Slettede beskeder på telefonen: hvad kan realistisk gendannes?

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

Slettede beskeder kan nogle gange gendannes fra en moderne telefon, men sjældnere end mange forventer. Beskeder ligger i app-databaser, typisk SQLite, og en slettet besked kan overleve et stykke tid i databasens frie sider eller skrivejournal. Når databasen ryddes op, eller telefonen har været i brug længe nok, er den væk. Fra telefonens frie lagerplads kan der på grund af kryptering og flashhukommelsens oprydning stort set intet hentes. Den realistiske vej er ofte at finde beskeden et andet sted: i en backup, på en anden enhed, i skyen eller hos modtageren. Den generelle forklaring for ikke-teknikere findes på hub-sitet: → Kan slettede filer gendannes?

Hvor beskeder ligger

Både sms, iMessage og chatapps gemmer beskeder i databaser inde i appens eget område på telefonen. En besked er en række i en tabel med tekst, afsender, modtager, tidsstempler og status. Vedhæftninger ligger typisk som separate filer, som rækken henviser til.

Når brugeren sletter en besked, sletter appen rækken i databasen. Hvad der derefter sker med de bytes, rækken fyldte, afhænger af databasen og appens indstillinger.

Hvad der kan overleve i SQLite

SQLite frigiver ikke plads med det samme. En slettet række kan efterlade spor tre steder:

Frie sider og fri plads på siderne: Indholdet bliver liggende, indtil siden genbruges. Hvis databasen er sat til at overskrive slettet indhold (secure delete), forsvinder det straks.
Skrivejournalen (WAL): Ændringer skrives først til en separat fil og flyttes senere ind i databasen. Den kan indeholde tidligere versioner af sider med beskeder, der siden er slettet.
Rollback-journal: I andre tilstande gemmes de oprindelige sider midlertidigt, før ændringen gennemføres.

Når databasen komprimeres (vacuum), skrives den helt om, og frie sider forsvinder. Mange apps gør det jævnligt. Detaljerne er beskrevet her: → SQLite i forensic: WAL-filer, frie sider og slettede rækker

Gendannede rækker er ofte fragmenter: tekst uden tidsstempel, eller tidsstempel uden afsender. De skal præsenteres som rekonstruerede rester og ikke som en hel besked, medmindre alle felter kan genskabes og kontrolleres.

Hvorfor fri lagerplads ikke hjælper

På en computer med magnetisk disk kan slettede filer ofte findes i ikke-allokeret plads (unallocated). På en moderne telefon er det næsten aldrig muligt:

Filbaseret kryptering: Hver fil er krypteret med sin egen nøgle. Når filen slettes, slettes nøglen, og indholdet er ulæseligt.
Flashhukommelse og TRIM: Lageret rydder frigjorte blokke, og controlleren flytter data rundt. → SSD, TRIM og gendannelse
Udtrækstypen: De fleste udtræk af moderne telefoner er logiske eller filsystemudtræk, ikke fysiske kopier. Ikke-allokeret plads er slet ikke med.

Hvad udtrækstypen betyder

Logisk udtræk eller backup · Kun hvad der ligger i de databaser, backuppen indeholder
Fuldt filsystemudtræk · Databaser med WAL og journaler for alle apps, inklusive systemets
Indbygget chateksport · Ingen. Kun synlige beskeder
Skærmbilleder · Ingen

Et fuldt filsystemudtræk giver de bedste muligheder, men kræver understøttelse af den konkrete model og iOS- eller Android-version og må kun ske med ejerens kode eller samtykke. → Udtræk fra mobiltelefoner

Forskelle mellem iPhone og Android

På iPhone ligger sms og iMessage i én systemdatabase, og tredjepartsapps har hver deres database i appens container. På Android afhænger placeringen af, hvilken app der er standard for sms. Producentens egen beskedapp og Googles beskedapp kan gemme beskeder i forskellige databaser, og RCS-beskeder kan ligge et andet sted end almindelige sms’er. Samme model kan derfor give forskellige resultater afhængigt af, hvilken beskedapp brugeren har valgt.

Android-telefoner har desuden større variation i producenternes software og i værktøjernes understøttelse. Hvad der kan udtrækkes fra en bestemt model, kan ikke forudsiges ud fra en anden. Hvordan resultatet læses i værktøjets rapport, står i Sådan læses en mobiludtræksrapport. Det bør afklares med det konkrete værktøj og den konkrete version, før der loves noget om resultatet. Klassiske sms og mms ligger i Androids fælles telefoniudbyder, som kun standardappen til sms må skrive i, mens chatfunktioner som RCS typisk gemmes i beskedappens egen database. Hvor præcis den ligger, afhænger af app og version.

Indbyggede gendannelsesfunktioner

Nogle apps har en mappe med nyligt slettede beskeder, hvor de gemmes en periode, før de fjernes endeligt. Beskeder på iPhone har haft en sådan funktion siden iOS 16, og Apple angiver på tidspunktet for gennemgangen (oktober 2026), at slettede beskeder kan gendannes i op til 30 til 40 dage. Beskeder fjernet med fortryd afsendelse kan ikke gendannes, og med Beskeder i iCloud slår en gendannelse igennem på brugerens andre enheder. Funktionen kan være den nemmeste vej, men brugen af den på originaltelefonen ændrer data. Den bør først bruges, når telefonen er sikret, og gendannelsen skal dokumenteres. Tilsvarende funktioner i Android-beskedapps varierer med app og version.

Andre steder, beskeden kan findes

Ofte er det mere realistisk at finde beskeden uden for telefonens database:

Backups: En ældre lokal backup eller cloud-backup kan være lavet, før beskeden blev slettet. → iOS-backup: krypteret, ukrypteret og indhold
Andre enheder på samme konto: iPad, Mac eller en computer med chatappens desktopklient. Bemærk, at synkroniseret sletning kan have fjernet beskeden alle steder.
Modtagerens eller afsenderens telefon: Sletning hos den ene part fjerner som regel ikke beskeden hos den anden, medmindre appen har en funktion til sletning for alle.
Notifikationer og systemdata: Indholdet af notifikationer og systemets aktivitetsdatabaser kan i nogle versioner rumme uddrag af beskeder. Om de findes, og hvor længe, afhænger af styresystemets version og brugerens indstillinger, fx om notifikationshistorik er slået til på Android.
Teleoperatøren: Gemmer ikke indholdet af sms’er eller chatbeskeder, men kan have oplysninger om, at en sms er sendt eller modtaget.

Redigerede og tilbagekaldte beskeder er et særligt tilfælde, hvor appen selv gemmer historik i et vist omfang. Den juridiske side er beskrevet hos advokatsitet: → Redigerede og tilbagekaldte beskeder

Sikring for at bevare chancen

Chancerne for gendannelse falder hver gang telefonen bruges. Derfor:

Brug telefonen mindst muligt efter sletningen. Nye beskeder og app-opdateringer får databasen til at genbruge plads og rydde op.
Sæt den i flytilstand eller isolér den fra netværket, så synkronisering ikke sletter kopier andre steder, og så fjernsletning forhindres.
Sikr hurtigt med det mest omfattende udtræk, der er lovligt og teknisk muligt.
Sikr parallelt backups, andre enheder og cloudkonti, inden de synkroniseres eller roterer.

Fejlkilder i fortolkningen

Fravær er ikke sletning. En besked, der ikke findes, kan aldrig være modtaget, være slettet automatisk efter appens opbevaringsindstilling eller være forsvundet ved en geninstallation. → Fravær af spor: hvad betyder det?
Huller i id-numre i en tabel kan pege på slettede rækker, men kan også skyldes appens interne håndtering.
Fragmenter kan være fra andre samtaler. Rester i frie sider skal knyttes til en samtale gennem flere felter, ikke kun tekst.
Forsvindende beskeder: Er automatisk sletning slået til, fjernes beskeder uden brugerens aktive handling.

Hvad gendannede beskeder kan og ikke kan bevise

En gendannet række med tekst, tidsstempel og afsender kan vise, at beskeden har ligget i databasen. Fragmenter kan vise, at et indhold har eksisteret, men sjældent præcis hvornår og i hvilken sammenhæng. Det kan sjældent vises, hvornår eller af hvem en besked blev slettet. Forventningsafstemning er derfor vigtig: Det bør på forhånd siges klart, at et negativt resultat er et sandsynligt udfald, og at det ikke i sig selv viser, om beskeden har eksisteret.

Dokumentation

Angiv udtrækstype, værktøj og version, hvilke databaser og journaler der er undersøgt, metoden til gendannelse og for hver gendannet besked, hvilke felter der er rekonstrueret, og hvorfra.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: iPhone-forensik

Læs også: iOS-backup: krypteret, ukrypteret og hvad den indeholder · WhatsApp teknisk: lokal database, backup og hvad en chat-eksport mangler

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For advokater · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik