Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Hallo,
ich wollte zu diesem Fall anfragen, ob sich hier jemand intensiver mit dem Problem des vermissten Bilds 509 technisch auseinandergesetzt hat, da ich mich selbst mit der Thematik etwas auskenne. Mir sind hier einige Dinge nicht ganz klar, z.B. inwieweit die Dateien in Unterordner aufgeteilt waren und die Bilder tatsächlich vollständig linear und ohne Fragmentierung abgespeichert waren. In dem Bericht sieht es so aus, als ob auch im Datenbereich zwischen den Clustern von 508 und 510 eine Clusterlücke wäre. Ist das so und was hat man dort gefunden?

Hallo @sceptical
bitte einmal die letzten 15 Seiten lesen und dabei das Augenmerk auf die Beiträge von @cyclic
und @Offshore7 legen. Ich verstehe da nichts mehr, glaube aber, dass die beiden wissen, wovon sie schreiben und sich technisch sehr eingehend damit befasst haben.

Danke für die Antwort, habe ich schon, hatte tatsächlich aus dieser Richtung auch auf Antwort gehofft.

Streusel schrieb:Dann klick mal da drauf. Da ist eine Karte mit diesem Wasserlauf und auch ein Video:

Streusel schrieb:Wenn Du das nicht glaubst

Ich glaube es tatsächlich nicht. Denn die Kartendarstellungen, in diesem Video weisen schwere handwerkliche Mängel auf.

Wie sind diese Karten entstanden ?

Man nahm eine Reliefkarte und malte mit dem Paintprogramm einfach eine blaue Linie auf.

Wenn du von deinem Kartenbild, dass du hier als fundierte Grundlage verstanden wissen möchtest, dass Video weiter laufen lässt, wird es richtig schräg.

Es wird noch eine Karte eingeblendet.( Ab Minute 29:00)

Wird der eine Fluss eben noch als kreisförmiger Halbbogen eingezeichnet, verläuft er auf einmal parallel zum Weg und auch zu Q1.

Und (Achtung Schenkelklopfer)...Q1 schneidet den Pianista insgesamt 2 mal.

Dafür fehlt dann der Zweite komplett.

Also...abhaken und vergessen. Dieses Material taugt in Bezug auf die wirkliche Lage, nicht für eine seriöse Arbeit.

EDGARallanPOE schrieb:Also...abhaken und vergessen. Dieses Material taugt in Bezug auf die wirkliche Lage, nicht für eine seriöse Arbeit.

Also geht es dir nur noch um die genaue Lage. Dass da unten ein Wasserlauf ist, scheinst Du ja eingesehen zu haben.

Streusel schrieb:Also geht es dir nur noch um die genaue Lage. Dass da unten ein Wasserlauf ist, scheinst Du ja eingesehen zu haben.

Ich denke folgendes:

Die erste Karte, auf welche du dich beziehst, hat einen anderen Maßstab als die komplett verpfuschte Karte, mit dem zweimaligen kreuzen von Q1.

Dann haben diese Karten, mit unterschiedlichen Maßstäben, als Ursprungsquelle eine Karte, die dann noch mal einen abweichenden Maßstab hat.

Und aus dieser Maßstabsverwirrung, resultieren dann Karten, die keine sichere Information bieten.



Wenn man am Fuße des von dir beschriebenen Hanges, innerhalb von 300 Metern auf einen Bachlauf treffen würde, könnte ich das

Streusel schrieb:Dass da unten ein Wasserlauf ist, scheinst Du ja eingesehen zu haben.

unterschreiben.

Wenn aber durch Pfusch bei der Maßstabsübertragung, es sich um einen der zahlreichen weitverzweigten Bachläufe in diesem Gebiet handeln sollte, der klometerweit vom Trail entfernt ist, würde ich nicht einsehen

Streusel schrieb:Dass da unten ein Wasserlauf ist

Weil der Bezug von da unten (Fuße des Hanges) zum Bach( kilometerweit entfernt) nicht mehr gegeben ist.



Durch das nicht wirklich brauchbare Kartenmaterial, kommen wir da aber momentan nicht weiter.


Ach...und die Lage des Hanges von Romain C. auf der Weglinie Mirador>>>Q1 wäre zur Beurteilung auch interessant. Die fehlt ja auf den Karten auch komplett.

sceptical schrieb:Mir sind hier einige Dinge nicht ganz klar, z.B. inwieweit die Dateien in Unterordner aufgeteilt waren und die Bilder tatsächlich vollständig linear und ohne Fragmentierung abgespeichert waren. In dem Bericht sieht es so aus, als ob auch im Datenbereich zwischen den Clustern von 508 und 510 eine Clusterlücke wäre. Ist das so und was hat man dort gefunden?

Canon legt einen Unterordner je neuem Monat an. Der Ordnername enthält eine fortlaufende Nummer und außerdem die Nummer des Monats. Wenn die EXIF-Daten vollständig sind, sieht man die fortlaufende Nummer und die Monatsnummer ergibt sich aus dem Aufnahmedatum (auch im EXIF). Ich kenne zwei Bilder mit weitgehend vollst. EXIF-Daten: eines von der Wanderung und ein Nachtbild. Bei beiden ist die fortlaufende Nummer 102 (passt soweit, da beide vom April - 1. bzw. 8.4). Demnach waren die April-Bilder im Ordner 102__04 und die vom März müssen demnach im Ordner 101__03 gewesen sein (aber da gibt es keine EXIF-Daten die ich kennen würde) - s.a.:
Beitrag von cyclic (Seite 1.143) und
Beitrag von cyclic (Seite 1.148) (bzw. suche nach 102 im Thread)

Von welchem Bericht sprichst du? Lt. dem gerade gestern zitierten Bericht der niederländischen Forensiker gab es keine Lücke¹⁾ und bei IP sieht man sogar exakte Cluster-Angaben: https://imperfectplan.com/2021/04/06/kris-kremers-lisanne-froon-missing-photo-509-testing-canon-powershot-sx270-hs/
Demnach ist das letzte Cluster von #508 3368959 und #510 beginnt dann mit dem nächsten Cluster 3368960. Also keine Lücke. Und wie das geht habe ich ausführlich ausprobiert und hier dokumentiert bzw. auch in einem meiner mittlerweile drei Blogs zu dem Fall.

Notiz an mich selber: man könnte mal schauen, ob diese Cluster-Angaben zu der Anzahl der Bilder passen, indem man mit Durchschnittsgrößen rechnet (ich habe sehr viele private Bilder von meiner S120, die dasselbe Dateiformat produziert). Sprich, ob es wahrscheinlich oder eher unwahrscheinlich ist, dass die Karte noch andere Daten enthielt.

¹⁾ BTW: der Forensiker muss sich die Clusterbelegung über die SD-Karte angeschaut haben, denn er beschreibt, dass er nach ähnlichen Stellen gesucht, aber keine gefunden hat.

Danke für die Info und auch die Tests mit der Kamera. Also lässt sich das fehlende Bild auch durch normale Bedienung der Kamera erklären. Wen es so war, dann muss das Bild somit zwischen dessen Aufnahme und der Aufnahme vom Bild 510 wieder gelöscht worden sein.

sceptical schrieb:Also lässt sich das fehlende Bild auch durch normale Bedienung der Kamera erklären.

Normal in dem Sinne, dass man den Effekt mit den Funktionen der Kamera erreichen kann und sicherlich bei vielen Besitzern auch genauso vorkommt. Allerdings eben offenbar nicht normal für K & L, bei denen das so sonst nie vorgekommen zu sein scheint (abgesehen von der exponierten Lage direkt vor den 100 Nachtbildern). Wobei...

Nochmal aus dem Bericht (Koudekaas zitiert VIP):

cyclic schrieb:None of the photos previously deleted on the camera, which could be recovered using forensic software, caused such an error in the file system. Only #509 could not be retrieved, not even snippets of it.

Wobei die Beschreibung schon etwas seltsam ist. Es handelt sich ja nicht (in keinem der diskutierten Fälle) um einen Fehler des Filesystems. Das Bild wurde halt gelöscht und der Speicherbereich dann ganz normal neu beschrieben, mit #510 (oder es gab das Bild nie, was auch kein Fehler des Filesystems ist).

Und logisch kann man den Effekt nicht bei wiederherstellbaren Dateien finden, da es ja um eine Datei geht die nicht wiederherstellbar war und die nichtmal eine nachvollziehbare Lücke im Filesystem hinterlassen hatte (nachweisbar wäre die Lücke, wenn sie erst später überschrieben worden wäre also durch ein Bild nach #510).

So richtig schlau wird man aus dem allen leider nicht. Entweder ist die Darstellung sehr verkürzt oder die Mitarbeiter beim NFI auch ein bisschen herausgefordert, wobei ich hier zu ersterem tendiere.

@sceptical

cyclic schrieb:Notiz an mich selber: man könnte mal schauen, ob diese Cluster-Angaben zu der Anzahl der Bilder passen, indem man mit Durchschnittsgrößen rechnet

Bild #508 endet also in Sector 3368959, das sind bei einer normalen Sector-Size von 512 Byte bis dahin also ca. 1.6 GiB, d.h. im Schnitt ca. 3.2 MiB pro Datei (Bild/Video).

Urlaubsbilder meiner S120 (selbes Format) sind im Schnitt knapp 3.7 MiB groß, haben aber eine ordentliche Varianz (Größe zwischen 1.5 und über 7 MiB). Wenn man das jetzt trotzdem hochrechnet, müssten 508 Bilder ca. 224 MiB mehr Speicher als die 1.6 GiB belegen, was ca. 61 Bildern entspricht, die dann gelöscht worden wären. Verdammt nahe an den behaupteten 64 Bildern. Aber auch da kann wohl niemand auf die Idee kommen genau 64 Bilder anzunehmen und wenn nennenswert Videos existierten kann man die ganze Rechnung komplett vergessen (da Videos extrem unterschiedlich groß sein können, je nach Länge).

Nimmt man nur die Größe der in der IP-Liste sichtbaren Tagbilder #504 - #508 (2.8, 5.4, 4.9, 6.1 und 5.6 MiB) kommt man übrigens auf eine deutlich höhere Durchschnitts-Bildgröße von fast 5 MiB. Das ist bei
hochstruktrierten Dschungelaufnahmen ohne Himmel nicht überraschend und sollte sich über alle Bilder rausmitteln. (Die beiden Nachtbilder sind dann extrem klein: 0.9 und 1.3 MiB, passend dazu dass die überwiegend schwarz sind).

EDGARallanPOE schrieb:Durch das nicht wirklich brauchbare Kartenmaterial, kommen wir da aber momentan nicht weiter.

Dass da unten ein Wasserlauf ist, sieht man auch im Drohnenvideo von Romain C.

Ich habe für mich eigentlich schon mit dem Fall abgeschlossen. Ich bin überzeugt davon, dass es ein Unfall war. Solange keine neuen Fakten auftauchen, bleibe ich auch dabei.

cyclic schrieb:Bild #508 endet also in Sector 3368959, das sind bei einer normalen Sector-Size von 512 Byte bis dahin also ca. 1.6 GiB, d.h. im Schnitt ca. 3.2 MiB pro Datei (Bild/Video).

Zum Zeitpunkt des Bildes #508 waren aber wahrscheinlich nur 370 Bilder + 7 Videos auf der SD-Karte. Da komme ich im Schnitt auf 3,9 MiB pro Bild (bei 30 MB pro Video) bzw. 4,4 MiB pro Bild / Video.

Das bestätigt die Annahme, dass die ersten bis zu 130 Bilder in einem Rutsch (zB Formatierung) "gelöscht" wurden oder dass bei Bildzähler ~100-130 die SD-Karte gewechselt wurde.

Offshore7 schrieb:Zum Zeitpunkt des Bildes #508 waren aber wahrscheinlich nur 370 Bilder + 7 Videos auf der SD-Karte.

Ja laut IP schon, stimmt.

- 470 images, 133 of which taken on or after 1 April 2014
- 7 videos, none of which taken on or after 1 April 2014

Also 609 - 477 = 132 Bilder/Videos. Die 68 nicht wiederherstellbaren Bilder(64)/Videos(4) können darin enthalten sein oder auch nicht. Sind sie inkludiert blieben noch 64 weitere fehlende Dateien (schon wieder 64).

Wie wäre es denn damit: die ersten 64 Bilder (also IMG_0001.JPG - IMG_0064.JPG) fehlen (mögliche Gründe: gelöscht/neu formatiert/andere SD-Karte). Danach ist mind. IMG_0065.JPG vorhanden und die 68 verteilen sich dann auf die Bildnummern danach, so dass man davon ausgehen kann, dass die gelöscht wurden?

Aber man kann das sicher auf 1000 Arten anders interpretieren (ich werde nicht wirklich schlau aus IP).

Offshore7 schrieb:Da komme ich im Schnitt auf 3,9 MiB pro Bild (bei 30 MB pro Video) bzw. 4,4 MiB pro Bild / Video.

Ja das ist nahe genug an meinen 3.7 MiB.

Nachtrag:
Videos habe ich bisher nie getestet, aber jetzt mal kurz:

• 1 s: 3.5 MiB
• 10 s weitgehend statisch: 26 MiB
• 10 s Kamera kontinuierlich bewegt: 31 MiB
• 20 s Kamera kontinuierlich bewegt: 62 MiB

Da sind im Schnitt 30 MiB pro Video vielleicht eher knapp (aber wer weiß). Mit 60 MiB x 7 Videos käme man auf 3.3 MiB pro Bild - auch noch im (gefühlten) Konfidenzintervall um meine 3.7 MiB.

Die beliebige Länge der Videos macht diese Rechnung ziemlich sinnlos, wenn man ehrlich ist.

Dann würden die anderen Dateien eben erst gelöscht, nachdem schon neue Bilder aufgenommen wurden, oder es passiert nicht immer. Auch Frage ich mich noch, ob die Kamera dafür erst aus/eingeschaltet werden muss oder nicht. Aufgrund der Verhaltensänderung auf den letzen Bildern hatte ich auch die Theorie, dass diese eventuell Testbilder sein können, um irgendwas an der Kamera zu testen. Eventuell lassen sich Änderungen der Einstellungen in den Metadaten finden.

Zumindest fällt es für mich somit als Indiz für ein Fremdverschulden weg, auch wenn die Lage zu den anderen Dateien etwas merkwürdig erscheint. Auch das sehe ich unter der Voraussetzung einer etwas später eintretenden Notlage als nicht ungewöhnlich an.

Was ist eigentlich mit Zeitstempeln auf den Bildern? Auf vielen sehe ich keine und sie wirken nicht, als wäre viel davon abgeschnitten.

Also, es sieht sehr danach aus, als wäre Bild 509 von Bild 510 überschrieben worden. Wenn Bild 510 etwas kleiner gewesen ist als Bild 509, dann könnte man mit viel Glück eventuell noch einen Rest im Überhang finden. Eigentlich hätte der Forensiker diesen Überhang manuell untersuchen müssen, aber bisher konnte ich dazu nichts finden. Eventuell werden diese Überhänge auch einfach mit 0X00 überschrieben, dass weiß ich nicht.

Man könnte es aber einfach mit der Kamera testen. Dafür müsste man die Situation nochmals reproduzieren und dafür sorgen, dass die überschrieben Datei etwas größer ist. Dann schaut man sich den Überhang einfach an.

Ich bin mir nicht sicher, inwieweit diese Tools mit Resten im Überhang umgehen können.

staminag schrieb:Dass von 64 Fotos und 4 Videos nur Spuren/Reste gefunden wurden, wird wohl so im NFI-Bericht stehen. Das schreiben nämlich sowohl IP als auch die Autoren von LitJ

Das steht so nicht im NFI Bericht.

Dort steht wortwörtlich, dass Spuren von 64 Fotos und 4 Videos gefunden wurden, die
gelöscht und teilweise überschrieben worden waren und teilweise das gesamte Fotobild noch vorhanden gewesen ist. Das viel verwendete Wort "Sporen", das in allen forensischen Berichten für Teile von etwas so wie auch für etwas Ganzes verwendet wird, sagt alleine nichts über den Zustand der Spur aus. Auch im Deutschen oder Englischen können Spuren oder Traces Teil einer ganzen Untersuchung sein, für sich genommen aber vollständige Fingerabdrücke oder DNA-Profile. Blutspuren bleiben Blutspuren, ob Tropfen oder Schwall.

Darum geht es aber gar nicht. Es wird über diese Dateien daher nicht mehr gesagt, weil es sich um Dateien handelt, die nicht Teil der Untersuchung gewesen sind, also Dateien, die vor dem 31. März entstanden sind.

cyclic schrieb:Demnach waren die April-Bilder im Ordner 102__04 und die vom März müssen demnach im Ordner 101__03 gewesen sein

Falls noch nicht so deutlich kommuniziert. Auf der Kamera befanden sich im Stammordner DCMI 4 Unterordner mit den Namen 100 01", "100 03", "100 04" und "CANONMSC". Das erste Bild, das mit dem Urlaub von Kris und Lisanne in Verbindung steht, ist IMG_0167, das am Amsterdamer Flughafen aufgenommen worden ist.

sceptical schrieb:Bild 509 von Bild 510 überschrieben worden

Wenn 510 die 509 überschrieben hat, muss 509 vorher gelöscht worden sein. Sonst passt das mit den nahtlos ineinander übergehenden Sektoren nicht. Zu klären wäre dann immer noch, warum, wenn 509 gelöscht worden ist, die 510 nicht die Nummer 509 bekommen hat. Da sich das technisch widerspricht, sollte eine nachträgliche spurlose Löschung am PC in Betracht gezogen werden.

sceptical schrieb:Was ist eigentlich mit Zeitstempeln auf den Bildern? Auf vielen sehe ich keine und sie wirken nicht, als wäre viel davon abgeschnitten.

Es gibt keine Zeitstempel "auf den Bildern“. Die sieht man nur in den Metadaten. Die Bilder im Internet sind manipuliert, daher auch einige Fehler in den Zeitangaben. Taugen nicht zur Heranziehung.

Nach diversen Tests ist diese Situation nachgewiesen worden, warum sollte sich das technisch wiedersprechen? Die Software kann die Dateibenennung doch machen wie sie will und in der Einstellung macht sie es halt so. Wo soll da ein Widerspruch sein. Ich sage nicht, dass es so gewesen sein muss, aber die Möglichkeit besteht nach den Tests und daher muss es auch geprüft werden.

Die Sache mit mit dem Zeitstempeln fand ich merkwürdig, weil ich auf mindestens einer Nachtaufnahme einen gesehen habe.

Nachtrag:, Die Dateinamen haben mit irgendeiner Nummerierung der Cluster nichts zu tun, das ist erstmal völlig unabhängig voneinander. Warum die Software das so mach, muss man den Hersteller fragen.

sceptical schrieb:Die Sache mit mit dem Zeitstempeln fand ich merkwürdig, weil ich auf mindestens einer Nachtaufnahme einen gesehen habe.

Die Zeitstempel sind aber nicht auf den Fotos zu sehen, sondern wurden von irgendjemandem da nachträglich reingeschrieben. Wahrscheinlich von dem, der sie auch online gestellt hat.