Multifunktionsprintere: joblog, scan‑til‑mail og intern lagring

Forside › Netværk og logs · Gennemgået oktober 2026 · Af John Nielsen

En moderne multifunktionsprinter (MFP) er en netværksenhed med eget operativsystem, egne logs og ofte en intern disk eller flashlager. Den kan registrere udskrifter, kopier, scanninger og fax i en joblog med bruger, tidspunkt, antal sider og destination, og den kan sende scanninger som mail eller til en netværksmappe. Printerens egne data supplerer Windows’ printspor og er særligt vigtige for handlinger, der ikke går gennem en computer: kopiering og scanning direkte ved maskinen.

Hvordan printjob ses på Windows-klienten og printserveren, er beskrevet i Print i Windows. En generel introduktion til, hvad printere husker, findes på digitalbevissikring.dk. Her er det selve maskinen.

Hvad printeren kan registrere

Indholdet afhænger af fabrikat, model, firmware og indstillinger, men typisk kan følgende findes:

Joblog: jobtype (print, kopi, scan, fax), tidspunkt, bruger eller konto, antal sider og ark, farve eller sort-hvid, resultat og for print ofte dokumentnavn og afsendende computer.
Scanlog: destination, fx mailadresse, netværksmappe eller USB-nøgle, filformat og antal sider.
Adressebog: gemte mailadresser og netværksmapper, som viser mulige destinationer.
Hændelseslog: login til administrationen, ændringer i indstillinger, firmwareopdateringer og fejl.
Intern lagring: spoolede job, tilbageholdte job til sikker udskrift, dokumentbokse og midlertidige billeder af scannede og kopierede sider.

Den fælles Common Criteria-beskyttelsesprofil for hardcopy-enheder, som mange producenter certificerer efter, stiller krav om en revisionslog over bl.a. afsluttede job og administrative handlinger. Joblogge er som regel begrænset til et antal poster eller en periode, hvorefter de ældste overskrives. På en travl printer kan det være få dage eller uger.

Brugeridentifikation

Om joblog viser en person, afhænger af opsætningen. Uden godkendelse ved maskinen viser en kopi eller scanning ingen bruger. Med kortlæser, PIN-kode eller printstyring kobles jobbet til en konto. For print fra en computer viser loggen typisk det brugernavn, klienten sendte med jobbet. I IPP-protokollen hedder feltet job-originating-user-name, og det angives af den afsendende klient, ikke af printeren selv. Det er derfor kun så pålideligt som klienten.

Printstyringsløsninger med central server har ofte den mest fuldstændige historik med bruger, printer, dokumentnavn og antal sider, og de gemmer data længere end printeren selv. Den organisatoriske side er beskrevet på bevissikring-digitalt.dk.

Scan-til-mail og scan-til-mappe

En scanning sendt som mail forlader printeren via SMTP, enten direkte til en mailserver eller via en relætjeneste. Mailen kan derfor også findes i mailsystemets transportlogs og i modtagerens postkasse. Afsenderadressen er ofte en fælles adresse for printeren, så selve brugeren skal findes i printerens log eller i mailens emne og vedhæftningens navn. I Microsoft 365 kan scanningen spores med message trace; se Message trace og transportlogs.

Scan til en netværksmappe skriver en fil via SMB med en servicekonto. Filserverens revision kan vise oprettelsen, men ofte kun med printerens konto. Filens tidsstempler og navngivning svarer typisk til printerens skabelon, som kan indeholde dato, tid og løbenummer.

Cloudadministration og fjernovervågning

Mange printere administreres af leverandøren eller via producentens cloudtjeneste, der indsamler tællerstande, fejl og ofte jobdata til fakturering og drift. Den slags data kan række længere tilbage end printerens egen joblog og kan være en uafhængig kilde, fordi brugeren ikke har adgang til den. Til gengæld er detaljegraden forskellig: Nogle tjenester gemmer kun antal sider pr. dag, andre gemmer hvert job med bruger og dokumentnavn. Spørg leverandøren, hvilke data der findes, hvor længe de opbevares, og i hvilket format de kan udleveres. Kontrollér også aftalen, fordi leverandøren kan have adgang til at fjernstyre printeren og dermed selv kunne ændre indstillinger.

Intern disk og flashlager

Mange MFP’er har en intern disk eller SSD. Afhængigt af indstillinger kan den rumme billeder af nyligt behandlede sider, tilbageholdte job og dokumentbokse. Producenterne tilbyder ofte kryptering af lageret og automatisk overskrivning af jobdata, når et job er færdigt. Er de funktioner slået til, er der ikke meget indhold at hente. Er de slået fra, kan der være rester af sider, der er kopieret eller scannet.

Forensisk kopiering af en printers lager er ikke standardiseret. Disken er ofte krypteret med en nøgle i printeren, filsystemet kan være proprietært, og udtagning af disken kræver adskillelse. Det er en vurdering i den enkelte sag, om indholdet står mål med indsatsen, og det bør ske i samråd med opdragsgiveren. Når printere udskiftes eller afleveres efter en leasingaftale, bør det overvejes, om lageret skal sikres først.

Sikring

Afklar fabrikat, model, firmware og om printeren er tilsluttet en printstyringsløsning eller cloudadministration.
Eksportér joblog, scanlog og hændelseslog fra printerens webgrænseflade eller administrationssoftware. Gem både eksporten og skærmbilleder af visningen med tidspunkt.
Notér printerens ur og tidszone og afvigelsen fra en kendt tid.
Eksportér adressebogen og konfigurationen.
Sikr printstyringssystemets data, mailsystemets transportlogs og filserverens revision for samme periode.
Vurdér, om den interne lagring skal sikres, og om det kræver producentens medvirken.
Hash alle eksporter.

Sluk ikke printeren, før loggene er hentet, hvis det er uklart, om de ligger i flygtig hukommelse. Undgå at printe testsider eller ændre indstillinger, da det skriver nye poster i loggene.

Fejlkilder

Ure: Printerens ur er ofte ikke synkroniseret og kan gå flere minutter eller timer forkert.
Afsendt brugernavn: Brugernavnet i et printjob er klientens oplysning. En lokal konto på en privat computer kan hedde hvad som helst.
Overskrivning: En joblog med fast antal poster kan have mistet de relevante poster, før nogen kiggede.
Kopier uden spor: Uden godkendelse ved maskinen er en kopi ikke knyttet til nogen.
Dokumentnavne: Navnet i loggen kan være afkortet eller være programmets standardnavn.

Dokumentation

Beskriv printeren med fabrikat, model, serienummer og firmware, og hvordan brugere godkendes ved maskinen. Angiv, hvordan loggene er hentet, med hvilken konto og på hvilket tidspunkt, og printerurets afvigelse. For hvert relevant job gengives tidspunkt, jobtype, bruger, sider og destination, og hvilke andre kilder der bekræfter det. Hvis joblog er overskrevet, eller kopier ikke kan knyttes til en bruger, skal det stå som en begrænsning.

Hvad printerens data kan og ikke kan bevise

Joblog og scanlog kan vise, at et job af en bestemt type og størrelse blev udført på et bestemt tidspunkt, og ofte af hvilken konto og til hvilken destination. Sammen med Windows’ printspor og printstyring kan de underbygge, at et bestemt dokument blev udskrevet eller scannet. De viser sjældent indholdet, og de viser ikke, hvad der skete med papiret bagefter. I en fratrædelsessag indgår de i den samlede plan i Data taget ved fratræden.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Netværk og logs

Læs også: VoIP og omstillingsanlæg: CDR, SIP-logs og optagelser · Videoovervågning teknisk: eksport fra NVR/DVR, tidsstempler og integritet

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik