Tjekliste: forensisk sikring af en computer

Forside › Tjeklister og skabeloner · Gennemgået oktober 2026 · Af John Nielsen

Denne tjekliste samler de tekniske trin ved forensisk sikring af en enkelt computer, fra den første vurdering til den verificerede kopi og overdragelsen. Den er skrevet til IT-ansvarlige, MSP’er og andre, der skal sikre en maskine korrekt eller forberede den til en IT-sagkyndig. Rækkefølgen er vigtig: De flygtige data og krypteringsnøglerne skal håndteres, før maskinen slukkes, og dokumentationen skal ske løbende, ikke bagefter.

Haster det? Hukommelsen og en ulåst krypteret disk går tabt, så snart en tændt maskine slukkes eller genstarter, og det sker ofte ved næste opdatering. Se akut forensisk sikring; hastesager koster ekstra.

Listen forklarer ikke, den tjekker. Begrundelsen for metodevalget står i Fysisk, logisk eller målrettet sikring, og trinene forklaret i Forensisk image trin for trin. Har du brug for en liste over, hvad advokaten skal have fra IT, findes den på digitalbevissikring.dk.

Før du rører maskinen

☐ Opdraget er klart: hvilken maskine, hvilket spørgsmål, og hvem har bestilt sikringen.
☐ Det retlige grundlag er afklaret med den, der har bestilt opgaven, fx at maskinen tilhører virksomheden.
☐ Udstyr er klar: skrivebeskytter, destinationsdiske med tilstrækkelig plads, sikringsværktøj i kendt version, kamera, bevislog, poser og mærkater.
☐ Destinationsdiskene er klargjort og eventuelt krypteret.
☐ Et notat er startet med dato, klokkeslæt, sted og tilstedeværende.

Den første vurdering

☐ Fotografér maskinen, skærmen og omgivelserne, før noget røres.
☐ Notér tilstand: tændt, slukket, dvale, låst, ulåst.
☐ Notér synlige programmer, åbne vinduer og eventuelle meddelelser på skærmen.
☐ Notér tilsluttede enheder: USB-drev, eksterne diske, netværkskabel, dockingstation.
☐ Notér model, serienummer og eventuelt inventarnummer.
☐ Notér systemets tid og sammenlign med en pålidelig tidskilde. Skriv afvigelsen ned.

Beslutningen om at slukke, isolere eller lade maskinen køre afhænger af sagen. Den er gennemgået i sluk, isolér eller lad den køre.

Hvis maskinen er tændt

☐ Rør så lidt som muligt. Undgå at åbne filer, browsere eller programmer.
☐ Vurdér, om netværket skal afbrydes. Et kabel kan trækkes, men notér tidspunktet. Overvej, om cloudsynkronisering og fjernsletning er en risiko.
☐ Vurdér, om RAM skal sikres. Det er relevant ved mistanke om skadelig kode, fjernadgang, krypterede containere eller aktive sessioner. Se hukommelsessikring (RAM).
☐ Sikr RAM fra et eksternt medie, og notér værktøj, version og hashværdi.
☐ Notér kørende processer og netværksforbindelser, hvis de ikke er med i RAM-sikringen.
☐ Afklar kryptering, mens maskinen kører.

Kryptering og nøgler

☐ Er disken krypteret med BitLocker, FileVault eller andet? Notér det.
☐ Find gendannelsesnøglen ad lovlig vej, fx i virksomhedens administrationssystem, i Entra ID, i Active Directory eller hos brugeren med samtykke.
☐ Kontrollér, at nøglen passer til den konkrete disk, før maskinen slukkes, hvis det er muligt.
☐ Overvej en logisk kopi af de vigtigste data, mens maskinen kører og er låst op, hvis nøglen ikke kan findes.
☐ Notér, hvordan nøglen er fundet, og hvem der har udleveret den.

Krypteringens betydning for sikringen og de lovlige veje til nøglerne er beskrevet i BitLocker og FileVault. Slukkes en krypteret maskine uden nøgle, kan data være utilgængelige bagefter.

Slukning

☐ Vælg metode: almindelig nedlukning eller strømafbrydelse. Strømafbrydelse undgår nedlukningens skrivninger, men kan give inkonsistente filsystemer.
☐ Notér metode og tidspunkt.
☐ Fjern ikke batteriet fra maskiner, hvor det er indbygget, uden at notere hvordan.

Fysisk sikring af disken

☐ Afgør, om disken kan tages ud. Mange bærbare har disken loddet fast på bundkortet, og nyere Mac’er skal sikres på anden vis.
☐ Fotografér disken med serienummer og model.
☐ Tilslut disken via en hardware-skrivebeskytter, som er testet før brug, og notér model og firmwareversion.
☐ Kan disken ikke tages ud: brug et forensisk bootmedie eller den metode, der passer til platformen, og dokumentér den.
☐ Notér diskens størrelse, antal sektorer og eventuelle skjulte områder, som værktøjet rapporterer.

Kopien

☐ Vælg format, typisk E01 eller rå kopi, og notér valget.
☐ Beregn hashværdi under kopieringen, helst SHA-256, eventuelt sammen med MD5.
☐ Gem værktøjets log med kopien.
☐ Kontrollér kopien ved at genberegne hashværdien fra den færdige fil.
☐ Notér læsefejl og sektorer, der ikke kunne læses.
☐ Lav en arbejdskopi. Masterkopien røres ikke.

Hele forløbet fra kilde til verificeret kopi er gennemgået i forensisk image trin for trin.

Data uden for disken

☐ Er der cloudkonti, der synkroniserer med maskinen, fx OneDrive, Google Drive eller Dropbox? Notér dem, og planlæg sikring.
☐ Er der tilsluttede eller tilhørende eksterne medier? Sikr dem særskilt.
☐ Er der andre enheder med samme bruger, fx telefon eller tablet?
☐ Er der logs centralt, fx i EDR, SIEM eller Microsoft 365, som hører til samme spørgsmål?

Dokumentation og kæde af ansvar (chain of custody)

☐ Udfyld bevisloggen for hvert medie: id, beskrivelse, serienummer, hvem, hvornår, hvorfra, hashværdi, værktøj og version.
☐ Mærk og forsegl originalmedier og kopier.
☐ Registrér hver overdragelse med dato, klokkeslæt og underskrift.
☐ Notér alle afvigelser fra planen og begrundelsen.

Felterne i en bevislog er beskrevet i chain of custody-loggen.

Efter sikringen

☐ Opbevar kopierne krypteret og adskilt fra den daglige drift.
☐ Beslut, hvad der sker med originalen: opbevares, returneres eller tages i brug igen.
☐ Notér, hvis maskinen geninstalleres eller udleveres, og hvornår.
☐ Gem notatet, fotos, logs og bevislog samlet.
☐ Giv bestilleren en kort sikringsrapport med hashværdier, så de kan videregives til advokat og eventuelt modpart.
☐ Aftal, hvem der har adgang til kopierne, og hvordan adgangen registreres.

Særlige platforme

☐ Mac med Apple silicon eller T2-chip: disken kan ikke tages ud og kopieres på traditionel vis. Planlæg en logisk sikring, mens maskinen er låst op, og afklar FileVault og brugerens adgangskode ad lovlig vej. Se sikring af moderne Mac.
☐ Maskiner med flere diske eller RAID: notér rækkefølge, controller og konfiguration, og sikr hver disk for sig, eller sikr det logiske volumen fra det kørende system.
☐ Virtuelle maskiner: sikr diskfiler, snapshots og konfiguration fra hypervisoren i stedet for inde fra gæsten, hvis det er muligt.
☐ Maskiner, der er en del af en aktiv hændelse: koordinér med incident response, så isolering og sikring ikke modarbejder hinanden.

Notatet

☐ Hvert trin har et klokkeslæt og en tidszone.
☐ Det fremgår, hvem der udførte trinnet.
☐ Værktøjer og versioner er nævnt, også for bootmedier og skrivebeskyttere.
☐ Afvigelser og uventede hændelser er beskrevet, fx en opdatering, der startede ved opstart, eller en disk, der ikke kunne læses.
☐ Fotos er nummereret og henviser til trinnene i notatet.

Et samtidigt notat er det, der senere gør det muligt at forklare sikringen for en modpart eller en skønsmand. Det er vigtigere end en pæn rapport skrevet bagefter.

Typiske fejl

Maskinen slukkes, før det er afklaret, om disken er krypteret.
Antivirus eller oprydningsværktøjer køres “for at se, hvad der er sket”.
Hashværdien beregnes kun på originalen, ikke på kopien, eller omvendt.
Tidsafvigelsen i systemuret noteres ikke.
Dokumentationen skrives bagefter efter hukommelsen.

Når listen ikke er nok

Tjeklisten dækker en almindelig computer. Servere, virtuelle maskiner, RAID-systemer, Mac’er med Apple silicon og maskiner med aktive hændelser kræver tilpassede fremgangsmåder. Er du i tvivl, er det bedre at stoppe efter den første vurdering, isolere maskinen og få en IT-sagkyndig ind, end at gennemføre trin, der ikke kan gøres om.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Tjeklister og skabeloner

Læs også: Kom i gang med digital forensics: læserækkefølge og fagmiljøer · Tjekliste: logs at sikre i Microsoft 365 ved en hændelse · Alle skabeloner og værktøjer

→ Tjeklister og skabeloner · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik

Brug for en forensisk undersøgelse?

Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.

Eller kontakt os på