Mail til privat adresse: message trace, auditlog og vedhæftninger

Forside › Undersøgelse ved fratræden · Gennemgået oktober 2026 · Af John Nielsen

Om en medarbejder har sendt filer til en privat mailadresse, undersøges i tre lag. Meddelelsessporingen viser, at en mail er afsendt, til hvem, hvornår og med hvilken størrelse. Postkassen eller en eDiscovery-eksport giver selve mailen og vedhæftningerne. Auditloggen og postkassens indstillinger viser, om der er oprettet videresendelse eller regler, der sender automatisk. Vedhæftningerne eksporteres, hashes og sammenlignes med virksomhedens filer, så det kan vises, hvilke dokumenter der er sendt. Hvad ledelsen skal gøre i den første fase, er beskrevet i Medarbejderen har sendt filer til sin private mail. Her er den tekniske fremgangsmåde.

Haster det? Meddelelsessporingen rækker kun en begrænset periode tilbage, i Exchange Online højst 90 dage, og mails kan slettes, mens der ventes. Se akut forensisk sikring; hastesager koster ekstra.

Artiklen er ét spor i undersøgelsesplanen ved fratræden. Hvordan meddelelsessporingen virker generelt, står i Message trace og transportlogs, og en overtaget postkasse undersøges efter BEC-undersøgelse i Microsoft 365.

Lag 1: meddelelsessporing

Meddelelsessporingen er serverens log over mails, der er passeret gennem mailsystemet. Den findes i både Microsoft 365 og Google Workspace og indeholder typisk:

tidspunkt, normalt i UTC,
afsender og modtager, herunder modtagere i bcc,
emne, eventuelt afkortet,
leveringsstatus,
størrelse,
Message-ID.

Sporingen dækker også mails sendt fra telefonens mailapp eller webmail, fordi de går gennem serveren. Den viser ikke indholdet. Detaljeret sporing er kun tilgængelig i en begrænset periode, og ældre søgninger kan kræve en særskilt rapport, der leveres som fil. På tidspunktet for gennemgangen (oktober 2026) kan meddelelsessporingen i Exchange Online gå 90 dage tilbage, men kun op til 10 dage ad gangen vises straks; længere perioder leveres som en downloadbar rapport, der kan tage timer. Gmail-logsøgningen dækker de seneste 30 dage fuldt ud, mens ældre mails kun kan findes med modtagerens adresse og Message-ID. Leveringssporet på serversiden er beskrevet nærmere i message trace og transportlogs, og Googles udgave i Gmail-logsøgning.

Søgningen

Søg på afsenderens adresse og alle aliaser i den relevante periode og en sammenligningsperiode før. Filtrér derefter modtagere uden for virksomhedens domæner, og identificér private adresser, fx kendte freemailtjenester eller adresser med medarbejderens navn. Eksportér hele resultatet, ikke kun de træffere, der ser interessante ud, så filtreringen kan efterprøves. Beregn hashværdi af eksportfilen, og notér søgekriterier, tidspunkt og hvem der søgte.

Lag 2: selve mailen og vedhæftningerne

Mailen ligger typisk i Sendt post. Er den slettet, kan den ligge i de genoprettelige elementer i en periode eller være bevaret af et hold eller en opbevaringspolitik. Hent den med et eDiscovery-værktøj frem for at åbne postkassen som brugeren. Det bevarer metadata, efterlader ikke spor af en læsning i brugerens postkasse og giver en dokumenteret eksport. Hvilket værktøj der passer til hvilket spørgsmål, er beskrevet i message trace, indholdssøgning eller auditlog.

Eksportér mailen i et format, der bevarer header og struktur, typisk EML eller MSG for enkeltmails og PST for større mængder. → Mailformater: EML, MSG og MBOX

Kobling mellem sporing og mail

Message-ID er nøglen mellem sporingen og den eksporterede mail. Kontrollér, at Message-ID, tidspunkt og modtagere stemmer. En mail kan være sendt flere gange med samme emne, og kun Message-ID skelner sikkert.

Lag 3: videresendelse og regler

Automatisk videresendelse kan ske på to måder: som en indstilling på postkassen eller som en indbakkeregel, brugeren selv har oprettet. Begge efterlader spor:

Postkassens indstillinger viser den aktuelle tilstand. Dokumentér dem med en eksport, før de ændres.
Auditloggen registrerer oprettelse og ændring af regler og videresendelse, med tidspunkt og den konto, der foretog ændringen.
Meddelelsessporingen viser de videresendte mails, og om de blev blokeret af en politik mod automatisk videresendelse.

Datering af en regel kan være afgørende, fx om den blev oprettet før eller efter opsigelsen. → Indbakkeregler og videresendelse i Microsoft 365

Vedhæftninger: fra mail til dokument

Det centrale spørgsmål er sjældent, at der er sendt en mail, men hvilke dokumenter der var vedhæftet. Fremgangsmåden:

Udtræk vedhæftningerne fra den eksporterede mail med et værktøj, der bevarer filerne uændret.
Beregn hashværdier for hver vedhæftning.
Sammenlign med virksomhedens filer. En identisk hashværdi i fildrev, SharePoint eller dokumentsystem viser, at det er præcis den samme fil.
Ved forskelle: Sammenlign filnavn, størrelse, indhold og dokumentmetadata. En fil, der er åbnet og gemt igen, får en anden hashværdi, selv om indholdet er næsten det samme.
Registrér resultatet i et hashmanifest, der kobler hver vedhæftning til mail, Message-ID og eventuel kildefil. → Hashmanifest for filsamlinger

Størrelsen i meddelelsessporingen er mailens samlede størrelse efter indkodning. Vedhæftninger fylder typisk omkring en tredjedel mere i mailen end som filer, så størrelsen kan understøtte, men ikke identificere, en bestemt fil.

Forskelle i Google Workspace

Principperne er de samme i Google Workspace, men værktøjerne er andre. Gmail-logsøgningen i administrationskonsollen svarer til meddelelsessporingen, Vault bruges til at bevare og eksportere indholdet, og ændringer i videresendelse og filtre fremgår af auditloggene for Gmail og brugerindstillinger. Vault-eksporter leveres i formater med metadatafiler, som skal bevares sammen med selve mailene, fordi de indeholder oplysninger, der ikke står i mailen. Er domænet sat op med en ekstern mailgateway, kan gatewayen have sin egen log, som supplerer Googles.

Mønster frem for enkeltmails

En enkelt mail til egen adresse har ofte en almindelig forklaring. Det, der giver fundene vægt, er mønsteret: antal, mængde, typer af dokumenter og tidspunkt i forhold til opsigelsen. Sammenlign derfor perioden op til fratræden med en sammenligningsperiode, og vis begge i samme form, fx antal mails og samlet størrelse pr. uge. Viser sammenligningen, at medarbejderen jævnligt sendte filer hjem i hele ansættelsen, er det en vigtig oplysning, også når den ikke støtter mistanken.

Hvis mailen er væk

Er mailen slettet og ikke bevaret, kan sporingen stadig vise afsendelsen, modtageren og størrelsen. Emnelinjen kan give et fingerpeg om indholdet. Spor på computeren, fx en vedhæftet fil, der er åbnet fra en midlertidig mappe eller valgt i en filvalgsdialog af mailprogrammet, kan understøtte, hvilken fil det drejede sig om. Konklusionen bliver svagere, og det skal fremgå.

Typiske fejl

At søge som brugeren. Login i brugerens postkasse blander undersøgelsens aktivitet med brugerens.
Kun at se på Sendt post. Mails kan være slettet, sendt fra en anden mappe eller sendt automatisk via en regel.
At glemme aliaser og delte postkasser. Mails kan være sendt fra en anden adresse, brugeren har ret til at sende fra.
Tidszoner. Sporingen er ofte i UTC, mens mailklienten viser lokal tid.
At ændre før dokumentation. Fjernes en videresendelse eller en regel, før den er eksporteret, kan dens oprettelsestidspunkt og præcise indhold være svære at genskabe bagefter.
At konkludere ud fra emnet. Et emne som “Mine filer” siger intet om, hvad der var vedhæftet.

Hvad det kan og ikke kan vise

Undersøgelsen kan vise, at mails med bestemte vedhæftninger er sendt fra en konto til en adresse uden for virksomheden, hvornår og med hvilket indhold. Den kan ikke vise, hvad der skete med mailen i den private postkasse, om den blev videresendt, eller om adressen tilhører den person, navnet antyder. Den sidste kobling kræver ofte andre oplysninger, fx at adressen tidligere er brugt af medarbejderen i korrespondance med virksomheden.

Vær opmærksom på, at en eDiscovery-eksport i sig selv skaber nye filer med egne tidsstempler. Det er de oprindelige felter i mailen, fx Date-headeren og serverens modtagelsestidspunkter, der beskriver hændelsen, ikke eksportfilens tidsstempler. Gør det klart i rapporten, hvilke tidspunkter der stammer fra mailen, og hvilke der stammer fra undersøgelsen.

Dokumentation

For hver eksport: system, værktøj, søgekriterier, periode, tidspunkt, udført af og hashværdi. For hver vedhæftning: hashværdi, kobling til mail og eventuel kildefil. Bevar råeksporterne uændrede, og lav analysen på kopier.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse ved fratræden

Læs også: Upload til privat cloud: browser-, proxy- og firewallspor · Kundelisten fra CRM: eksportlogs i SaaS-systemer

→ Undersøgelse ved fratræden · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik