Teams‑opkald og møder: opkaldsposter, deltagerdata og optagelser

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Et Teams-opkald eller -møde efterlader spor i mindst fire kilder: opkaldsposter (call records) med start, slut og deltagere, opkaldsanalyse i Teams Admin Center med enheder og netværk, auditloggens mødehændelser og eventuelle optagelser og transskriptioner i OneDrive eller SharePoint. Flere af kilderne er kun tilgængelige i 30 dage. Spørgsmål som “fandt samtalen sted, hvem deltog, og hvor længe?” kan derfor ofte besvares godt, men kun hvis sikringen starter hurtigt.

Hvor chats, filer og optagelser ligger generelt, er beskrevet i Teams teknisk. Den snævrere situation med en falsk deltager i et møde er behandlet i Deepfake i videomødet. Denne artikel handler om selve opkalds- og mødeposterne.

Opkaldsposter via Microsoft Graph

For hvert opkald eller møde opretter tjenesten en opkaldspost, når den sidste deltager har forladt det. Posten kan hentes via Graph med programtilladelsen CallRecords.Read.All og indeholder bl.a.:

startDateTime og endDateTime i UTC, defineret som tidspunktet, hvor den første deltager kom ind, og hvor den sidste forlod opkaldet,
type (peer-to-peer eller gruppeopkald) og modalities, fx lyd, video og skærmdeling,
arrangør og deltagere med identitet og tenant,
sessioner og segmenter med klient, enhed og netværksoplysninger, når posten udvides.

Microsoft angiver, at en opkaldspost er tilgængelig i 30 dage, og at API’et ikke returnerer ældre poster. Posten har et versionsnummer, fordi den kan blive opdateret med flere data efter oprettelsen. Hent derfor ikke kun den første version, hvis opkaldet lige er afsluttet. Til opkald over telefonnettet findes særskilte lister for PSTN-opkald og Direct Routing med telefonnumre, varighed og afslutningskoder.

Opkaldsanalyse i Teams Admin Center

Opkaldsanalyse viser pr. bruger de opkald og møder, brugeren har arrangeret eller deltaget i de seneste 30 dage. Den viser hvert ben i et opkald med enhed, netværk og forbindelse, og rollen Teams communications support engineer kan se avancerede detaljer som enhedsnavne, IP-adresse og subnet. Telefonnumre vises altid med de sidste fire cifre skjult.

Tre begrænsninger er vigtige for fortolkningen:

En deltager, der kom i lobbyen, men ikke blev lukket ind, vises ikke.
Et møde, hvor ingen deltog, vises ikke, fordi der ikke blev oprettet mediesessioner.
Ved et møde arrangeret af en anden organisation ser egen organisation kun sine egne brugere.

Opkaldsanalysen er beregnet til fejlsøgning af kvalitet, og Microsoft fraråder selv at drage konklusioner af de mest tekniske diagnosedata uden supportens kontekst. Brug den som støtte, ikke som eneste kilde.

Opkaldshistorikken i klienten

Teams-klienten viser en opkaldshistorik pr. bruger, og i chats ses ofte systembeskeder om, at et opkald eller et møde er startet og afsluttet. Det er nyttige pegepinde, men de er brugerens visning, ikke en serverlog. Et skærmbillede af opkaldshistorikken kan supplere, men bør altid kontrolleres mod opkaldsposten eller auditloggen. Systembeskederne i chatten indgår i chatdata og kan derfor sikres sammen med chatten via eDiscovery, med de begrænsninger der gælder for chateksport.

Auditloggen og deltagerrapporter

Den samlede auditlog har mødehændelser med mødets tidspunkter og deltagernes ind- og udgang. Hændelserne følger auditloggens opbevaringstid, som afhænger af licensen. Se Unified Audit Log i Microsoft 365.

Arrangøren kan desuden hente en deltagerrapport for planlagte møder med navne, tidspunkter for deltagelse og varighed. Rapporten er nyttig, men den er en eksport fra brugerfladen og bør suppleres med de serverbaserede kilder. Bemærk, at Teams’ auditposter for ændringer i teammedlemskab kan vise en ejer som initiativtager, selv om ændringen er lavet via Entra ID eller Microsoft 365-gruppen.

Optagelser og transskriptioner

Mødeoptagelser og transskriptioner gemmes som udgangspunkt i arrangørens OneDrive, og for kanalmøder i det SharePoint-websted, der hører til kanalen. De har en automatisk udløbstid, som administratoren kan indstille, og som er 120 dage som standard. Flyttes en optagelse fra sin oprindelige placering, gælder udløbet ikke længere for den. Microsoft understreger, at udløbsfunktionen er til at spare lagerplads og ikke erstatter opbevaringspolitikker. Hvor længe en udløbet optagelse kan gendannes, afhænger af papirkurvens regler.

For bevisværdien betyder det:

Optagelsens filmetadata og SharePoints versionshistorik viser, hvornår filen blev oprettet og ændret.
Download og visning ses i auditloggen som filhændelser.
En optagelse, der er udløbet og tømt fra papirkurven, kan kun findes, hvis den er omfattet af et hold eller en opbevaringspolitik.

Sikring

Hent opkaldsposter via Graph for den relevante periode og de relevante deltagere, inklusive sessioner. Gem rå JSON og notér forespørgsler og antal poster. Se Eksport via Microsoft Graph og PowerShell.
Eksportér opkaldsanalysen for de berørte brugere, før de 30 dage udløber.
Søg i auditloggen efter mødehændelser og filhændelser for optagelser.
Hent deltagerrapporter fra arrangøren.
Sikr optagelser og transskriptioner med metadata via eDiscovery eller administratoreksport, og forlæng udløbet eller placér et hold.
Hash alle eksporter.

Ved opkald til og fra almindelige telefonnumre kan operatørens data og et eventuelt omstillingsanlæg give en uafhængig bekræftelse. Se VoIP og omstillingsanlæg.

Fejlkilder

Tid: Opkaldsposter er i UTC; deltagerrapporter kan vise lokal tid. Afstem altid. Se Server-tid og klient-tid.
Varighed: Et mødes varighed i opkaldsposten er fra første ind til sidste ud, ikke den enkelte deltagers tid.
Flere enheder: En bruger kan være med fra telefon og computer samtidig og optræde som to sessioner.
Eksterne og anonyme: Anonyme deltagere har ikke en konto i tenanten, og deres identitet er kun det navn, de selv skrev.
Rettigheder: Opkaldsposter kræver en app-registrering med programtilladelse og administratorsamtykke. Opsætningen er en ændring i tenanten, som skal dokumenteres med tidspunkt og formål, og som bør fjernes igen efter sikringen.
Fravær: Et manglende opkald i analysen kan skyldes, at det aldrig fik mediesessioner, eller at perioden er udløbet.

Dokumentation

Angiv for hvert opkald eller møde i sagen, hvilke kilder der bekræfter det, og om de er indbyrdes enige om tidspunkt, deltagere og varighed. Gengiv opkaldspostens id, så posten kan findes igen, og skriv, hvilken version af posten der er hentet. Afviger kilderne, fx fordi deltagerrapporten afrunder tider, eller fordi en deltager var med fra to enheder, forklares afvigelsen. Notér også, hvilke perioder der ikke længere kunne hentes på grund af opbevaringstiden.

Hvad posterne kan og ikke kan bevise

Opkaldsposter og mødehændelser kan vise, at et opkald fandt sted mellem bestemte konti, hvornår, hvor længe og med hvilke modaliteter. De viser ikke, hvad der blev sagt, medmindre der findes en optagelse eller transskription, og de viser ikke, hvem der fysisk sad ved enheden. En konto i et opkald er en konto, ikke en person. Koblingen til personen bygges op med enhed, netværk og andre samtidige spor.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Gæsteadgang og B2B i Microsoft 365-loggene · Entra ID audit log: ændringer i brugere, apps og politikker

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik