Fejlkilder i digital forensics: oversigt

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

De fleste fejl i forensiske undersøgelser skyldes ikke dårlige værktøjer eller manglende data, men at et korrekt aflæst spor tolkes forkert. Fejlene samler sig i nogle få kategorier: tid, værktøjer, fortolkning af artefakter, omfang og fuldstændighed, kontaminering, integritet og menneskelig bias. Kender man kategorierne, kan man både forebygge dem i eget arbejde og finde dem, når en rapport skal gennemgås. Denne oversigt beskriver hver kategori kort og peger videre til de artikler, der går i dybden.

Opdrag og spørgsmål

Mange fejl er lagt an, før der er sikret noget som helst:

Uklart spørgsmål: “Find ud af, hvad medarbejderen har gjort” giver en analyse uden afgrænsning, hvor alt kan blive relevant, og intet kan afvises.
Forkert spørgsmål: Spørgsmålet forudsætter en konklusion, fx “hvornår slettede medarbejderen filerne”, før det er vist, at filerne er slettet af nogen.
Spørgsmål, data ikke kan besvare: Fx hvorfor noget skete, eller hvad en person tænkte.

Et teknisk kommissorium, der oversætter sagens spørgsmål til afgrænsede, testbare spørgsmål, forebygger meget af det.

Valg af sikringsmetode

Logisk sikring, hvor fysisk var nødvendig: Slettede filer, ledig plads og filsystemets interne strukturer er ikke med.
Eksport fra brugerfladen i stedet for administrativ eller API-baseret indsamling, så metadata og fuldstændighed mangler.
For sen sikring af flygtige data som hukommelse, aktive sessioner og logs med kort opbevaringstid.

Metodevalget sætter grænsen for, hvad analysen senere kan vise, og kan sjældent rettes bagefter.

Tid

Tid er den hyppigste enkeltkilde til fejl, fordi næsten alle konklusioner om rækkefølge og hændelsesforløb hviler på tidsstempler.

Forkert konvertering: forkert epoke, forkert enhed (sekunder mod millisekunder) eller nulværdier, der bliver til 1601 eller 1970.
Tidszoner og sommertid: tider uden tidszone læst som UTC, dobbelt omregning og den dobbelte time i oktober.
Urafvigelse: enhedens ur gik forkert, og lokale tider sammenlignes direkte med servertider.
Forkert betydning: et felt tolkes som “oprettet af brugeren”, selv om det er tidspunktet for kopiering, synkronisering eller indlæsning.
Opløsning: to hændelser inden for samme sekund i kilder med forskellig præcision ordnes, som om rækkefølgen var kendt.

Hvordan tiden præsenteres korrekt, er beskrevet i Sommertid og tidszoner i rapporten.

Værktøjer

Fortolkningsfejl i værktøjet: Et værktøj kan læse et artefakt forkert, især efter en opdatering af styresystemet eller appen, som værktøjet endnu ikke understøtter.
Ufuldstændig parsing: Værktøjet viser kun de felter eller poster, det kender, og nye eller slettede poster forsvinder.
Forskelle mellem værktøjer: To værktøjer giver forskellige resultater på samme data, og kun det ene er brugt.
Egne scripts og regneark: Formler og konverteringer, der ikke er testet.

Forebyggelsen er validering med kendte data og kontrol af afgørende fund med et andet værktøj eller manuelt i rå data. Se Verifikation af forensiske værktøjer.

Fortolkning af artefakter

Systemet eller brugeren: Antivirus, indeksering, backup, synkronisering og opdateringer skaber spor, der ligner brugerhandlinger, fx at filer er åbnet eller tilgået. Se Systemet eller brugeren?.
Artefaktets egentlige betydning: Et spor efter programkørsel viser ikke nødvendigvis, at programmet blev brugt af brugeren. En LNK-fil viser, at en fil blev åbnet, ikke at den blev kopieret.
Versionsforskelle: Et artefakt kan betyde noget forskelligt i forskellige versioner af styresystem eller app.
Attribution: Handlinger på en konto eller enhed knyttes til en person uden at overveje delte konti, fjernadgang, gemte sessioner eller andre brugere.
Observation og slutning blandes: Rapporten skriver “medarbejderen kopierede filerne”, hvor data kun viser, at filer med bestemte navne blev åbnet fra et eksternt drev.

Omfang og fuldstændighed

For snævert omfang: Kun én kilde er sikret, fx computeren, mens cloudtjenesten, telefonen eller serverlogs, der kunne bekræfte eller afkræfte, ikke er med.
Udløbne data: Logs er roteret, versioner udløbet eller papirkurve tømt, før sikringen. Huller tolkes som “intet skete”.
Filtrering: Søgetermer, datointervaller eller hashlister har frasorteret relevante data. Filtreringen er ikke beskrevet.
Fravær af spor: At intet er fundet, behandles som bevis for, at intet er sket. Se Fravær af spor.
Fejlrapporter ignoreret: Krypterede, beskadigede eller ikke-understøttede filer falder ud af behandlingen uden at blive gennemgået.

Kontaminering

Undersøgelsen kan selv ændre de data, den undersøger:

en computer, der startes eller gennemses før sikring,
en telefon, der åbnes, opdateres eller får lov at synkronisere,
en konto, hvor adgangskoden nulstilles, eller hvor der logges ind som brugeren,
en arbejdskopi, der monteres skrivbart,
IT-afdelingens egne undersøgelser, der efterlader spor, som senere ligner den undersøgte persons.

Alle egne handlinger skal logges, så de kan skilles fra de undersøgte. Se Kontaminering: når undersøgelsen selv efterlader spor.

Integritet og kæde af ansvar

Hashværdier, der ikke stemmer, fordi man sammenligner forskellige objekter, eller fordi kilden var levende.
Manglende hashværdier for eksporter og filsamlinger, så det ikke kan vises, at materialet er uændret.
Huller i kæden af ansvar (chain of custody): Det kan ikke dokumenteres, hvem der havde adgang til materialet i en periode.
Selvindsamlede data: Brugerens egen eksport eller skærmbilleder bruges uden at kunne efterprøves.

Integritetsfejl er sjældent afgørende for indholdet, men de giver modparten et let angrebspunkt, og de kan tage fokus fra de egentlige fund. De forebygges med hashværdier ved hver overdragelse, en bevislog og logning af, hvem der har haft adgang til materialet. En afvigelse, der opdages, skal forklares og beskrives, ikke rettes i stilhed.

Bias

Den, der kender sagens påstande, ser lettere det, der bekræfter dem, og overser det, der taler imod. Bekræftelsesbias kan påvirke, hvilke spor der søges efter, hvordan tvetydige spor tolkes, og hvornår analysen stoppes. Kontekstinformation, fx at den undersøgte er mistænkt eller er blevet afskediget, forstærker effekten. Forebyggelsen er en analyseplan med hypoteser, der formuleres før analysen, og hvor alternative forklaringer undersøges aktivt. Se Bias i forensisk analyse.

Rapportering

Konklusioner formuleret stærkere, end data bærer.
Forbehold samlet i et afsnit, som ikke kobles til de enkelte konklusioner.
Manglende angivelse af værktøjer, versioner, tidszone og filtre, så resultatet ikke kan efterprøves.
Skærmbilleder og tabeller uden kildeangivelse.

Sådan bruges oversigten

Ved egne undersøgelser kan kategorierne bruges som en kontrolliste før rapporten afleveres: Er tiden normaliseret og dokumenteret? Er afgørende fund kontrolleret med et andet værktøj? Er alternative forklaringer overvejet? Er omfanget og hullerne beskrevet? Er egne handlinger logget?

Ved gennemgang af en andens rapport er de samme spørgsmål udgangspunktet. En struktureret tjekliste til formålet findes i Gennemgang af modpartens forensiske rapport.

Hvad fejlkilderne betyder for bevisværdien

En fejlkilde gør ikke automatisk en konklusion forkert. Den betyder, at konklusionen skal underbygges eller nuanceres. Det afgørende er, om fejlkilden er erkendt, undersøgt og beskrevet. En rapport, der åbent forholder sig til sine egne begrænsninger, er stærkere end en rapport, der ikke nævner dem, fordi læseren kan se, at alternativerne er overvejet.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Anti-forensics: spor efter sletning og manipulation · Fra artefakt til konklusion: hvad et spor faktisk viser · Teknisk ordbog

→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik