Android‑backup og Google‑kontoens sikkerhedskopi

Forside › Android-forensik · Gennemgået oktober 2026 · Af John Nielsen

En Android-backup er ikke det samme som en iPhone-backup. På iPhone giver en krypteret lokal backup et ret fuldstændigt og velkendt udtræk. På Android er backup splittet mellem Googles sikkerhedskopi i kontoen, producentens egne løsninger og de enkelte apps’ egne backups, og ingen af dem svarer til et samlet billede af telefonen. For den, der skal sikre data, betyder det, at “vi har en backup” sjældent er svaret på, hvad der kan dokumenteres.

Det generelle om backup som beviskilde står på hubben i Backup som bevis. Her ser vi på, hvad Android-backuppen teknisk indeholder, og hvordan den kan bruges.

Tre lag af backup

Googles sikkerhedskopi · Typisk indhold: Appdata, opkaldshistorik, kontakter, indstillinger, sms og mms · Hvor det ligger: I Google-kontoen, knyttet til enheden
Producentens backup · Typisk indhold: Varierer, ofte bredere end Googles · Hvor det ligger: Lokalt på en computer eller i producentens cloud
Appernes egne backups · Typisk indhold: Fx beskedapps’ chathistorik · Hvor det ligger: I appens egen løsning, ofte i Google Drive

Google nævner apps og appdata, opkaldshistorik, kontakter, enhedsindstillinger samt sms og mms som backuppens indhold. Bruges Googles egne apps, kommer RCS-beskeder, opkaldsindstillinger og blokerede numre med. Billeder og video gemmes via Google Fotos, hvis det er slået til, og ligger dermed i Fotos frem for i selve enhedsbackuppen. Google gør selv opmærksom på, at ikke alle apps kan tage backup af alle data.

Hvad der ikke kommer med

Googles sikkerhedskopi af appdata har en størrelsesgrænse pr. app, som udviklerdokumentationen på tidspunktet for gennemgangen (oktober 2026) angiver til 25 MB, og apps kan helt fravælge at blive taget med. Mange apps med følsomme data gør netop det, og andre gemmer kun indstillinger, ikke indhold. Systemartefakter som usage stats, Wi-Fi-historik i detaljer og app-databasernes frie sider er ikke med. Slettede data er heller ikke med; backuppen er et øjebliksbillede af det, der fandtes ved seneste kørsel.

Derfor kan en Android-backup sjældent besvare spørgsmål om, hvordan telefonen blev brugt. Det kræver et udtræk af selve enheden; se Android-artefakter: usage stats og Digital Wellbeing.

Kryptering

Nyere Android-versioner krypterer dele af Googles sikkerhedskopi med en nøgle, der er afledt af telefonens skærmlås. Det betyder, at Google ikke selv kan læse indholdet, og at backuppen kun kan gendannes på en enhed, hvor den, der kender den oprindelige skærmlås, indtaster den. Ifølge Googles udviklerdokumentation gælder det fra Android 9, når telefonen har en skærmlås. Billeder og video i Google Fotos samt mms-medier er ifølge Google ikke krypteret med skærmlåsen. For sagen er konsekvensen enkel: Uden kontoens ejer og telefonens kode er backuppen i praksis utilgængelig, og det er den rigtige grænse. Lovlige adgangsveje er beskrevet i Krypterede data i en undersøgelse.

Kan backuppen eksporteres?

Googles enhedsbackup kan ses i kontoens oversigt over sikkerhedskopier, men den kan ikke hentes ned som en fil i læsbart format. Den eneste normale vej til indholdet er at gendanne den til en Android-enhed. Kontoens dataeksport indeholder mange andre tjenester, fx kontakter, kalender, Drive og Fotos, men ikke enhedsbackuppen som sådan. Googles hjælpesider nævner kun gendannelse til en Android-enhed som vej til indholdet. Slås backup fra, eller bruges enheden ikke i en længere periode, slettes backuppen; se Den nulstillede firmatelefon. Forskellen mellem eksportveje for Google-data er beskrevet i Google Takeout eller Vault-eksport.

Gendannelse til en testenhed

Hvor telefonen selv er væk eller nulstillet, kan en gendannelse af backuppen til en ren testenhed være den eneste vej. Det er en legitim metode, når der er lovligt grundlag og samtykke fra kontoens ejer, men den skal dokumenteres omhyggeligt:

Brug en nulstillet testenhed, og dokumentér dens model, Android-version og tilstand før gendannelsen.
Notér, hvilken backup der er valgt, med enhedsnavn og tidspunkt for seneste backup, som de vises i kontoen.
Gendan uden at installere andre apps, og afbryd synkronisering, hvor det er muligt, efter gendannelsen.
Foretag derefter et udtræk af testenheden som af enhver anden telefon, og hash udtrækket.
Beskriv i rapporten, at data stammer fra en gendannelse, og at tidsstempler på filsystemniveau afspejler gendannelsen, ikke den oprindelige telefon.

Gendannelsen ændrer kontoen. Den registreres som en ny enhed, ejeren kan få en sikkerhedsadvarsel, og synkronisering kan påvirke andre enheder på kontoen. Det skal være aftalt på forhånd.

Producenternes løsninger

Flere producenter har deres egen backup, enten lokalt til en computer eller i producentens cloud. En lokal producentbackup kan være mere omfattende end Googles og kan ofte gemmes som en fil, der kan hashes. Formatet er dog producentens eget, og forensiske værktøjers understøttelse varierer med værktøj, producent og backupversion. Kontrollér understøttelsen, før metoden vælges.

Den gamle, generiske backupfunktion via udviklerkommandoer er udfaset for de fleste apps i nyere Android og kan ikke længere betragtes som en pålidelig metode. Hvis en ældre sikring bygger på den, skal begrænsningerne fremgå.

Appernes egne backups

Beskedapps har ofte deres egen backup, typisk til kundens Google Drive. Den ligger i Drive, men er ofte skjult for brugeren og krypteret med appens egen nøgle eller en adgangskode, som brugeren har valgt. Den kan kun gendannes til appen selv og typisk kun på samme telefonnummer. Den tekniske side for WhatsApp er beskrevet i WhatsApp teknisk.

Forskellen til iOS

På iPhone kan en krypteret lokal backup laves fra telefonen til en computer, hashes som fil og analyseres med en række værktøjer. På Android findes der ikke et tilsvarende samlet format. Det betyder, at en Android-sikring oftere bygger på enten et udtræk af enheden selv eller en kombination af flere kilder: enheden, Google-kontoen og appernes backups. Se iOS-backup: krypteret, ukrypteret og hvad den indeholder.

Når enheden er væk: kombinér kilderne

Er telefonen nulstillet, tabt eller ikke udleveret, må billedet stykkes sammen af det, der findes uden for den. Det praktiske forløb for en nulstillet firmatelefon er beskrevet i Den nulstillede firmatelefon. Teknisk handler det om at kortlægge, hvilke kilder der dækker hvilke kategorier:

Kontakter, kalender og mail: synkroniseret til Google-kontoen eller virksomhedens mailsystem og kan eksporteres derfra.
Billeder og video: Google Fotos, hvis synkronisering var slået til, med de begrænsninger, komprimering kan give.
Sms og opkaldshistorik: Googles enhedsbackup, hvis den er nyere end hændelsen.
Beskedapps: appens egen backup, gendannet til appen på en testenhed.
Arbejdsdata: MDM-systemet og virksomhedens cloudtjenester.

Kortlægningen bør laves som en tabel i rapporten med kilde, periode, dækning og metode. Den viser modparten, hvad der er undersøgt, og hvad der ikke kunne undersøges, og den gør det tydeligt, hvor huller i materialet skyldes manglende kilder frem for manglende aktivitet. Hver kilde får sine egne hashværdier og sin egen post i kæden af ansvar.

Typiske fejlkilder

Seneste backup er gammel: Backuppen kører typisk kun under bestemte betingelser, fx opladning og Wi-Fi. Tidspunktet for seneste kørsel skal dokumenteres.
Den forkerte enhed: En konto kan have backups fra flere telefoner. Vælg og dokumentér den rigtige.
Gendannelsens tidsstempler: Filsystemets tider på testenheden er gendannelsens tider.
Tom app er ikke slettet indhold: Appen kan have fravalgt backup.

Hvad backuppen kan og ikke kan bevise

En gendannet backup kan vise, hvad der fandtes i de omfattede kategorier ved seneste backupkørsel. Den viser ikke, hvad der skete efter, og den viser ikke brug af telefonen. Begrænsningerne skal stå i rapporten sammen med tidspunktet for den backup, der er brugt.

Bemærk også, at en gendannelse ikke kan gentages med samme resultat. Backuppen i kontoen kan blive overskrevet af en nyere kørsel fra en anden enhed, og testenhedens udtræk vil aldrig være bitidentisk med et senere forsøg. Det er derfor udtrækket af testenheden og dets hashværdier, der fastholder resultatet, og forløbet skal beskrives så præcist, at en anden sagkyndig kan forstå hvert trin.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Android-forensik

Læs også: Android-artefakter: usage stats, Digital Wellbeing og app-databaser · MDM og Intune som datakilde: inventar, compliance og fjernsletning

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik