Hvem ændrede filen? Versioner og delingslinks i SharePoint

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Versionshistorikken i SharePoint og OneDrive viser, hvordan en fil så ud på bestemte tidspunkter, og hvilken konto der gemte hver version. Delingsoplysningerne viser, hvem filen er gjort tilgængelig for, og med hvilken type link. Begge dele er stærke spor i sager om kontraktudkast, ændrede regneark og filer, der er delt ud af huset. For regneark specifikt, se Hvem ændrede tallet?. Men begge viser kun den aktuelle tilstand plus det, der endnu ikke er ryddet op, og begge påvirkes af sletning, gendannelse og opbevaringsregler.

Den grundlæggende gennemgang af, hvad der kan sikres i Microsofts fillagre, findes på hubben i Bevissikring af OneDrive, SharePoint og Teams. Her går vi i dybden med, hvordan versioner og delinger virker, og hvordan de dokumenteres. Metoden på tværs af cloudtjenester står i Tidligere versioner i cloud.

Sådan virker versionshistorikken

Et dokumentbibliotek i SharePoint, og dermed også OneDrive, gemmer en ny version, hver gang en fil gemmes. Hver version er en fuld kopi af filens indhold på det tidspunkt, med versionsnummer, tidspunkt, den konto der gemte, størrelse og en eventuel kommentar. Biblioteket kan være sat op med kun hovedversioner (1.0, 2.0) eller med både hoved- og delversioner (1.1, 1.2), hvor delversioner typisk kun ses af redaktører.

Antallet af versioner er begrænset. Biblioteker har en øvre grænse for antal hovedversioner, og Microsoft har indført mulighed for tidsbaseret eller automatisk oprydning, hvor ældre versioner fjernes efter regler, administratoren eller standarden fastsætter. Grænserne kan sættes for organisationen, for webstedet og for det enkelte bibliotek, og nye indstillinger gælder ikke altid allerede eksisterende biblioteker. Vigtigt for sikringen: Er en fil omfattet af en opbevaringspolitik eller et eDiscovery-hold, ignoreres versionsgrænserne ifølge Microsoft, så versionerne bevares. Notér altid bibliotekets versionsindstillinger på sikringstidspunktet, fordi de forklarer, hvorfor ældre versioner mangler.

Tre forhold er vigtige for fortolkningen:

Samtidig redigering og automatisk gem samler mange små ændringer i én version. En version svarer derfor ikke til én handling, og flere personers ændringer kan ligge i samme version, selvom kun én konto står som den, der gemte.
Gendannelse af en tidligere version sletter ikke de nyere. Den gamle version kopieres op som den nyeste, så historikken får en ny post. Det kan ligne en ændring, men er en gendannelse.
Feltet “Ændret af” viser den konto, der gemte, ikke nødvendigvis den, der skrev indholdet. Synkroniseringsklienten, flows og integrationer kan stå som forfatter.

Indholdet af hver version kan sammenlignes. Det giver et præcist billede af, hvad der blev ændret mellem to tidspunkter, men versionstidspunktet er tidspunktet for gem i tjenesten, ikke tidspunktet, hvor teksten blev skrevet lokalt. Ved offlineredigering kan der være timer imellem.

Sådan virker delingslinks

En fil eller mappe kan deles på flere måder, og typen afgør, hvad der kan siges om modtageren:

Alle med linket · Hvem kan åbne: Alle, der har adressen, uden login · Spor af modtageren: Kun IP-adresse og klient ved brug
Personer i organisationen · Hvem kan åbne: Alle konti i tenanten · Spor af modtageren: Den konto, der åbner
Bestemte personer · Hvem kan åbne: Navngivne interne eller eksterne adresser · Spor af modtageren: Gæstekonto eller bekræftelseskode
Direkte adgang · Hvem kan åbne: Tilføjet til rettighederne · Spor af modtageren: Kontoen

Hvilke typer der er tilladt, styres af administratoren på tenant- og webstedsniveau. Links kan have udløbsdato og kan være læse- eller redigeringslinks.

Den aktuelle tilstand ses i panelet for adgangsstyring på filen og i delingsrapporter for websteder og OneDrive. Rapporterne viser de links og rettigheder, der findes nu. Navne, placering og licenskrav for rapporterne skifter, så notér, hvilken rapport der er brugt, og hvornår den er trukket. Et link, der er fjernet, eller som er udløbet, optræder ikke længere. Historikken for oprettelse, brug og fjernelse findes kun i auditloggen, med hændelser som SharingSet, SharingInvitationCreated, AnonymousLinkCreated, AnonymousLinkUsed og SharingRevoked. Se Unified Audit Log i Microsoft 365 for loggens opbygning og opbevaring.

Hvad der forsvinder ved sletning

Når en fil slettes, flyttes den med alle versioner til webstedets papirkurv og derfra til den anden papirkurv for webstedssamlingen. Efter en samlet periode, som Microsoft på tidspunktet for gennemgangen (oktober 2026) angiver til 93 dage regnet fra den oprindelige sletning, slettes den endeligt. Perioden gælder både SharePoint og OneDrive, men et hold eller en opbevaringspolitik kan bevare en kopi længere. Gendannes filen inden da, kommer versionerne med tilbage.

Delingerne er mere skrøbelige. En slettet fil kan ikke åbnes via sine links, og ved gendannelse er det ikke sikkert, at alle links og rettigheder står som før. Dokumentér derfor delingstilstanden før enhver gendannelse.

Er webstedet eller OneDrive omfattet af en opbevaringspolitik eller et hold, bevares kopier af ændrede og slettede filer i bevaringsbiblioteket (Preservation Hold Library). Det er her, ældre indhold kan findes, selvom brugeren har slettet eller overskrevet det. Samspillet er gennemgået i Purview-opbevaringspolitikker og etiketter.

En fratrådt medarbejders OneDrive slettes efter en opbevaringsperiode, når kontoen slettes. Den organisatoriske side står på bevissikring-digitalt.dk: OneDrive hos en fratrådt medarbejder.

Sådan sikres versioner og delinger

Sæt hold på de relevante websteder og OneDrive-konti, før noget andet ændres.
Dokumentér bibliotekets indstillinger: versionering, grænser, godkendelse og tilladte linktyper.
Eksportér versionerne bevidst. En almindelig eDiscovery-eksport giver ofte kun den nyeste version. Ældre versioner skal medtages som en særskilt indstilling eller hentes via API. Se Microsoft Purview eDiscovery.
Gem versionslisten med nummer, tidspunkt, konto og størrelse for de centrale filer, gerne som eksport fra API frem for skærmbillede.
Gem delingstilstanden som rapport og som skærmbillede af adgangspanelet for de centrale filer.
Eksportér auditloggen for delingshændelser i perioden, før den udløber.
Beregn hashværdier for alle eksportfiler, og registrér dem i bevisloggen.

Undgå at åbne filerne i Office-klienten med en konto, der kan redigere. Automatisk gem kan oprette en ny version og ændre “senest ændret”.

Fejlkilder i fortolkningen

Filnavn og sti kan være ændret efter delingen. Auditloggen bruger stien på hændelsestidspunktet, og den skal kobles til filen via dens unikke id.
Et “alle med linket”-link kan være videresendt. Brug af linket viser en IP-adresse, ikke en person; se IP-adresser som bevis.
Arvede rettigheder: En fil kan være tilgængelig, fordi mappen eller webstedet er delt, uden at filen selv har en deling.
Versionernes metadata i en eksporteret fil afspejler dokumentets interne felter, ikke tjenestens versionsdata. Brug tjenestens versionsliste som primær kilde.
Tidszoner: Brugerfladen viser lokal tid, API og logs bruger UTC.
Flytning og kopiering: En fil, der er flyttet mellem biblioteker eller websteder, kan have mistet ældre versioner, og en kopi starter typisk med en ny historik. Kontrollér i auditloggen, om filen er flyttet eller kopieret, før manglende versioner tolkes som sletning. Microsoft angiver, at funktionen Kopiér til kun kopierer den seneste version.

Hvad sporene kan og ikke kan bevise

Versionshistorikken kan vise, at en bestemt tekst fandtes i filen på et bestemt tidspunkt, og at en bestemt konto gemte versionen. Den kan ikke alene vise, hvem der skrev hvad, hvis flere arbejdede samtidig. Delingssporene kan vise, at en fil blev gjort tilgængelig for en bestemt adresse eller via et åbent link. De viser ikke, hvad modtageren gjorde med filen efter download. Sager om kontraktudkast og ændrede versioner set fra den juridiske side er beskrevet i Versionshistorik i kontraktudkast.

Dokumentation til rapporten

Angiv biblioteker og filer med unikke id’er, versionsindstillinger på sikringstidspunktet, versionslister med UTC-tider, hvilke versioner der er eksporteret og hvordan, delingstilstanden med tidspunkt for udtræk, de delingshændelser fra auditloggen, der indgår, samt hashværdier. Skriv udtrykkeligt, hvilke versioner og links der ikke længere fandtes, og hvorfor det er sandsynligt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Adgang til andres postkasser: FullAccess, SendAs og delegering i auditloggen · Download og synkronisering i SharePoint og OneDrive: filaktivitet i auditloggen

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik