Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen
Et billede eller en video, der er sendt via en beskedapp eller lagt på et socialt medie, er sjældent den originale fil. De fleste tjenester skalerer, genkomprimerer og fjerner hele eller dele af metadataene, ofte af hensyn til privatliv og datamængde. Resultatet er, at optagetid, kameramodel og GPS-position typisk mangler i den kopi, modtageren har, og at filens hashværdi er en anden end originalens. Det er ikke et tegn på manipulation, men en følge af tjenestens behandling. Konsekvensen er, at spørgsmål om tid, sted og ægthed normalt skal besvares ud fra originalen på afsenderens enhed eller ud fra tjenestens egne data.
Felterne selv er gennemgået i EXIF, XMP og IPTC. Her handler det om, hvad der sker med dem undervejs.
Hvad tjenesterne typisk gør
Behandlingen varierer mellem tjenester, versioner, platforme og indstillinger og ændres løbende. Det følgende er typiske mønstre, ikke regler for den enkelte tjeneste. Tjenesterne beskriver sjældent deres behandling fuldt ud, så når det har betydning, bør den aktuelle adfærd afprøves med en referencefil sendt gennem samme kanal, app og version.
- Beskedapps, sendt som billede · Skalering og ny komprimering. De fleste metadata fjernes, især GPS. Nyt filnavn hos modtageren.
- Beskedapps, sendt som fil eller dokument · I mange apps sendes filen uændret, så metadata bevares.
- Sociale medier · Skalering, ny komprimering og fjernelse af de fleste metadata i den offentlige kopi. Tjenesten kan selv gemme oplysninger om uploadet. Nogle tilføjer egne felter.
- Mail · Vedhæftninger sendes normalt uændret, men nogle mailapps tilbyder eller vælger automatisk en mindre billedstørrelse, som genkomprimerer og kan fjerne metadata.
- Cloudlager og synkronisering · Filen gemmes normalt bitidentisk. Fototjenester med pladsbesparende kvalitet kan dog genkomprimere.
- Deling fra telefonens galleri · Delingsmenuen kan give mulighed for at udelade placering eller konvertere formatet, fx fra HEIC til JPEG.
Hertil kommer, at hver kopi får nye tidsstempler i filsystemet hos modtageren. Filens ændrings- og oprettelsestid viser derfor typisk, hvornår den blev modtaget eller gemt, ikke hvornår billedet blev taget. Om tidsstempler ved kopiering, zip, upload og mail generelt, se Hvad sker der med tidsstemplerne?.
Filnavne som spor
Mange beskedapps giver modtagne filer et nyt navn efter et fast mønster, ofte med en dato. Datoen i filnavnet er typisk tidspunktet for modtagelse eller lagring hos modtageren, ikke optagetidspunktet. Det er en hyppig kilde til misforståelser, når billeder fremlægges med filnavn som eneste tidsangivelse. Filnavnets mønster kan til gengæld vise, hvilken app filen er kommet igennem.
Hvad der kan overleve
Selv når metadata er fjernet, er der ofte spor tilbage:
- Billedets dimensioner og komprimering kan vise, hvilken tjeneste der sidst har behandlet filen, fordi hver tjeneste har karakteristiske størrelser og kvantiseringstabeller.
- Tjenestens egne felter kan identificere platformen og nogle gange en intern reference.
- Beskedappens database på afsenderens og modtagerens enheder indeholder tidspunkt for afsendelse og modtagelse, afsender, samtale og ofte en henvisning til den lokale fil. Den tekniske opbygning for WhatsApp er beskrevet i WhatsApp teknisk.
- Afsenderens galleri indeholder normalt den originale fil med alle metadata, medmindre den er slettet. På en iPhone registrerer fotodatabasen desuden, om billedet er taget med kameraet eller gemt fra en app, og om det er redigeret; se Billeder på iPhone.
- Modtagerens gemte kopi i galleriet kan have fået en databasepost med tidspunktet for lagring og den app, billedet kom fra.
Disse spor kan tilsammen ofte rekonstruere vejen fra optagelse til den fremlagte fil, selv når den fremlagte fil ikke selv indeholder noget om optagelsen.
Konsekvenser for sikringen
- Gå til kilden. Bed om originalfilen fra den enhed, der tog billedet, og helst om en sikring af enheden eller i det mindste af fotodatabasen.
- Sikr modtagerens kopi alligevel. Den viser, hvad modtageren fik, og hvornår. Sikr den sammen med samtalen eller mailen, den kom med.
- Eksportér fra tjenesten. Mange platforme giver kontoindehaveren mulighed for at hente sine egne data, som kan indeholde uploadtidspunkt og den fil, der blev uploadet, i bedre kvalitet end den offentlige visning. Eksporten skal dokumenteres som enhver anden cloudeksport.
- Beregn hashværdier for hvert eksemplar og notér kilde, kanal og tidspunkt.
- Forvent ikke ens hashværdier mellem original og delt kopi. En sammenligning skal i stedet ske på indhold og struktur.
Om sikring af WhatsApp-samtaler i praksis for brugere, se digitalbevissikring.dk.
Billeder hentet fra en profil eller webside
En særlig situation er billeder, der er hentet fra en profil på et socialt medie, en annonce eller en webside, fx i sager om uretmæssig brug af fotos eller om opslag, der påstås slettet. Den kopi, der vises i browseren, er tjenestens behandlede version, ofte i flere størrelser, og den indeholder sjældent noget om optagelsen. Til gengæld kan selve visningen dokumenteres: adressen på billedfilen, tidspunktet for hentningen, serverens svarheadere og sidens indhold. Det gøres bedst med en dokumenteret webarkivering frem for et skærmbillede. Kontoindehaverens egen dataeksport fra tjenesten kan supplere med uploadtidspunkt og den fil, der oprindeligt blev lagt op.
Husk også, at samme billede kan findes i flere versioner hos samme tjeneste. Miniaturer, forhåndsvisninger og fuld størrelse er separate filer med forskellige hashværdier, og de skal holdes adskilt i dokumentationen.
Video
Video behandles typisk endnu hårdere end billeder, fordi filerne er store. Genkodning ændrer opløsning, bitrate og ofte beholderformat, og oprettelsestider i beholderens metadata kan blive erstattet med tidspunktet for genkodningen. Strukturerne er beskrevet i Videometadata.
Typiske fejlslutninger
- “Der er ingen metadata, så billedet er manipuleret.” Fravær af metadata er det forventede for de fleste delte billeder.
- “Filnavnet viser, at billedet er fra den dato.” Filnavnet viser oftest modtagelsen.
- “Hashværdien passer ikke med originalen, så billedet er ændret.” Genkomprimering ændrer altid hashværdien. Det er motivet, ikke filen, der skal sammenlignes.
- “Billedet har fuld EXIF, så det er originalen.” Metadata kan være kopieret ind fra et andet billede eller bevaret, fordi filen er sendt som dokument. Det skal stadig sammenholdes med kilden.
Sammenligning mellem original og delt kopi
Når både originalen og en delt kopi foreligger, kan det vises, at kopien stammer fra originalen, selv om hashværdierne er forskellige. Metoden er at sammenligne motivet visuelt og med værktøjer, der måler billedlighed, og at kontrollere, at forskellene svarer til den behandling, tjenesten foretager: skalering, komprimering og fjernede felter. Uventede forskelle, fx et objekt, der kun findes i den ene version, eller en anden beskæring end tjenesten normalt laver, skal forklares. Sammenligningen bør dokumenteres med begge versioner, de anvendte værktøjer og en beskrivelse af de forventede og de faktisk fundne forskelle.
Dokumentation
Rapporten bør angive, hvilken kanal hvert eksemplar er kommet igennem, hvilke metadata der findes og mangler, og hvilken behandling der må forventes for netop den kanal på det tidspunkt. Hvor behandlingen ikke er kendt med sikkerhed, kan den efterprøves med et testbillede sendt gennem samme app og version, og testen dokumenteres. Konklusioner om tid og sted bør bygge på originalen eller tjenestens data, ikke på den delte kopi alene.
Kilder og versioner
Senest gennemgået: oktober 2026.
Næste skridt
- Falske chatbilleder: verifikation mod kildeenheden og appens database
- Audit trail i e-signaturløsninger
Del af: Analyse og fortolkning
Læs også: Redigerede billeder: tekniske tegn ud over metadata · Videometadata: MP4/MOV-strukturer og optagetid
→ Teknisk undersøgelse af dokumenter og metadata · For advokater · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
