Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen
En forensisk rapport skal kunne læses, forstås og efterprøves af en anden fagperson. Det bærende princip er at holde tre ting adskilt: hvad der er observeret, hvad det teknisk betyder, og hvor sikker vurderingen er. Juridiske konklusioner hører ikke hjemme i en teknisk rapport; dem træffer retten eller parterne.
Den tekniske undersøgelse kan være nok så grundig. Hvis rapporten blander iagttagelser og slutninger, mangler versionsnumre eller ikke siger, hvad der ikke er undersøgt, vil den blive angrebet på netop de punkter. Denne artikel beskriver opbygningen indefra, set fra den, der skriver.
En struktur, der virker
- 1. Opdrag · Hvem har bestilt undersøgelsen, og hvilke spørgsmål skal besvares, gengivet ordret
- 2. Sammenfatning · Korte svar på spørgsmålene med henvisning til afsnittene
- 3. Materiale · Hvad der er modtaget, fra hvem, hvornår, med id og hashværdier
- 4. Metode og værktøjer · Fremgangsmåde, værktøjer med versionsnumre, tidszone
- 5. Fund · Observationer, beskrevet så de kan genfindes
- 6. Vurdering · Teknisk tolkning, alternative forklaringer, sikkerhedsgrad
- 7. Svar på spørgsmålene · Spørgsmål for spørgsmål
- 8. Begrænsninger · Hvad der ikke er undersøgt eller ikke kunne undersøges
- Bilag · Hashlister, tidslinjer, udtræk, ordliste
Opdraget gengives ordret, fordi det afgrænser, hvad rapporten svarer på. Hvis spørgsmålene er uklare, skrives den fortolkning, der er lagt til grund. Er der tale om en skønserklæring, gælder retsplejelovens regler om syn og skøn, og erklæringen besvarer de spørgsmål, skønsmanden har fået forelagt. Den tekniske opbygning af svarene er beskrevet i Besvarelse af skønstemaer. Forskellen mellem de to typer erklæringer er beskrevet på digital-bevissikring.dk.
Materiale og metode
Materialeafsnittet skal kunne bruges som kvittering. For hvert emne angives en entydig betegnelse, fx et bevisnummer, en beskrivelse af enheden eller eksporten, serienummer, hvem det er modtaget fra, tidspunkt og hashværdi. Hvis materialet er modtaget som en kopi, som en anden har lavet, skrives det, og det angives, om kopiens hashværdi er kontrolleret mod den oprindelige.
Metodeafsnittet beskriver fremgangsmåden på et niveau, hvor en fagperson kan følge den: hvordan der er sikret, hvilke værktøjer der er brugt til hvilke dele af analysen, og hvilken tidszone tidsstempler er normaliseret til. Det er ikke stedet for en lærebog, men for de valg, der har betydning for resultatet.
Fakta, betydning og vurdering
Den samme iagttagelse kan skrives på tre niveauer. De skal være tydeligt adskilt, gerne i hver sit afsnit eller med faste formuleringer:
- Observation · Der findes en LNK-fil, der henviser til
E:\Kunder\liste.xlsx, oprettet 3. marts kl. 14:12 UTC. - Teknisk betydning · LNK-filer af denne type oprettes normalt, når en fil åbnes. Drev E: var på tidspunktet et USB-drev med serienummeret angivet i bilag 2.
- Vurdering · Fundet er foreneligt med, at filen er åbnet fra USB-drevet på dette tidspunkt.
Undgå formuleringer, der blander niveauerne, som “brugeren kopierede kundelisten”. Det kan være rigtigt, men det er en slutning, der skal bygges op trin for trin: hvilken konto, hvilken enhed, hvilken handling, og hvad der taler for og imod. Et artefakt viser en systemhændelse, ikke en persons hensigt. Hvordan de enkelte Windows-spor opstår, er beskrevet i Windows-artefakter.
Sikkerhedsgrader
Brug en fast skala, og forklar den i rapporten, før den tages i brug. Et eksempel:
- Fastslået · Direkte observeret og verificeret i flere uafhængige kilder
- Sandsynligt · Understøttet af fund, og ingen fund peger i modsat retning
- Foreneligt med · Fundet passer med forklaringen, men andre forklaringer er lige så mulige
- Kan ikke vurderes · Data mangler eller er utilstrækkelige
Skalaen behøver ikke være netop denne. Det vigtige er, at udtrykkene bruges konsekvent. Hvis “sandsynligt” ét sted betyder næsten sikkert og et andet sted en kvalificeret formodning, kan modparten med rette så tvivl om hele rapporten. Undgå procentsatser, medmindre de bygger på en egentlig statistisk metode.
Alternative forklaringer
En stærk rapport tager selv stilling til de forklaringer, modparten kunne fremføre:
- Kan hændelsen skyldes automatik, fx synkronisering, antivirus, indeksering eller backup?
- Kan en anden person have brugt computeren, kontoen eller en delt adgangskode?
- Kan tidsstemplerne være påvirket af tidszone, forkert systemur eller kopiering mellem medier?
- Kan synkronisering fra en anden enhed forklare fundet, fx browserhistorik eller cloudfiler?
- Kan værktøjet have tolket et felt forkert?
Hvis en alternativ forklaring ikke kan udelukkes, skal det stå. Det svækker ikke rapporten; det gør den troværdig. Den sidste kontrol, tolkningen af værktøjets output, er beskrevet i verifikation af værktøjer.
Sprog
- Skriv kort og præcist. Én sætning, én påstand.
- Forklar tekniske begreber første gang, eller henvis til en ordliste i bilag.
- Angiv altid tidszone ved tidspunkter, og brug samme tidszone gennem hele rapporten. Angiv, hvis kilderne oprindeligt brugte forskellige tidszoner.
- Brug neutrale betegnelser: “kontoen”, “brugerprofilen”, “enheden”, ikke vurderende ord om personer.
- Skriv “intet fundet” kun, når det er undersøgt. Ellers “ikke undersøgt”.
- Ingen juridiske vurderinger som “ulovlig”, “uberettiget” eller “brud på kontrakten”.
- Undgå forstærkende ord som “klart”, “tydeligvis” og “utvivlsomt”. Lad sikkerhedsskalaen gøre arbejdet.
Efterprøvelighed
En anden sagkyndig skal kunne gentage undersøgelsen og nå frem til de samme observationer. Det kræver:
- hashværdier for alt modtaget materiale og alle kopier, med algoritme angivet (hashalgoritmer i forensic),
- præcise stier, poster, offsets og tidsstempler for hvert fund,
- værktøjer med versioner og relevante indstillinger,
- dokumentation for kæden af ansvar fra modtagelse til aflevering.
Ved handlinger, der ikke kan gentages, fx sikring af hukommelse eller arbejde på et tændt system, skal fremgangsmåden beskrives detaljeret: hvilke kommandoer eller værktøjer der blev kørt, i hvilken rækkefølge, og hvilke spor handlingerne selv efterlod på systemet.
Begrænsninger
Afsnittet om begrænsninger styrker rapporten, når det er konkret og ikke en standardtekst:
- Hvilke kilder var ikke tilgængelige, og hvorfor?
- Hvilke data var krypteret, slettet eller overskrevet?
- Hvilken periode dækker logs og andre kilder, og hvor er der huller?
- Hvilke spørgsmål ligger uden for opdraget?
- Hvilke værktøjer understøttede ikke et bestemt format eller en app-version?
Tidslinjer og bilag
En tidslinje i tabelform gør komplekse forløb læsbare. Hver række bør angive tidspunkt med tidszone, kilde, hændelse og henvisning til fundet i rapporten eller bilaget. Hold hovedteksten til de hændelser, der bærer svarene, og læg den fulde tidslinje i bilag. Metoden bag er beskrevet i tidslinjeanalyse.
Store udtræk, fx regneark med tusindvis af poster, leveres som bilag i et format, modtageren kan åbne, sammen med hashværdien af bilaget. Skærmbilleder fra værktøjer kan illustrere et fund, men erstatter ikke en beskrivelse af, hvor dataene ligger.
Kvalitetssikring før aflevering
- Læs rapporten igennem med ét spørgsmål: Kan hver påstand føres tilbage til et konkret fund?
- Kontrollér, at alle hashværdier, tidspunkter og stier stemmer med bilagene.
- Lad gerne en anden fagperson læse udkastet, hvis fortroligheden tillader det.
- Versionér rapporten, og angiv dato og version på forsiden, så rettelser kan spores.
Rapporten set fra modtagerens side
Modtageren er ofte en advokat eller en dommer uden teknisk baggrund. Sammenfatningen skal kunne stå alene og svare på spørgsmålene, uden at læseren skal forstå detaljerne. Detaljerne skal til gengæld være der, så en modpart eller skønsmand kan efterprøve dem. Hvordan de samme detaljer forklares mundtligt, står i Teknisk forklaring i retten. Hvordan en jurist typisk læser en teknisk rapport, er beskrevet i sådan læser du en IT-sagkyndig rapport.
Kilder og versioner
- ISO/IEC 27042: analyse og fortolkning af digitale beviser
- NIST SP 800-86: integration af forensiske teknikker i hændelseshåndtering
Senest gennemgået: oktober 2026.
Næste skridt
- Arbejdsnoter under undersøgelsen: hvad, hvornår og hvordan
- Gennemgang af modpartens forensiske rapport: teknisk tjekliste
- IR-rapporten som bevis: hvad mangler, når den skal bruges i en tvist?
Del af: Kvalitet og standarder
Læs også: Engelsksprogede tekniske rapporter i internationale tvister · Arbejdsnoter under undersøgelsen: hvad, hvornår og hvordan
→ Uvildig IT-sagkyndig med forensic-baggrund · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
