Nulstil denne pc og Autopilot: hvad overlever en nulstilling?

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Det afhænger af metoden. Behold mine filer bevarer brugerfiler og konti, men fjerner programmer og AppData. Fjern alt og Autopilot Reset sletter brugerdata, og med datarensning overskrives disken. Spor efter selve nulstillingen kan ofte dateres, og det meste af det vigtige overlever uden for maskinen: i Intune, Entra ID, OneDrive og centrale logs.

Den praktiske situation, hvor en medarbejder afleverer en nulstillet computer, er beskrevet for ledelse og HR på bevissikring-digitalt.dk. Her gennemgås mekanismen, og hvor sporene findes bagefter.

Fire måder at nulstille på

Nulstil denne pc: Behold mine filer · Hvad der sker med data: Windows bygges op på ny. Brugerfiler og konti bevares, programmer og AppData fjernes · Typisk igangsat af: Brugeren eller IT lokalt
Nulstil denne pc: Fjern alt · Hvad der sker med data: Brugerfiler slettes. Med valget om at rense drevet overskrives data · Typisk igangsat af: Brugeren eller IT lokalt
Windows Autopilot Reset · Hvad der sker med data: Personlige filer, programmer og indstillinger fjernes. Tilknytning til Entra ID og Intune bevares · Typisk igangsat af: IT lokalt eller via Intune
Wipe fra Intune · Hvad der sker med data: Fabriksnulstilling med varianter, der bevarer brugerdata eller overskriver ledig plads · Typisk igangsat af: IT via Intune

Behold mine filer

Microsoft beskriver, at funktionen bygger en ny kopi af Windows ud fra komponentlageret og genopretter mapperne \Windows, \Program Files, \ProgramData og hver profils AppData. Indholdet af disse mapper bevares ikke på deres oprindelige plads. Til gengæld oplyser Microsoft, at AppData-mapperne kan findes i C:\Windows.old bagefter. Det er forensisk vigtigt, fordi browserprofiler, Teams-cache, OneDrive-logs og mange programmers databaser ligger netop dér.

Brugerkonti, gruppemedlemskaber, domæneindstillinger og trådløse netværksprofiler bevares. Programmer, som brugeren selv har installeret, forsvinder, men spor efter dem kan findes i de bevarede brugerdata og i Windows.old.

Fjern alt

Med Fjern alt slettes brugerdata. Microsoft beskriver, at Windows-volumen ikke formateres, fordi filerne til genopbygningen ligger på den; i stedet slettes brugerfilerne enkeltvis. Andre datavolumener formateres, hvis brugeren vælger alle drev. Vælges desuden rensning af drevet, overskrives data, så gendannelse bliver væsentligt sværere. Microsoft understreger, at funktionen er beregnet til forbrugere og ikke opfylder standarder for sikker sletning.

Om noget kan gendannes, afhænger af lagermediet. På en SSD sender Windows TRIM for slettede områder, og controlleren rydder dem typisk hurtigt. På en mekanisk disk kan slettede filer uden rensning ofte findes ved carving. Er disken krypteret med BitLocker, kræver enhver analyse af kopien gendannelsesnøglen, som derfor skal sikres fra Entra ID, Active Directory eller Intune sammen med kopien. Se SSD, TRIM og gendannelse.

Autopilot Reset og Intune-wipe

Autopilot Reset tager enheden tilbage til en driftsklar tilstand. Ifølge Microsoft fjernes personlige filer, programmer og indstillinger, mens enhedens tilknytning til Entra ID og Intune, Wi-Fi-oplysninger, provisioneringspakker og SCEP-certifikater bevares. Lokal Autopilot Reset er slået fra som standard og kræver en politik og en lokal administratorkonto. Fjernudløst Autopilot Reset kræver en Intune-rolle.

Intune-wipe har tre varianter på Windows. Den ene bevarer tilmelding og brugerdata og svarer reelt til Behold mine filer. Den anden er en almindelig fabriksnulstilling. Den tredje fortsætter, selvom strømmen afbrydes, og overskriver ledig plads, hvilket i praksis fjerner muligheden for gendannelse på selve disken.

Skydownload eller lokal geninstallation

Når Nulstil denne pc startes, kan Windows enten hente en ny installation fra Microsoft eller bygge den op fra filer på maskinen. Valget har betydning for, hvor systemfilerne kommer fra, men ikke for, hvilke brugerdata der slettes. Det er valget mellem Behold mine filer og Fjern alt, og om drevet renses, der afgør det. Skydownload efterlader til gengæld spor i form af en download, der kan ses i netværkslogs, proxy eller firewall, hvis disse findes for perioden.

Hvem udførte nulstillingen?

Spørgsmålet besvares sjældent fra maskinen alene. En fjernudløst handling i Intune har en udførende konto i auditloggen. En lokal nulstilling skal kædes sammen med den sidste interaktive logon før nulstillingen, som kan findes i central logning, EDR-telemetri eller i Entra ID’s loginlog for enheden. Har maskinen været låst i en periode og derefter nulstillet fra loginskærmen eller fra genoprettelsesmiljøet, skal det fremgå af rapporten, at den udførende person ikke kan identificeres med sikkerhed. Sammenhold altid med virksomhedens egne procedurer: Har IT en sag på udskiftningen, eller blev maskinen afleveret til et klargøringsfirma, der nulstiller som standard?

Spor efter selve nulstillingen

Selvom indholdet er væk, kan nulstillingen normalt dateres og ofte tilskrives:

Installationstidspunkt i registreringsdatabasen og oprettelsestidspunkter for systemmapper og brugerprofiler viser, hvornår den nye installation blev bygget.
Logfiler fra nulstillingen kan ligge i en skjult mappe på systemdrevet, typisk C:\$SysReset, med forløbet og valgte indstillinger.
Hændelseslogs starter forfra. Den ældste post i System- og Security-loggen falder sammen med geninstallationen.
Windows.old fortæller, at Behold mine filer blev brugt, og indeholder den tidligere installations data.

Det, der overlever uden for maskinen

Det vigtigste materiale ligger ofte et andet sted end på disken:

Intune registrerer fjernhandlinger som wipe og Autopilot Reset i sin auditlog med den konto, der udløste dem, og enhedens sidste indcheckning og overholdelsesstatus. En lokal nulstilling ses som et skift i enhedens tilstand og en ny registrering. Se MDM og Intune som datakilde.
Entra ID har enhedsobjektet med registreringstidspunkter, og revisionsloggen viser ændringer af enheden og ejerskab. Se Entra ID audit log.
Loginloggen viser, hvilke konti der brugte enheden før og efter nulstillingen.
OneDrive og SharePoint har filer, der var synkroniseret, inklusive versioner og papirkurv, og auditloggen viser downloads og sletninger før nulstillingen.
EDR og central logning har telemetri fra perioden op til nulstillingen, herunder hvilke processer der kørte, og hvem der startede nulstillingen.

Sådan sikres en nulstillet maskine

Tag en fuld forensisk kopi af disken, også selvom maskinen er nulstillet. Windows.old, ikke-overskrevne områder og nulstillingens egne logs kan kun undersøges på en kopi. Sikr sideløbende Intune-, Entra- og Microsoft 365-logs, før de udløber. Tag ikke maskinen i brug igen, og lad den ikke indrullere en ny bruger, før kopien er taget. Er maskinen allerede taget i brug, så se vi har allerede rørt maskinen. For at undgå situationen kan tjeklisten før reinstallation bruges som fast rutine.

Fortolkning

En nulstilling er ikke i sig selv et tegn på, at noget skulle skjules. Autopilot Reset og wipe er almindelige driftshandlinger ved udskiftning og genbrug af udstyr. Det, der gør nulstillingen relevant, er tidspunktet, hvem der udførte den, og om den fulgte virksomhedens procedure. Rapporten bør derfor adskille tre ting: hvad der kan dokumenteres om nulstillingen, hvad der stadig kunne findes, og hvilke spørgsmål der ikke længere kan besvares fra maskinen selv. Det sidste er lige så vigtigt som det første, fordi en modpart ellers kan læse et hul i kildegrundlaget som et svar. Hvordan manipulation generelt vurderes, er beskrevet i anti-forensics.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Hvem installerede programmet? Installationsspor i Windows · Hvor længe gemmes Windows’ event log? Størrelse og overskrivning

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik