Tidligere versioner i cloud: versionshistorik, papirkurv og opbevaring

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

De fleste cloudlagre gemmer mere end den aktuelle udgave af en fil. Versionshistorik, papirkurve i flere trin og opbevaringspolitikker betyder, at tidligere tilstande og slettede filer ofte kan findes i en periode efter ændringen. Hvor længe, hvor mange versioner og med hvilke metadata afhænger af tjenesten, abonnementet og organisationens indstillinger. Metoden er dog den samme på tværs af tjenester (overblikket står i Cloud- og SaaS-forensik): afklar hvad der findes, fastfrys det, eksportér hver version med dens metadata, og lad være med at gendanne oven i originalen.

Haster det? Papirkurve tømmes og gamle versioner beskæres automatisk efter tjenestens frister, så det, der skal fastfryses, bør sikres inden for dage. Se Akut forensisk sikring; hastesager koster ekstra.

Den juridiske vinkel, fx hvem der ændrede et kontraktudkast, er beskrevet på Versionshistorik: hvem ændrede kontraktudkastet?. Hvorfor cloud ikke er det samme som backup, er forklaret for ledelsen på Microsoft 365 og Google er ikke backup. Denne artikel er oversigten. Detaljerne pr. tjeneste står i Versioner og delingslinks i SharePoint, Google Drive: revisioner og aktivitet, Recoverable Items i Exchange Online og Purview-opbevaringspolitikker.

Fire lag, der kan rumme tidligere data

Versionshistorik: Tjenesten gemmer en ny version, når filen gemmes eller synkroniseres. Ved samtidig redigering i browseren samles mange små ændringer ofte i én version pr. session eller tidsrum.
Papirkurv: Slettede filer flyttes til brugerens papirkurv og ofte derefter til en administrativ papirkurv, før de fjernes endeligt.
Opbevaring og hold: Organisationens opbevaringspolitikker eller retslige hold kan bevare indhold, også efter at brugeren har slettet det, i områder, brugeren ikke selv kan se.
Tjenestens egen gendannelse: Nogle tjenester kan gendanne en hel konto eller mappe til et tidligere tidspunkt i en begrænset periode, via support eller via en administratorfunktion.

Forskelle mellem tjenesterne

Tjenesterne adskiller sig på punkter, der har betydning for sagen:

Antal versioner og opbevaringstid: Nogle beholder et fast antal versioner, andre versioner inden for en periode, og nogle lader brugeren markere versioner, der skal beholdes permanent.
Native dokumenter og uploadede filer: Dokumenter, der er skabt i tjenestens egen editor, har ofte en detaljeret revisionshistorik, mens uploadede filer som PDF og Office-filer har versioner pr. upload.
Papirkurvens varighed og om der er et administrativt trin.
Abonnement: Opbevaringstider og funktioner som administrativ gendannelse afhænger ofte af licensniveau.

To eksempler på tidspunktet for gennemgangen (oktober 2026): I SharePoint og OneDrive bliver et slettet element i papirkurvene i 93 dage regnet fra den oprindelige sletning, og antallet af versioner styres af grænser, som administratorer kan sætte på organisations-, websteds- og biblioteksniveau. I Google Drive kan en ældre version af en uploadet fil blive slettet efter 30 dage, eller når der er kommet 100 nyere versioner, medmindre den er markeret til at blive bevaret. Hos Dropbox, Box og iCloud Drive varierer perioderne med abonnement og indstillinger. Grænserne ændres løbende, så de skal altid slås op for den konkrete tjeneste og det konkrete abonnement.

For Microsoft 365 er detaljerne beskrevet i SharePoint og OneDrive: versionshistorik og delingslinks, og for Google i Google Drive: revisioner, aktivitet og delingsspor. Objektlagre som S3 og Azure Blob har versionering på et lavere niveau, se Objektlager: adgangslogs og versionering.

Metode

1. Afklar, hvad der findes

Find ud af, hvilken tjeneste og hvilket abonnement der er tale om, hvilke versions- og opbevaringsindstillinger der gælder, om der er opbevaringspolitikker eller hold, og hvor længe papirkurven beholder indhold. Notér indstillingerne med skærmbilleder eller eksport af konfigurationen, fordi de forklarer, hvorfor bestemte versioner findes eller mangler.

2. Stop det, der sletter

Det mest tidskritiske er, at versioner og papirkurv tømmes automatisk. Overvej at lægge et hold eller en opbevaringspolitik på de relevante placeringer, eller at hæve grænserne midlertidigt. Det skal gøres af en administrator og dokumenteres, fordi ændringen også er et indgreb.

3. Eksportér hver version

Hent hver relevant version som en separat fil sammen med dens metadata:

versionsnummer eller id,
tidspunkt for versionen med tidszone,
bruger eller konto, der står som ophav,
størrelse,
hashværdi beregnet ved hentning.

Via API kan versioner ofte hentes mere fuldstændigt og med flere metadata end via brugerfladen. Indsamlingsmetoden er beskrevet i Cloud-forensic via API og administratoreksport.

4. Sikr auditloggen

Versionshistorikken viser, at der er sket ændringer. Auditloggen kan vise, hvem der åbnede, ændrede, gendannede eller slettede filen, med IP-adresse og klient. De to kilder skal ses sammen.

5. Sammenlign versionerne

Udpak tekst eller struktur af hver version og sammenlign dem, så de konkrete ændringer mellem versionerne kan vises. For Office-filer kan både tekst og dokumentegenskaber sammenlignes. Gem sammenligningerne som bilag, så læseren kan se præcis, hvad der blev tilføjet, fjernet eller ændret fra version til version, og hvornår.

Andre steder, tidligere udgaver kan findes

Cloudtjenestens egne versioner er ikke de eneste kilder. Når de er udløbet eller utilstrækkelige, kan andre steder supplere:

Synkroniserede computere: En computer, der synkroniserer mappen, kan have en lokal kopi af en ældre udgave, hvis den har været offline, eller i den lokale papirkurv, hvis filen er slettet lokalt. Synkroniseringsklientens egne logs og databaser kan vise, hvornår filer blev hentet og sendt.
Programmernes midlertidige filer: Office og andre programmer gemmer automatiske genoprettelsesfiler og midlertidige kopier under redigering. De kan rumme mellemtilstande, som aldrig blev gemt som version i tjenesten.
Vedhæftninger og downloads: En udgave sendt som vedhæftning eller hentet til en anden computer er en fastfrosset kopi med sin egen tidsangivelse i mailen eller downloaden.
Andre brugeres kopier: Delte filer kan være kopieret til andre brugeres egne lagre, eller de kan ligge i delte drev, som ejes af organisationen frem for en enkelt bruger.
Backup og tredjepartsbackup: Organisationer med separat backup af cloudtjenesten kan have øjebliksbilleder, der rækker længere tilbage end tjenestens egne versioner; se Tredjepartsbackup af Microsoft 365 som kilde.
Wikier og kravsystemer: Værktøjer som Confluence fører deres egen sidehistorik uden for fillageret; se Wiki og kravdokumenter: sidehistorik.

Disse kilder skal sikres efter deres egen metode og med samme omhu for hashværdier og metadata. En lokal kopi har filsystemets tidsstempler fra den computer, den ligger på, og de skal fortolkes derefter. Sammenholdt med tjenestens versioner kan de udfylde huller i forløbet.

Gendan aldrig oven i originalen

En gendannelse af en tidligere version gennem brugerfladen gør normalt den gamle version til en ny aktuel version. Det ændrer versionshistorikken, sætter nye tidsstempler og kan sætte den gendannende konto som seneste redaktør. Hent i stedet versionen som en kopi. Er gendannelse nødvendig af driftshensyn, bør relevante versioner og metadata være eksporteret først, og handlingen bør logges.

Typiske fejlkilder i fortolkningen

Samlede versioner: Ved samtidig redigering kan én version dække mange personers ændringer over et tidsrum. Den konto, der står på versionen, er ikke nødvendigvis den, der skrev en bestemt sætning.
Synkroniseringskonti og tjenester: En version kan stå med en servicekonto, en synkroniseringsklient eller en integration som ophav.
Klient- og server-tid: Versionstiden er tjenestens, mens filens interne tider er fra brugerens computer. Se Server-tid og klient-tid.
Manglende versioner: Huller kan skyldes versionsgrænser, autosave-indstillinger eller at filen blev redigeret offline og synkroniseret samlet.
Gendannede filer: En fil, der er gendannet fra papirkurven, kan have nye tidsstempler for gendannelsen.

Hvad versionerne kan og ikke kan bevise

En version registreret af tjenesten viser, at filen havde et bestemt indhold på et bestemt tidspunkt ifølge tjenestens ur, og hvilken konto tjenesten knyttede til ændringen. Den viser ikke, hvem der fysisk sad ved tastaturet, og den viser ikke mellemtilstande, som aldrig blev gemt som version. At en version mangler, er ikke bevis for, at den er slettet manuelt.

Dokumentation

Angiv tjeneste og abonnement, de gældende indstillinger, eventuelle hold eller ændringer, der er foretaget, eksportmetode, en oversigt over alle versioner med metadata og hashværdier, og hvilke versioner analysen bygger på.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: USB-nøgler, SD-kort og flashmedier: gendannelse og begrænsninger · Krypterede data i en undersøgelse: de lovlige adgangsveje

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik