Når nøglen mangler: dokumentation af utilgængelige data

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Ikke alle data i en sag kan åbnes. En container uden nøgle, en telefon, der ikke kan låses op, en konto, man ikke har adgang til, eller et medie, der ikke kan læses, efterlader et hul i undersøgelsen. Hullet skal beskrives i rapporten lige så præcist som fundene: hvad der er utilgængeligt, hvorfor, hvad der er forsøgt ad lovlige veje, hvad der alligevel kan dokumenteres, og hvad det betyder for konklusionerne. Det, der ikke må ske, er at hullet udfyldes med formodninger om indholdet.

Typiske situationer

Krypterede medier og containere uden deponeret nøgle eller samtykke. Se Krypterede containere og arkiver.
Låste telefoner, hvor koden ikke er oplyst, og udtræk derfor er begrænset til det, der er tilgængeligt i den låste tilstand.
Konti, hvor organisationen ikke har administratoradgang, fx private cloudkonti, eller hvor totrinsbekræftelse kræver en enhed, der ikke er tilgængelig.
Defekte medier, hvor dele eller hele mediet ikke kan læses.
Fjernslettede eller nulstillede enheder.
Data hos tredjepart, som ikke er udleveret, eller som er slettet efter tjenestens opbevaringsregler.

Hvad der kan dokumenteres uden adgang

Selv uden adgang til indholdet er der ofte meget, der kan dokumenteres:

Eksistens og identitet: at mediet, filen eller kontoen findes, med serienummer, filnavn, sti, kontonavn eller andre identifikatorer.
Størrelse og hashværdi af det krypterede eller utilgængelige objekt, så det kan genkendes senere og åbnes, hvis nøglen dukker op.
Metadata uden for krypteringen: filsystemets tidsstempler for en containerfil, filnavne i et krypteret zip-arkiv, en telefons model og styresystem.
Spor efter brug på andre systemer: hvornår containeren var monteret, hvilke filer der blev åbnet fra den, hvornår kontoen var logget på.
Krypteringsløsning og tilstand, fx at disken er krypteret med en bestemt løsning, og at den var låst ved sikringen.

Disse oplysninger er ikke indholdet, men de kan være relevante i sig selv, og de gør det muligt at vende tilbage til spørgsmålet senere.

Delvis adgang

Ofte er data ikke helt utilgængelige, men kun delvist. En telefon i låst tilstand kan give et begrænset udtræk. En defekt disk kan læses bortset fra et antal sektorer. En konto kan være tilgængelig for en periode, men ikke for en anden, fordi opbevaringstiden er udløbet. I de tilfælde skal omfanget kvantificeres, så læseren kan se, hvor stor en del der mangler:

hvor mange sektorer der ikke kunne læses, og om de ligger i områder med relevante filer,
hvilke datatyper og apps der indgår i et begrænset udtræk, og hvilke der ikke gør,
hvilke perioder en logkilde dækker, og hvor der er huller,
hvilke konti, postkasser eller mapper der er med, og hvilke der ikke er.

En tabel over kilder med kolonner for dækning og begrænsning er ofte den klareste form. Delvis adgang giver delvise konklusioner, og det skal fremgå ved hver konklusion, hvilke kilder den bygger på.

Data hos modparten eller tredjepart

Nogle data er utilgængelige, fordi de ligger hos en anden: en modpart, en tidligere arbejdsgiver, en leverandør eller en tjeneste. Her er den tekniske opgave at beskrive præcist, hvilke data der ville kunne besvare spørgsmålet, hvor de typisk findes, og hvor længe de normalt opbevares. Det giver advokaten et konkret grundlag for at anmode om dem.

Hvad der er forsøgt

Rapporten bør redegøre for de lovlige adgangsveje, der er undersøgt, og resultatet af hver:

om organisationen har deponeret en nøgle, og hvor der er søgt,
om administratoradgang er afprøvet,
om brugeren er spurgt, og hvad svaret var, gengivet neutralt,
om spørgsmålet er rejst over for retten eller modparten, hvis det er relevant og oplyst til den sagkyndige.

Formålet er at vise, at hullet ikke skyldes manglende forsøg. Oversigten over adgangsvejene findes i Krypterede data i en undersøgelse. Notér også, hvad der ikke er gjort, fx at der ikke er gættet på koder, og hvorfor.

Hvad der ikke skrives

Formodninger om indholdet: “Containeren indeholder formentlig kundedata” er spekulation, medmindre der er konkrete spor, fx registrerede filnavne fra en tidligere montering. Er der sådanne spor, beskrives de som det, de er: spor, ikke indhold.
Slutninger ud fra kryptering i sig selv: At data er krypteret, er normalt. At en bruger ikke oplyser en kode, kan have mange årsager. Den slags vurderinger hører til retten og parterne, ikke til den tekniske rapport.
Konklusioner om fravær: At der ikke er fundet relevante filer på de tilgængelige data, siger intet om de utilgængelige. Se Fravær af spor.

Betydning for konklusionerne

Det skal fremgå tydeligt, hvordan hullet påvirker hver enkelt konklusion. Tre forhold er typiske:

Konklusionen er upåvirket, fordi de utilgængelige data ikke vedrører spørgsmålet.
Konklusionen er begrænset, fordi den kun bygger på de tilgængelige kilder, og de utilgængelige kunne have bekræftet eller afkræftet den.
Spørgsmålet kan ikke besvares, fordi de afgørende data er utilgængelige.

Skriv det for hvert spørgsmål, ikke kun i et samlet forbehold i slutningen. Konklusionsstyrken bør afspejle hullet. Se Konklusionsgrader.

Formuleringer

Hold sproget faktuelt og fri for vurderinger. Eksempler på formuleringer:

“Filen [sti] med størrelsen [x] byte og SHA-256-værdien [y] har kendetegn på at være en krypteret container. Indholdet er ikke tilgået, da der ikke foreligger en nøgle.”
“Telefonen var låst ved modtagelsen. Koden er ikke oplyst. Udtrækket er derfor begrænset til [type], og data, der kræver oplåsning, indgår ikke.”
“Spørgsmål 3 kan ikke besvares på det foreliggende grundlag, da de relevante data findes på [medie], som ikke har kunnet tilgås.”

Undgå værdiladede ord som “skjult”, “hemmelig” eller “nægtede”, medmindre de beskriver en teknisk egenskab eller et faktum, der kan dokumenteres.

Bevar muligheden

Det utilgængelige skal sikres, så det kan åbnes senere:

tag en fuld kopi af det krypterede medie eller objekt, og hash den,
dokumentér, hvad der vil kræves for at åbne det, fx gendannelsesnøgle, adgangskode eller nøglefil,
opbevar originalen eller kopien, så længe sagen kører, efter aftale med den, der har rådighed over den,
beskriv i rapporten, at analysen kan suppleres, hvis nøglen fremkommer.

Fremkommer nøglen senere, udarbejdes et tillæg til rapporten, der henviser til den oprindelige kopi og hashværdi, så sammenhængen er klar.

Afvigelser fra planen

Var adgang forudsat i opdraget eller i analyseplanen, er det en afvigelse, der skal registreres og forklares. Det gælder også, hvis et medie fejler under sikringen. Se Afvigelser og fejl undervejs.

Hvordan læseren bruger det

En klar beskrivelse af det, der ikke kunne tilgås, gør rapporten stærkere, ikke svagere. Læseren kan se grænserne for konklusionerne og vurdere, om der skal tages skridt for at få adgang. Sådan læses en rapport set fra den juridiske side: Sådan læser du en IT-sagkyndig rapport. Selve rapportens opbygning er beskrevet i Rapportskrivning.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Krypterede containere og arkiver: identifikation og dokumentation · Filsystemer sammenlignet: NTFS, APFS, ext4, exFAT og ReFS

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik