Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

cyclic schrieb:Ich habe gerade meinen alten Windows-7-Laptop (mit eingebautem SD-Reader) wieder angeschmissen und auch das jetzt mal selbst getestet. Die Ergebnisse sind etwas seltsam.

cyclic schrieb:Ich habe gerade meinen alten Windows-7-Laptop (mit eingebautem SD-Reader) wieder angeschmissen und auch das jetzt mal selbst getestet. Die Ergebnisse sind etwas seltsam.

Interessanter Test, und schwer zu erklären. Besteht die Möglichkeit, dass die Person, die sich die Dateien im Photoviewer angeschaut und gedreht hat, die erzeugten Files willentlich als TMP-File auf der SD Karte gespeichert hat?

Offshore7 schrieb:Deine "Seltsamkeiten" sind seltsam, hab ich bisher nicht beobachtet. Hab es aber auch nicht live im Explorer mitverfolgt, was der Viewer da murkst. Wäre ja ziemlich inkonsistent, wenn der Viewer beim Drehen mal dies und mal das macht. :-)

Also er macht mal dies und mal das, soviel ist schon sicher, nur noch nicht wann und warum.
Das ganze Vorgehen alte Datei umbenennen, neue schreiben (evtl. noch nicht unter dem alten Namen, die dann erst bei Erfolg in den originalen Namen umbenannt wird) und alte Datei dann erst bei Erfolg löschen (sonst "Rückabwicklung") ist sicher keine originäre Erfindung der Programmierer des Viewers. Das könnte auch Teil einer Standard-Windows-Library (DLL) sein. In dem Fall könnten andere Programme genau dasselbe Verhalten zeigen und es wäre auch plausibler, wenn das Verhalten etwas komplexer wäre und unter best. Umständen anders funktioniert als unter anderen.

Ich werde das in den nächsten Tagen testen (und meinem Zoo an "Forensik-Tools" offenbar noch etwas erweitern müssen

Doctective schrieb:Interessanter Test, und schwer zu erklären. Besteht die Möglichkeit, dass die Person, die sich die Dateien im Photoviewer angeschaut und gedreht hat, die erzeugten Files willentlich als TMP-File auf der SD Karte gespeichert hat?

Werde ich auch testen. Macht erstmal nicht viel Sinn (also eigentlich aus meiner Sicht überhaupt keinen). Aus dem Bauch: es sollte einfach sein auch ganz simpel über den Datei-Explorer Dateien in die .TMP-Form (großes TMP) umzubenennen. Es wird eine Warnung geben wegen der Änderung der File-Extension von .JPG in .TMP weil das unter Windows entscheidend für die Erkennung des Dateityps ist und evtl. auch wegen des zu langen Namens, aber ich denke das geht.

Ob der Explorer einen auch in die andere Form (kleines .tmp am Ende und ~ am Anfang) umbenennen lässt, ist eher fraglich, weil die damit zu versteckten Dateien werden. Via Commandline dürfte es eher gehen. Aber diese Form ist weniger relevant, denn die ist ja nicht beobachtet worden.

Aber wie gesagt ich teste das demnächst (bin mit dem ganzen Windows-Geraffel weniger vertraut).

PS: eine Beobachtung noch, nicht so wichtig, aber wenn man Bilder auf der SD-Karte dreht und die Karte wieder in die Kamera einlegt und in den Ansichts-Modus geht beschwert sich die Kamera über die aus ihrer Sicht invaliden Dateien, die dann auch nicht richtig angezeigt werden (keine Überraschung, nur nebenbei bemerkt).

Doctective schrieb:Das meine ich mit Unstimmigkeiten, die wir selbst (noch) nicht verstehen.

Nach der hochspannenden Analyse der Kameraspeicher wollte ich doch noch einmal kurz etwas zu der Möglichkeit anmerken, dass BEIDE in Panama Mobilfunk nutzen konnten: Scheint das nicht insofern logisch zu sein und bestätigt zu werden als mit beiden (ob von beiden und/oder nur einer sei dahingestellt) Handys Notrufversuche unternommen worden sind? Vorausgesetzt, die beiden wussten, dass sie keine Netzabdeckung gehabt haben, warum sollten sie das dann überhaupt versuchen? Zumindest nachvollziehbar scheinen mir die ersten beiden Notrufe zu sein, die vielleicht aus einer Panik(?) heraus erfolgten, aber die anderen?

Zudem @Doctective:
1. Was genau forderte Arrocha noch einmal hinsichtlich der Mobilfunknetze um den Mirador herum? Könnte seine diesbezügliche Forderung darauf hindeuten, dass er davon ausging, die beiden könnten Netzzugang gehabt haben? Und:

2. Wie ist in diesem Zusammenhang das nachgewiesene Einloggen der IMEI von Kris (oder war es Lisannes?) Handy im Juni 2014 einzuordnen? Auch hier und ebenfalls im Konjunktiv: Spräche das nicht auch für Netzzugang?

Diebold schrieb:Nach der hochspannenden Analyse der Kameraspeicher wollte ich doch noch einmal kurz etwas zu der Möglichkeit anmerken,

Dass ich da nur Bahnhof verstehe. Was ja eigentlich gar nicht schlimm ist. Nur Frage ich mich welchen Erkenntnisgewinn daraus resultiert. Meine da sicher keine die den Fall weiter bringen, oder gar lösen.

@schluesselbund
Naja, die einzigen wirklich einigermaßen als gesichert anzusehenden Beweise sind nunmal die Handydaten (wenn sie denn richtig und/oder vollständig dokumentiert bzw gesichert wurden).
Alles andere ist ja mehr als unsicher.
Da macht es schon Sinn dort anzusetzen.
(Wobei ich auch nur Bahnhof verstehe und mich gar nicht mehr traue nachzufragen! 😄)

ringelnatz schrieb:Wobei ich auch nur Bahnhof verstehe und mich gar nicht mehr traue nachzufragen! 😄

Ich habe auch immer noch (die gleichen) Fragen und bin mir nicht sicher, ob das mittlerweile schon geklärt ist. Ich weiß immer noch nicht, was der Forensiker mit gefundenen Spuren bezüglich der 64 gelöschten Fotos meint. Könnte er diese Spuren mit EnCase gefunden haben?

Mich würde interessieren:
1) Finden PhotoRec/EnCase noch "Spuren" von mehreren gelöschten Bildern und Videos, wenn die Speicherkarte freigemacht wurde (ggf. mit Formatierung), die Kamera ausgeschaltet wird und danach über 100 Bilder und ein paar Videos gemacht werden?

2) Finden sowohl PhotoRec als auch EnCase hingegen keine Spuren vom letzten gelöschten Bild mehr, wenn die Kamera nach dem Löschen ausgeschaltet und danach mehrere Bilder gemacht werden?

Letztlich geht es bei diesen Überlegungen nur darum zu prüfen, was am wahrscheinlichsten ist: 1. dass das Bild nie existierte, 2. dass es an der Kamera oder 3. dass es am PC gelöscht wurde. IP hatte ja schon herausgefunden, dass es an der Kamera gelöscht worden sein könnte, dass ein Überspringen des Bildes kameraseitig höchst selten vorkommt und dass ein Löschen am PC mehrere bestimmte Handlungsschritte erfordern würde (Ordner hin und herkopieren). Cyclic hat zusätzlich noch herausgefunden, dass die Kamera nach dem Löschen und vor dem nächsten Foto ausgeschaltet werden muss, sonst bleibt eine „Lücke“, die es bei Lisannes Speicherkarte zwischen den Bildern 508 und 510 nicht gab. Ein Löschen an der Kamera mit anschließendem Ausschalten wäre also eine einfache Erklärung. Wenn besondere Umstände hinzukommen, kann es aber auch sein, dass das Bild nicht gespeichert wurde (also nie existierte):

Faktor12 schrieb am 20.05.2025:Wegen dem fehlenden Bild: Ich habe es auf 2 Kamers mehrfach geschafft, den Fehler zu haben. Die Ursache dürfte in einer Kombination aus Erschütterung und / oder Temperaturveränderung plus Nässe liegeb. Dann kommt es zu folgenden Verhalten: Man schaltet Kamera ein, will en Bild machen, es kommt eine Fehlermeldung,die Kamera stürzt komplett ab.

Für mich wäre nun noch zu klären, ob die vom NFI genutzte forensische Software tatsächlich im Test "Spuren" von teilweise überschriebenen Bildern findet, aber keine Spur vom letzten gelöschten Bild, das überschrieben wurde. Wenn das der Fall ist, dann ist Löschen an der Kamera eine passende Erklärung. Ob es die richtige ist, weiß man damit trotzdem nicht. Wenn mit EnCase aber doch noch Spuren vom letzten gelöschten und nach dem Wiederanschalten durch nachfolgende Fotos überschriebenen Bild gefunden werden, dann wäre das meiner Meinung nach ein Hinweis darauf, dass 509 nicht gelöscht wurde, sondern nie existierte.

@Doctective
Man kann Dateien manuell ganz easy in die TMP-Namen umbenennen (nur ne kleine Warnung wg. der Änderung der Extension JPG->TMP muss man wegklicken).

@Offshore7
Danke, DMDE ist ein cooles Programm. Und ja es lassen sich dann doch die Dateinamen wiederherstellen. Offenbar bleiben die "Inhaltsverzeichnis-Einträge" des Filesystems doch auch solange bestehen, wie der Speicherbereich nicht neu beschrieben wird. Es lassen sich sogar mehrere Namensänderungen nachvollziehen (und genau das passiert bei den TMP/tmp-Dateien: das Original wird zweimal umbenannt).

Es gibt mind. noch ein weiteres Windows-Bildbetrachtungsprogramm, dass genau die gleichen TMP-Dateien erzeugt: Windows Live Photogallery (das ist nur nicht das was in den EXIF-Daten auftaucht).

Die ganzen Details hier in meinem letzten Blog-Eintrag dazu:
SD-Karte Filesystem Block/Cluster-Versuche (Seite 2) (Beitrag von cyclic)

---

staminag schrieb:1) Finden PhotoRec/EnCase noch "Spuren" von mehreren gelöschten Bildern und Videos, wenn die Speicherkarte freigemacht wurde (ggf. mit Formatierung), die Kamera ausgeschaltet wird und danach über 100 Bilder und ein paar Videos gemacht werden?

Nein. Ich habe den relevanten Versuch auch gerade nochmal mit DMDE wiederholt (s. o.g. Blog-Eintrag). Sobald die entspr. Speicherbereiche überschrieben wurden ist nichts mehr auffindbar d.h. es bleiben nur wiederherstellbare Dateien wenn die nach dem Löschen (+Kamera aus/an) aufgenommenen neuen Dateien insges. kürzer sind als die gelöschten.

Beim Low-Level-Formatieren ist die Karte sofort leer (auch das nochmal mit DMDE gecheckt, s. Blog). Schnelles Formatieren habe ich nicht getestet, vermute aber das ist wie Löschen: erst nach dem Überschreiben mit neuen Dateien sind die alten auch durch Recovery-Software nicht mehr auffindbar.

Wobei ich mit PhotRec und jetzt auch DMDE getestet habe. Die Infos zu EnCase sind schütter. Die Bewertungen miserabel. Aber es scheint mehr eine Mobil- und (heute) Cloud-Auswertungstool zu sein und dürfte eher darauf abzielen Log-Einträge auszuwerten und ggf. sinnhaft zu verknüpfen - nur gibt es halt bei so einer Kamera keine Logs (mit Sicherheit nicht auf der SD-Karte und ob auf der Kamera irgendwas abgelegt wird habe ich auch Zweifel). So verstehe ich auch das Statement des Forensikers dazu: EnCase war eine vage und gescheiterte Hoffnung einfach irgendwas zu finden, PhotRec dann der Versuch gelöschte Dateien zu finden und wiederherzustellen (was ja funktioniert hat).

staminag schrieb:2) Finden sowohl PhotoRec als auch EnCase hingegen keine Spuren vom letzten gelöschten Bild mehr, wenn die Kamera nach dem Löschen ausgeschaltet und danach mehrere Bilder gemacht werden?

Ist das nicht dieselbe Frage nur andersherum formuliert? Jedenfalls ist die Antwort: Ja bzw. korrekt. Und i.d.R. reicht ein einziges Bild um ein anderes gelöschtes endgültig verschwinden zu lassen (so stark unterschiedlich groß sind die Bild-Dateien nicht). Es muss dafür auch nicht das letzte Bild sein, das gelöscht wurde, es darf nur keine anderen freien Lücken vorher geben (kleinere Speicheradressen), weil die halt vorher gefüllt würden.

cyclic schrieb:Ist das nicht dieselbe Frage nur andersherum formuliert?

Das ist das, was sich laut NFI-Bericht gegenübersteht: Angeblich wurden Spuren von 64 gelöschten Fotos und 4 gelöschten Videos gefunden, aber keine Spur vom (mutmaßlich auch gelöschten) Foto 509. Dieses Ergebnis wäre der Vollständigkeit halber noch nachzustellen: Spuren von mehreren gelöschten Fotos einerseits, aber keine Spuren eines späteren gelöschten Fotos andererseits.

Dass gelöschte Videos gefunden wurden, zeigt, dass das Aufspüren nicht auf einen Zeitraum beschränkt wurde, denn das sind Videos von vor dem 1. April und es sind daher auch nicht nur mit dem Viewer veränderte Fotos, von denen etwas gefunden wurde.

cyclic schrieb:Es muss dafür auch nicht das letzte Bild sein, das gelöscht wurde, es darf nur keine anderen freien Lücken vorher geben (kleinere Speicheradressen), weil die halt vorher gefüllt würden.

Dazu hatte Offshore7 eine Idee:

Offshore7 schrieb:Nicht wenn sie die Fotos per Formatierung "gelöscht" hat, denn im neuen Dateisystem gibt es keine Lücken, welche die Kamera füllen könnte. Die Daten der alten Bilder sind aber dennoch vorhanden, insofern sie nicht "zufällig" ganz oder teilweise überschrieben werden.

Ist das eine Erklärung? Man müsste schauen, was passiert: Übertragen von Bildern und Videos mit Standardformatierung, dann diverse weitere Bilder machen und das letzte davon löschen. Danach wieder 100 Fotos machen. Werden Spuren von den alten Fotos noch gefunden, aber nichts vom letzten gelöschten?

cyclic schrieb:Die Infos zu EnCase sind schütter. Die Bewertungen miserabel. Aber es scheint mehr eine Mobil- und (heute) Cloud-Auswertungstool zu sein und dürfte eher darauf abzielen Log-Einträge auszuwerten und ggf. sinnhaft zu verknüpfen - nur gibt es halt bei so einer Kamera keine Logs (mit Sicherheit nicht auf der SD-Karte und ob auf der Kamera irgendwas abgelegt wird habe ich auch Zweifel). So verstehe ich auch das Statement des Forensikers dazu: EnCase war eine vage und gescheiterte Hoffnung einfach irgendwas zu finden, PhotRec dann der Versuch gelöschte Dateien zu finden und wiederherzustellen (was ja funktioniert hat).

EnCase dient dem Auffinden und der Wiederherstellung verlorener oder gelöschter Daten. Das Tool findet zwar auch nichts mehr, wenn etwas gelöscht und vollständig überschrieben wurde, wird aber beschrieben als ein renommiertes digitales Forensik-Tool.

https://it-forensik.fiw.hs-wismar.de/images/3/35/APLForensikHH02.pdf

staminag schrieb:Ist das eine Erklärung?

Sehe ich nicht.

Schnelle (nicht Low-Level) Formatierung habe ich zwar nicht speziell getestet, gehe aber davon aus, dass das exakt daselbe ist wie alle Dateien zu löschen: Die Karte ist "offiziell" leer, Content gelöschter Dateien ist jedoch noch vorhanden (noch keine Erase auf NAND-Ebene).
Der erste freie Speicherplatz (kleinste Speicheradresse) wird zuerst wieder beschrieben, dann aufsteigend weiter. Ist die Speicherkarte also offiziell leer (neu/alle Dateien gelöscht/frisch formatiert) dann wird halt ab dem absoluten Anfang (der kleinsten Adresse) aufsteigend neu beschrieben bis die Karte voll ist, oder irgendetwas gelöscht wird.

Wenn die Karte vor dem Löschen/Formatieren randvoll war und nun z.B. wieder zu 50% gefüllt wird, dann sind die Dateien in der ersten Häfte unwiederbringlich weg, die in der zweiten Häfte noch da und dazwischen ist eine deren Anfang evtl. bereits überschrieben ist, deren Ende aber noch nicht.
Wenn du jetzt wieder alles löscht/formatierst und sagen wir diesmal 25% mit neuen Dateien füllst (jedenfalls weniger als vorher), dann sind die ersten 25% neu, die zweiten sind von vorher und die letzten 50% sind die ganz alten. Da ist dann immer noch der Rest der einen deren Ende knapp hinter der 50%-Grenze liegt und nun noch eine deren Ende knapp hinter der 25%-Grenze liegt. Wenn du das Spiel nun also 64 mal machst, dann kannst du, mit etwas Glück, 64 Enden partiell überschriebener Dateien finden (wenn die SD-Karte das Spielchen oft genug mitmacht).

Das ist natürlich absurd und nur rein theoretisch möglich (was die beiden Tools genau zu solchen partiell überschriebenen Dateien sagen werde ich noch testen).

Wenn du außerdem irgendwann in dem Prozess beim Auffüllen auf 50%, 25%, ... die gerade zuletzt gespeicherte Datei X löscht und dann (nach Kamera aus/an) die nächste Datei speicherst, wird die wie gehabt den Platz von X einnehmen, womit X dann weg ist. Nur wenn sie kürzer als X ist, bleibt ein Rest von X am Ende erhalten, bis du die nächste Datei speicherst, die dann auch den Rest von X überschreibt.

Letzteres funktioniert immer und ist die einfachste / wahrscheinlichste Erklärung für das Fehlen von #509 und dafür dass #508/#510 Sektor an Sektor liegen. Wahrscheinlicher sicherlich als ein ganz bestimmter Fehler, der bei dem Kameratyp anscheinend noch nie beobachtet wurde.
A-priori auch wahrscheinlicher als das Umkopieren auf ein anderes Speichermedium, Löschen der SD-Karte und Rückkopieren der Dateien in der richtigen Reihenfolge aber ohne #509 (außer man kann komplexere Manipulationen nachweisen, die dieses Vorgehen erfordert hätten).

staminag schrieb:EnCase dient dem Auffinden und der Wiederherstellung verlorener oder gelöschter Daten.

Ich sehe in deinem Link keinerlei Erwähnung von Wiederherstellung oder auch nur Auffinden von gelöschten Bildern. Gelöscht wurden Browserverläufe und da die mit dem Höllentool "CCleaner" gelöscht wurden konnten sie gerade nichts weiter dazu herausfinden. Ansonsten macht die SW offenbar so ungefähr das was ich mir schon gedacht habe: sie sucht und verknüpft relevante Informationen (in bestehenden Dateien).

Wie auch immer, wir haben jetzt mit photorec und DMDE zwei Tools getestet, die speziell für das Finden und Wiederherstellen gelöschter Dateien gemacht sind und die liefern konsistente Ergebnisse¹⁾, die darüber hinaus auch perfekt zu dem passen was filefrag ausgibt.

---

¹⁾ photorec ignoriert nur scheinbar das Inhaltsverzeichnis des Filesystems und macht offenbar gleich das was DMDE "Full Scan" nennt, durchsucht also die komplette SD-Karte nach kompletten oder Resten gelöschter Dateien.

cyclic schrieb:Wenn die Karte vor dem Löschen/Formatieren randvoll war und nun z.B. wieder zu 50% gefüllt wird, dann sind die Dateien in der ersten Häfte unwiederbringlich weg, die in der zweiten Häfte noch da und dazwischen ist eine deren Anfang evtl. bereits überschrieben ist, deren Ende aber noch nicht.
Wenn du jetzt wieder alles löscht/formatierst und sagen wir diesmal 25% mit neuen Dateien füllst (jedenfalls weniger als vorher), dann sind die ersten 25% neu, die zweiten sind von vorher und die letzten 50% sind die ganz alten. Da ist dann immer noch der Rest der einen deren Ende knapp hinter der 50%-Grenze liegt und nun noch eine deren Ende knapp hinter der 25%-Grenze liegt. Wenn du das Spiel nun also 64 mal machst, dann kannst du, mit etwas Glück, 64 Enden partiell überschriebener Dateien finden (wenn die SD-Karte das Spielchen oft genug mitmacht).

Das ist natürlich absurd und nur rein theoretisch möglich (was die beiden Tools genau zu solchen partiell überschriebenen Dateien sagen werde ich noch testen).

Ich verstehe nur Bahnhof. :D

Wenn die Karte randvoll war und immer wieder Fotos gelöscht wurden, dann war die Karte auch randvoll fragmentiert. Nach einer Formatierung bleiben also nur noch Fragmente der alten Dateien übrig. Sobald es Clustersprünge gibt, sind die alten Bilder nicht mehr wiederherstellbar, da es keine FAT-Tabelle (keine Clusterkette) für die alten Daten gibt. Dann gibt es zwar vllt. ein paar JPEG-Signaturen, weshalb man weiß, da war mal ein Bild, aber es verliert sich im Cluster-Nirwana.

Offshore7 schrieb:Ich verstehe nur Bahnhof.

Ich verstehe auch nur die Hälfte. Aber ChatGPT sagt das dazu. ;)

🧪 Dein Szenario: Iteratives Überschreiben und partielle Datenreste

Wenn man immer wieder löscht und neu beschreibt – jeweils mit weniger Daten als beim vorherigen Durchgang –, dann:
• Frühere Speicherbereiche werden überschrieben, aber frühere Daten, die in späteren Bereichen lagen, können erhalten bleiben.
• Dateien, deren Blöcke teils neu, teils alt sind, lassen sich fragmentarisch wiederfinden.
• Mit Glück (und passendem Analysewerkzeug) kann man so mehrere überlappende Dateienden aus verschiedenen Generationen rekonstruieren.

Das ist tatsächlich eine bekannte Datenforensik-Methode, etwa bei der Wiederherstellung gelöschter Dateien oder dem Reverse Engineering alter SD-Karteninhalte.

Quelle: ChatGPT

Offshore7 schrieb:Wenn die Karte randvoll war und immer wieder Fotos gelöscht wurden, dann war die Karte auch randvoll fragmentiert.

In meinem Bsp. nicht. Einmal von vorne nach hinten vollschreiben - da fragmentiert nichts. Dann alles Löschen und wieder bis zu einem best. Grad vollschreiben - fragmentiert auch nichts.

Aber ich verstehe den Gedanken: erzeuge stark fragmentierte Dateien. Das geht durch Erzeugen möglichst kleiner Lücken mittels Löschen und Befüllung mit neuen Dateien die nicht alle vollständig in die Lücken passen. Und wenn man es dann noch schafft die Anfänge solcher Dateien zu überschreiben hat man ggf. nur noch Datenmüll. Nur wie bewerkstelligst du das für viele Dateien (sagen wir mal 64)?

Außerdem fragmentierte Dateien dürften bei halbwegs normaler Kameranutzung eher selten sein.

_Salzbrezel schrieb:[ChatGPT] Mit Glück (und passendem Analysewerkzeug) kann man so mehrere überlappende Dateienden aus verschiedenen Generationen rekonstruieren.

Das verstehe ich jetzt nicht ganz, aber gemeint könnte sein, wenn immer wieder leicht geänderte Versionen einer Datei abgespeichert werden, wie das z.B. bei Word-Dokumenten der Fall ist, kann man sich aus verschiedenen Fragmenten größere Teile zusammenreinen. Spielt hier keine echte Rolle (verschiedene Versionen desselben Inhalts gibt's wahrscheinlich nur bei den 40 Miniaturansichten).