iOS‑backup: krypteret, ukrypteret og hvad den indeholder

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

En lokal iOS-backup er grundlaget for det logiske udtræk af en iPhone. Den laves med telefonens eget backupprotokol, når telefonen er låst op og har tillid til computeren, og den indeholder beskeder, kontakter, opkaldshistorik, billeder, noter og data fra mange apps. Trinene ved selve sikringen står i Tjekliste: tekniske trin ved sikring af en mobiltelefon. En krypteret backup indeholder væsentligt mere end en ukrypteret, blandt andet gemte adgangskoder, helbredsdata og browserhistorik, og bør derfor være udgangspunktet. Den kræver dog en backupadgangskode, som skal håndteres og dokumenteres korrekt, og den laves kun med ejerens kode eller samtykke. De overordnede udtrækstyper er beskrevet her: → Udtræk fra mobiltelefoner: logisk, filsystem og fysisk

Sådan er backuppen bygget op

En lokal backup er en mappe med tusindvis af filer uden læsbare navne. Strukturen er:

Manifest.db: en SQLite-database, der for hver fil angiver domæne (fx et apps container eller et systemområde), den relative sti på telefonen, et fil-id og metadata som størrelse og tidsstempler.
Filerne selv: gemt i undermapper navngivet efter de første tegn i fil-id’et, som er en hashværdi beregnet ud fra domæne og sti.
Manifest.plist: oplysninger om backuppen, herunder om den er krypteret, og hvilke apps der indgår.
Info.plist: telefonens navn, model, iOS-version, serienummer, IMEI og telefonnummer, samt backupens dato.
Status.plist: om backuppen blev gennemført.

Apple dokumenterer ikke selv backupformatet, så beskrivelsen bygger på, hvordan backuppen ser ud i de versioner, der var udbredt ved gennemgangen. Detaljer kan ændre sig med nye iOS-versioner, og værktøjets understøttelse af den konkrete version bør derfor noteres.

Det betyder, at selve backuppen kan analyseres med forensiske værktøjer eller med almindelige SQLite- og plist-værktøjer, og at hver fil kan spores tilbage til sin placering på telefonen. → Plist, LevelDB og andre app-formater

Krypteret eller ukrypteret

Beskeder, kontakter, billeder, noter, de fleste appdata · Ukrypteret: Ja · Krypteret: Ja
Gemte adgangskoder og nøgleringsdata · Ukrypteret: Nej · Krypteret: Ja
Helbredsdata · Ukrypteret: Nej · Krypteret: Ja
Wi-Fi-indstillinger · Ukrypteret: Nej · Krypteret: Ja
Browserhistorik og opkaldshistorik · Ukrypteret: Nej · Krypteret: Ja

Apples egen oversigt nævner gemte adgangskoder, Wi-Fi-indstillinger, browserhistorik, helbredsdata og opkaldshistorik som indhold, der kun kommer med i en krypteret backup. Data til Face ID, Touch ID og telefonens kode indgår ikke i nogen af dem.

Den krypterede backup krypteres med en nøgle, der afledes af backupadgangskoden. Uden adgangskoden kan indholdet ikke læses. Forensiske værktøjer slår ofte kryptering til med en kendt, midlertidig adgangskode for at få det fulde indhold, og den adgangskode skal så registreres i bevisloggen, adskilt fra selve backuppen.

Er der allerede sat en backupadgangskode på telefonen, som ingen kender, kan den ikke uden videre fjernes. iOS tillader nulstilling af alle indstillinger, som fjerner backupadgangskoden. Ifølge Apple berøres brugerdata og gemte adgangskoder ikke, men indstillinger som lysstyrke, hjemmeskærmens layout og baggrund nulstilles, og det kræver telefonens kode. Ældre krypterede backups med den glemte adgangskode kan derefter ikke bruges. Det er et indgreb, der kun må ske med ejerens samtykke og efter dokumentation af tilstanden.

Hvad backuppen ikke indeholder

Apps, der fravælger backup. Nogle apps, særligt med fokus på privatliv, udelader deres data fra backuppen.
Systemartefakter. Mange logs og databaser om brug af telefonen, fx detaljerede aktivitetsdata, er ikke med. Til dem kræves et fuldt filsystemudtræk.
Data, der kun ligger i skyen. Er Beskeder eller Fotos synkroniseret med iCloud og sat til at optimere lagerplads, ligger indholdet måske ikke på telefonen i fuld kvalitet.
Slettede filer ud over det, der stadig ligger i app-databasernes frie sider og skrivejournaler. → SQLite i forensic: WAL-filer, frie sider og slettede rækker

iCloud-backup

En iCloud-backup indeholder i princippet det samme som en lokal backup, men med vigtige forskelle. Data, der allerede synkroniseres med iCloud, fx Beskeder i iCloud og iCloud-billeder, indgår ikke i backuppen, fordi de ligger i iCloud på anden vis. Med Avanceret databeskyttelse slået til er iCloud-backuppen end-to-end-krypteret, og adgang kræver en af brugerens enheder eller gendannelsesnøglen.

Adgang til iCloud-data sker kun via kontoejeren: ved at gendanne backuppen til en testtelefon under kontrol, eller ved at kontoejeren selv henter data ud. Der gives ingen vejledning i at tilgå andres konti. → Krypterede data i en undersøgelse: de lovlige adgangsveje

Sikring

Dokumentér telefonen: model, iOS-version, tilstand, tilsluttede konti og om backupkryptering allerede er slået til.
Lav backuppen med et værktøj, der logger processen, til et eksternt lager, ikke til computerens standardmappe for backups.
Kontrollér fuldstændigheden i Status.plist og værktøjets log.
Hash backuppen. Backuppen er en mappe, så hash enten hver fil i et manifest eller hele mappen pakket i ét arkiv.
Registrér backupadgangskoden i bevisloggen og opbevar den adskilt.
Notér, hvad der blev ændret på telefonen: tillid til computeren, eventuel aktivering af backupkryptering og sluttilstand.

Bemærk, at en ny backup af samme telefon aldrig vil give samme hashværdi. Telefonen ændrer sig hele tiden, og backupfilerne indeholder tidsstempler for selve backuppen. Verifikationen viser derfor, at kopien er uændret siden indsamlingen, ikke at en gentagen indsamling giver samme resultat. → Mobiludtræk og cloud-eksporter: hvorfor hashværdien ikke kan gentages

Afgrænsning og grundlag

En backup omfatter hele telefonens indhold i de kategorier, den dækker. Den kan ikke afgrænses til bestemte samtaler eller perioder på forhånd. Afgrænsningen sker derfor i analysen: Kun de data, der svarer til opdraget, udtrækkes og gennemgås, mens resten forbliver i den sikrede kopi uden at blive læst. Det skal aftales, før backuppen laves, og grundlaget, fx ejerens samtykke eller en aftale mellem parterne, skal fremgå af dokumentationen. Det praktiske overblik over sikring af iPhone for ikke-teknikere findes på hub-sitet: → Bevissikring af iPhone

Analyse af backuppen

Analysen foregår altid på en kopi af den sikrede backup. Et forensisk værktøj dekrypterer backuppen med adgangskoden og præsenterer data pr. app og kategori. Ved afgørende fund bør man gå et lag dybere: find filen via Manifest.db, åbn den underliggende database, og kontrollér posten og dens tidsstempel direkte. Tidsstempler i iOS-databaser er ofte i Apples format med sekunder eller nanosekunder siden 1. januar 2001, og værktøjets omregning skal kontrolleres stikprøvevis.

Eksisterende backups på en computer

En computer, der skal undersøges, kan indeholde gamle backups af en iPhone. De kan rumme data, der er slettet fra telefonen siden. Mappen, Info.plist og Manifest.plist viser, hvilken telefon og hvilket tidspunkt backuppen stammer fra. En sådan backup sikres som en del af computerens kopi og analyseres for sig, med de samme forbehold for kryptering. Flere backups af samme telefon fra forskellige tidspunkter kan sammenlignes og vise, hvad der er tilføjet eller forsvundet mellem dem.

Fejlkilder i fortolkningen

Synkronisering: Data kan stamme fra en anden enhed på samme Apple-konto. At noget er i backuppen, viser ikke, at det er skabt på telefonen.
Backuptidspunkt: Info.plist angiver, hvornår backuppen blev lavet, ikke hvornår data blev skabt.
Manifestets tidsstempler afspejler filerne på telefonen på backuptidspunktet og kan påvirkes af systemets egne processer.
Værktøjets fortolkning: Parsere til app-data skal følge med nye app-versioner. Afgørende fund kontrolleres direkte i databasen.
Ufuldstændig backup: En backup, der blev afbrudt, kan se fuldstændig ud i værktøjet, men mangle hele domæner. Status.plist og værktøjets log afgør det.
Manglende app-data: En app uden data i backuppen kan have fravalgt backup. Det er ikke tegn på, at brugeren har slettet noget.

Dokumentation

Rapporten bør angive telefonens identitet fra Info.plist, iOS-version, værktøj og version, om backuppen er krypteret, hvem der har oplyst eller valgt adgangskoden, hashværdier, fuldstændighed og de ændringer, sikringen medførte på telefonen.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: Udtræk fra mobiltelefoner: logisk, filsystem og fysisk · Slettede beskeder på telefonen: hvad kan realistisk gendannes?

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik