Hash af en fil: Get‑FileHash, certutil og sha256sum

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

En SHA-256-hashværdi af en fil beregnes med indbyggede kommandoer i alle almindelige styresystemer: Get-FileHash i PowerShell og certutil i Windows, sha256sum i Linux og shasum i macOS. Kommandoen er det lette. Det vigtige i en sag er, at det fremgår, hvilken fil der er hashet, hvornår, af hvem, med hvilken algoritme og hvilket værktøj, så en anden kan gentage beregningen og få samme resultat.

Hvad en hashværdi er, og hvorfor den bruges som bevis, er forklaret på digitalbevissikring.dk. Valget mellem MD5, SHA-1 og SHA-256 er beskrevet i hashalgoritmer i forensic.

Windows: Get-FileHash i PowerShell

Get-FileHash er den mest direkte metode i Windows. Standardalgoritmen er SHA256, og kommandoen returnerer algoritme, hashværdi og sti.

Én fil: Get-FileHash -Algorithm SHA256 -LiteralPath "D:\Sag\kontrakt.pdf"
Alle filer i en mappe, rekursivt, til CSV: Get-ChildItem -LiteralPath "D:\Sag" -Recurse -File | Get-FileHash -Algorithm SHA256 | Export-Csv -Path "D:\Sag-hash.csv" -NoTypeInformation -Encoding UTF8

Brug -LiteralPath frem for -Path, når filnavne kan indeholde firkantede parenteser eller andre tegn, som PowerShell ellers tolker som mønstre. Hashværdien vises med store bogstaver. Det har ingen betydning for sammenligningen, fordi hashværdien er et tal skrevet i hexadecimal.

Windows: certutil

certutil er tilgængeligt på alle Windows-versioner, også hvor PowerShell er begrænset:

certutil -hashfile "D:\Sag\kontrakt.pdf" SHA256

Algoritmen skal angives. Uden angivelse bruges SHA1 som standard, også i Windows 11. Kommandoen certutil -hashfile -? viser de understøttede algoritmer: MD2, MD4, MD5, SHA1, SHA256, SHA384 og SHA512. Ældre versioner skriver hashværdien med mellemrum mellem bytes. Mellemrum fjernes før sammenligning.

Linux: sha256sum

sha256sum er en del af GNU coreutils:

Én fil: sha256sum kontrakt.pdf
Alle filer rekursivt til en manifestfil: find /mnt/sag -type f -exec sha256sum {} + > sag.sha256
Kontrol mod manifestet senere: sha256sum -c sag.sha256

Kontroltilstanden er nyttig, fordi den gentager beregningen for hver fil og melder OK eller FEJL. Uddata fra kontrollen kan gemmes som dokumentation for verifikationen.

macOS: shasum

På macOS bruges shasum med valg af algoritme:

shasum -a 256 kontrakt.pdf
shasum -a 256 -c sag.sha256 til kontrol

Formatet er kompatibelt med sha256sum, så en manifestfil fra Linux kan kontrolleres på macOS og omvendt, så længe stierne passer.

Sådan ser en hash-log ud

En hashværdi uden sammenhæng er svær at bruge. En simpel log bør for hver fil have:

Fil · Fuld sti og filnavn
Størrelse · Antal bytes
Algoritme · SHA-256
Hashværdi · 64 hexadecimale tegn
Tidspunkt · Dato og klokkeslæt med tidszone
Værktøj · Kommando, program og version
Udført af · Navn og rolle
Kilde · Hvorfra filen stammer, og hvordan den blev indsamlet

En skabelon findes i skabelon: hash-log. For samlinger med mange filer bruges en manifestfil, som selv hashes, så hele samlingen kan kontrolleres med én værdi. Se hashmanifest for filsamlinger.

Hvornår der hashes i en sag

Hash beregnes ikke kun én gang. I et typisk forløb sker det på fire tidspunkter:

Ved sikringen, når filen eller imaget er indsamlet, så udgangspunktet er fastlagt.
Ved overdragelse, når kopien overføres til en anden person, et andet medie eller en anden lokation, så modtageren kan kontrollere, at intet er ændret undervejs.
Før analysen, så det kan vises, at analysen er udført på en uændret kopi.
Ved fremlæggelse, når filer udleveres til advokater, modpart eller retten, så alle parter taler om de samme filer.

Hver beregning noteres i hash-loggen med samme felter. Det er gentagelsen, der skaber sporbarheden: hver ny beregning, der giver samme værdi, bekræfter, at kæden er ubrudt.

Store filer og images

Hashberegning af store filer tager tid, fordi hele filen skal læses. For et image på flere terabyte kan det tage timer, og det afhænger mere af lagermediets hastighed end af algoritmen. Forensiske imagingværktøjer beregner typisk hashværdien under selve kopieringen og igen ved verifikationen. For containerformater som E01 skal det fremgå, om hashværdien gælder de rå data i imaget eller selve containerfilerne, fordi de to værdier er forskellige.

Algoritme i korthed

SHA-256 er det almindelige valg i dag og anbefales til nye sager. MD5 og SHA-1 forekommer stadig, især i ældre værktøjer og i eksisterende bevismateriale. Begge har kendte svagheder over for bevidst konstruerede kollisioner, men bruges fortsat i praksis til at konstatere, at en fil ikke er ændret ved et uheld. Beregnes to algoritmer samtidig, fx MD5 og SHA-256, kan materialet sammenlignes med både gamle og nye referencer.

Typiske fejl

Hash af den forkerte genstand: en hashværdi af en fil er ikke det samme som hashværdien af det image eller det arkiv, filen ligger i. Angiv præcist, hvad der er hashet.
Hash af originalen på den kørende maskine: at læse filen ændrer ikke indholdet, men kan opdatere tidsstemplet for seneste adgang, og den kørende maskine kan ændre filen undervejs. I en sikring hashes kopien, og originalen hashes via en skrivebeskytter.
Låste filer: filer, som et program har åbent, kan ikke altid læses, eller de ændrer sig under læsningen. Notér fejl i stedet for at springe dem over i stilhed.
Kopieret hashværdi med fejl: linjeskift, mellemrum eller afkortning, når værdien kopieres ind i et dokument. Sammenlign maskinelt, ikke med øjnene.
Filer, der ændres ved overførsel: upload til visse tjenester, mail eller konvertering ændrer filen, så hashværdien ikke længere passer. Se når hashværdien ikke stemmer.
Manglende versioner: uden versionsnummer på værktøjet kan resultatet ikke efterprøves fuldt ud, hvis et værktøj senere viser sig at have en fejl.

Verifikation med to værktøjer

I vigtige sager kan hashværdien beregnes med to uafhængige værktøjer, fx Get-FileHash og sha256sum på en anden maskine. Når begge giver samme værdi, er risikoen for en værktøjsfejl i praksis udelukket. Det tager få minutter og styrker dokumentationen, især når hashværdien er det, hele kæden af ansvar (chain of custody) hviler på.

Det samme princip kan bruges, når en modpart eller en anden sagkyndig skal kontrollere materialet. Udlevér manifestfilen sammen med filerne, og beskriv kommandoen, så modtageren kan køre kontrollen selv med et værktøj efter eget valg. Når to parter uafhængigt af hinanden når frem til samme værdier, er der ikke længere grundlag for at diskutere, om filerne er de samme. Diskussionen kan i stedet handle om det, der betyder noget for sagen: hvad filerne indeholder, og hvad de viser.

Hvad hashværdien viser

En matchende SHA-256-værdi viser med meget høj sikkerhed, at to filer har identisk indhold bit for bit. Den viser ikke, hvornår filen er oprettet, hvem der har lavet den, eller at indholdet er sandt. Den beskytter heller ikke mod, at nogen har udskiftet både filen og den registrerede hashværdi. Derfor skal hashværdien gemmes adskilt fra filen, fx i bevisloggen, i rapporten og hos modtageren, så de kan holdes op mod hinanden. Hvordan hash indgår i en fuld forensisk kopi, er beskrevet i forensisk image trin for trin.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Oprettet, ændret, åbnet: hvad fildatoerne betyder · Hashalgoritmer i forensic: MD5, SHA-1 og SHA-256

→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik