Metadata er oplysninger om data: hvem der har oprettet en fil, hvornår den er ændret, hvilken telefon et billede er taget med, eller hvilken server en mail er sendt fra. I en tvist er metadata ofte vigtigere end selve indholdet, fordi de kan vise, hvordan og hvornår noget er sket.
Eksempler på metadata
- Word- og Excel-filer · Forfatter, senest gemt af, oprettet, ændret, udskrevet, redigeringstid
- PDF · Program, der har lavet filen, oprettelses- og ændringsdato
- Billeder · Tidspunkt, kameramodel, telefon, eventuelt GPS-position
- Mails · Afsenderserver, modtagerserver, tidspunkter for hvert led, besked-ID
- Filer på en computer · Oprettet, ændret, tilgået og flyttet, ifølge filsystemet
- Beskeder · Sendt, leveret, læst, redigeret, slettet
- Systemer · Hvem loggede ind, hvornår og hvorfra
Hvad metadata kan vise i en sag
- At en fil er ældre eller nyere end påstået. For eksempel at et "gammelt" dokument faktisk er oprettet efter tvisten startede.
- Hvem der har arbejdet på et dokument, for eksempel at en tegning hos en konkurrent stadig har jeres medarbejder som forfatter.
- At en mail er sendt fra den rigtige afsender, eller at den ikke er. → Mail-headere
- Hvor og hvornår et billede er taget. → Fotos og video som bevis
- At filer er kopieret eller hentet på et bestemt tidspunkt.
Metadata er sårbare
Metadata ændres let, ofte uden at man opdager det:
- Åbning af en fil kan ændre tidspunktet for "senest tilgået".
- Kopiering til en USB-nøgle eller en anden mappe kan ændre oprettelsestidspunktet.
- Videresendelse af en mail erstatter de oprindelige header-oplysninger med nye.
- Upload af billeder til sociale medier eller beskedtjenester fjerner ofte metadata.
- Print og scanning fjerner alle digitale metadata.
Derfor er det vigtigt ikke selv at kopiere, åbne eller videresende det, der skal bruges som bevis. → De første 24 timer
Kan metadata forfalskes?
Ja, nogle metadata kan ændres med de rigtige værktøjer. Men ændringer efterlader ofte spor, fordi de samme oplysninger findes flere steder: i filen selv, i filsystemet, i backup, i cloudtjenestens logfiler og i andre filer. En undersøgelse ser derfor på, om oplysningerne passer sammen. Uoverensstemmelser er i sig selv et vigtigt fund. → Kan et digitalt bevis forfalskes?
Tidspunkter skal fortolkes
Tidspunkter i metadata kan være i forskellige tidszoner, komme fra et ur, der går forkert, eller betyde noget andet, end navnet antyder. "Ændret" kan for eksempel opdateres af et program, uden at brugeren har ændret indholdet. En IT-sagkyndig vurderer, hvilke tidspunkter der kan stoles på.
Hvordan sikres metadata?
Metadata bevares bedst ved at sikre den oprindelige kilde: computeren, telefonen, postkassen eller cloudkontoen, med metoder der ikke ændrer noget. → Hvad er en forensisk kopi? · Sådan foregår en bevissikring
