Teknisk forklaring i retten: hash, tidsstempler og logs for ikke‑teknikere

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

En god teknisk forklaring i retten tager ét begreb ad gangen, siger først, hvad det betyder for sagen, og bruger derefter en analogi, der gør begrebet konkret, sammen med en sætning om, hvor analogien holder op. Det sidste er det vigtigste. En analogi, der går længere end teknikken, kan få en dommer til at tillægge et fund mere vægt, end det kan bære, og den kan blive vendt imod forklaringen under modpartens spørgsmål. Den praktiske side af præsentationen i retssalen, fx skærme og tidslinjer, er beskrevet på advokatsitet i Digitale beviser i retssalen. Her handler det om indholdet af forklaringen.

Grundregler

Begynd med betydningen. “Hashværdien viser, at kopien er den samme som det, der blev sikret” før “en hashværdi er en matematisk funktion”.
Ét begreb ad gangen. Forklar hash færdigt, før tidsstempler kommer på banen.
Analogi plus grænse. Brug en analogi, og sig, hvor den ikke passer.
Ingen tal, der ikke er nødvendige. Antal bit og sandsynligheder for kollisioner hjælper sjældent en dommer.
Sig usikkerhed med almindelige ord. “Det kan dataene ikke vise” er bedre end en lang teknisk forklaring på hvorfor.

Hashværdier

Hvad det betyder for sagen: Kopien, der er undersøgt, er bit for bit den samme som det, der blev sikret, og den er ikke ændret siden.

Analogi: En hashværdi kan sammenlignes med kontrolcifret i en stregkode på en vare, bare langt mere følsomt. Ændres så meget som ét tegn i dataene, giver beregningen et helt andet resultat. Sammenligner man resultatet ved sikringen med resultatet i dag, kan man se, om noget er ændret.

Hvor analogien holder op: Hashværdien siger ikke, hvad der er ændret, eller hvor meget. Én ændret bit og en helt anden fil giver begge blot “forskellig”. Den siger heller ikke noget om, hvem der har lavet dataene, eller om indholdet er sandt. Den viser kun, at dataene er de samme som på et bestemt tidspunkt. → Hashværdier forklaret

Undgå at kalde en hashværdi et “digitalt DNA”. DNA forbindes med identifikation af personer, og det er netop det, hashværdien ikke gør. Spørges der til ældre algoritmer som MD5, er det korrekte svar, at svagheden handler om, at nogen bevidst kan konstruere to forskellige filer med samme værdi, ikke om, at to tilfældige filer får samme værdi. → Hashalgoritmer: MD5, SHA-1 og SHA-256

Forensisk kopi

Hvad det betyder for sagen: Alt på mediet er kopieret, også det, brugeren ikke kan se, og originalen er ikke ændret under kopieringen.

Analogi: En almindelig kopi er som at fotokopiere de dokumenter, der ligger i et arkivskab. En forensisk kopi er som at kopiere hele skabet: dokumenterne, de tomme skuffer, papirkurven og de sider, der er faldet om bag skufferne.

Hvor analogien holder op: På moderne medier som SSD-diske og telefoner kan systemet selv rydde op i det, der er slettet, så “papirkurven” ikke altid indeholder noget. Og på telefoner og cloudkonti er en komplet kopi ofte ikke mulig. Her sikres det, systemet giver adgang til.

Tidsstempler

Hvad det betyder for sagen: Systemet har registreret et tidspunkt for en hændelse, fx at en fil blev ændret.

Analogi: Et tidsstempel er som et poststempel. Det sættes af den, der håndterer forsendelsen, med det ur, der hænger på postkontoret.

Hvor analogien holder op: Uret kan gå forkert, og det kan være indstillet til en anden tidszone. Hvad der udløser et stempel, er heller ikke altid det, ordet antyder: “Ændret” kan betyde, at indholdet er ændret, men ikke nødvendigvis af en person, og “oprettet” kan være det tidspunkt, filen blev kopieret til computeren, ikke da dokumentet blev skrevet. Derfor er det vigtigt at sige, hvilket stempel der er tale om, og hvilken tidszone tidspunktet er angivet i. → Tidsstempler og tidszoner

Logs

Hvad det betyder for sagen: Et system har registreret, at en handling blev udført fra en bestemt konto eller enhed på et bestemt tidspunkt.

Analogi: En log er som loggen fra et adgangskortsystem. Den viser, hvilket kort der blev brugt ved hvilken dør og hvornår.

Hvor analogien holder op, og hvor den passer godt: Ligesom adgangskortloggen viser loggen kortet, ikke personen. Hvis flere kender adgangskoden, eller en telefon automatisk synkroniserer, ser loggen ens ud. Logs gemmes også kun i en periode, og et hul kan betyde, at loggen er slettet efter planen, ikke at intet skete. Spørgsmålet om, hvem der sad ved tastaturet, kræver flere spor. → Hvem sad ved tastaturet?

IP-adresser

Hvad det betyder for sagen: En forbindelse kom fra en bestemt internetadresse på et bestemt tidspunkt.

Analogi: En IP-adresse er som et hovednummer til et omstillingsbord. Mange telefoner i en virksomhed ringer ud fra samme nummer.

Hvor analogien holder op: Bag en IP-adresse kan der være et helt hjem, en virksomhed, et mobilnet med tusindvis af kunder eller en VPN-tjeneste. Geografiske opslag på en IP-adresse er ofte upræcise, nogle gange med flere hundrede kilometers afvigelse. → IP-adresser som bevis

Slettede filer

Hvad det betyder for sagen: Filen er fjernet fra det, brugeren kan se, men indholdet kan stadig ligge på mediet.

Analogi: At slette en fil er som at fjerne en linje i en bogs indholdsfortegnelse. Siden står der stadig, indtil den bliver brugt til noget andet.

Hvor analogien holder op: På SSD-diske og telefoner rydder systemet ofte selv siderne kort efter. At en slettet fil ikke kan gendannes, betyder derfor ikke nødvendigvis, at nogen har slettet den grundigt med vilje. → SSD, TRIM og gendannelse

Metadata

Hvad det betyder for sagen: Ud over selve indholdet gemmer en fil oplysninger om sig selv, fx hvilket program der lavede den, og hvilket brugernavn der var registreret i programmet.

Analogi: Metadata er som oplysningerne på et brevhoved og i en kuverts påtryk: afsenderens navn, dato og reference.

Hvor analogien holder op: Et brevhoved skrives bevidst. Metadata sættes ofte automatisk af programmet ud fra dets indstillinger, og et forfatternavn kan stamme fra den, der installerede programmet, eller fra en skabelon, der er genbrugt i årevis.

Analogier, der forvrænger

“Digitalt DNA” · Antyder identifikation af en person
“Den digitale sorte boks” · Antyder, at alt er registreret
“Hundrede procent sikkert” · Ingen metode er fri for fejlkilder
“Computeren lyver ikke” · Ure, indstillinger og programmer kan give forkerte data
“Sporet viser, at medarbejderen …” · Spor viser konti og enheder, ikke personer

Når spørgsmålene bliver tekniske

Spørger modpartens advokat ind til detaljer, så svar på det spurgte, kort og præcist. Er svaret “det er ikke undersøgt” eller “det kan dataene ikke vise”, så sig det uden at undskylde. Et ærligt forbehold styrker troværdigheden af resten af forklaringen. Forbered de mest sandsynlige spørgsmål ved at gennemgå din egen rapport med samme kritiske blik som en modpart.

Forberedelse

Skriv en liste over de begreber, forklaringen ikke kan undgå.
Formulér for hvert begreb betydningen for sagen i én sætning.
Vælg én analogi og skriv dens grænse ned.
Afprøv forklaringen på en person uden teknisk baggrund, og spørg, hvad vedkommende har forstået.
Kontrollér, at forklaringen stemmer ordret med rapportens formuleringer om sikkerhed.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Besvarelse af skønstemaer: den tekniske struktur · Typiske tekniske spørgsmål til metoden

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik