USB‑nøgler, SD‑kort og flashmedier: gendannelse og begrænsninger

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Slettede filer på USB-nøgler og SD-kort kan ofte gendannes bedre end på en moderne SSD, men dårligere end på en traditionel harddisk. Årsagen ligger i to lag: flashmediets controller, som bestemmer, hvad der fysisk sker med slettede blokke, og filsystemet, typisk FAT32 eller exFAT, som bestemmer, hvor meget information om den slettede fil der er tilbage. Resultatet varierer meget fra medie til medie, og et negativt resultat siger sjældent noget sikkert om, hvad der har ligget på mediet.

Den praktiske side af USB-nøgler som bevis er beskrevet på USB-nøgler og eksterne diske som bevis. Her handler det om de tekniske muligheder for at gendanne.

Controlleren og flashlageret

Alle flashmedier har en controller, der oversætter mellem de logiske adresser, computeren ser, og de fysiske blokke i flashchippen. Controlleren spreder skrivninger for at undgå slid (wear leveling), samler gyldige data og sletter blokke i baggrunden (garbage collection). Det betyder:

Data, der er overskrevet logisk, kan i en periode stadig findes fysisk i chippen, men er ikke tilgængelige via den almindelige grænseflade.
Blokke, som controlleren ved er ubrugte, kan blive slettet fysisk og læses som nuller eller faste værdier.

Det afgørende er, om controlleren får besked om, hvilke blokke filsystemet ikke længere bruger. På SSD’er sker det med TRIM, og effekten er beskrevet i SSD, TRIM og gendannelse. Mange USB-nøgler understøtter ikke tilsvarende kommandoer via den grænseflade, de er tilsluttet med, og så forbliver slettede data typisk læsbare, indtil de overskrives; se Delvist overskrevne filer om det, der er tilbage, når det sker. SD-kort har deres egne slettekommandoer, og om de bruges, afhænger af enheden, der skriver til kortet. Om en sletning når frem til controlleren, afhænger af hele kæden: styresystemets indstilling for slettebeskeder, den protokol, USB-enheden eller kortlæseren taler, og om firmwaren reagerer på beskeden. På Windows kan styresystemets del aflæses med fsutil behavior query disabledeletenotify, men det siger intet om, hvad den konkrete nøgle eller læser gør, så det bør afprøves på en tilsvarende enhed, hvis det er afgørende.

Filsystemet: FAT32 og exFAT

FAT32

Når en fil slettes på FAT32, ændres første tegn i mappeposten til en særlig markering, og filens kæde i filallokeringstabellen nulstilles. Tilbage er filnavnet minus første tegn, størrelsen, tidsstemplerne og nummeret på første klynge. Ligger filen sammenhængende, kan den gendannes fuldt ud ud fra start og størrelse. Er den fragmenteret, er rækkefølgen af de øvrige klynger tabt, og resten må findes med file carving eller ved at antage sammenhæng.

exFAT

exFAT bruges på større SD-kort og mange USB-nøgler. Ved sletning markeres mappeposterne som ubrugte, og klyngerne frigives i allokeringsbitmappen. Filer, der ligger sammenhængende, er ofte markeret, så de slet ikke bruger allokeringstabellen, og så kan de gendannes godt, så længe klyngerne ikke er genbrugt. Mappeposterne indeholder desuden tidsstempler med finere opløsning og eventuelt tidszone; se Tidsstempler på exFAT og FAT32.

Formatering

En hurtig formatering skriver et nyt, tomt filsystem, men lader dataområdet stå. Carving finder derfor ofte meget på et hurtigt formateret medie. En fuld formatering i Windows overskriver som udgangspunkt hele dataområdet med nuller, og så er der intet at gendanne via den almindelige grænseflade. Kameraer og telefoner har deres egne formateringsrutiner, der kan gøre det ene eller det andet. Tegnene på, at et medie er formateret eller wipet, er samlet i Formateret eller wipet disk.

Krypterede flashmedier

Nogle USB-nøgler har hardwarekryptering med pinkode eller fingeraftryk, og andre er krypteret med software som BitLocker To Go eller tilsvarende løsninger. For de hardwarekrypterede gælder, at controlleren kun udleverer data, når nøglen er låst op, og at gentagne forkerte forsøg kan få nøglen til at slette sig selv. Der skal derfor ikke prøves koder på dem. Mediet sikres i den tilstand, det er i, typen og eventuelle mærkninger dokumenteres, og adgang sker kun med koden fra den, der lovligt råder over den, eller via virksomhedens nøgledeponering.

Softwarekrypterede nøgler kan kopieres fuldt ud i krypteret form. Kopien er værd at have, også selv om nøglen ikke foreligger endnu. Gendannelse af slettede filer sker efter oplåsning og inde i det krypterede volumen, mens carving i det krypterede lag giver intet brugbart.

Medier fra kameraer, droner og andre enheder

SD-kort fra kameraer, dashcams, droner og overvågningsudstyr skrives af enheden og ikke af en computer. Enheden bestemmer filstruktur, navngivning og ofte også, hvordan der slettes og overskrives. Mange dashcams og overvågningsenheder skriver i ring, så de ældste optagelser overskrives automatisk, når kortet er fuldt. Nogle bruger desuden egne formater eller ufuldstændige filer, der først afsluttes ved normal nedlukning.

Det har to konsekvenser. Tidsstemplerne i filsystemet afspejler enhedens ur, som ofte er indstillet forkert eller nulstilles ved strømafbrydelse. Og fraværet af en optagelse fra et bestemt tidsrum kan skyldes ringoverskrivning frem for sletning. Enhedens indstillinger og model bør derfor noteres, og enhedens adfærd afprøves, hvis den er afgørende.

Sikring

Brug skrivebeskyttelse. Windows og macOS skriver til et FAT- eller exFAT-medie ved tilslutning, fx mappeindeks og ændrede flag. Se Skrivebeskyttere.
Tag en fuld kopi af hele mediet, ikke kun partitionen, og hash den.
Notér mediets mærke, kapacitet, serienummer og eventuelle påtryk. USB-serienummeret kan sammenholdes med spor på computere, hvor nøglen har været tilsluttet. Se USB-tidslinjen i Windows.
Kontrollér den rapporterede kapacitet. Forfalskede medier rapporterer en større kapacitet, end de har, og data skrevet ud over den reelle kapacitet er tabt eller overskriver andre data.
Undgå gentagne læsninger af et svagt medie. Billige flashmedier kan fejle under læsning. Ved læsefejl gælder metoden i Defekte og fejlende diske.

Når grænsefladen ikke rækker

Er controlleren defekt, eller er der grund til at tro, at data stadig findes fysisk i chippen, kan der i særlige tilfælde læses direkte fra flashchippen. Det kræver specialudstyr, er ofte destruktivt for mediet og kræver rekonstruktion af controllerens interne opbygning, fx fordeling af data, fejlkorrektion og eventuel kryptering eller scrambling. Mange moderne USB-nøgler og microSD-kort er monolitiske, hvor chip og controller er støbt sammen, hvilket gør metoden endnu vanskeligere. Den bør kun bruges, når spørgsmålet er vigtigt nok til at forsvare, at mediet kan blive ødelagt, og det skal aftales med den, der har rådighed over mediet, før det sker.

Fortolkning

Tidsstempler i FAT er lokal tid uden tidszone og med to sekunders opløsning for ændringstid. Se Hvad sker der med tidsstemplerne ved kopiering.
Gendannede filnavne på FAT32 mangler første tegn, som værktøjet erstatter med et pladsholdertegn.
Nuller i ledig plads kan skyldes fuld formatering, controllerens oprydning eller at området aldrig er brugt. De kan ikke uden videre tolkes som bevidst sletning.
Slettede filer fra kameraer kan stamme fra kameraets egne funktioner som sletning af enkeltbilleder.

Hvad gendannelsen kan og ikke kan bevise

En fil gendannet med mappepost viser navn, størrelse og tidsstempler, som de var ved sletningen, men ikke hvornår sletningen skete. En carvet fil viser kun, at indholdet har været på mediet. At intet kan gendannes, viser hverken, at mediet aldrig har været brugt, eller at det er renset med vilje.

Dokumentation

Angiv mediets identifikation, filsystem, sikringsmetode og hash, hvilke gendannelsesmetoder der er brugt, om filer er gendannet via mappeposter eller carving, og hvilke forbehold controlleren og filsystemet giver.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Delvist overskrevne og fragmenterede filer: hvad kan konkluderes? · Tidligere versioner i cloud: versionshistorik, papirkurv og opbevaring

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik