Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Staminag schrieb:Das verstehe ich nicht.

Wo hakt es denn?
Du wirst nicht umhin kommen dich damit etwas näher zu befassen, wenn du die verschiedenen Möglichkeiten verstehen möchtest.

Staminag schrieb:Mir geht es erstmal nur um die von IP beschriebene Version "Löschen von Bild 509 mit dem Computer", die Versionen 5 und 6:

Die Ultrakurzfassung: mit Löschen des Hauptordners oder Formatieren der SD-Karte bräuchte man zusätzliche Schritte um Spuren gelöschter Bilder zu hinterlassen, aber möglich ist es.

Viel einfacher und naheliegender wäre aber, dass nur die letzten N Bilder gelöscht wurden und dann mehr als N Bilder von einem Rechner auf die Karte kopiert wurden. Mit dieser kleinen Änderung funktioniert das IP-Bsp. dann, ohne zusätzliche Schritte, soweit ich das sagen kann.

Staminag schrieb:Mir scheint das eher ein Indiz dafür zu sein, dass es das Bild oder Video nie gab, also doch eher ein Speicherfehler, so wie es hier beschrieben wurde:

Zum 1000. Mal: Löschen direkt auf der Kamera ist die allereinfachste Erklärung - jedenfalls wenn es nur um das fehlende Bild #509 geht.

Und das Bild gab es in dem Sinne auch nie, wenn jmd. diese Bilder von einem Rechner auf die Karte kopiert hat aber dabei kein Bild #509 kopiert hat.

lucyvanpelt schrieb:Wie passt das dann am Ende zusammen?

Es ist mir ganz nicht klar ....

FvdG arbeitete eng mit der NFI zusammen. Also, manchmal wurde er von der NFI engagiert (auch für andere Fälle) und manchmal von den Eltern. Daraus kann eine Sprachverwirrung entstehen: NFI versus FvdG.

cyclic schrieb:Die Ultrakurzfassung: mit Löschen des Hauptordners oder Formatieren der SD-Karte bräuchte man zusätzliche Schritte um Spuren gelöschter Bilder zu hinterlassen, aber möglich ist es.

Noch kürzer wäre ein "Ja" auf meine Frage:

Staminag schrieb:Kann dieses Vorgehen, also genau so wie dort beschrieben, nicht als Erklärung für das Fehlen von 509 ausgeschlossen werden, weil die Wiederherstellungssoftware später Spuren von anderen zuvor gelöschten Dateien fand?

Denn IP beschreibt keine zusätzlichen Schritte.

cyclic schrieb:Viel einfacher und naheliegender wäre aber, dass nur die letzten N Bilder gelöscht wurden und dann mehr als N Bilder von einem Rechner auf die Karte kopiert wurden. Mit dieser kleinen Änderung funktioniert das IP-Bsp. dann, ohne zusätzliche Schritte, soweit ich das sagen kann.

Das finde ich absolut nicht naheliegend.

cyclic schrieb:Zum 1000. Mal: Löschen direkt auf der Kamera ist die allereinfachste Erklärung - jedenfalls wenn es nur um das fehlende Bild #509 geht.

Käme drauf an, ob die Software dann nicht Spuren davon finden müsste, so wie von den anderen Dateien.

cyclic schrieb:Und das Bild gab es in dem Sinne auch nie, wenn jmd. diese Bilder von einem Rechner auf die Karte kopiert hat aber dabei kein Bild #509 kopiert hat.

Oder wenn ein wie auch immer gearteter technischer Fehler vorlag.

lucyvanpelt schrieb:Da steht nix von der Beteiligung der niederländischen Polizei.

Das steht im Buch "Lost in the Jungle", ich zitiere es mal:

De Nederlandse politie is nauwer betrokken geweest bij de onderzoeken dan uit de pers naar voren is gekomen. Er waren verschillende mensen van de politie aanwezig die voortdurend in contact stonden met het Panamese OM en die actief deelnamen aan de zoektochten. Zo was er ook politie aanwezig bij het in ontvangst nemen van onder meer het bekken en de rugzak. De politie heeft de resten ook begeleid naar het laboratorium om ervoor te zorgen dat de bewijsketen in stand bleef. Ook hebben ze actief zelf onderzoek gedaan

Übersetzung (Deepl):

Die niederländische Polizei war enger in die Ermittlungen eingebunden, als aus der Presse zu entnehmen war. Es waren mehrere Personen der Polizei anwesend, die in ständigem Kontakt mit der panamaischen Staatsanwaltschaft standen und aktiv an den Untersuchungen beteiligt waren. So war die Polizei unter anderem auch bei der Entgegennahme des Beckens und des Rucksacks anwesend. Die Polizei begleitete die sterblichen Überreste auch zum Labor, um sicherzustellen, dass die Beweiskette eingehalten wurde. Sie führten auch aktiv eigene Ermittlungen durch.

Staminag schrieb:Kann dieses Vorgehen, also genau so wie dort beschrieben, nicht als Erklärung für das Fehlen von 509 ausgeschlossen werden, weil die Wiederherstellungssoftware später Spuren von anderen zuvor gelöschten Dateien fand?

Nein. Die Spuren von zuvor gelöschten Dateien bleiben doch genauso auf der SD-Karte erhalten, wie die Spuren aller Dateien beim Löschen des DCIM-Ordners oder beim Formatieren der SD-Karte. Nur eine Low Level Formatierung würde die (meisten) Spuren beseitigen.

Das vom NFI eingesetzte Forensik-Tool findet gelöschte Dateien sowohl über den Verzeichniseintrag, als auch anhand von Dateisignaturen, auch wenn die Karte formatiert wurde. Wenn die Cluster der 64 / 4 gelöschten Fotos / Videos teilweise oder vollständig überschrieben wurden, kann dennoch ein Verzeichniseintrag wiederherstellbar sein, der die Metadaten (Name, Timestamps, Größe) der gelöschten Dateien enthält.

Staminag schrieb:Hast du selbst eigentlich Wiederherstellungssoftware getestet?

Ja. Ich / Wir haben die vom NFI verwendete Forensik-Software PhotoRec und auch den Microsoft Viewer in der Version von 2014 getestet und die Ergebnisse analysiert. Der MS-Viewer produziert beim Drehen von Fotos exakt das Ergebnis, was auf IP abgebildet ist und löscht dabei Originalbilder ohne dass der Benutzer etwas davon merkt. Nachzulesen in @cyclic's Blog. In progress .. :-)

Offshore7 schrieb:Ja. Ich / Wir haben die vom NFI verwendete Forensik-Software PhotoRec und auch den Microsoft Viewer in der Version von 2014 getestet und die Ergebnisse analysiert.

Und in welchem Fall kommt es vor, dass Spuren eines nicht vorhandenen Bildes fehlen, während Spuren anderer gelöschter Dateien entdeckt werden? Kannst du das Fazit der niederländischen Autoren bestätigen, wonach ein Löschen (am PC oder an der Kamera) anscheinend ein Aufspüren durch die Software nicht verhindert?

Staminag schrieb:Das steht im Buch "Lost in the Jungle", ich zitiere es mal:

Das war doch das Buch, welches in enger Zusammenarbeit mit der Staatsanwältin Pitti entstanden ist. Ihre Version des Ablaufs darstellt. Gab's da nicht im Nachhinein Probleme, weil nicht alles gestimmt hat. Oder meinst du ein anderes Buch?

@Staminag

Beides gute Fragen, die wahrscheinlich in @cyclic's Blog demnächst mal beantwortet werden, die VM mit der Software von 2014 habe ich ja.

Offshore7 schrieb:Beide gute Fragen werden wahrscheinlich in @cyclic's Blog demnächst mal beantwortet, die VM mit der Software von 2014 habe ich ja.

Das finde ich sehr gut. Ich bin gespannt. Danke euch beiden für die Tests und die Erklärungen.

lucyvanpelt schrieb:Das war doch das Buch, welches in enger Zusammenarbeit mit der Staatsanwältin Pitti entstanden ist. Ihre Version des Ablaufs darstellt. Gab's da nicht im Nachhinein Probleme, weil nicht alles gestimmt hat. Oder meinst du ein anderes Buch?

Ich meine das Buch:
https://www.amazon.de/Verloren-jungle-Dutch-Marja-West-ebook/dp/B0936VRQ8Z

Wie bei allen Veröffentlichungen darf man skeptisch sein, ob die Aussagen korrekt recherchiert und bewertet wurden. Da die Autoren aber angeblich mit jemandem von der Polizei gesprochen haben und M. West auch ein Buch über Frank van de Goot geschrieben hat, halte ich die zitierte Aussage für zutreffend.

Offshore7 schrieb:Nein. Die Spuren von zuvor gelöschten Dateien bleiben doch genauso auf der SD-Karte erhalten, wie die Spuren aller Dateien beim Löschen des DCIM-Ordners oder beim Formatieren der SD-Karte. Nur eine Low Level Formatierung würde die (meisten) Spuren beseitigen.

Wenn es Aussagen darüber gibt, wann die Dateien gelöscht wurden (vor dem Boquete-Aufenthalt), spricht das mE dafür, dass dabei die Befüllung der Lücken herangezogen wurde. Das müsste eigentlich aus dem Bericht hervorgehen, den wir nicht kennen. Mir ist schon nicht klar ob diese vor Boquete gelöschten Dateien nun dieselben sind wie die wiederherstellbaren. Für mich spricht dagegen, dass die Lücken bereits vor Boquete gelöschter Dateien durch die Bilder aus Boquete + Nachtbilder überschrieben worden sein müssten und daher nicht wiederherstellbar gewesen sein dürften. Bei den wiederherstellbaren Bildern vermute ich von den Panamaern gedrehte und versehentlich gespeicherte Versionen als Grund.

Offshore7 schrieb:Das vom NFI eingesetzte Forensik-Tool findet gelöschte Dateien sowohl über den Verzeichniseintrag, als auch anhand von Dateisignaturen, auch wenn die Karte formatiert wurde

Die Frage ist, was findet es noch wenn nach dem Löschen von sagen wir 50 Bildern wieder 100 oder mehr Bilder auf der Karte gespeichert werden? Also abgesehen vom Block-Belegungsmuster der existierenden Dateien.

cyclic schrieb:Wenn es Aussagen darüber gibt, wann die Dateien gelöscht wurden (vor dem Boquete-Aufenthalt), spricht das mE dafür, dass dabei die Befüllung der Lücken herangezogen wurde.

Hierzu das knappe Zitat:

Op de card – door het NFI een geheugendrager genoemd – treft het instituut 470 fotobestanden en 7 videobestanden aan, plus de resten van 64 fotobestanden en 4 videobestanden die vóór 28 maart verwijderd zijn.

Mehr wird dazu nicht gesagt. Mir ist nicht klar, ob das ausdrücklich so im Bericht vom NFI steht und worauf die Behauptung gründet oder ob es nur eine Vermutung der Autoren ist (die auch nicht weiter begründet wird).

cyclic schrieb:Das müsste eigentlich aus dem Bericht hervorgehen, den wir nicht kennen.

Ouaip, wir haben zwar zusammen das Know How und alle technischen Voraussetzungen, aber uns fehlen Daten aus dem NFI-Bericht, die vllt. nur wir als wichtig erkennen würden, falls sie denn da sind. :-)

cyclic schrieb:Für mich spricht dagegen, dass die Lücken bereits vor Boquete gelöschter Dateien durch die Bilder aus Boquete + Nachtbilder überschrieben worden sein müssten und daher nicht wiederherstellbar gewesen sein dürften.

So wie es auf IP steht, waren ja auch keine Bilder vor dem 1.4. wiederherstellbar, nur noch ersichtlich, dass mal iwann 64 / 4 Bilder / Videos gelöscht wurden. Und ab / nach dem 1.4. wurden keine Bilder gelöscht (abgesehen von #509).

cyclic schrieb:Die Frage ist, was findet es noch wenn nach dem Löschen von sagen wir 50 Bildern wieder 100 oder mehr Bilder auf der Karte gespeichert werden?

Ich vermute recht wenig bis gar nix, wenn das in nem engen zeitlichen Rahmen und ohne Neuformatierung passiert. Aber das können wir testen.

Offshore7 schrieb:Ich vermute recht wenig bis gar nix, wenn das in nem engen zeitlichen Rahmen und ohne Neuformatierung passiert. Aber das können wir testen.

Genau das vermute ich eben auch ganz stark (aber mit Beweis per Test wäre es natürlich sicherer). Das was ich auf den letzten Seiten geschrieben habe, gründet schon auf dieser Annahme.

Offshore7 schrieb:So wie es auf IP steht, waren ja auch keine Bilder vor dem 1.4. wiederherstellbar, nur noch ersichtlich, dass mal iwann 64 / 4 Bilder / Videos gelöscht wurden. Und ab / nach dem 1.4. wurden keine Bilder gelöscht (abgesehen von #509).

Irgendeine Idee woher die Diskrepanz zwischen 1.4 (IP) und 28.3 (Lost in the Jungle lt @Staminag) kommen könnte? Einfach weil IP hier nur auf die Nachtbilder abziehlt?

Ich fände ja den Stichtag 28.3. durchaus spannend. Was auch irrsinnig spannend wäre, ist wenn man wüsste, ob zusammenhängende Blöcke gelöscht wurden. Gäbe es da einen größeren Block Bilder die Mitte März gemacht worden wären, würde ich z.B. extrem hellhörig werden (aber auch nur wenn die Löschung scheinbar nahe am 28.3. passiert wäre - also erst Bilder von danach in den entspr. Lücken säßen).

cyclic schrieb:Irgendeine Idee woher die Diskrepanz zwischen 1.4 (IP) und 28.3 (Lost in the Jungle lt @Staminag) kommen könnte? Einfach weil IP hier nur auf die Nachtbilder abziehlt?

Ja. Die haben da kein genaues max. Datum für die alten gelöschten Dateien angegeben. Nur dass alle 40 wiederhergestellten Bilder zwischen #476 und #609 liegen.

cyclic schrieb:Gäbe es da einen größeren Block Bilder die Mitte März gemacht worden wären, würde ich z.B. extrem hellhörig werden (aber auch nur wenn die Löschung scheinbar nahe am 28.3. passiert wäre - also erst Bilder von danach in den entspr. Lücken säßen).

Ja, das wäre aus mehreren Gründen seltsam, auch aus dem von dir angedachten. :-) Ich tippe bei den meisten gelöschten Bildern aber auf NL-Bilder aus Januar.

Staminag schrieb:Das steht im Buch "Lost in the Jungle", ich zitiere es mal:

Staminag schrieb:Es waren mehrere Personen der Polizei anwesend, die in ständigem Kontakt mit der panamaischen Staatsanwaltschaft standen und aktiv an den Untersuchungen beteiligt waren.

Staminag schrieb:So war die Polizei unter anderem auch bei der Entgegennahme des Beckens und des Rucksacks anwesend. Die Polizei begleitete die sterblichen Überreste auch zum Labor, um sicherzustellen, dass die Beweiskette eingehalten wurde.

Das war also in Juni 2014, wann Pittí in Alto Romero die gelben Umschläge entgegen genommen hatte. Ein Niederländischer Polizist war dabei. Aber die Niederländische Polizei hat nicht activ an den Suchen beteiligt.

Anthurium schrieb:Aber die Niederländische Polizei hat nicht activ an den Suchen beteiligt.

Das ist richtig, an Suchen in Panama war die niederländische Polizei nicht beteiligt. Das war Panamas Zuständigkeit und dafür wurden eigene Leute eingesetzt. Allerdings wurden niederländische Hundestaffeln dazugeholt. Auf dem Gruppenfoto des Suchtrupps 2015 in "Lost in the Jungle" sind auch die niederländischen Hundeführer mit drauf.

Also immer dann, wenn der Staatsanwaltschaft in Panama die Mittel fehlten, haben sie die Niederlande um Unterstützung gebeten. Frank van de Goot unterstützte Panama allerdings nicht. Er reiste mit einem weiteren Pathologen und einem Anthropologen im Auftrag der Eltern. Dessen Expedition wurde vermutlich aus den Mitteln der Stiftung bezahlt. Ich kann mir aber vorstellen, dass die zusätzliche Untersuchung der Knochen durch das NFI auf Staatskosten ging, weil die Staatsanwaltschaft in den Niederlanden ein Interesse daran hatte, das Verschwinden von niederländischen Staatsbürgerinnen im Ausland selbst unter die Lupe zu nehmen, zumal die Angehörigen öffentlich den Aufklärungsbedarf äußerten und Fragen hatten, die Panama nicht zufriedenstellend beantwortete.

Das Video zur Abreise der drei niederländischen Forensiker:
https://nos.nl/artikel/2011582-nederlandse-pathologen-zoeken-kris-en-lisanne

Mit einem weiteren Hinweis auf eine Beteiligung des NFI und der Polizei:

Vor Weihnachten gab es ein Treffen mit den Familien von Kris und Lisanne, der Polizei und dem niederländischen Forensischen Institut.

Staminag schrieb:Allerdings wurden niederländische Hundestaffeln dazugeholt.

Das ist halt immer mit Vorsicht zu genießen, diese ganzen verschiedenen Suchtrupps bei prominenten Fällen. Vor Ort inklusive auf irgendwelchen Fotos waren die letzten zehn Jahre über 100 Personen, Abenteurer, Privatermittler, Buch-Autoren, .. Die Frage ist halt immer was die jeweilige Mission darf von offizieller Seite aus. Unter Aufsicht den Touriweg ablaufen oder dorthin wo es weh tut. Die niederländischen Fellnasen zum Beispiel waren überhaupt nicht an wichtigen Stellen, da war außer Spesen nix gewesen.

FL106772 schrieb:Die niederländischen Fellnasen zum Beispiel waren überhaupt nicht an wichtigen Stellen, da war außer Spesen nix gewesen.

Hatte auch mal gelesen die waren überhaupt nicht hinter dem Gipfel. Warum hat man ihnen das damals nicht gestattet?

Staminag schrieb:Ich kann mir aber vorstellen, dass die zusätzliche Untersuchung der Knochen durch das NFI auf Staatskosten ging, weil die Staatsanwaltschaft in den Niederlanden ein Interesse daran hatte, das Verschwinden von niederländischen Staatsbürgerinnen im Ausland selbst unter die Lupe zu nehmen, zumal die Angehörigen öffentlich den Aufklärungsbedarf äußerten und Fragen hatten, die Panama nicht zufriedenstellend beantwortete.

Wenn das der Fall war, dann kann ich Dich fast versichern, dass es nicht die NFI war, die einen Hausbesuch gemacht hat. Es mussten Beamten der Staatsanwaltschaft gewesen sein oder Ermittler von der Polizei. (Es sei denn: sie hätten für diesen Fall eine historische Ausnahme gemacht.)

Wo ist eigentlich @Doctective ?

cyclic schrieb:Zum 1000. Mal: Löschen direkt auf der Kamera ist die allereinfachste Erklärung - jedenfalls wenn es nur um das fehlende Bild #509 geht.

Was auch durchaus Sinn ergibt im Falle eines FP.
Jemanden bei etwas fotografiert. Die Person/en bemerkt/en es, nehmen K+L quasi fest, löschen das Bild.
K+L können später vielleicht fliehen, setzen die Anrufe ab und dann werden sie wieder gefangen oder es passiert ein Unfall oder oder oder.
Ohne , dass computergenie X irgendwas groß machen muss.

Offshore7 schrieb:Ja. Ich / Wir haben die vom NFI verwendete Forensik-Software PhotoRec und auch den Microsoft Viewer in der Version von 2014 getestet und die Ergebnisse analysiert. Der MS-Viewer produziert beim Drehen von Fotos exakt das Ergebnis, was auf IP abgebildet ist und löscht dabei Originalbilder ohne dass der Benutzer etwas davon merkt. Nachzulesen in @cyclic's Blog. In progress .. :-)

Ich muss Mal wieder sagen, wie unglaublich toll ich euren Einsatz, eure Sachlichkeit und eure Ausdauer finde! Ohne euch (und Christian/Annette) könnte man den Threads eigentlich schließen.

Offshore7 schrieb:Ouaip, wir haben zwar zusammen das Know How und alle technischen Voraussetzungen, aber uns fehlen Daten aus dem NFI-Bericht, die vllt. nur wir als wichtig erkennen würden, falls sie denn da sind. :-)

Hat Doctective den eigentlich? Wenn ja, wäre es dann nicht sinnvoll, wenn ihr euch mal zusammen hinsetzen würdet und das auswerten?

cyclic schrieb:Ich fände ja den Stichtag 28.3. durchaus spannend. Was auch irrsinnig spannend wäre, ist wenn man wüsste, ob zusammenhängende Blöcke gelöscht wurden. Gäbe es da einen größeren Block Bilder die Mitte März gemacht worden wären, würde ich z.B. extrem hellhörig werden (aber auch nur wenn die Löschung scheinbar nahe am 28.3. passiert wäre - also erst Bilder von danach in den entspr. Lücken säßen).

Warum fändest du das spannend? Und wieso Mitte März? Wenn ich mich richtig erinnere, war da was zwecks Sonnenstrand etc?

Offshore7 schrieb:Die physikalische Ebene spielt keine Rolle, da diese bei Wear-Levelling nicht auswertbar ist bzw. vom NFI nur die logische Ebene ausgewertet wurde. Und da wurden (mindestens) die Bilder #505, #506 und #507 lt. NFI durch Drehen gelöscht und die Bilder #508 und #510 liegen Sektor an Sektor.

Selbstverständlich spielt die physikalische Speicheranordnung eine Rolle..
Bei digitalen Medien wird alles Kreuz und quer gespeichert der Haltbarkeit wegen..

Stichwort: Defragmentieren/Optimieren der Datenlaufwerke..

Und klaro kann man mit entsprechender Software sowohl den physikalischen Speicherort, als auch den logischen ermitteln..

Ich hab (ei)ne knoppix CD/DVD/Stick, da gibt's genug Programme die alles herausfinden, lesen können, und oder wiederherstellen können..