Synkronisering mellem Apple‑enheder: når sporet stammer fra en anden enhed

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

Et spor på en Mac er ikke nødvendigvis skabt på den Mac. Når flere Apple-enheder er logget ind på samme konto, synkroniseres beskeder, browserfaner, noter, fotos, filer, udklip og opkaldshistorik mellem dem. En besked, der findes i Macens database, kan være skrevet på en iPhone. En fane i Safari på Macen kan være åbnet på en iPad. Det er en klassisk fejlkilde i attribution: sporet beviser, at handlingen skete på kontoen, men ikke på hvilken enhed, og dermed heller ikke nødvendigvis hvor eller af hvem.

Det generelle problem med at koble en handling til en person er beskrevet i hvem sad ved tastaturet?. Her er de Apple-specifikke mekanismer, og hvordan oprindelsen kan fastlægges.

De vigtigste synkroniseringsmekanismer

Beskeder i iCloud · Hvad der synkroniseres: iMessage og ofte sms, med vedhæftninger · Typisk fejlslutning: Beskeden blev skrevet på Macen
Safari og iCloud-faner · Hvad der synkroniseres: Åbne faner, bogmærker, historik · Typisk fejlslutning: Siden blev besøgt på denne enhed
Handoff · Hvad der synkroniseres: En igangværende aktivitet, fx et mailudkast · Typisk fejlslutning: Opgaven blev påbegyndt her
Fælles udklipsholder · Hvad der synkroniseres: Kopieret tekst eller billede mellem enheder i nærheden · Typisk fejlslutning: Indholdet blev kopieret her
iCloud-fotos · Hvad der synkroniseres: Fotos og videoer med metadata · Typisk fejlslutning: Billedet blev taget eller gemt her
iCloud Drive, Skrivebord og Dokumenter · Hvad der synkroniseres: Filer og mapper · Typisk fejlslutning: Filen blev oprettet her
Noter, påmindelser, kalender · Hvad der synkroniseres: Indhold og ændringer · Typisk fejlslutning: Teksten blev skrevet her
Opkald på andre enheder · Hvad der synkroniseres: Opkald via iPhonens forbindelse, opkaldshistorik · Typisk fejlslutning: Opkaldet blev foretaget fra denne enhed

Beskeder

Med Beskeder i iCloud ligger den samme samtale på alle enheder, der er logget ind. I Macens beskeddatabase (chat.db) vil en sendt besked fremstå som sendt fra kontoen, også hvis den er skrevet på telefonen. Visse felter i databasen kan give et fingerpeg om oprindelsen, fx forskelle i, hvornår beskeden blev registreret lokalt i forhold til afsendelsestidspunktet, men Apple dokumenterer ikke databasens felter, så tolkningen er versionsafhængig og bør afprøves på testdata fra de samme versioner af iOS og macOS, før den bruges i en konklusion. Strukturen i databasen er beskrevet i sms.db og iMessage.

Også sms kan synkroniseres til Macen, når videresendelse af sms er slået til på iPhonen. Så findes en sms på Macen, selv om Macen ikke har noget SIM-kort.

Safari og browserfaner

Safari viser faner fra andre enheder, og Macen gemmer en lokal oversigt over dem. Historik kan også synkroniseres. En URL i Macens historik eller faneoversigt er derfor ikke i sig selv bevis for, at siden blev åbnet på Macen. Hvor Safari skelner mellem lokale og synkroniserede poster, kan det ofte ses af den enhed, posten er knyttet til, men det skal kontrolleres for den konkrete version.

Udklip og Handoff

Den fælles udklipsholder sender kopieret indhold til andre enheder i nærheden, logget ind på samme konto og med Bluetooth og Wi-Fi tændt. Indholdet ligger kun kortvarigt, og der efterlades sjældent et varigt spor af selve indholdet, men styresystemets logs og aktivitetsdatabaser kan vise, at der er sket en overførsel. Handoff virker på samme måde for aktiviteter. Hvis en handling på Macen er fortsat fra telefonen, kan telefonens aktivitetsdata indeholde starten og Macens fortsættelsen.

Fotos og filer

Et foto taget på en iPhone og synkroniseret via iCloud-fotos får nye filsystemtider på Macen, svarende til hvornår det blev hentet ned. EXIF-data og fotodatabasens egne felter bevarer derimod ofte kameraets model og optagetidspunktet. Det giver det velkendte billede, hvor filen tilsyneladende er “oprettet” på Macen længe efter, at billedet blev taget. Se billeder på iPhone: Photos.sqlite.

Filer i iCloud Drive følger samme mønster. Filsystemets oprettelsestid på den modtagende enhed er synkroniseringstidspunktet, ikke det tidspunkt, hvor filen blev skabt.

Opkald på andre enheder

Når en Mac eller iPad er sat op til opkald via iPhonen, kan et telefonopkald foretages eller besvares på Macen, mens selve forbindelsen normalt går gennem telefonen og dens SIM-kort. Understøtter teleselskabet wi-fi-opkald på andre enheder, kan Macen eller iPaden endda ringe, uden at iPhonen er tændt eller i nærheden. Opkaldshistorikken kan desuden synkroniseres mellem enhederne. Et opkald i telefonens historik er derfor ikke nødvendigvis taget i hånden på telefonen, og et opkald i Macens historik er ikke nødvendigvis foretaget fra Macen. Operatørens opkaldsdata viser kun, at nummeret var i brug. Hvilken enhed der blev brugt til samtalen, skal findes i enhedernes egne logs og aktivitetsdata. Om opkaldshistorikken selv angiver den håndterende enhed, kan ikke forudsættes, fordi det ikke er dokumenteret af Apple og kan variere mellem versioner; det skal efterprøves i det konkrete materiale.

Noter, kalender og påmindelser

Noter, kalenderaftaler og påmindelser er typiske i sager om aftaler og tidsforløb. Indholdet synkroniseres løbende, og en ændring foretaget på én enhed slår igennem på alle de andre. Den lokale database på en enkelt enhed viser derfor den samlede tilstand, men sjældent hvilken enhed der lavede den enkelte ændring. Delte noter og kalendere kan tilmed være ændret af en helt anden konto. Hvor appens database gemmer oplysninger om sidste ændring og ændrende deltager, bør de felter læses og sammenholdes med enhedernes aktivitet.

Når synkroniseringen var slået fra

Synkronisering kan slås til og fra pr. funktion og pr. enhed. En del af analysen er derfor at fastlægge, hvilke funktioner der var aktive i den relevante periode, ikke kun ved sikringen. Indstillingerne kan være ændret efter hændelsen, og et spor, der ikke burde kunne synkroniseres i dag, kan være kommet ind, da funktionen var slået til.

Sådan fastlægges oprindelsen

Spørgsmålet “hvilken enhed?” besvares sjældent af ét spor. Det kræver, at flere enheder og flere kilder sammenholdes:

Sikr alle enheder på kontoen, hvis det er muligt. Den enhed, der har skabt sporet, har typisk de lokale artefakter, som de andre mangler: tastaturaktivitet, app i forgrunden, skærm låst op.
Sammenhold med enhedens aktivitet. Var Macen tændt, låst op og i brug på tidspunktet? Unified Logs og aktivitetsdatabaser på Macen kan vise det. Se macOS-artefakter.
Sammenhold med telefonens aktivitet. Biome-strømme og skærmtidsdata på iPhonen kan vise, hvilken app der var i forgrunden. Se iPhone-artefakter: Biome, skærmtid og placering.
Kig efter forsinkelse. Et spor, der dukker op på én enhed sekunder eller minutter efter en anden, peger på synkronisering frem for lokal skabelse.
Afprøv alternativer. Kunne en tredje enhed på kontoen, fx en iPad eller en ældre telefon, have skabt sporet? Kontoens enhedsliste viser, hvilke enheder der har været tilknyttet.

Delte konti

Mekanismerne bliver særligt vigtige, når flere personer bruger samme Apple-konto, fx en familie eller et tidligere par. Så kan sporet ikke blot stamme fra en anden enhed, men fra en anden person. Det er ikke en sjældenhed i sager om samlivsophør og i sager om digital stalking, hvor den ramte kan få hjælp til at sikre sporene via Nielco IT’s stalkinghjælp. Teknisk dokumentation af den situation er beskrevet i delt konto som overvågning.

Dokumentation i rapporten

Rapporten bør angive, hvilke enheder der var knyttet til kontoen, hvilke af dem der er sikret, hvilke synkroniseringsfunktioner der var slået til, og hvordan det er vurderet, om et spor er skabt lokalt eller synkroniseret. Kan oprindelsen ikke fastlægges, skal det stå. Konklusionen bliver da, at handlingen skete på kontoen, men at det ikke kan afgøres, på hvilken enhed.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: iCloud teknisk: datakategorier og lovlig eksport · Messenger og Instagram teknisk: hvad der kan sikres

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik

Brug for en forensisk undersøgelse?

Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.

Eller kontakt os på