Arbejdsnoter under undersøgelsen: hvad, hvornår og hvordan

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Arbejdsnoter er den løbende, tidsstemplede registrering af, hvad du gør, ser og beslutter under en undersøgelse. De skrives undervejs, ikke bagefter, og de er grundlaget for tre ting: rapporten, en anden fagpersons efterprøvning og din egen forklaring, hvis du måneder senere skal redegøre for arbejdet i retten. En rapport viser resultatet. Noterne viser vejen dertil, også de blindgyder, der ikke kom med i rapporten.

Noter, logs og rapport

I en undersøgelse er der flere registreringer, og de har hver sin rolle:

Log over kæde af ansvar (chain of custody) · Hvem har haft beviset, hvornår, og hvad er der sket med det
Arbejdsnoter · Hvad analytikeren har gjort, set og besluttet, i tidsrækkefølge
Værktøjslogs · Hvad værktøjet selv har registreret, fx under sikring
Rapport · Det udvalgte, bearbejdede resultat

Noterne binder de andre sammen. Hvor chain of custody-loggen siger, at en kopi blev åbnet en bestemt dag, siger noterne, hvad der blev gjort med den. → Chain of custody-loggen: felter og hændelser

Hvad skal noteres?

Udgangspunktet er, at en anden fagperson skal kunne følge og gentage arbejdet ud fra noterne. Det kræver mindst:

Tidspunkt med tidszone for hver post.
Handling: hvad du gjorde, fx monterede en kopi, kørte en søgning, eksporterede en tabel.
Objekt: hvilket bevis, hvilken kopi, hvilken fil eller post, med bevisnummer og gerne hashværdi.
Værktøj: navn, version og relevante indstillinger, herunder filtre og søgekriterier.
Resultat: hvad handlingen gav, også når den intet gav.
Observation: hvad du så, beskrevet konkret, fx sti, postnummer, offset eller tidsstempel.
Fortolkning: hvad du foreløbigt mener, det betyder, tydeligt markeret som fortolkning.
Beslutning: hvorfor du gik videre i en bestemt retning, eller hvorfor du stoppede.

Det sidste punkt glemmes oftest. En beslutning om ikke at undersøge en bestemt kilde kan blive et spørgsmål senere, og svaret er stærkere, når begrundelsen er skrevet ned på tidspunktet.

Negative resultater

At noget ikke blev fundet, er også et resultat. Notér, hvad der blev søgt efter, hvordan, i hvilke data og med hvilket værktøj. “Søgning efter filnavnet i hele kopien med værktøj X version Y gav ingen træffere” er brugbart. “Ikke fundet” er ikke. Uden den præcision kan fraværet ikke bruges i rapporten.

Hypoteser og alternative forklaringer

Gode noter viser, at du har overvejet mere end én forklaring. Skriv hypoteserne ned, når de opstår, og notér undervejs, hvilke fund der styrker eller svækker dem. Det er det bedste værn mod bekræftelsesbias og gør det lettere at skrive afsnittet om alternative forklaringer i rapporten. → Analyseplan og hypoteser før analysen starter

Hvornår?

Løbende. En note, der skrives samme dag, er bedre end en, der skrives ugen efter, og en note, der skrives under handlingen, er bedre end begge. Særligt gælder det handlinger, der ikke kan gentages: arbejde på et tændt system, sikring af hukommelse, indsamling fra en konto, der derefter lukkes, eller samtaler med opdragsgiver om afgrænsningen. Ved incident response, hvor flere personer handler samtidig, bør noterne suppleres af en fælles log over indgreb, så det kan ses, hvilke ændringer i systemerne der skyldes undersøgelsen og genopretningen. → Log over indgreb under incident response

Format

Formatet er mindre vigtigt end disciplinen, men nogle egenskaber gør noterne stærkere:

Tidsstempler, der sættes automatisk, fx i et elektronisk notesystem, frem for manuelt indtastede tider.
Kun tilføjelser. Poster rettes ikke ved at overskrive. En rettelse er en ny post, der henviser til den gamle.
Én samling pr. sag, ikke spredt i mails, chat og løse dokumenter.
Henvisninger frem for kopier. Et skærmbillede eller et udtræk gemmes som fil med hashværdi og navngives, så noten kan henvise til det.
Beskyttet opbevaring, med samme adgangskontrol som beviskopierne.

Papirnoter i en indbundet bog med nummererede sider er stadig brugbare, særligt på stedet ved en sikring. De bør efterfølgende scannes og knyttes til sagen.

Sprog

Skriv kort, neutralt og konkret. Noterne kan blive læst af andre end dig, også af en modpart eller en skønsmand. Om og hvornår noterne kan kræves fremlagt, er et juridisk spørgsmål, se editionsbegæring set fra IT-siden; skriv dem, som om de bliver læst. Undgå vurderende ord om personer, gætterier formuleret som fakta og interne bemærkninger, der ikke hører til sagen. Brug de samme betegnelser som i rapporten: “kontoen”, “enheden”, “brugerprofilen”.

Skeln mellem tre niveauer i selve noterne:

Observeret: “Post 4.512 i tabellen viser afsender X kl. 09:14:22 UTC.”
Fortolket: “Foreløbig fortolkning: beskeden er sendt fra enheden.”
Uafklaret: “Skal kontrolleres: om tidsstemplet er server- eller klienttid.”

Noter på stedet

Ved en sikring hos opdragsgiver eller en part er der flere ting at notere end ved skrivebordet, og mange af dem kan ikke genskabes bagefter:

hvem der var til stede, og hvem der udleverede enheder og adgange,
enhedens tilstand ved ankomst: tændt eller slukket, hvad skærmen viste, om den var på netværket,
serienumre, mærkning og fysisk stand, gerne understøttet af fotos med henvisning i noten,
systemets tid sammenholdt med en pålidelig referencetid, og afvigelsen,
hvad der blev oplyst om brugere, konti og kryptering.

Adgangskoder og gendannelsesnøgler, der udleveres lovligt til brug for sikringen, skrives ikke i klartekst i noterne. Notér, at de er modtaget, af hvem og hvornår, og opbevar selve værdierne adskilt og krypteret.

Når flere arbejder på sagen

Arbejder flere analytikere på samme sag, fører hver sine noter, men med fælles bevisnumre og henvisninger, så det altid kan ses, hvem der har gjort hvad på hvilken kopi. Overdragelse af en opgave fra én analytiker til en anden noteres hos begge, med hvad der var gjort, og hvad der udestod.

Afvigelser og fejl

Opstår der en fejl, skrives den i noterne, når den opdages, med hvad der skete, og hvad der blev gjort. En note om en fejl er ikke en svaghed. Den er grundlaget for, at fejlen kan beskrives korrekt i rapporten. → Afvigelser og fejl undervejs

Persondata i noterne

Noterne kommer let til at indeholde personoplysninger, fx navne, mailadresser og indhold fra beskeder. Skriv kun det, der er nødvendigt for at identificere fundet, og henvis til kilden frem for at gengive indholdet. Noterne er omfattet af de samme regler for opbevaring og sletning som det øvrige materiale i sagen.

Fra noter til rapport

Når rapporten skrives, er noterne kilden. Hvert fund i rapporten bør kunne føres tilbage til en bestemt note og derfra til en bestemt kopi og post. Det er den kæde, der gør rapporten efterprøvelig. Strukturen i selve rapporten er beskrevet i rapportskrivning i digital forensic.

Opbevaring efter sagen

Noterne gemmes lige så længe som rapporten og beviskopierne, og de slettes efter samme regler. Afleveres en rapport, og kommer der spørgsmål et år senere, er noterne det, der gør det muligt at svare præcist i stedet for at gætte. Gem dem i et format, der stadig kan læses, når sagen genoptages.

Tjekliste

☐ Hver post har tidspunkt med tidszone
☐ Bevisnummer og eventuelt hashværdi er angivet for det, der arbejdes på
☐ Værktøj, version, indstillinger og søgekriterier er noteret
☐ Negative resultater er beskrevet præcist
☐ Hypoteser og beslutninger er begrundet
☐ Rettelser er tilføjelser, ikke overskrivninger
☐ Noterne opbevares sammen med sagen og med adgangskontrol

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Rapportskrivning i digital forensic: struktur, sprog og efterprøvelighed · Konklusionsgrader: verbale skalaer og likelihood ratio

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik