Messenger og Instagram teknisk: hvad der kan sikres

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

Siden Meta begyndte at gøre ende-til-ende-kryptering til standard for personlige samtaler i Messenger i december 2023, ligger indholdet af mange samtaler ikke længere i klartekst hos Meta. Det betyder, at telefonen, computeren og den krypterede sikkerhedskopi er blevet de vigtigste kilder, mens Metas dataudtræk primært giver konto- og aktivitetsdata. Instagram har sine egne direkte beskeder med andre regler. Sikringen skal derfor planlægges ud fra, hvilken type samtale det drejer sig om, og hvilke enheder der er adgang til.

Det grundlæggende om at sikre beskeder fra de to tjenester er beskrevet på hubben i Bevissikring af Facebook Messenger og Instagram. Her går vi i dybden med hvor data ligger, og hvad de kan bruges til.

Tre typer samtaler

Krypterede samtaler i Messenger · Hvor indholdet ligger: På deltagernes enheder og i den krypterede sikkerhedskopi · Betydning for sikring: Enheden er hovedkilden
Ikke-krypterede samtaler, fx ældre tråde og visse gruppesamtaler · Hvor indholdet ligger: Hos Meta og på enhederne · Betydning for sikring: Metas udtræk kan indeholde dem
Direkte beskeder i Instagram · Hvor indholdet ligger: Hos Meta og på enhederne; ende-til-ende-kryptering er fjernet · Betydning for sikring: Metas udtræk og enheden; ældre krypterede tråde kræver særskilt afklaring

Messenger gjorde ende-til-ende-kryptering til standard for personlige samtaler mellem to personer fra december 2023, og overgangen skete gradvist, så ældre tråde kan være opgraderet undervejs. For gruppesamtaler skal status kontrolleres i den konkrete tråd. Instagram gik den modsatte vej: Krypteret chat havde været et tilvalg, og Meta fjernede muligheden 8. maj 2026. Hvad der er sket med indholdet af tidligere krypterede Instagram-tråde, er ikke beskrevet offentligt, så kilderne for sådanne tråde bør afklares konkret.

Den krypterede sikkerhedskopi

Meta har indført en sikker lagring af historikken for krypterede samtaler, beskyttet med en PIN eller en genereret kode, som brugeren vælger. Formålet er, at historikken kan gendannes på en ny enhed. Kopien ligger hos Meta, men kan kun låses op med brugerens gendannelsesmetode.

For en undersøgelse betyder det, at historikken kan bringes tilbage på en ny eller nulstillet enhed, hvis ejeren kender PIN-koden og selv logger ind. Det er en lovlig vej med ejerens medvirken. Det giver ikke en vej uden om ejeren, og det er ikke en metode, der må bruges på en andens konto.

Lokale data på telefonen

Messenger og Instagram gemmer beskeder, kontakter, medier og status i app-databaser, typisk i SQLite-format, i appens beskyttede område. Om databaserne kommer med i en lokal backup via Finder, iTunes eller Android, afhænger af app- og systemversion og af, hvilke filer appen selv udelukker fra backup. Man kan ikke regne med det, og ofte kræver det et udtræk af filsystemet. Typerne af udtræk er beskrevet i Udtræk fra mobiltelefoner.

Databaserne indeholder typisk:

besked-id, tråd-id, afsender og tidsstempel,
tekst, reaktioner, svar og henvisninger til medier,
status for levering og læsning,
markeringer for redigerede og fjernede beskeder,
cache af medier og miniaturebilleder.

Slettede rækker kan i nogle tilfælde findes i databasens frie sider eller WAL-fil, men moderne apps rydder hurtigt op, og krypterede felter kan gøre rester ubrugelige. Teknikken er gennemgået i SQLite i forensic.

Computer og browser

Messenger og Instagram bruges også i browseren og i skrivebordsapps. Krypterede samtaler i browseren kan efterlade nøgler og dele af historikken i browserens lokale lager, fx IndexedDB, og skrivebordsapps har deres egne datamapper. Hvad der gemmes, og hvor længe, afhænger af version og indstillinger. En computer, der har været logget ind, kan derfor indeholde dele af historikken, også selvom telefonen er væk.

Metas dataudtræk

Kontoindehaveren kan bestille en kopi af sine oplysninger i HTML eller JSON. Udtrækket indeholder kontooplysninger, login og enheder, venner og følgere, opslag og kommentarer samt beskeder, der ikke er ende-til-ende-krypterede. Krypterede samtaler er ofte kun med i begrænset omfang eller slet ikke. Udtrækket er derfor godt til kontekst og loginspor, men sjældent tilstrækkeligt for selve samtalen. Formater, tidszoner og huller er gennemgået i Download dine data.

Redigerede, fjernede og forsvindende beskeder

Redigering: Beskeder i krypterede Messenger-samtaler kan redigeres i op til 15 minutter efter afsendelse. Modtageren ser, at beskeden er redigeret. Om den oprindelige tekst kan findes, afhænger af enheden og om databasen er sikret, før den blev overskrevet.
Fjern for alle: Beskeden erstattes af en markering hos alle deltagere. Rester kan findes i notifikationsdata eller i databasens frie sider på en af enhederne, men det er ikke sikkert.
Forsvindende beskeder: Beskeder, der slettes automatisk efter visning eller efter et tidsrum, efterlader sjældent indhold, men tråden kan vise, at funktionen var slået til.

Medier, opkald og grupper

Billeder, videoer og talebeskeder sendt i en tråd gemmes på modtagerens enhed i appens cache eller i en mediemappe. Kvaliteten afhænger af appens indstillinger, og medier kan være komprimeret og uden de oprindelige metadata. Et billede fundet i Messenger-cachen er derfor ikke nødvendigvis identisk med originalen på afsenderens telefon, og hashværdier kan ikke forventes at passe.

Opkald og videoopkald registreres i tråden med tidspunkt, varighed og om opkaldet blev besvaret. Indholdet af opkaldet gemmes ikke. Opkaldsposterne kan bruges til at vise kontakt på et bestemt tidspunkt, fx i sager om chikane, hvor mange ubesvarede opkald i sig selv er relevante.

I gruppesamtaler logges det, hvem der blev tilføjet eller fjernet, og hvem der ændrede navn eller billede. De hændelser vises som systembeskeder i tråden og ligger i databasen sammen med de øvrige beskeder.

Dokumentation

Rapporten bør angive enhed, styresystem og app-version for hver kilde, udtrækstype og værktøj med version, hvilke tråde der er gennemgået og med hvilket grundlag, og hvordan tidsstempler er tolket. Ved hver afgørende besked angives besked-id og tråd-id, så en anden sagkyndig kan finde den samme post. Hvis indhold er fundet i databasens frie sider, skal det fremgå tydeligt, fordi sådanne fund har lavere sikkerhed end aktive rækker.

Sikring i praksis

Bevar telefonen og computeren uændret, og afbryd ikke Meta-kontoen. Log ikke ud, da det kan rydde lokale data.
Sikr telefonen med det mest omfattende udtræk, der lovligt kan laves med ejerens samtykke.
Bestil ejerens Meta-udtræk i JSON og HTML til kontekst og loginspor.
Supplér med skærmoptagelse af de relevante tråde, så visningen dokumenteres, som brugeren ser den.
Sikr modpartens version, hvis den er tilgængelig, fx som fremlagt eller ved udtræk med samtykke.

Beskeder i stalkingsager håndteres efter samme principper, men med særlig opmærksomhed på den ramtes sikkerhed; se hjælp ved digital stalking.

Fejlkilder

Skærmbilleder viser telefonens lokale tidszone og kan være beskåret eller redigeret. De verificeres mod databasen; se Falske chatbilleder.
Et navn i en tråd er det navn, kontoen havde på visningstidspunktet. Konti kan skifte navn og billede.
Læsestatus viser, at appen registrerede beskeden som vist, ikke at en person læste den.
Tidsstempler i databasen kan være i millisekunder eller mikrosekunder siden 1970. En forkert enhed giver datoer, der er helt ved siden af, og bør fanges ved kontrol mod en kendt besked.

Hvad sporene kan og ikke kan bevise

Sammenholdte kilder fra enhed, udtræk og modpart kan vise, at en bestemt konto sendte en bestemt besked på et bestemt tidspunkt. De viser ikke, hvem der betjente kontoen. Det kræver yderligere spor som loginhistorik, enhedsbrug og omstændighederne i øvrigt.

Kilder og versioner

Funktionerne ændres ofte; tjek den aktuelle app-version før sikring.

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: Synkronisering mellem Apple-enheder: når sporet stammer fra en anden enhed · Sådan læses en mobiludtræksrapport

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik