Hashmanifest for filsamlinger og produktioner

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Et hashmanifest er en liste med én linje pr. fil: filens sti, størrelse og hashværdi. Hvor en hashværdi af en samlet beholder kun kan sige, at hele pakken er uændret, gør manifestet det muligt at kontrollere hver enkelt fil, finde præcis hvilken fil der afviger, og henvise til en bestemt fil i rapporten. Det er det naturlige værktøj, når data ikke er en diskkopi, men en samling: en målrettet indsamling, en cloud-eksport, en produktion til modparten eller et bilagsbundt til retten.

Algoritmevalget er beskrevet i Hashalgoritmer i forensic. Her handler det om selve listen.

Hvornår et manifest er nødvendigt

Målrettede og logiske indsamlinger, hvor der ikke findes en diskkopi med én hashværdi.
Cloud- og mobiludtræk, hvor beholderen ikke kan gentages, men de enkelte filer kan sammenlignes. Se Mobiludtræk og cloud-eksporter.
Produktioner af dokumenter til modparten eller retten, hvor begge parter skal kunne henvise til samme fil.
Overdragelser mellem IT-afdeling, IT-leverandør, sagkyndig og advokat, hvor modtageren skal kunne kontrollere, at alt er kommet med.
Langtidsopbevaring, hvor en senere kontrol skal kunne vise, at intet er ændret eller mistet.

Hvad et manifest bør indeholde

Pr. fil:

Relativ sti og filnavn · Entydig identifikation i samlingen
Størrelse i bytes · Hurtig kontrol og fanger afkortede filer
Hashværdi (SHA-256) · Integritet pr. fil
Eventuelt MD5 · Sammenlignelighed med ældre systemer og lister
Eventuelt løbenummer eller dokument-id · Henvisning i rapport og produktion

For samlingen som helhed, i et hoved eller en ledsagende note:

hvem der har dannet manifestet, med hvilket værktøj og version, og hvornår,
algoritme(r) og tegnsæt,
antal filer og samlet størrelse,
rodmappen, som stierne er relative til,
hashværdien af selve manifestfilen.

Det sidste punkt er vigtigt. Manifestet er selv et dokument, der kan ændres. Hashværdien af manifestet bør derfor stå et andet sted end i manifestet, fx i overdragelsesformularen, i en mail til modtageren eller i rapporten. Så låser den ene værdi hele samlingen.

Formater

Der er to udbredte former:

Den enkle tekstform med hashværdi, mellemrum og filnavn pr. linje, som de indbyggede værktøjer sha256sum og shasum bruger. Den kan kontrolleres direkte med de samme værktøjer på Linux og macOS.
CSV med kolonner for sti, størrelse og hashværdier. Den er let at læse i et regneark og at importere i analyseværktøjer.

Forensiske og eDiscovery-værktøjer danner ofte deres egne rapporter. Det er fint, men bed om eller dan også en simpel tekst- eller CSV-version, så modtageren kan kontrollere uden det samme værktøj. I Windows kan PowerShell-kommandoen Get-FileHash bruges rekursivt til at danne en liste, der eksporteres til CSV. Kommandoerne på de tre platforme er gennemgået i Hash af en fil.

Faldgruber ved dannelsen

Stier og tegnsæt: Danske bogstaver, meget lange stier og specialtegn kan blive ødelagt mellem systemer. Brug UTF-8, og test, at manifestet kan læses af modtagerens værktøj. Unicode kan desuden repræsentere samme bogstav på to måder, hvilket macOS og Windows håndterer forskelligt.
Absolutte stier: En sti som C:\Sag\Eksport\fil.pdf passer ikke på modtagerens maskine. Brug relative stier.
Skjulte filer og systemfiler: Nogle værktøjer springer dem over, andre medtager dem. Filer som desktop.ini eller .DS_Store kan opstå, når mappen åbnes, og så passer antallet ikke.
Alternative datastrømme og udvidede attributter: De indgår ikke i filens hashværdi og forsvinder ofte ved kopiering. Skal de bevares, skal de håndteres særskilt.
Tomme filer: De har en fast, kendt hashværdi og kan give falske dubletter. Det er ikke en fejl, men bør ikke overraske.
Manifestet ligger i samme mappe: Så indgår det i sin egen beregning ved næste kørsel. Læg det uden for samlingen.

Kontrol hos modtageren

Modtageren bør:

Hashe manifestfilen og sammenligne med den værdi, der er oplyst ad en anden vej.
Køre kontrollen mod den modtagne samling.
Notere resultatet: antal filer kontrolleret, antal fejl, antal manglende og antal ekstra filer.
Gemme kontrolresultatet sammen med samlingen.

Ekstra filer er lige så vigtige som manglende. En fil, der ikke står i manifestet, er kommet til efter dannelsen og skal forklares. Den praktiske side af at sende filer til en advokat er beskrevet på Sådan sender du beviser sikkert til din advokat, og den tekniske side af transport og kvittering i Overførsel af beviskopier.

Store samlinger og supplerende leverancer

Ved hundredtusinder af filer er manifestet i sig selv en stor fil, og kontrollen kan tage timer. Det er ikke et argument for at springe den over, men for at planlægge den. Kør kontrollen på en maskine med lokal kopi frem for over netværket, og gem kørslens log med start, slut og resultat.

Kommer der supplerende leverancer senere, dannes et nyt manifest for hver leverance i stedet for at rette i det gamle. Et ændret manifest kan ikke længere bære den hashværdi, der blev oplyst ved første overdragelse. Giv leverancerne løbenumre, og lad hvert manifest henvise til det forrige. Så kan hele forløbet følges, og en modpart kan se, præcis hvad der blev leveret hvornår.

Fjernes filer fra en samling, fx fordi de er private eller omfattet af fortrolighed, gælder det samme: Dan et nyt manifest, og dokumentér, hvilke filer der er udeladt og på hvilket grundlag, uden nødvendigvis at oplyse deres indhold.

Manifest i produktioner

Ved produktion af dokumenter i en tvist er manifestet bindeleddet mellem den native fil, eventuelle PDF- eller billedversioner og dokumentnummeret. En god produktion knytter hvert dokumentnummer til hashværdien af den native fil, så en senere uenighed om, hvilken version der blev produceret, kan afgøres entydigt. Hashværdien af en konverteret PDF er en anden end den native fils og bør stå i en separat kolonne. Se Produktion af data: native filer, PDF og loadfiler.

Mails kræver særlig omtanke. Hashværdien af en mail afhænger af formatet (MSG, EML, element i en PST), så samme mail kan få forskellige værdier hos to parter. Mange eDiscovery-værktøjer beregner derfor en hashværdi af udvalgte felter som afsender, modtagere, emne, tid og brødtekst til deduplikering. Den værdi er nyttig, men den er ikke en integritetshash af filen og skal beskrives som det, den er.

Hvad manifestet kan og ikke kan bevise

Et manifest, hvis egen hashværdi er fastlåst, beviser, at hver fil på listen er uændret siden dannelsen, og at ingen fil på listen mangler. Det beviser ikke, at samlingen var fuldstændig, da den blev dannet, eller at filerne var ægte i forvejen. Det beviser heller ikke noget om filernes tidsstempler, som ikke indgår i hashværdien. Skal tidsstempler bevares, skal de dokumenteres separat, fx i en kolonne i manifestet med tidszone angivet.

Dokumentation

Gem manifestet i hver version, der dannes undervejs: ved indsamlingen, efter behandlingen og ved produktionen. Henvis i rapporten til den version, analysen bygger på, og angiv dens hashværdi. En klar skabelon findes på Skabelon: hash-log over sikrede filer og images.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Oprettet, ændret, åbnet: hvad fildatoerne betyder

Del af: Sikring: metoderne samlet

Læs også: Mobiludtræk og cloud-eksporter: hvorfor hashværdien ikke kan gentages · Hashlister og kendte filer: filtrering med referencesæt

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik