Den nulstillede firmatelefon: hvad kan findes i backup og cloud

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

En moderne telefon, der er nulstillet til fabriksindstillinger, er i praksis tom. Data gendannes ikke fra selve enheden. Men telefonen har levet i et netværk af konti, tjenester og systemer, og mange af dens data og spor findes stadig uden for den. Opgaven er derfor at flytte fokus fra enheden til kilderne omkring den: backup, synkroniserede konti, MDM, mailserveren og de computere, telefonen har været forbundet til. Samtidig kan de samme kilder ofte vise, hvornår nulstillingen skete.

Den praktiske side, når telefonen er låst til en privat konto, står på bevissikring-digitalt.dk. Spørgsmålet om, hvorvidt en fjernsletning var rutine eller bevisforspildelse, er behandlet på digital-bevissikring.dk. Her ser vi på den tekniske kortlægning.

Hvorfor enheden ikke kan reddes

På moderne iPhone og Android er lageret krypteret med nøgler, der er bundet til hardwaren. En nulstilling sletter nøglerne, ikke nødvendigvis hver enkelt datablok. Uden nøglerne er de gamle data ulæselige, og der findes ingen anerkendt metode til at genskabe dem. Det adskiller telefonen fra en traditionel harddisk, hvor slettede filer ofte kan gendannes. Apple beskriver sletning af alt indhold som en kryptografisk sletning af nøglerne, og Android tillader ikke længere fuld diskkryptering på nye enheder fra Android 10, men kræver filbaseret kryptering. Ældre eller usædvanlige Android-modeller kan afvige, så model og version noteres.

Konsekvensen er, at et forensisk udtræk af en nulstillet telefon kun giver data fra tiden efter nulstillingen. Det kan stadig have værdi, fordi den nye opsætning kan vise, hvornår telefonen blev sat op igen, og med hvilken konto.

Kortlægning af kilderne

Start med en systematisk kortlægning af, hvor telefonens data kan have været synkroniseret eller kopieret til. Metoden er beskrevet generelt i Identifikation af datakilder. For en firmatelefon ser listen typisk sådan ud:

Cloud-backup af telefonen · Hvad den kan indeholde: Beskeder, appdata, indstillinger, ofte billeder · Hvem råder over den: Kontoens ejer
Synkroniserede tjenester · Hvad den kan indeholde: Kontakter, kalender, noter, billeder, filer · Hvem råder over den: Kontoens ejer
Virksomhedens mailsystem · Hvad den kan indeholde: Mail, kalender, kontakter, Teams-chats · Hvem råder over den: Virksomheden
MDM-systemet · Hvad den kan indeholde: Enhedsdata, tilmeldinger, fjernhandlinger · Hvem råder over den: Virksomheden
Computere · Hvad den kan indeholde: Lokale telefonbackups, synkroniserede beskeder · Hvem råder over den: Ejeren af computeren
Teleoperatøren · Hvad den kan indeholde: Abonnementsdata og specifikationer · Hvem råder over den: Abonnementshaveren
Modtagere · Hvad den kan indeholde: Deres egen kopi af beskeder og mails · Hvem råder over den: Modtagerne

Kolonnen om rådighed er vigtig. Er backuppen knyttet til medarbejderens private konto, er den ikke virksomhedens at hente, uanset at telefonen var firmaets.

Cloud-backup

En iPhone kan have en backup i iCloud, og en Android-telefon kan have en backup i Google-kontoen. Kontoens oversigt over sikkerhedskopier viser typisk enhedens navn og tidspunktet for seneste backup. Er det tidspunkt før nulstillingen, kan backuppen indeholde data, der ikke længere findes på telefonen. Backups slettes dog automatisk, når enheden ikke længere sikkerhedskopierer, efter en periode, der afhænger af platformen. På tidspunktet for gennemgangen (oktober 2026) angiver Apple, at en iCloud-backup bevares i 180 dage, efter at backup er slået fra eller ikke længere bruges, mens Google angiver, at enhedsbackuppen slettes, når enheden ikke har været brugt i 57 dage. Fristerne kan ændre sig og bør kontrolleres på sagens tidspunkt. En ny opsætning af telefonen med samme konto kan desuden overskrive den gamle backup ved første kørsel.

Adgangen kræver kontoejerens medvirken. Indholdet hentes typisk ved gendannelse til en testenhed og et efterfølgende udtræk; se iOS-backup: krypteret, ukrypteret og hvad den indeholder og Android-backup og Google-kontoens sikkerhedskopi.

Virksomhedens egne systemer

Det meste arbejdsindhold ligger allerede på serversiden: mail, kalender og kontakter i mailsystemet, chats i samarbejdstjenesten og filer i virksomhedens cloudlager. Mødeindkaldelser og deres ændringer kan også sikres derfra; se Kalenderdata og mødeinvitationer teknisk. Det er virksomhedens data og kan sikres uafhængigt af telefonen.

Mailsystemet kan desuden ofte vise, hvilke mobile enheder der har synkroniseret med postkassen, med enhedsmodel, identifikator og tidspunkt for første og seneste synkronisering. I Exchange Online hentes oplysningerne pr. postkasse med PowerShell. Hvilke felter der er udfyldt, afhænger af klienten, og et enhedspartnerskab kan være fjernet ved oprydning, så oplysningerne bør hentes tidligt. Det kan bruges til at datere, hvornår telefonen holdt op med at synkronisere, og om en ny enhed overtog.

Datering af nulstillingen

Nulstillingen kan sjældent ses direkte, men den efterlader indirekte spor flere steder:

MDM: En fjernsletning har en auditpost med tidspunkt og initierende konto. En nulstilling foretaget på telefonen ses som et stop i enhedens indtjekninger og eventuelt som en ny tilmelding; se MDM og Intune som datakilde.
Kontoernes enhedslister: Apple- og Google-konti viser tilknyttede enheder. En ny opsætning kan optræde som en ny enhed eller en fornyet tilknytning.
Mail og samarbejdstjenester: Seneste synkronisering fra den gamle installation og første fra den nye.
Loginlogs: Et ophør af logins fra telefonens klienter, efterfulgt af nye logins med nye enheds-id’er.
Selve telefonen: Efter en ny opsætning kan systemets første tidsstempler vise, hvornår opsætningen begyndte.

Sammenhold kilderne i en tidslinje. Den viser ofte et vindue, hvor nulstillingen må være sket, frem for et præcist tidspunkt.

Computere og andre enheder

Lokale backups af telefoner kan ligge på en computer, som telefonen har været tilsluttet. Beskeder kan være synkroniseret til en Mac via samme konto, og beskedapps kan have skrivebordsklienter med lokal historik. Er det virksomhedens computer, kan den undersøges inden for de almindelige rammer; ellers kræver det ejerens medvirken.

Teleoperatøren

Operatøren har ikke indholdet af beskeder fra apps, men kan have oplysninger om abonnementet, SIM-skift og specifikationer over opkald og sms, i det omfang abonnementshaveren kan få dem udleveret. Et SIM-skift eller en eSIM-overførsel kan bidrage til dateringen, fordi den ofte falder sammen med en ny opsætning. Hvad der findes hos operatøren, og på hvilket grundlag, er beskrevet i Telefonen eller teleoperatøren.

Rækkefølgen i sikringen

Mange af kilderne er tidsbegrænsede, og nogle ændres af selve undersøgelsen. En fornuftig rækkefølge er:

Sikr virksomhedens egne logs først: MDM-auditlog, enhedsobjekter, mailsystemets enhedsoplysninger og loginlogs. De kan eksporteres uden at røre andres konti.
Bevar postkasse og cloudlager: Sæt opbevaring eller tilbageholdelse på den fratrådtes konto, før den deaktiveres eller slettes.
Afklar backups i private konti: Tal med kontoens ejer gennem de rette kanaler, før backuppen udløber. Bed om, at telefonen ikke sættes op igen med samme konto, indtil afklaringen er sket.
Udtræk den nulstillede telefon: Ikke for at finde gamle data, men for at dokumentere den nye opsætning og dens tidspunkter.
Byg tidslinjen: Saml sporene fra alle kilder, og angiv for hvert tidspunkt, hvilken kilde det stammer fra.

Telefonen bør ikke tages i brug af en ny medarbejder, før punkt 4 er gjort, og den bør ikke tilmeldes MDM igen, fordi en ny tilmelding kan erstatte eller rydde den gamle enhedspost.

Typiske fejlkilder

Backup efter nulstilling: En backup med et nyt tidspunkt kan være taget af den nulstillede telefon og indeholde næsten intet.
Flere enheder på kontoen: Backups og synkroniserede data kan komme fra en anden telefon eller en tablet.
Tavshed er ikke sletning: Et stop i synkroniseringen kan skyldes et brud, et skift af SIM, en slukket telefon eller en nulstilling. Alle forklaringer skal overvejes.

Hvad kilderne kan og ikke kan bevise

Kilderne kan genskabe dele af telefonens indhold og ofte afgrænse, hvornår nulstillingen skete, og om den blev sendt fra MDM. De kan sjældent vise præcist, hvad der var på telefonen lige før, og de kan ikke vise, hvem der foretog en nulstilling direkte på enheden. Rapporten bør skelne tydeligt mellem det, der er fundet, det, der kunne have været fundet med andre kilder, og det, der ikke længere findes nogen steder. For hver kilde angives grundlag, metode, periode og hashværdier, så kortlægningen kan efterprøves.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: Beskedapps i ansættelsessager: hvad der kan sikres lovligt · Telefonen eller teleoperatøren: hvilke data findes hvor

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik