Sikring før en tenant lukkes

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Når en virksomhed ophører, går konkurs eller bliver opkøbt og flyttet ind i køberens miljø, lukkes den gamle cloud-tenant før eller siden. Med den forsvinder ikke kun postkasser og filer, men også auditlog, loginlog, versionshistorik og de opbevaringspolitikker, der holdt slettede data tilbage. Logs og metadata skal derfor sikres først, og intet abonnement eller nogen konto må slettes, før sikringen er dokumenteret. Artiklen er skrevet til kuratorer, IT-afdelinger og MSP’er, der står med en tenant, der skal lukkes.

Den praktiske overtagelse af administratoradgang, domæner og licenser i et konkursbo er beskrevet i konkursboets IT. Her er fokus på, hvad der forsvinder hvornår, og hvordan sikringen planlægges ud fra det.

Tre situationer, samme risiko

• Konkurs og rekonstruktion. Licenserne betales ikke, og abonnementet løber ud af sig selv. Ingen sletter aktivt, men tiden gør det.
• Opkøb og fusion. Data migreres til køberens tenant, og den gamle lukkes bagefter. Migreringen flytter indhold, men ikke nødvendigvis metadata og logs.
• Ophør og frasalg. En afdeling eller et datterselskab skilles ud, og konti slettes eller flyttes. Her er risikoen, at sletning sker hurtigt og målrettet.

I alle tre situationer kan der opstå tvister bagefter: om data blev fjernet før konkursen, om en sælger tilbageholdt oplysninger, eller om en medarbejder tog data med ved migreringen. Svarene ligger i de spor, der forsvinder først.

Microsoft 365: abonnementets faser

Microsoft beskriver et abonnements livscyklus som aktiv, udløbet, deaktiveret og slettet. For de fleste tilbud er perioderne 30 dage udløbet, hvor brugerne stadig har adgang, og 90 dage deaktiveret, hvor kun administratorer har adgang til data. Derefter slettes data, og Entra ID-kataloget fjernes, hvis det ikke bruges af andre tjenester. Der er vigtige undtagelser på tidspunktet for gennemgangen (oktober 2026):

• Licensbaserede abonnementer købt direkte under en Microsoft Customer Agreement springer ifølge Microsoft den udløbne fase over fra februar 2026.
• Opsiges et abonnement inden for fortrydelsesvinduet, går det direkte til deaktiveret.
• Slettes et abonnement eksplicit, springes begge faser over, og SharePoint- og OneDrive-indhold slettes med det samme.
• Køb via forhandler, Enterprise Agreement eller volumenlicens kan have andre frister, som afhænger af den konkrete aftale.

Det betyder, at nogen med administratoradgang kan fremskynde sletningen betydeligt. Den første tekniske handling er derfor at sikre, at ingen kan slette abonnementer eller tenanten, før sikringen er færdig.

Google Workspace

Opsiges et Google Workspace-abonnement, slettes brugernes Workspace-data ifølge Google og kan ikke gendannes. Brugerkonti, grupper og organisationsstruktur slettes dog ikke, medmindre organisationens Google-konto også slettes. Data i tredjepartsapps slettes ikke automatisk og skal håndteres for sig. Eksport skal ske, før abonnementet opsiges, ikke bagefter. Forskellen mellem Takeout-lignende eksport og Vault-eksport er beskrevet i Google Takeout eller Vault-eksport.

Det, der forsvinder først

Rækkefølgen af sikringen bør følge rækkefølgen af tab, ikke rækkefølgen af vigtighed:

1. Auditlog og loginlog. De har en fast opbevaringsperiode, der løber uanset abonnementets status, og de flyttes ikke med ved en migrering. De viser, hvem der slettede, eksporterede og ændrede i perioden op til lukningen.
2. Konti, der allerede er slettet. Slettede brugere ligger kun en begrænset periode i papirkurven i Entra ID, og deres postkasse og OneDrive følger med, når de endeligt fjernes.
3. Hold og opbevaringspolitikker. De holder slettede data tilbage, men kun så længe tenanten findes. Dokumentér dem, inden noget ændres; se Purview-opbevaringspolitikker.
4. Postkasser, OneDrive, SharePoint og Teams. Eksportér med eDiscovery, så metadata bevares; se Microsoft Purview eDiscovery.
5. Konfiguration. Regler for videresendelse, apps med samtykke, betinget adgang, delte postkasser og delegeringer. De forklarer senere, hvordan data kunne flyde ud.

Hvilke logs der konkret skal med, og hvordan de eksporteres, står i tjekliste til Microsoft 365-logs.

Ved opkøb: migrering er ikke sikring

Migreringsværktøjer er bygget til at flytte indhold, så brugerne kan arbejde videre. De er ikke bygget til at bevare spor. Typisk mister man helt eller delvist:

• Auditlog og loginlog fra den gamle tenant.
• Oprindelige oprettelses- og ændringstider på filer, afhængigt af værktøj og metode.
• Versionshistorik ud over den seneste version eller et begrænset antal.
• Teams-chats i deres oprindelige struktur.
• Relationen mellem gamle og nye konti, hvis brugernavne ændres.

Sikr derfor den gamle tenant forensisk, før eller parallelt med migreringen, og lad den gamle tenant ligge i deaktiveret tilstand, indtil sikringen er verificeret. Hvis der er en tvist mellem køber og sælger om, hvad der blev overdraget, er det netop den gamle tenants logs, der viser det.

Tredjepartsbackup

Mange virksomheder har en backup af Microsoft 365 eller Google Workspace hos en tredjepart. Backuppen kan være den eneste kilde til data, der allerede er slettet i tenanten. Men backupabonnementet ophører typisk sammen med alt andet ved en konkurs, og backup indeholder sjældent auditlogs. Afklar hurtigt, hvem der ejer backupkontoen, og eksportér med metadata. Hvordan sådan en backup vurderes som kilde, står i tredjepartsbackup af Microsoft 365.

Det, der ikke ligger i tenanten

En tenant er sjældent hele billedet. Bærbare computere og telefoner kan indeholde lokale kopier, synkroniserede mapper og cachede postkasser, som ikke findes i skyen længere. Apps, der er registreret i Entra ID, kan pege på data hos tredjeparter, fx CRM, regnskab og fildeling, som har deres egne konti og egne lukkefrister. Lav en liste over de tjenester, der bruger tenantens login, før den lukkes. Når tenanten forsvinder, forsvinder også muligheden for at logge ind i disse tjenester med firmakontiene, og så kan det være svært at nå deres data og logs bagefter.

Tidsplan

En realistisk tidsplan for en lille til mellemstor tenant kunne se sådan ud:

• Dag 1. Egen administratoradgang, dokumentation af roller og abonnementer, eksport af auditlog og loginlog, kontrol af at ingen sletning er sat i gang.
• De følgende dage. Hold på relevante postkasser og websteder, eDiscovery-eksport, dokumentation af konfiguration.
• Før abonnementet går i deaktiveret tilstand. Verifikation af eksporterne mod kilden (antal elementer, størrelse, stikprøver) og hashmanifest.
• Først derefter. Beslutning om forlængelse, migrering eller lukning.

Store eksporter tager tid, og eksportfunktionerne har grænser for størrelse og samtidighed. Begynd tidligt, og forlæng hellere licenserne en måned end at nå fristen med en halv eksport.

Dokumentation

For hver eksport noteres tidspunkt, kilde, søgning eller filter, den konto, der udførte den, antal elementer og hashværdi. Gem et skærmbillede af abonnementernes status og udløbsdatoer på sikringstidspunktet, så det senere kan vises, hvor tæt på sletning data var. Beviskopierne opbevares uden for den tenant, de kommer fra, og det aftales fra start, hvem der ejer dem, og hvad der sker med dem, når sagen er afsluttet.

Hvor flere selskaber deler tenant, og kun ét af dem lukkes, gælder særlige afgrænsningsspørgsmål; den juridiske side er beskrevet på digital-bevissikring.dk.

Kilder og versioner

• Microsoft Learn: What happens to my data and access when my Microsoft 365 for business subscription ends?
• Microsoft Learn: Delete a Microsoft Entra tenant
• Google Workspace: Cancel Google Workspace

Senest gennemgået: oktober 2026.

Næste skridt

• Sikker sletning af beviskopier, og hvordan sletningen dokumenteres
• Vi har allerede rørt maskinen: hvad der stadig kan reddes
• Adgang for en ekstern sagkyndig: roller i Entra ID, Purview, Google og AD

Del af: Sikring: metoderne samlet

Læs også: Fælles sikring med modpartens sagkyndige: protokol · E01-image: montering og verifikation

→ Forensisk sikring · For kuratorer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT