Massesletning efter en tvist er opstået: tekniske tegn

Forside · Gennemgået oktober 2026 · Af John Nielsen

En massesletning efterlader sjældent ét spor, men et mønster: mange sletninger inden for et kort tidsrum, fra samme konto eller enhed, ofte kort efter en bestemt begivenhed som en opsigelse, et påkrav eller et møde. Mønstret kan ses i cloudtjenesternes auditlogs, i papirkurve på flere niveauer, i filsystemets journal og i spor efter de programmer, der blev brugt. Det tekniske spørgsmål er ikke kun, om data er slettet, men hvornår, hvordan, af hvilken konto, og om sletningen afviger fra den normale drift.

Haster det? Papirkurve tømmes automatisk efter en fast periode, auditlogs udløber, og filsystemets journal overskrives løbende ved normal brug. Se akut forensisk sikring; hastesager koster ekstra.

Artiklen handler om at opdage og dokumentere sletninger. Hvordan enkeltfiler spores, er beskrevet i hvem slettede filen?. Den juridiske side af bevisforspildelse findes på digital-bevissikring.dk.

Hvad kendetegner en massesletning teknisk

Almindelig oprydning og bevidst fjernelse af data kan ligne hinanden i den enkelte logpost. Forskellen ligger i helheden:

Volumen og tæthed: hundredvis eller tusindvis af sletninger inden for minutter eller timer, hvor kontoen normalt sletter få filer om ugen.
Udvælgelse: sletningen rammer bestemte mapper, kunder, projekter eller samtaler, mens andet står urørt.
Flere trin: filer slettes, og papirkurven tømmes bagefter. I cloud kan det ske i både første og anden fase af papirkurven.
Flere kilder samtidig: postkasse, OneDrive, lokale filer og telefon ryddes i samme periode.
Ændret adfærd: sletning fra en enhed eller et tidspunkt, kontoen ellers ikke bruger, eller via et værktøj, der ikke er i almindelig brug.
Tidsmæssig sammenhæng med en begivenhed i sagen.

Ingen af punkterne er alene et bevis. Tilsammen kan de vise, at sletningen ikke passer ind i kontoens normale mønster. Derfor er det første analysetrin altid at måle, hvad der er normalt for netop denne konto, denne enhed og denne type data.

Spor i Microsoft 365 og Google Workspace

I Microsoft 365 registrerer auditloggen sletninger i SharePoint og OneDrive som filoperationer, typisk flytning til papirkurv og sletning fra første og anden fase. Navnet på operationen har ændret sig over tid, så en søgning, der kun leder efter ét operationsnavn, kan overse hændelser. Microsofts liste over auditaktiviteter nævner på tidspunktet for gennemgangen (oktober 2026) blandt andet FileRecycled (flyttet til papirkurven), FileDeleted, FileDeletedFirstStageRecycleBin og FileDeletedSecondStageRecycleBin, med tilsvarende Folder-hændelser for mapper. Exchange registrerer sletning af mails i postkassens auditlog, herunder flytning til Slettet post og blød eller hård sletning. Hvilke handlinger der logges som standard, afhænger af licens og postkassetype. Se Unified Audit Log i Microsoft 365.

I Google Workspace viser Drive-loggen hændelser som flytning til papirkurv og sletning med aktør, tidspunkt og dokument-id. Gmail-loggen viser sletning af beskeder for de konti og den periode, der er dækket.

Auditloggens opbevaringstid er afgørende. Er sletningen sket for flere måneder siden, kan posterne være væk, selvom tjenestens egen gendannelse af data stadig virker. Omvendt kan data være endeligt slettet, mens auditposterne stadig findes og beskriver, hvad der forsvandt.

Spor på Windows-computeren

På en lokal computer kan flere kilder vise en massesletning:

$UsnJrnl i NTFS registrerer sletning, omdøbning og oprettelse med tidsstempler. Mange sletninger på få sekunder giver et tydeligt mønster, så længe journalen ikke er overskrevet.
$MFT indeholder poster for slettede filer, indtil de genbruges. Navne og stier kan ofte stadig læses.
$Recycle.Bin viser filer, der er lagt i papirkurven, med tidspunkt og oprindelig sti. En tømt papirkurv efterlader færre spor, men journalen kan vise selve tømningen.
Volume Shadow Copies kan indeholde tidligere tilstande af mapper, og sletning af skyggekopier kan i sig selv være et tegn.
Programspor i Prefetch, Amcache og registreringsdatabasen kan vise, at et sletteprogram eller et rensningsværktøj er kørt, og hvornår.

På SSD’er sletter TRIM ofte indholdet hurtigt, så gendannelse af indhold er usikker. Metadata om sletningen kan dog stadig findes i journal og logs. Se anti-forensics: spor efter sletning og manipulation.

Telefoner og beskedapps

På telefoner er sporene mere spredte. Sletning af mange beskeder kan ses som huller i en ellers kontinuerlig samtale, som frie sider i appens database eller som en ændret databasestørrelse. Slåede auto-sletning til, er det et andet mønster end manuel sletning, og indstillingsændringen kan undertiden dateres. Nulstilling af hele telefonen efterlader typisk spor i backup, MDM-logs og cloudkontoen frem for på selve enheden.

Sådan dateres og afgrænses sletningen

Fastlæg normalbilledet. Træk sletteaktiviteten for kontoen over en længere periode før og efter, så afvigelsen kan vises med tal fra loggen selv.
Find vinduet. Identificér første og sidste sletning i mønstret, og notér tidszonen for hver kilde.
Kobl til konto og enhed. Hvilken konto, hvilken IP-adresse, hvilken klient eller hvilken computer stod bag?
Kortlæg indholdet. Lav en liste over slettede filnavne, stier og størrelser ud fra logs og filsystem, også når selve indholdet ikke kan gendannes.
Undersøg gendannelse fra papirkurve, versionshistorik, opbevaringspolitikker og backup. Se tidligere versioner i cloud.
Læg hændelserne på en tidslinje sammen med sagens begivenheder. Se tidslinjeanalyse.

Fejlkilder

Automatiske processer: opbevaringspolitikker, synkronisering, flytning af data mellem systemer og oprydningsjob sletter i store mængder og kan ligne brugerhandlinger. Kontrollér, om en politik eller et job var aktivt i perioden.
Synkroniseringseffekter: sletning af en lokalt synkroniseret mappe slår igennem i cloud og omvendt. Den samme handling kan derfor optræde som tusindvis af hændelser i to systemer.
Flytning frem for sletning: filer flyttet til et andet bibliotek eller en anden konto kan registreres som sletning ét sted og oprettelse et andet.
Administratorhandlinger: IT-afdelingens oprydning eller fratrædelsesprocedure kan forklare sletninger, der tilskrives medarbejderen.
Delt adgang: flere personer med adgang til samme konto eller enhed svækker koblingen til én bestemt person.
Huller i loggen: fravær af slettehændelser kan skyldes udløbet opbevaring eller manglende logning, ikke at intet er slettet. Se fravær af spor.

Hvad sporene kan og ikke kan vise

Logs og filsystemspor kan vise, at et stort antal filer eller mails er slettet fra en bestemt konto eller enhed inden for et bestemt tidsrum, og ofte hvilke. De kan vise, at sletningen afviger fra kontoens normale mønster, og at den skete før eller efter en bestemt begivenhed. De kan ikke alene vise hensigten bag, og de viser ikke uden videre, hvem der sad ved tastaturet. Det kræver supplerende spor: login fra en bestemt enhed, samtidige handlinger og andre kilder, der peger samme vej.

Dokumentation til sagen

Rapporten bør angive, hvilke kilder der er undersøgt, hvilke perioder de dækker, hvilke søgekriterier der er brugt, og hvordan normalbilledet er beregnet. Optællinger skal kunne efterprøves fra de eksporterede logs, som hashes og opbevares sammen med en beskrivelse af eksporten. Hvor indholdet ikke kan gendannes, bør rapporten skelne klart mellem “data er slettet og ikke gendannet” og “data fandtes ikke”. Usikkerhed om automatiske processer og delt adgang skal stå udtrykkeligt.

En grafisk fremstilling kan gøre mønstret tydeligt: antal sletninger pr. time eller pr. dag for kontoen over flere måneder, med sagens begivenheder markeret. En sådan graf skal bygge direkte på de eksporterede data, have klare akser og tidszone, og den bagvedliggende optælling skal vedlægges, så modparten kan efterprøve den.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Læs også: OT og PLC: logs og hændelsesdata ved havarier og leverancetvister · Konkursboets IT: teknisk overtagelse af tenant og domæner

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik