Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen
Digital forensics opfattes ofte som objektiv, fordi data er data. Men valget af, hvad der undersøges, hvilke spor der tillægges vægt, og hvordan tvetydige artefakter tolkes, træffes af mennesker. Bekræftelsesbias, altså tendensen til at søge efter og vægte det, der bekræfter en forventning, påvirker derfor også digitale undersøgelser. Værnet er ikke at være en bedre person, men at bygge metoden, så bias har færre steder at virke.
Artiklen beskriver, hvor bias typisk opstår i en digital undersøgelse, og hvilke konkrete metodiske værn der kan bruges, også i en lille praksis.
Hvor bias opstår
Opdraget og briefen
Den første kontakt rummer ofte en fortælling: “Medarbejderen har taget kundelisten med til konkurrenten.” Fortællingen styrer, hvad der ledes efter. Den, der leder efter kopiering til USB, finder måske spor efter USB, men overser, at kundelisten også lå i en delt mappe, som mange havde adgang til.
Udvælgelse af kilder
Hvilke enheder og konti der sikres, afgør, hvilke forklaringer der overhovedet kan afprøves. Sikres kun den mistænktes computer, kan forklaringer, der involverer andre personer eller systemer, ikke undersøges.
Søgning og filtrering
Søgetermer, tidsfiltre og filtyper afspejler hypotesen. En søgning, der kun dækker perioden efter opsigelsen, kan ikke vise, at samme adfærd også fandt sted før, hvor den måske var en del af det normale arbejde.
Tolkning af tvetydige spor
Mange artefakter er tvetydige. En LNK-fil kan skyldes en åbning eller en forhåndsvisning, og et tidsstempel kan skyldes en bruger eller en proces. Under tidspres vælges ofte den tolkning, der passer til fortællingen. → Fra artefakt til konklusion
Formulering af konklusionen
Bias viser sig også i sproget: stærke formuleringer om fund, der støtter hypotesen, og forbehold om fund, der taler imod.
Kontekstinformation: relevant og irrelevant
Ikke al kontekst er skadelig. Analytikeren skal vide, hvilket tidsrum og hvilke konti der er relevante. Men oplysninger som “vi ved godt, hvem det er” eller “kollegerne har set det” er irrelevante for den tekniske analyse og kan påvirke tolkningen. Bemærk forskellen: den tekniske opgave kræver spørgsmål og afgrænsning, ikke en konklusion.
En praktisk regel er at spørge: Er denne oplysning nødvendig for at vælge kilder, metode eller afgrænsning? Hvis nej, bør den så vidt muligt holdes ude af analysen, eller i det mindste noteres, så læseren kan se, hvad analytikeren vidste.
Metodiske værn
Hypoteser før data
Skriv de konkurrerende hypoteser ned, før analysen begynder, og beskriv for hver hypotese, hvilke spor der forventes. Det tvinger analysen til også at lede efter spor, der taler imod. → Analyseplan og hypoteser
Sekventiel afsløring
Ved sekventiel afsløring får analytikeren kun den kontekst, der er nødvendig for det aktuelle trin. Først analyseres artefakterne og noteres observationer. Derefter tilføjes mere kontekst, og eventuelle ændringer i vurderingen dokumenteres. Det gør det synligt, hvis konteksten har flyttet tolkningen.
Blind verifikation
En kollega efterprøver centrale fund uden at kende den første analytikers konklusion eller sagens fortælling. Får kollegaen samme resultat fra de samme rådata, styrkes fundet. Er der afvigelse, er det netop den slags fejl, man vil fange, før rapporten afleveres. I en praksis med én konsulent kan en ekstern fagfælle bruges til de afgørende punkter. → Fagfællebedømmelse af forensisk arbejde
Aktiv søgen efter modspor
For hver central konklusion: Hvad ville vi forvente at se, hvis konklusionen var forkert? Led efter netop det, og dokumentér resultatet. Et fravær af modspor er kun et argument, hvis det er undersøgt.
Faste arbejdsgange og tjeklister
Standardiserede trin, fx altid at tjekke tidszone, urafvigelse, automatiske processer og fjernadgang, reducerer risikoen for, at et trin springes over, fordi resultatet ser ud til at passe.
Arbejdsnoter i realtid
Noter skrevet undervejs viser, hvad der blev undersøgt, i hvilken rækkefølge, og hvad analytikeren tænkte på det tidspunkt. De gør det muligt bagefter at se, om en tolkning ændrede sig, og hvorfor.
Et eksempel på mekanismen
Forestil dig to analytikere, der får samme kopi af en computer. Den ene får at vide, at medarbejderen er mistænkt for at have kopieret tegninger før sin fratræden. Den anden får kun at vide, at spørgsmålet er, om tegningsmappen er tilgået i en bestemt periode, og i givet fald hvordan. Begge finder de samme LNK-filer og den samme USB-tilslutning. Den første analytiker vil være tilbøjelig til at læse USB-tilslutningen som kopiering og at se et mønster i tidspunkterne. Den anden vil være mere tilbøjelig til at spørge, om der overhovedet er spor efter filoverførsel til drevet, og om tegningerne også blev åbnet i perioder, hvor ingen fratræden var på tale. Eksemplet er konstrueret, men mekanismen er velbeskrevet i forskning i forensiske discipliner generelt, og der er ingen grund til at tro, at digitale undersøgelser er undtaget.
Tidspres og forventninger
Bias forstærkes af tidspres og af ønsket om at levere et klart svar. En advokat, der har en frist, og en bestiller, der har betalt for en undersøgelse, ønsker begge et resultat, der kan bruges. Den sagkyndiges opgave er at levere et resultat, der holder, også hvis det er mindre klart, end bestilleren håbede. Det er lettere at holde fast i, når metoden og afgrænsningen er aftalt skriftligt på forhånd.
Værktøjer er heller ikke neutrale
Analyseværktøjer kategoriserer og farvelægger fund. En kategori som “mistænkelig aktivitet” eller “dataeksfiltration” er en fortolkning foretaget af værktøjets udvikler. Den kan styre opmærksomheden lige så meget som en brief. Kontrollér de rå data bag en kategori, før den bruges i rapporten.
Bias på bestillerens side
Den, der bestiller en undersøgelse, har ofte en interesse i et bestemt resultat. Det er ikke i sig selv et problem, men det stiller krav til uvildigheden: at opdraget formuleres som spørgsmål, ikke som påstande, og at rapporten også beskriver fund, der ikke støtter bestillerens sag. De juridiske krav til uvildighed og inhabilitet hos IT-sagkyndige er beskrevet på digital-bevissikring.dk: → Uvildighed og inhabilitet hos IT-sagkyndige
Hvad det betyder i retten
En modparts sagkyndige eller advokat vil ofte undersøge, om analysen har været styret af en forventning. Typiske spørgsmål er: Hvilke oplysninger fik du fra bestilleren? Hvilke alternative forklaringer undersøgte du? Hvorfor blev netop disse kilder valgt? En rapport, der selv besvarer de spørgsmål, er langt mindre sårbar end en, der først må forsvare sig under afhøringen.
Dokumentation
Beskriv i rapporten:
- hvilke oplysninger analytikeren modtog, og fra hvem,
- hvilke hypoteser der blev opstillet, herunder alternative forklaringer,
- hvilke centrale fund der er efterprøvet, og af hvem,
- hvilke fund der taler imod hovedkonklusionen, og hvordan de er vurderet.
Det kræver ikke en stor organisation. Det kræver, at metoden er skrevet ned, før analysen begynder, og at den følges. Hvordan rapporten skrives, så fakta, betydning og vurdering holdes adskilt, er beskrevet her: → Rapportskrivning i digital forensic
Kilder og versioner
- Forensic Science Regulator (UK): Cognitive bias effects relevant to forensic science examinations
- NIST IR 8354: Digital Investigation Techniques: A NIST Scientific Foundation Review
- ISO/IEC 27042: Guidelines for the analysis and interpretation of digital evidence
Senest gennemgået: oktober 2026.
Næste skridt
- Anti-forensics: spor efter sletning og manipulation
- Fejlkilder i digital forensics: oversigt
- Hvem sad ved tastaturet? Attribution af brugerhandlinger
Del af: Analyse og fortolkning
Læs også: Fravær af spor: hvad betyder det, at intet blev fundet? · Analyseplan og hypoteser før analysen starter · Teknisk ordbog
→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
