Hvor lang tid tager en forensisk undersøgelse? Det afgør tidsforbruget

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Det afhænger mere af spørgsmålet end af udstyret. Selve sikringen af en computer eller telefon tager som regel timer, ikke dage. Det, der fylder, er analysen og rapporten: antallet af kilder, datamængden, kryptering, hvor præcist spørgsmålet er stillet, og om resultatet skal kunne bruges i retten. Et realistisk tidsestimat kan først gives, når de forhold er afklaret.

Artiklen gennemgår faserne og de tekniske faktorer, der driver tiden, så IT-afdelinger og advokater kan forberede sig og stille de rigtige spørgsmål. Den handler ikke om økonomi; prisforhold står på nielcoit.dk/priser.

Faserne

En forensisk undersøgelse består af nogle faser, der går igen, uanset om sagen handler om en enkelt bærbar eller et helt miljø:

Afklaring. Spørgsmål, kilder, afgrænsning, konflikttjek og adgang. Denne fase er kort i tid, men afgør resten.
Sikring. Kopiering af diske, telefoner, postkasser og logs, inklusive hashværdier og dokumentation.
Verifikation. Kontrol af, at kopierne er fuldstændige og korrekte.
Behandling. Udpakning, indeksering, parsing af artefakter og normalisering af tidsstempler.
Analyse. Besvarelse af spørgsmålene, test af hypoteser og alternative forklaringer.
Rapport. Skrivning, intern gennemgang og eventuelle supplerende spørgsmål.

Hertil kan komme en senere fase med spørgsmål fra modparten, supplerende undersøgelser eller forklaring i retten.

Hvad der driver tiden i hver fase

Datamængde og antal kilder · Påvirker især: Sikring, behandling · Hvorfor: Kopiering og indeksering skalerer med mængden
Lagermediets tilstand og tilslutning · Påvirker især: Sikring · Hvorfor: Langsomme porte og svigtende diske forlænger kopieringen
Kryptering · Påvirker især: Sikring, analyse · Hvorfor: Uden nøgle er data utilgængelige; med nøgle skal den først fremskaffes
Cloudtjenesternes eksportgrænser · Påvirker især: Sikring · Hvorfor: Mange tjenester begrænser, hvor hurtigt data kan hentes
Spørgsmålets præcision · Påvirker især: Analyse · Hvorfor: Et åbent spørgsmål kræver bredere analyse end et konkret
Krav til rapporten · Påvirker især: Rapport · Hvorfor: En rapport til retten kræver mere dokumentation og gennemgang

Sikringen

Selve kopieringen afhænger af kapacitet, læsehastighed og tilslutning. En moderne SSD over en hurtig forbindelse kopieres langt hurtigere end en ældre mekanisk disk med læsefejl. Verifikationen med hashværdier indebærer, at data læses igen, og den tid skal regnes med. Servere og store lagre kan kræve en anden tilgang end fuld kopi; se store datamængder.

Telefoner varierer meget. Model, styresystemversion og om enheden er låst op, afgør, hvilken udtræksmetode der kan bruges, og dermed tiden. Cloudkilder som Microsoft 365 og Google Workspace er ofte begrænset af tjenestens egen eksporthastighed, og store postkasser kan tage lang tid at hente, uden at der er noget at gøre ved det.

Det, der sjældent står i estimatet

Den tid, der trækker mest ud, er ofte ikke teknisk:

Ventetid på adgang. Administratorrettigheder, gendannelsesnøgler til BitLocker, adgangskoder til konti og godkendelser fra ledelse eller leverandør.
Uklart spørgsmål. Når spørgsmålet ændres undervejs, skal dele af analysen gentages.
Nye kilder undervejs. Fund i én kilde peger ofte på en anden, der også skal sikres.
Tredjeparter. Hostingleverandører, SaaS-leverandører og IT-leverandører, der skal udlevere logs.
Juridiske afklaringer. Hvad der må undersøges, og hvordan private data skal håndteres.

Triage og trinvis undersøgelse

Når tiden er knap, kan undersøgelsen deles op. En målrettet triage kan give et første svar på det mest presserende spørgsmål, mens den fulde sikring og analyse fortsætter. Det kræver, at triagen dokumenteres, og at konklusionerne fra den behandles som foreløbige. Se triage eller fuld kopi.

Analysen bliver mest effektiv, når den bygger på en skriftlig analyseplan med hypoteser, så der ikke bruges tid på spor, der ikke kan besvare spørgsmålet; se analyseplan og hypoteser.

Hvad IT kan gøre for at forkorte forløbet

Meget af den tid, der går tabt, kan spares med forberedelse:

Hav en oversigt over systemer, logkilder og deres opbevaring.
Sørg for, at gendannelsesnøgler kan findes, og at der er administrativ adgang til de relevante tjenester.
Afklar på forhånd, hvem der kan godkende en undersøgelse og give adgang.
Formulér spørgsmålet så præcist som muligt: hvem, hvad, hvornår og hvilke systemer.
Rør ikke de berørte enheder unødigt, og notér det, der allerede er gjort.

Hvad det første opkald typisk handler om, og hvad det er nyttigt at have klar, er beskrevet i når I ringer.

Mange kilder på én gang

Når en sag omfatter flere personer, flere lokationer eller både computere, telefoner og cloud, er det sjældent sikringen af den enkelte kilde, der tager tid, men koordineringen. Hvilke kilder skal sikres først, fordi de udløber? Hvilke kan vente? Hvem skal give adgang til hvad? En prioriteret liste over kilder med deres opbevaringstid er det vigtigste værktøj til at holde forløbet kort. Større sager kan løses ved, at flere sagkyndige arbejder parallelt i samme regi, men det kræver, at metoden og dokumentationen er ens, så resultaterne kan samles.

Hast

Nogle sager kan ikke vente, fordi logs udløber, eller fordi en enhed skal tilbage i drift. Her kan sikringen prioriteres og begynde hurtigt, mens analysen følger bagefter. Sikringen kan begynde samme dag, hvis det praktisk kan nås, men det afhænger af adgang, lokation og omfang. Hastesager koster ekstra; se nielcoit.dk/priser.

Syn og skøn

Når en undersøgelse sker som led i syn og skøn, styres tidsforløbet også af retsplejen: udmeldelse, spørgsmål, møder og eventuelle supplerende spørgsmål. Hvordan det forløb ser ud fra advokatens side, er beskrevet på digital-bevissikring.dk.

Rapportens form

Rapporten kan have meget forskelligt omfang. Et kort teknisk notat til internt brug kan skrives hurtigt, når fundene er klare. En rapport, der skal fremlægges i en tvist, kræver mere: beskrivelse af metode og værktøjer, hashværdier og sporbarhed for hver konklusion, gennemgang af alternative forklaringer og en intern kvalitetskontrol, før den afleveres. Afklar derfor tidligt, hvad rapporten skal bruges til. Det er lettere at skrive en fuld rapport fra start end at omskrive et notat, når sagen senere bliver til en tvist.

Supplerende spørgsmål efter aflevering er almindelige, særligt når modparten har fået rapporten. De kan ofte besvares hurtigt, fordi data allerede er sikret og behandlet, men nye spørgsmål kan kræve ny analyse.

Når estimatet skrider

Et estimat skrider typisk af tre grunde: datamængden viser sig at være større end oplyst, en vigtig kilde er krypteret eller utilgængelig, eller fundene åbner nye spørgsmål. Det bør aftales på forhånd, hvordan det håndteres: hvem der informeres, og hvem der beslutter, om undersøgelsen skal udvides eller afgrænses yderligere.

Et estimat, der kan bruges

Et brugbart tidsestimat angiver faserne hver for sig, hvilke forudsætninger det bygger på, og hvad der vil ændre det. Det skelner mellem sikring, som ofte kan planlægges præcist, og analyse, som afhænger af fundene. Et estimat uden forudsætninger er ikke et estimat, men et gæt. Bed derfor om at få forudsætningerne skriftligt, og giv besked, så snart en af dem ændrer sig, fx hvis flere enheder dukker op, eller en nøgle ikke kan findes.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Teknisk adgang og fælles datasæt i syn og skøn · Engelsksprogede tekniske rapporter i internationale tvister

→ Uvildig IT-sagkyndig med forensic-baggrund · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik