Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Ich schreibe doch nochmal ganz detailliert etwas dazu. Eine Löschung mit einem Datenlöschprogramm halte ich hier sogar für unwahrscheinlich.

Nach der linearen Anordnung der Dateien ist eben davon auszugehen, dass 509 eben genau dort gespeichert war, wo jetzt 510 liegt. Somit ist diese Situation sogar die naheliegendste Erklärung. 509 wurde gelöscht und von 510 überschrieben. Die Frage mit den Dateinamen hat damit nichts zu tun.
Im Falle eines Datenloeschprogramms, wären die Cluster überhaupt nicht mehr allokiert und mit unbrauchbaren Daten überschrieben.

Eine weitere Erklärung wäre, das es 509 nie gegeben hat und eine Nummer übersprungen wurde, aber eher unwahrscheinlich.

sceptical schrieb:Nach diversen Tests ist diese Situation nachgewiesen worden, warum sollte sich das technisch wiedersprechen? Die Software kann die Dateibenennung doch machen wie sie will und in der Einstellung macht sie es halt so.

Mein Kenntnisstand ist, dass die Kamerasoftware keine Bildnummern überspringt, wenn ein Bild gelöscht wird, sondern diesem dann die nächste freie Nummer zuweist. Demnach hätte die Nummer 509 nicht fehlen dürfen.

Hast du den Test durchgelesen?

Um welchen Test geht es?

Es wäre eventuell möglich, dass die Daten nach einer Löschung mit Löschprogramm mit 510 überschrieben wurden, allerdings bin ich nicht sicher ob der Effekt dann auch noch auftreten würde. Aber ein Blick in den Überhang bzw Schlupfspeicher könnte evtl auch hier helfen.

Was meinst du genau? Was für ein Löschprogramm?

Das erst ein Datenloeschprogramm und danach nochmal 510 die Datei überschrieben hat. Das wäre noch eine Option. Auf jeden Fall findet sich aktuell 510 im Cluster. Ob 509 davor schonmal mit irgendetwas anderem überschrieben war, kann man erstmal nicht ausschließen.

Doctective schrieb:Das steht so nicht im NFI Bericht.

Dort steht wortwörtlich, dass Spuren von 64 Fotos und 4 Videos gefunden wurden, die
gelöscht und teilweise überschrieben worden waren

Das Gleiche schrieb ich doch?
64 ist nicht die Gesamtheit der gefundenen Fotos, es ist eine Menge von Fotos, die spezielle Eigenschaften aufweist im Verhältnis zur Gesamtmenge der gefundenen Fotos, nämlich, dass sie (gemäß der Bewertung des NFI-Forensikers) gelöscht und teilweise überschrieben worden sind.

Ich nehme übrigens an, dass die 64 Fotos und vier Videos mit EnCase gefunden werden. Das müsste auch aus dem NFI-Report hervorgehen.

Doctective schrieb:Mein Kenntnisstand ist, dass die Kamerasoftware keine Bildnummern überspringt, wenn ein Bild gelöscht wird, sondern diesem dann die nächste freie Nummer zuweist. Demnach hätte die Nummer 509 nicht fehlen dürfen.

Das stimmt nicht. Die Bildnummer wird nach meinen und cyclics Tests nach Löschen eines Fotos an der Kamera übersprungen.

Doctective schrieb:Dort steht wortwörtlich, dass Spuren von 64 Fotos und 4 Videos gefunden wurden, die
gelöscht und teilweise überschrieben worden waren und teilweise das gesamte Fotobild noch vorhanden gewesen ist.

Aha also doch, weil neulich las sich das bei dir so als ob im Bericht nur die 40 wiederherstellbaren Dateien erwähnt würden. Das würde ich dann jetzt eher so deuten, dass die 40 in den 64 enthalten sind. Das macht dann nämlich Sinn: 40 wiederherstellbare, also nicht überschriebene Bilder (kleinere Bildversionen, Herkunft unklar) und dann wohl nur 24+4 vollständig überschriebene gelöschte Bilder/Videos (indirekt nachweisbar über fehlende Bildnummern und ggf. Clusteranalyse d.h. Lücken die erst durch spätere Bilder überschrieben wurden mit Bildnummern die um mehr als 1 höher sind).

Doctective schrieb:Falls noch nicht so deutlich kommuniziert. Auf der Kamera befanden sich im Stammordner DCMI 4 Unterordner mit den Namen 100 01", "100 03", "100 04" und "CANONMSC".

Das kann nicht stimmen. Es muss 100__01, 101_03, und 102_04 sein. Was bedeutet, dass der Februar fehlt, entweder weil nichts fotografiert wurde, oder der ganze Ordner gelöscht wurde. Ordnernummern werden wohl anders als Bildnummern neu vergeben wenn der Ordner gelöscht wird.

Doctective schrieb:Zu klären wäre dann immer noch, warum, wenn 509 gelöscht worden ist, die 510 nicht die Nummer 509 bekommen hat.

Zum 1001. Mal: Löschen eines Bildes (auch des zuletzt gemachten) setzt den Bildnummernzähler nicht zurück. Nach 509 kommt 510, ganz egal ob 509 gelöscht wurde oder nicht.

sceptical schrieb:Also, es sieht sehr danach aus, als wäre Bild 509 von Bild 510 überschrieben worden. Wenn Bild 510 etwas kleiner gewesen ist als Bild 509, dann könnte man mit viel Glück eventuell noch einen Rest im Überhang finden.

Nach 510 wurden noch 99 andere Bilder gemacht. Egal wie groß 509 gewesen wäre, eines der nächsten Bilder hätte auch den letzten Rest davon überschrieben. Wenn 509 ein Video war hätte es ein paar Bilder mehr gebraucht, aber 99 hätten wohl gereicht. Dass 511 seinerseits nahtlos an 510 angrenzt, siehst du in der Tabelle auf IP.

Doctective schrieb:Die Zeitstempel sind aber nicht auf den Fotos zu sehen, sondern wurden von irgendjemandem da nachträglich reingeschrieben. Wahrscheinlich von dem, der sie auch online gestellt hat.

Jupp, teilweise übrigens mit Tippfehlern. Es gibt aber Bilder mit und ohne Zeitstempel im Bild, also wurden sie wohl nicht vom Original-Leaker da reingeschrieben (oder Originale wurden mehrfach geleakt).

Doctective schrieb:Dort steht wortwörtlich, dass Spuren von 64 Fotos und 4 Videos gefunden wurden, die
gelöscht und teilweise überschrieben worden waren und teilweise das gesamte Fotobild noch vorhanden gewesen ist.

Doctective schrieb:Es wird über diese Dateien daher nicht mehr gesagt, weil es sich um Dateien handelt, die nicht Teil der Untersuchung gewesen sind, also Dateien, die vor dem 31. März entstanden sind.

"Gesamtes Bild wiederherstellbar" klingt schon etwas anders und deutet auf gelöschte Bilder und Videos hin, die im Clusterbereich oberhalb von ~ #610-630 lagen. ZB bräuchten unter den 132 (609 minus 477) gelöschten Dateien nur ~10 Minuten gelöschte Videos sein, um (wiederherstellbare) Bilder in den Clustern oberhalb von #609 zu hinterlassen.

Davon ausgehend, dass du und LitJ richtig liegen und alle 64+4 Dateien vor dem 31./28. März gelöscht wurden. "Teilweise überschrieben" würde dann bedeuten, dass ein Teil der 64+4 Dateien überschrieben wurde, aber nicht Teile von einzelnen Bildern. Und dass die Verzeichnis-/Metadaten inkl. Timestamps vor dem 28. März noch vorhanden waren.

Was mir sicher scheint ist, dass die Originale 505,506,507 in der Full-Version wiederherstellbar waren, was aber auch nirgends klar erwähnt wird.

Doctective schrieb:Mein Kenntnisstand ist, dass die Kamerasoftware keine Bildnummern überspringt, wenn ein Bild gelöscht wird, sondern diesem dann die nächste freie Nummer zuweist. Demnach hätte die Nummer 509 nicht fehlen dürfen.

Das kommt auf die Einstellung der Kamera an. In der Standard-Einstellung "Fortlaufend" könntest du auch 100 Bilder löschen, das nächste bekäme trotzdem die 510. In der Einstellung "Auto Reset" würde Bild 510 dagegen die Nummer 509 bekommen.

IP hat nur die Standardeinstellung getestet. Bei "Auto Reset" wären sie zu ganz anderen Ergebnissen gekommen, nämlich dass definitiv (99,99%) ein PC im Spiel war und bewusst manipuliert wurde.

Dass die Kamera auf Standardeinstellung "Fortlaufend" eingestellt war ist nicht sicher. Schließlich würde die Kamera bei "Auto Reset" mit Bild 134 weitermachen, wenn man 1-132 löscht. Aber auch die Standard-Einstellung würde eine Manipulation am PC nicht ausschließen, nur eben ein manuelles Löschen mit der Kamera ermöglichen, was bei Standardeinstellung mMn. dann auch die wahrscheinlichste Variante wäre.

Die Frage ist nur: Warum und von wem? Denn spätestens nach Bild #508 fängt die ganze Geschichte an, unplausibel zu werden. Nicht nur die Kamera wurde nicht mehr benutzt, sondern auch die Handys und Google Maps nicht, was wohl das Erste wäre, was man versucht, wenn man sich verlaufen hat und 1 Std. nach dem Mirador die Gegend des Aufstiegs noch immer nicht in Sicht ist. Nach einem reinen Zufallsereignis sieht das nicht wirklich aus, eher nach einem Handlungsbruch in den Minuten um Q1.

cyclic schrieb:Das kann nicht stimmen

Ist ein Zitat aus dem NFI-Bericht. Was natürlich nicht gleichbedeutend mit "muss zwingend stimmen" ist.

staminag schrieb:Das müsste auch aus dem NFI-Report hervorgehen

Encase V. 6.19

Offshore7 schrieb:nur eben ein manuelles Löschen mit der Kamera ermöglichen

Ein manuelles Löschen vor Aufnahme von 510 wäre erneut ein Zeichen für Foul Play, da es bedeuten würde, dass ein Löschen sehr wichtig gewesen sein muss, weil Lisanne das vorher nicht gemacht hat und weil ich in einer Notsituation ohne Foul Play keinen Grund für das Löschen eines Bildes sehe. Für mich ist die wahrscheinlichste Variante immer noch, dass Bild 509 absichtlich oder unabsichtlich von den panamaischen Bilddrehern gelöscht worden ist. 505-507 sind gedreht.

Doctective schrieb:Ist ein Zitat aus dem NFI-Bericht. Was natürlich nicht gleichbedeutend mit "muss zwingend stimmen" ist.

Wirklich 3x mit 100 am Anfang? Das kann wie gesagt nicht stimmen. Bei mir hat auch wieder die Autokorrektur zugeschlagen. Es muss heißen: 100__01, 101__03 und 102__04, wobei der erste Teil jeweils ein Zähler ist, der bei 100 anfängt und der zweite ist der Monat (01 = Januar, 03 = März, 04 = April) und dazwischen sind zwei Unterstriche.

Doctective schrieb:Encase V. 6.19

Die Frage ist nicht welche Versionsnummer, sondern was genau man mit EnCase gefunden hat (und was nur mit PhotoRec)? Und was hat man ggf. noch gemacht, welche anderen Tools eingesetzt?

Offshore7 schrieb:Das kommt auf die Einstellung der Kamera an. In der Standard-Einstellung "Fortlaufend" könntest du auch 100 Bilder löschen, das nächste bekäme trotzdem die 510. In der Einstellung "Auto Reset" würde Bild 510 dagegen die Nummer 509 bekommen.

Habe ich noch nicht getestet. Kann ich heute abend mal machen. Mein Verständnis ist bisher eigentlich, dass auch da die Nummer 509 nicht neu vergeben wird. Der Zähler ist dann nur SD-Karten-individuell, d.h. wenn man eine andere neue SD-Karte einlegt ist das erste Bild wieder IMG_0001.JPG.

Doctective schrieb:Für mich ist die wahrscheinlichste Variante immer noch, dass Bild 509 absichtlich oder unabsichtlich von den panamaischen Bilddrehern gelöscht worden ist. 505-507 sind gedreht.

Sie können es nicht direkt auf der SD-Karte gelöscht haben, weil das eine Lücke hinterlassen hätte (#508 und #510 wäre nicht Sektor-an-Sektor). #509 wäre dann wiederherstellbar gewesen, wenn nicht danach noch andere Dateien auf die SD-Karte geschrieben wurden. Einzige Variante wäre alles auf einen anderen Datenträger zu kopieren, die SD-Karte zu formatieren und dann die Bilder in der richtigen Reihenfolge nur ohne #509 auf die Karte zu kopieren. Wenn aber auf der Karte noch Daten gelöschter Dateien waren, müssen die erst mit draufkopiert und erst danach wieder gelöscht worden sein. Das geht mMn nur mit ausgeprägter absichtlicher Manipulation und danach sieht das was die panamaischen Ermittler angestellt haben nicht aus.

Offshore7 schrieb:Was mir sicher scheint ist, dass die Originale 505,506,507 in der Full-Version wiederherstellbar waren, was aber auch nirgends klar erwähnt wird.

In meinem ersten Test wurden die umbenannten Originale (TMP-Dateien) nicht sofort gelöscht. Hätte ich die SD-Karte entfernt bevor ich den Viewer beendet habe, wären sie vermutlich auf der Karte geblieben. Ich halte es daher für gut möglich, dass die TMP-Dateien überhaupt nicht zu den gelöschten Dateien zählen. Dafür spricht eben auch, dass wenn das gelöschte Dateien wären, dann nicht nur eine verkleinerte Bildversion wiederherstellbar gewesen wäre.

Doctective schrieb:Für mich ist die wahrscheinlichste Variante immer noch, dass Bild 509 absichtlich oder unabsichtlich von den panamaischen Bilddrehern gelöscht worden ist.

Das würde ich beides ausschließen. Unabsichtlich ist das "Sektor an Sektor" Ergebnis überhaupt nicht möglich. Und absichtlich wäre es ein Riesenaufwand, alle Metadaten zu frisieren und die gelöschten 64+4 Dateien beizubehalten. Und wenn es ums Vertuschen der eigenen Unfähigkeit ginge, würde man dafür sicher keine Profis engagieren, die dann die gedrehten Bilder mit Timestamp 17. Juni übrig lassen. :-)

Ich behaupte auch, dass die PC-Manipulation gemäß der IP Tests forensisch nachweisbar wäre. IP hat ja nur das "Sektor an Sektor" Ergebnis erfolgreich reproduziert, aber nicht den Rest (wie zB Metadaten und Timestamps) betrachtet.

Für mich wurde Bild #509 zu 99% absichtlich mit der Kamera gelöscht, zu 1% von einem Profi manipuliert und zu 0,000irgendwas durch einen Kamerafehler übersprungen.

cyclic schrieb:In meinem ersten Test wurden die umbenannten Originale (TMP-Dateien) nicht sofort gelöscht. Hätte ich die SD-Karte entfernt bevor ich den Viewer beendet habe, wären sie vermutlich auf der Karte geblieben.

Bei mir wurden sie sofort beim Weiterswitchen zum nächsten Bild gelöscht. Evtl. liegt es an deinem USB-Reader bzw. dem Schreibcache, der sich bei "ordnungsgemäßer" Trennung leeren sollte? Wären die 40 Bilder nur Miniaturansichten irgendeines Viewers, frage ich mich, wieso es nicht 133 Miniaturansichten waren oder bei versch. Formaten noch mehr .. halt alle im Ordner 04.

cyclic schrieb:Wirklich 3x mit 100 am Anfang?

Ja wirklich. Einzig die Unterstriche hatte ich nicht mitkopiert. Muss aber wie du sagst, ein Fehler sein, denn in der Übersichtstabelle der Fotos von der Wanderung sehe ich den Ordner als DCIM 102__04

cyclic schrieb:Und was hat man ggf. noch gemacht, welche anderen Tools eingesetzt?

Mit Photorec hat er den freien Speicherplatz (nicht zugeordnete Cluster) des Datenträgers nach Resten von Fotodateien durchsucht. Mit Encase gefundene Daten wiederhergestellt. Keine weiteren Tools, sonst stände es im Bericht.

cyclic schrieb:Sie können es nicht direkt auf der SD-Karte gelöscht haben, weil das eine Lücke hinterlassen hätte (#508 und #510 wäre nicht Sektor-an-Sektor). #509 wäre dann wiederherstellbar gewesen, wenn nicht danach noch andere Dateien auf die SD-Karte geschrieben wurden.

Wenn das so klar ist, dass das nicht geht, dann schließe ich mich dem hier:

Offshore7 schrieb:Für mich wurde Bild #509 zu 99% absichtlich mit der Kamera gelöscht, zu 1% von einem Profi manipuliert und zu 0,000irgendwas durch einen Kamerafehler übersprungen.

voll und ganz an, und muss das absichtliche Löschen des Bildes 509 zwischen letztem Q1 Bild und Nachtfotoserie als starkes FP Indiz werten.

@Offshore7
@Doctective

Ich habe jetzt auch die Einstellung Datei-Nummer = Autom. Rückst (Hilfstext: "Nummerierung ab 0001 bei Austausch der Speicherk.") getestet und habe mich geirrt:

In der Einstellung wird die Nummer neu vergeben, wenn es das letzte Bild war, welches gelöscht wurde (freigewordene Nummern irgendwo davor natürlich nicht).

Heißt der Effekt bzgl. #508, (#509), #510 ist auf der Kamera so nur in der Default-Einstellung "Fortlaufend" erzeugbar (allerdings wird die kaum jemand jemals ändern).

Zusatzerkenntnis: Das Umstellen resettet auch den Zähler für die Einstellung "Fortlaufend" (grumpf).

Offshore7 schrieb:Bei mir wurden sie sofort beim Weiterswitchen zum nächsten Bild gelöscht. Evtl. liegt es an deinem USB-Reader bzw. dem Schreibcache, der sich bei "ordnungsgemäßer" Trennung leeren sollte?

Ich hab's auch nur einmal beim allerersten Versuch gesehen. Habe aber den File-Explorer offen daneben gehabt und darin immer wieder F5 (aktualisieren) gedrückt und trotzdem gleichzeitig zwei TMP-Dateien gesehen, die sofort verschwunden sind, als ich den Viewer geschlossen habe. Ich werde es nochmal probieren.

Mit dem USB-Reader hat es nichts zu tun, denn das war der Win7-Laptop mit eingebautem Reader.

Offshore7 schrieb:Wären die 40 Bilder nur Miniaturansichten irgendeines Viewers, frage ich mich, wieso es nicht 133 Miniaturansichten waren oder bei versch. Formaten noch mehr .. halt alle im Ordner 04.

Ja gute Frage. Genau 40 könnte prinzipiell dafür sprechen, dass es weniger Bilder sind, es aber zu jedem Bild mehrere Versionen gibt. Theoretisch könnte ein Tool auf die Idee kommen die Gesamtdatei, sowie die eingebetteten Thumbnail, FullRes und Preview-Bilder alle als je ein Bild zu zählen, also 4 je Bilddatei, jedoch nicht Photorec, das 2 findet und davon ist eines die Gesamtdatei und bei den 4 wären auch 2 keine "verkleinerten Versionen". Das weicht mir deshalb zu stark von dem ab was im Bericht steht.

Die andere Möglichkeit die mir einfällt ist immer noch ein Viewer, der eine Überblicksseite mit 20 oder 40 Bildern je Page generiert und nur für die ersten 1-2 Pages Thumbnails anlegt, solange man nicht weiterscrollt. Ob und ggf. welche Applikation sowas macht konnte ich aber bisher nicht herausfinden.
Windows legt(e) eigentlich Thumb.db-Dateien an, aus denen PhotoRec aber keine Bilder rekonstruiert. Unter Linux haben früher Tools wie Nautilus (File-Explorer) thumbs-Ordner mit PNG-Thumbnails angelegt. Das wäre eine Möglichkeit, aber da müsste man wohl mit entspr. vorchristlichen Versionen testen, da heute diese Thumbs wohl generell zentral abgelegt werden (HOME/.cache/thumbnails) - aber man könnte zuerst mal ein akt. Gnome testen (bin auf KDE).

@cyclic
@Offshore7
@Doctective

Ist diese Aussage richtig, oder ist sie zu vereinfacht?

Wenn die Canon Kamera eingestellt ist auf ‘Fortlaufend’ und fals ein Bild mit der Kamera gelöscht wird, dann gilt Folgendes:
(Da ich übersichtliche Tabellen mag)




Es gibt also drei Bedingungen um ein Bild spurlos zu löschen durch bedienung des Canon Kameras:

1. Die Kamera muss eingestellt sein auf ‘Fortlaufend’ + 2. Das Bild muss gelöscht werden BEVOR das nächste Bild aufgenommen wird
+ 3. Die Kamera soll AUSGESCHALTET und wieder eingeschaltet werden BEVOR das nächste Bild aufgenommen wird.

Ein absichtliches Löschen des Bildes und ausschalten des Kameras wertet als starkes FP Indiz.

Doctective schrieb:Mit Photorec hat er den freien Speicherplatz (nicht zugeordnete Cluster) des Datenträgers nach Resten von Fotodateien durchsucht. Mit Encase gefundene Daten wiederhergestellt. Keine weiteren Tools, sonst stände es im Bericht.

Umgekehrt, oder? Jedenfalls lt. dem was bei euch auf S. 97 (überarbeitete Version) steht und was auch Koudekaas zitiert (s. Beitrag von cyclic (Seite 1.158))

Mit PhotoRec kann man auch nichts "untersuchen", das rekonstruiert einfach alles was es findet (weshalb auch die Beschränkung auf Bilder nach irgendeinem Stichtag etwas seltsam ist, denn PhotoRec hat zwangsläufig auch alles von davor wiederhergestellt soweit halt möglich).

---

Anthurium schrieb:1. Die Kamera muss eingestellt sein auf ‘Fortlaufend’ + 2. Das Bild muss gelöscht werden BEVOR das nächste Bild aufgenommen wird
+ 3. Die Kamera soll AUSGESCHALTET und wieder eingeschaltet werden BEVOR das nächste Bild aufgenommen wird.

Ja, wobei 3. theoretisch von der SD-Karte abhängen könnte. Ich habe zwei Karten getestet, die wahrscheinlich auch ungefähr das entsprechende Alter haben (die in meiner S120 dürfte von Anfang 2016 sein). Ansonsten ist deine Tabelle korrekt (es gibt in der Hinsicht keinen prinzipiellen Unterschied zwischen Fotos und Videos).

Noch eine Anmerkung: Wenn es ein längeres Video ist braucht man einige Bilder um das Video komplett zu überschreiben. Auch wenn es ein normales Tagbild ist könnte es so 3-6 der ersten Nachtbilder benötigt haben, da die Nachtbilder i.d.R. deutlich kleiner sein dürften (für #510 und #511 sieht man es bei IP). Bei einem 50s-Video könnte es schon knapp werden mit den 100 Bildern.

Anthurium schrieb:spurlos

Das ist der Knackpunkt, weshalb ich das hier erst mal zurückziehe:

Offshore7 schrieb:Für mich wurde Bild #509 zu 99% absichtlich mit der Kamera gelöscht, zu 1% von einem Profi manipuliert und zu 0,000irgendwas durch einen Kamerafehler übersprungen.

Denn mE hinterlässt ein gelöschtes Bild "für immer" Spuren im Directory. Diese verschwinden erst nach einer Low Level Formatierung oder Schnellformatierung und Überschreiben der alten Directory-Cluster. DMDE (und vermutlich auch Encase) findet die Dateinamen der gelöschten Bilder, selbst wenn die Bilder vollständig überschrieben wurden und auch direkt nach Schnellformatierung.

Hier bedarf es weiterer Tests, auch mit Encase. Vermutlich spricht der Forensiker nicht umsonst von einem "Error" im Dateisystem. :|

Offshore7 schrieb:Denn mE hinterlässt ein gelöschtes Bild "für immer" Spuren im Directory. Diese verschwinden erst nach einer Low Level Formatierung oder Schnellformatierung und Überschreiben der alten Directory-Cluster.

Oder wenn der Directory-Cluster "voll" ist bzw. Eintrag 1024 (Bild #1024) erreicht wurde, und im Cluster vorhandene und als gelöscht markierte Einträge überschrieben werden, bevor ein zweiter Directory-Cluster angelegt wird. (was auf Lisannes Karte bei 609 Bildern gesamt aber nicht passiert sein dürfte)