Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
Kort svar: En hurtig formatering skriver kun et nyt, tomt filsystem, og på en mekanisk disk ligger de gamle data ofte tilbage. En fuld formatering eller et wipe overskriver selve sektorerne, og en SSD rydder typisk data via TRIM. Forskellen kan som regel aflæses på en forensisk kopi: i mønstret i de rå data og i resterne af det gamle filsystem.
Spørgsmålet opstår typisk, når en computer eller et eksternt drev afleveres tomt ved en fratræden, eller når en part forklarer, at et medie “bare er formateret”. Artiklen handler om, hvad der kan ses på diskniveau. Hvordan slettede filer generelt gendannes, er forklaret på digitalbevissikring.dk, og spor efter selve sletteprogrammerne er beskrevet i oprydningsprogrammer og sletteværktøjer.
Fire tilstande, der ser ens ud i Stifinder
- Hurtig formatering · Hvad der er sket på mediet: Nyt filsystem skrevet i starten af volumen · Typisk tegn i de rå data: Gamle filer og filsystemstrukturer findes i resten af volumen
- Fuld formatering · Hvad der er sket på mediet: Nyt filsystem, og volumen overskrevet med nuller · Typisk tegn i de rå data: Volumen består næsten kun af nuller ud over den nye struktur
- Wipe med program · Hvad der er sket på mediet: Hele disken eller ledig plads overskrevet med et mønster · Typisk tegn i de rå data: Gentagne bytes, tilfældige data eller programmets eget mønster
- Sanitize eller kryptografisk sletning · Hvad der er sket på mediet: Lagermediets egen funktion rydder eller kasserer nøglen · Typisk tegn i de rå data: Ensartet indhold over hele disken eller data uden struktur
Microsoft beskriver i dokumentationen til format, at /Q kun sletter filtabellen og rodmappen, mens /P nulstiller alle sektorer og kan overskrive yderligere gange. Kommandoen sender desuden som standard TRIM til lagermediet, medmindre /NoTrim er angivet. Det er vigtigt for fortolkningen på SSD’er.
Mekanisk disk eller SSD
På en mekanisk disk bliver data liggende, indtil de overskrives. En hurtig formatering efterlader derfor typisk både gamle filer og gamle filsystemstrukturer. En fuld formatering eller et wipe fjerner dem.
På en SSD, et NVMe-drev eller et moderne USB-medie er billedet et andet. Når et filsystem formateres eller filer slettes, sendes TRIM, og controlleren markerer blokkene som ubrugte. Læses de bagefter, returneres oftest nuller, selvom ingen har overskrevet dem bevidst. En SSD, der læses som nuller efter en hurtig formatering, er derfor ikke i sig selv tegn på et wipe. Se SSD, TRIM og gendannelse.
Tegn i de rå data
Analysen foregår på en verificeret kopi af hele det fysiske medie, ikke kun den synlige partition. Se forensisk image trin for trin. Derefter ses der på:
- Fordelingen af indhold. En oversigt over, hvor stor en del af disken der består af nuller, af et gentaget mønster, af data med høj tilfældighed og af almindelige filstrukturer. Et wipe giver ensartede, store områder. En hurtig formatering giver et blandet billede.
- Tilfældighed. Områder med meget høj entropi kan være krypterede data, komprimerede filer eller tilfældigt overskrevet indhold. En krypteret volumen har typisk en genkendelig signatur i starten, fx BitLocker, mens et tilfældigt wipe ikke har det.
- Rester af det gamle filsystem. Gamle MFT-poster, mappestrukturer, partitionstabeller og den reserve-GPT, der ligger i slutningen af disken, kan overleve en hurtig formatering. Fundet af dem viser, at området ikke er overskrevet.
- Det nye filsystems alder. Volumens serienummer og oprettelsestidspunkterne for filsystemets egne metadatafiler viser, hvornår formateringen skete.
- Ikke-allokerede områder uden for partitionen. Mellemrum mellem partitioner og slutningen af disken bliver ofte ikke berørt af en formatering, men af et wipe af hele disken.
- Carving. Kan der findes filer med genkendelige signaturer, og passer deres indhold til den tidligere brug? Se file carving.
Tegn uden for disken
Selve handlingen kan efterlade spor andre steder. På den computer, hvor et eksternt medie blev formateret, kan Microsoft-Windows-Partition/Diagnostic og andre logs registrere ændringer af partitioner og volumener, og USB-sporene viser, hvornår mediet var tilsluttet. Programmer til sletning efterlader installations- og kørselsspor. Hvis en intern disk er wipet fra et startmedie, findes der normalt ingen spor på disken selv, men tidspunktet kan ofte indkredses fra MDM, EDR og loginlogs, der viser, hvornår maskinen sidst var aktiv. Disse kilder er langt mere sikre på et tidspunkt end en analyse af de rå data.
Er disken en del af en computer, som virksomheden administrerer, bør IT-afdelingens egne registreringer også indgå: sagsnumre for udskiftning, kvitteringer fra klargøring og eventuelle certifikater for sletning fra en leverandør. De kan forklare et wipe som en planlagt handling og skal sammenholdes med tidspunktet fra de tekniske spor.
Eksterne drev, USB-nøgler og SD-kort
Flytbare medier er særlige. De er ofte formateret med FAT32 eller exFAT, som har enklere strukturer og færre tidsstempler end NTFS. Mange USB-nøgler og SD-kort har desuden en controller, der flytter data rundt internt, og nogle understøtter TRIM, mens andre ikke gør. Resultatet er, at det samme forløb kan give forskellige spor på to medier, der ser ens ud. Undersøgelsen bør derfor altid notere medietype, controller, hvis den kan identificeres, og filsystem. Se exFAT og FAT32 for de filsystemspecifikke detaljer.
Typiske fejlslutninger
- “Nuller betyder wipe.” Ikke på SSD’er, hvor TRIM giver samme resultat ved almindelig sletning.
- “Gamle filer betyder, at intet blev slettet.” En hurtig formatering efterlader netop gamle filer. Det viser, at formateringen ikke overskrev, ikke at intet blev fjernet.
- “Ensartet mønster betyder forsæt.” Leverandører og klargøringsfirmaer wiper rutinemæssigt udstyr. Virksomhedens egne procedurer og kvitteringer for sletning skal indgå i vurderingen.
- “Ingen spor betyder, at der aldrig var noget.” Fravær af data på en overskrevet disk siger intet om, hvad der lå der. Se fravær af spor.
Hvad analysen kan og ikke kan vise
Analysen kan som regel skelne mellem et medie, der kun er formateret hurtigt, og et medie, der er overskrevet. Den kan ofte datere formateringen og vise, om dele af den tidligere brug kan gendannes. Den kan sjældent vise, hvilket program der blev brugt, medmindre der er spor på en anden maskine, og den kan ikke vise, hvad der lå på et medie, der er fuldt overskrevet.
NIST SP 800-88 Rev. 2 beskriver de metoder til sanering af medier, som organisationer bruger, og er en god reference, når en part forklarer, at en sletning var en del af en fast procedure. Står der i proceduren, at medier skal saneres på en bestemt måde, kan analysen vurdere, om det fundne mønster passer til den beskrevne metode.
I rapporten
Rapporten bør beskrive mediet (type, model, kapacitet, og om det er SSD eller mekanisk), kopiens hashværdi, fordelingen af indhold over disken og de konkrete fund, der understøtter konklusionen. Konklusionen formuleres som en vurdering af, hvilken tilstand der er mest forenelig med fundene, med de alternative forklaringer, der ikke kan udelukkes.
Kilder og versioner
- Microsoft Learn: format
- NIST SP 800-88 Rev. 2: Guidelines for Media Sanitization
- ISO/IEC 27037: retningslinjer for håndtering af digitale beviser
Senest gennemgået: oktober 2026.
Næste skridt
- BitLocker og FileVault i bevissikring: nøgler og lovlig adgang
- Filsystemer sammenlignet: NTFS, APFS, ext4, exFAT og ReFS
Del af: Sikring: metoderne samlet
Læs også: Oprydningsprogrammer og sletteværktøjer: spor efter brug · ZFS og ReFS: copy-on-write og snapshots
→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
