Analyseplan og hypoteser før analysen starter

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

En analyseplan er et kort dokument, der skrives, før den egentlige analyse begynder. Den beskriver spørgsmålene, de konkurrerende hypoteser, hvilke spor hver hypotese forudsiger, hvilke kilder og metoder der bruges, og hvornår analysen er færdig. Planen gør undersøgelsen hurtigere, fordi den holder fokus, og stærkere, fordi den viser, at alternative forklaringer blev afprøvet, før konklusionen blev kendt.

Planen er ikke det samme som opdraget. Opdraget formulerer de spørgsmål, bestilleren vil have besvaret. Analyseplanen er den tekniske oversættelse af spørgsmålene til konkrete undersøgelsesskridt. → Teknisk kommissorium: fra spørgsmål til afgrænset analyseopgave

Hvorfor hypotesedrevet arbejde

Uden en plan bliver analysen let en gennemgang af alt, hvad værktøjet kan vise. Det tager lang tid, giver store mængder irrelevante fund og øger risikoen for, at analytikeren finder det, der passer til fortællingen, og overser resten. Hypotesedrevet arbejde vender rækkefølgen om: Først formuleres de mulige forklaringer, derefter de spor, der kan skelne mellem dem, og så undersøges netop de spor.

Metoden er også et værn mod bekræftelsesbias, fordi den tvinger analytikeren til at beskrive, hvad der ville tale imod hovedhypotesen, før data er set. → Bias i forensisk analyse

Planens indhold

1. Spørgsmål

Gengiv opdragets spørgsmål, og omsæt dem til tekniske spørgsmål. “Har medarbejderen taget kundedata med?” bliver fx til: Er der i perioden overført filer fra kundemappen til eksterne medier, private cloudtjenester eller private mailadresser fra medarbejderens enheder eller konti?

2. Hypoteser

Opstil mindst to konkurrerende hypoteser for hvert centralt spørgsmål. Typisk en hovedhypotese, en eller flere uskyldige forklaringer og eventuelt en forklaring, der involverer andre personer eller systemer.

3. Forventede spor

For hver hypotese beskrives de spor, der burde findes, hvis den er rigtig, og de spor, der burde mangle. Det er planens vigtigste del, fordi det er her, de diskriminerende spor identificeres: de spor, der adskiller hypoteserne fra hinanden.

Kopiering til USB · Forventede spor: USB-tilslutning, LNK-filer til drevet, shellbags · Spor, der ville tale imod: Ingen USB-tilslutning i perioden
Upload til privat cloud · Forventede spor: Browserhistorik, proxy- eller firewalllog, synkroniseringsklient · Spor, der ville tale imod: Ingen forbindelser til tjenesten
Almindeligt arbejde · Forventede spor: Adgang i samme mønster før og efter opsigelsen · Spor, der ville tale imod: Markant ændret mønster i perioden

4. Kilder og metoder

Angiv, hvilke kilder der skal bruges til hver forventet spor, og hvordan de undersøges. Notér samtidig kendte begrænsninger, fx opbevaringsperioder og konfiguration, så det på forhånd står klart, hvilke spørgsmål materialet ikke kan besvare.

5. Rækkefølge og prioritering

Begynd med de spor, der adskiller hypoteserne mest, og med de kilder, hvor data kan være flygtige eller ufuldstændige. Hvis et enkelt spor kan afvise en hypotese, er det billigere at undersøge det først end at gennemgå alt.

6. Stopkriterier

Beskriv, hvornår analysen er tilstrækkelig. Fx: når de diskriminerende spor for alle hypoteser er undersøgt, når konklusionen ikke ændres af yderligere kilder, eller når det aftalte tidsforbrug er nået. Stopkriterier forhindrer både, at analysen stopper, så snart et fund passer, og at den fortsætter uden ende.

Test af alternative forklaringer

Den alternative forklaring skal tages lige så alvorligt som hovedhypotesen. Det betyder, at der skal ledes aktivt efter de spor, den forudsiger. Typiske alternativer i civile sager er:

handlingen var en del af det normale arbejde,
handlingen blev udført af en anden person med adgang til kontoen eller enheden,
handlingen blev udført af en automatisk proces,
sporet stammer fra en anden periode end antaget, fx på grund af tidszone eller urafvigelse,
data er ændret ved håndtering efter hændelsen.

Hver forklaring, der afvises, bør afvises med henvisning til et konkret spor. En forklaring, der ikke kan afvises, skal nævnes i rapporten.

Et kort eksempel på struktur

En analyseplan behøver ikke være lang. I en typisk sag om data ved fratræden kan den fylde en til to sider: et afsnit med de tekniske spørgsmål, en tabel med hypoteser og forventede spor, en liste over kilder med kendte dækningsperioder, en prioriteret rækkefølge og to eller tre stopkriterier. Det vigtige er, at den er dateret og skrevet, før analytikeren har set resultaterne af de centrale søgninger. En plan, der skrives bagefter, har ikke samme værdi, fordi den let kommer til at afspejle det, der blev fundet.

Planen og tidsforbruget

Planen er også det bedste grundlag for et realistisk overslag. Når de diskriminerende spor og kilderne er beskrevet, kan tidsforbruget for hvert skridt vurderes, og bestilleren kan tage stilling til, om alle hypoteser skal afprøves fuldt ud, eller om nogle kilder skal vente, til de første resultater foreligger. Det giver en mere åben dialog om prioritering end et samlet skøn, og det gør det tydeligt, hvad det betyder for konklusionens styrke, hvis en kilde fravælges af hensyn til økonomien.

Planen er et levende dokument

Planen ændres undervejs. Nye fund kan gøre det nødvendigt at tilføje en hypotese eller en kilde. Det er i orden, men ændringen skal dateres og begrundes i arbejdsnoterne. Det viser, at analysen har fulgt data, og det gør det muligt bagefter at se, hvilke skridt der var planlagt, og hvilke der blev tilføjet. → Arbejdsnoter under undersøgelsen

Fund, der ligger uden for opdraget, fx spor efter helt andre forhold, hører ikke ind i planen uden videre. De skal håndteres efter en fast procedure, herunder hvem der orienteres, og om opdraget skal udvides. → Fund uden for opdraget

Omfang og proportionalitet

En analyseplan er også et redskab til at holde undersøgelsen proportional. Når det på forhånd er beskrevet, hvilke kilder og perioder der er nødvendige for at besvare spørgsmålene, er det lettere at undgå at gennemgå private data eller data om personer, der ikke er relevante. Det er en fordel både databeskyttelsesmæssigt og for bevisværdien, fordi en afgrænset og begrundet undersøgelse er lettere at forsvare.

Hvad planen ikke er

Planen er ikke en garanti for, at konklusionen bliver den, bestilleren ønsker. Den er heller ikke en tjekliste, der skal udfyldes mekanisk. Den er en skriftlig beskrivelse af analytikerens faglige vurdering af, hvordan spørgsmålene bedst besvares med det tilgængelige materiale.

Dokumentation og deling

En analyseplan kan vedlægges rapporten som bilag eller beskrives i metodeafsnittet. I sager med en fælles sagkyndig eller en skønsmand kan det være en fordel at dele planen med parterne, før analysen begynder, så uenighed om metode eller afgrænsning afklares tidligt. Hvordan opdraget formuleres fra den juridiske side, er beskrevet på digital-bevissikring.dk: → Opdraget til den IT-sagkyndige

Rapporten bør mindst angive:

de hypoteser, der blev opstillet, og hvornår,
de diskriminerende spor, der blev undersøgt for hver hypotese,
resultatet for hver hypotese, herunder hvilke der blev afvist og på hvilket grundlag,
ændringer i planen undervejs og begrundelsen for dem,
spørgsmål, materialet ikke kunne besvare.

Det giver læseren mulighed for at se, at konklusionen er resultatet af en systematisk afprøvning og ikke af en udvælgelse af de fund, der passede.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Bias i forensisk analyse: bekræftelsesbias og kontekstinformation · Kontaminering: når undersøgelsen selv efterlader spor · Teknisk ordbog

→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik