NIST SP 800‑101 om mobilforensik

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

NIST SP 800-101 er den amerikanske standardiseringsorganisation NIST’s vejledning i forensisk arbejde med mobiltelefoner og tablets. Den gældende udgave er revision 1 fra maj 2014. Den er stadig det mest citerede samlede referencedokument om metoden bag et mobiludtræk, men den er skrevet før fuld kryptering, skybackup og end-to-end-krypterede beskedapps blev normen. Brug den derfor som ramme for metode og dokumentation, ikke som teknisk opslagsværk.

Artiklen er til sagkyndige og teknikere, der skal kunne henvise til en anerkendt metode, når et mobiludtræk lægges frem i en tvist. Det grundlæggende om udtræk er beskrevet i udtræk fra mobiltelefoner.

Hvad dokumentet dækker

Vejledningen er udarbejdet af Richard Ayers, Sam Brothers og Wayne Jansen og afløser den første udgave fra 2007. Den følger den samme grundlæggende arbejdsgang som de generelle standarder, men med de særlige forhold, mobile enheder giver:

Enhedens opbygning: hukommelsestyper, styresystemer, identitetsmoduler (SIM og UICC) og forbindelsen til mobilnettet.
Sikring: hvordan enheden beskyttes mod ændringer fra nettet og fra brugeren, mens den er i varetægt.
Udtræk: de forskellige niveauer af dataudtræk og deres fordele og ulemper.
Undersøgelse og analyse: hvor de relevante data typisk findes, og hvordan fund krydstjekkes.
Rapportering: hvad en rapport skal indeholde, for at en anden kan efterprøve den.

Dokumentet lægger stor vægt på, at værktøjer skal være afprøvet, og at undersøgeren skal kende deres begrænsninger. Det knytter an til NIST’s testprogram for forensiske værktøjer; se NIST CFTT og CFReDS.

Klassifikationen af værktøjer

Den mest kendte del af vejledningen er en pyramide med fem niveauer for udtræksmetoder. Jo højere niveau, desto mere teknisk, tidskrævende og indgribende er metoden, og desto færre værktøjer findes der:

1 · Manuelt udtræk: skærmen gennemgås og fotograferes
2 · Logisk udtræk: data hentes via enhedens egne grænseflader
3 · Hex-dump og JTAG: rå hukommelse læses via forbindelse til enheden
4 · Chip-off: hukommelseskredsen fjernes og læses særskilt
5 · Micro read: hukommelsen aflæses fysisk under mikroskop

I civile sager bruges i praksis niveau 1 og 2, suppleret af det, nutidens værktøjer kalder fuldt filsystemudtræk. Det udtryk findes ikke som et selvstændigt trin i pyramiden, så en rapport, der henviser til 800-101, bør forklare, hvor det konkrete udtræk placerer sig. Forskellen mellem udtrækstyperne er gennemgået i fysisk, logisk og målrettet sikring.

Niveau 3 til 5 har på moderne telefoner begrænset værdi i civile sager. Lagerkrypteringen er bundet til enhedens sikkerhedschip og adgangskode, så rå hukommelse uden nøgle sjældent giver læsbare data. Metoderne kan desuden ødelægge enheden og bør kun overvejes efter aftale med opdragsgiveren og med fuld dokumentation.

Sikring efter vejledningen

800-101 beskriver tre hensyn ved sikringen: enheden skal isoleres fra mobilnet og trådløse forbindelser, strømmen skal holdes, og tilstanden skal dokumenteres. Isolering hindrer, at nye beskeder overskriver gamle, og at enheden fjernslettes. Vejledningen gennemgår fordele og ulemper ved flytilstand, afskærmning og slukning, herunder at en afskærmet telefon bruger mere strøm, fordi den søger efter net.

Det sidste punkt er blevet vigtigere siden 2014. En moderne telefon, der slukkes, går tilbage til en tilstand, hvor de fleste brugerdata er krypteret, indtil koden indtastes igen. Det er derfor ofte bedst at holde en tændt og låst op telefon i den tilstand, indtil udtrækket er gennemført, og at dokumentere præcist, hvad der er gjort med den. Den praktiske rækkefølge står i tjeklisten til sikring af mobil.

Det forældede

Når 800-101 bruges som reference, bør det fremgå, hvad den ikke dækker:

Kryptering: fuld lagerkryptering og filbaseret kryptering var ikke standard i 2014. Vejledningens antagelser om fysisk udtræk holder ikke længere for de fleste telefoner.
Skydata: iCloud, Google-konti og appernes egne servere behandles kun overfladisk. I mange sager ligger de afgørende data i skyen eller i en sikkerhedskopi.
Beskedapps: WhatsApp, Signal og lignende apps med egen kryptering og forsvindende beskeder er ikke beskrevet.
Låseskærm og sikkerhedsfunktioner: begrænsninger i USB-adgang og automatisk genstart efter en periode uden oplåsning er kommet til senere.

Det betyder ikke, at vejledningen er ubrugelig. Principperne om isolering, afprøvede værktøjer, krydstjek og en rapport, der kan efterprøves, er de samme. Men de tekniske afsnit skal suppleres med nyere producentdokumentation og værktøjernes egne beskrivelser.

Forholdet til andre standarder

ISO/IEC 27037 nævner mobile enheder, men går ikke i detaljer med dem, og NIST SP 800-86 handler om integration af forensics i incident response generelt. 800-101 er altså det dokument, der specifikt dækker mobilen. I praksis henviser en rapport typisk til 27037 for de overordnede principper og til 800-101 for de mobilspecifikke valg. Se ISO/IEC 27037 og NIST SP 800-86 for de to generelle standarder.

Der findes ikke en dansk eller europæisk standard, der har afløst 800-101 for mobiltelefoner. Andre faglige anbefalinger, fx fra amerikanske arbejdsgrupper for digitale beviser, bruges som supplement.

Sådan bruges den i rapporten

En henvisning til 800-101 har kun værdi, hvis rapporten viser, hvordan vejledningen er fulgt. Det betyder konkret:

Tilstand ved modtagelse: tændt eller slukket, låst eller oplåst, isoleret hvordan og hvornår.
Valg af udtræk: hvilken type, hvorfor, og hvilke typer der ikke var mulige.
Værktøj og version: med henvisning til, hvordan værktøjet er afprøvet.
Integritet: hashværdier af udtrækket og af eksporterede filer.
Krydstjek: hvor vigtige fund er bekræftet ved en anden metode eller i et andet værktøj.
Begrænsninger: hvilke data der ikke kunne hentes, og hvad det betyder for konklusionerne.

Når en modpart har lavet udtrækket, kan de samme punkter bruges som tjekliste til at læse rapporten kritisk. Se læsning af en mobiludtræksrapport.

Typiske fejl i henvisningen

Tre fejl går igen, når 800-101 bruges i rapporter:

Forkert udgave: der henvises til udgaven fra 2007, selvom revision 1 fra 2014 har afløst den.
Pyramiden som kvalitetsmål: et højere niveau er ikke i sig selv et bedre udtræk. Det rigtige niveau er det, der besvarer spørgsmålet med mindst muligt indgreb.
Standard i stedet for afprøvning: værktøjet nævnes med navn, men ikke med version, og der er ingen henvisning til, hvordan det er testet på den aktuelle telefonmodel og styresystemversion.

Hvad vejledningen kan og ikke kan

800-101 kan dokumentere, at metoden følger en anerkendt og offentligt tilgængelig ramme. Den kan ikke i sig selv dokumentere, at et konkret udtræk er fuldstændigt eller korrekt. Det afhænger af værktøjet, telefonens model og version og den måde, arbejdet er udført på. En rapport, der blot nævner standarden uden at vise de konkrete valg, bør vurderes med samme forsigtighed som en rapport uden henvisning.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: ISAE 3402- og SOC 2-erklæringer og logdata · ISO/IEC 27035: hændelseshåndtering og bevis

→ Mobilforensik i civile sager · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik