Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen
Et skærmbillede er en billedfil med en bestemt opløsning, et bestemt format og nogle få metadata. Når filen kommer direkte fra den enhed, der tog den, passer disse egenskaber med enhedens skærm og styresystem. Når den er redigeret, beskåret, skaleret eller sendt videre, bærer den ofte spor af det. En teknisk vurdering af filen kan derfor vise, om billedet er en uberørt original eller er behandlet, men den kan sjældent alene vise, om indholdet er sandt. Det kræver sammenligning med kilden.
Hvorfor skærmbilleder sjældent er nok som bevis, er forklaret på hubben i Hvorfor skærmbilleder sjældent er nok. Verifikation af en samtale mod telefonens database står i Falske chatbilleder. Her handler det om selve filen. De generelle tegn på redigering i pixeldata og komprimering står i Redigerede billeder: tekniske tegn.
Hvilket eksemplar er det?
Den første opgave er at fastslå, hvad man har fået. Et skærmbillede kan foreligge som:
- den originale fil fra enhedens mediebibliotek eller skrivebord,
- en videresendt fil, der har været gennem en beskedtjeneste eller mail og ofte er genkomprimeret,
- et billede indsat i et dokument eller en PDF, hvor det kan være skaleret og konverteret,
- et foto af en skærm, taget med en anden enhed,
- en udskrift, hvor der ikke er nogen fil at undersøge.
Kun den første kan vurderes fuldt ud. Spørg efter originalfilen og efter, hvordan den er overført, og beregn hashværdien ved modtagelsen.
Opløsning og format
Et uberørt skærmbillede har normalt præcis skærmens opløsning i pixel. En iPhone af en bestemt model giver altid samme bredde og højde, og en Windows-skærm giver skærmens opløsning eller det valgte udsnits størrelse. Afvigelser kan skyldes beskæring, skalering, skærmbillede af et udsnit eller genkomprimering.
Formatet siger også noget, men kun holdt op mod den konkrete enhed. iPhone, Mac og Windows gemmer typisk skærmbilleder som PNG, som er tabsfri, men nyere macOS kan gemme HDR-skærmbilleder som HEIF. Samsung-telefoner gemmer derimod som udgangspunkt i JPEG, og formatet kan ændres i indstillingerne på flere Android-telefoner. Et skærmbillede i JPEG fra en enhed, der gemmer i PNG, har som regel været igennem et program eller en tjeneste, der har konverteret det.
Metadata
Skærmbilleder har få metadata sammenlignet med fotos fra et kamera. Der er typisk ingen kameramodel og ingen GPS. Men der kan være:
- oprettelsestid og program i PNG-tekstfelter eller i XMP,
- en markering af, at billedet er et skærmbillede, som nogle styresystemer skriver,
- farveprofil og pixeltæthed, der passer med en bestemt enhed,
- programnavn fra et redigeringsprogram, hvis billedet er gemt der.
Metadata i billedfiler er gennemgået i EXIF, XMP og IPTC. Beskedtjenester og sociale medier fjerner ofte metadata, se Metadata, der fjernes ved upload og deling. Fravær af metadata i en videresendt fil er derfor normalt.
På enheden selv ligger yderligere oplysninger i mediebiblioteket, fx tidspunkt for oprettelse, eventuel redigering i galleriets egen editor og den oprindelige version. De oplysninger følger ikke med filen, når den sendes.
Komprimering
PNG er tabsfri, så en region, der er redigeret og gemt som PNG, kan være svær at skelne fra resten. Har filen derimod været gemt som JPEG én gang, før den blev redigeret og gemt igen, kan der opstå forskelle i komprimeringsmønstret mellem redigerede og uredigerede områder. Analyseværktøjer kan fremhæve sådanne forskelle, men resultaterne er følsomme over for skarpe kanter og ensfarvede flader, som skærmbilleder har mange af. Generelle tegn på billedredigering er beskrevet i Redigerede billeder.
Komprimeringsanalyse skal derfor bruges som en indikation, der peger på områder, man bør se nærmere på, ikke som en selvstændig konklusion.
Gengivelse af tekst og grafik
Tekst på en skærm gengives af styresystemet med en bestemt skrifttype, kantudjævning og placering på pixelgitteret. Indsat tekst, der er skrevet i et billedprogram, afviger ofte en smule:
- Kantudjævning: antal og farve af overgangspixel omkring bogstaverne.
- Grundlinje og afstand: bogstaver, der ikke flugter med resten, eller ord med anden afstand.
- Skrifttype og vægt: en anden version af systemskriften eller en lignende skrift.
- Baggrund: felter, hvor baggrundsfarven ikke er helt den samme, eller hvor der er rester af tidligere tekst.
- Ikoner og statuslinje: ikoner, der ikke passer til styresystemets version, eller et klokkeslæt i statuslinjen, der er ældre end beskederne.
Undersøgelsen sker bedst med forstørrelse på pixelniveau og ved sammenligning med et referenceskærmbillede taget på samme model, styresystem og app-version med samme indstillinger.
Referencebilleder
Referencebilleder er det, der gør vurderingen efterprøvelig. Et referencebillede er et skærmbillede, som den sagkyndige selv tager på en enhed, der svarer til den påståede kilde, og som viser samme app eller visning. For at være brugbart skal det dokumenteres med:
- enhedens model, styresystemversion og appversion,
- sprog, tidsformat, tekststørrelse, mørk eller lys tilstand og skærmzoom,
- hvordan billedet er taget og overført til analysemaskinen,
- hashværdi for referencebilledet.
Sammenligningen omfatter opløsning, format, metadata, skrifttyper, afstande og ikoner. Små afvigelser kan skyldes forskelle i versioner, så det er en fordel at have referencer fra flere versioner omkring den påståede dato. Er det ikke muligt at fremskaffe en enhed med den gamle version, skal det fremgå af rapporten, og vurderingen skal tage forbehold for det.
Sikring hos den, der har taget billedet
Kan den part, der har fremlagt billedet, udlevere den enhed, billedet er taget på, ændrer vurderingen karakter. Så kan originalfilen hentes fra mediebiblioteket, og samtalen kan søges i appens database. Billedfilen bliver da et spor blandt flere, ikke det eneste.
Foto af en skærm
Et foto af en skærm har kameraets metadata, perspektivforvrængning og ofte moiré-mønstre. Det dokumenterer, at noget blev vist på en skærm, men det er vanskeligere at vurdere, om skærmen viste en ægte samtale. Billedets metadata kan dog vise, hvilken enhed der tog billedet, og hvornår.
Typiske fejlkilder
- Skaleret visning: at se et billede i et program, der skalerer, kan skabe artefakter, der ikke er i filen. Vurdér altid ved 100 procent.
- Mørk tilstand og tilgængelighed: større tekst, fed tekst og mørk tilstand ændrer layoutet legitimt.
- Opdateringer: apps ændrer layout hyppigt, og to telefoner med samme app kan vise forskelligt, hvis de har forskellige versioner.
- Genkomprimering: spor efter videresendelse forveksles med spor efter redigering.
- Rullende skærmbilleder: nogle telefoner kan sætte et langt skærmbillede sammen af flere udsnit. Samlingerne kan ligne redigering, men er lavet af styresystemet.
- Beskæring i galleriet: galleriets egen beskæring ændrer opløsning og metadata, uden at indholdet er ændret.
Hvad vurderingen kan og ikke kan bevise
En teknisk vurdering kan vise, at filen er en uberørt original fra en bestemt type enhed, eller at den bærer tegn på behandling, og hvor i billedet behandlingen sandsynligvis er sket. Den kan ikke alene bevise, at det viste indhold er sandt eller falsk. En uberørt fil kan vise en samtale med et ændret kontaktnavn, og en behandlet fil kan være beskåret helt uskyldigt.
I rapporten
Angiv hashværdi, modtagelsesvej og filens egenskaber: format, opløsning og metadata. Beskriv referencebilleder med model, version og indstillinger. Gengiv fund med udsnit og koordinater i billedet, og skriv den samlede vurdering med en tydelig konklusionsgrad. Når kilden er tilgængelig, bør verifikationen mod den altid gå forud.
Kilder og versioner
- Apple Support: Tag et skærmbillede på Mac
- Microsoft Support: Klippeværktøj i Windows
- SWGDE: Publicerede dokumenter om billedanalyse
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Analyse og fortolkning
Læs også: Falske chatbilleder: verifikation mod kildeenheden og appens database · Webarkivering i forensisk kvalitet: WARC, hash og tidsstempel
→ Teknisk undersøgelse af dokumenter og metadata · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
