Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen
iCloud er ikke én datakilde, men en samling af tjenester med forskellig kryptering, forskellig synkronisering og forskellige eksportveje. Nogle kategorier, som fotos, iCloud Drive, kontakter og kalendere, kan kontoindehaveren hente ud direkte. Andre, som beskeder, nøgleringen og sundhedsdata, er ende-til-ende-krypterede og kan kun læses på en enhed, der er logget ind på kontoen. I en civil sag går vejen til iCloud-data næsten altid gennem kontoindehaveren selv: med samtykke, via Apples egen dataudlevering eller via en enhed, der synkroniserer med kontoen.
Grundlaget om sikring af iCloud for ikke-teknikere er beskrevet på digitalbevissikring.dk. Her er den tekniske gennemgang af kategorier, kryptering og eksport.
To niveauer af beskyttelse
Apple har to beskyttelsesniveauer for iCloud:
- Standard databeskyttelse. Data er krypteret under overførsel og ved lagring, men for en del af kategorierne har Apple nøglerne. Andre kategorier er ende-til-ende-krypteret allerede som standard.
- Avanceret databeskyttelse. Et frivilligt valg, der udvider ende-til-ende-krypteringen til de fleste kategorier, herunder iCloud-backup, Fotos, Noter og iCloud Drive. Kun kontoens betroede enheder har nøglerne.
Hvilket niveau kontoen bruger, har direkte betydning for, hvilke eksportveje der virker. Med Avanceret databeskyttelse er webadgangen til iCloud.com som udgangspunkt slået fra, og Apple kan ikke udlevere indholdet af de ende-til-ende-krypterede kategorier. Kontoindehaveren kan slå webadgangen til, hvorefter browseren midlertidigt får nøgler fra en betroet enhed. På tidspunktet for gennemgangen (oktober 2026) er 15 kategorier, fx nøgleringen, Sundhed og Beskeder i iCloud, ende-til-ende-krypteret som standard, og Avanceret databeskyttelse tilføjer 10 mere, bl.a. iCloud-backup, iCloud Drive, Fotos og Noter.
Datakategorier
- Fotos og videoer · Ende-til-ende-krypteret som standard?: Nej, kun med Avanceret databeskyttelse · Typisk eksportvej: iCloud.com, Apples dataudlevering, en synkroniseret Mac
- iCloud Drive · Ende-til-ende-krypteret som standard?: Nej, kun med Avanceret databeskyttelse · Typisk eksportvej: iCloud.com, synkroniseret Mac eller pc
- Kontakter, kalendere · Ende-til-ende-krypteret som standard?: Nej · Typisk eksportvej: Apples dataudlevering, iCloud.com, eksport fra enhed
- Noter, påmindelser · Ende-til-ende-krypteret som standard?: Nej, kun med Avanceret databeskyttelse · Typisk eksportvej: Synkroniseret enhed, Apples dataudlevering
- iCloud Mail · Ende-til-ende-krypteret som standard?: Nej · Typisk eksportvej: Mailklient via IMAP, eksport fra enhed
- Beskeder i iCloud · Ende-til-ende-krypteret som standard?: Ja, men nøglen indgår i iCloud-backup uden Avanceret databeskyttelse · Typisk eksportvej: Kun via enhed logget ind på kontoen
- iCloud-backup · Ende-til-ende-krypteret som standard?: Nej, kun med Avanceret databeskyttelse · Typisk eksportvej: Gendannelse til en enhed og derefter udtræk
- Nøglering, sundhed, skærmtid · Ende-til-ende-krypteret som standard?: Ja · Typisk eksportvej: Kun via enhed; nøgleringen udtrækkes normalt ikke
- Safari-historik og faner · Ende-til-ende-krypteret som standard?: Ja for historik · Typisk eksportvej: Via enhed logget ind på kontoen
Tabellen er en forenkling, og Apple ændrer jævnligt kategorierne. Brug altid Apples aktuelle oversigt over iCloud-datasikkerhed som reference i rapporten.
Kontoens egne oplysninger
Ud over indholdet har kontoen metadata, der ofte er lige så vigtige i en sag. Listen over enheder, der er logget ind på kontoen, viser modelnavn og typisk også hvilket styresystem enheden kører. Kontoindstillingerne viser betroede telefonnumre, gendannelseskontakter og om to-faktor-godkendelse er slået til. Familiedeling viser, hvem kontoen deler køb, placering og abonnementer med, og delte album og delte mapper i iCloud Drive viser, hvem der har adgang til hvad.
De oplysninger kan dokumenteres med skærmbilleder fra en betroet enhed eller fra kontoens webside, med tydelig angivelse af tidspunkt. En del indgår også i Apples dataudlevering. Dokumentér dem, før der ændres noget på kontoen, fx før en adgangskode skiftes eller en enhed fjernes, fordi ændringen fjerner det oprindelige billede.
Delte data og familiedeling
Data i iCloud er ikke altid kontoindehaverens alene. Delte album, delte noter, delte mapper og familiedelte kalendere indeholder bidrag fra andre konti. En eksport fra én konto kan derfor indeholde andres fotos og tekster, og omvendt kan en kontoindehaver se data, som en anden har lagt i et delt område. Det har betydning både for afgrænsningen af sikringen og for fortolkningen: at et billede findes i et delt album på kontoen, viser ikke, at kontoindehaveren har taget det. Notér, hvilke delte områder der indgår, og hvem der er ejer af hvert område.
Lovlige veje til data
Kontoindehaverens egen eksport
Den enkleste vej er, at kontoindehaveren med samtykke henter data ud. Det kan ske på tre måder:
- Apples dataudlevering. Via Apples side for data og privatliv kan kontoindehaveren anmode om en kopi af data knyttet til kontoen. Udleveringen kan omfatte kontooplysninger med loginregistreringer, iCloud-data som kontakter, kalendere, noter, mail, fotos og dokumenter samt brugs- og købsoplysninger. Indholdet af Beskeder er ikke med. Apple angiver ingen fast behandlingstid, kopien kan hentes i 14 dage, når den er klar, og tilbuddet varierer mellem lande og regioner.
- iCloud.com. Fotos, iCloud Drive, kontakter og kalendere kan hentes fra webgrænsefladen, hvis Avanceret databeskyttelse ikke er slået til, eller hvis webadgangen er slået til.
- En synkroniseret enhed. En Mac eller iPhone, der er logget ind, har lokale kopier af mange kategorier. Den kan sikres forensisk som enhver anden enhed.
Selvindsamling har velkendte svagheder: personen kan udelade noget, og processen dokumenteres sjældent. Derfor bør eksporten ske under opsyn af en sagkyndig, eller den sagkyndige bør udføre den med kontoindehaverens medvirken. Se selvindsamling: når brugeren selv eksporterer data.
iCloud-backup via gendannelse
En iCloud-backup kan ikke åbnes direkte. Den gendannes til en enhed, hvorefter enheden udtrækkes. Det kræver kontoindehaverens adgangsoplysninger og samtykke, og gendannelsen sletter det, der i forvejen ligger på målenheden. Brug derfor en dedikeret enhed. Hvad en backup indeholder, er beskrevet i iOS-backup: krypteret, ukrypteret og hvad den indeholder.
Apple selv
Apple udleverer som udgangspunkt ikke indhold til parter i civile sager, og ende-til-ende-krypterede data kan Apple slet ikke udlevere. Den juridiske baggrund er beskrevet på digital-bevissikring.dk.
Hvad der ikke gøres
Adgang til en andens iCloud-konto uden samtykke eller retligt grundlag er ikke en lovlig sikringsmetode, heller ikke hvis adgangskoden er kendt. Det gælder også for en tidligere partner eller en tidligere medarbejder. Er der mistanke om, at en anden har adgang til ens egen konto, er det en anden sag; den er beskrevet i delt konto som overvågning.
Integritet og dokumentation
En iCloud-eksport kan ikke gentages med samme hashværdi, fordi indhold, rækkefølge og pakning ændrer sig fra gang til gang. Derfor skal dokumentationen bære mere:
- hvilken vej der er brugt, af hvem, fra hvilken enhed og hvornår
- kontoens beskyttelsesniveau på eksporttidspunktet
- hvilke kategorier der er valgt, og hvilke der er fravalgt
- skærmbilleder af valg og bekræftelser undervejs
- hashværdi af de modtagne filer, beregnet ved modtagelsen
Fejlkilder
- Synkronisering er ikke backup. Det, der slettes på én enhed, forsvinder fra iCloud og de andre enheder. Eksporten viser tilstanden på eksporttidspunktet.
- Metadata kan ændres. Fotos kan blive omkodet eller miste metadata ved download fra web, afhængigt af indstillinger.
- Tidszoner. Eksporterede tider kan være i UTC eller lokal tid afhængigt af kategori og format.
- Papirkurve og gendannelsesperioder. Fotos og iCloud Drive har mapper for nyligt slettede emner, som på tidspunktet for gennemgangen (oktober 2026) tømmes automatisk efter 30 dage, eller straks, hvis brugeren tømmer mappen. Det, der ikke er med i eksporten, kan stadig ligge der, eller være forsvundet siden.
- Oprindelsen. Et spor i iCloud kan stamme fra en hvilken som helst enhed på kontoen. Se synkronisering mellem Apple-enheder.
Kilder og versioner
- Apple: iCloud data security overview
- Apple: How to turn on Advanced Data Protection for iCloud
- Apple: Get a copy of the data associated with your Apple Account
- Apple: Delete files or recover deleted files in the Files app
- Apple: Delete photos on your iPhone or iPad
Senest gennemgået: oktober 2026.
Næste skridt
Del af: iPhone-forensik
Læs også: Telefonen eller teleoperatøren: hvilke data findes hvor · Synkronisering mellem Apple-enheder: når sporet stammer fra en anden enhed
→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
