Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen
I en ansættelsessag er firmatelefonen ofte central, men den er sjældent kun en arbejdsenhed. Den rummer private beskeder, billeder, helbredsdata og kontakter, som sagen intet har med at gøre. Teknisk kan afgrænsningen ske to steder: allerede ved udtrækket, så kun bestemte kategorier hentes, eller efter et fuldt udtræk, så kun bestemte data analyseres og udleveres. Valget har betydning for både privatliv og beviskraft, og filtrene skal kunne efterprøves.
Det juridiske og aftalemæssige grundlag for at sikre og afgrænse er beskrevet på digital-bevissikring.dk, og virksomhedens adgang til at gennemgå telefonen på bevissikring-digitalt.dk. Udtrækstyperne er forklaret i Udtræk fra mobiltelefoner, som også har et kort afsnit om afgrænsning. Her går vi i dybden med, hvordan afgrænsningen gøres teknisk.
To modeller
- Selektivt udtræk · Fordel: Private data forlader aldrig telefonen · Ulempe: Kan ikke udvides bagefter; sammenhæng og slettede data kan gå tabt
- Fuldt udtræk, selektiv analyse · Fordel: Intet går tabt, og afgrænsningen kan justeres · Ulempe: Hele indholdet ligger hos den sagkyndige og skal beskyttes
Selektivt udtræk lyder mest skånsomt, men det har en teknisk pris. Mange værktøjer kan kun vælge kategorier på et groft niveau, fx “beskeder” eller “billeder”, ikke “beskeder med bestemte kontakter i en bestemt periode”. Systemartefakter, der kan vise brug af telefonen, kommer sjældent med. Og hvis sagen udvikler sig, eller modparten bestrider udvalget, kan det ikke gøres om med samme resultat, fordi telefonen har ændret sig i mellemtiden.
Den mest udbredte løsning er derfor et fuldt udtræk, som opbevares krypteret og urørt, kombineret med en snæver analyse efter aftalte kriterier. Hvor parterne har aftalt et selektivt udtræk, skal begrænsningerne fremgå tydeligt af rapporten. Afvejningen er beskrevet generelt i Dataminimering i forensic.
Filtrene
Afgrænsningen bygger typisk på en kombination af fire typer kriterier:
- Periode: fra og med en dato til og med en dato. Angiv tidszone og om grænserne er inklusive.
- Apps eller kategorier: fx mail, sms, en bestemt beskedapp, opkald eller kalender. Hvad der lovligt kan sikres fra beskedapps, står i Beskedapps i ansættelsessager.
- Kontakter: telefonnumre, mailadresser, brugernavne eller gruppe-id’er.
- Søgeord: navne, kundenavne, projektnavne og bestemte udtryk.
Hvert kriterium har sine faldgruber, og det er dem, der afgør, om udvalget er fuldstændigt.
Faldgruber ved kontaktfiltre
En kontakt har mange identiteter. Samme person kan optræde med telefonnummer i flere formater (med og uden landekode, med mellemrum), med en eller flere mailadresser, med brugernavne i beskedapps og med interne id’er, som appen bruger i sin database. Et filter på kontaktnavnet i telefonbogen fanger kun de poster, hvor værktøjet har koblet id’et til kontakten, og navnet kan være ændret eller slettet.
Gruppesamtaler er en særlig udfordring. En besked fra en relevant person i en gruppe med ti deltagere vil ofte blive fanget af et kontaktfilter, mens svarene fra de andre ni ikke gør. Aftal på forhånd, om relevante grupper skal med i deres helhed i perioden, eller om kun beskeder fra den relevante person udleveres med den nødvendige sammenhæng.
Faldgruber ved periode og søgeord
Periodefiltre bruger værktøjets tidsstempel, som kan være afsendt, modtaget, læst eller ændret. En besked sendt kort før midnat i dansk tid kan ligge på den forkerte side af grænsen, hvis filteret bruger UTC. Vedhæftninger og billeder har deres egne tidsstempler, som kan ligge uden for perioden, selv om beskeden ligger inden for.
Søgeord rammer kun tekst, som værktøjet har indekseret. Billeder af tekst, talebeskeder, PDF-filer uden tekstlag og indhold i apps, værktøjet ikke kan parse, bliver ikke fundet. Bøjningsformer og stavevarianter skal med. Søgeresultatet bør dokumenteres med en hitliste pr. søgeord, så det kan ses, hvilke ord der ramte, og hvilke der var for brede; se Søgetermrapport og hitlister.
Test af filtrene
Et filter er en metode og skal valideres som sådan. Praktiske greb:
- Kontrolprøve: Gennemgå en stikprøve af data, der faldt uden for filteret, i kategorier og perioder tæt på grænsen. Notér, om relevante poster blev overset.
- Kendte poster: Har parterne fremlagt bestemte beskeder, skal de genfindes af filteret. Gør de ikke det, er filteret for snævert.
- Optælling: Angiv antal poster før og efter hvert filtertrin.
- Identitetsliste: Dokumentér alle identiteter, der er brugt for hver kontakt, og hvordan de er fundet.
Privat indhold undervejs
Selv med en snæver analyse vil den sagkyndige se privat indhold, fx når en samtale både handler om arbejde og privatliv. Det skal håndteres efter en aftalt procedure: Privat indhold udleveres ikke, beskrives ikke ud over det nødvendige og noteres kun som “udeladt efter aftale”. Tekniske greb til at holde private data adskilt i analysen er beskrevet i Private data på arbejdsenheden.
Har telefonen en arbejdsprofil, kan adskillelsen ofte ske på profilniveau, fordi arbejdsapps ligger i en separat beholder. Det er en ren og velbegrundet afgrænsning, men kun hvis medarbejderen faktisk har brugt arbejdsprofilen til arbejdet.
Slettede data og systemartefakter
Afgrænsningen skal også tage stilling til slettede poster og systemdata. Gendannede beskeder fra en apps database har ofte ufuldstændige felter: kontakt-id kan mangle, eller tidsstemplet kan være det eneste, der er tilbage. Et kontaktfilter vil derfor ofte frasortere netop de slettede poster, der kan være mest relevante. Aftal, om slettede poster i de relevante apps gennemgås separat inden for perioden, uanset kontakt.
Systemartefakter som oplåsninger, app-brug og netværksforbindelser indeholder sjældent privat indhold i sig selv, men kan sige meget om personens færden og vaner. Medtages de, bør det være med et konkret formål, fx at vise, om telefonen var i brug på et bestemt tidspunkt, og kun for den relevante periode.
Når udvalget bliver bestridt
Det sker, at modparten eller medarbejderen mener, at udvalget er skævt: at noget formildende er udeladt, eller at noget irrelevant er taget med. Fordi det fulde udtræk er bevaret, kan spørgsmålet efterprøves. Filtrene kan køres igen med supplerende kriterier, og den sagkyndige kan redegøre for, hvorfor bestemte poster faldt uden for. Det forudsætter, at filtrene og deres rækkefølge er dokumenteret så præcist, at kørslen kan gentages med samme resultat på samme udtræk. Ved et rent selektivt udtræk findes den mulighed ikke, og det er et argument for den anden model, hvor det er proportionalt.
Udlevering
Det udvalgte materiale eksporteres i et format, modtageren kan læse, typisk en rapport med samtaler og vedhæftninger og en struktureret eksport. Eksporten hashes som en selvstændig samling med en henvisning til det fulde udtræks hashværdier. Så kan det senere vises, at udvalget stammer fra det sikrede udtræk, og at intet er tilføjet.
Hvad et afgrænset udtræk kan og ikke kan bevise
Et afgrænset udtræk viser indholdet inden for kriterierne. Det kan ikke vise, at der ikke findes andet relevant uden for dem. Rapporten skal derfor angive kriterierne, testen af dem og de kendte begrænsninger, så læseren kan vurdere, hvad fraværet af et fund betyder.
Dokumentation
Angiv grundlaget for udtrækket, udtrækstype og værktøj, de præcise filtre med tidszone, identitetslisten, antal poster pr. trin, testresultater, eksportformat og hashværdier for både det fulde udtræk og udvalget.
Kilder og versioner
- NIST SP 800-101 Rev. 1: Guidelines on Mobile Device Forensics
- ISO/IEC 27037: Guidelines for identification, collection, acquisition and preservation of digital evidence
- Android Developers: Work profiles (managed profiles)
Senest gennemgået: oktober 2026.
Næste skridt
- MDM og Intune som datakilde: inventar, compliance og fjernsletning
- iCloud teknisk: datakategorier og lovlig eksport
- Synkronisering mellem Apple-enheder: når sporet stammer fra en anden enhed
Del af: iPhone-forensik
Læs også: MDM og Intune som datakilde: inventar, compliance og fjernsletning · Lokationsdata på telefonen: præcision og fejlkilder
→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
