En beskedtjeneste med ende-til-ende-kryptering kan beskytte indholdet så godt, at udbyderen selv ikke kan læse det. Alligevel afgøres en række andre forhold af, hvilken juridisk enhed der driver tjenesten, og hvilke myndigheder den skal svare.
Artiklen forklarer, hvad kryptering fra ende til ende beskytter, hvad den lader stå åbent, og hvorfor jurisdiktion skal vurderes særskilt. Den vurderer ingen konkret tjeneste som sikker eller usikker.
To spørgsmål, der skal stilles hver for sig
Det første spørgsmål er teknisk. Hvem kan dekryptere indholdet? Ved kryptering under transport er forbindelsen beskyttet, men udbyderen kan læse beskederne på sine servere. Ved ende-til-ende-kryptering har kun afsenderens og modtagerens enheder nøglerne.
Det andet spørgsmål er juridisk. Hvem kan kræve data udleveret, få en tjeneste ændret eller få en konto lukket? Svaret afhænger af den juridiske enhed bag tjenesten og af moderselskabets land, jf. → trin 2 om juridisk enhed og moderselskab.
Et godt svar på det første spørgsmål besvarer ikke det andet. Begge hører hjemme i vurderingen af hver kommunikationstjeneste. Modellen svarer til opdelingen i → de tre lag, hvor krypteringen hører til den operationelle kontrol, mens jurisdiktionen hører til det juridiske lag.
Hvad krypteringen beskytter
Når krypteringen er reel, kan udbyderen ikke udlevere beskedindholdet, fordi den ikke har det i læsbar form. WhatsApp skriver i sin privatlivspolitik for Europa, gældende fra 2. juli 2026, at personlige beskeder og opkald er krypteret fra ende til ende, så heller ikke WhatsApp kan læse eller høre dem.
Signal offentliggør de stævninger og kendelser, tjenesten har modtaget. I en sag fra 2016 kunne Signal kun oplyse, hvornår to brugere havde oprettet deres konto, og hvornår de sidst havde forbundet sig. Den seneste offentliggjorte sag er dateret 6. marts 2026.
Eksemplerne viser, at krypteringen og mængden af oplysninger, en tjeneste gemmer, sammen bestemmer, hvad der overhovedet kan udleveres. Ordet krypteret i en produktbeskrivelse siger derfor lidt i sig selv. Spørg, hvor nøglerne ligger, og hvilke data tjenesten gemmer ved siden af indholdet.
Hvad krypteringen lader stå åbent
Kryptering af indholdet beskytter ikke de oplysninger, tjenesten selv indsamler om brugen. WhatsApps privatlivspolitik nævner blandt andet tidspunkter for afsendte og modtagne beskeder og opkald, hvornår brugeren sidst var aktiv, enhedsoplysninger og IP-adresse. Den slags metadata kan vise, hvem der kommunikerer med hvem og hvornår.
Politikken oplyser også, at WhatsApp kan udlevere oplysninger på grundlag af gyldige anmodninger fra myndigheder. Som eksempel nævnes en kendelse fra irsk politi om profilbillede eller IP-adresse.
Backup er et andet punkt. Krypteres sikkerhedskopien af beskederne ikke med en nøgle, som kun brugeren har, kan indholdet ligge læsbart hos den tjeneste, der opbevarer kopien. Apples ændring for britiske brugere, beskrevet i → lovkrav om adgang til krypterede data, handler netop om den slags sikkerhedskopier.
Kontoen er et svagt punkt
Krypteringen hjælper ikke, hvis en anden får adgang til kontoen. Den hollandske efterretningstjeneste AIVD og den militære tjeneste MIVD advarede 9. marts 2026 om en russisk kampagne mod Signal- og WhatsApp-konti hos embedsmænd, militærpersonel og ansatte i staten. Angriberne udgav sig for at være Signals support og fik ofre til at oplyse verifikations- og pinkoder. Andre misbrugte funktionen til at tilknytte nye enheder.
AIVD’s generaldirektør understregede, at tjenesterne som helhed ikke var kompromitteret. MIVD’s direktør, viceadmiral Peter Reesink, sagde, at tjenesterne trods ende-til-ende-kryptering ikke bør bruges til klassificerede, fortrolige eller følsomme oplysninger.
Advarslen viser, at styring af konti og enheder er en del af sikkerheden. I forbrugerudgaver af beskedtjenester har organisationen typisk ingen central administration. Den kan derfor sjældent lukke en fratrådt medarbejders adgang til gruppesamtaler eller spærre en bortkommet telefon. Når en konto er overtaget, kan angriberen ifølge AIVD læse indgående beskeder, også i grupper.
Udbyderen kan ændre krypteringen
Krypteringen er et valg, udbyderen har truffet, og valget kan ændres. Instagrams hjælpecenter oplyser, at ende-til-ende-krypterede beskeder ikke længere understøttes fra 8. maj 2026. Brugere med berørte samtaler fik anvisninger på at hente medier og beskeder, de ville gemme.
For en organisation betyder det, at en tjenestes krypteringsstatus skal noteres med dato og efterprøves igen. En tjeneste, der var krypteret ved valget, kan være det i mindre grad ved næste gennemgang, jf. → vilkår, der ændres ensidigt.
Hvem der kan kræve udlevering
Amerikansk lov gælder for udbydere med tilknytning til USA, også når data ligger i Europa. 18 U.S.C. § 2713, indført med Cloud Act i 2018, pålægger udbydere at udlevere indhold og kundeoplysninger, de har i deres besiddelse, varetægt eller kontrol, uanset hvor oplysningerne befinder sig. Rækkevidden er beskrevet i → Cloud Act.
Hos WhatsApp leverer WhatsApp Ireland Limited tjenesten til brugere i Europa, mens WhatsApp LLC leverer den uden for Europa og Storbritannien, ifølge privatlivspolitikken. Hvilke krav der kan rettes mod hvilken enhed, er et juridisk spørgsmål, der skal vurderes for den konkrete tjeneste. Et europæisk datterselskab kan have et moderselskab i et andet land, og det er moderselskabets kontrol over data, der kan gøre amerikansk lov relevant.
Ende-til-ende-kryptering begrænser, hvad en udbyder kan udlevere. Den ændrer ikke, at metadata og kontooplysninger kan omfattes af et krav.
Når udbyderen har nøglen
Hvor tjenesten ikke er krypteret fra ende til ende, rækker udbyderens jurisdiktion også til indholdet. Den irske databeskyttelsesmyndighed DPC offentliggjorde 2. maj 2025 en afgørelse om TikToks overførsler af europæiske brugerdata til Kina. Sagen drejede sig om fjernadgang fra medarbejdere i ByteDance-koncernen i Kina.
DPC fandt, at TikTok ikke havde efterprøvet, sikret og godtgjort, at de supplerende foranstaltninger og standardkontraktbestemmelserne var effektive, og pegede på kinesiske love, der afviger væsentligt fra EU’s standarder. TikTok har anket afgørelsen. Sagen viser, hvordan adgang til læsbare data og udbyderens tilknytning til et tredjeland hænger sammen. Afgørelsen siger ikke, at kinesiske myndigheder har fået adgang til beskeder. Den handler om, at beskyttelsen mod en sådan adgang ikke var dokumenteret.
Jurisdiktion afgør også, om tjenesten kører
Kryptering beskytter indhold. Den holder ikke en tjeneste kørende, hvis udbyderen lukker en konto, en organisation eller et marked. Sanktioner og dekreter kan pålægge udbydere at afbryde levering, jf. → sanktioner og dekreter og sagen om → ICC og Microsoft.
En organisation, der hoster sin egen server på en åben protokol, kan flytte tjenesten uden at miste adgangen til sine brugere. Det flytter ansvaret for drift, opdateringer og sikkerhed til organisationen selv eller dens driftsleverandør. Alternativerne til chat og møder er gennemgået i → alternativer til chat, video og projektstyring.
Sådan vurderer I en kommunikationstjeneste
Gennemgå hver tjeneste, der bruges til fortroligt indhold, også chat, videomøder og fildeling. Notér svarene med dato.
- Kryptering · Er indholdet krypteret fra ende til ende som standard, eller kun under transport?
- Backup · Hvor ligger sikkerhedskopier, og hvem har nøglen til dem?
- Metadata · Hvilke oplysninger om brugen gemmer udbyderen, og hvor længe?
- Juridisk enhed · Hvilken enhed leverer tjenesten, og hvor er moderselskabet registreret?
- Kontostyring · Kan organisationen tilføje og fjerne brugere og enheder centralt?
- Lukning · Hvem kan afbryde tjenesten, og hvilket varsel får I?
- Ændringer · Hvordan varsles ændringer i kryptering og vilkår?
Hvad vurderingen kan og ikke kan vise
Vurderingen viser, hvem der teknisk kan læse indholdet, og hvilke myndigheder der kan rette krav mod udbyderen. Den giver et grundlag for at beslutte, hvilke oplysninger der må sendes gennem hvilken tjeneste.
Den viser ikke, om en myndighed faktisk har krævet data om jeres organisation, og den kan ikke vurdere styrken af en konkret implementering af krypteringen. Udbydernes gennemsigtighedsrapporter viser omfanget af anmodninger i store træk, men sjældent hvem de angår, jf. → vilkår, der tillader udlevering uden retskendelse. Den siger heller ikke noget om de enheder, beskederne læses på. En kompromitteret telefon eller konto omgår krypteringen.
Betydningen for exit-planen
Kommunikationstjenester skifter ofte i det små, uden at nogen har besluttet det. Saml dem i kortlægningen, og vurder kryptering og jurisdiktion som to selvstændige punkter.
- Beslut, hvilke typer oplysninger der ikke må sendes gennem tjenester, hvor udbyderen kan læse med.
- Notér krypteringsstatus med dato, og efterprøv den i → trin 10.
- Undersøg leverandørkæden bag tjenesten i → trin 3.
En uvildig vurdering kan betale sig, når kommunikationen bærer følsomme oplysninger eller indgår i kritiske arbejdsgange. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger lovgivning, juridisk enhed og moderselskab for hvert system.
Kilder
- WhatsApp: WhatsApp Privacy Policy (European Region), gældende fra 2.7.2026. https://www.whatsapp.com/legal/privacy-policy-eea
- Signal: Government Communication, oversigt over stævninger og kendelser, seneste sag 6.3.2026, set 30.10.2026. https://signal.org/bigbrother/
- AIVD og MIVD: Russia targets Signal and WhatsApp accounts in cyber campaign, 9.3.2026. https://english.aivd.nl/latest/news/2026/03/09/russia-targets-signal-and-whatsapp-accounts-in-cyber-campaign
- Instagram Help Center: End-to-end encryption on Instagram, set 30.10.2026. https://help.instagram.com/491565145294150
- Legal Information Institute, Cornell Law School: 18 U.S. Code § 2713, Required preservation and disclosure of communications and records (Pub. L. 115-141, 2018). https://www.law.cornell.edu/uscode/text/18/2713
- Data Protection Commission: Irish Data Protection Commission fines TikTok €530 million and orders corrective measures following Inquiry into transfers of EEA User Data to China, 2.5.2025. https://www.dataprotection.ie/en/news-media/latest-news/irish-data-protection-commission-fines-tiktok-eu530-million-and-orders-corrective-measures-following
