

Når IT har sikret, bør der foreligge:

det skriftlige mandat og spørgsmålet
en liste over sikrede kilder med periode, metode og hashværdier
IT’s handlingslog med tidspunkter og konti
en oversigt over, hvem der har adgang til eksporterne

Med det materiale kan en uvildig sagkyndig overtage, uden at IT’s arbejde skal gøres om.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Etiske dilemmaer i digital forensics · DPO’ens tekniske tjekliste før en forensisk opgave

→ Uvildig IT-sagkyndig med forensic-baggrund · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik