Er dokumentet kopieret? Teknisk sammenligning af Word- og PDF‑filer

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Ofte kan det sandsynliggøres. Ud over teksten bærer Word- og PDF-filer skjulte spor fra deres tilblivelse: redigeringsid’er, skabeloner, stilarter, indlejrede billeder og dokument-id’er. Deler to filer mange af disse spor, er det svært at forklare med uafhængigt arbejde. Ens tekst alene beviser ikke kopiering, fordi den kan stamme fra en fælles kilde.

Spørgsmålet opstår i sager om ophavsret, konkurrenceklausuler, udbud og tilbud, og når en tidligere medarbejders nye arbejdsgiver præsenterer materiale, der ligner det gamle. Hvordan en sag om kopiering håndteres i praksis, er beskrevet på digitalbevissikring.dk. Sammenligning af kildekode har sin egen metode; se kodelighed.

Fire niveauer af lighed

Fil · Hvad der sammenlignes: Hashværdi af hele filen · Hvad et match betyder: Samme fil, bit for bit
Indhold · Hvad der sammenlignes: Tekst, tabeller, billeder · Hvad et match betyder: Samme eller beslægtet indhold, men ikke nødvendigvis samme oprindelse
Struktur · Hvad der sammenlignes: Stilarter, nummerering, sektioner, skabelon · Hvad et match betyder: Samme skabelon eller samme udgangsdokument
Tilblivelsesspor · Hvad der sammenlignes: Redigeringsid’er, dokument-id’er, indlejrede objekter · Hvad et match betyder: Fælles redigeringshistorik

Et identisk hash afgør spørgsmålet, men er sjældent tilfældet, fordi selv en ny gemning ændrer filen. De interessante sager ligger på de tre andre niveauer. Om hashværdier, se hashalgoritmer.

Word: spor i XML-strukturen

En docx-fil er et ZIP-arkiv med XML-filer efter standarden ECMA-376. Flere af delene er nyttige ved sammenligning:

Redigeringsid’er (rsid). Word tildeler hver redigeringssession et tilfældigt id og mærker tekst, der blev skrevet eller ændret i den session. Listen over sessioner står i word/settings.xml, og mærkerne sidder på afsnit og tekststykker i word/document.xml. Deler to dokumenter en række af de samme rsid-værdier, har de med stor sandsynlighed en fælles redigeringshistorik. Tilfældige sammenfald er usandsynlige, fordi værdierne er tilfældige.
Stilarter og nummerering. Brugerdefinerede stilarter i word/styles.xml, ofte med virksomhedsspecifikke navne, og nummereringsdefinitioner, der er arvet fra et ældre dokument.
Skabelon og metadata. Skabelonens navn i docProps/app.xml, forfattere og firmanavn i docProps/core.xml og egne egenskaber i docProps/custom.xml. Se Office-metadata.
Indlejrede billeder. Billeder ligger som selvstændige filer i word/media. Deres hashværdier kan sammenlignes direkte, også selvom de er placeret anderledes i teksten.
Rester. Kommentarer, sporede ændringer, skjult tekst, feltkoder og bogmærker med navne, der passer til et andet dokument.

Word har en indbygget funktion til at sammenligne to dokumenter og vise forskellene som rettelser. Den er nyttig til at præsentere tekstforskelle, men den viser ikke de skjulte spor, og den bør kun køres på kopier.

PDF: producent, struktur og dokument-id

En PDF, der er dannet fra et andet program, arver ofte spor fra kilden. PDF er standardiseret i ISO 32000. Ved sammenligning ses der på:

Informationsfelter og XMP-metadata. Producent, program, tidspunkter og især XMP-felterne xmpMM:DocumentID og xmpMM:InstanceID. Mange programmer bevarer dokument-id’et gennem flere versioner af samme dokument, mens instans-id’et skifter ved hver gemning. To PDF’er med samme dokument-id har typisk samme oprindelse.
Inkrementelle opdateringer. En PDF kan have flere revisioner liggende efter hinanden i filen. En tidligere revision kan indeholde den oprindelige tekst. Se dokumentforfalskning i Office og PDF.
Skrifttyper og objekter. Indlejrede skrifttyper, billedobjekter og deres hashværdier, og strukturen af sider og objekter.
Tekstlaget. Den udtrukne tekst kan sammenlignes med kildedokumentet, også når layoutet er ændret.

En PDF, der er konverteret til Word og tilbage, eller som er printet til ny PDF, mister de fleste af disse spor. Fravær af fælles spor er derfor ikke bevis for uafhængigt arbejde.

Metoden

Sikr filerne med hashværdier, og notér, hvor og hvordan de er modtaget. Mails og uploads kan ændre filer.
Udtræk tekst og struktur fra kopierne uden at gemme dem i det oprindelige program.
Sammenlign tekst normaliseret, fx uden formatering og ekstra mellemrum, og mål overlap på sætnings- og afsnitsniveau.
Sammenlign skjulte spor: rsid-værdier, stilarter, billedhashes og dokument-id’er.
Filtrér forventet lighed: standardvilkår, lovtekst, offentlige skabeloner, fælles leverandørskabeloner og citater fra samme kilde.
Vurdér tidsfølgen: Hvilket dokument er ældst ifølge både interne felter og eksterne kilder? Se tilbagedaterede dokumenter.

Når kun en PDF, en scanning eller et print findes

Ofte har den ene part kun en PDF eller en papirudgave af det omstridte dokument. Så er de skjulte spor i Word-filen væk, og sammenligningen må bygge på det synlige: tekst, layout, tabeller, billeder og fejl. Særlige kendetegn vejer tungt her. Stavefejl, usædvanlige formuleringer, fejl i tal, gentagne layoutfejl og specifikke afsnitsnumre, der går igen i begge dokumenter, er svære at forklare med uafhængigt arbejde. En scanning kan desuden have metadata fra scanneren eller det program, der dannede PDF’en, og tidspunkterne kan sammenholdes med andre oplysninger.

Kan den oprindelige fil fremskaffes fra den part, der har den, eller fra et dokumentsystem, en mailpostkasse eller en backup, øger det sammenligningens styrke betydeligt. Det er ofte værd at spørge efter, før analysen går i gang.

Præsentation

Fundene præsenteres bedst side om side: samme afsnit fra begge dokumenter med de fælles elementer markeret, en tabel over delte skjulte spor med deres placering i filerne, og en beskrivelse af, hvor stærkt hvert spor er. Et fælles rsid i et enkelt afsnit vejer mindre end en lang række fælles rsid-værdier, der går igen gennem hele dokumentet.

Faldgruber

Fælles kilde. To dokumenter kan ligne hinanden, fordi begge bygger på samme offentlige skabelon eller samme tredjepartsmateriale.
Fælles skabelon i samme virksomhed. Er begge parter tidligere ansat samme sted, kan de have den samme skabelon med de samme stilarter og endda de samme ældre rsid-værdier.
Rensede metadata. Funktioner til at fjerne personlige oplysninger og visse konverteringer fjerner spor. Det er i sig selv en oplysning, men ikke et bevis. Om sporene er fjernet, og hvornår, kan undertiden ses af selve filen, fx når felter er tomme, men strukturen viser, at de har været udfyldt.
Ændrede filer i transit. Mailsystemer og dokumentsystemer kan tilføje eller ændre metadata.

Mange dokumenter

Handler sagen om en hel mappe eller et helt dokumentarkiv frem for et enkelt dokument, skal sammenligningen automatiseres. Lighedsmål på tekst og fuzzy hashing kan finde de par af dokumenter, der ligner hinanden mest, så den manuelle gennemgang kan koncentreres om dem. Tærskler og værktøjer dokumenteres, så resultatet kan efterprøves.

Hvad sammenligningen kan og ikke kan bevise

Sammenligningen kan vise, at to dokumenter med stor sandsynlighed har en fælles tilblivelseshistorik, og ofte hvilket der er ældst. Den kan ikke vise, hvem der kopierede, eller om kopieringen var tilladt. Rapporten bør præsentere fundene side om side med konkrete eksempler, angive styrken af hvert spor og nævne de alternative forklaringer, der er undersøgt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Hvem ændrede tallet? Ændringshistorik i Excel, Google Sheets og delte lister · Hvilket kamera tog billedet?

→ Teknisk undersøgelse af dokumenter og metadata · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik