Langtidsopbevaring: kan beviskopien læses om ti år?

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Nogle beviskopier skal gemmes i mange år: fordi en sag trækker ud, fordi der kan komme nye krav, eller fordi et forlig kan blive anfægtet. Over så lang tid er truslen ikke kun, at mediet svigter, men også at formatet ikke længere kan åbnes, at værktøjet er udgået, eller at ingen kan finde krypteringsnøglen. Langtidsopbevaring kræver derfor et åbent og veldokumenteret format, medier, der kontrolleres og udskiftes, periodiske hashkontroller, der viser, at data er uændrede, og en dokumentation, der kan forstås af en, der ikke var med fra starten.

Hvad der kan gå galt over tid

Mediet svigter · En disk, der har ligget i et skab, starter ikke; flash mister data uden strøm
Formatet forældes · En udtræksfil kan kun åbnes af en bestemt programversion
Værktøjet forsvinder · Licensen er udløbet, eller producenten findes ikke længere
Tilslutningen forsvinder · Mediet bruger et stik eller en grænseflade, som nye maskiner ikke har
Nøglen er væk · Den eneste, der kendte adgangskoden, er ikke længere i organisationen
Konteksten er væk · Ingen ved, hvad filerne er, eller hvordan de hænger sammen

Hver risiko kræver sin egen modforanstaltning. Ingen af dem løses ved at lægge en disk i et skab og glemme den. Hvordan gamle medier og båndbackup håndteres, når de dukker op i en sag, står i Ældre medier og båndbackup.

Valg af format

Vælg formater, der er åbne eller veldokumenterede, og som kan læses af flere uafhængige værktøjer:

Rå kopier er det mest robuste format. De kræver intet særligt værktøj at læse, men fylder meget og har ingen indbyggede metadata.
E01 er udbredt og understøttet af mange værktøjer, både kommercielle og open source.
AFF4 er åbent specificeret, men understøttet af færre værktøjer.
Proprietære udtræksformater, fx fra mobilværktøjer, er de mest sårbare. Overvej at gemme en kopi af de underliggende rå data eller en eksport i et åbent format sammen med udtræksfilen.

Formaterne er sammenlignet i Forensiske diskformater: raw, E01 og AFF4.

For analyseresultater og rapporter gælder det samme: PDF/A til rapporter, CSV til tabeller og tidslinjer, og almindelige filformater til bilag, ikke kun analyseværktøjets egen sagsfil.

Medier og migrering

Ingen medier holder for evigt, og levetiden afhænger af type, kvalitet og opbevaring. Diske, der ligger uden strøm, kan svigte uden varsel. Flashmedier kan miste data, hvis de ligger ubrugt i lang tid. Bånd og arkivmedier holder længere, men kræver læseudstyr, der også skal holdes i live.

Den robuste strategi er derfor ikke at finde det perfekte medie, men at migrere:

Opbevar mindst to kopier på hver sit medie, gerne af forskellig type.
Kontrollér begge kopier med jævne mellemrum.
Kopiér til nye medier, før de gamle bliver for gamle, eller når en kontrol viser fejl.
Verificér hver migrering med hashværdier og registrér den i bevisloggen.

Migrering ændrer ikke data, så længe datahashværdien er den samme. Det er derfor, datahashværdien og ikke beholderens eller mediets hashværdi er referencen. → Arbejdskopier og masterkopi

Periodisk hashkontrol

En periodisk hashkontrol er den eneste måde at vide, at en opbevaret kopi stadig er intakt. Hyppigheden er en afvejning: Kontrol læser hele mediet og slider en smule på det, men for sjælden kontrol betyder, at fejl opdages for sent til, at den anden kopi kan redde situationen. Fastsæt et interval, fx årligt, og registrér hver kontrol med dato, metode og målt værdi.

Opdager en kontrol en afvigelse, kontrolleres den anden kopi straks. Er den intakt, laves en ny kopi fra den, og den fejlende kopi registreres som kasseret. Er begge kopier ramt, skal omfanget af skaden undersøges og dokumenteres. → Når hashværdien ikke stemmer

Værktøjer og versioner

Notér for hver kopi, hvilket værktøj og hvilken version der lavede den, og hvilke værktøjer der kan læse den. Overvej at gemme installationsfiler til de anvendte open source-værktøjer sammen med sagen, så kopien kan åbnes med det samme værktøj senere. Ved kommercielle værktøjer er det sjældent muligt på grund af licenser, men versionen skal stå i dokumentationen, så en senere analytiker ved, hvad der skal til.

Når en sag genåbnes efter mange år, kan nyere værktøjer give andre resultater end de oprindelige, fordi fortolkningen af artefakter er blevet bedre eller anderledes. Det er ikke en fejl, men det skal forklares, og det taler for, at kopien gemmes i en form, hvor begge versioner kan bruges. → Verifikation af værktøjer

Mobil- og cloudkopier

Kopier af telefoner og cloudkonti er særligt sårbare over tid. Kilden kan ikke sikres igen med samme resultat, fordi telefonen er nulstillet eller kontoen lukket, og formaterne ændres ofte. Udtræk fra telefoner afhænger af analyseværktøjets fortolkning af app-databaser, som ændrer sig med hver app-version. Gem derfor ud over udtræksfilen også de rå databaser og filer, udtrækket indeholder, og en eksport af de vigtigste resultater i et åbent format. Ved cloud-eksporter gemmes eksportfilerne i den form, tjenesten leverede dem, sammen med tjenestens dokumentation af formatet på eksporttidspunktet, hvis den findes. → Cloud-forensic: sikring via API og administratoreksport

Organisatorisk ansvar

Langtidsopbevaring svigter oftere organisatorisk end teknisk. Personer skifter job, IT-leverandører udskiftes, og systemer lukkes. Udpeg en funktion, ikke kun en person, der har ansvaret for kontroller, migreringer og sletning, og læg datoerne i en kalender, der overlever personudskiftning. Ved overdragelse af ansvaret gennemgås følgedokumenterne, og overdragelsen registreres.

Krypteringsnøgler over tid

Krypterede langtidskopier er kun brugbare, hvis nøglen også overlever. Gem nøglen adskilt fra data, men med en klar henvisning, og sørg for, at mindst to personer eller en institutionel løsning har adgang. Notér krypteringsalgoritme og værktøj, og vurdér ved hver migrering, om krypteringen stadig er tidssvarende. Skiftes krypteringen, registreres det, og den gamle nøgle destrueres efter kontrol.

Dokumentation, der overlever

Den, der åbner kopien om ti år, kender måske ikke sagen. Et kort følgedokument i et åbent format, lagret sammen med hver kopi, bør angive:

sagsreference og objekt-id’er,
hvad kopien er, hvor den kommer fra, og hvordan den er lavet,
format, værktøj og version,
hashalgoritme og hashværdi,
krypteringsmetode og hvor nøglen opbevares (ikke selve nøglen),
historik over kontroller og migreringer,
hvornår kopien må slettes, og hvem der beslutter det.

Typiske fejl

Kun én kopi, på ét medie, i ét skab.
Kopier, der aldrig er kontrolleret, før de skal bruges.
Migrering til nyt medie uden hashkontrol, så det ikke kan vises, at den nye kopi svarer til den gamle.
Følgedokumenter, der kun findes i et sagssystem, som er lukket ned.
Udtræksfiler i et format, ingen nuværende værktøjer kan åbne.
En adgangskode, der kun fandtes i en tidligere medarbejders hukommelse.
Opbevaringen fortsætter, efter at grundlaget for den er bortfaldet, fordi ingen har fastsat en slutdato. → Sikker sletning af beviskopier

Hvad langtidsopbevaring kan og ikke kan bevise

Dokumenteret langtidsopbevaring med periodiske hashkontroller kan vise, at en kopi i dag er identisk med kopien ved sikringen, selv om den har skiftet medie flere gange. Den kan ikke kompensere for en sikring, der var mangelfuld fra starten, og den kan ikke genskabe kontekst, ingen skrev ned.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Sikker sletning af beviskopier, og hvordan sletningen dokumenteres · Logning af analytikerens egen adgang til beviskopier

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik