Ældre medier og båndbackup i sager

Forside › macOS- og Linux-forensik · Gennemgået oktober 2026 · Af John Nielsen

Sager om forhold, der ligger år tilbage, ender ofte med en kasse gamle bånd, harddiske, cd’er eller USB-nøgler. Medierne kan indeholde den eneste kopi af data fra den relevante periode, men de kan være svære at læse: Udstyret findes måske ikke længere, backupformatet kræver software, der ikke er installeret nogen steder, og medierne kan være nedbrudt. Den forensiske tilgang er at registrere medierne og deres historik, vurdere læsbarhed uden at slide på dem, læse hvert medie én gang til en kopi med hash og derefter arbejde på kopien. Det er det samme princip som ved moderne medier, men med flere praktiske forhindringer.

Registrering før alt andet

Ældre medier har ofte en uklar historik. Før noget læses, registreres:

Hvert enkelt medie: type, producent, etiket, serienummer, påskrift og fysisk tilstand. Fotografér forside, bagside og etiket. → Mærkning, forsegling og fotodokumentation af medier
Historikken: hvor medierne har ligget, hvem der har haft adgang, om de har været brugt efter den relevante periode, og om der findes lister eller rotationsskemaer.
Skrivebeskyttelse: De fleste bånd og mange ældre medier har en fysisk skrivebeskyttelsesknap. Sæt den, og notér det.

Registreringen indgår i bevisloggen fra første håndtering. → Chain of custody-loggen: felter, hændelser og hashreferencer

Båndbackup

Bånd er stadig udbredt til langtidsbackup, og ældre bånd fra virksomhedens tidligere backupløsning kan være relevante i sager om gamle dokumenter, mail eller regnskabsdata.

Kompatibilitet

Båndformater findes i generationer, og et drev kan normalt kun læse sin egen og et begrænset antal ældre generationer. Kombinationen af båndgeneration og drev skal derfor afklares først. Til og med LTO-7 kunne et drev normalt læse to generationer tilbage. LTO-8- og LTO-9-drev læser kun én generation tilbage, og drev til LTO-10 læser ifølge producentens dokumentation kun LTO-10-bånd. Et LTO-6-bånd kræver altså et LTO-6- eller LTO-7-drev, og et LTO-9-bånd et LTO-9-drev. Tjek altid drevproducentens kompatibilitetstabel.

Ud over drevet kræves typisk den backupsoftware, der skrev båndet, i en kompatibel version. Data på båndet er oftest skrevet i softwarens eget format, ikke som almindelige filer. Nyere bånd kan være skrevet med LTFS, et åbent format, der kan læses som et filsystem.

Kataloget

Backupsoftwaren holder et katalog over, hvilke filer der ligger på hvilke bånd fra hvilke job. Findes kataloget ikke længere, fx fordi backupserveren er udskiftet, skal det genopbygges ved at indlæse hvert bånd. Det tager tid, slider på båndene og skal dokumenteres. Har virksomheden stadig den gamle backupserver eller en kopi af dens katalog, er det en vigtig kilde i sig selv.

Kryptering

Er båndene krypteret, kræves nøglerne fra den tidligere nøglehåndtering. Mangler de, kan indholdet ikke læses, og det dokumenteres. → Når nøglen mangler: dokumentation af utilgængelige data

Andre ældre medier

Ældre harddiske (IDE/PATA, tidlige SATA) · Kræver adaptere og skrivebeskytter, der understøtter grænsefladen. Mekanisk slid ved gentagen læsning.
Optiske medier (cd, dvd) · Kan have flere sessioner. Ridser og nedbrudt lag giver læsefejl. Er skrivebeskyttede af natur, når de er lukket.
Disketter og Zip-diske · Kræver ældre drev. Magnetisk nedbrydning er almindelig.
USB-nøgler og hukommelseskort · Flashhukommelse kan miste data efter lang tid uden strøm.

Udstyr til ældre grænseflader skal afprøves på et testmedie af samme type, før det bruges på bevismediet, så fejl i adaptere eller drev ikke opdages først under sikringen. Ved hvert medie gælder, at en læsning ikke må ændre indholdet, og at læsefejl skal registreres i stedet for at blive skjult af værktøjet.

Læsbarhed uden at skade

Et ældre medie kan være skrøbeligt. Vurder tilstanden før første læsning:

Akklimatisering: Bånd og diske, der har ligget koldt eller fugtigt, bør stå ved rumtemperatur før brug.
Synlige skader: Bøjede bånd, mug, klæbende lag eller lyde fra en harddisk er tegn på, at medier skal behandles af specialister i dataredning, før de forsøges læst. → Defekte og fejlende diske: dataredning eller forensic?
Én læsning: Planlæg, så hvert medie læses én gang til en kopi. Gentagne forsøg øger risikoen for skade.

Sikringen

Læs mediet til en fil: et image af disken, en kopi af den optiske disk med alle sessioner eller en blokvis kopi af båndets indhold med registrering af filmærker.
Hash kopien og, hvor det er muligt, læs igen og sammenlign for at vise, at læsningen er stabil.
Registrér læsefejl med position og antal og den måde, værktøjet har håndteret dem på.
Gendan eller udpak fra kopien til et isoleret mål, ikke fra originalmediet. → Gendannelse fra backup til forensisk brug
Opbevar originalmediet forsvarligt og forseglet. Når mediet skal retur, dokumenteres tilstanden som i Tilbagelevering af originalmedier.

Data, der kræver det gamle program

Selv når filerne er læst, kan indholdet være svært at bruge. Data fra ældre økonomisystemer, fagsystemer, mailservere eller databaser er ofte gemt i formater, som kun det oprindelige program kan vise korrekt. Muligheder er:

Genopbygning af det gamle miljø i en isoleret virtuel maskine med den oprindelige software og version, hvis licens og installationsmedier findes.
Eksport fra det genopbyggede miljø til åbne formater som CSV eller PDF, med dokumentation af hvert trin.
Direkte analyse af databasefiler med værktøjer, der forstår formatet, hvis programmet ikke kan genskabes.

Genopbygning er en rekonstruktion og skal beskrives, så en anden kan gentage den. Notér, hvorfra software og licenser stammer, og om der er brugt opdateringer, der ikke var installeret i den oprindelige periode. Rapporter og visninger fra et genopbygget system kan afvige fra det, brugerne så dengang, fx på grund af manglende opsætning eller ændrede regnskabsparametre.

Tid i ældre data

Ældre systemer kan have kørt med andre tidszoner, uden automatisk tidssynkronisering eller med uret stillet forkert. FAT-filsystemer på ældre medier gemmer lokal tid uden zone. Backupformater kan gemme tidsstempler på deres egen måde. Tidsstempler fra gamle medier skal derfor kalibreres mod kendte hændelser fra samme periode, fx en dateret mail eller et regnskabsår.

Fejlkilder

Mediet er ikke perioden. Et bånd mærket med en dato kan være genbrugt senere. Indholdets egne tidsstempler og backupjobbets oplysninger afgør, hvad det dækker.
Ufuldstændige serier. En backupkæde med inkrementelle bånd kræver alle led.
Konvertering af gamle formater til moderne kan ændre layout, kodning af tegn eller metadata. Bevar altid den oprindelige fil ved siden af den konverterede.
Overskrevne bånd. Bånd i en rotationsordning er overskrevet mange gange. Et bånd indeholder normalt kun det seneste job, ikke tidligere generationer, og rester af ældre job efter det seneste filmærke er sjældne og svære at fortolke.
Fravær. At en fil ikke findes på de bånd, der er tilbage, siger intet om, hvorvidt den fandtes på bånd, der er kasseret.

Hvad gamle medier kan og ikke kan bevise

En korrekt sikret kopi af et gammelt medie kan vise, at bestemte data fandtes på mediet. Hvornår de blev skrevet, og om mediet har været ændret siden, afhænger af historikken og af de tekniske spor på mediet. En usikker opbevaringshistorik svækker beviset, og den skal beskrives ærligt.

Dokumentation

Rapporten bør angive hvert enkelt mediums identitet, tilstand og historik, udstyr og software med versioner, læsefejl, hashværdier og hvilke dele der er gendannet eller konverteret.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: macOS- og Linux-forensik

Læs også: VDI og Citrix: hvor ligger brugerens spor? · Chromebook og ChromeOS i undersøgelser

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik