Delvist overskrevne og fragmenterede filer: hvad kan konkluderes?

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Når en slettet fil kun kan gendannes delvist, står man med et fragment: en del af et billede, et stykke tekst fra et dokument, en del af en database eller en video, der ikke kan afspilles. Et fragment kan være et stærkt spor, fordi det viser, at et bestemt indhold på et tidspunkt har været skrevet på mediet. Men fragmentet mangler næsten altid det, der gør en fil til et fuldt bevis: navn, placering, tidsstempler, og ofte også den del af indholdet, der giver sammenhængen. Bevisværdien afhænger af, hvor entydigt fragmentet kan knyttes til en bestemt fil eller et bestemt indhold.

Metoden til at finde fragmenterne er beskrevet i File carving. Her handler det om, hvad de betyder.

Hvordan fragmenter opstår

Delvis overskrivning: En slettet fils klynger genbruges en ad gangen af nye filer. Efter et stykke tid er nogle klynger overskrevet og andre ikke.
Fragmentering: Filen lå i flere ikke-sammenhængende stykker. Carving finder det første stykke, men ikke resten, eller sætter det forkerte stykke på.
Slack: Rester af en tidligere fil i den del af en klynge, som en nyere, mindre fil ikke fylder ud.
Midlertidige kopier: Programmer skriver dele af åbne filer til midlertidige filer, sidefil og hukommelse. Her findes ofte stykker af dokumenter, der aldrig har ligget som hele filer på disken.
Ufuldstændig skrivning: En fil, der blev afbrudt under kopiering eller download.

Typer af fragmenter og hvad de kan vise

Billeder

En JPEG, der er overskrevet efter de første klynger, kan vise den øverste del af billedet, mens resten er gråt eller forvrænget. Er billedet gemt progressivt, kan en grov version af hele billedet være synlig. Et delvist billede kan genkendes og sammenlignes visuelt med et kendt billede, men indlejret metadata ligger typisk i begyndelsen af filen og kan derfor være bevaret, selv om resten er væk.

Office-dokumenter

Moderne Office-filer er zip-arkiver. Mangler den centrale oversigt i slutningen af arkivet, kan de enkelte dele ofte stadig udtrækkes via deres lokale overskrifter. Dokumentets tekst ligger i én XML-del, og egenskaber som forfatter og tider i en anden. Det kan altså være muligt at læse teksten eller metadata, selv om filen ikke kan åbnes i Word.

Tekst, mails og logs

Ukomprimeret tekst kan læses direkte i fragmenter. Et søgeord fundet i ledig plads kan stamme fra et dokument, en mail, en browsercache eller en logfil. Konteksten omkring fundet, fx formatkoder, headere eller nabotekst, er afgørende for at afgøre, hvad det er en del af.

Video

MP4 og MOV har et indeks, der beskriver, hvor billeder og lyd ligger. Mangler indekset, kan selve videodata ikke afspilles direkte, men kan i nogle tilfælde rekonstrueres med en referencefil fra samme kamera og indstillinger. Se Videometadata: MP4/MOV-strukturer.

Databaser

SQLite og andre databaser kan indeholde rester af slettede poster i frie sider og i den ledige plads inde i sider. En delvis post kan vise tekst og et tidsstempel uden at vise, hvilken samtale eller hvilken konto den hørte til.

Kobling til en kendt fil

Det stærkeste, man kan sige om et fragment, er ofte, at det stammer fra en bestemt kendt fil. Det kan vises på flere måder:

Bloksammenligning: Den kendte fil opdeles i blokke af samme størrelse som mediets klynger, og hver blok hashes. Findes blokhashværdierne i ledig plads på mediet, har indholdet af den kendte fil været skrevet der. Jo flere blokke der matcher, og jo mere særpræget indholdet er, desto stærkere er koblingen.
Lighedsmål for fragmenter: Nogle fuzzy hashing-metoder er beregnet til at finde dele af filer. Se Fuzzy hashing.
Direkte sammenligning af tekst eller billede med den kendte fil.

Blokke med almindeligt indhold, fx nuller, gentagne mønstre eller standardstrukturer i et filformat, findes i mange filer og siger intet. De skal frasorteres, før matchene tælles. Det svarer til frasorteringen af trivielle filer ved hashlister.

Fragmenter i sidefil, dvalefil og hukommelse

Sidefilen og dvalefilen på Windows og tilsvarende swap-områder på andre systemer indeholder sider fra hukommelsen, som styresystemet har skrevet til disken. Her kan der ligge stykker af dokumenter, mails, chatbeskeder og websider, som brugeren har haft åbne, også selv om de aldrig blev gemt som filer. Det gør disse kilder værdifulde, men også særligt vanskelige at fortolke.

Hukommelsessider er ikke ordnet som filer. Et stykke tekst kan stamme fra programmets visning, fra en forhåndsvisning, fra en søgeindeksering eller fra en anden brugers session på en delt maskine. Sidefilen genbruges løbende, så indholdet kan være dage eller måneder gammelt. Dvalefilen er komprimeret og skal udpakkes med et værktøj, der kender formatet, før der kan søges i den. Fund herfra kan normalt kun vise, at indholdet har været indlæst på computeren, og bør beskrives sådan.

Det, fragmentet ikke kan vise

Hvornår: Uden filsystemets metadata kan fragmentet ikke dateres, medmindre det selv indeholder en tid. Den tid fortæller om indholdet, ikke om hvornår det blev skrevet på mediet.
Hvordan det kom der: En fil kan være kommet på mediet ved download, synkronisering, åbning af en vedhæftning eller automatisk caching uden brugerens viden.
Hvem: Fragmentet kan ikke knyttes til en bestemt brugerkonto, medmindre det ligger i en struktur, der hører til kontoen.
Hvorfor det er væk: Overskrivning er normal drift. Et fragment er ikke i sig selv tegn på bevidst sletning.
Hvad resten indeholdt: Det må ikke antages, at den manglende del svarer til en kendt version af filen.

Formulering af konklusionen

Fragmenter kræver ekstra omhu i sproget. Skeln mellem:

Observation: “I ledig plads på kopien findes et opgjort antal klynger, hvis indhold er identisk med klynger i filen X.”
Slutning: “Indholdet af filen X har på et tidspunkt været skrevet på disken.”
Ikke understøttet: “Brugeren har gemt og slettet filen X.”

Den sidste formulering kræver spor, som fragmentet ikke kan give. Brug en fast skala for konklusionens styrke, se Konklusionsgrader, og overvej alternative forklaringer eksplicit. Hvordan et enkelt spor føres til en konklusion, er uddybet i Fra artefakt til konklusion.

Typiske fejlkilder

At fylde huller ud med antagelser om, hvad der stod.
At tælle matchende blokke uden at frasortere almindelige blokke.
At opfatte en sammensat carvet fil som én fil.
At overse, at fragmentet kan stamme fra cache eller en midlertidig kopi.

Dokumentation

Angiv for hvert relevant fragment: placering på kopien (offset og længde), metode, hvad der er genkendt og hvordan, hvilke dele der mangler, eventuelle koblinger til kendte filer med antal og art af matchende blokke, og de alternative forklaringer, der er overvejet. Den juridiske side af gendannede data er beskrevet på Kan slettede beskeder og filer gendannes til en retssag?.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: File carving: gendannelse af filer uden filsystem · USB-nøgler, SD-kort og flashmedier: gendannelse og begrænsninger

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik