Tjekliste: tekniske trin ved sikring af en mobiltelefon

Forside › Tjeklister og skabeloner · Gennemgået oktober 2026 · Af John Nielsen

En mobiltelefon er en af de mest flygtige kilder i en undersøgelse. Den modtager data hele tiden, kan fjernslettes, kan låse sig selv i en tilstand, hvor data er sværere at tilgå, og kan løbe tør for strøm. Denne tjekliste samler de tekniske trin, IT bør gennemgå fra det øjeblik, en telefon skal sikres, til udtrækket er hashet og registreret. Den forudsætter, at der er et lovligt grundlag for at sikre telefonen, fx at det er en firmatelefon, eller at ejeren har givet samtykke.

Haster det? En telefon kan fjernslettes når som helst, og en iPhone, der ikke låses op, genstarter sig selv efter omkring tre døgn og kommer i en mere beskyttet tilstand. Se akut forensisk sikring; hastesager koster ekstra.

Den juridiske side af at sikre en mobiltelefon i en civil sag er beskrevet på digital-bevissikring.dk, og den korte vejledning om opbevaring findes på digitalbevissikring.dk.

Grundlag og opdrag

☐ Hvem ejer telefonen, og hvem er bruger?
☐ Hvad er grundlaget: firmatelefon, samtykke eller anden lovlig adgang?
☐ Er der aftalt en afgrænsning, fx bestemte apps, perioder eller samtaler?
☐ Er der private data på telefonen, som skal holdes adskilt?
☐ Start et notat med dato, klokkeslæt, sted og tilstedeværende.

Den første tilstand

☐ Fotografér telefonen fra alle sider og skærmen, som den er.
☐ Notér, om den er tændt eller slukket, låst eller ulåst, og batteriniveau.
☐ Notér model, farve, synlige skader, SIM-kort og eventuelt IMEI, hvis det kan aflæses uden at ændre noget.
☐ Notér viste notifikationer og tidspunkt på skærmen sammenholdt med en pålidelig tidskilde.

Netværk og fjernsletning

☐ Isolér telefonen fra netværket, så den ikke modtager nye data, synkroniserer eller kan fjernslettes. Flytilstand er den enkleste metode på en ulåst telefon. På en låst telefon kan en afskærmende pose bruges.
☐ Notér metoden og tidspunktet.
☐ Kontrollér i MDM-systemet, om der er planlagt fjernsletning, nulstilling eller låsning, og stop den.
☐ Undlad at fjerne telefonen fra MDM, før den er sikret, medmindre det er nødvendigt.
☐ Overvej, om brugerens Apple-ID eller Google-konto kan bruges til fjernsletning, og om kontoen kan sikres eller låses ad lovlig vej.

MDM-systemet er også en datakilde i sig selv, med inventar, compliance-status og en log over kommandoer. Se MDM og Intune som datakilde.

Strøm

☐ Hold telefonen tændt og opladet, hvis den er tændt. En telefon, der slukker, kommer op i en tilstand, hvor mere data er krypteret, indtil koden indtastes.
☐ Brug en strømbank, hvis telefonen skal transporteres, og afskærm den samtidig fra netværk.
☐ Slukket telefon: lad den være slukket, og tænd den ikke for at “se efter”.

Kode og adgang

☐ Er telefonen ulåst? Sørg for, at den ikke låser sig, fx ved at justere automatisk lås, hvis det kan gøres uden at ændre andre data, og notér ændringen.
☐ Kendes koden? Indhent den ad lovlig vej: fra brugeren med samtykke eller via virksomhedens egne administrationsmuligheder.
☐ Notér, hvordan koden er indhentet, og af hvem.
☐ Forsøg ikke at gætte koden. Gentagne forkerte forsøg kan føre til forsinkelser eller sletning.

De lovlige veje til krypterede data er beskrevet i krypterede data: de lovlige adgangsveje.

Udtrækket

☐ Vælg udtrækstype ud fra spørgsmålet og telefonen: logisk, filsystem eller backup. Se udtræk fra mobiltelefoner.
☐ Brug et værktøj i kendt version, og notér version og indstillinger.
☐ Notér, om værktøjet installerer en hjælpeapp eller ændrer noget på telefonen.
☐ Ved iPhone: overvej en krypteret lokal backup med en kendt adgangskode, fordi den indeholder mere end en ukrypteret. Se iOS-backup.
☐ Hash udtrækket ved afslutning, og notér værdien.
☐ Lav en arbejdskopi til analyse.

Hashværdien af et mobiludtræk kan ikke genskabes ved et nyt udtræk, fordi telefonen ændrer sig. Den låser udtrækket fra det tidspunkt, det er lavet.

Særligt for iPhone

☐ Notér iOS-versionen, hvis den kan aflæses uden at ændre noget, fordi den påvirker, hvilke udtræk der er mulige.
☐ Vær opmærksom på, at en iPhone, der ikke har været låst op i længere tid, kan genstarte sig selv og dermed komme i en mere beskyttet tilstand. Fra iOS 18.1 sker det ifølge uafhængige analyser efter omkring tre døgn, og funktionen kan ikke slås fra. Tidsgrænsen kan ændres i nye versioner, så planlæg udtrækket hurtigt.
☐ Kontrollér, om telefonen er knyttet til brugerens private Apple-ID med Find aktiveret, fordi det giver mulighed for fjernsletning uden om virksomhedens MDM.

Særligt for Android

☐ Notér producent, model og Android-version, fordi udtræksmulighederne varierer meget mellem producenter.
☐ Undlad at aktivere udviklerindstillinger eller USB-fejlfinding uden at notere det, fordi det ændrer telefonens tilstand.
☐ Notér, om telefonen har et arbejdsprofil-område adskilt fra det private, fordi det har betydning for afgrænsningen.

Transport og flere enheder

☐ Transportér telefonen afskærmet fra netværk og med strøm, i en mærket pose, og notér hvem der har den undervejs.
☐ Sikr tilhørende enheder, fx tablet eller smartwatch, hvis de synkroniserer de samme beskeder.
☐ Notér SIM-kortets nummer og operatør, så operatørdata senere kan søges ad lovlig vej.

Cloud og tilknyttede konti

☐ Notér telefonens konti: Apple-ID, Google-konto, Microsoft 365, beskedapps.
☐ Afklar, om relevante data også ligger i cloud, og om de kan sikres ad lovlig vej, fx via virksomhedens egen tenant.
☐ Notér, om beskedapps har backup til cloud, og hvornår den seneste blev lavet.

Selektivt udtræk

Ved firmatelefoner i ansættelsessager er det ofte rigtigt kun at udtrække eller kun at analysere bestemte data. Det kan ske ved at afgrænse analysen af et fuldt udtræk eller ved at lave et målrettet udtræk. Valget skal dokumenteres og begrundes, og det skal fremgå, hvad der ikke er sikret.

Dokumentation

☐ Registrér telefonen i bevisloggen med id, model, IMEI eller serienummer og tilstand.
☐ Registrér hvert udtræk med type, værktøj, version, tidspunkt og hashværdi.
☐ Notér alle handlinger på telefonen, også dem, der ændrede noget, fx ændring af lås.
☐ Mærk og opbevar telefonen sikkert, eller registrér tilbagelevering.

Efter sikringen

☐ Beslut, om telefonen skal opbevares, returneres eller nulstilles. Nulstilling bør først ske, når udtrækket er kontrolleret.
☐ Hvis telefonen returneres til brugeren, notér tidspunktet og telefonens tilstand.
☐ Opbevar udtræk krypteret og med adgangskontrol.

Hvad udtrækket kan og ikke kan vise

Et udtræk viser telefonens indhold på udtrækstidspunktet, inden for de grænser, udtrækstypen sætter. Et logisk udtræk indeholder ikke alt, og slettede beskeder kan kun findes i det omfang, de ikke er overskrevet. Beskedapps med forsvindende beskeder, end-to-end-kryptering og lokale databaser i særlige formater kan give huller, som skal beskrives. Udtrækket viser heller ikke i sig selv, hvem der brugte telefonen. Det skal bygges op af andre spor, fx biometri, adgangskode, placering og brugsmønstre. Notér derfor i dokumentationen, hvilken udtrækstype der er brugt, og hvilke kategorier af data den typisk ikke dækker.

Typiske fejl

Telefonen ligger på et skrivebord med netværk, mens nogen finder ud af, hvad der skal ske.
Telefonen fjernes fra MDM, og en automatisk nulstilling går i gang.
Brugeren får telefonen tilbage “for at slette private billeder” før sikringen.
Telefonen løber tør for strøm under transport.
Skærmbilleder af beskeder bruges i stedet for et udtræk, så metadata og slettede beskeder mangler.
Koden skrives på en seddel, der følger med telefonen, uden at det er noteret, hvem der har haft adgang til den.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Tjekliste til MSP’er: når kunden ringer med en hændelse

Del af: Tjeklister og skabeloner

Læs også: Tjekliste: før reinstallation eller udskiftning af en maskine · Tjekliste til MSP’er: når kunden ringer med en hændelse · Alle skabeloner og værktøjer

→ Mobilforensik i civile sager · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik