Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Ich schreibe doch nochmal ganz detailliert etwas dazu. Eine Löschung mit einem Datenlöschprogramm halte ich hier sogar für unwahrscheinlich.

Nach der linearen Anordnung der Dateien ist eben davon auszugehen, dass 509 eben genau dort gespeichert war, wo jetzt 510 liegt. Somit ist diese Situation sogar die naheliegendste Erklärung. 509 wurde gelöscht und von 510 überschrieben. Die Frage mit den Dateinamen hat damit nichts zu tun.
Im Falle eines Datenloeschprogramms, wären die Cluster überhaupt nicht mehr allokiert und mit unbrauchbaren Daten überschrieben.

Eine weitere Erklärung wäre, das es 509 nie gegeben hat und eine Nummer übersprungen wurde, aber eher unwahrscheinlich.

sceptical schrieb:Nach diversen Tests ist diese Situation nachgewiesen worden, warum sollte sich das technisch wiedersprechen? Die Software kann die Dateibenennung doch machen wie sie will und in der Einstellung macht sie es halt so.

Mein Kenntnisstand ist, dass die Kamerasoftware keine Bildnummern überspringt, wenn ein Bild gelöscht wird, sondern diesem dann die nächste freie Nummer zuweist. Demnach hätte die Nummer 509 nicht fehlen dürfen.

Hast du den Test durchgelesen?

Um welchen Test geht es?

Es wäre eventuell möglich, dass die Daten nach einer Löschung mit Löschprogramm mit 510 überschrieben wurden, allerdings bin ich nicht sicher ob der Effekt dann auch noch auftreten würde. Aber ein Blick in den Überhang bzw Schlupfspeicher könnte evtl auch hier helfen.

Was meinst du genau? Was für ein Löschprogramm?

Das erst ein Datenloeschprogramm und danach nochmal 510 die Datei überschrieben hat. Das wäre noch eine Option. Auf jeden Fall findet sich aktuell 510 im Cluster. Ob 509 davor schonmal mit irgendetwas anderem überschrieben war, kann man erstmal nicht ausschließen.

Doctective schrieb:Das steht so nicht im NFI Bericht.

Dort steht wortwörtlich, dass Spuren von 64 Fotos und 4 Videos gefunden wurden, die
gelöscht und teilweise überschrieben worden waren

Das Gleiche schrieb ich doch?
64 ist nicht die Gesamtheit der gefundenen Fotos, es ist eine Menge von Fotos, die spezielle Eigenschaften aufweist im Verhältnis zur Gesamtmenge der gefundenen Fotos, nämlich, dass sie (gemäß der Bewertung des NFI-Forensikers) gelöscht und teilweise überschrieben worden sind.

Ich nehme übrigens an, dass die 64 Fotos und vier Videos mit EnCase gefunden werden. Das müsste auch aus dem NFI-Report hervorgehen.

Doctective schrieb:Mein Kenntnisstand ist, dass die Kamerasoftware keine Bildnummern überspringt, wenn ein Bild gelöscht wird, sondern diesem dann die nächste freie Nummer zuweist. Demnach hätte die Nummer 509 nicht fehlen dürfen.

Das stimmt nicht. Die Bildnummer wird nach meinen und cyclics Tests nach Löschen eines Fotos an der Kamera übersprungen.

Doctective schrieb:Dort steht wortwörtlich, dass Spuren von 64 Fotos und 4 Videos gefunden wurden, die
gelöscht und teilweise überschrieben worden waren und teilweise das gesamte Fotobild noch vorhanden gewesen ist.

Aha also doch, weil neulich las sich das bei dir so als ob im Bericht nur die 40 wiederherstellbaren Dateien erwähnt würden. Das würde ich dann jetzt eher so deuten, dass die 40 in den 64 enthalten sind. Das macht dann nämlich Sinn: 40 wiederherstellbare, also nicht überschriebene Bilder (kleinere Bildversionen, Herkunft unklar) und dann wohl nur 24+4 vollständig überschriebene gelöschte Bilder/Videos (indirekt nachweisbar über fehlende Bildnummern und ggf. Clusteranalyse d.h. Lücken die erst durch spätere Bilder überschrieben wurden mit Bildnummern die um mehr als 1 höher sind).

Doctective schrieb:Falls noch nicht so deutlich kommuniziert. Auf der Kamera befanden sich im Stammordner DCMI 4 Unterordner mit den Namen 100 01", "100 03", "100 04" und "CANONMSC".

Das kann nicht stimmen. Es muss 100__01, 101_03, und 102_04 sein. Was bedeutet, dass der Februar fehlt, entweder weil nichts fotografiert wurde, oder der ganze Ordner gelöscht wurde. Ordnernummern werden wohl anders als Bildnummern neu vergeben wenn der Ordner gelöscht wird.

Doctective schrieb:Zu klären wäre dann immer noch, warum, wenn 509 gelöscht worden ist, die 510 nicht die Nummer 509 bekommen hat.

Zum 1001. Mal: Löschen eines Bildes (auch des zuletzt gemachten) setzt den Bildnummernzähler nicht zurück. Nach 509 kommt 510, ganz egal ob 509 gelöscht wurde oder nicht.

sceptical schrieb:Also, es sieht sehr danach aus, als wäre Bild 509 von Bild 510 überschrieben worden. Wenn Bild 510 etwas kleiner gewesen ist als Bild 509, dann könnte man mit viel Glück eventuell noch einen Rest im Überhang finden.

Nach 510 wurden noch 99 andere Bilder gemacht. Egal wie groß 509 gewesen wäre, eines der nächsten Bilder hätte auch den letzten Rest davon überschrieben. Wenn 509 ein Video war hätte es ein paar Bilder mehr gebraucht, aber 99 hätten wohl gereicht. Dass 511 seinerseits nahtlos an 510 angrenzt, siehst du in der Tabelle auf IP.

Doctective schrieb:Die Zeitstempel sind aber nicht auf den Fotos zu sehen, sondern wurden von irgendjemandem da nachträglich reingeschrieben. Wahrscheinlich von dem, der sie auch online gestellt hat.

Jupp, teilweise übrigens mit Tippfehlern. Es gibt aber Bilder mit und ohne Zeitstempel im Bild, also wurden sie wohl nicht vom Original-Leaker da reingeschrieben (oder Originale wurden mehrfach geleakt).

Doctective schrieb:Dort steht wortwörtlich, dass Spuren von 64 Fotos und 4 Videos gefunden wurden, die
gelöscht und teilweise überschrieben worden waren und teilweise das gesamte Fotobild noch vorhanden gewesen ist.

Doctective schrieb:Es wird über diese Dateien daher nicht mehr gesagt, weil es sich um Dateien handelt, die nicht Teil der Untersuchung gewesen sind, also Dateien, die vor dem 31. März entstanden sind.

"Gesamtes Bild wiederherstellbar" klingt schon etwas anders und deutet auf gelöschte Bilder und Videos hin, die im Clusterbereich oberhalb von ~ #610-630 lagen. ZB bräuchten unter den 132 (609 minus 477) gelöschten Dateien nur ~10 Minuten gelöschte Videos sein, um (wiederherstellbare) Bilder in den Clustern oberhalb von #609 zu hinterlassen.

Davon ausgehend, dass du und LitJ richtig liegen und alle 64+4 Dateien vor dem 31./28. März gelöscht wurden. "Teilweise überschrieben" würde dann bedeuten, dass ein Teil der 64+4 Dateien überschrieben wurde, aber nicht Teile von einzelnen Bildern. Und dass die Verzeichnis-/Metadaten inkl. Timestamps vor dem 28. März noch vorhanden waren.

Was mir sicher scheint ist, dass die Originale 505,506,507 in der Full-Version wiederherstellbar waren, was aber auch nirgends klar erwähnt wird.

Doctective schrieb:Mein Kenntnisstand ist, dass die Kamerasoftware keine Bildnummern überspringt, wenn ein Bild gelöscht wird, sondern diesem dann die nächste freie Nummer zuweist. Demnach hätte die Nummer 509 nicht fehlen dürfen.

Das kommt auf die Einstellung der Kamera an. In der Standard-Einstellung "Fortlaufend" könntest du auch 100 Bilder löschen, das nächste bekäme trotzdem die 510. In der Einstellung "Auto Reset" würde Bild 510 dagegen die Nummer 509 bekommen.

IP hat nur die Standardeinstellung getestet. Bei "Auto Reset" wären sie zu ganz anderen Ergebnissen gekommen, nämlich dass definitiv (99,99%) ein PC im Spiel war und bewusst manipuliert wurde.

Dass die Kamera auf Standardeinstellung "Fortlaufend" eingestellt war ist nicht sicher. Schließlich würde die Kamera bei "Auto Reset" mit Bild 134 weitermachen, wenn man 1-132 löscht. Aber auch die Standard-Einstellung würde eine Manipulation am PC nicht ausschließen, nur eben ein manuelles Löschen mit der Kamera ermöglichen, was bei Standardeinstellung mMn. dann auch die wahrscheinlichste Variante wäre.

Die Frage ist nur: Warum und von wem? Denn spätestens nach Bild #508 fängt die ganze Geschichte an, unplausibel zu werden. Nicht nur die Kamera wurde nicht mehr benutzt, sondern auch die Handys und Google Maps nicht, was wohl das Erste wäre, was man versucht, wenn man sich verlaufen hat und 1 Std. nach dem Mirador die Gegend des Aufstiegs noch immer nicht in Sicht ist. Nach einem reinen Zufallsereignis sieht das nicht wirklich aus, eher nach einem Handlungsbruch in den Minuten um Q1.