Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen
En privat Google-konto kan indeholde en detaljeret historik over kontoejerens søgninger, besøgte sider i Chrome, brug af apps på Android, YouTube-visninger og, hvis det har været slået til, placeringer. Det kan være relevant i en civil sag, fx når kontoejeren selv vil dokumentere, hvor vedkommende var, eller hvornår en bestemt handling blev foretaget. Data kan kun sikres med kontoejerens samtykke eller på andet lovligt grundlag, og de skal tolkes med stor forsigtighed: Aktivitetsdata viser, hvad en konto har registreret fra en eller flere enheder, ikke nødvendigvis hvad en bestemt person har gjort.
Artiklen handler udelukkende om sikring af egne eller samtykkede data. Adgang til en andens konto uden samtykke eller lovligt grundlag er ikke en metode, der beskrives her.
Hvad kontoen kan indeholde
- Web- og appaktivitet · Søgninger, besøgte sider, brug af Google-tjenester og apps
- Chrome-historik · Besøgte sider, hvis synkronisering er slået til
- YouTube · Visnings- og søgehistorik
- Placeringshistorik (Tidslinje) · Besøgte steder og ruter, hvis funktionen er slået til
- Enheder og sikkerhed · Tilsluttede enheder, seneste logins og sikkerhedshændelser
- Android-sikkerhedskopi · Appdata og indstillinger fra telefonen
Hvad der faktisk er gemt, afhænger af kontoens indstillinger, som brugeren kan ændre. Mange typer aktivitet kan sættes til automatisk sletning efter en periode, og for konti oprettet efter Googles ændring i 2020 er automatisk sletning af web- og appaktivitet som udgangspunkt slået til, typisk efter 18 måneder. Brugeren kan vælge en kortere eller længere periode eller slå det fra. Notér indstillingerne på sikringstidspunktet, fordi de forklarer, hvilke perioder der mangler.
Placeringshistorikken er flyttet til enheden
Google har ændret Tidslinje, så placeringshistorikken gemmes på brugerens telefon i stedet for på Googles servere, med mulighed for en krypteret sikkerhedskopi i skyen. Data, der ikke blev flyttet til enheden inden for Googles frister, kan være slettet. Sikkerhedskopien er krypteret og skal være slået til af brugeren. Tidslinjen kan eksporteres fra appens indstillinger på enheden. Konsekvensen er, at placeringshistorik i dag typisk skal sikres fra telefonen, ikke fra kontoen, og at Takeout ikke længere giver den samme placeringshistorik som tidligere. Platformenes udtræk generelt er beskrevet i Download dine data.
Sikring fra telefonen kræver en forensisk eller logisk udtrækning af enheden eller en eksport fra appens indstillinger, alt efter platform og version. Android-sikkerhedskopiens rolle er beskrevet i Android-backup og Google-kontoen.
Sådan sikres data med samtykke
- Afklar grundlag og omfang skriftligt med kontoejeren: hvilke datatyper, hvilken periode og til hvilket formål.
- Dokumentér kontoens indstillinger for aktivitet, automatisk sletning og placering, med skærmbilleder og tidspunkt.
- Eksportér via Takeout de valgte datatyper. Kontoejeren logger selv ind, mens den IT-sagkyndige noterer forløbet. Se Google Takeout eller Vault-eksport.
- Sikr placeringshistorik fra enheden, hvis den er relevant og findes dér.
- Hash arkiverne og eventuelle udtræk straks efter download.
- Udvælg de relevante data efter de aftalte kriterier i en arbejdskopi, og bevar originalerne uændret.
Undgå at ændre indstillingerne under sikringen. At slå en funktion til eller fra kan slette eller ændre data.
Takeout-arkiver for aktivitetsdata kan vælges som HTML eller JSON. Vælg JSON, hvor det er muligt. Formatet er maskinlæsbart, bevarer flere felter og gør det lettere at normalisere tidsstempler og filtrere på periode uden manuel afskrift. HTML-oversigten kan gemmes ved siden af som en læsbar gengivelse, men den bør ikke være grundlaget for analysen. Notér versionen af det værktøj eller script, der bruges til at læse JSON-filerne, og bevar dets output sammen med originalerne.
Fortolkning: hvad aktivitetsdata viser
Konto, ikke person. Aktivitet registreres for kontoen. Er kontoen logget ind på en delt computer, en familie-tablet eller en bil, kan andre personers handlinger optræde. Kontrollér, hvilke enheder der var tilsluttet i perioden.
Enhed og kilde. Mange poster angiver, hvilken tjeneste eller app de stammer fra, men ikke altid hvilken enhed. Uden enhed er det svært at vise, hvor handlingen fandt sted.
Automatiske poster. Baggrundsaktivitet, forudindlæsning af sider, assistenter og widgets kan skabe poster, der ligner bevidste handlinger.
Tidsstempler. Takeout leverer tidspunkter i forskellige formater, nogle i UTC, andre med lokal tidszone, og HTML-oversigter kan vise en tredje. Normalisér konsekvent; se Tidslinjeanalyse.
Placeringer er estimater. En placering er beregnet ud fra GPS, Wi-Fi, mobilmaster eller IP-adresse og har en nøjagtighed, der kan være fra få meter til flere kilometer. Besøgte steder er Googles fortolkning af placeringerne og kan pege på en nabobygning. Brug nøjagtighedsradius, når den findes, og formuler konklusionen tilsvarende. IP-baserede placeringer er særligt usikre; se IP-adresser som bevis.
Huller. Manglende data kan skyldes slukket telefon, flytilstand, deaktiverede funktioner, automatisk sletning eller manuel sletning. Et hul beviser ikke, at personen var et andet sted.
Verifikation mod andre kilder
Aktivitetsdata fra kontoen bør altid holdes op mod uafhængige kilder, før de bærer en konklusion:
- Enhedens egne spor. Browserhistorik, appdatabaser og systemlogs på telefonen eller computeren kan bekræfte, at en handling skete på netop den enhed. Stemmer tidspunkterne, styrker det billedet. Gør de ikke, kan aktiviteten stamme fra en anden enhed på kontoen.
- Kontoens sikkerhedshændelser. Logins og nye enheder i perioden viser, om andre enheder kunne have bidraget.
- Tredjepartskilder. Kvitteringer, adgangskort, betalinger, kalenderaftaler og andre parters data kan bekræfte eller afkræfte en placering eller et tidspunkt.
- Teknisk sandsynlighed. En placering, der springer mellem fjerne punkter på kort tid, er et tegn på et dårligt estimat, ikke på en rejse.
Beskriv både det, der bekræfter, og det, der taler imod. En tidslinje, der kun viser de passende punkter, holder ikke over for en modparts sagkyndige.
Synkronisering og flere enheder
Mange Google-data synkroniseres mellem enheder. Chrome-historik fra en arbejdscomputer kan optræde i den private konto, hvis brugeren har været logget ind med den private konto i Chrome på arbejdet. Omvendt kan en familie-tablet bidrage med søgninger, som ingen i sagen har foretaget. Lav derfor en liste over de enheder, kontoen har været tilsluttet i perioden, og vurdér for hver post, hvilken enhed den sandsynligvis stammer fra.
Persondata og tredjemand
Aktivitetsdata er ofte meget private og kan afsløre forhold, der intet har med sagen at gøre, herunder oplysninger om helbred, religion eller relationer. De kan også indeholde oplysninger om andre personer. Afgrænsning, udvælgelse og fortrolig behandling er derfor en del af metoden, ikke en eftertanke. Den tekniske adskillelse af private og relevante data er beskrevet i Adskillelse af private data.
Digital stalking
Er kontoejeren udsat for digital stalking, kan kontoens sikkerhedsoversigt vise ukendte enheder, apps med adgang eller delt placering, som en anden har sat op. Sporene bør sikres, før adgangene lukkes, så de kan dokumenteres. Nielco IT hjælper stalking-ramte med netop det: stalkinghjælp hos Nielco IT.
Hvad aktivitetsdata kan og ikke kan bevise
De kan vise, at kontoen registrerede bestemte søgninger, besøg eller placeringer på bestemte tidspunkter, under de indstillinger, der gjaldt. De kan ikke alene vise, hvem der betjente enheden, og deres placeringer er estimater. Konklusioner bør bekræftes af uafhængige kilder.
Dokumentation til rapporten
Angiv samtykke og afgrænsning, kontoens indstillinger, eksportens tidspunkt og indhold, hashværdier, udvælgelseskriterier, tidszoner og for placeringer den anvendte nøjagtighed og kilde.
Kilder og versioner
- Google Maps Help: Manage your Google Maps Timeline
- Google Account Help: Delete your activity
- Google: Keeping your private information private (standard for automatisk sletning, 2020)
- Google Account Help: How to download your Google data
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Google Workspace-forensik
Læs også: Overtaget Google Workspace-konto: filtre, videresendelse og app-adgang i revisionsloggen · Slack-eksport teknisk: formater, planer og Discovery API
→ Google Workspace-forensik · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
