Download dine data: platformenes udtræk som bevis

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

De store platforme lader brugeren hente en kopi af egne data: Metas “Download dine oplysninger”, Google Takeout, Apples dataanmodning, LinkedIns arkiv og tilsvarende hos TikTok, X og Snapchat. Udtrækket er ofte den eneste lovlige vej til beskeder, loginhistorik og aktivitet, der ikke længere findes på telefonen. Men udtrækket er platformens udvalg, i platformens format og ofte uden dokumentation af felterne. Det skal behandles som en afledt kilde: sikres med hash ved modtagelse, beskrives præcist og kontrolleres for huller, før det bruges.

Retten til dataene udspringer af databeskyttelsesreglerne om indsigt og dataportabilitet. Brugen af udtræk som alternativ til edition er behandlet juridisk på Platformseksport som alternativ til edition. Her handler det om teknikken.

Hvordan udtrækkene laves

Udtrækket bestilles af kontoindehaveren efter login, typisk med valg af datakategorier, tidsperiode, format og mediekvalitet. Platformen samler dataene i baggrunden og sender et link, når arkivet er klar. Linket er tidsbegrænset; Google oplyser fx, at arkiver udløber efter cirka syv dage og kan hentes et begrænset antal gange.

Meta (Facebook, Instagram, Messenger) · Typisk format: HTML eller JSON, valgfrit · Bemærkning: Datointerval og mediekvalitet vælges ved bestilling
Google Takeout · Typisk format: ZIP eller TGZ med blandede formater · Bemærkning: Mail som MBOX, kalender som ICS, aktivitet som JSON eller HTML
Apple · Typisk format: ZIP med CSV, JSON og originale filer · Bemærkning: Bestilles via Apples privatlivsportal
LinkedIn · Typisk format: ZIP med CSV-filer · Bemærkning: Hurtigt og fuldt arkiv kan bestilles separat

Leveringstiderne varierer. På tidspunktet for gennemgangen (oktober 2026) oplyser LinkedIn, at et udtræk af enkelte kategorier kommer inden for minutter og det fulde arkiv inden for et døgn, og at linket virker i 72 timer. Apple angiver, at en bestilling kan tage op til syv dage, og TikTok lader brugeren vælge mellem TXT og JSON. Formaterne ændrer sig løbende, ofte uden varsel, så notér de valg, der blev truffet ved bestillingen.

Vælg det rigtige format

HTML er beregnet til at blive læst i en browser og er let at vise frem. JSON er struktureret og kan analyseres maskinelt, og det indeholder ofte felter, som HTML-visningen udelader, fx præcise tidsstempler som Unix-tid, interne id’er og statusfelter. Til analyse bør JSON bestilles. Er det muligt, bestilles begge, så HTML kan bruges til præsentation og JSON til kontrol.

Vælg højeste mediekvalitet. Lav kvalitet giver omkodede billeder og videoer, hvor metadata kan være fjernet, og hashværdier kan ikke sammenlignes med originaler på telefonen.

Sikring ved modtagelse

Arkivet er bevis fra det øjeblik, det hentes. Derfor:

Hent arkivet på en kontrolleret computer, ikke på en telefon, der synkroniserer til cloud.
Beregn hashværdi af hver arkivfil straks efter download, før den pakkes ud.
Gem mailen eller notifikationen med downloadlinket og bestillingstidspunktet. Den dokumenterer, hvornår og fra hvilken konto udtrækket blev bestilt.
Pak ud til en arbejdskopi, og lad originalarkivet være urørt.
Notér platform, konto, valgte kategorier, periode, format og mediekvalitet.

Et nyt udtræk af samme konto vil næsten aldrig give samme hashværdi, fordi indhold, rækkefølge og pakning ændres. Det er forventeligt og forklaret i Mobiludtræk og cloud-eksporter: hvorfor hashværdien ikke kan gentages. Hashværdien låser det modtagne arkiv; den beviser ikke, at platformen leverede alt.

Tidszoner og tidsstempler

Tidsstempler i udtræk er en hyppig fejlkilde. JSON-filer indeholder ofte Unix-tid i UTC. HTML-visninger kan vise tid i den tidszone, kontoen er indstillet til, i den tidszone, udtrækket blev bestilt fra, eller i UTC, uden at det står nogen steder. Samme hændelse kan derfor stå med forskellige klokkeslæt i HTML og JSON.

Kontrollér altid med en kendt hændelse, fx en besked, hvis afsendelsestidspunkt kendes fra modpartens telefon eller en mail. Normalisér alle tider til én zone i rapporten, og angiv, hvordan konverteringen er sket; se Sommertid og tidszoner i rapporten.

Tidsstemplet i udtrækket er platformens servertid for registreringen. Det er ikke nødvendigvis det tidspunkt, brugeren trykkede på sendeknappen på sin enhed; se Server-tid og klient-tid.

Hvad der typisk mangler

Slettet indhold: Beskeder og opslag, som brugeren har slettet, er normalt ikke med, heller ikke selvom platformen stadig har dem i en periode.
Andre brugeres data: Beskeder fra en person, der har slettet sin konto eller blokeret brugeren, kan mangle eller stå uden navn.
Krypterede samtaler: Ende-til-ende-krypterede beskeder indgår ikke altid, fordi platformen ikke har indholdet i klartekst. Det gælder fx dele af Messenger; se Messenger og Instagram teknisk.
Udledte data: Interne risikovurderinger, annoncemålgrupper og sikkerhedslogs er ofte kun delvist med.
Ældre data: Nogle kategorier, fx loginhistorik og IP-adresser, dækker kun en begrænset periode.

Et udtræk uden en bestemt samtale beviser derfor ikke, at samtalen aldrig har fundet sted.

Verifikation af indholdet

Udtrækket bør krydstjekkes mod mindst én uafhængig kilde: telefonen, modpartens udtræk, skærmbilleder taget på det tidspunkt eller mails med notifikationer. Overensstemmelse på tid, tekst og id styrker begge kilder. Afvigelser skal forklares, fx ved redigerede beskeder, hvor udtrækket kun viser den sidste version.

Kontrollér også intern konsistens: Er beskeder i samme tråd fortløbende? Er der spring i id’er eller pludselige huller i perioder med ellers jævn aktivitet? Et hul kan skyldes sletning, men også platformens egen begrænsning.

Login, enheder og IP-adresser

Mange udtræk indeholder en sikkerhedssektion med login, aktive sessioner, enheder og IP-adresser. Den er ofte mere værdifuld end selve indholdet i sager om overtagne konti, falske profiler eller uenighed om, hvem der brugte en konto. Felterne er typisk tidspunkt, IP-adresse, en grov placering beregnet af platformen, browser eller app og nogle gange et enhedsnavn.

Placeringen er platformens skøn ud fra IP-adressen og kan ligge langt fra den faktiske position, især for mobilnet og VPN. IP-adresser fra mobiloperatører deles af mange kunder samtidig, og en identifikation af abonnenten kræver data fra operatøren, som ikke kan skaffes uden om de lovlige veje. Brug derfor sikkerhedssektionen til at vise mønstre, fx et login fra et nyt land kort før en ændring af adgangskoden, og ikke til at udpege en bestemt person.

Dokumentation

Rapporten bør for hvert udtræk angive platform og konto, hvem der bestilte det og med hvilket grundlag, bestillings- og downloadtidspunkt, valgte kategorier, periode, format og mediekvalitet, arkivfilernes navne og hashværdier, hvordan tidsstempler er tolket og normaliseret, og hvilke kendte begrænsninger udtrækket har. Bruges et værktøj til at parse JSON, angives navn og version, og stikprøver sammenholdes med de rå filer.

Når modparten fremlægger et udtræk

Et udtræk, som modparten selv har bestilt og behandlet, kan være redigeret, før det fremlægges. HTML-filer er ren tekst og kan ændres i enhver editor. Bed derfor om det originale arkiv, som det blev hentet, med oplysning om bestillingstidspunkt, og sammenlign HTML med JSON fra samme arkiv. Platformens notifikationsmail om, at arkivet var klar, kan underbygge tidspunktet.

Hvad udtrækket kan og ikke kan bevise

Et korrekt sikret udtræk viser, hvad platformen på bestillingstidspunktet udleverede om kontoen, inden for de valgte kategorier og perioder. Det viser ikke, hvad platformen ellers har, hvad der er slettet, eller hvem der betjente kontoen. Rapporten skal tydeligt angive udtrækkets afgrænsning, så fravær af data ikke tolkes som bevis for, at noget ikke er sket.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Konsistent sikring af en database: dump, snapshot eller kopi · ChatGPT, Claude og Gemini: historik og workspace-eksport

→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik