Mailtråde, Message‑ID og familierelationer

Forside › eDiscovery teknisk · Gennemgået oktober 2026 · Af John Nielsen

En mail står sjældent alene. Den er et svar på en tidligere mail, den har vedhæftninger, og den kan selv være vedhæftet en anden mail. I eDiscovery og forensisk analyse bruges to slags relationer: tråde, der binder mails i en samtale sammen over tid, og familier, der binder en mail sammen med dens vedhæftninger. Tråde rekonstrueres ud fra headerfelter og indhold, familier ud fra containerstrukturen. Begge skal bevares korrekt, ellers mister dokumenterne den sammenhæng, der giver dem mening.

Headerfelternes betydning for spørgsmålet om afsender og levering er gennemgået i en særskilt artikel. → Mail-headere: SPF, DKIM og DMARC-analyse

Felterne bag trådene

Standardfelterne

Internetmail definerer tre felter, der bruges til tråde:

Message-ID: en entydig identifikator, som afsenderens system tildeler mailen.
In-Reply-To: Message-ID for den mail, der svares på.
References: en liste over Message-ID‘er for tidligere mails i tråden.

Med disse felter kan en tråd i princippet rekonstrueres som et træ: Hver mail peger på sin forælder, og References giver hele kæden. I praksis mangler felterne ofte i nogle mails, eller de er afkortet, fordi nogle klienter kun medtager de seneste referencer.

Microsoft-felterne

Exchange og Outlook bruger desuden egne egenskaber. Thread-Topic indeholder emnet uden præfikser som “SV:” og “VS:”. Thread-Index er en binær værdi med en header på 22 bytes, der rummer et tidsstempel for trådens start og et GUID, efterfulgt af en blok på 5 bytes for hvert nyt svar med tidsforskellen til det foregående. Derfor kan rækkefølgen udledes. Exchange har også et samtale-id (ConversationId), der grupperer mails i samme samtale. Felterne overlever ikke altid, når mails går til eller fra andre systemer, og de kan sættes af afsenderens klient, så de bør sammenholdes med andre spor.

Indholdsbaseret trådning

Når felterne mangler, bruger eDiscovery-værktøjer indholdet: emnelinjen uden præfikser, deltagere og den citerede tekst. Værktøjet sammenligner teksten i en mail med den citerede tekst i en senere mail og kobler dem, hvis de matcher. Det er robust over for manglende headere, men sårbart over for redigeret citattekst, forskellige citatformater og sprog i præfikserne.

Inclusive emails

En inclusive email er en mail, hvis indhold ikke fuldt ud findes i en senere mail i tråden. Typisk er det den sidste mail i hver gren, men også en mail med en vedhæftning, som ikke blev sendt videre, eller en mail, hvor afsenderen har ændret i den citerede tekst. Ved at gennemgå kun inclusive emails kan gennemgangen reduceres betydeligt.

Risikoen er, at ændringer i citeret tekst overses. Hvis en person har redigeret i en tidligere mails tekst, før svaret blev sendt, er der to versioner af “samme” mail. Værktøjer, der bruger indholdsbaseret trådning, bør markere sådanne tilfælde som inclusive. Det er netop i den slags ændringer, at en tvist kan ligge. → Redigerede mails: tegn på efterfølgende ændring

Message-ID og dubletter

Message-ID bruges ofte til at genkende samme mail på tværs af postkasser. Afsenderens kopi i Sendt post og modtagerens kopi i Indbakken har normalt samme Message-ID. Men der er undtagelser:

Manglende Message-ID. Nogle systemer og ældre klienter udelader feltet, eller det tilføjes først af en server undervejs.
Omskrivning. Visse gateways, journaliseringsløsninger og mailinglister ændrer eller tilføjer felter.
Samme Message-ID, forskelligt indhold. Fejlagtige systemer kan genbruge identifikatorer, og en mail, der er redigeret efter modtagelse, beholder sin Message-ID.
Kladder og gensendelser. En mail, der sendes igen, får typisk ny Message-ID, selv om indholdet er det samme.

Message-ID er derfor et godt supplement til deduplikering, men ikke et sikkert grundlag alene. Feltbaseret hash af indhold og deltagere er mere robust. → Deduplikering i eDiscovery

I forensisk analyse er Message-ID samtidig et nyttigt spor. Formatet afslører ofte, hvilket system der genererede mailen, og en Message-ID, der ikke passer til afsenderens påståede system, kan være et tegn på, at mailen ikke er sendt, som den fremstår.

Familier

En familie består af en forælder og dens børn: en mail og dens vedhæftninger, et arkiv og dets filer eller et Office-dokument og dets indlejrede objekter. Familier kan være indlejrede, fx en mail med en vedhæftet mail, som selv har vedhæftninger.

Familierelationer etableres under processing, hvor hvert element får et id og en reference til sin forælder. Det er vigtigt, fordi:

Relevans vurderes på familieniveau. En vedhæftning uden mailen mister sin kontekst, og en mail uden vedhæftningen kan være uforståelig.
Produktion sker i familier. Hvis en vedhæftning produceres, følger mailen typisk med, og omvendt, medmindre andet er aftalt.
Fortrolighed vurderes på familieniveau. Hvis en vedhæftning er fortrolig, skal det besluttes, hvordan resten af familien håndteres. → Filtrering af advokatkorrespondance

Moderne vedhæftninger

I Microsoft 365 og Google Workspace sendes filer ofte som links til et dokument i skyen i stedet for som vedhæftninger. Linket peger på den aktuelle version af dokumentet, ikke den version, der fandtes, da mailen blev sendt. For at bevare familien skal den relevante version af dokumentet indsamles og knyttes til mailen, og det skal dokumenteres, hvilken version der er brugt. Microsoft Purview eDiscovery (Premium) kan indsamle linkede filer (cloud attachments) enten i den aktuelle version eller i den version, der fandtes, da linket blev delt, forudsat at versionen stadig findes i versionshistorikken.

Produktion

Ved produktion bevares familier typisk med nummerering: Forælder og børn får fortløbende numre, og hver post angiver familiens første og sidste nummer. Trådoplysninger kan medtages som metadatafelter. Hvordan det håndteres i loadfiler, og hvilke formater der bevarer hvad, er beskrevet i artiklen om produktion. → Produktion af data: native filer, PDF og loadfiler

Tråde som analyseværktøj

Ud over at spare gennemgangstid kan rekonstruerede tråde besvare tekniske spørgsmål. Hvem blev tilføjet eller fjernet som modtager undervejs? Blev en mail videresendt uden for organisationen, og fra hvilken gren? Mangler der et led, fordi en mail er slettet hos alle de personer, hvis postkasser er indsamlet? Et hul i en tråd, hvor In-Reply-To peger på en Message-ID, der ikke findes i materialet, viser, at der har eksisteret en mail, som ikke er indsamlet eller ikke længere findes. Det er en observation, der kan føre til en målrettet søgning i andre postkasser, i backup eller i tjenestens gendannelsesmuligheder. Fraværet er dog kun sigende, hvis det er klarlagt, hvilke postkasser og perioder der er dækket.

Fejlkilder

Brudte familier, når vedhæftninger deduplikeres uafhængigt af mailen.
Ufuldstændige tråde, fordi kun nogle personers postkasser er indsamlet.
Forkerte koblinger, når generiske emner som “Møde” eller “Spørgsmål” bruges til indholdsbaseret trådning.
Tidszoner, der giver forkert rækkefølge i tråden, når mails fra forskellige systemer blandes.
Mistede linkede filer, fordi kun mailen, ikke dokumentet i skyen, er indsamlet.

Dokumentation

Beskriv, hvilken trådningsmetode værktøjet bruger (headerbaseret, indholdsbaseret eller begge), om gennemgangen er begrænset til inclusive emails, hvordan familier er defineret og bevaret, og hvordan linkede filer er håndteret. Angiv også, hvilke postkasser trådene er rekonstrueret fra, så det er tydeligt, at en tråd kan have flere grene end dem, der er set. Hvis trådning er brugt til at begrænse gennemgangen, bør antallet af undertrykte mails fremgå, så læseren kan se, hvor meget der er gennemgået indirekte via citeret tekst.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: eDiscovery teknisk

Læs også: OCR og ikke-søgbare filer: det, søgningen ikke finder · Chatdata i eDiscovery: Teams, Slack og opdeling i samtaler

→ eDiscovery teknisk · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik

Brug for en forensisk undersøgelse?

Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.

Eller kontakt os på