Microsoft Purview eDiscovery: hold, søgning og eksport

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Microsoft Purview eDiscovery er Microsofts værktøj til at finde, bevare og eksportere data i Microsoft 365: mails i Exchange Online, filer i OneDrive og SharePoint og chats i Teams. Det er ofte det rigtige værktøj i en civil sag eller en intern undersøgelse, fordi data hentes direkte fra kilden med metadata. Men resultatet afhænger af, hvordan hold og søgninger bygges, hvilke placeringer der medtages, og hvilken licens virksomheden har.

Hvordan en almindelig bruger gemmer mails og chats, er beskrevet på hubben i Bevissikring af mail i Microsoft 365. Her ser vi på eDiscovery som teknisk værktøj til sikring.

Hvad kan værktøjet?

Sager · Samler hold, søgninger og eksporter for en sag med adgangsstyring
Hold · Bevarer indhold i postkasser og websteder, også hvis brugeren sletter det
Søgning · Finder indhold på tværs af Exchange, OneDrive, SharePoint og Teams
Eksport · Udleverer resultatet i et format, der kan analyseres
Gennemgang · Avancerede funktioner til analyse, afhængigt af licens

Microsoft har over tid ændret navne, brugerflade og opdeling mellem standard og premium. På tidspunktet for gennemgangen (oktober 2026) er funktionerne samlet i én eDiscovery-løsning i Purview-portalen. Sager, hold, søgning og eksport findes i alle udgaver, mens gennemgangssæt, OCR, trådning og analyse kræver premiumfunktionerne og dermed en højere licens. Metoderne bag gennemgangen er beskrevet i Technology Assisted Review og Filtrering af advokatkorrespondance. Tjek altid Microsofts aktuelle dokumentation for den konkrete tenant, og notér i rapporten, hvilken udgave af brugerfladen der er brugt.

Hvor data faktisk ligger

For at bruge eDiscovery korrekt skal man vide, hvor Microsoft 365 gemmer de forskellige datatyper:

Mails ligger i brugerens postkasse i Exchange Online, herunder mapper for slettet post og et skjult område for genoprettelige elementer.
Filer ligger i OneDrive (personlige filer) eller i SharePoint-websteder, som også bruges af Teams-kanaler.
Teams-chats gemmes som skjulte elementer i deltagernes postkasser. Kanalbeskeder gemmes i den tilhørende gruppepostkasse.
Vedhæftninger i Teams er ofte links til filer i OneDrive eller SharePoint, ikke kopier i selve beskeden.

Det betyder, at en sikring af “en brugers Teams” kræver både postkasse, OneDrive og de relevante SharePoint-websteder. Den detaljerede gennemgang af filsiden findes i Bevissikring af OneDrive, SharePoint og Teams.

Rettigheder

Den bruger, der arbejder i eDiscovery, skal have de relevante roller, fx som eDiscovery-administrator eller -manager. Tildel rollerne målrettet, og dokumentér, hvem der har dem og fra hvornår. Brugen af eDiscovery logges i auditloggen, så det senere kan vises, hvem der søgte og eksporterede hvad. Det er en styrke for dokumentationen, men også en påmindelse om, at adgang til eDiscovery er adgang til store mængder fortrolige data.

Hold

Et hold forhindrer, at indhold slettes permanent, mens sagen står på. Det er ofte det første, der skal ske, før søgning og eksport. Den juridiske ramme er beskrevet i Bevarelsespligt og litigation hold.

Teknisk set virker et hold ved, at slettede eller ændrede elementer bevares i et skjult område, i stedet for at blive fjernet. Brugeren mærker ingen forskel. Vær opmærksom på:

Holdet gælder fra det tidspunkt, det sættes og er trådt i kraft. Det, der allerede er slettet permanent, kommer ikke tilbage.
Et hold på en postkasse dækker ikke automatisk brugerens OneDrive eller de SharePoint-websteder, brugeren arbejder i.
Et hold kan være baseret på en forespørgsel. Så bevares kun det, der matcher, og det kan være for lidt.
Slettede brugere: Postkassen kan stadig nås som inaktiv postkasse, hvis der var et hold eller en opbevaringspolitik, før brugeren blev slettet. Ellers kan data være tabt efter en kort periode.

Søgning

Søgninger bygges med søgeord, datoer, afsendere, modtagere og placeringer. Typiske faldgruber:

For brede søgninger giver store mængder irrelevante data og øger risikoen for at medtage private oplysninger.
For smalle søgninger overser stavevarianter, forkortelser, bøjningsformer og interne kodenavne.
Indeksering: Visse filer kan ikke indekseres, fx krypterede, beskadigede eller meget store filer. De vises som delvist indekserede elementer og skal håndteres særskilt.
Vedhæftede og indlejrede dokumenter indgår ikke altid som forventet, og linkede filer i Teams og Outlook kræver særlig opmærksomhed.
Datoer: Datofiltre fungerer på bestemte felter, fx modtaget eller ændret, og kan udelukke elementer, man forventede at få med.

Gem søgningens præcise forespørgsel og statistikken for antal træf pr. placering. Den skal kunne gengives i rapporten, og det skal kunne forklares, hvorfor søgeordene blev valgt.

Eksport

Eksporten kan indeholde mails som PST eller som enkeltfiler og dokumenter i oprindeligt format. Eksportrapporten og manifestet viser, hvad der er eksporteret, og hvad der fejlede. Gem dem sammen med eksporten. Kontrollér, at antallet af eksporterede elementer svarer til søgningens statistik, og forklar afvigelser.

Efter download:

Beregn hashværdier for eksportfilerne straks; se Hashværdier forklaret.
Gem en uændret mastereksport og arbejd kun i en kopi.
Dokumentér tidspunkt, bruger, søgning og eksportindstillinger, herunder om dubletter er fjernet.

En forsvarlig rækkefølge

Opret en sag med navngivne brugere og begrænset adgang.
Identificér alle relevante placeringer: postkasser, OneDrive, SharePoint-websteder, gruppepostkasser og eventuelle inaktive postkasser.
Sæt hold på placeringerne, og kontrollér, at holdet er trådt i kraft.
Eksportér auditloggen for perioden, før den udløber.
Byg søgninger, test dem på kendte elementer, og justér søgeordene.
Eksportér, hash og kontrollér antal mod statistikken.
Notér alle beslutninger undervejs, også fravalg.

Rækkefølgen sikrer, at intet går tabt, mens søgningerne forfines, og at hvert trin kan forklares bagefter.

Fejlkilder i fortolkningen

Dubletfjernelse kan skjule, at den samme mail lå i flere postkasser, hvilket kan være relevant for, hvem der modtog den.
Kopier i eksporten kan have nye fil-tidsstempler. Metadata skal læses fra elementet, ikke fra eksportfilen.
Versioner: En eksport af en SharePoint-fil giver typisk den aktuelle version. Ældre versioner skal medtages bevidst.
Tidszoner: Tidspunkter vises forskelligt i brugerflade og eksport. Fastlæg én tidszone; se Tidslinjeanalyse.

Auditloggen supplerer

eDiscovery viser indhold. Auditloggen viser, hvad brugerne har gjort: hvem der har åbnet, downloadet, delt eller slettet. Kombinationen er ofte nødvendig for at besvare sagens spørgsmål; se Unified Audit Log i Microsoft 365.

Hvad eDiscovery kan og ikke kan bevise

En dokumenteret eDiscovery-eksport viser, hvad der lå i tenanten, og i hvilken placering, på eksporttidspunktet, plus det, et hold har bevaret. Den viser ikke, hvad der er sket på lokale enheder, og den viser ikke, hvad der var slettet permanent før holdet.

Uvildighed

Når virksomhedens egen IT-afdeling udfører eDiscovery, kan det rejse spørgsmål om uvildighed, især hvis IT-afdelingen selv er en del af sagen. En uvildig IT-sagkyndig kan enten udføre arbejdet eller kontrollere og dokumentere det, som intern IT har udført. Auditloggens registrering af eDiscovery-aktiviteten gør en sådan efterkontrol mulig, fordi den viser, hvilke søgninger og eksporter der er foretaget, og af hvem.

Dokumentation til rapporten

Sagens navn og oprettelsestidspunkt, hold med placeringer og tidspunkter, søgninger med præcise forespørgsler og statistik, eksport med tidspunkt, format, antal elementer og fejl, hashværdier samt brugere med adgang til sagen.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: OneNote og Loop: hvor indholdet ligger, og hvordan versioner sikres · Unified Audit Log i Microsoft 365 som bevis

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik