Diagnosedata fra iPhone og Android

Forside › Android-forensik · Gennemgået oktober 2026 · Af John Nielsen

Både iPhone og Android kan på kommando samle et øjebliksbillede af telefonens logs og systemtilstand i én fil: sysdiagnose på iPhone og en fejlrapport (bugreport) på Android. Filerne er beregnet til fejlfinding hos udviklere, men de indeholder spor, der er nyttige, når en ejer vil have undersøgt, om der er spyware, uautoriserede profiler eller usædvanlig aktivitet på sin egen telefon. De dannes kun på enheden selv og kun med ejerens samtykke.

Artiklen er til sagkyndige og til dem, der hjælper en person med at undersøge sin egen telefon. Det bredere billede af stalkerware og fjernadgang er beskrevet i stalkerware og fjernadgang: tekniske spor.

Samtykke og afgrænsning

Diagnosedata indeholder store mængder personoplysninger: apps, netværk, enheder, der har været forbundet, og fragmenter af aktivitet. De dannes derfor kun på ejerens egen telefon, af ejeren selv eller med ejerens udtrykkelige samtykke. At danne diagnosedata på en andens telefon er ikke en lovlig undersøgelsesmetode.

Den, der er udsat for digital stalking, kan få hjælp til at sikre sporene og lukke adgangene på Nielco IT’s side om stalking-hjælp. Det er en god idé at tænke over sikkerheden, før der ændres noget på telefonen, fordi den, der overvåger, kan bemærke ændringer. Den generelle vejledning findes på digitalbevissikring.dk om digital stalking.

Sysdiagnose på iPhone

En sysdiagnose dannes ved en kort knapkombination, som Apple beskriver i sin vejledning for udviklere: på nyere modeller trykkes begge lydstyrkeknapper og sideknappen kortvarigt samtidig. Telefonen vibrerer, og arkivet dannes i baggrunden i løbet af nogle minutter. Det lægges blandt analysedata under indstillingerne for anonymitet og sikkerhed og kan derfra deles til en computer.

Arkivet indeholder blandt andet:

Unified logs for den seneste periode, altså systemets samlede log, som ellers roterer løbende
Shutdown-loggen, der registrerer genstarter og de processer, der forsinkede en nedlukning
Nedbrudsrapporter og oplysninger om processer og ressourceforbrug
Netværks- og systemkonfiguration på tidspunktet for dannelsen

Shutdown-loggen fik opmærksomhed i 2024, da forskere hos en sikkerhedsvirksomhed beskrev, at visse avancerede spionprogrammer efterlod genkendelige spor i den. Sporene opstår dog kun, hvis telefonen er genstartet, mens programmet var aktivt, og forskerne understregede selv, at loggen er ét led i en bredere undersøgelse, ikke en test i sig selv. Logarkivet minder om det på macOS; se Unified Logs på macOS.

Bugreport på Android

På Android dannes en fejlrapport fra udviklerindstillingerne med funktionen til at tage en fejlrapport eller via adb bugreport fra en tilsluttet computer. Resultatet er en zip-fil. Ifølge Androids udviklerdokumentation indeholder den en hovedfil med output fra blandt andet dumpsys, dumpstate og logcat, en versionsfil og en mappe med udvalgte systemfiler.

For en undersøgelse af uønsket overvågning er det især dumpsys-delen, der er nyttig. Den viser blandt andet:

installerede pakker med installationstidspunkt og kilde
tilladelser, som apps har fået
aktive hjælpefunktioner (accessibility), som stalkerware ofte misbruger til at læse skærmen
apps med rettigheder som enhedsadministrator
apps, der har adgang til notifikationer

Det er de samme indstillinger, som ejeren kan se i telefonens menuer, men i en form, der kan sikres med tidspunkt og hashværdi. For artefakter uden for fejlrapporten, se Android-forensik.

Bemærk, at det at slå udviklerindstillinger og USB-fejlretning til ændrer telefonens tilstand. Det skal noteres med tidspunkt, og USB-fejlretning bør slås fra igen bagefter.

Analyse

Diagnosedata analyseres på en computer, ikke på telefonen. Der findes åbne værktøjer, der er udviklet til undersøgelser med samtykke, fx Mobile Verification Toolkit (MVT), som kan sammenholde indsamlede data med offentlige lister over indikatorer for kendte spionprogrammer. Fund mod sådanne lister skal vurderes med samme forsigtighed som andre indikatorer; se IOC’er i en civil undersøgelse.

Værktøjets version og den liste over indikatorer, der blev brugt, skal noteres, fordi listerne opdateres løbende. Et negativt resultat med en gammel liste siger mindre end et negativt resultat med en ny.

Den manuelle gennemgang går typisk efter:

apps, ejeren ikke kender, eller apps med generiske navne
hjælpefunktioner og administratorrettigheder, der ikke kan forklares
konfigurationsprofiler eller administration, som ejeren ikke har godkendt
genstarter eller nedbrud, der falder sammen med tidspunkter, ejeren har bemærket noget

Fejlkilder

Diagnosedata er let at fejllæse, fordi de er skrevet til udviklere og indeholder meget, der ser mistænkeligt ud uden at være det:

Producentens egne apps. Mange Android-telefoner leveres med apps, der har vidtgående rettigheder, også til hjælpefunktioner og administration. De skal kendes, før de vurderes.
Arbejdstelefoner. En telefon, der administreres af en arbejdsgiver, har profiler og administrationsrettigheder, som er legitime. Det skal afklares med ejeren, hvilken administration der er godkendt.
Kort tidsvindue. Logs i arkivet dækker kun en begrænset periode, ofte dage eller timer afhængigt af aktiviteten. Fravær af spor i loggen siger intet om tiden før.
Spor fra selve indsamlingen. At danne arkivet efterlader selv poster i loggene, og tilslutning til en computer gør det samme. Tidspunktet for indsamlingen skal derfor kendes, så de poster kan skilles fra.
Tidszoner. Nogle filer bruger lokal tid og andre UTC. Notér telefonens tidszone ved indsamlingen.

Hvorfor et øjebliksbillede er nødvendigt

Telefonens logs overskrives løbende, og en genstart, en opdatering eller en nulstilling kan fjerne netop de spor, der var interessante. Det er derfor en god idé at danne diagnosedata, før der foretages ændringer som at slette apps, opdatere styresystemet eller nulstille telefonen. Et arkiv, der er dannet og sikret, kan altid gennemgås senere, mens data, der er overskrevet, ikke kan hentes igen.

Sikring og dokumentation

Notér telefonens model, styresystemversion og tilstand, før der gøres noget.
Notér tidspunkt og metode for dannelsen af hver fil.
Overfør filen til en computer, beregn en hashværdi med det samme, og gem den med hashværdien.
Behold de originale filer uændrede og arbejd på kopier.
Dan eventuelt en ny fil senere, hvis der sker noget nyt. Hver fil er et øjebliksbillede.

Hvis der senere kan blive tale om en sag, bør diagnosedata suppleres med et egentligt udtræk af telefonen og med sikring af de konti, der er knyttet til den. Rækkefølgen er beskrevet i teknisk sporsikring ved stalking.

Hvad diagnosedata kan og ikke kan vise

Diagnosedata kan vise, hvilke apps og indstillinger der var på telefonen på et bestemt tidspunkt, og de kan indeholde spor af aktivitet i den seneste periode. De kan give et grundlag for at gå videre. De kan ikke bevise, at telefonen er fri for overvågning: meget overvågning sker via konti og skytjenester, ikke via apps på telefonen, og avancerede programmer forsøger at undgå spor. De kan heller ikke alene vise, hvem der har installeret et program.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Android-forensik

Læs også: Snapchat og TikTok: lokale data og dataudtrækket · Udtræk fra mobiltelefoner: logisk, filsystem og fysisk

→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik