MitID og NemLog‑in: hvilke logdata findes, og hvem har dem

Forside › Cloud- og SaaS-forensik · Gennemgået oktober 2026 · Af John Nielsen

Når nogen logger ind eller godkender en betaling med MitID, opstår der spor tre steder: i selve MitID-løsningen, hos den broker, der formidlede login til tjenesten, og hos tjenesten selv, fx banken eller en offentlig selvbetjening. Hvert led har sin egen log med forskelligt indhold. Ingen enkelt part har hele billedet, og ingen af logdataene kan hentes uden om den, der har dem. Den lovlige vej går gennem den registreredes egen indsigt, parternes anmodning til tjenesten og i en retssag edition.

Haster det? Notifikationer og beskeder på telefonen kan forsvinde inden for timer, og en spærring eller et skift af enhed ændrer tilstanden. Se akut forensisk sikring; hastesager koster ekstra.

Artiklen beskriver arkitekturen og sporene teknisk. Den juridiske side af sager om godkendte betalinger er beskrevet på MitID og netbank: hvem godkendte betalingen?.

Arkitekturen i korte træk

MitID ejes af MitID-partnerskabet, der består af staten, regionerne, kommunerne og de finansielle institutioner. Løsningen står for identiteten og autentificeringen: brugerens MitID, de tilknyttede autentifikatorer som app, kodeviser, kodelæser og chip, og selve godkendelsen.

Tjenester taler ikke direkte med MitID, men via en broker. NemLog-in, som drives af Digitaliseringsstyrelsen, er den offentlige broker og fælles login for offentlige selvbetjeninger. Banker og private tjenester bruger deres egne eller kommercielle brokere. NemLog-in håndterer også erhvervsidentiteter og rettigheder for virksomheder via MitID Erhverv.

MitID · Eksempel: Selve identitetsløsningen · Hvad det ved: Hvilken identitet, hvilken autentifikator og hvornår
Broker · Eksempel: NemLog-in eller en privat broker · Hvad det ved: Hvilken tjeneste der bad om login, resultat, tidspunkt
Tjeneste · Eksempel: Bank, borger.dk, Digital Post, pensionsselskab · Hvad det ved: Hvad der skete i sessionen bagefter

Spor i MitID-løsningen

MitID registrerer de godkendelser, en identitet har foretaget, og hvilken autentifikator der blev brugt. For MitID-appen er godkendelsen knyttet til en bestemt installation på en bestemt enhed, og aktivering af appen på en ny enhed udløser en besked til brugeren via app, sms eller e-mail. Brugeren kan desuden vælge at få besked, hver gang MitID bruges.

Privatlivspolitikken for MitID beskriver kategorierne: hvornår, hvordan og til hvad MitID blev brugt, IP-adresse med en geografisk placering udledt af den, og ved MitID-appen oplysninger om enheden, fx serienummer, styresystem, appversion og om telefonen er jailbroken. Det præcise feltformat er ikke offentligt, og opbevaringstiden er kun angivet som så længe, det er nødvendigt for formålet, herunder at sikre mod misbrug. Digitaliseringsstyrelsen er dataansvarlig for MitID, mens en broker er selvstændig dataansvarlig for de data, den modtager. En indsigtsanmodning om MitID-data går derfor til Digitaliseringsstyrelsen, og under profilen på mitid.dk kan brugeren selv se en oversigt over sine aktiviteter. Hvordan en indsigtsanmodning bruges i en tvist, er beskrevet på Indsigtsanmodning efter GDPR som led i en tvist.

Spor hos brokeren

En broker logger, hvilken tjeneste der anmodede om login, tidspunkt, resultatet og sessionens tekniske data, typisk IP-adresse og browseroplysninger fra den enhed, der startede login. Det er en vigtig skelnen: Login startes ofte i en browser på én enhed og godkendes i MitID-appen på en anden. Brokeren ser browseren, MitID ser appen.

For offentlige tjenester er NemLog-in brokeren, og Digitaliseringsstyrelsen har logdata for de login, der er gået gennem den. For banker og private tjenester ligger brokerens log hos den pågældende udbyder. Om identitetsudbydere og SSO-logs generelt, se Identitetsudbydere og SSO.

Spor hos tjenesten

Tjenesten har sin egen log over sessionen efter login: hvilke sider der blev vist, hvilke handlinger der blev udført, og hvilke betalinger eller dokumenter der blev godkendt. I en netbank er det typisk her, sagen afgøres, fordi en betaling ofte kræver en særskilt MitID-godkendelse med beløb og modtager vist i appen.

Bankens log kan indeholde IP-adresse, enhedsoplysninger fra browseren eller bankens app, tidspunkter for login og godkendelse, og de data, der blev vist i godkendelsesanmodningen. Den skaffes via kontohaveren, som kan bede banken om den, og i en tvist eventuelt via edition. Virksomhedens interne kontroller i erhvervsnetbanken er beskrevet på Erhvervsnetbanken: hvem oprettede og godkendte betalingen?.

MitID Erhverv

For virksomheder findes der desuden spor om rettigheder: hvem der er oprettet som medarbejder med MitID Erhverv, hvem der har administratorrettigheder, og hvilke fuldmagter og rettigheder der er tildelt til offentlige løsninger. Administratoren kan se brugere og rettigheder i administrationsløsningen. Hvor meget ændringshistorik administrationsløsningen viser, og hvor langt den går tilbage, er ikke beskrevet offentligt i detaljer og bør afklares tidligt. Tag skærmbilleder og eksporter af den aktuelle tilstand straks, og bed Digitaliseringsstyrelsen om historikken, hvis den ikke er synlig.

Spor på brugerens egen telefon

Den berørte persons telefon kan indeholde notifikationer fra MitID-appen, beskeder om aktivering på nye enheder, sms’er og mails fra banken samt opkaldshistorik, hvis godkendelsen skete under et telefonopkald. Det er ofte her, sammenhængen bliver tydelig: et opkald fra en ukendt person, efterfulgt af en godkendelse i appen.

Telefonen bør bevares uændret og sikres metodisk, før appen geninstalleres eller telefonen nulstilles; se Tjekliste: sikring af en mobiltelefon. Selve MitID-appen gemmer ikke nødvendigvis en historik, der kan læses ud, og den er beskyttet af styresystemet. Undersøgelsen omfatter kun det, der lovligt kan udtrækkes fra ejerens egen enhed med ejerens samtykke.

Lovlige veje til logdata

Indsigt efter databeskyttelsesreglerne: Den registrerede kan bede den dataansvarlige om egne oplysninger, herunder logdata om egne login.
Kundens anmodning: Kontohaveren kan bede banken eller tjenesten om sessionsdata og godkendelser.
Edition i en retssag: Retten kan pålægge en part eller tredjemand at fremlægge dokumenter og data.
Virksomhedens egne data: En virksomhed kan selv eksportere brugere og rettigheder fra MitID Erhverv og egne systemers logs.

Bed tidligt og skriftligt, med præcis periode, identitet og tjeneste, og bed om, at data bevares. Opbevaringstiderne kendes ikke på forhånd.

Sikring, når sagen opstår

De første timer betyder mest, fordi telefonens notifikationer og beskeder kan forsvinde, og fordi spærring af MitID og skift af enhed ændrer tilstanden. En praktisk rækkefølge:

Notér tidspunkter, tjenester og beløb, som de fremgår af beskeder og kontoudtog, før noget ændres.
Lad telefonen være uændret, og sluk ikke for notifikationer. Tag skærmbilleder som supplement, ikke som erstatning for en sikring.
Spær MitID via den officielle support, hvis der er mistanke om misbrug, og notér tidspunktet for spærringen. Spærringen er nødvendig, men den markerer også, hvornår tilstanden blev ændret.
Send skriftlige anmodninger til banken og de berørte tjenester om sessionsdata og godkendelser for perioden, og bed om, at de bevares.
Send en indsigtsanmodning om egne MitID-data, hvis de kan få betydning.

Virksomheder bør samtidig eksportere brugerliste og rettigheder fra MitID Erhverv, før administratorer rydder op i adgange. Det gælder især, når en tidligere medarbejder stadig har rettigheder; se MitID Erhverv og Digital Post: hvem har rettigheder?.

Fejlkilder i fortolkningen

Godkendt er ikke det samme som forstået: En godkendelse i appen viser, at nogen med adgang til enheden godkendte en anmodning. Ved social manipulation godkender den rette person ofte en anmodning, som en anden har startet.
To IP-adresser: Brokerens IP-adresse tilhører browseren, der startede login, ikke nødvendigvis telefonen, der godkendte.
Tidszoner: Logs fra forskellige led kan være i UTC eller dansk tid. Normalisér, før hændelserne stilles op; se Server-tid og klient-tid.
Delte enheder: En familie med én tablet kan have flere MitID-apps eller dele en kodeviser.

Hvad logdataene kan og ikke kan bevise

Samlet kan sporene vise, at en bestemt identitet godkendte en bestemt anmodning fra en bestemt tjeneste på et bestemt tidspunkt, og fra hvilket netværk login blev startet. De kan ikke alene vise, hvem der holdt telefonen, eller om godkendelsen skete under påvirkning. Det kræver kombination med telefonens spor, opkaldsdata og forklaringer.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Cloud- og SaaS-forensik

Læs også: Danske cloudregnskabsprogrammer: ændringslog og eksport · HR- og lønsystemer: adgangslogs og ændringshistorik

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For advokater · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik