En tidslinje samler hændelser fra mails, logs, filer og telefoner i én rækkefølge. Den er ofte det mest overbevisende bilag i en sag med digitale beviser, fordi den fortæller en historie, som retten kan følge. Netop derfor er det vigtigt at vide, hvordan den er bygget. En tidslinje er ikke rå data. Den er et resultat af en række valg, og hvert valg kan have betydning for, hvad den viser.
Den tekniske metode er beskrevet på digitalforensics.dk om tidslinjeanalyse. Her handler det om, hvad advokaten skal vide for at bruge en tidslinje, og hvordan man går til en tidslinje, som modparten har fremlagt.
Hvordan en tidslinje bygges
En sagkyndig bygger typisk en tidslinje i fire trin:
- Udvælgelse af kilder. Hvilke enheder, konti og systemer indgår? Det, der ikke er med, kan ikke ses.
- Udtræk af tidsstempler. Hver kilde har sine egne tider: afsendelse og modtagelse af mails, oprettelse og ændring af filer, loginhændelser, beskeder.
- Normalisering. Tiderne omregnes til én tidszone og ét format, så de kan sammenlignes.
- Udvælgelse og præsentation. Ud af tusindvis af hændelser vælges dem, der er relevante for sagens spørgsmål.
Det sidste trin er det mest synlige og det mest sårbare. En tidslinje på en side er næsten altid et lille udsnit af et meget større datagrundlag.
Hvad et tidsstempel betyder
Mange tidsstempler har en snævrere betydning, end ordet antyder. Nogle eksempler i generelle termer:
- Filens “oprettet” · Hvad det typisk angiver: Hvornår filen kom ind på netop dette lagermedie · Hvad det ikke nødvendigvis angiver: Hvornår dokumentet blev skrevet
- Filens “ændret” · Hvad det typisk angiver: Hvornår indholdet sidst blev gemt · Hvad det ikke nødvendigvis angiver: Hvem der gemte, eller hvad der blev ændret
- Mailens “sendt” · Hvad det typisk angiver: Tidspunktet, afsenderens program satte på mailen · Hvad det ikke nødvendigvis angiver: Hvornår mailen nåede frem
- Loginhændelse · Hvad det typisk angiver: Hvornår en konto blev godkendt · Hvad det ikke nødvendigvis angiver: Hvor længe personen arbejdede
- Beskedens tid i en app · Hvad det typisk angiver: Typisk afsendelse eller modtagelse på enheden · Hvad det ikke nødvendigvis angiver: Hvornår beskeden blev læst
Når en fil kopieres, flyttes eller pakkes ud, kan nogle tidsstempler ændre sig, mens andre bliver stående. Det er en almindelig kilde til misforståelser, for eksempel når et dokument ser ud til at være “oprettet” efter det tidspunkt, hvor det beviseligt blev sendt.
Seks steder, hvor en tidslinje er sårbar
1. Tidszoner og ure
Tider fra forskellige systemer kan være i UTC, lokal tid eller uden angivelse. Sommertid giver yderligere en times forskel halvdelen af året. Et ur på en computer eller telefon kan også gå forkert. Spørg, hvordan tiderne er omregnet, og om urene er kontrolleret. → Tidsstempler og tidszoner
2. Manglende kilder
En tidslinje uden data fra telefonen eller en cloudtjeneste kan vise et hul, som i virkeligheden blot er et hul i datagrundlaget. Sammenhold listen over kilder med det, klienten ved om, hvilke systemer der blev brugt.
3. Huller i perioden
Logs roteres, mails slettes, og telefoner udskiftes. Viser tidslinjen intet i en periode, kan det betyde, at intet skete, eller at data fra perioden ikke findes. Tidslinjen bør selv sige, hvilken af delene der er tale om.
4. Udvælgelsen
Hvem valgte hændelserne ud, og efter hvilke kriterier? Fremgår det, hvor mange hændelser der blev fravalgt? En tidslinje, der kun viser hændelser, som passer til én forklaring, bør ledsages af det fulde grundlag.
5. Rækkefølge og årsag
At to hændelser ligger tæt på hinanden, betyder ikke, at den ene førte til den anden. En hentet fil og en sendt mail få minutter senere kan hænge sammen, men de kan også være uafhængige. Tidslinjen viser rækkefølge. Årsagssammenhæng er en vurdering.
6. Præcision
Nogle tidsstempler er angivet med sekunder eller brøkdele af sekunder, andre kun med minutter eller dato. Nogle systemer registrerer først en hændelse, når en opgave er afsluttet, eller samler flere hændelser i én registrering. Står to hændelser i en bestemt rækkefølge, men med forskellig præcision, er rækkefølgen ikke nødvendigvis sikker. Spørg, hvor præcis hver kilde er, før der lægges vægt på minutter.
Når tidslinjen er modpartens
En fornuftig fremgangsmåde:
- Bed om en liste over de kilder, tidslinjen bygger på.
- Bed om det fulde, ufiltrerede udtræk for perioden, gerne i et format, der kan sorteres.
- Spørg, hvilken tidszone der er brugt, og hvordan tiderne er omregnet.
- Lad en sagkyndig kontrollere et udvalg af hændelser mod kilden.
- Byg klientens egen version ud fra klientens data, og sammenlign.
Ofte er det ikke de viste hændelser, der er forkerte. Det er dem, der mangler, eller den betydning, der lægges i dem. Spørgsmålene kan stilles som opfordringer eller indgå i skønstemaet. → Syn og skøn i IT-sager
Når tidslinjen er klientens egen
Den bedste tidslinje er den, der allerede har taget højde for indsigelserne:
- Angiv tidszone i overskriften og omregn konsekvent.
- Angiv kilden ved hver hændelse, så den kan føres tilbage.
- Markér huller i datagrundlaget i stedet for at lade dem stå tomme.
- Adskil fund og vurderinger, for eksempel i hver sin kolonne.
- Fremlæg det fulde grundlag som bilag eller gør det tilgængeligt for modpartens sagkyndige.
En tidslinje, der selv viser sine begrænsninger, er sværere at angribe end en, der ser fuldstændig ud. Det giver også retten et bedre grundlag for at vurdere, hvor meget der kan udledes af den, og hvor der skal andre beviser til.
Tidslinjen i retssalen
En tidslinje på papir kan være svær at følge, hvis den har mange rækker. Overvej at lave en kort oversigt med de vigtigste hændelser og en fuld version som bilag. Den sagkyndige kan forklare, hvordan den er bygget, og hvad den ikke viser. Det styrker troværdigheden, at begrænsningerne nævnes af den part, der fremlægger tidslinjen, og ikke kun af modparten. → Digitale beviser i retssalen
Typiske fejl
- At behandle tidslinjen som rå data i stedet for som en analyse.
- At blande lokal tid og UTC i samme oversigt.
- At læse “oprettet” som tidspunktet, dokumentet blev skrevet.
- At udelade hændelser, der ikke passer ind, uden at nævne det.
- At slutte fra rækkefølge til årsag uden yderligere grundlag.
Tjekliste
- ☐ Alle kilder er listet, og fravalgte kilder er nævnt
- ☐ Én tidszone er brugt og angivet
- ☐ Hver hændelse kan føres tilbage til en sikret kilde
- ☐ Huller i datagrundlaget er markeret
- ☐ Fund og vurderinger er adskilt
- ☐ Det fulde grundlag kan stilles til rådighed
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
