Forside › iPhone-forensik · Gennemgået oktober 2026 · Af John Nielsen
Opkald og beskeder efterlader spor to steder: på telefonen og hos teleoperatøren. De to kilder overlapper, men de er ikke ens. Telefonen kender også opkald og beskeder i apps, som operatøren aldrig ser, og den registrerer mistede opkald og præcis varighed. Operatøren kender kun den trafik, der går gennem mobilnettet, og registrerer den til afregning. Når en part fremlægger en opkaldsliste og den anden en specifikation, er det derfor ofte forskellene mellem kilderne, der skal forklares, ikke uenighed om fakta.
Opkaldsdata som bevis er beskrevet generelt på hubben i Telefonlogfiler og VoIP som bevis, og den juridiske side for advokater i Bevis for telefonopkald. Her ser vi på, hvordan dataene opstår teknisk, og hvordan kilderne sammenholdes.
Hvad der ligger hvor
- Almindelige opkald · Telefonen: Ja, med retning, status og varighed · Operatøren: Typisk udgående til afregning; indgående varierer
- Mistede og afviste opkald · Telefonen: Ja · Operatøren: Sjældent i en specifikation
- Sms og mms · Telefonen: Ja, med indhold · Operatøren: Typisk kun antal eller poster uden indhold
- Opkald og beskeder i apps · Telefonen: Ja, i appens egen database · Operatøren: Nej, kun som datatrafik
- Datatrafik · Telefonen: Delvis, fx forbrug pr. app · Operatøren: Mængder og tidsrum
- Placering · Telefonen: Telefonens egne positionsdata · Operatøren: Netværksdata, som sjældent udleveres i civile sager
Operatørkolonnen beskriver typiske forhold, ikke en fast regel. Hvad den enkelte operatør udleverer til abonnenten, og hvad der kun kan komme frem ved edition, afhænger af operatørens praksis og af sagen; den juridiske side er beskrevet i Edition fra tredjemand.
Telefonens opkaldshistorik
Telefonen gemmer opkald i en systemdatabase. På iPhone ligger den i en database for opkaldshistorik, som også indeholder FaceTime- og visse app-opkald, der bruger systemets opkaldsgrænseflade. På Android ligger opkaldslisten i en database under systemets kontaktudbyder, og producenter kan have deres egne varianter. Begge typisk med nummer, retning (ind, ud), status (besvaret, mistet, afvist), starttid og varighed. Androids udviklerdokumentation beskriver opkaldslistens felter, herunder typer for indgående, udgående, mistede, afviste og blokerede opkald. Apple dokumenterer ikke databasen, så feltbetydningen på iPhone bygger på forensisk erfaring og skal efterprøves for versionen.
Historikken er ikke ubegrænset. Telefonen viser og gemmer et begrænset antal poster eller en begrænset periode, og ældre poster ryddes. Slettede poster kan undertiden findes i databasens frie sider, men det er ikke noget, man kan regne med. Sikringen sker ved et udtræk af telefonen; se Udtræk fra mobiltelefoner.
Opkald i beskedapps som WhatsApp, Signal eller Teams registreres i appens egen database, og på iPhone ofte også i systemets historik. Operatøren ser dem kun som datatrafik, uden nummer eller modpart.
Operatørens data
Operatøren registrerer trafik i mobilnettet, først og fremmest for at kunne afregne. Den typiske kilde i en civil sag er abonnentens egen specifikation: en oversigt over udgående opkald, sms og datatrafik med tidspunkt, modtagernummer og afregnet varighed. Indgående opkald, mistede opkald og opkald inden for fri tale fremgår ikke altid. Operatører har egne regler for, hvor længe specifikationer kan udleveres, og hvor detaljerede de er. Spørg derfor operatøren tidligt, hvilken periode og hvilke felter der kan leveres, og notér svaret.
Abonnenten kan som udgangspunkt selv få sine egne data. Data om en andens abonnement kræver den anden parts medvirken eller en retlig afgørelse; se Edition fra tredjemand. Netværksdata om telefonens placering ud fra master kan ikke forventes udleveret til private parter i civile sager, og en undersøgelse bør derfor planlægges uden dem.
Hvorfor kilderne afviger
- Varighed: Telefonen måler typisk fra forbindelse til afbrydelse. Operatøren afregner ofte i påbegyndte enheder og kan runde op. Små forskelle er normale.
- Starttid: Telefonen kan registrere tidspunktet, hvor opkaldet blev startet, mens operatøren registrerer, hvornår det blev besvaret. Ved et opkald, der ringer længe, kan forskellen være flere sekunder.
- Ur og tidszone: Telefonens ur hentes normalt fra nettet, men kan være indstillet manuelt. Operatørens systemer bruger deres egen tid. Specifikationer er ofte i lokal tid uden angivelse af sommertid. Se Server-tid og klient-tid i cloud og apps.
- Viderestilling og telefonsvarer: Et opkald, der viderestilles eller går til telefonsvarer, kan stå som besvaret hos operatøren, mens telefonen viser det som mistet.
- Wi-Fi-opkald: Opkald over Wi-Fi går stadig gennem operatørens net og kan stå i specifikationen, men datatrafikken ser anderledes ud.
- Dobbelt SIM og eSIM: En telefon med to numre har én opkaldsliste, men to operatørspecifikationer. Find ud af, hvilket nummer et opkald gik via.
- Nummerformat: Med og uden landekode, med og uden mellemrum, eller med en omstillings hovednummer i stedet for den direkte linje.
Sammenholdelse
En robust metode er at normalisere begge kilder til samme nummerformat og samme tidszone og derefter matche poster med en tolerance på tid og varighed. Poster, der kun findes i den ene kilde, kategoriseres efter forklaring: app-opkald, mistede opkald, indgående opkald, opkald via andet nummer. Tilbage står de poster, der ikke kan forklares, og det er dem, der kræver opmærksomhed. Fremgangsmåden svarer til den generelle tidslinjemetode; se Tidslinjeanalyse.
Er der uoverensstemmelse, der ikke kan forklares teknisk, kan det skyldes, at opkaldslisten på telefonen er redigeret eller ufuldstændig, eller at specifikationen dækker et andet nummer. Begge muligheder skal overvejes, før der drages konklusioner.
Sms og beskeder
For sms gælder det samme mønster som for opkald, men endnu tydeligere. Telefonen har indholdet, afsender, modtager og tidspunkter for afsendelse og modtagelse. Operatøren har højst en registrering af, at en sms er sendt, og ofte kun et antal på regningen. På iPhone sendes beskeder mellem Apple-enheder som iMessage over datanettet og optræder slet ikke som sms hos operatøren, selvom de står i samme samtale på skærmen. Det samme gælder RCS-beskeder på Android, der kan gå via en anden infrastruktur end klassisk sms. Om og hvordan RCS fremgår af en dansk specifikation, afhænger af operatør og opsætning, og det bør afklares med operatøren.
En sms, der står på telefonen, men ikke i operatørens oversigt, er derfor ikke i sig selv mistænkelig. Først når typen er fastslået ud fra telefonens database, kan det vurderes, om den burde have stået i specifikationen.
Sikring af operatørdata
Bed om specifikationen i det mest strukturerede format, operatøren kan levere, fx som regneark eller CSV frem for PDF. Notér, hvornår og hvordan den er bestilt, og af hvem. Et udskrift fra operatørens selvbetjening bør gemmes som den originale fil, ikke som skærmbillede, og hashes ved modtagelsen. Hvis operatøren kun kan levere data for en begrænset periode bagud, skal det fremgå, så et hul i data ikke tolkes som fravær af opkald.
Virksomhedens telefonsystem
For firmatelefoner kan der være en tredje kilde: virksomhedens hostede omstilling eller softphone-løsning. Den registrerer opkald gennem systemet, ofte med intern lokalnummer, kø og omstillinger. Den kan være mere detaljeret end operatørens specifikation og bør inddrages, hvor den findes.
Hvad kilderne kan og ikke kan bevise
Sammenholdte kilder kan vise, at der var et opkald mellem to numre på et bestemt tidspunkt og omtrent hvor længe. De viser ikke, hvem der talte, eller hvad der blev sagt. App-kommunikation kan kun dokumenteres fra enhederne eller tjenesten selv. Lokationsdata fra telefonen er behandlet i Lokationsdata på telefonen: præcision og fejlkilder.
Dokumentation
Angiv for hver kilde: hvem der har leveret den, på hvilket grundlag, format, periode og tidszone. Beskriv normaliseringen af numre og tid, toleranceværdier ved matchning, og antal poster, der matcher, kun findes i den ene kilde, og ikke kan forklares. Bevar operatørens specifikation i det format, den er modtaget i, og hash den.
Kilder og versioner
- Android Developers: CallLog.Calls
- Apple Support: Forskellen på iMessage, RCS og sms/mms
- Android Developers: Telephony (sms- og mms-udbyderen)
Senest gennemgået: oktober 2026.
Næste skridt
Del af: iPhone-forensik
Læs også: Den nulstillede firmatelefon: hvad kan findes i backup og cloud · iCloud teknisk: datakategorier og lovlig eksport
→ Mobilforensik i civile sager · Haster det? Forensisk sikring (hastesager koster ekstra) · For advokater · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
