Selvindsamling: når brugeren selv eksporterer data

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Selvindsamling betyder, at den person, hvis data det drejer sig om, selv udvælger og eksporterer materialet: en medarbejder, der gemmer sine mails i en mappe, en leder, der eksporterer en chat, eller en part, der henter sine data fra en platform. Det er hurtigt og billigt, men det giver tre tekniske problemer: Udvælgelsen er usynlig, metadata går ofte tabt i eksporten, og der er ingen hashværdi fra tidspunktet, hvor data blev hentet. Selvindsamling kan stadig bruges, hvis processen styres og dokumenteres, så de tre problemer bliver synlige og så vidt muligt afbødet.

Hvorfor selvindsamling sker

Selvindsamling er ofte den eneste realistiske vej, når data ligger på en privat konto, som virksomheden ikke har adgang til, når en tjeneste kun tilbyder brugerens egen eksport, eller når mængden er lille, og en ekstern sikring vil være uforholdsmæssig. Den bruges også, når en medarbejder skal bidrage med egne beskeder i en sag mod en tredjepart. Problemet er ikke, at brugeren er part eller uærlig. Problemet er, at almindelige eksportfunktioner er bygget til brugerens bekvemmelighed, ikke til bevissikring. Ved en fratræden, hvor medarbejderens egne handlinger er spørgsmålet, er selvindsamling sjældent et realistisk valg; se Teknisk undersøgelse ved fratræden.

Hvad der typisk går galt teknisk

Skjult udvælgelse · Brugeren eksporterer de mails, brugeren selv finder relevante
Tab af metadata · Videresendte mails mister den oprindelige header; skærmbilleder har ingen kildedata
Ændrede tidsstempler · Filer kopieret til USB-nøgle eller cloud får nye oprettelsestider
Konvertering · Mails gemt som PDF; billeder komprimeret ved deling
Manglende kontekst · En chateksport uden vedhæftninger eller uden de andre deltageres beskeder
Ingen integritet · Ingen hashværdi fra eksporttidspunktet

Videresendelse er den hyppigste fejl. Når en mail videresendes, bliver den til en ny mail med en ny header. Den oprindelige afsenders server-spor, Message-ID og DKIM-signatur følger ikke med som verificerbare data, men kun som tekst i brødteksten. → Mail-headere: SPF, DKIM og DMARC

Chateksporter fra beskedapps er typisk tekstfiler med tidsstempler i telefonens lokale tid og et begrænset udvalg af metadata. Slettede og redigerede beskeder vises ikke eller vises kun som en markering, og vedhæftninger kan være udeladt. Eksporten kan ikke bekræftes mod appens database uden adgang til enheden.

Platformseksporter (“download dine data”) er bedre, fordi de dannes af tjenesten selv, men indholdet varierer mellem tjenester og over tid, og brugeren vælger ofte selv, hvilke kategorier der tages med. → Cloud-forensic: sikring via API og administratoreksport

Sådan afbødes risikoen

Selvindsamling kan gøres væsentligt bedre med en enkel, styret fremgangsmåde. Hovedgrebet er at gøre udvælgelsen synlig og at flytte så meget som muligt fra brugerens skøn over i dokumenterede trin.

Skriftlig instruks. Brugeren får en kort instruks: hvad der skal eksporteres (konti, perioder, samtaler), med hvilken funktion, og hvad der ikke må gøres (videresende, konvertere, omdøbe, slette efterfølgende).
Eksport af hele enheder, ikke udvalgte elementer. Hellere hele postkassen eller hele samtalen for perioden end udvalgte mails. Filtrering sker bagefter hos den, der analyserer.
Originalformat. Mails som EML eller MSG eller som eksportfil fra klienten, ikke som PDF eller udskrift. Billeder og video som originalfiler, ikke via beskedapps, der komprimerer.
Hashværdi med det samme. Når eksporten er færdig, beregnes en hashværdi af eksportfilen, og værdien sendes til en anden part, fx advokaten, på et andet medie. Så er tidspunktet fastlåst.
Skærmoptagelse af processen. En optagelse af selve eksporten viser, hvilke valg der blev truffet, og at eksporten kom fra den angivne konto.
Erklæring. Brugeren skriver kort, hvad der er eksporteret, hvordan, hvornår, og om noget er udeladt eller slettet før eller efter.

Hvordan hashværdier beregnes og bruges, er beskrevet i Hashalgoritmer i forensic.

Typiske kilder og deres særlige faldgruber

Mail i en mailklient: Træk-og-slip af mails til en mappe giver ofte MSG- eller EML-filer, men filernes tidsstempler i filsystemet er eksporttidspunktet, ikke mailens. Mailens egne datoer ligger i headeren.
Webmail: Mange webmailtjenester kan kun gemme enkeltmails eller vise den rå kilde. En eksport af hele postkassen kræver ofte en særskilt funktion i kontoindstillingerne.
Billeder fra telefonen: Deling via beskedapps eller sociale medier fjerner eller ændrer typisk EXIF-data. Overfør i stedet originalfilerne via kabel eller en eksportfunktion, der bevarer dem.
Dokumenter i cloud: Download af et delt dokument giver den aktuelle version, ikke versionshistorikken. Historikken skal sikres særskilt fra tjenesten.
Skærmbilleder: Viser kun det, der stod på skærmen, og bærer ingen kildedata om beskeden selv. De kan supplere, men ikke erstatte en eksport.

Assisteret selvindsamling

Et mellemtrin er, at en sagkyndig styrer processen, mens brugeren udfører de handlinger, der kræver brugerens egen adgang. Det kan ske ved fremmøde eller via skærmdeling: Brugeren logger ind og godkender totrinsbekræftelse, den sagkyndige beder om de konkrete trin, noterer valgene og modtager eksporten direkte. Fordelen er, at brugeren ikke deler sin adgangskode, og at udvælgelsen dokumenteres af en uafhængig person. Den sagkyndige skal ikke selv bruge brugerens adgang, og alt skal ske med brugerens samtykke til netop den handling.

Når modparten har selvindsamlet

Er det modparten, der har fremlagt selvindsamlet materiale, er der en række tekniske spørgsmål, der bør stilles:

Hvilken funktion blev brugt, og hvilke valg blev truffet i den?
Er materialet fremlagt i originalformat eller konverteret?
Findes der en hashværdi fra eksporttidspunktet?
Svarer tidszonerne i materialet til den angivne enhed?
Er der huller i nummereringen, i samtaleforløbet eller i perioden?
Kan materialet sammenholdes med en anden kilde, fx modtagerens kopi eller serverens log?

Svarene afgør ikke i sig selv, om materialet er ægte, men de viser, hvor meget en konklusion kan bære. Den juridiske vurdering af klientens egne sikringer og af IT-afdelingens rolle findes på Kan klientens egen IT-afdeling sikre beviserne?.

Fejlkilder i fortolkningen

Tidszoner i eksporten: Mange eksporter skriver lokal tid uden tidszoneangivelse. Den tid, der vises, er enhedens indstilling på eksporttidspunktet, ikke nødvendigvis på beskedens tidspunkt.
Sprog og formater: Datoformater afhænger af enhedens sprogindstilling, og dag og måned kan forveksles.
Navne og visningsnavne: Eksporter viser ofte kontaktnavne fra brugerens adressebog, ikke telefonnumre eller kontoidentiteter.
Fravær: At noget ikke er i en selvindsamlet eksport, viser ikke, at det ikke fandtes.

Hvad selvindsamling kan og ikke kan bevise

Godt dokumenteret selvindsamling kan vise, at bestemte data fandtes på en konto eller enhed på eksporttidspunktet, og at de ikke er ændret siden. Den kan sjældent alene vise, at data er fuldstændige, eller at de ikke er ændret før eksporten. Når ægthed eller fuldstændighed bliver bestridt, er næste skridt en uafhængig sikring af kilden, hvis den stadig findes. Den grundlæggende vejledning til at eksportere en chat findes på Sådan eksporterer du en WhatsApp-samtale.

Dokumentation

Gem instruksen, brugerens erklæring, skærmoptagelsen, eksportfilerne i den form, de blev modtaget, og hashværdierne med tidspunkt for beregning og modtagelse. Beskriv i rapporten tydeligt, at der er tale om selvindsamling, og hvilke begrænsninger det giver.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Sluk, isolér eller lad den køre? Beslutningen ved en tændt enhed · Kopiering af netværksdrev og filshares uden at ændre tidsstempler

→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik