Sikker sletning af beviskopier, og hvordan sletningen dokumenteres

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Når en sag er afsluttet, og opbevaringsperioden er udløbet, skal beviskopierne slettes, så de ikke kan gendannes. Almindelig sletning er ikke nok, fordi data bliver liggende på mediet, indtil de overskrives. Den rigtige metode afhænger af medietypen: Mekaniske diske kan overskrives, SSD’er og flash kræver mediets egne slettefunktioner, kryptografisk sletning eller fysisk destruktion, og i cloud er sletning af nøglen ofte den eneste kontrollerbare metode. Sletningen skal dokumenteres med et slettecertifikat, der angiver, hvad der er slettet, hvordan, af hvem og med hvilket resultat.

Hvordan en modpart skal slette data efter et forlig, og hvordan det kontrolleres, er beskrevet på Sletning og tilbagelevering af data efter forlig eller dom og Forlig med medarbejderen: få dokumenteret, at data er slettet. Her handler det om at slette egne beviskopier: masterkopier, backups, arbejdskopier og afledte data.

Hvornår må der slettes?

Sletning er irreversibel, og en beviskopi, der er slettet for tidligt, kan ikke genskabes. Før sletningen bør der foreligge en skriftlig beslutning fra opdragsgiveren, gerne efter rådgivning fra advokaten, der angiver, hvilke kopier der skal slettes, og at der ikke er grund til at bevare dem længere, fx på grund af anke, nye krav eller andre sager. Beslutningen registreres i bevisloggen og vedlægges slettecertifikatet.

Delvis sletning

Sletning behøver ikke være alt eller intet. En almindelig model er at slette rådata, dvs. masterkopier, arbejdskopier og eksporter, men beholde rapporten, bilagene og bevisloggen, eventuelt med pseudonymiserede persondata. En anden model er at beholde masterkopien under skærpet adgang, men slette alle arbejdskopier og afledte data, hvis der stadig kan komme krav. Uanset modellen skal certifikatet præcist angive, hvad der er slettet, og hvad der er bevaret.

Først: find alle kopier

Den sværeste del af sletningen er ofte at vide, hvor kopierne er. Brug bevisloggen som udgangspunkt. Stamtræet af objekter viser masterkopier, backups, arbejdskopier og afledte data. Gå derudover efter:

analyseværktøjers sagsdatabaser, indekser og midlertidige mapper,
eksporter sendt til advokater, skønsmænd eller modparten,
kopier i overførselstjenester,
backups af analysemaskiner og lagringsservere,
kopier på transportmedier,
papirudskrifter og noter med persondata.

Kopier, der er udleveret til andre, kan du ikke selv slette. Notér, hvem der har dem, og om de er bedt om at slette dem. → Chain of custody-loggen

Metoder efter medietype

Mekanisk disk (HDD) · Egnede metoder: Overskrivning af hele disken; degaussing; destruktion · Kommentar: Én fuld overskrivning anses normalt for tilstrækkelig på moderne diske
SSD og NVMe · Egnede metoder: Producentens sikre slettefunktion; kryptografisk sletning; destruktion · Kommentar: Overskrivning rammer ikke nødvendigvis alle flashceller
USB-nøgler og hukommelseskort · Egnede metoder: Destruktion; eventuelt overskrivning med kontrol · Kommentar: Mange mangler pålidelige slettefunktioner
Krypteret volumen · Egnede metoder: Kryptografisk sletning (destruktion af nøglen) · Kommentar: Forudsætter, at nøglen ikke findes andre steder
Cloudlagring · Egnede metoder: Sletning af objekter, versioner og nøgler · Kommentar: Udbyderens egne kopier kan ikke kontrolleres direkte

Vejledningen NIST SP 800-88 om sletning af medier, i revision 2 fra september 2025, inddeler metoderne i tre niveauer: rensning (clear), der beskytter mod enkle gendannelsesmetoder via mediets normale grænseflade; udrensning (purge), der gør gendannelse urealistisk selv med avancerede laboratorieteknikker; og destruktion (destroy). Vejledningen anbefaler udrensning frem for rensning, hvor det er muligt, og henviser til standarden IEEE 2883 for de konkrete teknikker pr. medietype. Beviskopier med persondata bør derfor som udgangspunkt slettes mindst på niveauet udrensning.

Mekaniske diske

Overskrivning af hele disken, inklusive områder, der ikke er synlige for styresystemet, sletter data effektivt. Kontrollér, om disken har skjulte områder (HPA eller DCO), og om der er omallokerede sektorer, som overskrivningen ikke rammer. En disk, der ikke kan overskrives fuldt, fx på grund af defekter, destrueres. Degaussing ødelægger både data og disk og kan ikke kontrolleres ved efterfølgende læsning.

SSD’er og flash

SSD’er flytter data internt mellem flashceller og har reserveplads, som styresystemet ikke kan se. Overskrivning fra styresystemet rammer derfor ikke nødvendigvis alle kopier af data. Brug i stedet:

Mediets egen slettekommando, fx sikker sletning eller sanitize-kommandoen i ATA- og NVMe-standarderne, som sletter alle celler via controlleren.
Kryptografisk sletning, hvor mediet selv krypterer data, og slettekommandoen udskifter den interne nøgle.
Fysisk destruktion, når det ikke kan kontrolleres, at slettekommandoen virker, eller når mediet er defekt.

Kvaliteten af producenternes implementering varierer. Hvor der er tvivl, er destruktion det sikre valg. → SSD, TRIM og gendannelse

Kryptografisk sletning

Er beviskopierne krypteret med en nøgle pr. sag, kan sletningen ske ved at destruere nøglen og alle kopier af den. Data bliver så ulæselige, selv om de krypterede bytes stadig ligger på mediet. Metoden er effektiv og særligt nyttig i cloud og på store lagringssystemer, men den forudsætter, at nøglehåndteringen har været i orden hele vejen: Findes der en glemt kopi af nøglen et sted, er data ikke slettet. → Opbevaring af beviskopier

Cloud

I cloud kan du slette dine objekter, men ikke kontrollere de fysiske medier. Sletningen bør derfor omfatte:

selve objekterne,
versioner og soft-delete-kopier, som tjenesten beholder i en periode,
replikaer i andre regioner,
logs og indekser, der indeholder indhold,
de kundestyrede nøgler, data er krypteret med.

Notér tjenestens oplyste frist for endelig sletning af data, der er markeret som slettet. Fristerne varierer mellem tjenester og typer af data og ændres løbende, så de skal aflæses i udbyderens aktuelle dokumentation for den konkrete tjeneste.

Analysemaskinen

Analysemaskiner rummer ofte flere spor af en sag end forventet: midlertidige filer fra udpakning, miniaturebilleder, indekser, cache fra analyseværktøjer og swapfiler. Hvis maskinen bruges til flere sager, skal disse områder med i sletningen. En analysemaskine med en krypteret arbejdsdisk pr. sag gør det væsentligt lettere. → Forensic-arbejdsstationen

Kontrol af sletningen

Kontrollér sletningen, hvor det er muligt:

Ved overskrivning kan disken læses bagefter med stikprøver for at bekræfte, at den kun indeholder sletningsmønstret.
Ved slettekommandoer kan mediet læses bagefter for at se, om det fremstår tomt.
Ved destruktion fotograferes resultatet, og eventuelt destruktionsfirmaets kvittering gemmes med serienumre.
Ved kryptografisk sletning dokumenteres, at nøglen og alle registrerede kopier af den er destrueret.

Slettecertifikatet

Et slettecertifikat bør indeholde:

sagsreference og objekt-id’er fra bevisloggen,
medier med type, fabrikat og serienummer, eller cloudressourcer med identifikation,
metode og værktøj med version,
tidspunkt for sletningen,
hvem der udførte og eventuelt overværede sletningen,
kontrolmetode og resultat,
kopier, der ikke er slettet, og hvorfor, fx kopier hos andre parter eller kopier, der efter aftale bevares,
underskrift.

Certifikatet gemmes, også efter at alt andet er slettet. Det er dokumentationen for, at opbevaringsperioden er overholdt.

Typiske fejl

At slette master og arbejdskopier, men glemme backuppen af analysemaskinen.
At overskrive en SSD fra styresystemet og tro, at den er slettet.
At bruge kryptografisk sletning, mens en kopi af nøglen ligger i en adgangskodeadministrator.
At sende diske til destruktion uden serienumre på kvitteringen.
At slette før en eventuel ankefrist eller aftalt opbevaringsperiode er udløbet.
At slette transportmedier, der kom retur fra en modtager, uden at registrere det som en selvstændig sletning med eget serienummer i certifikatet.

Hvad slettecertifikatet kan og ikke kan bevise

Certifikatet dokumenterer, hvilke kopier der er slettet med hvilken metode. Det kan ikke bevise, at der ikke findes andre kopier. Det er derfor, opgørelsen af kopier før sletningen er så vigtig, og hvorfor kopier hos andre skal nævnes udtrykkeligt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Opbevaring af beviskopier: lagring, kryptering og adgangskontrol · Langtidsopbevaring: kan beviskopien læses om ti år?

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik