Adgangskontrol og dørlogs som tidsanker

Forside › Netværk og logs · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Et elektronisk adgangskontrolsystem logger, hvilket kort, hvilken brik eller hvilken kode der blev brugt ved hvilken læser, hvornår, og om adgangen blev givet eller nægtet. Det gør loggen til et af de få fysiske tidsankre i en ellers digital tidslinje. Den viser brugen af et adgangsmiddel, ikke hvem der holdt det, og den viser sjældent, hvem der gik med ind ad døren.

Spørgsmålet om, hvem der var i bygningen, og hvordan det bruges i en sag, er beskrevet juridisk på Adgangskontrol og nøglebrikker: hvem var i bygningen?. Her gennemgås de tekniske lag, uret og koblingen til IT-sporene.

Systemets lag

Et typisk anlæg består af fire lag, og hvert lag har sin egen del af sandheden:

Læseren ved døren aflæser kort, brik, kode, biometri eller en mobilnøgle i en telefon. Læseren træffer normalt ikke selv beslutninger.
Dørcontrolleren afgør, om adgangen gives, styrer låsen og registrerer dørkontakten. Den har en lokal hændelsesbuffer og ofte en lokal kopi af rettighederne, så døren virker, selv om forbindelsen til serveren er nede.
Serveren eller cloudtjenesten samler hændelserne i en database, holder registret over personer og adgangsmidler og leverer rapporter.
Administrationsklienten bruges til at oprette brugere, tildele rettigheder, spærre kort og trække rapporter. Ændringer her logges i en separat operatør- eller auditlog, hvis systemet har en.

Hændelsestyperne varierer mellem fabrikater, men de fleste systemer skelner mellem adgang givet, adgang nægtet (med årsag som ukendt kort, uden for tidsplan eller spærret), dør åbnet uden gyldig adgang, dør holdt åben for længe, samt alarmtilkobling og frakobling. De sidste typer er ofte mere værdifulde end selve kortlæsningerne, fordi de viser, hvad døren gjorde, ikke kun hvad læseren så.

Mobilnøgler og cloudanlæg

Nyere anlæg bruger ofte telefonen som adgangsmiddel via Bluetooth eller NFC, og administrationen ligger hos en cloudtjeneste. Det giver to ekstra kilder: telefonens egen app, der kan have en lokal historik og notifikationer, og leverandørens platform, der typisk har både hændelseslog og administratorlog. Til gengæld er virksomheden afhængig af, hvad leverandøren kan eksportere, og hvor længe data gemmes. Afklar tidligt, om eksporten indeholder alle felter, og om leverandøren kan levere data, der ikke vises i brugerfladen. Om SaaS-leverandører generelt, se SaaS-systemer som datakilde.

Uret er den kritiske faktor

En dørhændelse er kun et tidsanker, hvis tidsstemplet er pålideligt. Dørcontrollere har deres eget ur, som synkroniseres fra serveren eller via NTP. Afvigelser på minutter forekommer, især på ældre anlæg og controllere, der har været uden forbindelse.

Når en controller har været offline, gemmer den hændelser lokalt og sender dem senere. Nogle systemer bevarer controllerens tidsstempel, andre registrerer også eller kun serverens modtagetid. Rækkefølgen i en rapport kan derfor afvige fra den faktiske rækkefølge. Undersøg, om databasen har begge felter, og hvilket felt rapporten viser.

Tidszone og sommertid håndteres også forskelligt. Nogle systemer gemmer lokal tid uden zone, så en hændelse i den time, der gentages ved overgang til vintertid, er tvetydig. Se Server-tid og klient-tid om, hvordan forskellige ure afstemmes.

Den mest robuste kontrol er en kontrolmåling: brug et testkort ved en kendt læser, notér tiden efter en referencetid, og sammenlign med det, systemet registrerer. Gentag det ved de læsere, der betyder noget for sagen, og skriv afvigelsen i rapporten. En målt afvigelse i dag siger ikke alt om uret måneder tilbage, men den viser, om systemet generelt holder tiden.

Sikring

Hændelsesdata har ofte kort levetid. Mange anlæg sletter dørhændelser efter en fast periode af hensyn til databeskyttelse, og perioden er sat lokalt. Afklar derfor opbevaringen straks, og bed ejeren af anlægget eller leverandøren om at stoppe automatisk sletning for den relevante periode.

Sikringen bør omfatte:

Rå hændelser som databaseudtræk eller den mest detaljerede eksport, systemet kan give, ikke kun en opsummerende rapport. Notér filtre, periode og hvilke tidsfelter der er med.
Registret over adgangsmidler med historik: hvilket kortnummer var tildelt hvem i den relevante periode. Kortnumre genbruges, og et kort kan være meldt tabt og erstattet.
Konfigurationen: dørnavne, læser-id’er, controllerens tidszone, tidsplaner og rettighedsgrupper. Ved ombygninger bliver dørnavne ofte stående, selv om læseren er flyttet.
Operatørloggen, der viser, hvem der oprettede, ændrede eller spærrede adgangsmidler, og hvem der trak rapporter.
Kontrolmålingen af uret, med tidspunkt og referencekilde.

Hash eksportfilerne, og registrer dem i bevisloggen. Hvis anlægget drives af et vagt- eller installationsfirma, så få eksporten udført med en sagkyndig til stede eller med en skriftlig beskrivelse af fremgangsmåden. Om logfiler, der roterer, se Logfiler og logrotation.

Koblingen til de digitale spor

Værdien opstår, når dørloggen stilles op mod andre kilder. En kortlæsning ved hovedindgangen kl. 07.42 og en oplåsning af arbejdsstationen kl. 07.46 (Windows-hændelse 4801, hvis revisionen er slået til) understøtter hinanden. Wi-Fi-tilknytning af en telefon, VPN-sessioner, tilslutning af USB-enheder og videooptagelser kan føjes til. Se Opstart, nedlukning, lås og dvale og Videoovervågning: NVR/DVR-eksport og tidsstempler.

Det modsatte er lige så vigtigt. Hvis loggen viser, at personens kort ikke blev brugt den dag, mens arbejdsstationen blev låst op lokalt, er der en uoverensstemmelse, der skal forklares: et lånt kort, en dør, der stod åben, eller et login, der ikke var lokalt alligevel. Metoden til at stille kilderne op er beskrevet i Tidslinjeanalyse.

Typiske faldgruber

Kortet er ikke personen. Kort og brikker udlånes, og koder deles. Biometri og mobilnøgler knytter adgangen tættere til en person, men heller ikke de er endegyldige.
Følgeskab. Når én person åbner døren, kan flere gå ind uden at blive registreret.
Kun indgang. Mange anlæg har kun læser på indgangssiden. Udgang registreres ikke, og fravær af en hændelse viser intet om, hvornår personen gik.
Døre, der står åbne. Tidsstyrede åbningstider og dørstoppere betyder, at ingen kortlæsning var nødvendig.
Opsummerede rapporter. Rapporter til tidsregistrering viser ofte kun første og sidste hændelse pr. dag og skjuler resten.
Nægtede adgange. Et forsøg med et spærret kort er også et spor og kan være lige så vigtigt som en givet adgang.

Hvad loggen kan og ikke kan bevise

Loggen kan vise, at et bestemt adgangsmiddel blev præsenteret ved en bestemt læser på et tidspunkt med en kendt usikkerhed, og om døren blev åbnet. Kombineret med registret kan den vise, hvem adgangsmidlet var tildelt. Den kan ikke alene vise, at netop den person var til stede, eller at andre ikke var det. Konklusioner om tilstedeværelse bør derfor formuleres som støtte til en hypotese, ikke som en selvstændig konstatering, og alternative forklaringer skal nævnes.

Dokumentation i rapporten

Beskriv anlæggets opbygning, fabrikat og version, hvor data blev trukket fra, hvilke tidsfelter der er brugt, den målte urafvigelse, opbevaringsperioden og eventuelle huller. Vis de rå hændelser i et bilag, og lad tidslinjen henvise til dem, så hver påstand kan føres tilbage til en konkret linje.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Netværk og logs

Læs også: Videoovervågning teknisk: eksport fra NVR/DVR, tidsstempler og integritet · .dk-domæner: registreringshistorik og DNS-ændringer

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik