Afvigelser og fejl undervejs: sådan dokumenteres de

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Næsten alle undersøgelser har afvigelser: et image, der bliver afbrudt, en hashværdi, der ikke stemmer, et værktøj, der går ned, eller en tidszone, der viser sig at være forkert sat i analysen. Det afgørende er ikke at undgå enhver fejl, men at registrere den, vurdere konsekvensen og beskrive den åbent, så resultatet stadig kan efterprøves. En afvigelse, som du selv har dokumenteret, er sjældent et problem. En afvigelse, som modpartens sagkyndige finder i dine data, kan svække tilliden til hele rapporten.

Hvad er en afvigelse?

En afvigelse er enhver situation, hvor arbejdet ikke fulgte den planlagte fremgangsmåde, eller hvor resultatet ikke var det forventede. Det omfatter både egentlige fejl og bevidste ændringer i planen, fx når afgrænsningen udvides undervejs.

Sikring · Afbrudt image, læsefejl på kilden, skrivebeskytter ikke brugt, forkert valgt kildevolumen
Integritet · Hashværdi stemmer ikke ved kontrol, manglende hash for en eksport
Værktøjer · Nedbrud, ny version midt i analysen, parser, der springer poster over
Tid · Forkert tidszone i analysen, urafvigelse opdaget sent
Håndtering · Brudt forsegling, forbyttet mærkning, medie opbevaret uden for den aftalte placering
Opdrag · Ændret afgrænsning, fund uden for opdraget, nye spørgsmål fra opdragsgiver

Listen er ikke udtømmende. Tommelfingerreglen er enkel: Hvis du selv ville spørge til det, når du læste en andens rapport, er det en afvigelse.

Registrér med det samme

Afvigelsen skrives ned, når den opdages, ikke når rapporten skal skrives. En registrering bør som minimum indeholde:

tidspunkt med tidszone og hvem der opdagede afvigelsen,
hvad der var planlagt, og hvad der faktisk skete,
hvilke medier, kopier eller eksporter der er berørt, med bevisnummer og hashværdi,
den umiddelbare handling, fx at arbejdet blev standset eller et nyt forsøg startet,
hvem der er orienteret, og hvornår.

Registreringen hører hjemme i arbejdsnoterne. Berører afvigelsen selve beviset, fx en brudt forsegling eller en ny kopi, skal den også ind i loggen over kæde af ansvar (chain of custody), så de to kilder fortæller den samme historie. En registrering rettes aldrig ved at overskrive den. Viser det sig senere, at første beskrivelse var upræcis, tilføjes en ny post med dato, der henviser til den gamle. → Arbejdsnoter under undersøgelsen

Vurdér konsekvensen

Når afvigelsen er registreret, skal den vurderes. Fire spørgsmål dækker de fleste tilfælde:

Er originalen påvirket? Er der skrevet til kildemediet, eller er en cloudkonto ændret af undersøgelsen?
Er kopiens integritet påvirket? Kan det stadig vises, at arbejdskopien svarer til masterkopien?
Hvilke resultater bygger på det berørte? Spor afvigelsen frem til de fund og tidslinjer, den kan have påvirket.
Kan det gentages? Kan sikringen eller analysen gennemføres igen, og giver det samme resultat?

Brug gerne en fast skala, fx “ingen betydning for resultatet”, “begrænset betydning, afhjulpet” og “påvirker konklusionen”. Skalaen tvinger dig til at tage stilling og gør det lettere for en reviewer at følge vurderingen.

Typiske afvigelser og håndtering

Læsefejl og afbrudte images

En disk med dårlige sektorer kan give et image, hvor værktøjets hashværdi af kilden og af kopien ikke kan sammenlignes på normal vis, fordi kilden ikke kan læses ens to gange. Gem værktøjets fejllog med listen over ulæselige sektorer, og beskriv, hvordan der blev læst igen. Et nyt forsøg dokumenteres som en selvstændig sikring med egen hashværdi. → Når hashværdien ikke stemmer

Utilsigtet skrivning til originalen

Er et medie monteret uden skrivebeskyttelse, eller er der logget ind på den oprindelige konto, skal du beskrive præcist, hvad handlingen kan have ændret: journalposter, monteringstidspunkter, senest tilgået-tider eller nye poster i en loginlog. Identificér dine egne spor, så de kan holdes adskilt fra de spor, sagen handler om. → Kontaminering: når undersøgelsen selv efterlader spor

Ny værktøjsversion undervejs

Opdateres et analyseværktøj midt i forløbet, notéres versionen for hvert resultat. Kontrollér, at de fund, konklusionen hviler på, giver det samme resultat i begge versioner, eller gentag dem i én version.

Forkert tidszone opdaget sent

Rettes tidszonen efter et udkast, registreres hvilke tidspunkter, tabeller og afsnit der er ændret. Kontrollér særligt rækkefølgen af hændelser tæt på hinanden, fordi en times forskydning kan vende den.

Rettelser, når rapporten er afleveret

Opdages en fejl efter aflevering, sendes en rettelse eller et supplerende notat. Notatet bør angive, hvad der er ændret, hvorfor, og om konklusionerne påvirkes. Lad den oprindelige version bestå, og giv den nye et nyt versionsnummer, så det altid kan ses, hvilken version en part har forholdt sig til. Hvordan en rettelse håndteres i en verserende sag, fx over for retten eller en skønsmand, er advokatens vurdering.

I rapporten

Afvigelser kan beskrives i et selvstændigt afsnit eller under metode og begrænsninger. Det vigtige er, at beskrivelsen er kort, faktuel og angiver konsekvensen. To eksempler på formuleringer:

“Første sikring af disken blev afbrudt efter en læsefejl. Anden sikring blev gennemført med samme værktøj og en fejllog, der viser de ulæselige sektorer (bilag 3). De berørte sektorer indgår ikke i analysen.”
“Analysen blev påbegyndt med version X og afsluttet med version Y af værktøjet. Fundene i afsnit 5.2 er kontrolleret i begge versioner med samme resultat.”

Undgå både at bortforklare og at overdramatisere. Læseren skal kunne se, hvad der skete, og selv vurdere, om det har betydning. → Rapportskrivning i digital forensic

Er en afvigelse ikke beskrevet i rapporten, fordi den blev vurderet uden betydning, skal vurderingen stadig kunne findes i arbejdsnoterne. Så kan spørgsmålet besvares præcist, hvis det kommer, med henvisning til, hvad der skete, hvornår det blev opdaget, og hvorfor det ikke påvirkede resultatet. Det er forskellen på en forklaring og en bortforklaring.

Hvorfor åbenhed styrker troværdigheden

En kritisk modpart vil se efter netop det, der er beskrevet her: tidsstempler i loggen, hashværdier, værktøjsversioner og huller i kæden af ansvar. Har du selv beskrevet afvigelsen og dens konsekvens, er der ikke meget at komme efter. Findes den af andre, bliver spørgsmålet ikke kun, hvad der skete, men også hvorfor det ikke stod i rapporten. Hvordan metoden typisk afprøves under en afhøring, er beskrevet fra advokatens side på søstersitet. → Krydsforhør af en IT-sagkyndig

Åbenhed betyder ikke, at enhver tastefejl i arbejdsnoterne skal i rapporten. Det betyder, at alle afvigelser er registreret, og at de, der kan påvirke resultatet eller bevisets integritet, er beskrevet.

Fra enkeltfejl til læring

Samler du afvigelserne fra alle sager i en fælles log, kan mønstre ses: et værktøj, der gentagne gange fejler på et bestemt filsystem, en procedure, der ofte springes over, eller en type medie, der giver læsefejl. Find årsagen, ret proceduren, og notér ændringen. Det er kernen i en enkel kvalitetsstyring, også uden akkreditering. → Kvalitetsstyring i en lille forensic-praksis

Tjekliste

☐ Afvigelsen er registreret med tidspunkt, person og berørte bevisnumre
☐ Chain of custody-loggen er opdateret, hvis beviset er berørt
☐ Konsekvensen er vurderet for original, kopi og resultater
☐ Berørte fund er gentaget eller kontrolleret
☐ Afvigelsen er beskrevet i rapporten, hvis den kan påvirke resultatet
☐ Rettelser efter aflevering er versioneret og begrundet
☐ Afvigelsen er ført ind i den fælles afvigelseslog

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Fagfællebedømmelse (peer review) af forensisk arbejde · Testdatasæt og referencedata: sådan bygges en test

→ Second opinion på en IR- eller forensic-rapport · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik