VoIP og omstillingsanlæg: CDR, SIP‑logs og optagelser

Forside › Netværk og logs · Gennemgået oktober 2026 · Af John Nielsen

Et IP-baseret omstillingsanlæg, lokalt eller hostet, registrerer hvert opkald i en opkaldspost (CDR, call detail record) med tidspunkt, numre, lokalnummer, varighed og udfald. Mange anlæg kan desuden logge selve signaleringen (SIP) og optage samtaler. CDR’en er den primære kilde til spørgsmålet “blev der ringet, hvornår og hvor længe?”. SIP-loggen kan vise detaljerne om, hvordan opkaldet blev etableret, og hvilket nummer der faktisk blev præsenteret. Optagelsen er den eneste kilde til, hvad der blev sagt.

Forskellen mellem telefonens egen opkaldsliste og operatørens data er beskrevet i Telefonen eller teleoperatøren. Den generelle introduktion til telefonlogs som bevis findes på digitalbevissikring.dk. Her går vi i dybden med anlæggets egne data.

Opkaldsposten (CDR)

Felterne varierer mellem anlæg, men en CDR indeholder typisk:

tidspunkt for opkaldets start, for svar og for afslutning,
kaldende og kaldt nummer, og internt lokalnummer eller bruger,
retning (indgående, udgående, internt) og den trunk eller SIP-forbindelse, der blev brugt,
varighed, ofte både samlet tid og taletid,
udfald, fx besvaret, ikke besvaret, optaget eller mislykket,
viderestilling, kø, omstilling og den endelige destination,
et unikt opkalds-id, der kobler poster for samme opkald.

Et opkald, der passerer en kø og bliver omstillet, kan give flere poster. Varighed kan være opgjort fra start eller fra svar. Før posterne tolkes, skal anlæggets definition af felterne afklares, gerne fra leverandørens dokumentation.

SIP-signalering

SIP er protokollen, der etablerer og afslutter opkald. Hvert opkald består af en række beskeder, fx INVITE, svar som 180 Ringing og 200 OK, ACK og BYE. Hovederne i beskederne indeholder bl.a.:

Call-ID, som entydigt identificerer dialogen,
From og To, som angiver afsender og modtager, sådan som afsenderen har angivet dem,
P-Asserted-Identity, som et betroet netværk kan bruge til at angive den kontrollerede identitet,
Contact og Via, som viser de adresser og mellemled, beskeden passerede.

Det er vigtigt at forstå, at From er sat af afsenderens udstyr og kan være vilkårligt. Det nummer, en modtager ser, er derfor ikke i sig selv bevis for, hvem der ringede. I netværk, der bruger STIR/SHAKEN, kan opkaldet bære en signeret identitet i et Identity-hoved, der angiver, hvor sikkert nummeret er verificeret. Udbredelsen afhænger af land og operatør.

Mange anlæg logger ikke fuld SIP som standard. Fuld signalering findes typisk kun, hvis der var slået fejlsøgning til, eller hvis en sessionsgrænsekontrol (SBC) logger trafikken.

Lokalnummer, bruger og enhed

En CDR knytter opkaldet til et lokalnummer eller en bruger i anlægget, ikke til en person. I moderne anlæg kan en bruger være logget ind på flere enheder på én gang: en bordtelefon, en softphone på computeren og en app på mobilen. Anlæggets registreringslog viser, hvilke enheder der var registreret på lokalnummeret, med IP-adresse, brugeragent og tidspunkt for registrering. Det kan afgøre, om et opkald blev foretaget fra kontoret, hjemmefra eller fra mobilen. Hot desking, hvor medarbejdere logger ind på skiftende telefoner, og fælles lokalnumre for fx en reception gør koblingen til en person sværere. Afklar derfor anlæggets opsætning, før en CDR bruges til at sige noget om en bestemt medarbejder.

Adgangen til anlæggets administration logges typisk også. Det er relevant, hvis spørgsmålet er, om nogen har ændret viderestillinger, slettet optagelser eller oprettet nye lokalnumre.

Optagelser

Optagelser gemmes som lydfiler i anlægget, i et separat optagesystem eller hos den hostede leverandør, ofte med en database, der knytter filen til opkalds-id, numre og tidspunkt. Filens egne tidsstempler kan afvige fra opkaldets, fordi filen skrives eller flyttes efter opkaldet. Hash optagelserne ved sikring, og sikr databasen sammen med filerne. Juridiske spørgsmål om optagelse af samtaler ligger uden for denne artikel. Hvis ægtheden af en stemme er i tvivl, se Deepfake-stemme i telefonopkald.

Hostet anlæg og Teams-telefoni

Ved et hostet anlæg ligger CDR, optagelser og eventuelle logs hos leverandøren, og kunden har typisk adgang til en portal med begrænset historik. Opbevaringstider og eksportformater er bestemt af leverandøren og aftalen. Bed om data i rå format, fx CSV, med en beskrivelse af felterne, og ikke kun om en PDF-rapport. Organisationens side af sagen er beskrevet på bevissikring-digitalt.dk.

Hvis organisationen bruger Teams som telefon, ligger opkaldsdata i Microsoft 365; se Teams-opkald og møder.

Sikring

Afklar anlæggets type, leverandør, version og hvem der administrerer det.
Eksportér CDR for den relevante periode i rå format, og notér filtre og antal poster.
Sikr optagelser og den tilhørende database eller metadata.
Hent SIP- eller SBC-logs, hvis de findes, og notér, om de dækker hele perioden.
Dokumentér anlæggets tidssynkronisering og tidszone.
Ved behov for uafhængig bekræftelse anmodes operatøren om data via de relevante kanaler.
Hash alle eksporter.

Fejlkilder

Tid: Anlæg uden korrekt tidssynkronisering giver tider, der afviger fra operatør og telefon. Se Når enhedens ur går forkert.
Flere poster pr. opkald: Kø, omstilling og viderestilling kan give flere poster, der ser ud som flere opkald.
Varighed: Samlet tid og taletid er ikke det samme.
Præsenteret nummer: Nummeret kan være ændret af afsender, anlæg eller operatør, fx et hovednummer i stedet for et direkte nummer.
Mislykkede opkald: Et opkald, der aldrig blev etableret, findes måske ikke i CDR, men kan ses i SIP-loggen.
Rotation: Logs roterer, og hostede portaler viser ofte kun en begrænset periode.

Dokumentation

Beskriv anlægget, versionen, tidssynkroniseringen og den periode, eksporten dækker. Vedlæg eller henvis til leverandørens feltbeskrivelse, så læseren kan se, hvordan varighed og udfald er defineret. For hvert opkald, der indgår i en konklusion, gengives opkalds-id, tidspunkter i UTC eller med angivet tidszone, numre og udfald, og hvilke andre kilder der bekræfter det. Når poster er slået sammen, fx fordi et opkald gik gennem kø og omstilling, skal det fremgå, hvordan sammenkoblingen er lavet. Begrænsninger, fx manglende SIP-logs eller udløbet historik i en hostet portal, skrives tydeligt.

Hvad kilderne kan og ikke kan bevise

CDR’en kan vise, at et opkald mellem to numre eller lokalnumre blev etableret, hvornår og hvor længe. SIP-loggen kan vise, hvordan opkaldet blev sat op, og hvilken identitet der blev angivet. Optagelsen kan vise, hvad der blev sagt. Ingen af kilderne viser alene, hvem der fysisk talte i telefonen, og det præsenterede nummer kan være forfalsket. Koblingen til en person kræver andre spor, fx hvilken enhed lokalnummeret var logget ind på, og samtidige handlinger.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

TeamViewer- og AnyDesk-logs: fjernadgang i sporene

Del af: Netværk og logs

Læs også: SASE, ZTNA og cloudproxy: logs, når trafikken ikke går gennem egen firewall · Multifunktionsprintere: joblog, scan-til-mail og intern lagring

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik