Teams teknisk: hvor chats, filer og optagelser gemmes, og hvordan de eksporteres

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Microsoft Teams er ikke ét lager, men en brugerflade oven på flere. Beskeder ligger i Teams’ egen chattjeneste, og Microsoft gemmer kopier til compliance i Exchange-postkasser. Filer ligger i OneDrive og SharePoint. Mødeoptagelser og transskriptioner ligger i OneDrive eller SharePoint afhængigt af mødetypen. En sikring af “Teams” kræver derfor, at alle placeringerne identificeres og medtages, og en eksport skal kunne vise, hvilken placering hvert element kommer fra.

Hvordan en bruger eller administrator i praksis gemmer en chat, er beskrevet på hubben i Sådan gemmer du en Teams-chat. Her går vi i dybden med den tekniske placering og eksporten. Slettede og redigerede beskeder står i Slettede Teams-beskeder: hvad Purview kan finde, gennemgangen i eDiscovery i Chatdata i eDiscovery og den lokale klient på computeren i Teams, Slack og Discord lokalt.

Hvor beskederne ligger

Teams-klienten henter beskeder fra Microsofts chattjeneste. Det er den, brugeren ser. Til brug for søgning, hold og eksport skriver Microsoft samtidig en kopi af hver besked som et skjult element i Exchange Online. Det er disse kopier, Purview arbejder med.

Chat mellem to eller flere personer · Hver deltagers postkasse i tenanten
Mødechat · Deltagernes postkasser, som en gruppechat
Standardkanal · Teamets gruppepostkasse
Delt kanal · Det overordnede teams gruppepostkasse
Privat kanal · Har skiftet over tid fra medlemmernes postkasser til en gruppepostkasse

For private kanaler har Microsoft fra slutningen af 2025 flyttet kopierne fra medlemmernes postkasser til en postkasse for kanalen, og under overgangen kan data ligge begge steder, så søg i begge. For delte kanaler søges via det overordnede teams postkasse. Kopierne ligger i en skjult mappe under samtalehistorikken og vises ikke i Outlook. De har egne elementklasser, så de kan adskilles fra almindelig mail i søgninger og eksporter.

To forhold er vigtige:

Eksterne deltagere: Ved chat med personer i en anden organisation gemmes kun kopier i de postkasser, der hører til jeres tenant. Den anden parts kopi ligger hos den anden organisation.
Gæster: En gæst i jeres tenant har typisk en skyggepostkasse, men placeringen og dækningen afhænger af opsætningen og skal kontrolleres.

Hvor filerne ligger

En fil, der deles i Teams, kopieres normalt ikke ind i beskeden. Beskeden indeholder et link til filen:

Filer i chats uploades til afsenderens OneDrive i en mappe til Teams-chatfiler og deles med deltagerne.
Filer i kanaler ligger i teamets SharePoint-websted i en mappe for kanalen. Private og delte kanaler har deres egne websteder.
Loop-komponenter og whiteboards er filer i OneDrive eller SharePoint, som kan ændres efter, at beskeden er sendt.

Det betyder, at en eksport af beskeden ikke automatisk viser filen, som den så ud, da den blev delt. Purview kan i nyere udgaver hente den version af en linket fil, der var aktuel ved deling, men det kræver, at funktionen er tilgængelig i tenantens licens og valgt ved indsamlingen. Notér i dokumentationen, om linkede filer er hentet i den delte version eller i den seneste. Versioner og delinger i SharePoint er beskrevet i SharePoint og OneDrive: versionshistorik og delingslinks.

Mødeoptagelser og transskriptioner

Optagelser af almindelige møder gemmes i OneDrive hos den, der startede optagelsen, mens optagelser af kanalmøder gemmes på kanalens SharePoint-websted. Transskriptioner gemmes sammen med optagelsen eller i tilknytning til mødet. Optagelser har ofte en automatisk udløbsdato, som administratoren eller brugeren styrer, og som kan være slået til som standard. Kontrollér udløbsdatoen på de relevante optagelser straks. Den organisatoriske side står på bevissikring-digitalt.dk: Teams-optagelser og transskriptioner.

Eksport: tre veje

Purview eDiscovery · Indhold: Beskeder fra compliance-kopier, med metadata og samtaletråde · Begrænsning: Kræver roller og afhænger af licens
Graph-API til eksport · Indhold: Beskeder og metadata maskinelt for brugere eller teams · Begrænsning: Kræver godkendt app og kan være afgiftsbelagt
Brugerens egen visning · Indhold: Skærmbilleder og kopier · Begrænsning: Ingen metadata, let at udvælge

I Purview kan Teams-indhold eksporteres som enkeltbeskeder eller samlet i samtaler, hvor beskeder fra samme tråd og periode grupperes. Gruppering gør materialet læsbart, men skal beskrives, fordi det afgør, hvad en gennemgang ser som én enhed. Notér grupperingens indstillinger, fx tidsvindue og om svar i tråde er medtaget, sammen med eksporten. Den generelle fremgangsmåde for hold, søgning og eksport står i Microsoft Purview eDiscovery.

Graph-API’et giver mere kontrol og kan bruges, når eksporten skal gentages eller automatiseres. Kommandoer, tilladelser og output skal dokumenteres, så forløbet kan efterprøves. Teams’ eksport-API’er har særlige licens- og betalingskrav, der ændrer sig, så de afklares først.

Sådan sikres en Teams-sag

Kortlæg placeringerne: deltagernes postkasser, gruppepostkasser, OneDrive for afsendere af filer og de relevante SharePoint-websteder.
Sæt hold på alle placeringerne, ikke kun på den centrale persons postkasse.
Eksportér auditloggen for Teams-hændelser i perioden, fx redigering og sletning af beskeder samt medlemsændringer.
Søg og eksportér beskeder med samtalekontekst og de linkede filer.
Kontrollér antal mod søgestatistikken, og forklar afvigelser.
Hash eksportfilerne og registrér dem.

Fejlkilder i fortolkningen

Tidszoner: Eksporten bruger UTC, klienten viser lokal tid.
Redigerede beskeder: Uden hold eller opbevaringspolitik findes kun den seneste tekst. Se Slettede og redigerede Teams-beskeder.
Visningsnavne kan være ændret siden. Brug kontoens unikke id.
Reaktioner og læst-markeringer følger ikke altid med eksporten og bør ikke antages at mangle, fordi de ikke fandtes.
Svar i tråde kan ende i en anden eksportenhed end den oprindelige besked, hvis grupperingen er sat snævert.

Når en deltager er slettet

Er en deltagers konto slettet, forsvinder postkassen og dermed compliance-kopierne af deltagerens chats, medmindre et hold eller en opbevaringspolitik har gjort postkassen inaktiv. Samtalen kan stadig findes i de øvrige deltageres postkasser, men kun hvis de hører til tenanten og selv er bevaret. Den slettede brugers OneDrive, og dermed de filer, brugeren delte i chats, følger sine egne opbevaringsregler. Kontrollér derfor for hver central person, om postkassen er aktiv, inaktiv eller væk, og om OneDrive stadig findes. Notér resultatet, fordi det forklarer huller i eksporten. Recoverable Items og inaktive postkasser er gennemgået i Exchange Online: Recoverable Items.

Verifikation af eksporten

En Teams-eksport bør kontrolleres på tre måder, før den bruges:

Krydstjek mellem deltagere: Den samme besked bør findes i alle deltageres kopier. Mangler den hos én, skal det forklares, fx med at deltageren kom ind i chatten senere eller er slettet.
Stikprøver mod klienten: Udvalgte beskeder sammenlignes med visningen i Teams på sikringstidspunktet, herunder tidspunkt, afsender og eventuel markering af redigering.
Kendte hændelser: Medlemsændringer, omdøbning af kanaler og tilføjede filer i auditloggen bør passe med det, eksporten viser.

Afvigelser rettes ikke i materialet. De beskrives, og forklaringen dokumenteres.

Hvad eksporten kan og ikke kan bevise

En dokumenteret eksport kan vise, at en konto sendte en besked med et bestemt indhold på et bestemt tidspunkt i en bestemt samtale, og hvilke deltagere samtalen havde. Den kan ikke vise, at modtageren har læst beskeden, og den viser ikke indholdet af en linket fil på afsendelsestidspunktet, medmindre den version er indsamlet. Den siger heller ikke noget om samtaler i andre tjenester eller på private enheder.

Lokale spor som supplement

Teams-klienten gemmer en cache på computeren. Den kan i særlige tilfælde indeholde beskeder eller billeder, som ikke længere findes i skyen, men den er ufuldstændig og afhænger af klientversionen. Se Electron-apps lokalt.

Dokumentation til rapporten

Angiv de placeringer, der er medtaget og fravalgt, holdenes tidspunkter, søgninger med statistik, eksportform og gruppering, linkede filers versionsvalg, hashværdier samt den tidszone, der er brugt i gengivelsen af beskederne.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Download og synkronisering i SharePoint og OneDrive: filaktivitet i auditloggen · Slettede og redigerede Teams-beskeder: hvad Purview kan finde

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik