Message trace og transportlogs: leveringsspor på serversiden

Forside › E-mail forensics · Gennemgået oktober 2026 · Af John Nielsen

Message trace og transportlogs er mailsystemets egne registreringer af, hvad der skete med en mail på vej gennem serverne: hvornår den blev modtaget, hvilke filtre og regler den passerede, og om den blev leveret, afvist, sat i karantæne eller videresendt. Sporet er uafhængigt af postkassens indhold. En mail, som brugeren har slettet, eller som aldrig nåede indbakken, kan stadig ses i transporten. Til gengæld indeholder sporet ikke selve mailen, og det opbevares kun i begrænset tid, så det skal sikres hurtigt.

Haster det? Message trace kan kun søge 90 dage tilbage, og transportloggene på en Exchange-server slettes som standard efter 30 dage eller ved størrelsesgrænsen. Kontakt os via akut forensisk sikring; hastesager koster ekstra.

Det juridiske spørgsmål om, hvornår en mail er kommet frem, er behandlet på digital-bevissikring.dk. Her handler det om de tekniske kilder og deres fortolkning. Hvornår message trace er det rigtige værktøj frem for indholdssøgning eller auditlog, står i Valg af M365-værktøj, og brugen ved mails til private adresser i Mail til privat adresse.

Hvad transportsporet indeholder

Felterne varierer mellem systemer, men de centrale er:

Tidspunkt · Hvornår systemet registrerede hændelsen, typisk i UTC
Afsender og modtager · Konvolutadresserne, som kan afvige fra de synlige adresser i mailen
Emne · Ofte med, men kan være afkortet eller udeladt
Message-ID · Mailens egen id, som kobler sporet til mailen i postkasser og eksporter
Systemets interne id · Et sporings-id, der kobler hændelserne for samme mail i systemet
Afsender- og modtager-IP · Den server, mailen kom fra, og den, den blev sendt videre til
Status og hændelser · Modtaget, leveret, mislykket, udskudt, karantæne, spamfiltreret, udvidet til gruppe, regel anvendt
Størrelse · Mailens størrelse, nyttig til at genkende vedhæftninger

Hændelserne er det mest værdifulde. De viser forløbet: modtagelse fra internettet, spamscanning, en transportregel, der tilføjede en ansvarsfraskrivelse, udvidelse af en distributionsliste og levering til den enkelte postkasse.

Kilderne

Microsoft 365

Exchange Online har message trace i administrationscentret og via PowerShell. Søgninger på højst 10 dage ad gangen giver hurtige resultater med hændelsesdetaljer, mens længere tidsrum leveres som en rapport til download, ofte efter flere timers ventetid. Der kan i alt søges 90 dage tilbage, og hver rapporttype har et loft over antallet af resultater (på tidspunktet for gennemgangen, oktober 2026). Rammes loftet, er eksporten afkortet, og søgningen skal deles op.

Hvilket Microsoft-værktøj der besvarer hvilket spørgsmål, er sammenlignet i Message trace, indholdssøgning eller auditlog.

Exchange on-premises

Lokale Exchange-servere skriver message tracking-logs til filer på transportserverne. De øvrige logkilder på en lokal server er samlet i Exchange Server lokalt og hybrid: logkilder. Opbevaringen styres af alder og samlet størrelse: de ældste filer slettes, når de når den maksimale alder, som standard 30 dage, eller når mappen når sin størrelsesgrænse. En travl server kan derfor have kortere historik end standardindstillingen. Filerne kan kopieres direkte og bevares i oprindeligt format. Konfigurationen af opbevaring bør sikres sammen med filerne.

Google Workspace

Gmail har en logsøgning i administrationskonsollen med lignende oplysninger om levering og filtrering; se Gmail-logsøgning.

Andre mailservere og gateways

Postfix, Exim og andre MTA’er skriver transporten til systemets maillog med et kø-id pr. mail. Sikkerhedsgateways og spamfiltre foran mailsystemet har deres egne logs, som ofte er de eneste spor af mails, der blev afvist, før de nåede postkassesystemet.

Hvad sporet kan bevise

Levering: at modtagerens system accepterede mailen og leverede den til en bestemt postkasse på et bestemt tidspunkt.
Afvisning og karantæne: at mailen ikke nåede indbakken, og hvorfor ifølge systemet.
Afsendelse: at en mail blev sendt fra en konto i organisationen til en bestemt modtager, også selv om den er slettet fra Sendt post.
Rute: hvilke servere mailen kom fra og blev sendt til.

Det kan ikke bevise, at modtageren åbnede eller læste mailen. Om spor efter læsning, se MailItemsAccessed og mailbox-auditlog. Det beviser heller ikke indholdet. Til det skal mailen selv findes, og den kobles til sporet via Message-ID, tid og størrelse.

Typiske faldgruber

Konvolut og header. Transportsporet viser konvolutadresserne. En mail, der står som fra direktøren i From-feltet, kan have en helt anden konvolutafsender. Det er netop nyttigt ved spoofing; se Kompromitteret konto, spoofing eller lookalike-domæne?.
Distributionslister. En mail til en gruppe vises som én modtagelse og en udvidelse til mange leveringer. Tæl leveringerne, ikke modtagelsen.
Videresendelse. Automatisk videresendelse giver en ny afsendelse med egne hændelser, som skal kobles til den oprindelige mail.
Tidszoner. Brugerfladen kan vise lokal tid, mens eksporten er i UTC. Notér, hvilken.
Afkortede resultater. Søgninger har grænser for antal resultater. Kontrollér, at eksporten er komplet, og del tidsrummet op ved behov.
Udskudt levering. En mail kan stå som udskudt i timer, før den leveres eller opgives. Den endelige status kan ændre sig efter sikringen.

Transportregler og journalføring

Mange organisationer har transportregler, der ændrer mails undervejs: tilføjer en ansvarsfraskrivelse, omdirigerer mails til bestemte modtagere, sender en kopi til et arkiv eller blokerer vedhæftninger. Når en regel er anvendt, fremgår det typisk af hændelserne i transportsporet. Reglerne selv bør sikres i den version, der var aktiv, fordi de forklarer forskelle mellem afsenderens og modtagerens eksemplar og kan vise, at en kopi af mailen findes et andet sted. Har organisationen journalføring eller et eksternt mailarkiv, er det en selvstændig kilde, der kan indeholde selve mailen, også når den er slettet fra postkassen.

Sikring trin for trin

Kør søgningen hurtigt. Det korte søgevindue gør transportsporet til en af de første kilder, der skal sikres i en mailsag.
Søg bredt på afsender, modtager og tidsrum, ikke kun på emne, som kan være ændret eller afkortet.
Eksportér oversigt og detaljer. Detaljerne pr. mail indeholder hændelserne og er ofte ikke med i oversigtseksporten.
Gem søgeparametre, tidsrum, tidszone og den konto, der søgte.
Beregn hashværdier for eksportfilerne.
Sikr de tilhørende mails fra postkasser eller eDiscovery, så de kan kobles via Message-ID.

Bruges PowerShell, gem kommandoerne og deres output. Det gør søgningen gentagelig og viser præcist, hvilke parametre der er brugt.

Når parterne er uenige om modtagelse

En typisk situation er, at den ene part har sendt en mail, og den anden siger, at den aldrig er kommet frem. Transportsporet kan belyse spørgsmålet fra begge sider, hvis begge parters spor kan sikres:

Afsenderens system viser, om mailen blev sendt, til hvilken server den blev afleveret, og hvilket svar modtagerserveren gav.
Modtagerens system viser, om mailen blev modtaget, og hvad der derefter skete med den: levering, spamfilter, karantæne eller afvisning. Hvor langt det rækker som bevis for modtagelse, står i Beviser en mail, at den er modtaget?.

Et accepteret svar fra modtagerserveren i afsenderens log er et stærkt spor for, at mailen nåede modtagerens infrastruktur. Hvad der skete derefter, kan kun modtagerens egne spor vise. Hvis kun den ene parts spor findes, skal konklusionen begrænses til det, det pågældende system kunne se. En returmeddelelse om fejlet levering bør sikres som selvstændig mail, fordi den indeholder modtagerserverens begrundelse.

Leveringsspor i større undersøgelser

Transportsporet er en central kilde, når omfanget af en fejlsendt eller ondsindet mail skal fastlægges, fordi det viser alle modtagere på tværs af postkasser. Se Fejlsendt mail og fejldeling. Det er også et af de første spor, når en medarbejder mistænkes for at have sendt filer til en privat adresse; se Mail til privat adresse.

Dokumentation

Rapporten bør angive kilden, systemets tidszone, søgeparametrene, eksportens tidspunkt og hashværdier, og om resultatet kan være afkortet. Hændelser citeres med det interne sporings-id og Message-ID, så de kan genfindes. Konklusioner formuleres som det, mailsystemet har registreret: at en mail med et bestemt Message-ID blev leveret til en bestemt postkasse på et bestemt tidspunkt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: E-mail forensics

Læs også: Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer · Er mailen ægte? En samlet metode ud over headerne

→ E-mail forensics · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik