Oprettet, ændret, åbnet: hvad fildatoerne betyder

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: “Oprettet” er tidspunktet, hvor filen opstod på netop dette drev, ikke hvornår dokumentet blev skrevet. “Ændret” er seneste ændring af filens indhold. “Åbnet” (seneste adgang) opdateres ofte forsinket eller slet ikke og bør ikke bruges alene. En kopieret fil kan derfor være “ændret” før den blev “oprettet”.

Datoerne er nyttige, men de beskriver filens historie på det konkrete filsystem, ikke dokumentets historie. Den forskel er kilden til de fleste fejltolkninger.

De tre datoer og den fjerde

Oprettelsesdato · Teknisk navn: Creation time (B) · Hvad den betyder: Hvornår filen blev oprettet på denne volumen
Ændringsdato · Teknisk navn: Last write time (M) · Hvad den betyder: Hvornår indholdet sidst blev skrevet
Senest åbnet · Teknisk navn: Last access time (A) · Hvad den betyder: Hvornår filen sidst blev læst, hvis opdatering er slået til
Vises ikke · Teknisk navn: MFT entry modified (C) · Hvad den betyder: Hvornår filens metadata i $MFT sidst ændrede sig

Kolonnenavnene er dem, en dansk Windows 11 viser på tidspunktet for gennemgangen (oktober 2026). Forkortelsen MACB (modified, accessed, changed, born) bruges i forensiske værktøjer. Den fjerde værdi, C, vises ikke i Stifinder, men findes i NTFS og er vigtig, fordi den ændres ved omdøbning, flytning og ændring af attributter.

NTFS gemmer to sæt af disse tidsstempler for hver fil: $STANDARD_INFORMATION, som Stifinder viser, og $FILE_NAME, som opdateres i færre situationer. Hvordan de to sæt bruges til at opdage tilbagedatering, er beskrevet i NTFS i dybden.

Oprettet: hvornår filen kom til drevet

Oprettelsestiden sættes, når filen opstår på volumen. Det sker, når dokumentet gemmes første gang, men også når filen kopieres hertil, pakkes ud, downloades eller synkroniseres fra cloud. En kontrakt, der blev skrevet for fem år siden og kopieret til en ny computer i går, har derfor oprettelsesdato i går.

Flytning inden for samme volumen bevarer normalt oprettelsestiden, fordi det kun er katalogposten, der ændres. Flytning til en anden volumen er reelt en kopi efterfulgt af sletning og giver typisk ny oprettelsestid.

Ændret: seneste skrivning til indholdet

Ændringstiden opdateres, når programmet skriver til filen. Den følger som regel med ved kopiering, så en kopi beholder originalens ændringstid. Det er grunden til, at en kopi kan have ændret-dato før oprettet-dato. Det er ikke et tegn på manipulation, men et normalt kendetegn ved en kopi.

Nogle programmer gemmer ved at skrive en ny midlertidig fil og omdøbe den til det oprindelige navn. Så kan både oprettet og ændret ændre sig ved hver gemning, afhængigt af programmet. Se også tidsstempler ved kopiering, zip, upload og mail.

Åbnet: den upålidelige dato

Seneste adgang er den dato, der oftest misforstås. På NTFS opdateres den forsinket, op til en time efter adgangen, og opdateringen kan være slået helt fra via systemindstillingen for last access. Fra Windows Vista var opdatering som udgangspunkt slået fra, og nyere Windows 10- og 11-versioner har en systemstyret indstilling, hvor Windows selv afgør, om opdateringen er slået til. Den aktuelle værdi på den undersøgte maskine aflæses med kommandoen fsutil behavior query disablelastaccess, som også oplyser, om indstillingen er systemstyret, og resultatet noteres i sagen.

Derudover kan antivirus, indeksering, forhåndsvisning og backup læse filen og opdatere datoen uden, at en person har åbnet den. Omvendt kan en bruger åbne filen uden, at datoen ændres. Om en person har åbnet et dokument, bør derfor belyses med andre spor, fx LNK-filer, jump lists og programmets liste over seneste filer.

Andre filsystemer

FAT32 og exFAT på USB-nøgler gemmer tid i lokal tid uden tidszone. FAT gemmer ændringstid med to sekunders opløsning og seneste adgang kun som dato.
APFS og ext4 gemmer i UTC med høj opløsning og har deres egne regler for opdatering af adgangstid.
Netværksdrev og cloud viser datoer fra serveren, som ikke nødvendigvis svarer til den lokale fil. En fil hentet fra SharePoint kan få datoer fra serverens metadata eller fra tidspunktet for download.

Et typisk forløb i datoerne

Forestil dig en fil, der skrives og gemmes på en bærbar computer, redigeres et par gange, og senere kopieres til en USB-nøgle og derfra til en ny computer. På den bærbare computer har filen den oprindelige oprettelsestid og seneste ændringstid. På USB-nøglen får kopien en ny oprettelsestid i lokal tid, mens ændringstiden følger med, afrundet til to sekunder. På den nye computer får filen igen en ny oprettelsestid, mens ændringstiden stadig er den fra den bærbare computer, eventuelt forskudt, hvis tidszonen blev tolket forkert undervejs.

Kun ved at se alle tre forekomster af filen og sammenholde dem kan forløbet rekonstrueres. Står man med én forekomst, viser datoerne kun den sidste del af historien. Det er værd at overveje, før en enkelt dato bruges som argument for, hvornår et dokument blev til.

Fildatoer og dokumentets egne datoer

Office- og PDF-filer har deres egne interne datoer for oprettelse og seneste gemning, som følger med filen ved kopiering. Når filsystemets datoer og dokumentets interne datoer afviger, er det ofte den mest informative iagttagelse i sagen. Se metadata i Office-filer og tilbagedaterede dokumenter.

Typiske fejltolkninger

“Filen blev oprettet den 3. marts, altså skrev medarbejderen den den dag.” Den kan være kopieret dertil.
“Ændret efter opsigelsen, altså redigeret.” Synkronisering, gendannelse eller et program, der gemmer automatisk, kan opdatere datoen.
“Åbnet i går.” Antivirus eller indeksering kan stå bag, og datoen kan være forsinket.
“Datoerne er umulige, altså manipuleret.” Ændret før oprettet er normalt for kopier.
“Tidspunktet passer ikke.” Stifinder viser lokal tid, NTFS gemmer UTC, og USB-drev gemmer lokal tid uden zone. Se tidsstempler og tidszoner.

Sådan sikres fildatoerne korrekt

Datoerne ændres let af selve undersøgelsen. At åbne en fil, kopiere den med Stifinder eller flytte den til et andet drev kan ændre en eller flere af dem. Fildatoer, der skal bruges som bevis, bør derfor læses fra en forensisk kopi eller en verificeret, målrettet indsamling, der bevarer tidsstemplerne, og aldrig fra originalen på den kørende maskine. Sammen med datoerne bør $MFT og $UsnJrnl sikres, så både det andet tidsstempelsæt og historikken om oprettelse, omdøbning og sletning er med.

Hvad datoerne kan og ikke kan vise

Fildatoer kan vise, hvornår en fil kom til en bestemt volumen, hvornår dens indhold sidst blev skrevet, og under gunstige forhold hvornår den sidst blev læst. De kan ikke alene vise, hvem der handlede, hvornår dokumentet oprindeligt blev skrevet, eller at nogen bevidst har læst det. Til de spørgsmål skal datoerne kombineres med dokumentmetadata, programspor og logs. En samlet oversigt over, hvilke spørgsmål der kan besvares, findes i kan man se …?.

I rapporten

Angiv filsystem, hvorfra datoerne er læst, hvilket tidsstempelsæt der er brugt, tidszonen og indstillingen for opdatering af seneste adgang. Beskriv, hvordan filen er indsamlet, så det fremgår, at undersøgelsen ikke selv har ændret datoerne.

Skriv datoerne med fuld dato, klokkeslæt og tidszone, og angiv, om de stammer fra $STANDARD_INFORMATION eller $FILE_NAME. Er der afvigelser mellem de to sæt, eller mellem filsystemet og dokumentets interne datoer, bør de vises side om side med de mulige forklaringer, før der drages en konklusion.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Server-tid og klient-tid i cloud og apps · Hash af en fil: Get-FileHash, certutil og sha256sum

→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik