Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen
Kort svar: Et privat vindue (Inkognito i Chrome, InPrivate i Edge, privat vindue i Firefox og Safari) gemmer ikke historik, cookies og formulardata, når vinduet lukkes. Aktiviteten forlader dog stadig computeren som netværkstrafik, filer hentes stadig ned, og de besøgte tjenester logger som altid. Sporene ligger derfor uden for browserens historik.
Det ændrer undersøgelsen: I stedet for at lede i History-databasen skal man vide, hvilke kilder der registrerer aktiviteten uafhængigt af browseren, og hvilke af dem der er flygtige. Artiklen beskriver kun, hvordan aktivitet i private vinduer opdages og dokumenteres. Den almindelige browserhistorik er beskrevet i browserhistorik som bevis.
Hvad privat tilstand faktisk gør
Browseren opretter en midlertidig profil i hukommelsen. Historik, cookies, cache og formulardata lever kun, så længe der er et privat vindue åbent, og kasseres, når det sidste lukkes. Browserproducenterne skriver selv i deres hjælpetekster, at arbejdsgiveren, skolen og internetudbyderen stadig kan se aktiviteten, og at filer, der hentes ned, og bogmærker, der oprettes, bevares. Microsoft angiver desuden, at Edge ikke kan forhindre udvidelser i at gemme historik under InPrivate.
Privat tilstand er altså en beskyttelse mod den næste bruger af samme computer, ikke mod logning i netværket eller hos tjenesten.
Kilder på computeren
- Hukommelsen. Så længe browseren kører, ligger sidernes indhold, adresser og ofte sessionsdata i processernes hukommelse. En RAM-kopi af en tændt computer er den mest direkte kilde, se memory forensics.
- Sidefil og dvalefil. Dele af hukommelsen kan være skrevet til
pagefile.sysellerhiberfil.sysog overleve en genstart. Fund her er fragmenter uden sikker tidsangivelse. - DNS-klientens cache. Windows cacher navneopslag uanset browserens tilstand. Cachen er kortlivet og forsvinder ved genstart, så den har kun værdi ved hurtig live response.
- Downloads. Hentede filer ligger, hvor de blev gemt, og kan bære Mark of the Web i en
Zone.Identifier-strøm. Hvilke felter der udfyldes, afhænger af browser og version. Se downloads og Zone.Identifier. - Filsystemets journal. Selv om den private profil ikke skrives til disken, kan NTFS-journalen vise downloads, midlertidige filer og åbnede dokumenter i perioden.
- Udvidelser. Udvidelser, der er tilladt i private vinduer, kan have deres egne lagre med historik eller indstillinger.
- Proceslogning. Er proceslogning med kommandolinje slået til, kan den vise, at browseren blev startet direkte i privat tilstand. Det kræver, at logningen fandtes, før hændelsen.
Hvad der ikke findes, er lige så vigtigt: Der er normalt ingen History-poster, ingen cookies og ingen cache fra de private sessioner på disken. Et fravær i historikken kan derfor have en uskyldig forklaring, og det kan aldrig i sig selv bevise, at privat tilstand blev brugt.
Kilder i netværket
De stærkeste spor ligger typisk uden for computeren og påvirkes ikke af browserens tilstand:
- DNS-serverens log på domænecontroller, firewall eller DNS-filter viser navneopslag pr. klient-IP og tidspunkt. Se DNS-logs som spor.
- Proxy-, webfilter- og cloudproxylogs viser domæner, ofte fuld adresse for ukrypteret trafik, datamængder og i mange løsninger også brugernavn. Se proxy- og webfilterlogs.
- Firewall- og NetFlow-data viser forbindelser og mængder, men ikke indhold.
Ved krypteret trafik ses normalt kun domænet og ikke stien eller indholdet. Delte netværk, NAT og VPN gør koblingen til en bestemt computer og bruger vanskeligere, så IP-tildelingen (DHCP-log) og loginhændelser på computeren skal med.
Kilder hos tjenesten
Logger brugeren ind på en tjeneste i et privat vindue, registrerer tjenesten loginet og aktiviteten på kontoen som normalt. Microsoft 365, Google Workspace og de fleste SaaS-systemer har loginlogs med IP-adresse, browser og tidspunkt. Det er ofte den mest præcise kilde til, hvad der skete, fordi den viser handlinger på kontoen og ikke kun trafik.
Telefoner og tablets
På iPhone og Android gælder det samme princip: Safari, Chrome og Samsung Internet gemmer ikke historik fra private faner. Til gengæld kan netværkslogs fra virksomhedens Wi-Fi, mobil-VPN eller MDM-styret proxy vise trafikken, og en logget ind konto registrerer aktiviteten hos tjenesten. Et fuldt filsystemudtræk kan i nogle tilfælde rumme rester i appens cache eller i systemets egne databaser, men det skal vurderes konkret og testes på samme version. Hukommelsen på en telefon kan i praksis sjældent sikres i en civil sag.
Forberedelse i virksomheden
Spørgsmålet om privat browsing opstår typisk først, når en sag er i gang. Virksomheder, der vil kunne dokumentere brugen af arbejdscomputere, bør derfor afklare det på forhånd. Chromium-browsere har politikker, der kan begrænse eller slå privat tilstand fra på styrede maskiner, og Firefox har tilsvarende indstillinger. Det vigtigste er dog, at DNS- og proxylogning er slået til med en opbevaringsperiode, der passer til, hvor sent sager typisk opdages, og at brugerne er orienteret om logningen. Uden den logning er det netværksbaserede spor væk, uanset om browseren var i privat tilstand eller ej. Se forensic readiness teknisk for en baseline.
Typiske spørgsmål i en sag
- Har medarbejderen besøgt en bestemt tjeneste? Netværkslogs kan vise opslag og forbindelser fra computeren i perioden, uanset privat tilstand.
- Er filer uploadet til en privat cloud? Store udgående datamængder i proxy- eller firewalllog, kombineret med filaktivitet på computeren, kan underbygge det. Selve indholdet ses sjældent.
- Hvorfor er historikken tom? Det kan skyldes privat tilstand, sletning eller en anden profil. De tre forklaringer efterlader forskellige mønstre, og de skal holdes adskilt.
Sikring
- Overvej live response, hvis computeren er tændt og browseren åben: hukommelse og DNS-cache er væk efter genstart.
- Tag en forensisk kopi af disken, så sidefil, dvalefil, journal og downloads kan analyseres.
- Bed om netværkslogs straks. DNS-, proxy- og firewalllogs har ofte kort opbevaring og overskrives løbende.
- Hent loginlogs for de relevante konti, før deres opbevaringsperiode udløber.
Fejlkilder
- Baggrundstrafik: Opdateringer, synkronisering og forudindlæsning laver DNS-opslag, som brugeren ikke har udløst.
- Delte maskiner og netværk: En IP-adresse er ikke en person.
- Tidszoner: Netværksudstyr logger ofte i UTC, Windows-hændelser vises i lokal tid.
- Indhold kontra domæne: Et domæne i loggen viser ikke, hvilken side eller hvilket indhold der blev vist.
Hvad sporene kan og ikke kan vise
Kombinationen af netværkslogs, tjenestens logs og spor på computeren kan vise, at en bestemt maskine kontaktede bestemte domæner i et tidsrum, at filer blev hentet ned, og at en konto var logget ind. Den kan sjældent genskabe, præcis hvilke sider der blev vist, og den viser ikke uden videre, hvem der sad ved tastaturet. Om virksomheden overhovedet må gennemgå en medarbejders browsing, er et spørgsmål om grundlag og proportionalitet, beskrevet for ledelsen i må vi se medarbejderens browserhistorik?
Kilder og versioner
- Google Chrome Help: Browse in Incognito mode
- Microsoft Support: Browse InPrivate in Microsoft Edge
- Mozilla Support: Common myths about private browsing
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Analyse og fortolkning
Læs også: Browserudvidelser som spor: installation, rettigheder og ondsindede udvidelser · Spillekonsoller og spilplatforme som datakilde
→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
