Uvildighed i praksis: metodiske værn i forensisk arbejde

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

Uvildighed handler om to ting: at den sagkyndige ikke har bindinger, der kan påvirke resultatet, og at metoden er indrettet, så resultatet ikke afhænger af, hvem der har bestilt det. Det første er et spørgsmål om habilitet. Det andet er et metodisk spørgsmål, og det er her, uvildighed bliver konkret: konkurrerende hypoteser formuleret før analysen, lige grundig undersøgelse af spor i begge retninger, dokumentation af afkræftende fund og en rapport, der skiller fakta fra vurdering.

Habilitetsspørgsmålene, og hvad en advokat bør spørge om, er beskrevet i uvildighed og inhabilitet hos IT-sagkyndige. Nielco IT’s egen politik står på siden om uvildighed og bindinger. Denne artikel handler om metoden.

Hvorfor bindinger ikke er hele svaret

En sagkyndig uden nogen form for tilknytning til parterne kan stadig nå et skævt resultat. Det sker sjældent af vilje, men af mekanismer, alle analytikere er udsat for: Opdraget formuleres af den ene part, konteksten kommer fra den ene part, og det første spor, der passer med partens forklaring, får lettere fodfæste end det, der ikke passer. Uvildighed i praksis er derfor et spørgsmål om at indrette arbejdet, så disse mekanismer får mindst mulig betydning.

Værn 1: Hypoteser før analysen

Før analysen begynder, formuleres de forklaringer, der skal afprøves. Ikke kun den, opdragsgiveren har, men også de oplagte alternativer:

Medarbejderen kopierede filerne til et USB-drev.
En anden bruger på samme konto eller computer gjorde det.
Kopieringen skete automatisk via synkronisering eller backup.
Filerne blev kopieret i en tidligere, legitim sammenhæng.

For hver hypotese noteres, hvilke spor der ville findes, hvis den var rigtig, og hvilke spor der ville afkræfte den. Det gør analysen målrettet, og det gør det synligt, hvis en hypotese aldrig blev afprøvet. Se analyseplan og hypoteser.

Værn 2: Lige grundighed i begge retninger

Et fund, der støtter opdragsgiverens forklaring, skal kontrolleres lige så grundigt som et fund, der taler imod. I praksis betyder det, at de samme kontroller udføres uanset retning:

verifikation i rådata, ikke kun i værktøjets visning,
kontrol af tidszone og tidsstempelformat,
søgning efter modstridende spor i andre kilder,
vurdering af, om systemaktivitet kan forklare sporet.

Det sidste er særligt vigtigt, fordi synkronisering, antivirus, indeksering og opdateringer efterlader spor, der ligner brugerhandlinger. Et tidsstempel for “sidst tilgået” kan stamme fra en virusscanning, og en fil i en synkroniseret mappe kan være kopieret til skyen, uden at nogen har rørt den. Kontrollen skal udføres, også når sporet passer med forventningen, fordi det netop er her, en forkert konklusion lettest får lov at stå.

Værn 3: Adskilt kontekst

Kontekstinformation er nødvendig for at vide, hvad der skal ledes efter, men kan påvirke fortolkningen. At vide, at en medarbejder er mistænkt, kan få et tvetydigt spor til at se belastende ud. Et værn er sekventiel afdækning: Analytikeren får først den tekniske opgave og de nødvendige oplysninger om systemer og perioder, foretager de objektive observationer og noterer dem, og får først derefter den fulde baggrund, når fortolkningen begynder. Det er ikke altid muligt i en lille praksis, men princippet om at notere observationer, før de fortolkes, kan altid følges. Se bias i forensisk analyse og etik i digital forensics.

Værn 4: Afkræftende fund dokumenteres

Spor, der taler imod en hypotese, skal med i arbejdsnoterne og, når de har betydning, i rapporten. Det gælder også spor, der taler imod opdragsgiverens forklaring. En rapport, der kun nævner det støttende, kan være korrekt i hvert enkelt fund og alligevel misvisende som helhed.

Det samme gælder fravær af spor. At der ikke er fundet tegn på en bestemt handling, er et resultat, der skal rapporteres med sine begrænsninger, ikke udelades, fordi det ikke passer i fortællingen.

Værn 5: Fakta, betydning og vurdering adskilt

Rapporten skal skelne mellem, hvad der er observeret, hvad det teknisk betyder, og hvilken vurdering den sagkyndige knytter til det. Formuleringer, der blander dem, giver læseren indtryk af større sikkerhed end der er belæg for. Konklusionsgrader, der bruges konsekvent, gør forskellen synlig. Se konklusionsgrader.

Værn 6: Uafhængig kontrol

En kollega, der ikke har været involveret i sagen, gennemgår de centrale fund og konklusioner. Gennemgangen tester, om konklusionerne følger af data, og om alternative forklaringer er behandlet. Se fagfællebedømmelse.

Værn 7: Sproget

Ord bærer vurderinger. Formuleringer som “slettede bevidst”, “forsøgte at skjule” eller “uautoriseret” er konklusioner om hensigt eller ret, som teknikken sjældent kan bære. Teknisk sprog beskriver handlinger og tilstande: filen blev slettet, filen findes ikke længere på den angivne sti, kontoen loggede ind fra en adresse, der ikke er set før. Partens egne betegnelser, fx “lækagen” eller “tyveriet”, bør ikke overtages i rapporten. Det samme gælder modpartens betegnelser, når den sagkyndige er udpeget af den anden side. Neutrale navne på filer, konti og hændelser holder rapporten fri af begge parters fortælling.

Værn 8: Værktøjer og metoder, der kan efterprøves

Uvildighed forudsætter, at en anden kan gentage arbejdet. Det kræver, at værktøjer og versioner er noteret, at centrale fund er verificeret i rådata, og at filtre, søgninger og tidszoneindstillinger er dokumenteret. En konklusion, der kun kan genskabes med netop den sagkyndiges opsætning, er svær at kontrollere, og det, der ikke kan kontrolleres, er svært at stole på, uanset hvem der har lavet det. Se verifikation af værktøjer.

Når opdraget selv er skævt

Nogle gange er det opdraget, der skaber skævheden. Et spørgsmål som “dokumentér, at medarbejderen kopierede kundelisten” forudsætter svaret. Den uvildige oversættelse er “undersøg, om kundelisten er kopieret fra enheden, og i givet fald hvornår, hvordan og fra hvilken konto”. Den sagkyndige bør foreslå en neutral formulering, før arbejdet begynder, og notere, hvis den ikke accepteres. Et skævt opdrag kan give en rapport, der er teknisk korrekt i hvert punkt, men som kun har ledt i én retning.

Kontakt med opdragsgiveren

Kontakten med opdragsgiveren undervejs er nødvendig, men den er også et sted, hvor uvildigheden kan udfordres. Et godt værn er at notere væsentlige henvendelser, især dem, der handler om retning, omfang eller formuleringer. Ønsker opdragsgiveren ændringer i et udkast, skal det kunne vises, hvilke ændringer der blev foretaget, og at de ikke ændrede de tekniske konklusioner uden et teknisk grundlag.

Hvad værnene giver i en tvist

Når en rapport bliver angrebet, er de metodiske værn det, der står tilbage. En modpart kan altid påstå, at den sagkyndige er partisk. Det er langt sværere at fastholde, når det kan dokumenteres, at alternative forklaringer blev formuleret og afprøvet, at afkræftende fund er rapporteret, og at sproget er sagligt. Uvildighed bliver dermed ikke en erklæring, men noget, der kan efterprøves.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: Fund uden for opdraget: når analysen viser noget andet · Etiske dilemmaer i digital forensics

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik