Forside › Undersøgelse ved fratræden · Gennemgået oktober 2026 · Af John Nielsen
En tidslinje for perioden op til en fratræden samler hændelser fra identitet, computer, cloud, mail, fagsystemer og fysisk adgang i én kronologi, forankret i de faste datoer fra personalesagen: opsigelse, fritstilling, aflevering af udstyr og sidste arbejdsdag. Dens værdi ligger i to sammenligninger. Den ene er mellem kilderne: Peger flere uafhængige spor på samme handling på samme tidspunkt? Den anden er mellem perioden før fratræden og en sammenligningsperiode, hvor ingen mistanke var: Er aktiviteten anderledes? Hvilke kilder der skal sikres, og i hvilken rækkefølge, står i undersøgelsesplanen ved fratræden, og den generelle metode i tidslinjeanalyse. Her handler det kun om at stille de sikrede hændelser op i én kronologi og læse den.
Afgræns perioden
Perioden bør begynde så tidligt, at en eventuel forberedelse er med, og slutte efter sidste adgang til systemerne, ikke kun efter sidste arbejdsdag. En praktisk afgrænsning er:
- Undersøgelsesperiode: fra et rimeligt tidspunkt før opsigelsen, fx nogle uger, til nogle dage efter sidste login eller aflevering af udstyr.
- Sammenligningsperiode: en tilsvarende periode tidligere i ansættelsen uden særlige begivenheder som ferie eller større projekter.
Hvor langt tilbage der kan gås, afgøres i praksis af logkildernes opbevaringsperiode. Notér for hver kilde, hvilken periode den faktisk dækker. Er sammenligningsperioden kortere for nogle kilder end for andre, skal det fremgå, fordi det påvirker, hvor sikkert en afvigelse kan påvises. En sammenligning over én uge er svagere end en over flere måneder.
Ankerpunkter
Ankerpunkterne er de datoer og tidspunkter, alt andet ses i forhold til. De hentes fra HR, ledelse og IT, ikke fra de tekniske kilder:
- Opsigelse afgivet eller modtaget · Opsigelsesbrev, mail, HR-system
- Fritstilling · Brev eller mail
- Spærring af konti · IT’s ticket eller administrationslog
- Aflevering af computer og telefon · Kvittering eller ticket
- Sidste arbejdsdag · Ansættelsesdokumenter
Ankerpunkterne indsættes på tidslinjen med deres kilde. Er et tidspunkt usikkert, fx en opsigelse givet mundtligt “om eftermiddagen”, vises det som et interval.
Kilder i rækker
Byg tidslinjen med én række pr. kildegruppe, så det er tydeligt, hvor flere kilder understøtter hinanden:
- Identitet og netværk: logins, nye enheder, VPN, adgang uden for kontoret.
- Computer: USB-tilslutninger, åbnede filer og mapper, oprettede arkiver, sletninger, print.
- Cloud og samarbejde: downloads, synkronisering, delinger med eksterne.
- Mail: mails til eksterne adresser, nye regler og videresendelse.
- Fagsystemer: eksporter og rapporter i CRM, ERP og dokumentsystemer.
- Fysisk adgang: adgangskort og alarmsystem, hvis relevant. → Adgangskort og nøglebrik
Sikring og kildernes rækkefølge er beskrevet i den tekniske undersøgelsesplan ved fratræden.
Normalisering og korrelation
Alle kilder normaliseres til én tidszone, og urafvigelser korrigeres og noteres. Derefter kobles hændelser, der hører sammen, fx en CRM-eksport, en download af en fil med samme navn, en USB-tilslutning og en LNK-fil, der peger på filen på drevet. Koblingen bygger på tid, filnavne, størrelser, enheds-id’er og konti. Hver kobling skal kunne begrundes, og det skal fremgå, hvor den bygger på tid alene. → Logkorrelation
En skematisk sekvens
Et forløb, som tidslinjen kan vise, kan skematisk se sådan ud. Eksemplet er konstrueret for at vise opbygningen og bygger ikke på en bestemt sag:
- Dag 1, 14:02 · Fagsystem: eksport af kundevisning, konto A
- Dag 1, 14:03 · Computer: fil med eksportens navn i Overførsler
- Dag 1, 14:10 · Computer: USB-enhed med serienummer X tilsluttet
- Dag 1, 14:11 · Computer: LNK-fil til filen på drev E:
- Dag 2, 09:00 · Ankerpunkt: opsigelse modtaget
Hver række henviser til en post i bilaget. Det, der giver sekvensen vægt, er, at fire uafhængige kilder peger på samme fil inden for få minutter. Hver hændelse for sig kunne have en anden forklaring.
Opløsning og rækkefølge
Kilderne har forskellig opløsning. Nogle registrerer brøkdele af sekunder, andre hele minutter, og visse cloudlogs registrerer hændelser med forsinkelse. Hændelser fra forskellige kilder, der ligger inden for kildernes usikkerhed af hinanden, kan ikke ordnes sikkert. Vis dem som samtidige, og skriv, at rækkefølgen ikke kan afgøres.
Sammenligning med det normale
Den mest overbevisende tidslinje viser ikke kun, hvad der skete før fratræden, men også, at det afviger fra det sædvanlige. Mål det samme i begge perioder:
- antal og størrelse af downloads fra cloudlagre pr. dag,
- antal mails med vedhæftninger til eksterne adresser pr. uge,
- antal USB-tilslutninger og hvilke enheder,
- aktivitet uden for normal arbejdstid,
- eksporter fra fagsystemer.
Vis tallene i samme form og skala for begge perioder. En stigning, der kun ses i undersøgelsesperioden, har betydning. En aktivitet, der har været jævn i hele ansættelsen, har mindre. Begge dele skal med.
System eller bruger?
Perioden omkring en fratræden er fuld af automatik og andres handlinger, der kan ligne brugerens:
- en ny eller nulstillet enhed, der synkroniserer hele OneDrive og ligner et masseudtræk,
- backup, antivirus og indeksering, der åbner filer,
- IT’s egne handlinger ved spærring, overdragelse af filer til en leder og klargøring af udstyret,
- kolleger, der overtager opgaver og åbner delte filer.
Hændelser efter aflevering af udstyr eller spærring af konti bør som udgangspunkt tilskrives andre end medarbejderen, indtil andet er vist. Markér dem tydeligt på tidslinjen. → Systemet eller brugeren?
Hændelser, der taler imod
Tag aktivt de hændelser med, der støtter en uskyldig forklaring: en mail med overdragelse til en kollega, en eksport, der passer med en opgave, filer sendt hjem i hele ansættelsen. En tidslinje, der kun indeholder det belastende, bliver angrebet, og med rette. At undersøgelsen også har ledt efter det modsatte, styrker de fund, der står tilbage.
Huller
Huller i tidslinjen er ofte et resultat af logkilder, der ikke dækker perioden, ikke af manglende aktivitet. Markér for hver kilderække, hvornår den begynder og slutter, og hvor der mangler data. Skriv ikke “ingen aktivitet” for en periode, hvor kilden ikke findes. → Fravær af spor
Fra tidslinje til konklusion
Tidslinjen viser, hvad konti og enheder har registreret, og i hvilken rækkefølge. Den viser ikke hensigt, og den viser ikke alene, hvem der sad ved tastaturet. Konklusionen skal derfor formuleres på det niveau, data bærer: at en bestemt fil blev eksporteret fra kontoen, hentet ned på computeren og åbnet fra et eksternt drev, og at dette afviger fra mønsteret i sammenligningsperioden. Om handlingen var berettiget, er ikke et teknisk spørgsmål.
Præsentation
Lav to versioner. En kort tidslinje til rapportens hovedtekst med ankerpunkter og de hændelser, konklusionerne bygger på, hver med kildehenvisning. Og en fuld tidslinje som bilag med alle hændelser i perioden efter de anvendte filtre, så en anden sagkyndig kan se, hvad der er udvalgt. Hvordan grafiske tidslinjer gøres retvisende, er beskrevet i visualiseringer i forensiske rapporter.
Opdater tidslinjen, når nye kilder kommer til, fx logs fra en leverandør, der først leveres senere. Giv hver version et nummer og en dato, og notér, hvilke kilder der er tilføjet. Så kan det altid ses, hvilken tidslinje en bestemt vurdering bygger på, og om en senere kilde har ændret billedet.
Kontrol før brug
- ☐ Ankerpunkterne har en dokumenteret kilde
- ☐ Alle kilder er normaliseret til samme tidszone
- ☐ Hver kilderække viser sin dækningsperiode
- ☐ Undersøgelses- og sammenligningsperiode er målt ens
- ☐ Automatik og andres handlinger er markeret
- ☐ Hændelser, der taler imod, er med
- ☐ De centrale hændelser er kontrolleret direkte i kildedata
Kilder og versioner
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
- Microsoft Learn: Sign-in log activity details (tidszoner og identifikatorer)
- Microsoft Learn: Microsoft Entra data retention
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Undersøgelse ved fratræden
Læs også: Kundelisten fra CRM: eksportlogs i SaaS-systemer · Undersøgelse af en administrator, der kan slette loggen
→ Undersøgelse ved fratræden · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
