Visualiseringer i forensiske rapporter: korrekte grafer og tidslinjer

Forside › Kvalitet og standarder · Gennemgået oktober 2026 · Af John Nielsen

En visualisering i en forensisk rapport skal gøre det lettere at forstå data uden at ændre, hvad data viser. Det kræver tre ting: en skala, der er retvisende, en tidszone, der er angivet og ens for alle kilder, og en tydelig oplysning om, hvad der er udvalgt og udeladt. Dertil kommer, at hvert punkt i grafen skal kunne føres tilbage til en post i et bilag. Hvordan visualiseringer bruges og fremvises i retssalen, er beskrevet på advokatsitet i Digitale beviser i retssalen. Her handler det om, hvordan de konstrueres teknisk korrekt.

Vælg form efter spørgsmålet

I hvilken rækkefølge skete hændelserne? · Tidslinje med én række pr. kilde
Hvornår på døgnet var der aktivitet? · Histogram over timer eller dage
Hvem kommunikerede med hvem? · Netværksgraf eller matrix
Hvor befandt enheden sig? · Kort med præcisionsangivelse
Hvordan ændrede en mængde sig over tid? · Linjediagram med fast tidsakse

Vælg den enkleste form, der besvarer spørgsmålet. En tabel med ti rækker er ofte bedre end en graf med ti punkter.

Tidslinjer

Tidslinjen er den mest brugte visualisering og den, hvor flest fejl opstår. Grundreglerne:

Lineær tid. Afstanden på aksen skal svare til afstanden i tid. Er aksen brudt, fx for at springe tre stille dage over, skal bruddet markeres tydeligt.
Én tidszone. Alle kilder normaliseres til samme tidszone, som angives på selve grafen, ikke kun i teksten. → Sommertid og tidszoner i rapporten
Én række pr. kilde. Lægges hændelser fra computer, mailserver og cloudlog på hver sin række, kan læseren se, hvilke kilder der understøtter hinanden, og hvor der kun er én kilde.
Kildehenvisning pr. hændelse. Hver markering har et nummer, der henviser til en post i bilaget.
Opløsning. Har en kilde kun hele sekunder eller to sekunders opløsning, må grafen ikke antyde en rækkefølge inden for det interval.

Den bagvedliggende metode til at bygge tidslinjen står i tidslinjeanalyse. Et anvendt eksempel på en scenarietidslinje findes i tidslinje for de sidste uger før fratræden.

Sommertid på grafen

Vises en periode, der omfatter et skift mellem sommer- og vintertid, i lokal tid, opstår enten et hul på en time eller en time, der optræder to gange. Det kan få hændelser til at se forkert ordnet ud. Vis i UTC, eller angiv tidszonen med forskydning ved hver dato, fx UTC+1 og UTC+2, og markér skiftet på aksen.

Histogrammer og aggregering

Et histogram over aktivitet pr. time eller pr. dag kan vise mønstre, fx aktivitet uden for normal arbejdstid. Men inddelingen påvirker billedet:

Brede intervaller kan skjule en kortvarig top. Smalle intervaller kan få tilfældig variation til at ligne et mønster.
Intervallets grænser skal angives, fx “timer fra hel til hel time, UTC+1”.
Sammenligningsgrundlaget skal være med. En top den sidste uge før fratræden betyder kun noget, hvis læseren kan se de foregående uger i samme skala.
Y-aksen skal starte ved nul, medmindre der er en god grund og den er oplyst.

Undlad at summere hændelser af forskellig art i samme søjle, fx filåbninger og logins, medmindre det er formålet og forklaret.

Kort og lokationsdata

Et punkt på et kort ser præcist ud, selv når den underliggende position er usikker med hundredvis af meter eller mere. Vis derfor præcisionen, typisk som en cirkel med den radius, kilden angiver, og skriv kilden ved hvert punkt: GPS, Wi-Fi, mobilmast eller IP-opslag. Positioner fra IP-adresser bør som udgangspunkt ikke vises som punkter, fordi præcisionen sjældent er god nok til det. → Lokationsdata på telefonen: præcision og fejlkilder

Forbind ikke punkter med linjer, medmindre bevægelsen mellem dem er dokumenteret. En linje antyder en rute, som data ikke viser.

Netværksgrafer

Netværksgrafer over kommunikation mellem personer eller konti er effektive, men de lægger en vurdering ind gennem layoutet. Den konto, der placeres i midten, ser central ud, og tykke streger ser vigtige ud. Oplys, hvad placering, stregtykkelse og farve betyder, hvilken periode og hvilke kilder grafen bygger på, og om kommunikation via andre kanaler er udeladt. Ved få aktører er en matrix med antal beskeder ofte mere præcis.

Mængder over tid

Linjediagrammer over datamængder, fx antal downloadede filer eller udgående megabyte pr. dag, skal have en fast tidsakse uden huller, der springes over i stilhed. Dage uden data skal vises som nul eller som manglende data, og forskellen skal være tydelig: Nul betyder, at kilden registrerede ingen aktivitet. Manglende data betyder, at kilden ikke dækker perioden. Blandes de to, kan en log, der er roteret, ligne en periode uden aktivitet. Angiv også enheden, og om tallene er målt eller beregnet, fx når datamængder er udledt af firewall-sessioner.

Skærmbilleder fra analyseværktøjer

Skærmbilleder af et analyseværktøj kan illustrere, hvordan et fund ser ud, men de viser værktøjets fremstilling, ikke de rå data. Kolonnenavne, tidszoneindstilling og filtre i værktøjet påvirker billedet. Brug dem sparsomt, angiv værktøj, version og indstillinger, og henvis altid også til den post i bilaget, der indeholder de underliggende værdier.

Farver og tegn

Brug farver til at skelne kilder eller kategorier, ikke til at vurdere. Rød for “mistænkelig” er en konklusion, ikke data.
Vælg farver, der kan skelnes af læsere med farvesvaghed og i en sort-hvid udskrift.
Forklar alle tegn og farver i en signaturforklaring på selve grafen.
Undgå tredimensionelle effekter og skygger, der forvrænger størrelser.

Udvælgelse og udeladelse

Næsten alle visualiseringer er udvalgte. Det er nødvendigt, men det skal oplyses: hvilken periode, hvilke kilder, hvilke hændelsestyper og hvilke filtre. Kontrollér særligt, om der i de udeladte data findes hændelser, der taler imod den forklaring, grafen illustrerer. Findes de, skal de med eller nævnes. En visualisering, der viser én side af data, kan svække tilliden til hele rapporten, når den opdages.

Det samme gælder tabeller, der bruges som visualiseringer. Sortering, gruppering og fremhævning af rækker påvirker, hvad læseren ser først. Sortér som udgangspunkt kronologisk, angiv tidszonen i kolonneoverskriften, og fremhæv kun rækker, hvis kriteriet for fremhævning er forklaret. En fremhævet række, der ikke er forklaret, læses som en konklusion.

Reproducerbarhed

Lav grafer ud fra data, ikke i hånden. Gem datafilen, grafen er bygget på, med hashværdi, og notér værktøj og eventuelt script. Så kan grafen genskabes, kontrolleres og rettes, hvis en tidszone eller et filter viser sig at være forkert. Håndtegnede tidslinjer i præsentationsprogrammer er den hyppigste kilde til små fejl i datoer og klokkeslæt.

Kontrol før aflevering

☐ Hver markering kan føres tilbage til en post i et bilag
☐ Tidszonen står på grafen og er den samme som i teksten
☐ Brud på tidsaksen er markeret
☐ Udvælgelse og filtre er beskrevet
☐ Usikkerhed og opløsning er vist eller omtalt
☐ Farver og tegn er forklaret og neutrale
☐ Grafen er kontrolleret mod data af en anden end den, der lavede den

Visualiseringen er et supplement til teksten, ikke en erstatning. Konklusioner og forbehold står i rapportens vurdering, og grafen illustrerer dem. → Rapportskrivning i digital forensic

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Kvalitet og standarder

Læs også: IR-rapporten som bevis: hvad mangler, når den skal bruges i en tvist? · Teknisk adgang og fælles datasæt i syn og skøn

→ Uvildig IT-sagkyndig med forensic-baggrund · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik