Sådan læser du en logfil

Logdata indgår i stadig flere civile sager. Et login på en mailkonto, en hentet fil, en ændret ordre eller en slettet kunde efterlader typisk en linje i en log. Bilaget ser teknisk og præcist ud, men en loglinje siger kun det, som systemet var sat op til at registrere. Denne artikel gennemgår, hvordan en loglinje er bygget op, og hvilke spørgsmål advokaten bør stille, før en linje bruges som bevis for noget bestemt.

Hvad en logfil er

En logfil er en løbende registrering, som et system skriver automatisk. Hver linje beskriver en hændelse: et login, en forespørgsel til en webside, en fejl, en ændring. Hvilke hændelser der logges, og med hvilke oplysninger, afhænger af systemet og af dets opsætning. To systemer, der gør det samme, kan logge vidt forskelligt.

Det betyder, at en log aldrig er et fuldt referat af, hvad der skete. Den er et udvalg, som nogen har valgt på forhånd, ofte af driftsmæssige grunde og ikke med en tvist for øje.

Logs, advokaten ofte møder

• Loginlogs fra mail- og cloudtjenester, der viser godkendelser af en konto.
• Revisionslogs i forretningssystemer, der viser, hvem der ændrede en ordre, en kunde eller en faktura.
• Webserverlogs, der viser forespørgsler til en hjemmeside eller webshop.
• Firewall- og VPN-logs, der viser forbindelser ind og ud af et netværk.
• Hændelseslogs på computere, der blandt andet registrerer logins og systemhændelser.

Hver type har sine egne felter og sin egen opbevaringstid. Spørg derfor altid, hvilken type log et bilag stammer fra.

En loglinje skilt ad

Formatet varierer, men de fleste loglinjer indeholder de samme typer felter. Tabellen nedenfor viser to opdigtede eksempler, som ikke stammer fra nogen virkelig sag. Det første ligner en linje fra en webserver, det andet en linje fra et loginsystem.

Eksempel A (opdigtet webserverlinje):

• IP-adresse · Eksempelværdi: 203.0.113.45 · Betydning: Den adresse, forespørgslen kom fra set fra serveren
• Tidspunkt · Eksempelværdi: 14/Mar/2026:09:12:07 +0100 · Betydning: Serverens tid, her med angivelse af tidszone
• Metode og adresse · Eksempelværdi: GET /kunder/eksport.csv · Betydning: Der blev bedt om filen eksport.csv
• Statuskode · Eksempelværdi: 200 · Betydning: Serveren svarede, at forespørgslen lykkedes
• Størrelse · Eksempelværdi: 48211 · Betydning: Antal bytes i svaret
• Brugeragent · Eksempelværdi: Mozilla/5.0 (Windows NT 10.0 …) · Betydning: Den tekst, klientprogrammet oplyste om sig selv

Eksempel B (opdigtet loginlinje):

• Tidspunkt · Eksempelværdi: 2026-03-14T08:12:07Z · Betydning: Tid i UTC (Z), dvs. en time før dansk vintertid
• Hændelse · Eksempelværdi: Login lykkedes · Betydning: Systemets kategori for hændelsen
• Konto · Eksempelværdi: j.jensen@eksempel.dk · Betydning: Den brugerkonto, der blev logget ind med
• Kilde-IP · Eksempelværdi: 198.51.100.17 · Betydning: Adressen, loginforsøget kom fra
• Metode · Eksempelværdi: Adgangskode + app-godkendelse · Betydning: Hvordan kontoen blev godkendt
• Enhed · Eksempelværdi: Ukendt · Betydning: Systemet kunne ikke knytte loginet til en kendt enhed

Bemærk, at de to eksempler bruger forskellige tidsformater. Eksempel A har lokal tid med tidszone, eksempel B har UTC. Sammenlignes de uden omregning, ser hændelserne ud til at ligge en time fra hinanden, selv om de skete på samme minut. → Tidsstempler og tidszoner

Hvad linjen ikke beviser

Den vigtigste øvelse er at skelne mellem det, linjen registrerer, og det, en part ønsker at bruge den til.

• En konto er ikke en person. Loglinjen viser, hvilken konto der blev brugt. Hvem der sad ved tastaturet, kræver andre oplysninger, for eksempel om delte adgangskoder, gemte logins eller adgang for kolleger.
• En IP-adresse er ikke en adresse på et hus. Den kan tilhøre et firmanetværk, en mobiloperatør, en VPN-tjeneste eller et offentligt trådløst netværk, som mange deler.
• Statuskode 200 betyder, at serveren svarede. Det siger ikke, om filen blev gemt, åbnet eller brugt bagefter.
• Brugeragenten er oplyst af klienten selv. Den kan ændres, og den beskriver programmet, ikke personen.
• Fravær af en linje er ikke bevis for fravær af en hændelse. Hændelsen kan ligge uden for det, der logges, eller loggen kan være roteret, fyldt op eller slået fra i perioden.

Spørgsmål til enhver logfil

Når en log fremlægges, af klienten eller af modparten, kan disse spørgsmål afklare, hvad den kan bære:

1. Hvilket system har skrevet loggen, og hvilken version?
2. Hvem har trukket den ud, hvornår og hvordan?
3. Er det hele loggen for perioden eller et udvalg? Hvem har valgt ud?
4. Hvilken tidszone og hvilket tidsformat er brugt?
5. Var systemets ur synkroniseret med en tidskilde?
6. Hvilke hændelser blev logget, og hvilke blev ikke?
7. Hvor længe gemmes loggen, før den slettes eller overskrives?
8. Hvem havde adgang til at ændre eller slette i loggen?

Svarene kræver ofte en IT-ansvarlig hos den part, der ejer systemet. Det kan være relevant at få svarene på skrift eller som vidneforklaring. → Vidneforklaring fra IT-medarbejdere

Udtræk eller original

Logs fremlægges ofte som et regneark eller en PDF, som nogen har lavet ud fra systemet. Det er praktisk, men det er en bearbejdet gengivelse. Kolonner kan være udeladt, tider kan være omregnet, og filtrering kan have fjernet linjer, der ville give et andet billede.

Bed derfor om at vide, hvordan udtrækket er lavet, og overvej at bede om de rå logfiler for den relevante periode med hashværdier. Så kan en sagkyndig kontrollere, at udtrækket svarer til kilden. → Logfiler og logrotation

Når logs skal kombineres

Én loglinje er sjældent afgørende alene. Styrken kommer, når flere uafhængige kilder peger samme vej: et login i mailsystemet, en hentning i dokumentsystemet og en forbindelse i firewallen på samme tidspunkt fra samme adresse. Omvendt er det et svagt punkt, hvis en konklusion hviler på én kilde, som ikke kan kontrolleres mod andre.

Kombinationen kræver, at tiderne er gjort sammenlignelige. Det er et teknisk arbejde, hvor fejl i omregningen kan flytte hændelser i forhold til hinanden. → Tidslinjer som bevis

Typiske fejl

• At læse kontonavnet som navnet på den person, der handlede.
• At sammenligne tider fra to systemer uden at tjekke tidszoner.
• At acceptere et regneark som “loggen” uden at spørge, hvordan det er lavet.
• At slutte, at noget ikke skete, fordi der ikke er en linje om det.
• At vente så længe med at sikre loggen, at den er overskrevet.

Tjekliste før en loglinje bruges i et processkrift

• ☐ Systemet og loggens type er angivet
• ☐ Tidszonen er kendt og angivet i bilaget
• ☐ Det fremgår, om bilaget er et udvalg eller hele perioden
• ☐ Udtrækket kan føres tilbage til en sikret original
• ☐ Påstanden går ikke længere end det, linjen registrerer
• ☐ Alternative forklaringer er overvejet med en sagkyndig

Hvordan loglinjen skal vægtes over for andre beviser, er en juridisk vurdering. Den tekniske del handler om at sikre, at retten forstår, hvad linjen faktisk siger. → Logdata som bevis for aftaleindgåelse online

→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT