Behandling af data (processing): udpakning, filtyper og fejlfiler

Forside › eDiscovery teknisk · Gennemgået oktober 2026 · Af John Nielsen

Processing er det trin i eDiscovery, hvor sikrede data omdannes til enkeltdokumenter, som kan søges i, filtreres og gennemgås. Postkasser pakkes ud til mails og vedhæftninger, arkiver pakkes ud til filer, tekst og metadata udtrækkes, og hver enhed får en hashværdi og en plads i en familie. Kvaliteten af alt, hvad der kommer bagefter, afhænger af dette trin. En søgning kan kun finde det, processing har gjort søgbart, og en fil, der fejlede uden at blive registreret, forsvinder stille ud af sagen.

Den overordnede eDiscovery-proces og de juridiske rammer er beskrevet på digital-bevissikring.dk: → eDiscovery i danske sager. Her handler det om, hvad der sker teknisk.

Hvad processing gør

Et typisk processing-forløb omfatter disse trin:

Indlæsning af kildedata: forensiske images, PST-filer, eksporter fra Microsoft 365 eller Google Vault, filsamlinger og mobiludtræk.
Identifikation af filtyper ud fra filsignaturer, ikke kun filendelser.
Rekursiv udpakning af containere: postkasser, zip- og rar-arkiver, vedhæftninger i vedhæftninger, indlejrede objekter i Office-filer.
Udtræk af metadata fra filsystem, mails og dokumenter.
Udtræk af tekst fra filer med tekstlag, og markering af filer uden tekst til OCR.
Hashberegning af hvert element til deduplikering og senere kontrol.
Familiedannelse, så en mail og dens vedhæftninger hænger sammen.
Registrering af undtagelser: filer, der ikke kunne åbnes, udpakkes eller læses.

Hvert trin har indstillinger, der påvirker resultatet. De skal være kendt og dokumenteret, før resultatet bruges.

Filtyper og filsignaturer

Et processing-værktøj identificerer filtyper ud fra filens indhold, typisk de første bytes. En fil med endelsen .jpg, som i virkeligheden er et Word-dokument, bør behandles som Word-dokument. Uoverensstemmelser mellem endelse og signatur er i sig selv relevante, fordi de kan skyldes fejl, migrering eller et forsøg på at skjule indhold. → Filsignaturer og forkerte filendelser

Ukendte filtyper er et særligt problem. Proprietære formater fra fagsystemer, CAD-filer, databaser og ældre formater kan ofte ikke læses af standardværktøjer. De skal registreres og vurderes særskilt, ikke bare sorteres fra.

Udpakning af containere

Containere er filer, der indeholder andre filer: postkasser, arkiver, Office-dokumenter med indlejrede objekter og e-mails med vedhæftninger. Rekursiv udpakning betyder, at værktøjet fortsætter, indtil der ikke er flere niveauer. Vigtige indstillinger er:

Dybde. Hvor mange niveauer der pakkes ud. En begrænsning kan betyde, at dybt indlejrede filer ikke kommer med.
Indlejrede objekter. Om billeder og objekter i Office-filer udtrækkes som selvstændige dokumenter eller kun som en del af forælderen.
Indlejrede billeder i mails. Logoer og signaturbilleder giver mange irrelevante elementer, og nogle værktøjer kan undertrykke dem efter regler, der skal dokumenteres.

Arkiver og postkasser kan være delvist korrupte. Et godt værktøj udtrækker det, der kan læses, og registrerer, at resten fejlede.

Krypterede og beskyttede filer

Krypterede filer, adgangskodebeskyttede dokumenter og arkiver og filer med rettighedsstyring (fx Microsoft Purview Information Protection) kan ikke læses uden nøgle. Processing skal registrere dem som undtagelser med type, sti og forælder. Herefter er der tre muligheder: at få nøglen ad lovlig vej, fx fra virksomhedens administratorer eller fra ejeren, at dekryptere via tjenestens egne funktioner, eller at dokumentere, at filerne ikke kunne behandles. → Krypterede containere og arkiver: identifikation og dokumentation

I Microsoft 365 kan Purview eDiscovery dekryptere elementer, der er krypteret med Microsofts egne teknologier, fx følsomhedsetiketter og Rights Management, ved forhåndsvisning, gennemgang og eksport. Det kræver, at brugeren har rollen RMS Decrypt. Filer krypteret med andre værktøjer eller med en adgangskode dekrypteres ikke og skal håndteres som undtagelser. → Microsoft Purview eDiscovery

Tekst og metadata

Tekstudtræk

Værktøjet udtrækker tekst fra filer, der har et tekstlag. Det gælder de fleste Office-filer, mails og digitalt skabte PDF’er. Scannede PDF’er, billeder og faxer har ikke tekst og skal gennem OCR, før de kan søges i. Tegnsæt og kodning er en fejlkilde: Mails og ældre filer kan være kodet i andre tegnsæt end UTF-8, og forkert fortolkning giver forkerte æ, ø og å, som ødelægger søgninger.

Metadata og tidszone

Metadata udtrækkes fra flere lag: filsystemets tidsstempler, mailens afsendelses- og modtagelsestidspunkter og dokumentets interne egenskaber. Processing-værktøjet normaliserer typisk tidsstempler til en valgt tidszone. Valget påvirker datoafgrænsninger og visning, og det skal dokumenteres. En søgning afgrænset til en dato i UTC kan give et andet resultat end samme søgning i dansk tid.

Undtagelseslisten

Den vigtigste dokumentation fra processing er undtagelseslisten: en oversigt over alle elementer, der ikke kunne behandles fuldt ud. Den bør mindst indeholde:

Element-id og sti · Hvor elementet findes, og hvad dets forælder er
Undtagelsestype · Krypteret, korrupt, ukendt format, for stor, ingen tekst
Håndtering · Hvad der er gjort ved elementet

Undtagelseslisten er grundlaget for at vurdere, om en søgning er fuldstændig. Uden den er “ingen hits” ikke et resultat, man kan stole på. Den bør følge med som en del af søgetermrapporten og produktionsdokumentationen.

Filtrering under processing

Mange værktøjer kan filtrere allerede ved processing: på datoer, filtyper eller kendte systemfiler. Systemfiler filtreres typisk ud med en hashliste over kendte filer, fx fra NIST’s referencesæt. Filtrering tidligt sparer tid og plads, men fjerner også data, som senere kan vise sig relevante. Filtre bør derfor dokumenteres med kriterier og antal, og det bør være muligt at genbehandle uden filter, hvis der opstår tvivl.

Afstemning: kommer alt med?

En processing-kørsel bør altid afstemmes. Antallet af elementer i kilden, fx antallet af mails i en PST-fil ifølge mailprogrammet eller antallet af filer i et image, sammenholdes med antallet af behandlede elementer plus undtagelser. Går regnestykket ikke op, er der elementer, som værktøjet hverken har behandlet eller registreret som fejl. Det er netop de stille fejl, der er farligst, fordi ingen opdager dem, før en modpart finder et dokument, der burde have været med.

Afstemningen bør også ske på datamængde. Hvis en kilde fylder meget, men giver få elementer, kan det skyldes store mediefiler, men det kan også skyldes, at en container ikke er pakket ud. Store afvigelser bør undersøges, før søgninger køres.

Genbehandling

Undtagelser kan ofte løses delvist: korrupte postkasser kan repareres på en kopi, adgangskoder kan indhentes, og ukendte formater kan konverteres med specialværktøjer. Genbehandlede elementer bør markeres, så det fremgår, at de er kommet til senere, og hvordan. Det er vigtigt, hvis der allerede er kørt søgninger eller produceret dokumenter, fordi de nye elementer så skal med i de samme søgninger.

Fejlkilder

Forkerte tidszoner giver forskudte datoafgrænsninger.
Begrænset udpakningsdybde udelader dybt indlejrede filer.
Tegnsætfejl ødelægger søgninger på danske ord.
Stille fejl, hvor værktøjet springer over en fil uden at registrere det. Afstem antal elementer ind og ud.
Forskelle mellem værktøjer i, hvordan mails og vedhæftninger tælles og hashes.

Dokumentation

Processing bør dokumenteres med værktøj og version, alle indstillinger (tidszone, dybde, OCR, filtre, deduplikering), antal elementer pr. kilde før og efter, undtagelseslisten og en afstemning, der viser, at alle indlæste data er gjort rede for. ISO/IEC 27050 beskriver processing som en del af den samlede eDiscovery-proces og kan bruges som referenceramme. → ISO/IEC 27050: eDiscovery-standarden

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: eDiscovery teknisk

Læs også: Produktion af data: native filer, PDF, loadfiler og nummerering · Deduplikering: global, pr. person og near-duplicates

→ eDiscovery teknisk · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik