Fravær af spor: hvad betyder det, at intet blev fundet?

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

“Der er ikke fundet spor efter kopiering” er en af de sætninger i en forensisk rapport, der oftest bliver læst forkert. Fravær af spor kan kun bruges som argument, hvis det kan vises, at sporet ville have været der, hvis handlingen var sket. Det kræver, at logningen var slået til, at opbevaringsperioden dækker tidsrummet, at data ikke er overskrevet, og at metoden faktisk kunne finde sporet.

Artiklen gennemgår de fire betingelser og viser, hvordan et negativt fund formuleres, så det hverken overvurderes eller undervurderes. Sletteværktøjer og bevidst manipulation behandles i en særskilt artikel. → Anti-forensics: spor efter sletning og manipulation

Fire betingelser for at fravær betyder noget

1. Sporet ville være blevet skabt

Den første betingelse er, at handlingen normalt efterlader det spor, man leder efter, på netop dette system. Det er ikke givet:

Filadgang på en filserver logges kun, hvis objektadgang er slået til, og mappen har en relevant SACL.
Poster i cloudtjenesternes auditlogs afhænger af licensniveau og konfiguration; se Audit Standard eller Premium.
Mange artefakter afhænger af programmet. Et program, der ikke bruger Windows’ standarddialoger, skaber ikke nødvendigvis jump lists eller MRU-poster.
USB-spor afhænger af enhedstype. Telefoner tilsluttet som MTP-enheder efterlader andre spor end masselagringsenheder.

Kendskab til konfigurationen på tidspunktet er derfor afgørende. Hvordan licensniveauet påvirker, hvad en virksomhed overhovedet har af logs, er beskrevet fra virksomhedens side her: → Licensniveau og beviser

2. Sporet var stadig til stede ved sikringen

Mange kilder har en begrænset levetid:

Hændelseslogs · Maksimal størrelse og overskrivning
$UsnJrnl · Fast størrelse, cirkulær overskrivning
Prefetch · Begrænset antal filer pr. system
Cloud-auditlogs · Opbevaringstid efter licens og politik
Firewall- og proxylogs · Lagerplads og rotation hos leverandøren
Browserhistorik · Brugerens og browserens oprydning

Et negativt fund i en kilde, der kun dækker de seneste uger, siger intet om, hvad der skete for tre måneder siden. Angiv derfor altid den faktiske dækningsperiode for hver kilde, målt ud fra den ældste post i det sikrede materiale, ikke ud fra den teoretiske opbevaringstid. → Logfiler og logrotation

3. Sporet er ikke fjernet af almindelig drift

Spor forsvinder ofte uden nogen hensigt: geninstallation, profiloprydning, opdateringer, diskoprydning, SSD’ens TRIM og automatisk sletning i postkasser. Hvis enheden har været i brug efter den relevante periode, er risikoen for overskrivning større. Normal drift og bevidst sletning kan ligne hinanden og skal holdes adskilt i analysen.

4. Metoden kunne finde sporet

Endelig skal metoden have været i stand til at finde det, man ledte efter:

Blev der søgt i ikke-allokeret plads (unallocated) og skyggekopier, eller kun i aktive filer? Også Windows’ søgeindeks kan rumme spor af filer, der ikke længere findes; se Windows Search-indekset som datakilde.
Var data krypteret eller utilgængeligt? → Når nøglen mangler
Kunne søgeværktøjet læse filformatet, eller var filerne billeder, scannede dokumenter eller ukendte formater?
Blev der søgt med de rigtige termer, stavemåder og tegnsæt?

Et negativt søgeresultat i materiale, der ikke kunne søges i, er ikke et negativt fund. → OCR og ikke-søgbare filer

Cloud og tredjepart: fravær hos en andens system

Når kilden ligger hos en leverandør, er fravær endnu sværere at vurdere. Hvad leverandøren logger, hvor længe og med hvilke felter, er ofte kun delvist dokumenteret, og ændringer i tjenesten sker uden varsel. En eksport fra en auditlog kan også være ufuldstændig, fordi eksportværktøjet har en grænse for antal poster, eller fordi søgningen var afgrænset på en måde, der udelod relevante handlinger. Kontrollér derfor, at eksporten er fuldstændig: Antallet af poster bør sammenholdes med det, grænsefladen viser, og eksporten bør dække hele den ønskede periode uden huller ved dagsskift eller sidegrænser. Et negativt fund i en cloud-eksport bør altid ledsages af en beskrivelse af, hvordan eksporten er lavet, og hvilke begrænsninger værktøjet har. Har tjenesten ændret logformat eller hændelsestyper i perioden, skal det også fremgå, fordi søgninger på et bestemt hændelsesnavn så kan overse poster, der før hed noget andet. Både Microsoft 365 og Google Workspace har grænser for, hvor mange poster en søgning, en side i et API-kald eller en eksport kan rumme, og grænserne ændres. Den aktuelle grænse for det anvendte værktøj bør slås op og noteres sammen med eksporten.

Positivt test af fraværet

Den stærkeste måde at underbygge et negativt fund på er at vise, at kilden virker. Det kan gøres på to måder:

Kontrolhændelser i samme kilde. Hvis sikkerhedsloggen indeholder logons og andre forventede hændelser for hele perioden, men ingen spor efter den påståede handling, er fraværet mere sigende, end hvis loggen er tom eller har huller.
Afprøvning på et tilsvarende system. Udfør den påståede handling på et testsystem med samme version og konfiguration, og vis, hvilke spor den efterlader. Mangler netop disse spor på det undersøgte system, styrkes konklusionen.

Huller i en ellers kontinuerlig kilde er i sig selv et fund. Et hul kan skyldes nedlukning, en fuld disk, en opdatering eller rydning af loggen, og årsagen skal undersøges, før hullet tillægges betydning.

Hvordan et negativt fund formuleres

En korrekt formulering angiver kilde, periode, metode og begrænsning. Sammenlign:

“Der er ikke kopieret filer til USB.”
“I det sikrede materiale fra computeren er der ikke fundet spor efter tilslutning af USB-masselagringsenheder i perioden 1. februar til 15. marts. Perioden er dækket af registreringsdatabasen og hændelseslogs. Tilslutning af telefoner som medieenheder efterlader andre spor, som også er undersøgt uden fund. Kopiering via netværk eller cloud er ikke omfattet af denne konklusion.”

Den anden formulering er længere, men den kan efterprøves, og den lukker ikke spørgsmål, som undersøgelsen ikke har besvaret.

Typiske faldgruber

Opbevaringstid forveksles med dækning. En log med 90 dages opbevaring, der blev sikret 120 dage efter hændelsen, dækker ikke hændelsen.
Ét negativt fund generaliseres. At der ikke er spor på computeren, siger intet om telefonen eller cloudkontoen.
Fravær tolkes som sletning. Manglende spor er ikke i sig selv tegn på, at nogen har ryddet op. Bevidst sletning kræver positive spor, fx kørte sletteprogrammer eller ryddede logs.
Søgeresultater uden undtagelsesliste. Uden en liste over filer, der ikke kunne søges i, kan “ingen hits” ikke vurderes.
Tidszone og periode passer ikke sammen. En søgning afgrænset i lokal tid mod en kilde i UTC kan skære en til to timer af i hver ende af perioden, og netop dér kan den relevante hændelse ligge.

Hvad fraværet kan og ikke kan bevise

Fravær af spor kan understøtte, at en bestemt handling ikke er sket på en bestemt måde i en bestemt periode på et bestemt system, når de fire betingelser er opfyldt og dokumenteret. Det kan aldrig udelukke, at handlingen er sket på en anden måde, på et andet system eller uden for den dækkede periode. Konklusionen bør altid afgrænses til netop det, der er undersøgt.

Dokumentation

Rapporten bør for hver kilde angive: konfiguration og logniveau, faktisk dækningsperiode, kendte huller, søgemetode og en liste over materiale, der ikke kunne undersøges. Det er det, der gør et negativt fund brugbart for en dommer og modstandsdygtigt over for en modparts sagkyndige.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Systemet eller brugeren? Aktivitet, der ligner brugeradfærd · Bias i forensisk analyse: bekræftelsesbias og kontekstinformation · Teknisk ordbog

→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik