Signal og Telegram teknisk: lokale data og forsvindende beskeder

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

For en forensisk undersøgelse er forskellen mellem de to apps arkitektonisk: hvor ligger databasen, hvordan er nøglen beskyttet, og hvilken kopi er den mest komplette. Hos Signal er svaret de enkelte enheder, hver med sin egen SQLCipher-database, og en server uden beskedindhold. Hos Telegram er det serveren for almindelige chats, mens enhederne kun har en krypteret cache, og hemmelige chats er bundet til to bestemte enheder. Artiklen gennemgår artefakterne, nøglerne, eksportformaterne og fejlkilderne. Arbejdet forudsætter ejerens adgang eller samtykke. Den praktiske vejledning til ikke-teknikere, fx hvad man gør med det samme, står på hub-sitet: → Bevissikring af Signal og Telegram

Signal

Lokal lagring

Signal gemmer beskeder, kontakter og indstillinger i en SQLite-database, der er krypteret med SQLCipher. Nøglen er beskyttet af styresystemets nøglelager på telefonen, så databasen kun kan læses på den oplåste telefon eller via et udtræk, der har adgang til nøglen. Vedhæftninger ligger som krypterede filer.

Signal fravælger telefonens almindelige backup. Et logisk udtræk eller en iOS-backup indeholder derfor normalt ikke Signal-beskeder. Det kræver et fuldt filsystemudtræk med understøttelse af den konkrete version, og det må kun ske med ejerens kode eller samtykke. → Udtræk fra mobiltelefoner

Backup

Signal på Android har længe haft en lokal, krypteret backupfunktion, tidligere med en adgangssætning på 30 cifre og i nyere versioner med en gendannelsesnøgle. Signal har desuden indført Secure Backups som tilvalg: et end-to-end-krypteret arkiv hos Signal, beskyttet af en gendannelsesnøgle på 64 tegn, som aldrig deles med tjenesten. Ifølge Signal kan arkivet gendannes på tværs af Android, iOS og desktop. Uden adgangssætningen eller gendannelsesnøglen kan ingen af dem læses, heller ikke af Signal. Hvilke backuptyper der findes på en bestemt enhed, afhænger af platform og appversion, og det bør noteres ved sikringen.

Tilknyttede enheder

Signal Desktop gemmer sin database i brugerprofilens programdatamappe (på Windows under %APPDATA%\Signal) med en separat konfigurationsfil, der rummer databasenøglen. I nyere versioner er nøglen selv krypteret med styresystemets nøglelager (DPAPI på Windows, nøgleringen på macOS), så en kopi af mappen alene ikke kan åbnes på en anden maskine. Det har to konsekvenser for metoden: sikringen af computeren bør ske, mens brugerkontoen kan tilgås med ejerens medvirken, og rapporten skal angive, om databasen blev læst i den oprindelige kontekst eller fra en kopi med udtrukket nøgle.

Indholdsmæssigt starter en tilknyttet enhed ved tilknytningstidspunktet. Sammenlign derfor den ældste besked i desktopdatabasen med tidspunktet for tilknytning, som kan ses i telefonens liste over tilknyttede enheder. Er der beskeder fra før tilknytningen, stammer de fra en overførsel eller en gendannet backup, og det skal forklares.

Cloudchats

For almindelige chats, grupper og kanaler er serveren den autoritative kopi, og enhver indlogget klient henter fra den. Teknisk giver det tre veje med forskellig værdi:

Eksport fra Telegram Desktop i JSON. Den maskinlæsbare fil indeholder pr. besked et numerisk id, tidsstempel (både som tekst og Unix-tid), afsenderens navn og bruger-id samt et felt for redigering. Id’erne stiger over tid, men tildeles ikke ens i alle chattyper, så et hul i rækken kan kun læses som en mulig sletning, når tildelingen for den pågældende chattype er afklaret. HTML-varianten er lettere at læse, men egner sig dårligere til analyse.
Den lokale cache i klientens datamappe (tdata for desktopklienten) er krypteret og rummer kun det, klienten har hentet. Den bruges mest til at vise, at klienten har været i brug, og hvornår.
Skærmbilleder mangler id og bruger-id og er kun en nødløsning.

Hash eksporten straks, og notér, hvilken konto og hvilken klientversion den er lavet fra.

Hemmelige chats

Hemmelige chats har deres egen nøgleudveksling mellem præcis to enheder og hentes aldrig fra serveren. Desktopeksporten springer dem over, og en anden indlogget enhed har dem ikke. Den eneste kilde er et filsystemudtræk af en af de to deltagende enheder, og fravær i et udtræk fra en tredje enhed siger derfor intet om, hvorvidt de har eksisteret.

Sletning

Telegram tillader sletning af beskeder for begge parter, også længe efter afsendelse. En slettet besked forsvinder fra serveren og fra alle enheder ved næste synkronisering. Lokale rester kan i begrænset omfang findes i en cache eller database på en enhed, der har været offline. → Fravær af spor: hvad betyder det?

Offentlige kanaler og grupper

Indhold i offentlige Telegram-kanaler og -grupper kan ofte ses uden at være medlem, fx via en webvisning. Det kan sikres som webindhold med tidsstempel og hash, uden adgang til nogens konto. Opslag i kanaler kan redigeres og slettes af administratorerne, så sikringen bør ske tidligt og gentages, hvis indholdet ændrer sig. → Webarkivering i forensisk kvalitet: WARC, hash og tidsstempel

Hvad der kan ses uden adgang til indholdet

Selv når beskederne ikke kan læses, kan en forensisk kopi af telefonen eller computeren rumme oplysninger om brugen af apps:

at appen er installeret, og hvornår den blev installeret eller opdateret,
hvornår appen var i forgrunden, ud fra systemets aktivitetsdata,
notifikationer, der kan indeholde afsendernavn og i nogle tilfælde et uddrag af teksten, afhængigt af brugerens indstillinger,
netværksforbrug pr. app.

Sådanne spor kan understøtte en tidslinje, men de viser ikke indholdet af kommunikationen. Det skal fremgå tydeligt af rapporten.

Forsvindende beskeder

Begge apps kan sætte en timer, der sletter beskeder automatisk efter et tidsrum. Er du privatperson med en samtale, der er ved at forsvinde, er der en ikke-teknisk vejledning i at gemme samtalen i tide.

Signal: Timeren sættes pr. samtale eller som standard for nye samtaler. Når den udløber, fjernes beskeden fra databasen på alle enheder.
Telegram: Automatisk sletning kan sættes pr. chat, og hemmelige chats kan have selvdestruerende beskeder.

Teknisk betyder det, at beskeden fjernes fra databasen. Rester kan i princippet overleve kortvarigt i databasens frie sider, men med krypteret database og hyppig oprydning er chancen lille. Indstillingen selv og tidspunktet for ændring af den vises ofte som en systembesked i samtalen og kan dokumenteres. Det kan være relevant i sig selv. Hvad det betyder juridisk, at en part har aktiveret timeren, er behandlet hos advokatsitet: → Forsvindende beskeder og bevisforspildelse

Grundlag og afgrænsning

Krypterede beskedapps bruges ofte til private samtaler, også på arbejdstelefoner. Før en sikring skal det være afklaret, hvilket grundlag der er for at tilgå indholdet, fx ejerens samtykke eller en aftale mellem parterne, og hvilke samtaler og perioder der er relevante. Et fuldt udtræk omfatter alle samtaler, så afgrænsningen sker i analysen, hvor kun de aftalte samtaler gennemgås. Kan indholdet ikke tilgås lovligt, dokumenteres det, hvad der findes, og hvorfor det ikke er gennemgået. Der gives ingen vejledning i at omgå appens kryptering eller låsning.

Sikring

Isolér telefonen fra netværket, så forsvindende beskeder og fjernsletning ikke slår igennem fra andre enheder, og så Telegram ikke synkroniserer sletninger. Bemærk, at lokale timere kan løbe videre på selve telefonen.
Notér timerindstillinger for relevante samtaler, før der gøres andet.
Lav det mest omfattende lovlige udtræk af telefonen.
Sikr desktopklienter, der er knyttet til kontoen, som en del af computerens kopi.
For Telegram: Lav desuden en eksport af cloudchats i JSON med kontoejerens medvirken, og hash eksporten.
Supplér med skærmoptagelse af samtalen på telefonen, hvis udtræk ikke er muligt, og dokumentér forløbet. → Selvindsamling: når brugeren selv eksporterer data

Fejlkilder i fortolkningen

Manglende beskeder kan skyldes timer, sletning hos den anden part, tilknytning efter beskedens tidspunkt eller manglende udtræksunderstøttelse. Ikke nødvendigvis aktiv sletning.
Brugernavne i Telegram kan ændres og genbruges. Bruger-id er den stabile identifikator.
Telefonnummer i Signal kan være skjult bag et brugernavn. Identifikation af modparten kræver andre kilder.
Tidsstempler i eksport og database kan være i forskellige tidszoner. Kontrollér mod kendte hændelser.
Værktøjsunderstøttelse halter ofte efter nye app-versioner, særligt for Signal.

Hvad kilderne kan og ikke kan bevise

En korrekt sikret database eller eksport kan vise, at en besked med et bestemt indhold blev udvekslet mellem to konti på et bestemt tidspunkt. Indhold, som en timer eller en sletning fjernede før sikringen, er normalt ude af rækkevidde, og spørgsmålet om, hvilken person der betjente enheden, kræver supplerende spor som oplåsninger og placering.

Dokumentation

Angiv app-versioner, udtrækstype, værktøj og version, timerindstillinger, hvilke enheder og eksporter der indgår med hash, og forbehold for beskeder, der er fjernet før sikringen.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: sms.db og iMessage: struktur og fortolkning · iPhone-artefakter: Biome, skærmtid og placeringsdata

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik

Brug for en forensisk undersøgelse?

Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.

Eller kontakt os på