En designer, en tekstforfatter eller et bureau har som regel stadig de filer, værket blev lavet i, og spørgsmålet er, hvad datoerne i dem er værd, når en kopi dukker op. De kan støtte, at værket er jeres, og hvornår det blev til, især når originalfilen indeholder mere end det, der blev offentliggjort. Datoerne alene er sjældent nok, fordi de kan ændres og ændrer sig ved almindelig brug, så de skal sikres urørt og læses sammen med spor fra andre kilder.
Tre lag af tid i én fil
En fil bærer tidspunkter flere steder, og de betyder noget forskelligt.
- Filsystemet · computeren registrerer, hvornår filen blev oprettet, ændret og åbnet. Det er de datoer, Stifinder og Finder viser.
- Dokumentets egne oplysninger · mange formater gemmer indvendigt, hvornår dokumentet blev oprettet og sidst gemt, af hvem og i hvilket program. Office-filer har fx felter til forfatter, revisionsnummer og samlet redigeringstid.
- Indholdet selv · datoer i teksten, versionsnumre i filnavnet, en kunde nævnt i et udkast eller et billede, der kun fandtes på et bestemt tidspunkt.
Når de tre lag peger samme vej, styrker de hinanden. Når de ikke gør, er der en forklaring at finde, og den skal findes, før modparten gør det.
Filsystemets datoer er de svageste
Filsystemets datoer flytter sig let. En kopi til et USB-stik, en udpakning af en zip-fil eller en synkronisering til skyen kan give nye oprettelsesdatoer. Microsoft beskriver i sin dokumentation, at forskellige filsystemer gemmer tiden forskelligt, nogle i lokal tid og andre i UTC, og at tidsstemplerne kan ændres med almindelige systemfunktioner uden at røre filens indhold.
Det betyder ikke, at datoerne er værdiløse. En mappe med hundrede arbejdsfiler, hvis datoer følger et naturligt arbejdsforløb over flere måneder, fortæller mere end én fil med en pæn dato. Mønsteret er sværere at konstruere end den enkelte dato.
En IT-sagkyndig kan sammenholde filsystemets datoer med dokumentets egne og vurdere, om de hænger sammen. → Tilbagedaterede dokumenter: filsystemets tidsstempler mod dokumentets egne
Originalfilen rummer mere end eksporten
Det, der lå på hjemmesiden eller i brochuren, var en eksport: en JPG, en PDF eller en færdig tekst. Originalfilen er arbejdsfilen bag, med lag, noter, kommentarer, skjulte elementer og ofte en historik fra programmet.
- Lag og elementer · en designfil med lag, der er slået fra, viser varianter, kopisten aldrig har set.
- Indlejrede oplysninger · redigeringsprogrammer kan skrive deres egne felter ind i filen, fx program, version og dokument-id.
- Kommentarer og rettelser · spor efter godkendelse hos en kunde eller kollega viser en proces.
- Større opløsning · originalen er ofte større eller skarpere end alt, der er offentliggjort.
Kan I fremlægge en originalfil med detaljer, som kopien ikke har, og som kun skaberen kunne have, er det ofte mere overbevisende end en dato. For billeder er det beskrevet i → Fotografens bevis: RAW-filer, serier og EXIF og for designarbejde i → Skitser, versioner og designproces som dokumentation.
Office-filer og PDF’er
Tekster ligger tit i Word-dokumenter eller som PDF. Begge formater gemmer egne datoer og navne, men de afspejler den maskine og den bruger, der gemte filen sidst, og en skabelon kan føre en forkert forfatter med sig. En gennemgang af felterne i Office-filer findes på digitalforensics.dk.
Har I skrevet teksten i et skybaseret værktøj, ligger versionshistorikken hos udbyderen. Eksportér den, før nogen redigerer videre, og notér, hvem der eksporterede og hvornår.
PDF’er bærer ofte både en oprettelsesdato og navnet på det program, der lavede dem. Det kan vise, at brochuren blev genereret fra jeres layoutprogram på en bestemt dag, men en PDF, der er gemt igen eller sendt gennem et onlineværktøj, kan have fået nye oplysninger. Gem derfor den PDF, der faktisk blev sendt til trykkeriet eller lagt på hjemmesiden, sammen med mailen eller uploadloggen, der viser hvornår. Har webbureauet eller trykkeriet en kopi, så bed dem gemme den urørt, så der findes et eksemplar uden for jeres egne systemer.
Hvad dokumentationen kan og ikke kan vise
Metadata og originalfiler kan vise, at en fil med et bestemt indhold fandtes hos jer, og at den blev bearbejdet over tid. De kan ikke alene bevise datoen, fordi datoer kan ændres. Derfor vejer de mest sammen med spor, I ikke selv har kontrol over. → Bevis for, at I var først
En hashværdi, et digitalt fingeraftryk af filen, kan vise, at filen ikke er ændret, efter fingeraftrykket blev beregnet. Får fingeraftrykket et tidsstempel fra en uafhængig tidsstempeltjeneste, kan det vise, at filen fandtes senest på det tidspunkt. Det siger intet om, hvornår filen blev skabt, men det låser den fra i dag og frem. Mere om tidsstempler i → Tidsstempler: hvornår så kopien sådan ud?
Det skal I lade være med
- At åbne originalerne for at se efter · det kan ændre adgangsdatoer og i nogle programmer gemme filen igen.
- At sende filerne som vedhæftning · mailprogrammer og chatværktøjer kan fjerne metadata eller omdøbe filen.
- At “rydde op” i mapperne · flytning mellem drev og omdøbning skjuler sammenhængen.
- At rette forfatterfeltet · selv en rettelse af en åbenlys fejl ligner manipulation bagefter.
- At stole på én dato · se på mønsteret i hele mappen.
Sådan sikrer I filerne
Lav en sikkerhedskopi af hele mappen, før nogen arbejder med den, helst som en samlet kopi af drevet eller mappen og ikke fil for fil. Beregn en hashværdi af kopien, og skriv ned, hvem der lavede den, hvornår og fra hvilken maskine. Arbejd derefter kun i en arbejdskopi.
Er sagen stor, eller forventer I, at modparten vil bestride datoerne, er det en opgave for en IT-sagkyndig, der kan sikre filerne med fast metode og forklare den bagefter. → Hvem skal sikre: jer selv, advokaten eller en IT-sagkyndig?
Det sikrer I nu
- ☐ Mappen med originaler er fundet, og ingen arbejder i den
- ☐ Der er lavet en samlet kopi med hashværdi og en note om hvem, hvornår og hvordan
- ☐ Versionshistorik fra skyværktøjer er eksporteret
- ☐ Originalfiler med detaljer, som kopien mangler, er markeret
- ☐ Afvigende eller mærkelige datoer er noteret, ikke rettet
Næste skridt er at sætte filerne ind i tidslinjen sammen med leverancer og offentliggørelse og give det hele til den, der vurderer sagen.
Kilder
- Microsoft Learn: File Times: filsystemer gemmer tid forskelligt (lokal tid eller UTC), og tidsstempler kan ændres uden at ændre filens indhold.
- RFC 3161: Time-Stamp Protocol: en tidsstempeltjeneste stempler en hashværdi og viser, at data fandtes på et bestemt tidspunkt.
Senest gennemgået: november 2026.
Næste skridt
Del af: Artikler om kopiering og ophavsret
Læs også: Skitser, versioner og designproces som dokumentation · Sådan dokumenteres en kopiering
→ Kontakt · Tlf. 70 13 63 23 · Bevissikring ved kopiering hos Nielco IT
