Android‑artefakter: usage stats, Digital Wellbeing og app‑databaser

Forside › Android-forensik · Gennemgået oktober 2026 · Af John Nielsen

Når spørgsmålet er, hvordan en Android-telefon blev brugt, og hvornår, er de vigtigste kilder ikke beskederne, men systemets egne registreringer. Android fører statistik over, hvilke apps der kom i forgrunden, hvornår skærmen blev tændt og låst op, og hvor længe apps var i brug. Producenter og Google lægger deres egne lag ovenpå. Sammen kan kilderne give en tidslinje for brug af telefonen, men de kræver typisk et fuldt filsystemudtræk, og deres indhold varierer mere mellem modeller end på iPhone.

Det praktiske om at sikre en Android-telefon står på hubben i Bevissikring af Android-telefon. Udtrækstyperne er beskrevet i Udtræk fra mobiltelefoner. Her går vi i dybden med artefakterne.

Hvorfor udtrækstypen afgør alt

Systemartefakterne ligger i den beskyttede del af filsystemet, som apps og almindelige backupfunktioner ikke har adgang til. Et logisk udtræk via backup eller agent indeholder dem derfor normalt ikke. Kun et fuldt filsystemudtræk med understøttelse af den konkrete model og Android-version giver adgang. Kan det ikke lade sig gøre, skal rapporten sige, at spørgsmålet om brug ikke kan belyses fra disse kilder, ikke at telefonen ikke blev brugt.

Usage stats

Android har en indbygget tjeneste, der registrerer brugshændelser. Data gemmes pr. bruger i systemmappen i fire opløsninger: daglig, ugentlig, månedlig og årlig. De daglige filer indeholder de detaljerede hændelser, mens de længere perioder er sammenfatninger. Googles udviklerdokumentation beskriver de fire intervaller og hændelsestyperne, men ikke filernes placering og format. Filformatet har skiftet mellem Android-versioner, fra XML i ældre versioner til et binært format i nyere, så værktøjet skal understøtte den konkrete version.

Typiske hændelsestyper:

App i forgrunden og baggrunden · Hvornår en bestemt app eller aktivitet blev vist på skærmen
Skærm tændt og slukket · Perioder med aktiv skærm
Låseskærm skjult og vist · Hvornår telefonen blev låst op
Konfigurationsændring · Fx ændret tidszone eller sprog
Notifikationer og genveje · Interaktion med notifikationer, afhængigt af version

Opbevaringen er begrænset. De detaljerede daglige hændelser slettes efter et antal dage, mens sammenfatningerne lever længere. Googles dokumentation siger blot, at hændelser kun gemmes af systemet i få dage; den præcise periode afhænger af version og producent og aflæses af de ældste filer i den sikrede kopi. Det betyder, at sikringen skal ske hurtigt, hvis det er brugen i en bestemt uge, sagen handler om.

Digital Wellbeing og producenternes varianter

Digital Wellbeing er Googles app til skærmtid og brugsgrænser. Den har sin egen database med hændelser om app-brug, skærm og oplåsninger, og på nogle telefoner gemmer den data længere end systemets usage stats. Samsung og andre producenter har egne udgaver eller supplerende tjenester, som gemmer lignende data andre steder og i andre formater. Hverken Google eller producenterne dokumenterer databasernes navne og opbevaring, så den faktiske dækning skal fastslås i det sikrede udtræk og noteres med app- og systemversion.

For analysen betyder det, at samme spørgsmål kan have to eller tre kilder på én telefon. Det er en styrke, fordi de kan krydstjekkes. Det er også en fejlkilde, fordi de ikke er synkroniserede og kan bruge forskellige definitioner af fx en “session”.

Andre systemartefakter

Pakkeliste og installationsdata: Hvilke apps der er installeret, hvornår de blev installeret eller opdateret, og fra hvilken kilde.
Kontodatabasen: Hvilke konti der er tilføjet telefonen, fx Google, Microsoft og beskedtjenester.
Wi-Fi-konfiguration: Gemte netværk, ofte med tidspunkt for seneste forbindelse.
Bluetooth: Parrede enheder, fx en bil eller et headset, som kan sætte telefonen i en kontekst.
Batteri- og strømstatistik: Opladning, genstarter og perioder med høj aktivitet.
Seneste opgaver: Skærmbilleder af de seneste app-vinduer, som systemet gemmer til opgaveskifteren.
Notifikationshistorik: Hvis funktionen er slået til, kan beskeder, der er slettet i appen, have efterladt en notifikation.

Hvert artefakt har sit eget format, sin egen opbevaring og sine egne versionsforskelle. Mange af dem er SQLite-databaser, hvor slettede poster kan findes i frie sider og skrivejournaler; se SQLite i forensic.

App-databaser

De fleste apps gemmer deres data i egne SQLite-databaser og præferencefiler i appens private mappe. Her ligger beskeder, opkald, kontakter, søgninger, kortdata og meget mere. Indholdet er appens eget og kan ændre struktur med hver opdatering. Forensiske værktøjer har parsere til de udbredte apps, men parseren kan halte efter appens seneste version. Vigtige fund skal derfor efterprøves direkte i den underliggende database med angivelse af tabel, felt og rækkens nøgle.

Vær særligt opmærksom på tidsstempler. Android-apps bruger oftest Unix-tid i millisekunder, men ikke alle, og nogle gemmer lokal tid. Se Tidsstempelformater.

Sådan bygges en brugstidslinje

En robust tidslinje for brug af telefonen bygges i lag. Start med de hændelser, systemet selv skriver uden brugerens medvirken: skærm tændt, låseskærm skjult, genstart. De giver rammen, altså de tidsrum hvor telefonen faktisk var i brug. Læg derefter app-hændelserne fra usage stats ind i rammen, og kontrollér dem mod Digital Wellbeing eller producentens tilsvarende kilde, hvor den findes. Til sidst lægges indholdet fra app-databaserne ind, fx sendte beskeder eller opkald, så det kan ses, om de falder inden for en periode med oplåst skærm.

Uoverensstemmelser er ofte de mest interessante punkter. En sendt besked uden en samtidig periode med oplåst skærm kan skyldes et svar fra en notifikation, en tilknyttet enhed som et ur eller en computer, en planlagt afsendelse eller en forsinket synkronisering. Hver forklaring skal overvejes og nævnes, før der konkluderes.

Sikring med tidsfrister for øje

Fordi de detaljerede brugshændelser roterer, skal sikringen ske så tidligt som muligt. Hold telefonen tændt og opladet, isolér den fra netværk, og notér telefonens ur mod en kendt referencetid ved modtagelsen. Afvigelsen bruges senere, hvis tidsstempler skal korrigeres. Hvis udtrækket først kan foretages efter nogle dage, skal det fremgå, at den tidligste del af perioden kan være faldet ud af de daglige filer. Notér også, om telefonen er genstartet eller opdateret efter modtagelsen, fordi begge dele kan ændre eller rydde dele af statistikken.

Typiske fejlkilder

Forgrund er ikke læsning: At en app var i forgrunden, viser ikke, at nogen så på skærmen eller skrev noget.
Systemprocesser: Opdateringer, backup, notifikationer og widgets kan give hændelser, der ligner brug. Se Systemet eller brugeren?.
Flere brugerprofiler: Android understøtter flere brugere og arbejdsprofiler med hver sine data. Find ud af, hvilken profil hændelsen hører til.
Tidszone og ur: Usage stats er typisk i UTC, men visningen i værktøjet er det ikke nødvendigvis. Kontrollér stikprøvevis.
Huller: Manglende hændelser kan skyldes opbevaringsgrænser, en genstart, en opdatering eller at telefonen var slukket.
Producentlag: En parser, der er testet på en Pixel, er ikke nødvendigvis korrekt på en Samsung eller en anden producents telefon.

Hvad artefakterne kan og ikke kan bevise

Artefakterne kan vise, at telefonen var låst op, og at en bestemt app var i forgrunden i et tidsrum. Det kan være afgørende for spørgsmål om arbejdstid, om en besked blev set, eller om en app blev brugt på et bestemt tidspunkt. De kan ikke alene vise, hvem der holdt telefonen. Det kræver kobling til andre forhold; se Hvem sad ved tastaturet?.

Dokumentation

Angiv telefonens model, producent, Android-version og sikkerhedsopdatering, udtrækstype og værktøj med version. For hvert fund angives kildefil, tabel eller filtype, de rå værdier og den omregnede tid. Er flere kilder sammenholdt, fx usage stats og Digital Wellbeing, beskrives det, hvor de stemmer overens, og hvor de afviger. Det giver modparten mulighed for at efterprøve, og det gør konklusionen robust.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Android-forensik

Læs også: Billeder på iPhone: Photos.sqlite, metadata og redigeringer · Android-backup og Google-kontoens sikkerhedskopi

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik