Forside › E-mail forensics · Gennemgået oktober 2026 · Af John Nielsen
Kort svar: En sendt mail beviser ikke i sig selv, at den er modtaget. Det stærkeste tekniske spor er modtagerserverens accept, som kan ses i afsenderens transportlogs eller message trace. Den viser levering til modtagerens system, ikke at mailen blev set. Læsekvitteringer og sporingspixels kan antyde, at den blev åbnet, men begge kan udeblive eller give falske åbninger.
Spørgsmålet er centralt i tvister om opsigelser, reklamationer, frister og forkyndelse. Den juridiske vurdering af, hvornår en mail er kommet frem, er beskrevet på digital-bevissikring.dk. Her gennemgås de tekniske spor.
En mails vej i fire trin
- Afsendelse: afsenderens klient afleverer mailen til afsenderens mailserver. Den ligger i Sendt post.
- Overførsel: afsenderens server forbinder til modtagerens mailserver via SMTP og afleverer mailen. Modtagerserveren svarer med en kode. Et svar i 250-serien betyder, at serveren har taget ansvaret for mailen.
- Behandling: modtagerens system filtrerer mailen og lægger den i indbakken, i uønsket post, i karantæne, eller afviser den efterfølgende.
- Visning: modtageren åbner mailen i en klient.
Hvert trin efterlader sine egne spor, hos forskellige parter. Afsenderen har normalt kun direkte adgang til trin 1 og 2.
Afsenderens spor
- Sendt post viser, at mailen blev sendt fra klienten, med tidspunkt. Den viser ikke, at mailen forlod serveren.
- Message trace og transportlogs viser, hvornår serveren afleverede mailen, til hvilken modtagerserver, og hvilket svar den fik. Det er det stærkeste spor afsenderen selv har. Se message trace og transportlogs og for Google Workspace Gmail-logsøgning.
- Fejlmeddelelser (NDR/bounce) viser, at leveringen mislykkedes. Fravær af en fejlmeddelelse er en indikation, men ikke et bevis, for levering.
- Leveringskvittering (DSN) kan bestilles af afsenderen, men understøttes ikke af alle servere.
Message trace har en begrænset søgeperiode. På tidspunktet for gennemgangen (oktober 2026) kan der søges op til 90 dage tilbage. Søgninger på op til 10 dage vises med det samme, mens længere perioder og detaljerede rapporter skal bestilles som downloadbare rapporter, der kan tage timer. Afsenderens klient-IP er kun tilgængelig i 10 dage. Sikr sporet hurtigt.
Modtagerens spor
Hos modtageren findes de spor, der kan vise, hvad der skete efter accepten:
- Received-headere i den modtagne mail viser hvert serverhop med tidsstempel, også modtagerserverens eget. Se analyse af mail-headere.
- Modtagerens message trace viser, om mailen blev leveret til postkassen, sat i karantæne eller slettet af en regel.
- Postkassens auditlog kan i Microsoft 365 vise, at mailen blev åbnet eller synkroniseret til en klient, afhængigt af licens og konfiguration. Se MailItemsAccessed.
- Klientens egne data viser, om mailen er markeret som læst, men læst-markeringen kan sættes og fjernes manuelt og synkroniseres mellem enheder.
Disse spor er normalt kun tilgængelige for modtageren. De kan skaffes ved modtagerens medvirken eller ad processuel vej.
Læsekvitteringer
En læsekvittering (Message Disposition Notification, beskrevet i RFC 8098) bestilles af afsenderen med et særligt felt i headeren. Det er modtagerens klient, der afgør, om den sendes. Mange klienter spørger brugeren, andre sender aldrig, og nogle organisationer har slået det fra centralt. En modtaget læsekvittering viser, at en klient behandlede mailen på en bestemt måde, typisk at den blev vist. Fravær af læsekvittering viser intet.
Læsekvitteringen er selv en mail og kan forfalskes, men den har sine egne headere og leveringsspor, der kan kontrolleres.
Sporingspixels
Mange nyhedsbrevssystemer og nogle salgsværktøjer indsætter et usynligt billede med en unik adresse. Når billedet hentes, registrerer afsenderens server en åbning. Det er en upålidelig metode:
- Billeder blokeres i mange klienter og organisationer, så åbninger ikke registreres.
- Billedproxyer og privatlivsfunktioner henter billeder på modtagerens vegne, fx når mailen modtages, uanset om den læses. Det giver falske åbninger.
- Sikkerhedsscannere åbner links og billeder for at undersøge mailen, før brugeren ser den.
- IP-adressen i pixelloggen tilhører ofte en proxy, ikke modtageren.
Sporingspixels bør derfor ikke bruges alene som bevis for, at en mail er læst. Apples beskyttelse af mailaktivitet henter ifølge Apple fjernindhold privat i baggrunden, når mailen modtages, og skjuler modtagerens IP-adresse, så pixlen kan registrere en åbning, der aldrig fandt sted. Gmail henter billeder via Googles egne servere, så pixelloggen viser Googles adresse frem for modtagerens. Den juridiske vinkel findes i sporingspixel: blev mailen åbnet?.
Hvad hvert spor beviser
- Sendt post · Kan vise: At mailen blev sendt fra klienten · Kan ikke vise: At den forlod serveren
- Message trace, afsender · Kan vise: At modtagerserveren accepterede mailen · Kan ikke vise: At den nåede indbakken
- Received-header hos modtager · Kan vise: At mailen nåede modtagerens system · Kan ikke vise: At den blev set
- Modtagerens message trace · Kan vise: Indbakke, karantæne eller sletning · Kan ikke vise: At den blev læst
- Læsekvittering · Kan vise: At en klient viste eller behandlede den · Kan ikke vise: Hvem der læste den
- Sporingspixel · Kan vise: At billedet blev hentet · Kan ikke vise: At et menneske åbnede mailen
- Postkassens auditlog · Kan vise: At mailen blev åbnet eller synkroniseret · Kan ikke vise: Hvad læseren forstod
Typiske faldgruber
- Forkert adresse: en tastefejl i modtageradressen kan give levering til en anden eller en bounce, der overses.
- Videresendelse og aliaser: en mail kan være accepteret af én server og videresendt til en anden, hvor den afvises.
- Spamfilter: accepteret og lagt i uønsket post er teknisk leveret, men måske ikke set. Det er en juridisk vurdering, hvad det betyder.
- Tidszoner: Received-headere har hver sin tidszone. Normalisér, før rækkefølge og frister vurderes.
- Skærmbilleder af Sendt post er svage beviser. Eksportér mailen i originalformat med headere, og kombiner med message trace.
Når modtageren siger, at mailen aldrig kom
Påstanden kan have flere tekniske forklaringer, som bør afprøves systematisk. Mailen kan være accepteret af modtagerserveren og derefter sat i karantæne af et sikkerhedsfilter, flyttet af en indbakkeregel eller slettet automatisk. Den kan være leveret til en delt postkasse eller en distributionsliste, hvor ingen tog sig af den. Den kan også være afvist på et senere trin uden, at afsenderen fik besked.
Afsenderens message trace kan afgøre, om mailen nåede modtagerens server. Resten af forløbet kræver modtagerens logs: message trace, karantænelog, regler og postkassens auditlog. Er de relevante, bør modtageren opfordres til at bevare dem tidligt, fordi opbevaringstiden er kort. Svaret kan både styrke og svække påstanden, og begge udfald skal stå i rapporten.
Delte postkasser, grupper og videresendelse
Mails til adresser som info@ eller faktura@ leveres ofte til en delt postkasse eller en gruppe med flere medlemmer. Leveringen er så sket til organisationen, men det er ikke givet, hvem der så mailen. Postkassens auditlog kan vise, hvilke brugere der åbnede den, hvis logningen omfatter delte postkasser. Ved automatisk videresendelse til en ekstern adresse kan mailen være leveret ét sted og afvist et andet.
Sådan dokumenteres afsendelse og levering
- Eksportér den sendte mail i originalformat (EML eller MSG) med fulde headere, og hash filen.
- Kør message trace for mailen, og eksportér den detaljerede rapport med modtagerserverens svar.
- Gem eventuelle fejlmeddelelser, leveringskvitteringer og læsekvitteringer i originalformat.
- Notér Message-ID, så mailen kan genfindes hos modtageren.
- Beskriv i rapporten, hvilke trin der er dokumenteret, og hvilke der kun kan dokumenteres hos modtageren.
Formulér konklusionen præcist efter, hvad sporene viser. “Modtagerens mailserver accepterede mailen kl. 14.03 dansk tid” er en teknisk iagttagelse, der kan efterprøves i message trace. Om mailen dermed er kommet frem i juridisk forstand, er et spørgsmål for advokaterne og retten, og det bør rapporten overlade til dem.
Kilder og versioner
- RFC 5321: Simple Mail Transfer Protocol
- RFC 8098: Message Disposition Notification
- Microsoft Learn: Message trace in the new Exchange admin center
- Apple: Mail Privacy Protection & Privacy
Senest gennemgået: oktober 2026.
Næste skridt
Del af: E-mail forensics
Læs også: IMAP-postkasser hos webhoteller: sikring og serverlogs · Digital Post teknisk: kvitteringer og læst-status
→ E-mail forensics · For advokater · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
