Mange tvister afgøres af et tidspunkt: Blev filen kopieret før eller efter opsigelsen? Blev mailen sendt før fristen? Digitale tidsstempler ser præcise ud, ned til sekundet. Men de kan vise noget andet end det, der faktisk skete, og to kilder kan vise forskellige tidspunkter for den samme hændelse. Her er, hvorfor, og hvad du skal være opmærksom på.
Fem grunde til, at tidspunktet kan være forkert
- Tidszoner: Mange systemer gemmer tiden i UTC (verdenstid) og viser den i lokal tid. Dansk tid er UTC+1 om vinteren og UTC+2 om sommeren.
- Sommertid: En hændelse i marts eller oktober kan flytte en time, afhængigt af hvordan systemet regner.
- Forkert ur: En computer eller telefon med forkert indstillet ur giver forkerte tidsstempler.
- Kopiering: Når en fil kopieres, kan den få en ny oprettelsesdato, mens ændringsdatoen bevares. Så kan filen se ud, som om den blev ændret, før den blev oprettet.
- Automatiske processer: Antivirus, backup og synkronisering kan ændre "senest åbnet" uden, at en person har gjort noget.
Hvilket tidspunkt viser hvad?
- Oprettet · Hvad det normalt betyder: Hvornår filen kom på denne placering · Faldgrube: Kopiering giver ny dato
- Ændret · Hvad det normalt betyder: Hvornår indholdet senest blev ændret · Faldgrube: Bevares ofte ved kopiering
- Senest åbnet · Hvad det normalt betyder: Hvornår filen senest blev læst · Faldgrube: Opdateres ikke altid, eller af automatik
- Afsendt (mail) · Hvad det normalt betyder: Det tidspunkt, afsenderens program angav · Faldgrube: Afhænger af afsenderens ur
- Modtaget (mail) · Hvad det normalt betyder: Hvornår modtagerens server fik mailen · Faldgrube: Normalt mere pålideligt
Eksempel
En medarbejder siger, at en fil blev kopieret til et USB-drev, før opsigelsen den 1. april kl. 10. Filsystemet på drevet viser kl. 9.30. Er det sandt? Det afhænger af, om tiden er lokal tid eller UTC, om drevets filsystem gemmer lokal tid (det gør mange USB-drev), og om computerens ur var rigtigt. Uden at kende de forhold kan tidspunktet tolkes forkert med en eller to timer.
Sådan undgår du at blive vildledt
- Sammenlign flere kilder: Et tidspunkt, der bekræftes af både computeren, mailserveren og cloud, er langt stærkere.
- Spørg efter tidszonen: Står det ikke i rapporten, så spørg.
- Kontrollér uret: En IT-sagkyndig kan ofte se, om en computer eller telefon havde forkert ur.
- Brug serverens tid, hvor det er muligt. Servere er normalt synkroniseret med præcise tidskilder.
Hvad du selv kan gøre
Når du gemmer et bevis, så skriv tidspunktet ned med dansk tid, og notér, hvilken enhed du brugte. Tag ikke skærmbilleder af tidspunkter uden at have den oprindelige kilde. → Skærmbilleder som bevis
Manipulation af tid
Et tidsstempel kan ændres med vilje, for eksempel ved at stille computerens ur tilbage. Det efterlader ofte spor i andre dele af systemet. → Kan digitale beviser forfalskes?
Mere teknisk
Hvordan tidsstempler samles i en tidslinje, og hvilke tekniske faldgruber der er i filsystemer, er beskrevet på digitalforensics.dk.
Nielco IT vurderer tidspunkter i digitale beviser i civile sager. Se Nielco IT.
