Redigerede mails: tegn på efterfølgende ændring i postkasse eller PST

Forside › E-mail forensics · Gennemgået oktober 2026 · Af John Nielsen

En mail kan ændres, efter den er sendt eller modtaget. Outlook tillader redigering af en modtaget mails tekst, en EML-fil er en tekstfil, og specialværktøjer kan ændre egenskaber i en postkasse eller en PST-fil. Ændringen efterlader dog ofte spor: en ændringstid efter leveringen, uoverensstemmelser mellem brødtekstens varianter, headere der ikke passer med det viste indhold, eller en tidligere version, som systemet har gemt. Det sikreste svar fås ved at sammenligne den omstridte mail med eksemplarer, som den person, der kunne have ændret den, ikke har kontrol over: serverens kopi, modtagerens kopi eller en ældre backup.

Den samlede metode til at vurdere ægthed er beskrevet i Er mailen ægte?. Her går vi i dybden med tegnene på redigering. Overblikket over mailundersøgelser står i E-mail forensics.

Hvor en mail kan ændres

I mailklienten. Klassisk Outlook har en funktion til at redigere en modtaget mail. Ændringen gemmes i postkassen, og mailen ser bagefter ud som modtaget med den nye tekst.
I en eksporteret fil. En EML-fil kan redigeres i en teksteditor. En MSG-fil kan ændres med værktøjer, der læser og skriver formatet.
I en PST-fil. Emner kan ændres med Outlook eller værktøjer, der arbejder direkte med formatet.
Ved import. En mail kan fremstilles som fil og importeres i en postkasse, hvor den lægges i en vilkårlig mappe.
I bilaget. Det enkleste: Den mail, der fremlægges som PDF eller udskrift, er ændret, mens postkassens eksemplar er uændret.

Det sidste er det hyppigste problem i praksis, og det opdages ved simpelthen at sammenligne bilaget med en sikret kopi.

Tegn i postkassens egenskaber

Postkassesystemet registrerer for hvert emne blandt andet oprettelsestid, leveringstid og sidste ændringstid. Ved en modtaget mail, der ikke er rørt, ligger de tæt på hinanden. En ændringstid længe efter leveringen viser, at emnet er ændret, men ikke hvordan. Mange harmløse handlinger opdaterer ændringstiden:

markering som læst eller ulæst,
opfølgningsflag og kategorier,
flytning til en anden mappe i nogle systemer,
synkronisering mellem klienter og ændringer af interne egenskaber.

Ændringstiden er derfor et spørgsmål, ikke en konklusion. Den skal sammenholdes med andre spor, fx auditloggen. I Exchange Online registrerer handlingen Update ændringer af et emne eller dets egenskaber, og den er som standard med for ejer, stedfortræder og administrator, medmindre organisationen har tilpasset opsætningen. Om den konkrete postkasse fulgte standarden, kan aflæses i dens auditindstillinger. Hvem der i øvrigt har adgang til postkassen, viser Adgang til andres postkasser. Om postkassens auditlog, se MailItemsAccessed og mailbox-auditlog.

Tegn i selve mailen

Transportheadere og viste felter

En modtaget mail gemmer de oprindelige internetheadere som én samlet tekstværdi. Den viste emnelinje, dato og afsender ligger i separate egenskaber. Hvis emnet i transportheaderne afviger fra den viste emnelinje, eller datoen i Date-headeren ikke passer med leveringstiden, er felterne ikke ændret samtidig. Det er et stærkt tegn, fordi transportheaderne sjældent opdateres ved redigering i klienten.

Brødtekstens varianter

En mail har ofte flere udgaver af brødteksten: ren tekst og HTML, og i Outlook eventuelt også RTF. Redigeres mailen, opdateres ikke nødvendigvis alle varianter ens. Forskelle mellem dem, fx et beløb, der er ét i HTML-udgaven og et andet i ren tekst, viser, at mindst én variant er ændret.

DKIM-signaturen

Hvis den rå mail med DKIM-signatur er bevaret, kan signaturen efterprøves. Brødtekstens hashværdi i signaturen svarer til teksten, som den blev sendt. Passer den ikke, er teksten ændret efter signeringen, eller kodningen er ændret af et filter eller en konvertering. Se Analyse af mail-headere. Det kræver et format, der bevarer den rå MIME-tekst; se Mailformater i forensics.

Tråden

Svar på en mail citerer ofte den oprindelige tekst. Hvis en senere mail i tråden, hos afsender eller modtager, citerer en anden tekst end den, der står i den omstridte mail, er det et tydeligt spor. Citatet kan dog også være redigeret af den, der svarede.

Tidligere versioner, som systemet har gemt

Exchange og Microsoft 365. Når en postkasse er omfattet af en bevaringspolitik eller et hold, gemmes den oprindelige version af et emne, før det ændres, i postkassens skjulte gendannelsesmapper. Det er ofte det stærkeste bevis i sådanne sager; se Exchange Online: Recoverable Items.
PST-filer. Når et emne ændres, kan den gamle version blive liggende i filens ledige blokke, indtil pladsen genbruges; se PST og OST.
Backup og arkiv. En backup eller et journalføringsarkiv fra før den påståede ændring indeholder den oprindelige version.

Uafhængige eksemplarer

Den mest overbevisende metode er sammenligning med eksemplarer uden for den mistænkte postkasse:

Afsenderens Sendt post · Afsenderen
Modtagerens indbakke · Modtageren
Medmodtagernes indbakker · Tredjemand
Journalføring og arkiv · Organisationen, ofte uden brugeradgang
Backup fra før tvisten · Organisationen eller leverandøren

Er alle eksemplarer ens på nær det omstridte, er konklusionen klar. Er der kun ét eksemplar, og det ligger hos den part, der har interesse i indholdet, bliver vurderingen svagere, og det skal fremgå.

Når mailen kun findes som PDF eller udskrift

I mange sager er den omstridte mail fremlagt som PDF eller udskrift, og det er uklart, om der overhovedet findes en elektronisk version. En PDF, der er dannet ved at udskrive fra mailklienten, indeholder kun det viste: afsendernavn, dato i klientens format, emne og tekst. Headere, Message-ID og egenskaber er væk. PDF-filen kan selv undersøges for metadata som producent og oprettelsestid, men den siger intet om, hvorvidt mailen var ændret, før den blev udskrevet.

Det rigtige skridt er derfor at bede om den elektroniske mail fra postkassen. Kan den fremskaffes, sammenlignes bilaget med den linje for linje. Findes den ikke, bør det undersøges, om andre eksemplarer kan findes hos modtager, medmodtagere eller i arkiv. Kan ingen elektronisk version fremskaffes, er den tekniske konklusion, at ægtheden ikke kan vurderes ud fra det foreliggende materiale. Det er et fuldt gyldigt fund, som bør stå tydeligt i rapporten.

Bemærk også visningen af datoer og navne. Mailklienter viser tidspunkter i den lokale tidszone på den maskine, der udskrev, og afsendernavnet kan være hentet fra modtagerens adressebog frem for fra mailen. Forskelle mellem bilag og elektronisk eksemplar kan derfor have en harmløs forklaring.

Sikring

Sikr den omstridte mail fra postkassen med alle egenskaber, ikke kun som bilag.
Sikr gendannelsesmapper og versioner, hvis der var hold eller bevaring.
Sikr transportspor for mailen, mens de stadig findes.
Indhent modpartens eller medmodtagernes eksemplar, hvis det er muligt.
Sikr auditloggen for postkassen i perioden.
Beregn hashværdier og notér kilde for hvert eksemplar.

Fortolkning

Tegn på ændring viser, at noget er ændret, ikke hvem der ændrede det eller hvorfor. Et filter, der omskriver links, en mobilklient, der genkoder teksten, eller en migrering mellem systemer kan alle give uoverensstemmelser uden nogen hensigt. Rapporten bør derfor beskrive hvert tegn, de mulige forklaringer og, hvor det er muligt, en sammenligning, der viser præcist hvad der er forskelligt. Svagest står en konklusion, der kun bygger på ændringstid. Stærkest står en, der viser to versioner af samme mail side om side, hvor den ene stammer fra en kilde uden for den omstridte postkasse.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: E-mail forensics

Læs også: Kompromitteret konto, spoofing eller lookalike-domæne? Sådan skelnes de · Fejlsendt mail og fejldeling: dokumentation af omfang

→ E-mail forensics · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik