Leveret og læst: hvor status gemmes i WhatsApp, iMessage og Teams

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

Leveret- og læst-status er ikke en egenskab ved selve beskeden, men en kvittering, som modtagerens app sender tilbage, og som afsenderens app gemmer. Kvitteringen ligger i appens database på afsenderens enhed (og ofte på modtagerens) som tidsstempler og statusfelter, i grupper pr. deltager. Hvad den beviser, afhænger af, hvordan appen definerer “leveret” og “læst”, og af indstillinger, som brugerne selv styrer.

Artiklen beskriver de tekniske felter og fejlkilderne. Om en læsekvittering kan bruges som bevis for, at modtageren har set indholdet, er en juridisk vurdering, som er behandlet for advokater i blå flueben: kan en læsekvittering bevise, at beskeden er set?.

Tre trin, der ofte blandes sammen

Sendt · Beskeden er modtaget af tjenestens server
Leveret · Beskeden er hentet af mindst én af modtagerens enheder
Læst · Samtalen med beskeden er vist på en af modtagerens enheder, og appen har sendt en læsekvittering

“Læst” betyder altså, at samtalen er åbnet i appen, ikke at beskeden er læst i almindelig forstand. Og det er en af modtagerens enheder, ikke nødvendigvis telefonen.

iMessage

I iPhone-databasen sms.db rummer tabellen message felter for, om en besked er leveret og læst, og tidsstempler for levering og læsning, gemt i Apples tidsformat. For sendte beskeder viser felterne, hvornår modtagerens enhed bekræftede levering og læsning. For modtagne beskeder viser de, hvornår beskeden blev markeret som læst på denne konto.

Afsenderen ser kun “Læst”, hvis modtageren har læsekvitteringer slået til, enten generelt eller for den konkrete samtale. Sms og mms har ingen læsestatus. Strukturen og tidsformaterne er beskrevet i sms.db og iMessage.

WhatsApp gemmer kvitteringer i den lokale database: én status pr. besked og i grupper en kvittering pr. deltager med tidspunkter for levering, læsning og eventuelt afspilning af talebeskeder. Tabelnavne og felter skifter mellem versioner og mellem Android og iPhone, så fortolkningen skal ske med et værktøj og en version, der er testet mod samme appversion.

WhatsApp angiver selv, at det andet flueben vises, når beskeden er leveret til en hvilken som helst af modtagerens tilknyttede enheder, også selv om telefonen er slukket, og at to blå flueben i en gruppe først vises, når alle deltagere har læst beskeden. Afsenderens skærm med beskedinfo viser tidspunkterne pr. deltager.

To forhold er vigtige:

Læsekvitteringer kan slås fra. Gør en bruger det, sendes der normalt ingen læsekvittering for de fleste samtaler, og brugeren ser heller ikke andres. Fravær af læst-status er derfor ikke bevis for, at beskeden ikke er åbnet.
Tilknyttede enheder. WhatsApp på computeren eller en anden enhed kan udløse “læst”, selv om telefonen lå i en skuffe. Se tilknyttede enheder i beskedapps.

Databasens øvrige indhold og sikring er beskrevet i WhatsApp teknisk.

Microsoft Teams

I Teams styres læsekvitteringer af organisationens beskedpolitik: brugerstyret, slået til for alle eller slået fra for alle. Microsoft angiver, at funktionen gælder én-til-én-chats og gruppechats med 20 personer eller færre, og at læsekvitteringer ikke kommer med i eDiscovery-rapporter.

Det har praktisk betydning. Selv om en bruger har set et øje eller “Set af” i klienten, kan læst-status ikke uden videre hentes ud via de almindelige eksportværktøjer. Skal den dokumenteres, må det typisk ske ved skærmoptagelse i klienten, med tidspunkt og med dokumentation af, hvilken konto og enhed der blev brugt. Politikkens indstilling på det relevante tidspunkt skal også dokumenteres, fordi den afgør, om status overhovedet kunne vises. Datakilderne i Teams er beskrevet i Teams teknisk.

Signal, Messenger og andre

Signal og Messenger har samme model: levering og læsning som kvitteringer, der kan slås fra, og som ligger lokalt på enhederne. Ved krypterede samtaler har tjenesten ikke indholdet, og læst-status ligger derfor primært på enhederne. Dataudtræk fra platformen giver sjældent kvitteringer pr. besked.

Hvor tidsstemplet kommer fra

Tidspunktet for “leveret” og “læst” er typisk tidspunktet, hvor afsenderens app modtog kvitteringen, registreret efter afsenderens ur, eller et tidspunkt, som serveren har sat. Er afsenderens telefon offline, kan kvitteringen ankomme senere end selve læsningen. Er telefonens ur forkert, er tidsstemplet forkert. Forskellen mellem server-tid og klient-tid er beskrevet i server-tid og klient-tid.

Typiske fejltolkninger

“Læst” som bevis for, at indholdet er forstået. Status viser, at samtalen blev vist i appen.
Forhåndsvisning i notifikationer. Modtageren kan læse en kort besked i notifikationen uden at åbne samtalen, så der sendes ingen læsekvittering.
Manglende status som bevis for, at beskeden ikke er set. Kvitteringer kan være slået fra, kvitteringen kan være tabt, eller samtalen kan være åbnet offline.
Gruppechats. Én deltagers læsning siger intet om de andre. Kvitteringer pr. deltager skal læses enkeltvis.
Skærmbilleder af status. Et skærmbillede viser, hvad appen viste, ikke databasens felter. Det bør understøttes af et udtræk.

Sikring

Den bedste kilde er et udtræk fra afsenderens enhed, fordi det er dér, kvitteringerne for sendte beskeder ligger. Sikr databasen sammen med tilhørende journal- og WAL-filer, og notér appens version, enhedens tid og tidszone. Er modtagerens enhed tilgængelig med samtykke eller efter aftale, kan dens egne læste-felter bekræfte billedet. En chat-eksport fra appen indeholder normalt ikke kvitteringer. Skal skærmen med beskedinfo dokumenteres som supplement, bør det ske med skærmoptagelse, der viser samtalen, beskeden og tidspunkterne i én sammenhængende sekvens, så det kan ses, at billederne hører sammen.

Når parterne viser forskellige ting

Det sker, at afsenderens skærmbillede viser “Læst”, mens modtageren fastholder ikke at have set beskeden, eller omvendt. Teknisk er det sjældent et tegn på manipulation. Typiske forklaringer er, at kvitteringen kom fra en tilknyttet enhed, at læsekvitteringer blev slået til eller fra undervejs, eller at afsenderens app viser en samlet status for en gruppe. Den ordentlige vej er at sammenholde begge parters databaser, hvis de er tilgængelige, og at notere appversioner og indstillinger på begge sider. Er kun den ene part sikret, skal rapporten sige, at billedet hviler på én kilde.

Hvad status kan og ikke kan vise

Læst-status kan vise, at en samtale med en bestemt besked blev vist på en af modtagerens enheder inden et bestemt tidspunkt. Den kan ikke vise, hvem der kiggede på skærmen, hvor længe beskeden blev læst, eller om den blev forstået. Leveret-status viser, at en enhed hentede beskeden, ikke at nogen så den. Rapporten bør beskrive appens definition, indstillingerne og tidskilden, så modtageren af rapporten kan vurdere styrken selv.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: Wi-Fi- og Bluetooth-spor på enheden: netværksprofiler og parrede enheder · “Slettet for alle” i WhatsApp og Messenger: hvad kan ses bagefter?

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik