Purview‑opbevaringspolitikker og etiketter: hvad er slettet, og hvad er bevaret

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Om en slettet mail, fil eller Teams-besked stadig findes i Microsoft 365, afgøres af samspillet mellem opbevaringspolitikker, opbevaringsetiketter og hold. Hovedreglen er, at bevaring vinder over sletning: Er et element omfattet af blot én regel, der bevarer det, bliver det ikke slettet endeligt, selvom brugeren sletter det, og selvom en anden politik ville slette det. Omvendt kan en politik, der sletter, fjerne indhold automatisk og uden spor i brugerens visning, hvis intet bevarer det. For en IT-sagkyndig betyder det, at konfigurationen på et bestemt tidspunkt er en del af forklaringen på, hvad der findes.

Den ledelsesmæssige side af at sætte et hold står på bevissikring-digitalt.dk: Litigation hold i Microsoft 365. Her ser vi på mekanikken. Hvordan tidligere versioner og papirkurve hentes frem på tværs af tjenester, står i Tidligere versioner i cloud.

Byggestenene

Opbevaringspolitik · Gælder for hele placeringer: postkasser, websteder, OneDrive, Teams
Opbevaringsetiket · Gælder for enkelte elementer og kan sættes af brugere eller automatisk
eDiscovery-hold · Bevarer indhold i en sag, eventuelt afgrænset med en forespørgsel
Litigation hold · Bevarer hele postkassen
Ældre opbevaringsmærker i Exchange · Postkassens egne regler for flytning og sletning

En politik eller etiket kan bevare, slette eller bevare og derefter slette. Etiketter kan desuden markere et element som en post (record), så det ikke kan ændres eller slettes af brugeren, og de kan sende elementer til gennemgang, før de slettes.

Reglerne for konflikter

Når flere regler rammer samme element, gælder Microsofts principper for opbevaring i denne rækkefølge:

Bevaring vinder over sletning. Et element, der skal bevares af én regel, slettes ikke endeligt af en anden.
Den længste bevaringsperiode vinder.
Eksplicit vinder over implicit. En etiket på elementet går forud for en politik på placeringen, når det gælder sletning.
Den korteste sletteperiode vinder blandt politikker af samme type.

Hold går forud for alle sletteregler; Microsoft beskriver eDiscovery-hold som omfattet af det første princip. Undtagelsen er den særlige funktion til prioriteret oprydning, som kan fremskynde sletning i ekstraordinære tilfælde, og som derfor bør kontrolleres i tenanten. Reglerne forklarer, hvorfor indhold, som brugeren har slettet, stadig kan findes, og hvorfor indhold, som ingen har rørt, kan være væk.

Hvor det bevarede ligger

Bevaret indhold ligger ikke dér, hvor brugeren ser det:

Exchange: i mappen Recoverable Items, herunder undermapper for elementer, der er slettet eller ændret under bevaring. Se Exchange Online: Recoverable Items.
Teams: i undermappen SubstrateHolds i den relevante postkasse. Se Slettede og redigerede Teams-beskeder.
SharePoint og OneDrive: i bevaringsbiblioteket (Preservation Hold Library) på webstedet, som oprettes første gang, et bevaret element ændres eller slettes.

Bevaret indhold findes med eDiscovery, ikke ved at kigge i brugerens postkasse eller drev. En gennemgang af en brugers synlige indhold kan derfor give et forkert billede af, hvad der er bevaret.

Tid og forsinkelse

Politikker og hold træder ikke i kraft i det øjeblik, de oprettes. De skal fordeles til placeringerne, og det kan tage op til flere dage; Microsoft anbefaler at regne med op til syv dage, og fordelingsstatus kan ses på politikken. Sletning efter en politik udføres af baggrundsprocesser, som kører med mellemrum. Et element kan derfor ligge længere end politikkens periode, og det kan forsvinde uden en handling fra nogen bruger.

Når en politik eller et hold fjernes, slettes det bevarede ikke nødvendigvis med det samme. Der kan gælde en afviklingsperiode, hvor indholdet stadig kan findes. Microsoft angiver på tidspunktet for gennemgangen (oktober 2026) 30 dage: For postkasser sættes et forsinkelseshold (delay hold), og for SharePoint og OneDrive gælder en tilsvarende henstandsperiode i bevaringsbiblioteket. Undtaget er bl.a. placeringer, der udelukkes fra en politik, hvor oprydningen kan ske uden forsinkelse. Det kan være relevant, hvis en politik er fjernet kort før en sag opstod.

Er konfigurationen ændret?

Oprettelse, ændring og sletning af politikker, etiketter og hold registreres i auditloggen som administrative hændelser. Det gør det muligt at vise, hvilke regler der gjaldt i en bestemt periode, og om nogen har ændret dem. Det er særligt vigtigt, hvis en administrator er part i sagen, eller hvis en sletning er sket kort efter, at en tvist kunne forudses. Se Unified Audit Log i Microsoft 365.

Politikker kan desuden låses (Preservation Lock), så ingen administrator kan svække dem. En låst politik er et stærkt argument for, at bevaringen har været intakt. Notér derfor for hver politik, om den er låst, og fra hvornår. En ulåst politik er ikke mistænkelig i sig selv, men den kræver, at de administrative hændelser gennemgås for hele perioden.

Sådan dokumenteres opbevaringen

Eksportér alle opbevaringspolitikker med placeringer, undtagelser, handling og periode, fx via PowerShell-modulet til Security & Compliance.
Eksportér etiketter og deres indstillinger, herunder om de markerer poster.
List alle hold i eDiscovery-sager og litigation hold på postkasser med tidspunkter.
Eksportér administrative hændelser for politikker og hold i den relevante periode.
Notér status for fordeling for hver politik og hvert hold på sikringstidspunktet.
Hash eksportfilerne, og gem dem sammen med sagens øvrige materiale.

Typiske spørgsmål, og hvordan de besvares

Kan en mail, som brugeren slettede for et år siden, stadig findes? Kun hvis en bevarende regel dækkede postkassen på sletningstidspunktet og stadig gør det, eller hvis perioden for den bevarende regel endnu ikke er udløbet. Find de politikker og hold, der dækkede postkassen på det tidspunkt, og læs deres periode og handling.

Hvorfor mangler Teams-beskeder fra en bestemt periode? Undersøg, om en politik med sletning dækker Teams-chats, og hvor lang perioden er. Korte perioder for chats er udbredt af hensyn til persondata. Sammenhold med auditloggen for at skelne mellem politiksletning og brugersletning.

Er der fjernet noget med vilje? Gennemgå administrative hændelser for politikker, etiketter og hold. En ændring af omfang eller periode kort før en sletning er et forhold, der skal beskrives, men ikke i sig selv et bevis for hensigt.

Hvorfor findes en fil i bevaringsbiblioteket, men ikke i biblioteket? Filen er slettet eller ændret, mens bevaring gjaldt. Bevaringsbibliotekets kopi har sit eget tidspunkt, som skal holdes adskilt fra filens oprindelige tidsstempler.

Fejlkilder i fortolkningen

Undtagelser: En politik kan omfatte alle postkasser undtagen nogle. Undtagelsen kan være netop den relevante person.
Adaptive omfang: Politikker kan gælde for brugere med bestemte egenskaber, fx afdeling. Ændres egenskaben, ændres dækningen.
Etiketter på enkeltelementer kan give kortere eller længere levetid end placeringens politik.
Inaktive postkasser findes kun, hvis bevaring var på plads, før brugeren blev slettet.
Ældre Exchange-regler kan flytte eller slette mails efter egne principper og skal medtages i beskrivelsen.

Hvad konfigurationen kan og ikke kan bevise

Konfigurationen kan forklare, hvorfor bestemt indhold findes eller mangler, og den kan vise, om bevaring var på plads i en periode. Den kan ikke i sig selv vise, at et bestemt element har eksisteret. Og en sletning efter en politik er ikke det samme som en bevidst sletning af en person, selvom resultatet er det samme. Bevarelsespligten set fra den juridiske side er beskrevet i Bevarelsespligt og litigation hold.

Dokumentation til rapporten

Angiv politikker, etiketter og hold med placeringer, undtagelser, perioder og tidspunkter for oprettelse, fordeling og ændring. Beskriv, hvilke principper der afgør resultatet for de centrale elementer, og henvis til de administrative hændelser i auditloggen. Fremgangsmåden for selve søgningen står i Microsoft Purview eDiscovery.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Slettede og redigerede Teams-beskeder: hvad Purview kan finde · Message trace, indholdssøgning eller auditlog: hvilket værktøj til hvilket spørgsmål

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik