TeamViewer- og AnyDesk‑logs: fjernadgang i sporene

Forside › Netværk og logs · Gennemgået oktober 2026 · Af John Nielsen

Fjernsupportværktøjer som TeamViewer og AnyDesk skriver logfiler på den computer, der blev forbundet til, og ofte også på den computer, der forbandt. Logfilerne kan vise, hvornår en forbindelse blev oprettet og afsluttet, fra hvilket ID eller alias, og i nogle tilfælde hvilke filer der blev overført. Sammen med Windows’ egne artefakter kan de dokumentere, hvem der var inde på en maskine og hvornår.

Haster det? En afinstallation af programmet kan fjerne logfilerne, og nye sessioner tilføjer poster, mens rapporter i leverandørens webkonsol kun gemmes i en periode. Se akut forensisk sikring; hastesager koster ekstra.

Spørgsmålet opstår i tvister med IT-leverandører, i interne undersøgelser, ved betalingssvindel, hvor en svindler har fået brugeren til at installere et fjernsupportprogram, og ved mistanke om skjult fjernadgang i private forhold. Hvordan virksomheden håndterer fjernsupport i praksis, er beskrevet på bevissikring-digitalt.dk. Produkterne nævnes her som eksempler. Andre fjernsupport- og RMM-værktøjer har tilsvarende logs. Se også IT-leverandørens adgang: RMM-logs.

TeamViewer

TeamViewer har to typer lokale logs på Windows:

• En forbindelseslog for indgående forbindelser (Connections_incoming.txt), typisk i programmets installationsmappe. Den indeholder en linje pr. session med partnerens TeamViewer-ID, et vist navn, start- og sluttidspunkt, den lokale brugerkonto og forbindelsestypen.
• En detaljeret programlog med versionsnummeret i navnet, fx TeamViewer15_Logfile.log, samt en ældre udgave med _OLD i navnet. Den indeholder tekniske hændelser, herunder oprettelse af sessioner, og kan i nogle versioner vise filoverførsler.

På den computer, der forbandt, findes ofte en tilsvarende log over udgående forbindelser i brugerprofilen, typisk Connections.txt under AppData\Roaming\TeamViewer. TeamViewers egen vejledning angiver installationsmappen under Program Files for den fulde version og Host, og brugerens AppData\Roaming\TeamViewer for QuickSupport-varianten. På macOS ligger logs i brugerens bibliotek under Logs/TeamViewer og kræver en administratorkonto. Filnavne og mapper kan ændre sig mellem hovedversioner, så søg efter begge filnavne på hele drevet.

Er TeamViewer brugt med en virksomhedslicens, kan forbindelsesrapporter også findes i leverandørens webkonsol. De er serverside-data og kan supplere eller kontrollere de lokale filer. Ifølge leverandøren kræver funktionen på tidspunktet for gennemgangen (oktober 2026) en af de større erhvervslicenser, og indgående forbindelser registreres kun for enheder med en politik, der slår rapportering til. Hvor længe rapporterne gemmes, oplyses ikke klart, så de bør eksporteres hurtigst muligt.

AnyDesk

AnyDesk skriver trace-filer, som leverandøren selv beskriver som diagnosefiler, men som indeholder forbindelsesoplysninger:

• ad.trace for brugerfladen, i brugerens AppData-mappe.
• ad_svc.trace for tjenesten, i ProgramData-mappen. Den findes kun, når AnyDesk er installeret, og indeholder ofte de mest detaljerede netværksoplysninger.
• connection_trace.txt, som ifølge leverandøren registrerer indgående forbindelsesanmodninger med dato og tid, om forbindelsen blev accepteret eller afvist, og hvem der anmodede. Den ligger sammen med klientens konfigurationsfiler.

På macOS og Linux hedder trace-filen anydesk.trace og ligger i brugerens skjulte AnyDesk-mappe eller i systemets logmappe, afhængigt af om programmet er installeret. Leverandøren beskriver ikke trace-filernes indhold i detaljer, og formatet ændres mellem versioner. I praksis kan de indeholde partnerens ID, IP-adresser for direkte forbindelser eller relæservere og hændelser for fx filoverførsel, men hvilke felter der findes, må fastslås i den konkrete fil.

Windows’ egne spor

Selv hvis programmets logs mangler eller er slettet, efterlader fjernsupport spor i Windows:

• Programkørsel i Prefetch, Amcache og registreringsdatabasen viser, at programmet har kørt, og hvornår. Se Prefetch, Amcache og Shimcache.
• Installation som tjeneste giver en hændelse i System-loggen (7045) og poster under tjenester i registreringsdatabasen.
• Downloads fra browseren med Zone.Identifier viser, hvornår og hvorfra installationsfilen blev hentet.
• Firewall og netværk kan vise forbindelser til leverandørens servere og mængden af data.
• SRUM viser netværksforbrug pr. program over tid.
• Filsystemet viser filer, der er oprettet i det tidsrum, en session varede, fx i overførselsmappen.

Fjernskrivebord via Windows’ egen RDP har andre spor, beskrevet i RDP-spor.

Når fjernsupport er brugt til svindel

I sager om betalingssvindel er mønstret ofte, at en person ringer, udgiver sig for at være fra banken eller en kendt softwareleverandør og beder brugeren installere et fjernsupportprogram. Sporene ligger da typisk tæt: en download fra browseren, kørsel af installationsfilen, en indgående session få minutter senere og derefter aktivitet i netbanken eller i mailen. Tidslinjen kan vise, at sessionen var aktiv, mens en betaling blev gennemført, hvilket kan have betydning for spørgsmålet om, hvem der reelt handlede. ID og eventuel IP fra loggen kan bruges i en henvendelse til leverandøren.

Skjult fjernadgang i private forhold

Fjernsupportprogrammer kan også misbruges til at holde øje med en andens computer, fx ved at installere programmet med fast adgangskode og automatisk accept. Sporene er de samme som ovenfor, og undersøgelsen skal kun ske på egne enheder. Se stalkerware og fjernadgang.

Spor på den computer, der forbandt

Hvis den forbindende computer er tilgængelig ad lovlig vej, fx en IT-leverandørs supportmaskine eller en medarbejders arbejdscomputer, kan den bekræfte sessionerne fra den anden side. Udgående forbindelseslogs, programmets historik over partnere, gemte forbindelser og adressebog samt Windows’ egne spor efter programkørsel giver et spejlbillede af sessionerne. Når de to sider passer sammen i tid og ID, er det en stærk bekræftelse. Når de ikke gør, er det et signal om, at noget mangler eller er ændret.

Sådan sikres logfilerne

1. Undlad at åbne eller afinstallere programmet på den berørte maskine. Afinstallation kan fjerne logs, og nye sessioner tilføjer poster.
2. Afbryd netværket eller isolér maskinen, hvis der er mistanke om aktiv, uønsket adgang, og notér tidspunktet.
3. Lav en forensisk kopi eller en målrettet indsamling, der omfatter installationsmappen, ProgramData, brugerprofilernes AppData, registreringsdatabasen, hændelseslogs og Prefetch.
4. Hash de indsamlede filer, og notér version og licenstype for programmet.
5. Bed om serverside-data fra leverandøren eller fra den, der administrerer licensen, hvis det er relevant.
6. Sikr modpartens maskine ad lovlig vej, hvis den er inddraget, fx en IT-leverandørs supportcomputer efter aftale.

Fortolkning og fejlkilder

• ID frem for person: loggen viser et TeamViewer- eller AnyDesk-ID og et visningsnavn, som brugeren selv kan vælge. Koblingen til en person eller virksomhed kræver supplerende oplysninger, fx licensens ejer eller leverandørens kundedata.
• IP-adresser: en forbindelse via relæserver viser relæets adresse, ikke partnerens. Direkte forbindelser kan vise den offentlige IP, der igen kan stå bag NAT eller VPN.
• Tidszone: logfilernes tidsstempler kan være i lokal tid eller UTC afhængigt af fil og version. Leverandørerne dokumenterer ikke tidszonen entydigt. Kontrollér derfor mod en kendt hændelse, fx installationstidspunktet eller et logon i Windows’ egen log, og angiv i rapporten, hvordan tidszonen er fastlagt.
• Rotation: programloggen roterer ved en bestemt størrelse, og ældre data overskrives. Forbindelseslogfilen kan være mere stabil, men kan slettes manuelt.
• Logning kan være slået fra i indstillingerne, og en manglende fil beviser derfor ikke, at der ikke har været forbindelser.
• Afviste forbindelser registreres også. Skeln mellem forsøg og gennemførte sessioner.

Hvad logs kan og ikke kan vise

Logfilerne kan vise, at en session fandt sted mellem to ID’er i et bestemt tidsrum, hvilken lokal konto der var logget ind, og under gunstige forhold, at filer blev overført. De viser normalt ikke, hvad der skete på skærmen. Hvad partneren gjorde under sessionen, må udledes af andre spor på maskinen i samme tidsrum: programkørsel, filændringer, browserhistorik og logins i cloudtjenester. Se logkorrelation.

I rapporten

Angiv programmernes navne og versioner, logfilernes placering, hashværdier og tidszone, samt hvordan ID og IP er koblet til en part. Præsentér sessionerne i en tabel med start, slut, partner-ID og kilde, og vis de samtidige hændelser på maskinen, der underbygger, hvad sessionen blev brugt til.

Hvis logfiler mangler, eller hvis der er tegn på, at de er redigeret, skal det beskrives sammen med de øvrige spor, der dækker samme periode. Et hul i forbindelsesloggen, der falder sammen med programkørsel og netværksforbindelser til leverandørens servere, er en iagttagelse i sig selv.

Kilder og versioner

• TeamViewer Knowledge Base: Find your log files
• TeamViewer Knowledge Base: Connection reports
• AnyDesk Help Center: What are trace files?
• NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response

Senest gennemgået: oktober 2026.

Næste skridt

• Webserverlogs (IIS, Apache, Nginx): felter, tidszoner, proxy og CDN

Del af: Netværk og logs

Læs også: DLP-hændelser: hvad en DLP-alarm dokumenterer · SASE, ZTNA og cloudproxy: logs, når trafikken ikke går gennem egen firewall

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT