Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen
I Exchange Online kan en bruger få adgang til en andens postkasse på flere måder: fuld adgang, ret til at sende som postkassen, ret til at sende på vegne af den, tilladelser til enkelte mapper og adgang via apps eller administrative søgninger. Hver mekanisme gemmes forskelligt, tildeles af forskellige roller og logges forskelligt. Når spørgsmålet er, om nogen har læst eller sendt fra en andens postkasse, skal man derfor både kortlægge rettighederne, rekonstruere hvornår de blev givet, og finde brugen af dem i postkassens auditlog.
De to typiske situationer, en leder der misbruger sin adgang og en delt postkasse hvor ingen ved, hvem der skrev, er beskrevet for virksomheden på bevissikring-digitalt.dk i En leder misbruger sin adgang og Delte postkasser. Her ser vi på den tekniske side.
Rettighedstyperne
FullAccess· Hvad den giver: Åbne og læse hele postkassen, men ikke sende som den · Hvordan den ses i en sendt mail: Ikke relevantSendAs· Hvad den giver: Sende mail, der fremstår som sendt af postkassen · Hvordan den ses i en sendt mail: Ingen synlig forskel for modtageren- Send on behalf · Hvad den giver: Sende på vegne af postkassen · Hvordan den ses i en sendt mail: Afsenderfeltet viser den, der sendte, på vegne af postkassen
- Mappetilladelser · Hvad den giver: Læse eller redigere bestemte mapper, fx kalender eller indbakke · Hvordan den ses i en sendt mail: Ikke relevant
- Outlook-stedfortræder · Hvad den giver: Kombination af mappetilladelser og send på vegne af · Hvordan den ses i en sendt mail: Som send på vegne af
- Adgang via app eller administrativ søgning · Hvad den giver: Læsning via API eller indholdssøgning · Hvordan den ses i en sendt mail: Ikke relevant
Forskellen mellem SendAs og Send on behalf er vigtig i sager om, hvem der skrev en mail. Ved SendAs indeholder mailen ikke i sig selv oplysninger om, hvilken bruger der sendte den. Det kan kun afgøres ud fra auditloggen og afsenderens Sendt post. Ved Send on behalf fremgår den faktiske afsender af mailens headere.
Kortlægning af nuværende rettigheder
Rettighederne ligger forskellige steder og hentes med forskellige forespørgsler: postkassetilladelser for fuld adgang, modtagertilladelser for SendAs, en egenskab på postkassen for Send on behalf, og mappetilladelser pr. mappe. I Exchange Online PowerShell svarer det til Get-MailboxPermission, Get-RecipientPermission, egenskaben GrantSendOnBehalfTo fra Get-Mailbox og Get-MailboxFolderPermission. Mappetilladelser skal hentes for de relevante mapper, mindst indbakke, sendt post, kalender og topniveauet, fordi en tilladelse på én mappe ikke ses på en anden.
Kortlæg også rettigheder, der arves eller gives bredt: tilladelser tildelt grupper, standardtilladelser på kalendere og apps med rettigheder til at læse alle postkasser. Det sidste er en organisationsindstilling, som kan være afgrænset af en politik for app-adgang. En app med den slags rettigheder er i praksis en adgang til alle postkasser.
Historikken: hvornår blev rettigheden givet?
Rettighederne har ikke selv et pålideligt oprettelsestidspunkt. Historikken findes i auditloggen, hvor tildeling og fjernelse registreres som administrative handlinger med den konto, der udførte dem, målet og den tildelte bruger. Ændringer af mappetilladelser foretaget fra Outlook af postkassens ejer registreres som postkassehændelser. Se Unified Audit Log i Microsoft 365.
Tildeling af postkassetilladelser kræver administrative roller i Exchange. Er en rettighed givet af en konto, der ikke burde have den mulighed, er næste spørgsmål, hvordan kontoen fik rollen; se Privilegerede roller: tildelinger og ændringshistorik i Entra ID.
Brugen af rettighederne
Postkassens auditlog skelner mellem handlinger udført af ejeren, af en stedfortræder og af en administrator. Når en bruger med fuld adgang åbner en andens postkasse, registreres handlingerne i den postkasse, der blev åbnet, med logontypen stedfortræder og med den faktiske brugers identitet. Det gør det muligt at opgøre, hvilke handlinger en bestemt bruger har udført i en bestemt postkasse:
- Adgang til mails:
MailItemsAccessedmed logontype stedfortræder. Fortolkningen af Sync og Bind er beskrevet i MailItemsAccessed og mailbox-auditloggen. - Afsendelse: Hændelser for
SendAsogSendOnBehalfmed den faktiske afsender. - Ændringer: Oprettelse, flytning, sletning og opdatering af elementer.
- Mappetilladelser: Tilføjelse eller ændring af tilladelser.
Hvilke handlinger der logges for stedfortrædere, afhænger af postkassens auditindstillinger og licens. Kontrollér konfigurationen for de berørte postkasser i perioden. Ved gennemgangen omfattede standardlisten for stedfortrædere bl.a. MailItemsAccessed, SendAs, SendOnBehalf, oprettelse, opdatering og sletning, mens åbning af mapper (FolderBind) og flytning ikke blev logget som standard.
Delte postkasser
En delt postkasse har ingen egen bruger, der logger ind. Alle handlinger udføres af brugere med rettigheder til den, og auditloggen er derfor den eneste kilde til, hvem der gjorde hvad. Mails sendt med SendAs eller Send on behalf fra en delt postkasse lægges i den sendendes egen Sendt post, og en kopi i den delte postkasses Sendt post afhænger af indstillingerne MessageCopyForSentAsEnabled og MessageCopyForSendOnBehalfEnabled, som ifølge dokumentationen er slået fra som standard. Det har betydning for, hvor kopien skal findes.
Administratorers søgninger
En administrator med rettigheder til indholdssøgning eller eDiscovery kan søge i og eksportere indhold fra alle postkasser uden at have postkassetilladelser. Det registreres ikke som stedfortræderadgang i postkassen, men som oprettelse, kørsel og eksport af søgninger i auditloggen. I sager om misbrug af adgang skal disse hændelser med. Valget mellem værktøjerne til at belyse mailspørgsmål er beskrevet i Message trace, indholdssøgning eller auditlog.
Sikring
- Eksportér alle rettighedstyper for de berørte postkasser og for de brugere, der er under mistanke.
- Eksportér auditindstillingerne for postkasserne.
- Søg i auditloggen efter tildeling og fjernelse af rettigheder i perioden.
- Eksportér postkassehændelser med logontype stedfortræder og administrator for de berørte postkasser.
- Eksportér søgninger og eksporter fra indholdssøgning og eDiscovery i perioden.
- Hash eksporterne, og fjern først derefter rettigheder, der ikke skal være der.
Typiske fejlkilder
- Automatisk tilknytning: En postkasse med fuld adgang kan blive vist automatisk i brugerens Outlook, så adgangshændelser opstår af synkronisering uden aktivt valg.
- Gruppetildelinger: Rettigheder givet til en gruppe ses ikke på brugeren.
SendAsuden spor i mailen: Afsender kan kun fastslås fra auditlog og sendte elementer.- Ejerens egne handlinger forveksles: Brug logontype og brugeridentitet, ikke kun postkassens navn.
Hvad sporene kan og ikke kan bevise
Sporene kan vise, hvem der havde rettigheder til en postkasse, hvornår de blev givet, og hvilke handlinger en konto udførte i den. De kan ikke alene vise, hvem der sad ved kontoen; se Hvem sad ved tastaturet?. Og de kan ikke vise handlinger, som ikke var konfigureret til at blive logget.
Hvem skrev mailen?
Et hyppigt konkret spørgsmål er, hvem der sendte en bestemt mail fra en postkasse, som flere havde adgang til. Fremgangsmåden er at finde mailen i modtagerens kopi, notere Message-ID og tidspunkt og derefter søge i auditloggen efter afsendelseshændelser for postkassen i et snævert tidsrum omkring tidspunktet. Hændelsen for SendAs eller SendOnBehalf indeholder den bruger, der faktisk sendte. Er mailen sendt af postkassens ejer, findes i stedet en almindelig afsendelseshændelse med logontype ejer.
Sammenhold med sendte elementer i både den delte postkasse og de mulige afsenderes egne postkasser, og med loginloggen for den bruger, auditloggen peger på. Passer sessionen, klienten og IP-adressen med brugerens normale mønster, styrker det konklusionen; gør de ikke, skal muligheden for en kompromitteret konto overvejes.
Dokumentation
Rapporten bør indeholde en rettighedsmatrix for de berørte postkasser med rettighedstype, modtager, tildelingstidspunkt og tildelende konto, hvor det kan fastslås. Hertil kommer postkassernes auditindstillinger, de relevante postkassehændelser med logontype, brugeridentitet, klient og tidspunkt i UTC, og administratorernes søgninger og eksporter i perioden. Eksporterne hashes, og perioder uden for loggens opbevaring angives som begrænsninger.
Kilder og versioner
- Microsoft Learn: Manage mailbox auditing
- Microsoft Learn: Set-Mailbox
- Microsoft Learn: Get-RecipientPermission
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Microsoft 365 og Entra ID: logkilderne
Læs også: Privilegerede roller: tildelinger og ændringshistorik i Entra ID · Hvem ændrede filen? Versioner og delingslinks i SharePoint
→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
