Forside › Sporsikring ved digital stalking · Gennemgået oktober 2026 · Af John Nielsen
Når en person bliver overvåget af en nuværende eller tidligere partner, er forklaringen sjældent avanceret spyware. Langt oftere er det en delt cloudkonto, en gammel enhed, der stadig er logget ind, delt lokation, en videresendelsesregel eller et fjernadgangsprogram, der blev installeret “for at hjælpe”. Den tekniske undersøgelse skal derfor dække både enheden og de konti, den er knyttet til, og den skal sikre sporene, før adgangene lukkes.
Artiklen beskriver, hvad der skal ledes efter, og hvordan det dokumenteres for den ramte. Den grundlæggende vejledning til den, der er udsat, findes på digitalbevissikring.dk. Er du privatperson, er der også en ikke-teknisk vejledning i at opdage stalkerware uden at advare den, der overvåger.
Digital stalking er den eneste sagstype med en mulig politimæssig side, som Nielco IT tager. Sikringen af sporene sker for den ramte, også hvis sagen senere anmeldes. Se hjælp til stalking-ramte hos Nielco IT.
De almindeligste veje ind
- Delt Apple-ID eller Google-konto · Ukendt enhed på kontoens enhedsliste, synkroniserede beskeder og fotos
- Kendt eller gemt adgangskode · Logins fra ukendte enheder i kontoens sikkerhedshistorik
- Delt lokation og familiedeling · Deling, som den ramte ikke selv har slået til, eller har glemt
- Fjernadgangsprogrammer · Installeret program, tjeneste der starter automatisk, forbindelseslog
- Videresendelsesregler i mail · Regel i postkassen, ofte på serveren og ikke på enheden
- Stalkerware-apps · App med tilgængeligheds-, administrator- eller notifikationsrettigheder
- Konfigurationsprofiler · Profil til enhedsadministration eller VPN på en privat telefon
- Fysiske trackere · Bluetooth-tracker eller GPS-enhed i taske eller bil
Fællesnævneren er, at den, der overvåger, typisk har haft fysisk adgang til enheden eller kendt en adgangskode på et tidspunkt. Spørgsmålet om, hvornår adgangen kan være opstået, er derfor en del af undersøgelsen.
iPhone
Kommerciel stalkerware er svær at installere på en opdateret iPhone uden fysisk adgang og kendskab til koden. De typiske spor ligger derfor i kontoen og i indstillingerne:
- Apple-ID: enhedslisten, delt lokation i Find og familiedeling.
- Profiler: under VPN og enhedsadministration. En privat telefon bør normalt ikke have en administrationsprofil. Den bredere undersøgelse af en telefon, der mistænkes for at være kompromitteret, står i Er telefonen hacket?, og overvågning via bil, router og smart home i Bil, router og smart home.
- Sikkerhedstjek: Fra iOS 16 har iPhone funktionen Sikkerhedstjek (Safety Check) under indstillingerne for anonymitet og sikkerhed. Den viser, hvad der deles med hvem, og bruges til at dokumentere delingen, før den stoppes.
- Backup: En krypteret lokal backup indeholder mere end en iCloud-backup og kan analyseres uden at ændre telefonen yderligere.
Udtrækstyperne og deres begrænsninger er beskrevet i udtræk fra mobiltelefoner.
Android
Android giver flere muligheder for apps, der kører skjult i baggrunden. Undersøg og dokumentér:
- apps med adgang til tilgængelighedstjenester, enhedsadministration eller notifikationer,
- apps med generiske navne og ikoner, der ligner systemapps,
- om installation fra ukendte kilder er tilladt, og for hvilke apps,
- om Play Protect er slået fra,
- Google-kontoens enhedsliste og loginhistorik.
En logisk eller filsystembaseret udtrækning bevarer installationstidspunkter, pakkenavne og rettigheder. Disse oplysninger går tabt, hvis appen afinstalleres først, og det er netop installationstidspunktet, der kan kobles til et tidspunkt, hvor en anden havde adgang til telefonen.
Windows og Mac
- Fjernadgang: installerede programmer, tjenester og opstartsposter. Mange fjernadgangsprogrammer har egne logfiler med tidspunkter for forbindelser og eventuelt den eksterne parts id.
- Brugerkonti: ukendte lokale konti eller konti med administratorrettigheder.
- Browsere: synkronisering til en anden konto, udvidelser og gemte adgangskoder.
- Programhistorik: spor af, hvornår et program første gang blev kørt, og fra hvilken mappe.
Sporene af programkørsel og tilsluttede enheder på Windows er beskrevet i Windows-artefakter.
Kontoerne er lige så vigtige som enheden
Meget af beviset ligger ikke på enheden, men hos tjenesten: loginhistorik, enhedslister, app-adgange, delinger og videresendelsesregler. Data skal hentes, før adgangene lukkes, fordi historikken ændres, når sessioner afsluttes og enheder fjernes. Et skift af adgangskode lukker heller ikke nødvendigvis en eksisterende session. Hvordan sessioner og tokens virker, og hvad loginlogs viser, er beskrevet i sessioner og tokens i loginlogs.
Mange tjenester tilbyder en eksport af kontoens data. Eksporten hashes og registreres med tidspunkt og fremgangsmåde, som beskrevet i cloud-forensic via API og eksport.
Hvad sporene kan og ikke kan vise
Et login fra en ukendt enhed viser, at kontoen er brugt fra den enhed. Det viser ikke i sig selv, hvem der sad ved den. IP-adresser og omtrentlige placeringer er usikre, især ved mobilnet og VPN. En installeret app med vidtgående rettigheder viser, at appen kunne indsamle data, men ikke nødvendigvis hvad der faktisk blev sendt.
Sporene bliver stærke, når de kobles sammen: et installationstidspunkt, der falder sammen med et tidspunkt, hvor en bestemt person havde adgang til telefonen, eller en enhed på kontoens enhedsliste, hvis model og navn kan kobles til en bestemt person. Rapporten skal skelne klart mellem det, der er observeret, og den vurdering, der bygger på det.
Rækkefølge
- Vurdér sikkerheden for den ramte, før noget ændres.
- Dokumentér enhedens tilstand: skærmbilleder af indstillinger, profiler, delinger og app-rettigheder.
- Lav en forensisk udtrækning af enheden.
- Hent loginhistorik, enhedslister, regler og delinger fra kontoerne.
- Hash og registrér alt sikret materiale.
- Først derefter fjernes apps, profiler, regler og adgange, og adgangskoder skiftes fra en enhed, der ikke er kompromitteret.
Den, der overvåger, kan få besked, når en app fjernes, en deling stoppes, eller en enhed logges ud. Rækkefølgen og tidspunktet bør derfor aftales med den ramte, så personens sikkerhed kommer før den tekniske oprydning.
Hvis enheden skal bruges videre
Ofte skal den ramte bruge sin telefon i hverdagen, mens sagen kører. Det giver et dilemma: Hver dag, telefonen bruges, ændres data, og logfiler kan rotere. Derfor bør en forensisk udtrækning ske så tidligt som muligt, selvom den fulde analyse venter. Når udtrækningen er hashet og registreret, er tilstanden på det tidspunkt bevaret, og telefonen kan bruges eller nulstilles uden at miste beviset.
Er der mistanke om, at den, der overvåger, kan se den ramtes kommunikation, bør aftaler om undersøgelsen ikke foregå via den kompromitterede telefon eller konto. Det gælder også mails med udtræk eller rapporter.
Fysiske trackere
Bluetooth-trackere og GPS-enheder efterlader ikke spor på den ramtes telefon på samme måde som apps, men både iOS og Android kan advare om ukendte trackere, der følger med. På Android kan tidligere advarsler ses i indstillingerne for ukendte trackere, men Google oplyser, at de slettes automatisk efter kort tid. Advarslerne, deres tidspunkter og eventuelle kort bør derfor dokumenteres straks med skærmbilleder, og selve trackeren bør bevares med serienummer, så ejerkontoen senere kan søges oplyst ad lovlig vej.
Dokumentation
Ud over hashværdier og udtræk bør dokumentationen omfatte, hvilke enheder og konti der er undersøgt, hvilke der ikke er, og hvorfor. Hvis der ikke findes spor af stalkerware, skal det præciseres, hvad der er undersøgt. “Ingen stalkerware fundet” er noget andet end “ingen spor af overvågning”, fordi adgang via en delt konto ikke kræver nogen app.
Rapporten bør også angive, hvornår undersøgelsen er foretaget, og med hvilke versioner af styresystem og værktøjer. Stalkerware-apps og deres camouflage ændrer sig løbende, og en undersøgelse er et øjebliksbillede. Hvis der senere opstår nye tegn på overvågning, kan en ny udtrækning sammenlignes med den første, så ændringer i apps, rettigheder og profiler kan påvises.
Kilder og versioner
- Apple Support: Sikkerhedstjek på iPhone med iOS 16 eller nyere
- Google Android Hjælp: find ukendte trackere
- Apple Support: advarsler om en AirTag eller andet tilbehør til Find-netværket
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Sporsikring ved digital stalking
Læs også: AI-genereret indhold: tekniske metoder til vurdering · Delt konto som overvågning: iCloud, Google og familiedeling
→ Sporsikring ved digital stalking · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
