Tilbagelevering af originalmedier og dokumentation af tilstand

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Når en computer, en telefon eller et lagermedie er sikret og ikke længere skal opbevares, leveres det tilbage til ejeren eller til den, der har udleveret det. Tilbageleveringen er det sidste led i kæden af ansvar (chain of custody) for originalen, og den skal dokumenteres lige så omhyggeligt som modtagelsen: Hvilken tilstand var objektet i, hvad er der gjort ved det undervejs, er forseglinger intakte, og hvem har modtaget det og hvornår. Uden den dokumentation kan der senere opstå tvivl om, hvorvidt udstyret er ændret, beskadiget eller ufuldstændigt, og den tvivl kan smitte af på beviskopierne.

Hvornår en virksomhed kan tage udstyret i brug igen, og hvordan det slettes og udleveres til en ny bruger, er beskrevet på Udstyr tilbage i drift: hvornår og hvordan?. Her handler det om den tekniske afslutning af sikringen.

Forudsætninger før tilbagelevering

Udstyret bør først leveres tilbage, når:

de forensiske kopier er lavet, verificeret og opbevaret med mindst én backup, → Arbejdskopier og masterkopi
det er kontrolleret, at kopierne kan åbnes og læses, ikke kun at hashværdierne stemmer,
der er truffet en dokumenteret beslutning om, at selve originalen ikke skal bevares, fx fordi kopien er fuldstændig, og ingen part har bedt om adgang til det fysiske udstyr,
det er afklaret, hvem udstyret skal leveres til.

Det sidste er ikke altid enkelt. En firmatelefon ejes af virksomheden, men kan indeholde medarbejderens private data. En privat telefon, der er udleveret til sikring efter aftale, skal tilbage til ejeren, uanset hvem der har bestilt sikringen. Er der tvivl, afklares det skriftligt, før udstyret udleveres.

Hvornår originalen bør bevares

I nogle tilfælde er det bedre at beholde originalen, indtil sagen er afsluttet:

når kopien ikke er fuldstændig, fx på grund af kryptering, defekte områder eller begrænsninger i udtræksmetoden,
når fysiske forhold kan få betydning, fx skader, udskiftede komponenter eller manglende dele,
når modparten kan forventes at kræve en selvstændig undersøgelse af originalen,
når nyere udtræksmetoder senere kan give adgang til mere, særligt for telefoner.

Beslutningen og begrundelsen registreres i bevisloggen.

Dokumentation af tilstand ved tilbagelevering

Tilstanden ved tilbageleveringen sammenholdes med tilstanden ved modtagelsen. Brug samme fremgangsmåde som ved modtagelsen, så de to sæt dokumentation kan sammenlignes direkte: → Mærkning, forsegling og fotodokumentation af medier

Kontrollér forseglingen og dens løbenummer mod bevisloggen, og fotografér den, før den brydes.
Fotografér objektet fra de samme vinkler som ved modtagelsen, inklusive serienummer, skader og tilslutninger.
Kontrollér, at alt er med: objektet selv, eventuelle afmonterede diske, batterier, SIM-kort, hukommelseskort, opladere og kabler, der blev modtaget.
Beskriv indgreb: Er kabinettet åbnet, en disk afmonteret og genmonteret, et SIM-kort fjernet, eller er telefonen sat i en særlig tilstand under udtrækket? Det skal stå i dokumentationen, også når alt er sat tilbage.
Notér strøm- og driftstilstand: tændt eller slukket, batteriniveau, eventuel flytilstand.

Afmonteres en disk for at blive kopieret via skrivebeskytter, skal den sættes tilbage i samme position og med de samme skruer og kabler. Fotografierne fra afmonteringen gør det muligt at vise, at det er sket korrekt.

Hvad modtageren skal vide

Udstyr, der har været slukket eller isoleret fra netværk i lang tid, opfører sig anderledes, når det tændes igen. Det kan være relevant at fortælle modtageren, at:

enheden kan synkronisere med cloudtjenester og hente eller slette data, så snart den får forbindelse,
der kan installeres opdateringer automatisk,
adgangskoder eller tokens kan være udløbet,
data på enheden er uændrede af sikringen, men kan ændres af almindelig brug fremover.

Har sikringen krævet, at en adgangskode blev oplyst efter aftale, bør modtageren rådes til at skifte den. Kopien af adgangskoden i sagens dokumentation håndteres som en del af beviskopierne og slettes efter samme plan.

Telefoner og tablets

Telefoner kræver lidt ekstra opmærksomhed ved tilbagelevering. Notér, om telefonen var i flytilstand eller i en afskærmende pose, og om den har været slukket så længe, at batteriet er helt afladet. Et helt afladet batteri kan i sjældne tilfælde gøre det svært at starte telefonen igen, og det er bedre, at det står i dokumentationen, end at det opdages af modtageren. Kontrollér, at SIM-kort og hukommelseskort sidder i deres oprindelige holdere, og at eventuelle beskyttelsescovers er med.

Er telefonen tilknyttet en MDM-løsning eller en konto med aktiveringslås, kan den reagere på kommandoer, der er sendt, mens den var offline, fx en fjernsletning eller en låsning, så snart den kommer på netværket igen. Modtageren bør gøres opmærksom på det, særligt hvis virksomheden eller ejeren har udført sådanne handlinger, mens telefonen var til sikring. → Udtræk fra mobiltelefoner

Når originalen ikke kan leveres tilbage

Det sker, at en original ikke kan leveres tilbage i samme stand eller slet ikke: En defekt disk er åbnet i renrum og ikke længere funktionsdygtig, en lagerchip er afloddet for at kunne læses, eller et medie er gået i stykker under sikringen. Sådanne indgreb skal være besluttet og godkendt før de blev udført, og ved tilbageleveringen skal det fremgå tydeligt, hvad der er sket, hvornår, og efter hvilken beslutning. Dele, der er udskiftet eller fjernet, leveres tilbage, hvis de findes, og registreres på kvitteringen.

Kvitteringen

Kvitteringen for tilbagelevering bør indeholde:

objekt-id og beskrivelse med serienummer,
tidspunkt for udlevering,
hvem der udleverede og hvem der modtog, med navn og eventuelt organisation,
forseglingens tilstand før udlevering,
en henvisning til fotodokumentationen,
oplysning om indgreb under sikringen,
en liste over tilbehør og løse dele, der er udleveret,
modtagerens bekræftelse af, at udstyret er modtaget i den beskrevne stand, eller modtagerens bemærkninger.

Kvitteringen registreres i bevisloggen som den sidste hændelse for originalen. En generel overdragelsesformular findes på Skabelon: overdragelsesformular for beviser, og virksomheders kvittering for udstyr på Skabelon: kvittering for udlevering og aflevering af udstyr.

Når modtageren gør indsigelse

Påstår modtageren, at udstyret er beskadiget, ufuldstændigt eller ændret, er fotodokumentationen fra modtagelse og udlevering grundlaget for at besvare indsigelsen. Notér indsigelsen ordret på kvitteringen, og undersøg den. Gælder indsigelsen data, fx at filer mangler, kan beviskopien vise, hvad der lå på enheden ved sikringen. Det er et af de steder, hvor en verificeret kopi beskytter både parterne og den, der har sikret.

Typiske fejl

Udstyret leveres tilbage, før kopiernes læsbarhed er kontrolleret.
Løse dele, fx et SIM-kort eller et hukommelseskort, glemmes i bevisposen.
Kabinettet er åbnet, men det står ikke nogen steder.
Udstyret leveres til opdragsgiveren, selv om det tilhører en anden.
Ingen fotografier ved udleveringen, kun ved modtagelsen.
Modtageren får ikke at vide, at enheden kan synkronisere eller modtage ventende kommandoer, så snart den tændes.
Kvitteringen underskrives af en tilfældig medarbejder i receptionen i stedet for den aftalte modtager.

Hvad tilbageleveringen afslutter, og hvad ikke

Tilbageleveringen afslutter kæden af ansvar for originalen, men ikke for beviskopierne. De opbevares, kontrolleres og slettes efter deres egen plan, også når de skal gemmes i mange år; se Langtidsopbevaring af beviskopier. → Sikker sletning af beviskopier

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Logning af analytikerens egen adgang til beviskopier · Vi har allerede rørt maskinen: hvad der stadig kan reddes

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik