Slettede og redigerede Teams‑beskeder: hvad Purview kan finde

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

En slettet eller redigeret Teams-besked kan som regel kun findes igen, hvis der var et hold eller en opbevaringspolitik på plads, da beskeden blev ændret. I så fald bevarer Microsoft den oprindelige tekst i en skjult mappe i postkassen, hvor Purview eDiscovery kan søge den frem. Uden bevaring forsvinder den oprindelige tekst efter kort tid, og det eneste spor er typisk en hændelse i auditloggen om, at beskeden blev redigeret eller slettet. Tidspunktet for bevaringen i forhold til ændringen er derfor afgørende.

Hvor Teams-beskeder ligger, og hvordan de eksporteres generelt, er gennemgået i Teams teknisk: hvor chats, filer og optagelser gemmes. Her ser vi på det, der er slettet eller ændret.

Hvad der sker, når en bruger sletter eller redigerer

Når en bruger redigerer en besked, opdateres beskeden i chattjenesten, og modtagerne ser den nye tekst med en markering af, at den er redigeret. Compliance-kopien i postkassen opdateres tilsvarende. Når en bruger sletter en besked, vises den som slettet i klienten, og brugeren kan i en periode fortryde sletningen. Microsoft angiver ikke en fast frist for fortrydelsen i den tekniske dokumentation, men oplyser, at en slettet besked under opbevaring først flyttes til SubstrateHolds efter 21 dage.

Hvad der sker med den oprindelige tekst, afhænger af bevaring:

Ingen hold og ingen opbevaringspolitik · Forsvinder; kun den aktuelle tilstand findes
Opbevaringspolitik, der bevarer Teams-beskeder · Bevares i den skjulte mappe SubstrateHolds under Recoverable Items
eDiscovery-hold eller litigation hold på postkassen · Bevares i Recoverable Items, så længe holdet gælder
Politik, der kun sletter · Beskeden fjernes efter politikkens periode

SubstrateHolds er den mappe, hvor Teams-indhold under bevaring opbevares. Hver redigering kan efterlade en version af beskeden der, så rækkefølgen af ændringer kan rekonstrueres. Ifølge Microsoft kopieres den oprindelige besked dertil ved redigering og flyttes dertil ved sletning, når en opbevaringspolitik gælder. Den ligger der mindst én dag og fjernes derefter af en baggrundsproces, typisk inden for 1-7 dage, medmindre et hold eller en anden politik bevarer den. Strukturen af Recoverable Items i øvrigt er gennemgået i Exchange Online: Recoverable Items.

Hvad Purview kan finde

Med en eDiscovery-sag og de rette roller kan Purview søge i Teams-indhold i deltagernes postkasser og i gruppepostkasser, herunder bevarede versioner i SubstrateHolds. I praksis betyder det:

Slettede beskeder under bevaring kan findes som elementer, selvom de ikke vises i klienten.
Tidligere versioner af redigerede beskeder kan findes som selvstændige elementer, der skal kobles til den aktuelle besked via samtale og tidspunkt.
Beskeder fra slettede brugere kan findes, hvis postkassen er inaktiv på grund af hold eller politik.

Om de bevarede elementer indgår i en almindelig søgning, eller om de skal medtages særskilt, afhænger af værktøjets udgave og indstillinger. Test søgningen på en kendt redigeret besked, før den bruges til sagen. Microsoft oplyser, at beskeder i SubstrateHolds kan søges med eDiscovery-værktøjerne, indtil de slettes endeligt. Fremgangsmåden for hold og søgning er beskrevet i Microsoft Purview eDiscovery.

Tidsgrænserne

Tre tidsforhold styrer, hvad der kan findes:

Bevaringens starttidspunkt. Et hold eller en politik bevarer det, der ændres efter, at bevaringen er trådt i kraft. Ændringer før det kommer ikke tilbage.
Udrulningstid. Opbevaringspolitikker og hold skal fordeles til placeringerne, og det kan tage tid. Notér både oprettelsestidspunkt og tidspunktet, hvor status viser, at bevaringen er aktiv.
Oprydningsforsinkelse. Når en politik sletter Teams-indhold, sker det ved en baggrundsproces. Beskeder kan derfor være synlige i nogen tid efter, at perioden er udløbet, og forsvinde uden yderligere handling.

Samspillet mellem politikker, etiketter og hold er gennemgået i Purview-opbevaringspolitikker og etiketter.

Auditloggen som supplement

Auditloggen kan registrere, at en besked er redigeret eller slettet, med konto, tidspunkt og samtale-id. Den indeholder normalt ikke beskedens tekst. Hændelser som MessageUpdated og MessageDeleted står i Microsofts liste over revisionsaktiviteter, men hvilke der logges som standard, og hvilke der kræver udvidet revision, afhænger af licens og ændrer sig, så det kontrolleres for tenanten. Selv uden bevaret tekst kan loggen derfor vise, at der er slettet noget, hvornår og af hvem. Det kan være relevant i sig selv, fx hvis sletningen skete efter en anmodning om bevarelse. Se Unified Audit Log i Microsoft 365.

Sådan sikres slettede og redigerede beskeder

Sæt hold med det samme på postkasser og gruppepostkasser for alle relevante deltagere, og kontrollér, at holdet er aktivt.
Dokumentér gældende opbevaringspolitikker for Teams på sikringstidspunktet, herunder om nogen af dem sletter.
Eksportér auditloggen for rediger- og slethændelser i perioden.
Søg bredt i samtalerne for perioden, og medtag bevarede elementer.
Rekonstruér versioner ved at koble bevarede elementer til den aktuelle besked, og dokumentér koblingen.
Hash eksporten, og gem søgestatistikken.

Hvis bevaringen kom for sent

Var der hverken hold eller opbevaringspolitik, da beskederne blev ændret, er der stadig spor at undersøge, men forventningerne skal afstemmes:

Andre deltageres kopier. En besked, som én deltager har slettet i en gruppechat, er stadig slettet for alle. Men en besked, der er videresendt, citeret eller kopieret ind i en anden samtale eller en mail, kan findes dér.
Notifikationer og mail. Brugere, der har været offline, kan have fået en mailnotifikation om ulæste beskeder med uddrag af teksten. Søg efter disse i modtagernes postkasser.
Skærmbilleder og noter fra deltagere kan vise den oprindelige tekst. De har lavere bevisværdi, fordi metadata mangler, men de kan sammenholdes med auditloggens tidspunkter.
Auditloggen viser stadig, at der blev slettet eller redigeret, og hvornår.

Beskriv i rapporten, at bevaringen ikke var på plads, hvornår den blev sat, og hvad det betyder for, hvad der kunne findes. Et ærligt hul er bedre end en konklusion, der hviler på manglende data.

Fejlkilder i fortolkningen

Fortrydelse af sletning kan give en slethændelse for en besked, der stadig findes.
Systembeskeder, fx om medlemmer, der tilføjes eller forlader en chat, kan ligne brugerindhold i eksporten.
Tidsstempler for bevarede versioner kan være tidspunktet for bevaringen, ikke for den oprindelige afsendelse. Brug beskedens egne tidsfelter.
Kun én deltagers kopi viser ikke nødvendigvis hele samtalen. Krydstjek med andre deltageres postkasser.
Eksterne deltageres beskeder i en føderation ligger i jeres kopier, men deres sletning registreres hos den anden organisation.

Lokale spor

Har Purview intet bevaret, kan Teams-klientens cache på en computer i enkelte tilfælde indeholde tidligere tekst. Det er en usikker og ufuldstændig kilde, som kræver en forensisk kopi af enheden og forsigtig fortolkning. Den kan ikke erstatte en bevaring i tenanten. Se Electron-apps lokalt.

Hvad det kan og ikke kan bevise

Et bevaret element kan vise, at en besked havde et bestemt indhold på et bestemt tidspunkt, og at den senere blev ændret eller slettet. Auditloggen kan vise, hvilken konto der foretog ændringen. Ingen af dem viser motivet. Manglende bevarede versioner beviser ikke, at der ikke er slettet noget, hvis bevaringen ikke var på plads.

Når en sletning sker efter en anmodning om bevarelse, kan tidspunktet være det centrale. Her er auditloggens tidsstempel sammenholdt med tidspunktet for anmodningen ofte vigtigere end selve indholdet, og begge tidspunkter bør derfor dokumenteres med kilde og tidszone.

Dokumentation til rapporten

Angiv holdenes og politikkernes oprettelses- og aktiveringstidspunkter, søgninger med statistik, hvordan bevarede elementer er identificeret og koblet til aktuelle beskeder, revisionshændelser med UTC-tider og hashværdier. Den praktiske vejledning for ikke-teknikere findes på hubben: Sådan gemmer du en Teams-chat.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Teams teknisk: hvor chats, filer og optagelser gemmes, og hvordan de eksporteres · Purview-opbevaringspolitikker og etiketter: hvad er slettet, og hvad er bevaret

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik