IT-ordbog for jurister

I sager om digitale beviser dukker de samme tekniske ord op i rapporter, editionsbegæringer, skønstemaer og processkrifter. Ordbogen her forklarer begreberne kort og med fokus på det, der betyder noget for advokaten: hvad begrebet dækker, og hvilken betydning det kan få for bevisets værdi, for sikringen eller for de spørgsmål, der bør stilles. Forklaringerne er generelle. Hvordan et begreb spiller ind i en konkret sag, afhænger af systemerne og dataene i den sag.

A

Administratorrettigheder

De udvidede rettigheder, der giver en bruger mulighed for at ændre indstillinger, slette data og tildele adgang i et system. Når det skal vurderes, om data kan være ændret, er det centralt at vide, hvem der havde administratorrettigheder i den relevante periode.

API

En programmeringsgrænseflade, som et system stiller til rådighed, så data kan hentes maskinelt. Mange cloudtjenester kan kun sikres fuldstændigt via deres API, og det bør derfor fremgå af dokumentationen, hvilken metode der er brugt til at hente dataene.

Arkivering

Flytning af ældre data til et separat lager, for eksempel et mailarkiv. Data, der ikke længere ses i brugerens indbakke, kan stadig findes i et arkiv, og det har betydning både for bevarelsespligten og for, hvor der skal søges.

Artefakt

Et spor, som styresystemet eller et program efterlader som en sidevirkning af brugen, for eksempel en oversigt over senest åbnede filer eller tilsluttede USB-enheder. Artefakter kan vise aktivitet, selv om selve filen er slettet, men de skal tolkes med kendskab til, hvornår og hvorfor systemet opretter dem. → Læs mere

B

Backup

En sikkerhedskopi af data, taget på et bestemt tidspunkt. En backup kan indeholde data, der siden er slettet eller ændret, og kan derfor være relevant i både en editionsbegæring og en bevarelsespligt. → Læs mere

Bates-nummerering

Fortløbende nummerering af hver side eller hvert dokument i en udlevering, kendt fra amerikansk praksis. Nummereringen gør det muligt at henvise præcist og at kontrollere, at en udlevering er fuldstændig. → Læs mere

BEC

Business email compromise, hvor en uvedkommende overtager eller efterligner en mailkonto i en virksomhed og for eksempel ændrer kontonummeret på en faktura. I tvisten om, hvem der bærer tabet, er det centralt at fastslå, hvis postkasse der var kompromitteret, og hvilke sikkerhedsforanstaltninger parterne havde. → Læs mere

Bevarelsesmeddelelse

En skriftlig meddelelse til klienten, medarbejdere eller modparten om, at bestemte data skal bevares, og at automatisk sletning skal stoppes. Meddelelsen dokumenterer, hvornår bevarelsen blev iværksat, og hvad den omfattede. → Læs mere

Bevarelsespligt

Pligten til at sørge for, at relevante data ikke slettes, når en tvist er opstået eller kan forudses. Teknisk betyder det ofte, at automatiske slettepolitikker skal sættes ud af kraft, og at det skal dokumenteres, hvornår det skete. → Læs mere

Blockchain

En distribueret database, hvor transaktioner samles i blokke, der er kædet sammen, så tidligere poster ikke kan ændres ubemærket. På en offentlig blockchain kan alle følge transaktionerne, men hvem der står bag en adresse, fremgår ikke af selve kæden. → Læs mere

Bluetooth

Trådløs forbindelse på kort afstand mellem for eksempel telefon, bil, høretelefoner og ur. Telefoner og biler registrerer ofte, hvilke enheder der har været forbundet, og det kan vise, at to enheder har været tæt på hinanden. → Læs mere

Browserhistorik

Browserens registrering af besøgte sider, søgninger og downloads. Historikken kan dokumentere aktivitet på et bestemt tidspunkt, men den kan være slettet, være synkroniseret fra en anden enhed eller være opstået ved automatisk indlæsning af en side. → Læs mere

Brugerkonto

Den identitet, et system knytter handlinger til. At en handling er registreret på en konto, viser ikke i sig selv, hvilken person der foretog den, især ikke hvis kontoen var delt, eller hvis adgangskoden var kendt af flere.

C

C2PA

En åben standard for oplysninger om indholdets oprindelse, hvor data om et billedes eller en videos tilblivelse og redigering knyttes til filen med en digital signatur. Oplysningerne kan styrke en fils historik, men de fjernes let, og fraværet af dem beviser ikke, at filen er manipuleret. → Læs mere

Carving

En metode til at finde filer eller fragmenter af filer i ufordelt plads på et lagermedie ud fra deres indhold frem for filsystemets oversigt. Filer fundet ved carving mangler ofte navn, placering og tidsstempler, og det begrænser, hvad de kan bevise.

CDR

Call detail record, den registrering, et teleselskab eller en telefoniplatform laver af et opkald eller en sms med numre, tidspunkt og varighed, men uden indhold. Oplysningerne kan vise, at der var kontakt, men ikke hvad der blev sagt eller skrevet. → Læs mere

CGNAT og dynamisk IP

Med dynamisk IP får en internetforbindelse skiftende adresser over tid, og med CGNAT deler mange kunder den samme offentlige IP-adresse. En IP-adresse og et tidspunkt er derfor ikke altid nok til at pege på én forbindelse, og udbyderen kan have brug for portnummer og et præcist tidspunkt. → Læs mere

Chain of custody

Den løbende dokumentation af, hvem der har haft et bevis, hvornår, og hvad der er sket med det. Huller i dokumentationen giver modparten mulighed for at så tvivl om, at det fremlagte materiale er det samme som det sikrede. → Læs mere

Cloud

Data og tjenester, der ligger på en udbyders servere frem for på brugerens egen enhed. For sagen betyder det, at data kan være omfattet af udbyderens vilkår, ligge i andre lande og kun kunne sikres via udbyderens værktøjer eller ved hjælp af den, der har adgang til kontoen. → Læs mere

Cookie

En lille datafil, som en hjemmeside gemmer i browseren, for eksempel for at holde en bruger logget ind eller genkende en tidligere besøgende. Cookies kan vise tidligere besøg og indgå i dokumentationen for samtykke, men de slettes let og kan blokeres. → Læs mere

CSV, JSON og XML

Tekstformater, som systemer bruger, når data eksporteres, for eksempel logdata eller en platforms dataeksport. Formaterne kan læses maskinelt, men hvis filen åbnes i et regneark, kan datoer, lange tal og tegn blive ændret, så den oprindelige fil bør bevares uændret. → Læs mere

Custodian

En person, hvis data er omfattet af en indsamling, typisk en medarbejder, hvis mail og filer skal sikres. Valget af custodians afgrænser indsamlingen og bør aftales og dokumenteres. → Læs mere

D

DataHub

Energinets centrale datasystem for elmarkedet, hvor måledata om elforbrug og elproduktion samles. Data herfra kan dokumentere forbrug og produktion over tid i tvister om afregning, solceller og beboelse. → Læs mere

Datakilde

Ethvert sted, hvor relevante data kan ligge: computer, telefon, mailserver, cloudtjeneste, fagsystem eller backup. En tidlig kortlægning af datakilderne er grundlaget for at kunne afgrænse en sikring, en editionsbegæring eller et skønstema.

Datakort

En oversigt over de systemer, konti, enheder og personer, der kan rumme relevante data, med ejer, placering og slettefrister. Datakortet er grundlaget for bevarelse, editionsbegæringer og skønstemaer. → Læs mere

Data residency

Spørgsmålet om, i hvilket land data fysisk opbevares. Det har betydning for, hvilke regler der gælder for udlevering, og for hvor let data kan sikres eller kræves fremlagt. → Læs mere

Deduplikering

Fjernelse af identiske kopier af det samme dokument, typisk ved at sammenligne hashværdier. Det reducerer mængden, der skal gennemgås, men det skal fremgå, hvordan der er deduplikeret, fordi oplysningen om, hvem der havde hvilke kopier, kan være relevant i sig selv.

Deepfake

Billede, lyd eller video, der er skabt eller ændret med kunstig intelligens, så det fremstår ægte. Muligheden for deepfakes gør det vigtigere at kunne dokumentere et materiales oprindelse og at have adgang til originalfilen. → Læs mere

Diskimage

En fil, der indeholder en kopi af et helt lagermedie, for eksempel i formatet E01 eller raw. Begrebet bruges ofte om den forensiske kopi, men et diskimage kan også være lavet med almindelige værktøjer uden hashværdier og dokumentation, og det bør fremgå, hvordan det er dannet. → Læs mere

Diskkryptering

Kryptering af et helt lagermedie, så data kun kan læses med den rette nøgle eller adgangskode. Hvis nøglen ikke er sikret, kan data være utilgængelige, når enheden er slukket, og det kan afgøre, hvordan og hvornår en sikring bør ske.

DKIM og SPF

Tekniske mekanismer, der hjælper modtagende mailservere med at vurdere, om en mail er afsendt fra en server, som afsenderdomænet har godkendt. Resultaterne kan ses i mailens header og kan indgå i en vurdering af, om en mail er ægte. → Læs mere

DMARC

En regel, som ejeren af et maildomæne offentliggør i DNS, og som fortæller modtagende servere, hvad de skal gøre med mails, der ikke består kontrollen med SPF og DKIM. Om et domæne var beskyttet af DMARC, kan have betydning i sager om falske mails og fakturasvindel, og fordi indstillingen kan ændres, bør den dokumenteres for det relevante tidspunkt. → Læs mere

DNS

Internettets navnesystem, der oversætter domænenavne til IP-adresser og også rummer oplysninger om blandt andet mailservere, SPF og DMARC. Indstillingerne kan ændres når som helst, så hvis de har betydning for sagen, bør de dokumenteres for det relevante tidspunkt.

Dokumentfamilie

En mail og dens vedhæftninger, eller et dokument og de filer, der er indlejret i det. Ved udlevering bør familien som regel holdes samlet, så en vedhæftning ikke fremlægges uden den mail, den fulgte med. → Læs mere

Domæne

Et navn på internettet, for eksempel eksempel.dk, som en registrant har registreret gennem en registrator. Hvem der står som registrant, og hvem der har den tekniske adgang, kan være afgørende i tvister om hjemmeside, mail og varemærker. → Læs mere

E

eDiscovery

Processen med at identificere, indsamle, filtrere og gennemgå elektroniske data i en sag, ofte med specialiserede værktøjer. Begrebet stammer fra amerikansk ret, men værktøjerne bruges også, når store datamængder skal håndteres i danske sager. → Læs mere

E01

Et udbredt filformat til forensiske kopier, der ud over selve dataene kan indeholde hashværdier og oplysninger om sikringen. Formatet gør det muligt at kontrollere, at kopien ikke er ændret, efter den blev lavet.

EDR

Endpoint detection and response, sikkerhedssoftware, der overvåger processer, filer og netværkstrafik på computere og servere. EDR-data kan vise detaljeret, hvad der skete på en enhed, men opbevares ofte kun i en begrænset periode hos leverandøren. → Læs mere

eIDAS

EU’s forordning om elektronisk identifikation og tillidstjenester, der blandt andet regulerer elektroniske signaturer, segl og tidsstempler. Forordningen fastslår, at en elektronisk signatur ikke må nægtes retsvirkning som bevis alene, fordi den er elektronisk. → Læs mere

Eksport

Udtræk af data fra et system til en fil, for eksempel en mailboks til en PST-fil eller en chat til en tekstfil. En eksport kan miste metadata og sammenhæng, og det er derfor vigtigt at vide, hvilken eksportfunktion der er brugt, og hvad den medtager. → Læs mere

Elektronisk signatur

En digital markering, der knytter en person eller en enhed til et dokument. Bevisværdien afhænger af typen af signatur og af den dokumentation, som signaturtjenesten kan levere om forløbet. → Læs mere

EML, MSG og MBOX

Filformater for mails. EML og MSG indeholder typisk en enkelt mail med header og vedhæftninger, mens MBOX samler mange mails i én fil. En mail gemt i et af disse formater bevarer langt flere tekniske oplysninger end en udskrift eller en PDF. → Læs mere

Encoding

Tegnkodning, det vil sige den måde, tekst gemmes som bytes på, for eksempel UTF-8. Hvis et program tolker tegnkodningen forkert, vises æ, ø, å og emojis som forkerte tegn, og et udtræk kan se ændret ud, selv om de bagvedliggende data er uændrede.

End-to-end-kryptering

Kryptering, hvor kun afsender og modtager kan læse indholdet, og hvor tjenesteudbyderen ikke selv har adgang. Indholdet af beskeder i sådanne tjenester kan derfor typisk kun sikres fra en af de enheder, der deltog i samtalen.

Entra ID og Active Directory

Microsofts systemer til at styre brugere, grupper og adgang, Entra ID i cloud og Active Directory på virksomhedens egne servere. Her registreres logins og ændringer af rettigheder, og det er ofte her, det kan ses, hvem der havde adgang til hvad og hvornår, så længe loggene ikke er slettet. → Læs mere

Event log

Windows’ hændelseslog, der blandt andet registrerer logins, nedlukninger og installation af programmer. Loggen kan vise, hvornår computeren blev brugt, men den har en begrænset størrelse, så ældre hændelser overskrives. → Læs mere

EXIF

Metadata i billedfiler, for eksempel optagelsestidspunkt, kameramodel, indstillinger og eventuelt GPS-position. EXIF-data fjernes ofte, når et billede sendes via beskedapps eller sociale medier, og de kan ændres, så de bør sammenholdes med andre spor. → Læs mere

F

Filsignatur

De første bytes i en fil, som viser, hvilken type fil det reelt er, uanset filnavnet. En fil, hvis endelse ikke passer med signaturen, kan være omdøbt for at skjule indholdet, og signaturer bruges også, når filer findes ved carving. → Læs mere

Filsystem

Den struktur, et lagermedie bruger til at holde styr på filer, mapper og deres tidsstempler. Forskellige filsystemer registrerer forskellige oplysninger, og det påvirker, hvilke tidspunkter der overhovedet kan udledes for en fil.

Fjernsletning

Nulstilling af en telefon eller computer på afstand, for eksempel via et MDM-system eller en funktion til at finde en mistet enhed. En fjernsletning kan fjerne alle data på enheden, og det bør fremgå af logs, hvem der udløste den, og hvornår. → Læs mere

Flygtige data

Data, der kun findes, mens en enhed er tændt, for eksempel indholdet af arbejdshukommelsen, aktive netværksforbindelser og åbne programmer. Slukkes enheden, er de tabt, og beslutningen om at slukke eller ej kan derfor have betydning for, hvad der senere kan bevises. → Læs mere

Forensisk kopi

En nøjagtig kopi af et lagermedie, der også omfatter ufordelt plads, hvor slettede data kan ligge. Den forensiske kopi gør det muligt at undersøge dataene uden at ændre originalen og at gentage undersøgelsen. → Læs mere

G

Gendannelse

Genskabelse af data, der er slettet. Om gendannelse er mulig, afhænger af lagermediet, af tiden siden sletningen og af, hvor meget enheden er brugt siden, og et negativt resultat beviser ikke, at data aldrig har eksisteret. → Læs mere

Geofence

En virtuel grænse om et geografisk område, der får en app eller et system til at registrere, når en enhed kommer ind i eller forlader området. Hændelserne kan bruges som tidsstempler for ankomst og afgang, for eksempel i flådestyring og tidsregistrering. → Læs mere

Geolokation

Bestemmelse af en enheds position ud fra GPS, wifi eller mobilmaster. Præcisionen varierer meget efter metode og omgivelser, og en position bør altid vurderes sammen med den usikkerhed, systemet har registreret. → Læs mere

Git

Et versionsstyringssystem, der især bruges til kildekode. Git registrerer hver ændring med forfatteroplysning og tidspunkt, men disse oplysninger kan i et vist omfang angives af brugeren selv og bør derfor sammenholdes med andre spor.

H

Hallucination

Når en AI-model giver et svar, der lyder overbevisende, men er forkert eller opdigtet, for eksempel en henvisning til en kilde, der ikke findes. AI-genererede referater, oversættelser og resuméer skal derfor kontrolleres mod kilden, før de bruges som bilag. → Læs mere

Hashalgoritme

Den beregningsmetode, der bruges til at danne en hashværdi, for eksempel MD5, SHA-1 eller SHA-256. Ældre algoritmer anses ikke længere for tilstrækkeligt sikre mod bevidst konstruerede sammenfald, og mange vælger derfor at bruge SHA-256 eller at angive flere hashværdier.

Hashkollision

To forskellige filer, der giver samme hashværdi. Kollisioner er fremstillet bevidst for MD5 og SHA-1, men ikke for SHA-256, og det er en af grundene til at foretrække SHA-256 eller at angive flere hashværdier. → Læs mere

Hashværdi

En kort tegnstreng, der beregnes ud fra en fils eller et lagermedies indhold, og som ændrer sig, hvis blot en enkelt bit ændres. Hashværdien er det praktiske redskab til at vise, at det fremlagte materiale er identisk med det sikrede. → Læs mere

Header

Den del af en mail, der indeholder tekniske oplysninger om afsender, modtager, servere og tidspunkter undervejs. Headeren kan vise mailens vej og kan afsløre uoverensstemmelser, som ikke ses i den visning, mailprogrammet viser. → Læs mere

I

Ikke-allokeret plads

Anden betegnelse for ufordelt plads. Se under U.

IMAP og POP

To protokoller, som mailprogrammer bruger til at hente mail fra serveren. Med IMAP bliver mails som regel liggende på serveren og synkroniseres mellem enheder, mens POP ofte henter dem ned på en enkelt computer, og det har betydning for, hvor mails skal søges og sikres.

IMEI og IMSI

IMEI er telefonens eget identifikationsnummer, mens IMSI identificerer abonnementet på SIM-kortet. Oplysninger om, hvilket SIM-kort der har siddet i hvilken telefon, kan have betydning, når det skal vises, hvem der brugte et nummer. → Læs mere

Inaktiv postkasse

En postkasse i Microsoft 365, der bevares, efter at brugeren er slettet, fordi den var omfattet af en opbevaringspolitik eller et legal hold. Det kan være vejen til en fratrådt medarbejders mails, men kun hvis bevarelsen var sat op, før kontoen blev slettet. → Læs mere

Indeksering

Opbygning af et søgbart register over indholdet af et datasæt. Søgninger finder kun det, der er indekseret, så filer, der ikke kunne læses, for eksempel krypterede filer eller billeder uden tekstgenkendelse, kan falde uden for en søgeordsbaseret gennemgang.

IP-adresse

Den adresse, en enhed bruger på internettet eller i et netværk. En IP-adresse peger typisk på en internetforbindelse eller en udbyder og ikke direkte på en person, og at kæde en adresse til en bestemt bruger kræver som regel yderligere oplysninger fra udbyderen. → Læs mere

iTunes- og Finder-backup

Den lokale backup af en iPhone, som laves på en computer. En krypteret backup indeholder flere data end en ukrypteret, blandt andet gemte adgangskoder og sundhedsdata, og backuppen kan være den eneste kilde, hvis telefonen er væk eller defekt. → Læs mere

J

Jailbreak og root

Fjernelse af producentens begrænsninger på en iPhone (jailbreak) eller en Android-telefon (root). Ændringen kan give adgang til flere data ved et udtræk, men den gør det også lettere at ændre data og installere overvågningsprogrammer, og spor af den bør nævnes i en rapport. → Læs mere

Journaling

Bruges om to forskellige ting. I mailsystemer betyder det, at kopier af mails automatisk gemmes i en separat journalpostkasse, og i filsystemer betyder det en løbende registrering af ændringer. Begge dele kan rumme spor af data, som brugeren har slettet.

K

Keychain

Apples nøglering, hvor adgangskoder, wifi-oplysninger og krypteringsnøgler gemmes på en Apple-enhed og eventuelt synkroniseres via iCloud. Nøgleringen kan vise, hvilke konti en enhed har haft adgang til, og den kan være afgørende for, om krypterede data kan læses.

Konvertering

Omdannelse af en fil fra et format til et andet, for eksempel fra mail til PDF. Konvertering kan fjerne metadata, vedhæftninger og skjult indhold, og den konverterede fil har sine egne, nye tidsstempler.

Kryptering ved hvile

Kryptering af data, mens de er lagret, for eksempel på en disk, en telefon eller i en cloudtjeneste. Det beskytter mod uvedkommende, men betyder, at nøgle eller adgangskode skal være tilgængelig for at sikre dataene, og det er en af grundene til, at slettede data på moderne enheder ofte ikke kan gendannes. → Læs mere

Kvalificeret elektronisk signatur

Den højeste type elektronisk signatur efter eIDAS, baseret på et kvalificeret certifikat og dannet med et kvalificeret signaturgenereringsudstyr. Efter forordningen har den samme retsvirkning som en håndskreven underskrift. → Læs mere

Kvalificeret tidsstempel

Et tidsstempel fra en kvalificeret tillidstjenesteudbyder efter eIDAS, der knytter data til et bestemt tidspunkt. Efter forordningen gælder der en formodning for, at dato og tidspunkt er korrekte, og at dataene er uændrede. → Læs mere

Kæde af ansvar

Dansk betegnelse for chain of custody. Se under C.

L

Legal hold

En teknisk spærring i et system, der forhindrer, at bestemte data slettes eller ændres permanent, uanset brugerens handlinger og slettepolitikker. Funktionen findes blandt andet i Microsoft 365 og Google Workspace og er et af de redskaber, der bruges til at opfylde en bevarelsespligt. → Læs mere

LLM

Large language model, den type sprogmodel, der ligger bag tjenester som ChatGPT og Copilot. En LLM danner tekst ud fra sandsynligheder og kan give forskellige svar på det samme spørgsmål, så et tidligere svar kan sjældent genskabes præcist, og historikken i tjenesten bliver det egentlige bevis. → Læs mere

Load file

En fil, der følger med en udlevering af dokumenter og beskriver dem med metadata og indbyrdes sammenhæng, for eksempel dokumentnummer, afsender, dato og familie. Formatet bør aftales med modparten, så materialet kan læses ind i de værktøjer, parterne bruger. → Læs mere

Logfil

En fil, hvor et system løbende registrerer hændelser, for eksempel logins, fejl eller ændringer. Logfiler er ofte det eneste objektive spor af, hvad der skete i et system, men de viser kun det, systemet er sat op til at registrere. → Læs mere

Logisk kopi

En kopi af udvalgte filer, mapper eller konti frem for hele lagermediet. Den er hurtigere og mere afgrænset end en forensisk kopi, men den medtager ikke slettede data i ufordelt plads, og valget bør derfor begrundes.

Logrotation

Automatisk sletning eller overskrivning af ældre logdata, når en fil når en vis størrelse eller alder. Logrotation er en af de hyppigste grunde til, at data forsvinder kort efter en hændelse, og den gør tidlig sikring afgørende.

M

MAC-adresse

En hardwareadresse på en netværksenhed, for eksempel et netkort eller en telefon, som kan ses i routerens og netværkets logs. Den kan hjælpe med at knytte aktivitet til en bestemt enhed, men moderne telefoner bruger ofte skiftende adresser på wifi, hvilket kan gøre koblingen vanskeligere. → Læs mere

Malware

Skadelig software, for eksempel virus, trojanske heste og programmer, der opsnapper adgangskoder. En påstand om, at malware stod bag en handling, kan efterprøves ved en undersøgelse af enheden, og fraværet af spor er også et resultat. → Læs mere

MDM og Intune

Mobile device management, systemer som Microsoft Intune, som virksomheder bruger til at styre firmatelefoner og computere. Systemet registrerer enheder, apps og indstillinger og kan bruges til fjernsletning, så dets logs er relevante, når det skal vises, hvad der skete med en enhed. → Læs mere

Message-ID

En unik identifikation, som det afsendende system giver hver mail, og som står i headeren. Den gør det muligt at finde den samme mail i afsenderens og modtagerens postkasser og i serverlogs og at kontrollere, om to fremlagte udgaver af en mail er den samme. → Læs mere

Metadata

Data, der beskriver andre data, for eksempel forfatter, oprettelsestidspunkt eller seneste redigering. Metadata kan støtte eller svække en forklaring om et dokuments tilblivelse, men de kan også ændres utilsigtet ved kopiering og konvertering. → Læs mere

MFA

Multifaktorgodkendelse, hvor login kræver mere end en adgangskode, for eksempel en kode fra en app. Når MFA er slået til, styrker det en antagelse om, hvem der har logget ind, men det udelukker ikke, at en allerede godkendt session er blevet misbrugt. → Læs mere

MitID og NemLog-in

MitID er den danske digitale identitet, og NemLog-in er den offentlige løsning, som mange myndigheder bruger til login med MitID. Bankers og tjenesters logs over godkendelser kan vise tidspunkt, godkendelsesmiddel og ofte enhed, men ikke i sig selv, hvem der holdt telefonen. → Læs mere

Mobiludtræk

Sikring af data fra en mobiltelefon med specialværktøjer. Hvor meget der kan hentes, afhænger af model, styresystem, låsestatus og værktøj, og en rapport bør derfor angive, hvilken type udtræk der er foretaget. → Læs mere

N

NAS

En netværkslagerenhed, typisk en lille boks på kontoret eller i hjemmet, der deler filer på netværket. En NAS har ofte egne logs, papirkurv og snapshots og bliver let overset, når datakilderne kortlægges.

Near-duplicate

Dokumenter, der er næsten ens, for eksempel forskellige udkast til den samme kontrakt. Værktøjer kan gruppere dem, så forskellene bliver synlige, og det sparer tid og kan vise, hvordan et dokument har udviklet sig. → Læs mere

NTP

En protokol, som computere og servere bruger til at synkronisere deres ur med en tidsserver. Hvis et system ikke har været synkroniseret, kan dets tidsstempler afvige fra andre systemers, og det skal der tages højde for, når hændelser fra flere kilder sammenholdes.

O

OCR

Tekstgenkendelse, der omdanner tekst i billeder og scannede dokumenter til søgbar tekst. Genkendelsen er ikke fejlfri, og søgninger i OCR-behandlet materiale kan derfor overse relevante dokumenter.

Oppetid

Den andel af tiden, en tjeneste har været tilgængelig, typisk angivet i procent. Hvordan oppetiden er defineret og målt, for eksempel om planlagt vedligehold tæller med, er ofte selve stridspunktet. → Læs mere

Originalformat

Det format, data har i det system, hvor de er skabt, for eksempel en mail i mailserverens format eller et regneark med formler. Materiale i originalformat bevarer typisk flere metadata og mere kontekst end en udskrift eller en PDF, og det kan være relevant at kræve det fremlagt eller udleveret.

Overskrivning

Når nye data skrives på det sted på et lagermedie, hvor slettede data lå. Overskrevne data kan som udgangspunkt ikke gendannes, og fortsat brug af en enhed efter en sletning mindsker derfor chancen for at finde data.

Overstregning

Fjernelse eller tildækning af oplysninger i et dokument, for eksempel personoplysninger eller forretningshemmeligheder, på engelsk redaction. En sort boks oven på teksten fjerner ikke altid den underliggende tekst, så overstregningen skal laves med en funktion, der fjerner indholdet, og resultatet skal kontrolleres. → Læs mere

P

PAdES

En standard for elektroniske signaturer, der er indlejret i PDF-filer. Signaturen kan kontrolleres i en PDF-læser, og varianter med langtidsvalidering gør det muligt at efterprøve den, også efter at certifikatet er udløbet. → Læs mere

PDF

Et dokumentformat, der er beregnet til at se ens ud på alle enheder. En PDF kan være et originaldokument eller en gengivelse af noget andet, og i det sidste tilfælde mangler den ofte de metadata, der kunne belyse det oprindelige materiale. → Læs mere

Phishing

Mails, sms’er eller hjemmesider, der efterligner en kendt afsender for at få modtageren til at oplyse adgangskoder eller klikke på et link. Phishing er en hyppig forklaring på kontoovertagelser, og spor af den kan findes i postkassen, browserhistorikken og loginlogs. → Læs mere

Postkasse

Den samlede mængde mails, kalender og kontakter for en bruger på en mailserver. Postkassen kan rumme arkiv og genskabelige elementer, som brugeren ikke ser i den almindelige visning, og det bør fremgå af en editionsbegæring eller en sikring, om de er omfattet. → Læs mere

Privilege log

En liste over dokumenter, der holdes tilbage fra en udlevering, fordi de er fortrolige, for eksempel korrespondance med advokaten, med angivelse af hvorfor. Der er ingen fast dansk praksis, men en sådan liste kan aftales mellem parterne for at vise, hvad der er udeladt. → Læs mere

Produktion

I eDiscovery betegnelsen for udleveringen af dokumenter til modparten, på engelsk production. Det bør være aftalt, hvilke formater, metadata og nummereringer en produktion skal have. → Læs mere

Prompt

Den instruktion eller det spørgsmål, en bruger giver en AI-model. Prompten og svaret kan sammen vise, hvad brugeren ville opnå, og hvilket materiale der blev lagt ind i tjenesten. → Læs mere

Proxy

En mellemliggende server, som trafikken sendes igennem, så tjenesten ser proxyens adresse frem for brugerens. En virksomheds egen proxy kan føre log over trafikken, mens en ekstern proxy kan skjule, hvor en forbindelse reelt kom fra. → Læs mere

PST-fil

Outlooks filformat til lokal lagring og eksport af mails, kalender og kontakter. PST-filer bruges ofte ved udlevering af mails, men det bør fremgå, hvordan filen er dannet, og om den indeholder hele postkassen eller et udsnit.

R

RAID

En opsætning, hvor flere diske arbejder sammen som én for at give bedre ydelse eller beskyttelse mod diskfejl. En enkelt disk fra et RAID kan ofte ikke læses alene, så sikringen skal tage højde for hele opsætningen. → Læs mere

Ransomware

Malware, der krypterer data og kræver betaling for at frigive dem. Efter et angreb drejer tvisten sig ofte om, hvad der skete, hvornår, og om sikkerheden var tilstrækkelig, så logs og kopier af de ramte systemer bør sikres, før der gendannes. → Læs mere

Redaction

Engelsk betegnelse for overstregning. Se under O.

Registry

Windows’ registreringsdatabase, hvor styresystemet og programmerne gemmer indstillinger og spor af brug, for eksempel tilsluttede USB-enheder og senest åbnede filer. Registry er en af de vigtigste kilder til artefakter på en Windows-computer. → Læs mere

Remote wipe

Engelsk betegnelse for fjernsletning. Se under F.

Retention

Opbevaringspolitik, der bestemmer, hvor længe data gemmes, før de slettes automatisk. En opbevaringspolitik kan forklare, hvorfor data mangler, og den kan være i strid med en bevarelsespligt, hvis den ikke sættes ud af kraft i tide. → Læs mere

Revisionslog

En log over brugeres og administratorers handlinger i et system, for eksempel hvem der har åbnet, delt eller slettet en fil. Revisionslogge gemmes ofte i en begrænset periode, der afhænger af licens og opsætning. → Læs mere

S

SaaS, IaaS og PaaS

Typer af cloudtjenester: software som tjeneste (for eksempel Microsoft 365), infrastruktur som tjeneste (servere og lager) og platform som tjeneste (et miljø at bygge og drive egne programmer i). Typen afgør, hvilke data og logs kunden selv har adgang til, og hvad der kun ligger hos udbyderen. → Læs mere

SCADA

Overvågnings- og styringssystemer til for eksempel vindmøller, solcelleanlæg og forsyningsanlæg, som logger driftsdata og alarmer. Dataene ligger ofte hos producenten eller driftsleverandøren og kan være afgørende i tvister om ydelse og garantier. → Læs mere

Session

Den periode, hvor en bruger er logget ind i en tjeneste efter et godkendt login. En session kan vare længe og kan fortsætte på en anden enhed end den, der loggede ind, hvilket har betydning, når det skal vurderes, hvem der stod bag en handling.

SIEM

Et system, der samler og analyserer logs fra mange kilder i en organisation. Et SIEM kan være den mest samlede kilde til et hændelsesforløb, men det indeholder kun de logs, der er sendt dertil, og kun så længe opbevaringen rækker. → Læs mere

SIM og eSIM

SIM-kortet, fysisk eller indbygget som eSIM, knytter et abonnement og et telefonnummer til en telefon. Et nummer kan flyttes til et nyt SIM-kort, også uden ejerens medvirken ved såkaldt SIM-swap, og det kan forklare, at beskeder eller koder er gået til en anden. → Læs mere

Skrivebeskytter

Udstyr eller software, der forhindrer, at der skrives til et lagermedie, mens det kopieres. Brugen af skrivebeskytter er en del af dokumentationen for, at originalen ikke er ændret under sikringen. → Læs mere

Skærmbillede

Et billede af det, der blev vist på en skærm på et bestemt tidspunkt. Et skærmbillede mangler som regel de bagvedliggende data og metadata, og det kan være beskåret eller redigeret, hvorfor det ofte er relevant at bede om originalen. → Læs mere

SLA

Service level agreement, aftalen om leverandørens serviceniveau, for eksempel oppetid og svartider. I en tvist skal aftalens definitioner sammenholdes med de data, der faktisk er målt, og med hvem der har målt dem. → Læs mere

Slettet fil

En fil, som brugeren har slettet, men hvis data ofte stadig ligger på lagermediet, indtil pladsen bruges igen. At en fil er slettet, og hvornår, kan i sig selv være en relevant oplysning i en sag.

SMTP

Den protokol, mailservere bruger til at sende mails videre til hinanden. Hvert led registrerer typisk modtagelsen i mailens header og i sine egne logs, og det er disse spor, der kan vise, hvor langt en mail nåede, og hvornår. → Læs mere

Snapshot

Et øjebliksbillede af et system, en server eller et drev på et bestemt tidspunkt, typisk i virtualiserede miljøer og lagringssystemer. Et snapshot kan bevare en tilstand, der siden er ændret, og kan derfor være en datakilde på linje med en backup.

Spoofing

Forfalskning af afsenderoplysninger, så en mail, en sms eller et opkald ser ud til at komme fra en anden. Det synlige afsendernavn eller nummer er derfor ikke i sig selv bevis for, hvem der sendte, og headeren eller teleoplysningerne må undersøges. → Læs mere

SQLite

Et databaseformat, som mange apps på telefoner og computere bruger til at gemme beskeder, historik og indstillinger. Slettede poster kan i nogle tilfælde stadig findes i databasefilen, og et værktøjs fortolkning af databasen bør kunne efterprøves. → Læs mere

SSD og TRIM

SSD er en lagertype uden bevægelige dele, og TRIM er en funktion, der får SSD’en til at rydde slettede datablokke i baggrunden. Det betyder, at slettede data på en SSD ofte er væk langt hurtigere end på en traditionel harddisk. → Læs mere

Stalkerware

Overvågningsprogrammer, der skjult installeres på en andens telefon eller computer og videresender beskeder, position eller lyd. Sporene bør sikres, før programmet fjernes, fordi fjernelsen kan slette dem og afsløre over for den, der installerede programmet, at det er opdaget. → Læs mere

Stikprøve

En gennemgang af et udvalg af et større datasæt for at vurdere, hvad helheden indeholder. Stikprøver kan gøre store datamængder håndterbare, men metoden og udvælgelsen skal kunne forklares, hvis resultatet skal tillægges vægt. → Læs mere

Synkronisering

Automatisk udveksling af data mellem flere enheder eller mellem en enhed og en cloudtjeneste. Synkronisering betyder, at en sletning eller ændring på én enhed kan slå igennem på alle andre, og at det samme spor kan stamme fra en anden enhed end den undersøgte.

Søgeord

Ord og udtryk, der bruges til at udvælge relevante dokumenter i et større datasæt. Valget af søgeord afgør, hvad der findes og hvad der overses, og det er derfor ofte et forhandlingsemne mellem parterne. → Læs mere

T

Takograf

Udstyr i tunge køretøjer, der registrerer køre- og hviletid, hastighed og afstand, både i køretøjsenheden og på førerkortet. Dataene kan bruges i chaufførsager om arbejdstid og opsigelse, men skal læses ud og tolkes med egnede værktøjer. → Læs mere

TAR

Technology-assisted review, hvor et program lærer af menneskers vurderinger af et udvalg af dokumenter og derefter rangerer resten efter forventet relevans. Metoden kan gøre store datamængder håndterbare, men processen og kontrollen bør kunne beskrives, hvis resultatet anfægtes. → Læs mere

Telematik

Data, som et køretøj sender til producenten eller et flådestyringssystem, for eksempel position, hastighed og kilometertal. Dataene ligger ofte hos producenten eller udbyderen og ikke i selve køretøjet, og adgangen afhænger af aftaler og vilkår. → Læs mere

Tenant

En organisations samlede installation i en cloudtjeneste som Microsoft 365, med egne brugere, data og indstillinger. Den, der administrerer tenanten, kan sikre data, ændre logindstillinger og slette konti, og det bliver vigtigt ved koncernsalg og ophør af samarbejder. → Læs mere

Threading

Gruppering af mails i samtaletråde, så forløbet kan læses samlet. Gennemgangen kan begrænses til den seneste mail i hver tråd, men så skal det sikres, at ændrede tidligere led og vedhæftninger ikke overses. → Læs mere

Tidslinje

En kronologisk sammenstilling af hændelser fra en eller flere datakilder. En tidslinje gør et forløb overskueligt, men den er kun så pålidelig som de tidsstempler og den tolkning, den bygger på. → Læs mere

Tidsstempel

Det tidspunkt, et system har registreret for en hændelse, for eksempel oprettelse, ændring eller adgang til en fil. Tidsstempler kan påvirkes af kopiering, af systemets ur og af bevidst manipulation og skal derfor vurderes i sammenhæng med andre spor.

Tidszone

Den lokale tidsangivelse i forhold til UTC. Systemer gemmer og viser tid forskelligt, og en forkert antagelse om tidszone kan forskyde en hændelse med en eller flere timer, hvilket kan være afgørende for en frist eller en rækkefølge. → Læs mere

Token

En digital adgangsnøgle, som en tjeneste udsteder efter et godkendt login, så brugeren ikke skal logge ind igen ved hver handling. Den, der får fat i et gyldigt token, kan i nogle tilfælde bruge kontoen uden adgangskode og MFA, og loggen vil da vise handlinger, der ser ud til at komme fra den legitime bruger.

Tor

Et netværk, der sender trafikken gennem flere krypterede led, så tjenesten kun ser adressen på det sidste led. En IP-adresse, der tilhører Tor, peger derfor ikke på brugeren, men spor af Tor på en enhed kan i sig selv være relevante. → Læs mere

Transaktions-hash

Den unikke identifikation af en transaktion på en blockchain. Med den kan transaktionen slås op og dokumenteres med beløb, adresser og tidspunkt. → Læs mere

U

Ufordelt plads

Det område på et lagermedie, som filsystemet har markeret som ledigt, og hvor rester af slettede filer kan ligge, indtil de overskrives. Undersøgelse af ufordelt plads kræver en forensisk kopi, fordi en almindelig kopi af filerne ikke medtager den. → Læs mere

User agent

Den tekst, en browser eller app sender til en tjeneste om sig selv, for eksempel browser, version og styresystem. Den står i mange logs og kan hjælpe med at skelne mellem enheder, men den kan let ændres og beviser ikke alene, hvilken enhed der blev brugt. → Læs mere

UTC

Koordineret universaltid, den fælles tidsreference, som mange systemer gemmer tidspunkter i. Dansk tid er UTC plus en time om vinteren og plus to timer om sommeren, og omregningen skal være gjort korrekt, før tidspunkter fra forskellige kilder sammenlignes.

V

Vandmærkning

Indlejring af et synligt eller usynligt mærke i tekst, billeder eller lyd, for eksempel for at markere, at indholdet er skabt med AI. Usynlige mærker kan ofte fjernes eller svækkes ved redigering, så et manglende vandmærke beviser ikke, at indholdet er skabt af et menneske. → Læs mere

Verifikation

Kontrol af, at en kopi er identisk med originalen, typisk ved at sammenligne hashværdier, eller af, at et værktøj giver korrekte resultater. Verifikationen bør fremgå af rapporten, så modparten og retten kan se, at den er foretaget.

Versionshistorik

Den funktion i blandt andet cloudlagre og kontorprogrammer, der gemmer tidligere udgaver af et dokument. Versionshistorikken kan vise, hvem der ændrede hvad og hvornår, men antallet af gemte versioner og perioden er ofte begrænset.

Virtuel maskine

En computer, der kører som software på en fysisk server. Virtuelle maskiner kan kopieres og sikres som filer, men de kan også slettes eller nulstilles hurtigt, hvilket kan have betydning for bevarelsen.

VoIP

Telefoni over internettet, for eksempel via Teams, en IP-omstilling eller en app. Opkaldsoplysninger ligger da i tjenestens eller virksomhedens eget system og ikke kun hos et teleselskab, og de kan ofte trækkes ud med tidspunkt, varighed og nummer. → Læs mere

Volume Shadow Copy

En funktion i Windows, der tager øjebliksbilleder af et drev, for eksempel i forbindelse med opdateringer eller backup. Øjebliksbillederne kan indeholde tidligere udgaver af filer, der siden er ændret eller slettet, og de bør derfor med i en undersøgelse af computeren. → Læs mere

VPN

Virtuelt privat netværk, der sender forbindelsen gennem en krypteret tunnel til en anden server. En VPN kan skjule den reelle IP-adresse udadtil, mens virksomhedens egen VPN-løsning omvendt kan føre log over, hvem der var forbundet og hvornår. → Læs mere

W

Wallet

Et program eller en enhed, der opbevarer de nøgler, som giver rådighed over kryptoaktiver. Den, der har nøglerne, kan flytte aktiverne, og en wallet hos en kryptobørs skal behandles anderledes end en wallet, som brugeren selv styrer. → Læs mere

WARC

Et standardiseret filformat til arkivering af websider, som blandt andre Internet Archive bruger. En WARC-fil gemmer både sidens indhold og de tekniske oplysninger om hentningen, for eksempel tidspunkt og serverens svar, og rummer derfor mere end et skærmbillede. → Læs mere

Wayback Machine

Internet Archives offentlige arkiv over gemte websider. En arkiveret side kan vise, hvad der stod på en side på et tidligere tidspunkt, men den er en rekonstruktion, hvor dele kan være hentet på forskellige tidspunkter. → Læs mere

WHOIS

Opslag i registreringsoplysningerne for et domæne, for eksempel registreringsdato og registrator. Oplysninger om private registranter er ofte skjult af hensyn til databeskyttelse, så identifikation af indehaveren kan kræve en henvendelse til registratoren eller en editionsbegæring. → Læs mere

Wiping

Bevidst overskrivning af data, så de ikke kan gendannes. Spor af, at et sletteprogram er installeret eller kørt, kan i sig selv være relevante, for eksempel i en vurdering af bevisforspildelse.

Write blocker

Engelsk betegnelse for skrivebeskytter. Se under S.

Z

ZIP

Et format, der pakker en eller flere filer sammen og komprimerer dem. Et ZIP-arkiv bevarer ofte filernes tidsstempler, men ikke nødvendigvis alle metadata, og en adgangskode på arkivet beskytter indholdet, men ikke altid filnavnene. → Læs mere

Æ

Ægthed

Spørgsmålet om, hvorvidt et digitalt bevis er det, det giver sig ud for, og ikke er ændret. Ægthed vurderes typisk ud fra originalfil, metadata, hashværdier, systemlogge og sammenhængen med andre spor. → Læs mere