Fund uden for opdraget: når analysen viser noget andet

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Et fund uden for opdraget er et spor, der ikke vedrører de spørgsmål, analysen skal besvare, men som kan have betydning for nogen. Den tekniske håndtering er den samme hver gang: stop ved fundet, registrér præcist hvad og hvor det er, sikr konteksten uden at undersøge videre, og rapportér efter den procedure, der er aftalt på forhånd. Det, analytikeren ikke må, er at udvide undersøgelsen på eget initiativ.

Hvordan virksomheden træffer beslutningen om, hvad fundet skal bruges til, er beskrevet i tilfældigt fund under en intern undersøgelse. Her handler det om analytikerens side: håndteringen i værktøjet, dokumentationen og grænserne.

Hvorfor fundene opstår

Forensisk analyse ser bredere end de fleste andre undersøgelser. En tidslinje viser alt, hvad der skete i et tidsrum. En søgning på et projektnavn rammer også mails om noget helt andet. Carving af slettede filer tager ikke hensyn til mapper eller emner. Det betyder, at fund uden for opdraget ikke er en undtagelse, men en forventelig del af arbejdet.

Typiske eksempler:

spor af en anden medarbejders adfærd end den, undersøgelsen handler om,
tegn på et sikkerhedsproblem, fx en ukendt fjernadgang eller malware, i en sag om dokumentkopiering,
oplysninger om ledelsen eller opdragsgiveren selv,
private forhold uden betydning for sagen,
materiale, som det kan være ulovligt at være i besiddelse af.

Teknisk håndtering trin for trin

Stop. Fortsæt ikke med at åbne relaterede elementer for at “se, hvad det er”. Det udvider undersøgelsen og øger indgrebet.
Registrér. Notér i arbejdsnoterne tidspunkt, element, sti, hashværdi og den søgning eller handling, der førte til fundet. Notatet skal beskrive fundet neutralt og kortfattet, uden vurdering.
Markér. Giv elementet en særskilt markering i analyseværktøjet, så det ikke indgår i almindelige søgninger, eksporter eller rapportudkast.
Bevar. Fundet ligger allerede i den sikrede kopi, så der skal normalt ikke gøres noget for at bevare det. Undgå at eksportere det til arbejdsmapper.
Meld. Underret den, der efter den aftalte procedure skal have besked, typisk opdragsgiverens advokat eller kontaktperson. Beskeden skal være kort og saglig og ikke indeholde mere end nødvendigt.
Vent. Gå kun videre med fundet, hvis opdraget udvides skriftligt.

Arbejdsnoternes struktur er beskrevet i arbejdsnoter under undersøgelsen.

Hvor meget skal registreres?

Registreringen skal være præcis nok til, at fundet kan findes igen, og kort nok til, at den ikke i sig selv bliver en undersøgelse. En god tommelfingerregel er, at notatet beskriver placering og art, ikke indhold. “Mail i postkassen for konto X, mappen Indbakke, dato Y, vedrører en anden medarbejders forhold” er tilstrækkeligt. Et resumé af mailens indhold er det ikke, og det kan i sig selv blive en behandling af oplysninger, ingen har bedt om.

Hashværdien og den præcise sti er vigtige, fordi de gør det muligt for en anden at finde præcis samme element senere, hvis opdraget udvides, uden at analytikeren skal søge sig frem igen og dermed se mere end nødvendigt.

Fund i en tidslinje eller hitliste

Mange fund opstår ikke ved at åbne et element, men ved at det står i en automatisk dannet oversigt. Her er det oversigten, der skal håndteres: Den pågældende række markeres, og oversigten deles ikke videre i sin fulde form. Det er en almindelig fejl, at en tidslinje eller hitliste med fundet sendes til opdragsgiveren som arbejdsbilag, før nogen har opdaget, hvad den indeholder.

Aftal proceduren før analysen

Den bedste håndtering er aftalt, før analysen begynder. Et teknisk kommissorium bør indeholde et afsnit om fund uden for opdraget: hvem der skal underrettes, hvordan, og hvad analytikeren gør i mellemtiden. Se teknisk kommissorium.

Det er særligt vigtigt at aftale, hvad der sker, hvis fundet vedrører opdragsgiveren selv, eller den person, der er analytikerens kontakt. Så skal underretningen gå til en anden, fx advokaten eller en bestyrelsesformand. Uden en aftale står analytikeren i et dilemma, der ikke kan løses teknisk.

Særlige situationer

Sikkerhedsproblemer

Viser analysen tegn på en aktiv kompromittering, fx en ukendt fjernadgang eller en bagdør, er der en reel risiko for virksomheden. Her bør underretningen ske hurtigt, også selvom det ligger uden for opdraget. Analytikeren bør ikke selv gribe ind i systemet, men gøre opmærksom på, at indgreb bør ske på en måde, der bevarer sporene. Se forensic eller incident response.

Materiale, det kan være ulovligt at besidde

Støder analysen på materiale, som det i sig selv kan være ulovligt at være i besiddelse af, skal analysen af det pågældende område standses straks. Materialet må ikke kopieres, eksporteres eller vises for andre, og der skal straks søges juridisk rådgivning om den videre håndtering. Den videre proces ligger uden for en civil undersøgelse. Rammerne for, hvad der hører til en civil undersøgelse, er beskrevet på siden om afgrænsning. Om der er pligt til at underrette nogen, og hvordan det forholder sig til den sagkyndiges tavshedspligt, er et juridisk spørgsmål, som advokaten afklarer, før der gøres mere. Rammerne for tavshedspligten er beskrevet i tavshedspligt og den IT-sagkyndige.

Private forhold

Private oplysninger uden betydning for sagen er den hyppigste type fund. De skal ikke rapporteres som fund, men blot markeres og holdes ude af analysen. Teknikken er beskrevet i teknisk adskillelse af private data.

Bias og fokus

Et fund uden for opdraget kan påvirke analysen af det, opdraget faktisk handler om. Har analytikeren set noget belastende om en person, er der risiko for, at andre spor om samme person tolkes mere negativt. Det er en kendt form for bekræftelsesbias. Værnet er at notere fundet, lægge det til side og fortsætte analysen efter den oprindelige plan og de oprindelige hypoteser. Se bias i forensisk analyse og om de bredere etiske rammer etik i digital forensics.

Rapportering

Der er tre måder at håndtere fundet i den skriftlige leverance:

Ingen omtale · Private forhold uden betydning, som blot er markeret og udelukket
Særskilt notat · Fund, der er meldt til opdragsgiveren, men som ikke vedrører rapportens spørgsmål
Afsnit i rapporten · Fund, der har betydning for rapportens konklusioner, fx fordi de giver en alternativ forklaring

Det sidste punkt er vigtigt. Et fund, der ligger uden for opdraget, men som svækker eller ændrer en konklusion inden for opdraget, kan ikke udelades. Er der fx spor af en ukendt fjernadgang i den periode, hvor filerne blev kopieret, er det relevant for spørgsmålet om, hvem der kopierede dem.

Hvad dokumentationen skal vise

hvornår og hvordan fundet blev gjort,
at analysen af fundet blev standset,
hvem der blev underrettet, hvornår og med hvilken besked,
om opdraget efterfølgende blev udvidet, og i givet fald hvordan,
hvordan fundet er markeret og adskilt i analysesættet.

Dokumentationen beskytter både den undersøgte, opdragsgiveren og analytikeren. Den viser, at fundet ikke er resultatet af en bevidst søgning uden for rammerne, og at det er håndteret, så det kan bruges eller lægges til side på et ordentligt grundlag.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Særlige kategorier af persondata i et udtræk: teknisk håndtering · Uvildighed i praksis: metodiske værn i forensisk arbejde

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik