“Slettet for alle” i WhatsApp og Messenger: hvad kan ses bagefter?

Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Teksten er som regel væk fra samtalen hos alle deltagere. Tilbage står en markering, der viser, at en besked er slettet, og hvornår den blev sendt. Indholdet kan nogle gange findes i databasens frie sider, i en ældre backup, i gemte medier eller hos en deltager, hvis enhed ikke modtog sletningen.

Artiklen beskriver mekanismen og de steder, hvor rester kan ligge, og den gælder egne enheder eller enheder, der er stillet til rådighed med samtykke eller efter aftale. Hvordan redigerede og tilbagekaldte beskeder vurderes juridisk, er beskrevet for advokater i redigerede og tilbagekaldte beskeder.

Sådan virker funktionen teknisk

“Slet for alle” i WhatsApp og “Fjern for alle” i Messenger sletter ikke beskeden centralt, fordi indholdet i krypterede samtaler ikke ligger hos tjenesten. Afsenderens app sender i stedet en særlig kontrolbesked gennem tjenesten til alle deltagernes enheder. Når modtagerens app modtager den, fjerner den indholdet fra sin lokale database og viser en markering som “Denne besked blev slettet”.

Det har tre konsekvenser:

• Rækken bliver. I databasen ligger beskeden typisk stadig som en post med samme id, afsender og oprindeligt tidsstempel, men med en anden type eller status og uden tekst.
• Sletningen er afhængig af modtagerens enhed. Er en enhed slukket, offline eller kører en meget gammel version, modtager den først kontrolbeskeden senere eller slet ikke. WhatsApp skriver selv i sin hjælp, at modtagere kan se beskeden, før den slettes, eller hvis sletningen ikke lykkes.
• Der er en frist. Begge tjenester tillader kun sletning for alle inden for en tidsfrist efter afsendelse. Fristen er ændret flere gange, så den aktuelle frist skal slås op i tjenestens hjælp på tidspunktet for undersøgelsen.

“Slet for mig” er noget andet: Den fjerner kun beskeden fra egen enhed og påvirker ikke de andre deltagere.

Hvad markeringen selv viser

Markeringen er et bevis i sig selv. Den viser, at en bestemt deltager sendte en besked på et bestemt tidspunkt i en bestemt samtale, og at beskeden senere blev slettet for alle. I grupper viser den, hvem der slettede, og i WhatsApp kan en gruppeadministrator slette andres beskeder, hvilket fremgår af markeringen. Nogle versioner gemmer også tidspunktet for sletningen. Placeringen i samtalen, fx lige før et svar som “Hvad mente du med det?”, kan give vigtig kontekst, selv om indholdet er væk.

Hvor indholdet kan findes

1. Databasens frie sider og skrivejournal. Både WhatsApp og Messenger bruger SQLite. Når indholdet fjernes fra en række, kan den gamle version ligge i databasens frie sider eller i WAL-filen, indtil pladsen genbruges, eller databasen ryddes op. Chancen falder hurtigt med tiden og med fortsat brug af appen. Teknikken er beskrevet i SQLite: WAL-filer, frie sider og slettede rækker.

2. Backup taget før sletningen. En lokal eller cloudbaseret backup fra før sletningen kan indeholde beskeden med fuld tekst. Backuppen overskrives typisk ved næste kørsel, så den skal sikres hurtigt. WhatsApps backup og kryptering er beskrevet i WhatsApp teknisk.

3. Medier, der allerede er gemt. Billeder, video og dokumenter, som modtageren har hentet eller gemt i galleriet eller i filsystemet, slettes ikke nødvendigvis sammen med beskeden. Mediefilen kan ligge med sine egne tidsstempler.

4. Notifikationer. Har modtageren set beskeden i en notifikation, er teksten blevet vist. Om den efterfølgende kan findes på enheden, afhænger af styresystem, indstillinger for notifikationshistorik og eventuelle tredjepartsapps. Det er en usikker kilde, som skal vurderes konkret.

5. Andre deltagere og enheder. I en gruppe kan en deltager, hvis enhed ikke modtog sletningen, stadig have beskeden. Det samme gælder tilknyttede enheder, fx en computer med WhatsApp Desktop, der var offline. Se tilknyttede enheder i beskedapps.

6. Citater og videresendelser. Har nogen svaret med citat eller videresendt beskeden, før den blev slettet, er der en kopi i en anden besked eller samtale. Hvordan citatet håndteres ved sletning, kan variere mellem versioner.

Messenger særskilt

Messenger har to typer samtaler: krypterede samtaler, hvor indholdet primært ligger på enhederne, og ældre ukrypterede samtaler, hvor Meta har indholdet på serveren. For krypterede samtaler gælder samme billede som for WhatsApp. Metas dataudtræk (“Download dine oplysninger”) viser normalt kun beskeder, der stadig findes, så en fjernet besked kan ikke forventes at dukke op dér. Messenger kan også bruges på computer og i browser, hvor lokale data og cache kan rumme rester. De tekniske kilder er beskrevet i Messenger og Instagram teknisk.

Sikring, så chancen bevares

1. Stop brugen af appen på den enhed, der skal undersøges. Hver ny besked kan overskrive frie sider i databasen.
2. Slå automatisk backup fra midlertidigt, så en ældre backup ikke overskrives, og sikr den eksisterende backup.
3. Lav et fuldt filsystemudtræk, hvor det er muligt. Et logisk udtræk eller en chat-eksport indeholder hverken frie sider eller WAL-filer. Se slettede beskeder på telefonen.
4. Dokumentér markeringen i appen med skærmoptagelse, så placering i samtalen og tidspunkt er tydelige.
5. Notér versioner og tid: appens version, styresystem, enhedens tid og tidszone.

Hvornår skete sletningen?

Tidspunktet for selve sletningen er ofte lige så vigtigt som indholdet, fx når det skal afgøres, om en besked blev fjernet, efter at en tvist var opstået. Markeringen bærer det oprindelige afsendelsestidspunkt. Nogle versioner gemmer også et tidsstempel for tilbagekaldelsen. Findes det ikke, kan sletningen ofte afgrænses indirekte: Beskeden kan ikke være slettet før det seneste svar, der citerer den, og den må være slettet før den første backup, hvor den mangler. Afgrænsningen skal beskrives som et interval, ikke som et præcist tidspunkt.

Fejlkilder

• Rester er ikke nødvendigvis den sidste version. En tekst fundet i frie sider kan være en tidligere udgave, fx før en redigering.
• Kobling til den rigtige besked. Fragmenter skal kobles til den konkrete post via id, tidsstempel eller samtale, ikke kun ud fra indhold.
• Forsvindende beskeder ligner sletning, men er en automatisk funktion med andre spor i samtalens indstillinger.
• Værktøjsfortolkning. Mobilværktøjer viser markeringer og rester forskelligt. Kontrollér fund direkte i databasen, og test på samme appversion.

Hvad sporene kan og ikke kan vise

Markeringen kan vise, at der blev sendt en besked, og at den blev slettet for alle. Gendannet indhold kan vise, hvad der stod, hvis det kan kobles sikkert til posten. Sporene kan ikke vise, om modtageren nåede at læse beskeden, medmindre der også er en læsekvittering eller en notifikation. Fravær af rester betyder ikke, at beskeden var harmløs; det betyder kun, at indholdet ikke kunne genskabes fra de undersøgte kilder.

Kilder og versioner

• WhatsApp Help Center: How to delete messages
• Messenger Hjælp: Slet beskeder eller chats på Messenger
• SQLite: Write-Ahead Logging

Senest gennemgået: oktober 2026.

Næste skridt

• Synkronisering mellem Apple-enheder: når sporet stammer fra en anden enhed
• Sådan læses en mobiludtræksrapport

Del af: iPhone-forensik

Læs også: Leveret og læst: hvor status gemmes i WhatsApp, iMessage og Teams · Droner: flylogs, medier og app-data

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT