Synkroniseringsklienter: Dropbox, Google Drive og iCloud Drive på computeren

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

En synkroniseringsklient på en computer efterlader lokale spor, der kan vise, hvilken konto der var koblet til, hvilke filer der lå i den synkroniserede mappe, og i nogle tilfælde hvornår filer blev tilføjet, ændret eller slettet. Sporene er særligt vigtige, når kontoen er privat, og organisationen derfor ikke har adgang til tjenestens egne logs. De er også vigtige, når klienten er afinstalleret, fordi rester ofte ligger tilbage i brugerprofilen, registreringsdatabasen og filsystemet.

OneDrive-klienten har sin egen artikel, OneDrive-klienten på Windows. Her gennemgås de tre andre udbredte klienter, og hvad der er fælles for dem.

Fælles for klienterne

Alle tre klienter består af de samme byggesten:

En synkroniseret mappe eller et virtuelt drev, hvor brugerens filer vises.
En lokal database over filer og mapper med id’er, stier og ofte tidspunkter. Formatet er typisk SQLite eller et proprietært format, og databaserne kan være krypteret med operativsystemets nøgler.
En cache med filer, der er hentet, eller med kopier af slettede og ændrede filer i en periode.
Konfiguration og logs med kontoens mailadresse eller id, klientversion og hændelser.

Moderne klienter bruger i stigende grad filer efter behov: Filerne vises i mappen, men indholdet ligger kun i skyen, indtil det åbnes. Det ændrer fortolkningen. En fil i mappen er ikke nødvendigvis hentet til computeren, og en fil, der er åbnet, er hentet, selv om brugeren aldrig bevidst downloadede den.

Dropbox

Dropbox-mappen ligger som udgangspunkt i brugerprofilen. I roden af mappen findes på Windows og Linux og i ældre opsætninger på macOS en skjult mappe, .dropbox.cache, der bruges som mellemlager ved overførsler. Filer, der slettes lokalt, kan midlertidigt havne her, og Dropbox oplyser, at mappen ryddes automatisk hver tredje dag. På nyere macOS-installationer, der bruger systemets File Provider, styrer operativsystemet placeringen.

Klientens konfiguration og databaser ligger i applikationsdata i brugerprofilen. Flere af dem er krypteret med nøgler fra operativsystemet, så de skal sikres sammen med det nøglemateriale, systemet bruger, eller analyseres fra en fuld kopi af den kørende eller den kopierede computer. Dropbox for virksomheder har desuden en aktivitetslog i administrationskonsollen, som er den primære kilde, hvis kontoen tilhører organisationen.

Google Drive for desktop

Google Drive for desktop kan køre i to tilstande: streaming, hvor filerne som udgangspunkt kun ligger i skyen og hentes, når de bruges, og spejling, hvor der ligger en fuld kopi på computeren. Tilstanden skal fastslås, før sporene fortolkes.

Klienten har en lokal cache-mappe, hvis placering fremgår af indstillingen for den lokale cache under avancerede indstillinger. I cache-mappen ligger metadata-databaser og indholdet af filer, der er hentet eller ændret. Google oplyser, at ikke-synkroniserede ændringer holdes i cachen og kan gå tabt, hvis den ryddes. Cachen kan derfor rumme versioner af filer, der aldrig nåede skyen. Er kontoen en Workspace-konto, findes også Drive-revisionsloggen hos organisationen; se Google Drive: revisioner, aktivitet og delingsspor.

iCloud Drive

På en Mac er iCloud Drive en del af operativsystemet. De synkroniserede filer ligger under brugerens bibliotek i ~/Library/Mobile Documents, og synkroniseringen håndteres af systemtjenester, der skriver til macOS’ Unified Logs. På Windows installeres iCloud til Windows, der opretter en iCloud Drive-mappe i brugerprofilen og bruger Windows’ filer efter behov.

Fordi iCloud-kontoen næsten altid er privat, er den lokale computer ofte den eneste kilde, organisationen lovligt har adgang til. Indholdet i selve kontoen kræver brugerens medvirken eller anden lovlig adgang; se iCloud teknisk.

Hvad sporene typisk kan vise

Hvilken konto klienten var logget ind med, og hvornår den blev installeret eller koblet til.
Hvilke filer og mapper der fandtes i den synkroniserede mappe, også filer der kun lå i skyen.
At en bestemt fil blev kopieret ind i mappen, og dermed sandsynligvis uploadet. Filsystemets spor, fx NTFS-journalen, kan vise selve kopieringen.
At filer blev slettet lokalt, og i en kort periode deres indhold via cachen.

Sletninger i SQLite-databaser kan efterlade rester i WAL-filer og frie sider; se SQLite i forensic.

Sikring

Tag en forensisk kopi af computeren, hvis det er muligt. Klientens databaser er ofte låst, mens klienten kører, og krypterede databaser kan kræve systemets nøgler.
Afgør, om computeren skal være tændt. Ved filer efter behov og krypterede databaser kan en logisk sikring fra den kørende computer være nødvendig som supplement.
Afbryd netværket, før klienten åbnes eller synkroniserer videre. En synkronisering kan slette lokale filer, hvis de er slettet i skyen, eller hente nye versioner.
Sikr den synkroniserede mappe, klientens applikationsdata, cache og logs, og relevante dele af registreringsdatabasen.
Dokumentér klientversion og synkroniseringstilstand, og hash alle filer.

Start ikke klienten på en arbejdskopi med netværk. Den kan logge ind og ændre både lokale data og kontoen i skyen.

Fejlkilder

Filer efter behov: En fil i mappen beviser ikke, at indholdet var på computeren.
Automatisk synkronisering fra andre enheder: En fil kan være kommet ind i mappen fra en anden enhed på samme konto. Se Synkronisering mellem Apple-enheder for samme problem på Apple-platformen.
Tidsstempler: Klientens tider kan være serverens tid, filens ændringstid eller tidspunktet for den lokale synkronisering. Afklar, hvilken tid feltet indeholder.
Opdateringer: Formaterne ændres med klientversionen. Et værktøj, der kan læse én version, kan læse en anden forkert.
Kort levetid: Cache og logs roterer. Jo længere tid der går, jo mindre er tilbage.

Dokumentation

Beskriv for hver klient version, synkroniseringstilstand, tilknyttet konto og placering af mappe, cache og databaser, sådan som de blev fundet. Angiv, hvilket værktøj og hvilken version der er brugt til at læse databaserne, og om resultatet er kontrolleret manuelt på enkelte poster. Når en konklusion bygger på, at en fil blev uploadet, skal det fremgå, hvilke spor der peger på upload, og om der er en uafhængig bekræftelse fra tjenesten eller netværket. Mangler en sådan bekræftelse, formuleres konklusionen som en vurdering af sandsynlighed.

Hvad sporene kan og ikke kan bevise

De lokale spor kan vise, at en konto var koblet til computeren, og at bestemte filer lå i den synkroniserede mappe på et tidspunkt. Sammen med filsystemets spor kan de gøre det sandsynligt, at filer blev uploadet. De kan ikke vise, hvad der senere skete med filerne i skyen, eller hvem der ejer en privat konto. I en fratrædelsessag indgår de typisk i den samlede plan i Data taget ved fratræden, sammen med netværksspor fra Upload til privat cloud.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: ChatGPT, Claude og Gemini: historik og workspace-eksport · AI-notetagere og mødetransskriptioner

→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik