PST og OST: struktur, slettede emner og korruption

Forside › E-mail forensics · Gennemgået oktober 2026 · Af John Nielsen

PST- og OST-filer er Outlooks lokale datafiler. De er ikke mapper med mails, men små databaser med deres egen interne struktur, og det har tre konsekvenser for en undersøgelse. Filen ændres, så snart Outlook åbner den, og skal derfor sikres og hashes, før nogen kigger i den. Slettede emner kan overleve i filens ledige plads, indtil filen komprimeres. Og en beskadiget fil kan ofte læses af forensiske værktøjer, selv om Outlook afviser den, men reparationsværktøjer ændrer filen og må kun bruges på en kopi.

Hvor gamle mails typisk ligger i en organisation, og hvordan de findes, er beskrevet på bevissikring-digitalt.dk. Her handler det om formatet og den tekniske håndtering.

PST og OST: forskellen

PST · Personlig datafil til arkiv, eksport eller POP/IMAP-konti. Kan flyttes og åbnes i andre profiler. Ofte den eneste kopi af ældre mails.
OST · Offline-cache for en Exchange- eller Microsoft 365-postkasse. Bundet til profil og postkasse. Indeholder en lokal kopi af det, der er synkroniseret.

En OST-fil er en kopi af serverens indhold på et givent tidspunkt, ofte begrænset af, hvor meget der synkroniseres. Klassisk Outlook synkroniserer som standard kun en periode, afhængigt af diskens størrelse 1, 3 eller 12 måneder, så ældre mails kun findes på serveren. Indstillingen kan ændres af brugeren eller via politik og bør aflæses på den konkrete computer. Til gengæld kan en OST-fil indeholde emner, der siden er slettet på serveren, hvis computeren ikke har synkroniseret efter sletningen, fx fordi den har været slukket eller offline.

Formatets opbygning

Microsoft har offentliggjort specifikationen for PST-formatet. Filen er bygget i tre lag:

NDB-laget (node database): Den nederste struktur med to B-træer, ét for noder og ét for datablokke. Hver mappe, hvert emne og hver vedhæftning er en node, der peger på blokke.
LTP-laget (lists, tables, properties): Strukturer oven på noderne, der gemmer egenskaber og tabeller, fx mappens indholdstabel og et emnes egenskaber.
Messaging-laget: Den logiske visning af mapper, mails, kontakter, kalenderemner og vedhæftninger med deres MAPI-egenskaber.

Der findes to varianter: det ældre ANSI-format med en størrelsesgrænse på omkring 2 GB og det nyere Unicode-format med 64-bit adresser. Ældre arkiver fra før midten af 2000’erne kan stadig være i ANSI-format, og nogle værktøjer håndterer de to forskelligt.

Indholdet er som standard kodet med en simpel permutation, som Microsoft kalder komprimerbar kryptering. Den beskytter ikke mod læsning, men betyder, at tekst ikke står i klar tekst i filen. Søgning direkte i en rå PST-fil efter ord giver derfor ofte ingen hits, selv om ordet findes. Brug værktøjer, der forstår formatet.

Slettede emner

Sletning i Outlook sker i to trin. Først flyttes emnet til mappen Slettet post, hvor det stadig er et almindeligt emne. Tømmes mappen, eller slettes emnet permanent, fjernes noden fra B-træet, og blokkene markeres som ledige. Selve dataene overskrives ikke straks. De kan blive liggende, indtil Outlook genbruger pladsen eller komprimerer filen.

Det giver tre muligheder for gendannelse:

Forældreløse noder, der stadig er intakte, men ikke længere refereres fra en mappe. Nogle værktøjer kan finde og rekonstruere dem.
Ledige blokke med rester af emner, som kan læses som fragmenter.
Carving efter kendte strukturer i hele filen eller i diskens ledige plads, hvis PST-filen selv er slettet.

Resultatet varierer fra komplette mails med alle egenskaber til brudstykker uden afsender eller tidspunkt. Rapporten skal skelne tydeligt mellem et gendannet emne med intakte egenskaber og et fragment, hvor dele er rekonstrueret. For postkasser i Microsoft 365 findes en anden og ofte bedre vej via serverens gendannelsesmapper; se Exchange Online: Recoverable Items.

Sikring

Kopiér, før Outlook åbner filen. Outlook skriver til PST- og OST-filer ved åbning, også uden at brugeren gør noget. Hashværdien ændres, og ledig plads kan blive genbrugt.
Luk Outlook, eller sikr fra en forensisk kopi af disken. En åben fil er låst og kan være i en inkonsistent tilstand. En kopi taget, mens Outlook kører, kan være ufuldstændig.
Sikr hele filen, ikke en eksport af udvalgte mapper. Eksporten tager kun de logiske emner og mister den ledige plads med slettede rester.
Tag filsystemets metadata med: sti, størrelse og tidsstempler, så det kan vises, hvor filen lå, og hvornår den sidst blev ændret.
Beregn hashværdien straks efter kopieringen; se Hashalgoritmer i forensic.
For OST-filer: Sikr samtidig postkassen på serveren. OST-filen er en kopi, og forskelle mellem de to kan være vigtige.

Skal kun bestemte filer eller postkasser indsamles, er fremgangsmåden beskrevet i Målrettet indsamling.

Korruption og reparation

PST-filer bliver beskadiget, fx efter et nedbrud under skrivning, ved lagring på netværksdrev eller når ANSI-filer nærmer sig størrelsesgrænsen. Outlooks indbyggede reparationsværktøj gennemgår B-træerne, fjerner det, det ikke kan læse, og genopbygger strukturerne. Det ændrer filen, kan kassere emner og kan overskrive netop de ledige blokke, hvor slettede rester ligger.

Reparation skal derfor altid ske på en arbejdskopi, aldrig på den sikrede fil, og værktøjets log skal gemmes. Forensiske værktøjer, der læser formatet direkte, kan ofte udtrække mere fra en beskadiget fil end en reparation, fordi de ikke forsøger at gøre filen gyldig for Outlook. Prøv derfor først direkte læsning, og dokumentér, hvad der ikke kunne læses.

Adgangskode på en PST-fil

En PST-fil kan have en adgangskode, der kræves, når filen åbnes i Outlook. Den beskytter ikke indholdet kryptografisk. Ved et beskyttet arkiv i en civil sag går den lovlige vej via indehaveren af filen eller organisationen, der ejer den, og forhold omkring adgang skal dokumenteres. De generelle principper er beskrevet i Krypterede data i en undersøgelse.

Analyse

MAPI-egenskaber for hvert emne, fx tidspunkt for afsendelse, modtagelse, oprettelse og sidste ændring, samt intern Message-ID og samtaleindeks.
Mappestruktur, der viser, hvor emnet lå, og om det er flyttet.
Vedhæftninger med navn, størrelse og indhold, som kan hashes og sammenlignes med filer andre steder.
Internettets headere, som gemmes som en egenskab for modtagne mails.

Sidste ændringstid på et emne kan være relevant, hvis der er spørgsmål om efterfølgende redigering; se Redigerede mails. Når enkelte emner skal ud af PST-filen som bilag, er valg af format afgørende; se Mailformater i forensics.

Spor uden for selve datafilen

PST- og OST-filen er ikke det eneste sted, Outlook efterlader spor. Vedhæftninger, som brugeren har åbnet, kopieres til en midlertidig mappe i brugerprofilen, i klassisk Outlook typisk under INetCache\Content.Outlook, medmindre registreringsværdien OutlookSecureTempFolder peger et andet sted hen. Kopierne kan blive liggende, også efter mailen er slettet. Windows-søgeindekset kan indeholde tekst fra mails, der ikke længere findes i datafilen. Og filsystemet kan rumme ældre kopier af selve PST-filen i skyggekopier, backup eller som slettede filer i ledig plads. Disse kilder er særligt nyttige, når datafilen er komprimeret, slettet eller erstattet. En ældre version af PST-filen fra en skyggekopi kan indeholde emner, der siden er slettet, og sammenligningen mellem de to versioner kan vise, hvornår de forsvandt. Notér altid, fra hvilken kilde hver version stammer, og behandl dem som selvstændige eksemplarer med egne hashværdier.

Dokumentation

Notér filens oprindelige placering, format (ANSI eller Unicode), størrelse, hashværdi, sikringsmetode og værktøj med version. Angiv, om analysen omfatter ledig plads og gendannede emner, og hvilke dele af filen der ikke kunne læses. Er der brugt reparation, skal det fremgå, at den er udført på en kopi, og hvad den ændrede.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: E-mail forensics

Læs også: Analyse af mail-headere, SPF, DKIM og DMARC · Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer

→ E-mail forensics · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik