PDF-forensik: hvad en fil selv afslører
En PDF er ikke bare et billede af et dokument. Den er en lille database med historik, tidsstempler og fingeraftryk fra de programmer, der har rørt den. Her er, hvad der kan læses ud af den, og hvad det betyder.
Opdateret 2026-08-31 · Veriflied
Hvad ligger der i en PDF
Bag det, du ser på skærmen, indeholder en PDF metadata om, hvem eller hvad der lavede den (Producer og Creator), hvornår den blev lavet og ændret, et dokument-id, ofte en XMP-pakke med redigeringshistorik, skrifttyper med information om hvilket værktøj der indlejrede dem, og en struktur, der afslører, om filen er lavet i ét hug eller gemt flere gange.
Ingen af delene ses ved at læse dokumentet. Alle sammen kan læses af et program. Det er PDF-forensik: at bruge filens egne oplysninger til at vurdere, om dokumentet er det, det udgiver sig for.
De vigtigste spor
Producerkæden
Hvilket program lavede filen? Faktureringssystemer, offentlige portaler og hospitalssystemer skriver deres eget navn. Generelle PDF-biblioteker, browsere og tekstbehandling gør ikke. Et 'Netto-bilag' lavet med ReportLab er ikke fra Netto.
Tidsstempler
Oprettelses- og ændringstid i både den klassiske info-blok og XMP-pakken. De skal stemme overens indbyrdes, med filens historik og med den dato, dokumentet påstår at have.
Revisioner
En PDF kan gemmes inkrementelt. Så ligger den tidligere version stadig i filen. Antallet af revisioner, hvad der blev ændret imellem dem, og om værktøjet skiftede undervejs, er nogle af de stærkeste spor.
Redigeringshistorik
XMP-pakken indeholder ofte en liste over handlinger: oprettet, konverteret, gemt, redigeret. 'Redigeret' på et systemudstedt dokument er et fund i sig selv.
Dokument-id
PDF'er bærer et id-par: ét fra oprettelsen, ét fra seneste gemning. Er de forskellige, er filen gemt igen efter oprettelsen. Mangler id'et helt, kommer filen typisk ikke fra et professionelt system.
Skrifttyper
Indlejrede skrifttyper har et generationsmærke. Flere generationer i samme fil betyder, at tekst er tilføjet ad flere omgange, ofte af forskellige værktøjer.
Hvordan sporene læses sammen
Ét spor alene beviser sjældent noget. En fil kan være gemt to gange af en ærlig grund. Styrken ligger i kombinationen. En faktura, der er lavet af et generelt bibliotek, oprettet og ændret i samme sekund, uden XMP-pakke, uden dokument-id og oprettet to dage før anmeldelsen, er ikke fire små fund. Det er ét mønster, og det hedder 'nygenereret dokument uden udstederidentitet'.
En forensisk analyse arbejder derfor med navngivne mønstre oven på de enkelte spor og forklarer, hvorfor mønstret er bekymrende. Det er det, en udreder eller en bogholder kan handle på.
Hvad PDF-forensik ikke kan
Den kan ikke se, om indholdet er sandt. En helt ægte faktura kan dække over en løgn. Og en fil, der er printet til papir og scannet igen, har mistet sin historik. Så flytter analysen til billedet: scannerkæde, komprimering og AI-detektion. Derfor bør dokument- og billedforensik altid ligge i samme værktøj.
Ofte stillede spørgsmål
Kan metadata ikke bare ændres?
Jo, de synlige felter kan. Men de skal ændres konsekvent på tværs af info-blok, XMP-pakke, revisioner, skrifttyper og dokument-id, og de fleste, der forfalsker, ved ikke, at halvdelen findes. Uoverensstemmelser mellem lagene er et fund i sig selv.
Hvad er forskellen på Producer og Creator?
Creator er det program, dokumentet blev skrevet i (for eksempel Word). Producer er det, der lavede PDF-filen (for eksempel Acrobat eller en printerdriver). Kombinationen fortæller meget om, hvordan filen er blevet til.
Kan man få den oprindelige version ud af en redigeret PDF?
Når filen er gemt inkrementelt, ja. Den tidligere version ligger fysisk i filen og kan trækkes ud og sammenlignes med den nyeste.
Hvilke dokumenttyper giver det mening for?
Alt, der udstedes af et system og bruges som dokumentation: fakturaer, kvitteringer, kontoudtog, lægeerklæringer, journaludskrifter, politianmeldelser, vurderingsrapporter og attester.
Prøv det på dit eget dokument
Opret en konto og analyser dine første 10 billeder eller dokumenter gratis. Du får en rapport med de konkrete fund, ikke bare en score. Al behandling i EU.