Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Offshore7 schrieb:Denn mE hinterlässt ein gelöschtes Bild "für immer" Spuren im Directory. Diese verschwinden erst nach einer Low Level Formatierung oder Schnellformatierung und Überschreiben der alten Directory-Cluster. DMDE (und vermutlich auch Encase) findet die Dateinamen der gelöschten Bilder, selbst wenn die Bilder vollständig überschrieben wurden und auch direkt nach Schnellformatierung.

Äh, kannst das nochmal testen, bitte. Bei mir ist das nämlich komplett gegenteilig.

Nach Schnellformatierung findet DMDE keine Dateinamen mehr (das hatte ich ja vor meinem Test anders vermutet). Der initiale Schnell-Scan (der wohl nur nach solchen Verzeichnis-Einträgen sucht), findet nach Schnellformatierung genau gar nichts. Mit Full-Scan (+Raw-Erkennung) werden nur noch die Bild-Daten gefunden (eingebettete Auflösungen auch einzeln), keine Dateinamen.

Und ohne Formatierung, nur mit normal gelöschten Dateien, findet DMDE die Dateien inkl. Namen sofort im Schnell-Scan. Die Verschwinden aber sobald der Beginn der Datei überschrieben wird. Full-Raw-Scan findet ggf. noch weiter hinten liegende eingebettete Auflösungen sofern noch nicht überschrieben (das kann dann nur das Preview-Bild sein). Aber die haben natürlich auch keinen Dateinamen.

Ob da physikalisch irgendwo noch Infos liegen und dieses Verhalten nur der speziellen Logik des Controllers geschuldet ist, weiß ich zwar nicht, aber wie immer spielt es keine echte Rolle, denn ohne Riesenaufwand und Hinzuziehung des Kartenherstellers wird man an dem Controller vorbei an keinerlei Daten kommen.

lucyvanpelt schrieb am 07.06.2025:Egal wie man das dreht und wendet, passt dieses Verhalten nicht zum Verirren, einer Verletzung oder einer anderen Situation, bei welcher man ohne entsprechende Bekleidung und Erfahrung die Nacht gezwungenermaßen im Dschungel verbringen muss.

Grundsätzlich bin ich völlig bei dir und finde das Telefonverhalten auch sehr sehr seltsam. Die einzige Frage, die sich mir in diesem Zusammenhang noch stellt, ist, wie sich in Panama der Abend bemerkbar macht. Ich kenne es aus zahlreichen Aufenthalten in Brasilien, dass es bsp. um 17:50 Uhr noch hell, aber schon um 18:05 Uhr stockdunkel ist. Vielleicht können da @Doctective oder @Anthurium etwas dazu sagen? Für mich persönlich erklärt das zwar nicht die wenigen Notrufversuche, kann aber ggf. damit zu tun gehabt haben, dass man sich mit einer Situation wie "es ist jetzt dunkel, heute sucht keiner mehr nach uns" abgefunden hatte.

Diebold schrieb:Die einzige Frage, die sich mir in diesem Zusammenhang noch stellt, ist, wie sich in Panama der Abend bemerkbar macht.

Nicht anders als Brasilien.Im Dschungel Panamas ist die Sonne ebenfalls rasch verschwunden18-18:30.Sobald die grillen und Zikaden Töne geben kannst dich drauf einstellen das es die nächste halbe Stunde bis Stunde dunkel wird.Je nach dem in welchem Loch du hockst kann nichtmal ein Notruf abgerufen werden.Wenn du Hoffnung und Angst gleichzeitig hast,denkst du auch anders und triffst andere Entscheidungen

Doctective schrieb:Ein manuelles Löschen vor Aufnahme von 510 wäre erneut ein Zeichen für Foul Play, da es bedeuten würde, dass ein Löschen sehr wichtig gewesen sein muss, weil Lisanne das vorher nicht gemacht hat und weil ich in einer Notsituation ohne Foul Play keinen Grund für das Löschen eines Bildes sehe.

Jetzt mal langsam. Soweit ich weiß, wurde Foto 508 gegen 14 Uhr aufgenommen und der erste Notruf erfolgte nach 16 Uhr. Woher kann man also schließen, dass sie sich zum (m.E. unbekannten) Zeitpunkt der Aufnahme von Bild 509 bereits in einer Notsituation befunden haben?

Dass man etwas noch nie gemacht hat, heißt auch nicht, dass man es nicht machen wird. Irgendwann macht man bestimmte Dinge halt zum ersten Mal. Das kann auch ganz banale Gründe haben. Vielleicht hat Lisanne (versehentlich) Kris fotografiert, wie sie sich mit heruntergelassener Hose hingehockt hat, worauf Kris sofort rief: "das Bild löschst Du aber sofort!"

sceptical schrieb:l Testbilder sein können, um irgendwas an der Kamera zu testen. Eventuell lassen sich Änderungen der Einstellungen in den Metadaten finden.

-> Das ist ein interessanter Gedankengang, doch passen dazu meiner Meinung nach nicht das vermeintliche SOS-Foto, das Tütenfoto und geschweige denn das Foto des Hinterkopfes.

Offshore7 schrieb:Das bestätigt die Annahme, dass die ersten bis zu 130 Bilder in einem Rutsch (zB Formatierung) "gelöscht" wurden oder dass bei Bildzähler ~100-130 die SD-Karte gewechselt wurde.

cyclic schrieb:Das kann nicht stimmen. Es muss 100__01, 101_03, und 102_04 sein. Was bedeutet, dass der Februar fehlt, entweder weil nichts fotografiert wurde, oder der ganze Ordner gelöscht wurde. Ordnernummern werden wohl anders als Bildnummern neu vergeben wenn der Ordner gelöscht wird.

@Offshore7
@cyclic
@Doctective
- > Hier stellen sich die Frage an die Experten:
1. Wie groß war die SD-Karte in der Kamera?
2. Welche Auswirkungen hätte das Einlegen einer neuen/zweiten SD-Karte auf die Benennung von
a. Fotonummern?
b. Ordnern?

Zum Hintergrund:
Sitze seit ein paar Tagen an der "Verbindung" der erhaltenen Fotos (Quelle: KoudeKaas-Blog) aus dem Zeitraum vor dem 1.4. mit den Tagebüchern. Das wirft ein interessantes Bild auf das mitunter etwas seltsame Fotografierverhalten der beiden, da zahlreiche Fotos von Motiven, die man erwarten würde (Schulalltag, Delphine, Affen etc.) entweder nur nicht mit der Kamera oder aber gar nicht fotografiert wurden.

Auch wird deutlich, dass ganze Tage nicht fotografisch (zumindest nicht mit der Kamera) dokumentiert wurden und zahlreiche Abschnitte von Fotonummern völlig fehlen, wenngleich die Nummern immer weitergezählt wurden...

Zudem hat das den Nebenenffekt, Kleidung und Schmuck der beiden zu analysieren. So wird bsp. deutlich, dass Lisanne das türkisfarbene Top vorher zumindest einmal getragen hat, und die von den zahlreichen Zeugen beschriebenen dunklen Leggings nur auf dem Flughafenfoto zu erkennen sind, so dass die Zeugen am 31.3. durchaus die beiden gesehen haben könnten.

cyclic schrieb:Äh, kannst das nochmal testen, bitte. Bei mir ist das nämlich komplett gegenteilig.

Für alle die es interessiert: SD-Karte Filesystem Block/Cluster-Versuche (Seite 2) (Beitrag von Offshore7)

Diebold schrieb:Sitze seit ein paar Tagen an der "Verbindung" der erhaltenen Fotos (Quelle: KoudeKaas-Blog) aus dem Zeitraum vor dem 1.4. mit den Tagebüchern. Das wirft ein interessantes Bild auf das mitunter etwas seltsame Fotografierverhalten der beiden, da zahlreiche Fotos von Motiven, die man erwarten würde (Schulalltag, Delphine, Affen etc.) entweder nur nicht mit der Kamera oder aber gar nicht fotografiert wurden.

Vielleicht sind nicht alle Fotos geleakt oder veröffentlicht?

OnkelEde schrieb:Vielleicht hat Lisanne (versehentlich) Kris fotografiert, wie sie sich mit heruntergelassener Hose hingehockt hat, worauf Kris sofort rief: "das Bild löschst Du aber sofort!"

Und wieder wird das „Pinkeln“ für ihr schweres Schicksal verantwortlich gemacht.

Man hätte nicht nur ein Foto löschen, sondern auch die Kamera ausschalten sollen. Wer schaltet schon eine Kamera aus, wenn versehentlich ein misslungenes Bild gemacht wird, wenn man noch einen langen Spaziergang mit viel Schönheit vor sich hat?

Diebold schrieb:Die einzige Frage, die sich mir in diesem Zusammenhang noch stellt, ist, wie sich in Panama der Abend bemerkbar macht. Ich kenne es aus zahlreichen Aufenthalten in Brasilien, dass es bsp. um 17:50 Uhr noch hell, aber schon um 18:05 Uhr stockdunkel ist.

Was auch bedeutet, dass die Temperatur recht rasch abfällt.

Anthurium schrieb:Und wieder wird das „Pinkeln“ für ihr schweres Schicksal verantwortlich gemacht.

Das ist einfach nur unsachlich. Ich habe dies als möglichen Grund für eine sonst unübliche Löschung eines Fotos angeführt, sonst nichts.

Offshore7 schrieb:Für alle die es interessiert: SD-Karte Filesystem Block/Cluster-Versuche (Seite 2) (Beitrag von Offshore7)

Wow, das kann ich jedem empfehlen. Für mich ist das eine kleine Sensation, die sich noch steigern könnte.

Ich hatte mich heute morgen noch kurz gefragt, ob DMDE gelöschte und bereits (teilw.) überschriebene Dateien evtl. nur deshalb nicht anzeigt, weil die nicht wiederherstellbar sind und DMDE schon vorrangig ein Recovery-Tool ist. Da hatte ich meinen Post aber schon abgeschickt.

Was @Offshore7 da mit WinHex (wenn ich das richtig sehe) gezeigt hat ist, dass die Einträge bzgl. Dateinamen und auch wo die Datei mal gespeichert war, trotzdem noch auffindbar sind (mit DMDE ist es mir trotzdem nicht gelungen, aber scheint wirklich an der Logik des Tools zu liegen).

PhotoRec hätte den NFI'lern da nicht geholfen, aber EnCase Forensic als ausgewiesenes Forensik-Tool müsste theoretisch diese Daten auch finden und prominent anzeigen. D.h. da hätte man beim NFI schon Tomaten auf den Augen haben müssen um das nicht zu sehen und entsprechend zu erwähnen.

Hier habe ich einen Screenshot gefunden, wie EnCase Forensic gelöschte Dateien anzeigt (das beweist aber noch nicht, dass das auch für bereits teilw. überschriebene noch so aussieht):
https://vip-software.com/other-software/150-encase-v-613.html

Dann aber bleiben nur noch zwei Optionen, soweit ich sehe:

1. Der bei der Kamera bisher nicht dokumentierte und sicherlich mind. extrem seltene Fehlerfall, dass die Bildnummer hochgezählt wurde, aber nie eine Bilddatei geschrieben wurde
2. Bewusste Manipulation am Rechner, wobei Bild #509 aus irgendeinem Grund nicht auf die Karte kopiert wurde. Und in dem Fall eher bevor die panamaischen Ermittler auf der Karte rumgefuhrwerkt haben, denn deren Überbleibsel wären schwer zu faken gewesen. Wie schwierig es wäre die übrigen gelöschten Dateien auf die Art zu erhalten, ist mMn mit den verfügbaren dürren Infos nicht wirklich einschätzbar.

Die bis dahin einfachste Erklärung, direktes Löschen auf der Kamera, wird zumindest sehr viel unwahrscheinlicher. Vielleicht finden wir doch noch mehr über EnCase heraus (ohne den happig Kaufpreis bezahlen zu müssen).

cyclic schrieb:Was @Offshore7 da mit WinHex (wenn ich das richtig sehe) gezeigt hat ist, dass die Einträge bzgl. Dateinamen und auch wo die Datei mal gespeichert war, trotzdem noch auffindbar sind (mit DMDE ist es mir trotzdem nicht gelungen, aber scheint wirklich an der Logik des Tools zu liegen).

Offshores Screenshots sehen für mich aus wie Abbildungen aus DMDE.
Ich schließe mich dem Lob an, wirklich gut herausgefunden @Offshore7.

cyclic schrieb:Dann aber bleiben nur noch zwei Optionen, soweit ich sehe:

Wie so oft, gibt es auch hier wieder Interpretationsspielraum. Wonach hat der Forensiker gesucht, was fand er und wie würde er seine Ergebnisse im Bericht formulieren?

Der Forensiker schrieb in seinem Bericht, dass er gezielt nach Hinweisen zu 509 gesucht hat:

cyclic schrieb am 07.06.2025:Mit dem Programm Encase durchsuchte ich die Beweisdateien auf dem Datenträger ausgiebig nach Spuren der fehlenden Datei.

cyclic schrieb am 07.06.2025:Im FAT32-Dateisystem des Datenträgers konnte ich jedoch keine Spur dieser fehlenden Datei finden.

Das, was Offshore7 gefunden hast, wäre meiner Meinung nach eine Spur gewesen. Der Forensiker hätte dann wohl diagnostiziert, dass er anhand der Spur sehen konnte, dass das Bild existierte und gelöscht sowie überschrieben wurde.
Für mich spricht die Beschreibung des Forensikers nach den aktuellen Ergebnissen daher dafür, dass das Foto nie existierte.
Es war meiner Meinung nach so etwas:

Faktor12 schrieb am 24.05.2025:Fehlfunktion aber genau von veränderten Umweltbedigungen - Sturz, Temperatur, Nässe - abhängig ist. Bei den normalen rund 25.000 Photos, die ich mit den beiden Kameras gemacht habe gab es auch keinen einzigen Fehler, eben nur bei Sturz, Nässe oder Kälte. Wobei ansonsten an den SD-Karten keinerlei Fehler auftraten, alle Karten sind Jahre später immer noch normal benützbar.

Es gab vermutlich einen externen zusätzlichen Umstand (z. B. Schmutz, Feuchtigkeit), der begünstigte, dass die Kamera das Bild nicht gespeichert hat.

cyclic schrieb:Bewusste Manipulation am Rechner

kann man meiner Ansicht nach bei dem vorgefundenen Zustand mit lückenloser Sektorbelegung, den Resten von alten gelöschten Bildern/Videos und einem Rucksackfund im Fluß fernab jeglicher Zivilisation ausschließen.

Anthurium schrieb:Man hätte nicht nur ein Foto löschen, sondern auch die Kamera ausschalten sollen. Wer schaltet schon eine Kamera aus, wenn versehentlich ein misslungenes Bild gemacht wird, wenn man noch einen langen Spaziergang mit viel Schönheit vor sich hat?

Das hat zwar massiv an Relevanz verloren, aber ich lasse das trotzdem ungerne so stehen. Die Antwort ist jede(r) schaltet die Kamera aus. Man nimmt sie aus der Tasche, schaltet sie ein, macht ein, zwei Fotos, schaltet sie aus und steckt sie wieder ein (was mit ausgefahrenem Objektiv auch schlecht ginge).

---

Noch ein Gedanke zu dem oben.

cyclic schrieb:PhotoRec hätte den NFI'lern da nicht geholfen, aber EnCase Forensic als ausgewiesenes Forensik-Tool müsste theoretisch diese Daten auch finden und prominent anzeigen. D.h. da hätte man beim NFI schon Tomaten auf den Augen haben müssen um das nicht zu sehen und entsprechend zu erwähnen.

Wir haben also 40 wiederherstellbare Bilddateien. Genaue Herkunft immer noch unklar, aber wahrscheinlich irgendetwas was die panamaischen Ermittler verzapft haben (unverändert).

Bei den nicht wiederherstellbaren Dateien (mir immer noch unklar ob es nun 64+4=68 oder 64-40+4=28 sind), schwenke ich dann um auf: die dürften vollständig überschrieben gewesen sein, jedoch war der Nachweis nicht nur indirekt, sondern ebenfalls durch die noch vorhandenen Metadaten möglich. Das erklärt dann auch wie man Bilder von Videos unterscheiden konnte und deren exakte Anzahl kannte. Und das wiederum spricht ganz stark dafür, dass EnCase diese Daten findet und anzeigt (denn PhotoRec macht es ja nicht). (Nur beim Löschdatum sehe ich weiterhin nur indirekte Nachweismöglichkeiten).

Diebold schrieb:Hier stellen sich die Frage an die Experten:
1. Wie groß war die SD-Karte in der Kamera?
2. Welche Auswirkungen hätte das Einlegen einer neuen/zweiten SD-Karte auf die Benennung von
a. Fotonummern?
b. Ordnern?

Scharf beobachtet! Die Kamera kann erst 2014 gekauft/erstmalig benutzt worden sein, sonst ist das mit der falschen auf 2013 eingestellten Systemzeit schwerlich zu erklären (2013 ist der initiale Wert wenn man die Kamera erstmalig einschaltet).

Da es einen ersten Ordner vom Januar gibt (100__01), macht das einen Wechsel der SD-Karte eher unwahrscheinlich. Man hätte theoretisch im Januar ein paar Fotos machen können, dann die SD-Karte wechseln, damit im restl. Januar, ganzen Februar und Anfang März Fotos schießen können, um dann für die Reise wieder zurück auf die erste Karte zu wechseln. Aber das ist doch ziemlich unwahrscheinlich, würde ich mal sagen.

Ein neu Formatieren ist auch unwahrscheinlich. Das hätte dann schon im Januar erfolgen müssen (und danach hätte man dann noch Fotos im Januar aber keine mehr im Februar machen müssen).

Laut VIP (neue Auflage) S. 81 war es übrigens eine SanDisk mit 16 GB (also absolut nichts ungewöhnliches).

Ich bin gespannt auf deine Analyse insbesondere auch zu zeitlichen Lücken ;-) Den Fotos von vor Boquete habe ich bisher noch wenig Beachtung geschenkt.

cyclic schrieb:Dann aber bleiben nur noch zwei Optionen, soweit ich sehe:

Da stimme ich dir zu und formuliere es mal anders:

Wenn das NFI sauber gearbeitet hat bzw. EnCase was taugt und wir auf der einen Seite eine extreme Unwahrscheinlichkeit eines Kamerafehlers berücksichtigen, bleibt auf der anderen Seite nur eine extreme Wahrscheinlichkeit für eine absichtliche*** Manipulation per PC, bevor die panamaischen Ermittler am 17. Juni als Bilddreher tätig waren.

*** Spoiler
- Löschen und Zurückkopieren des DCIM-Ordners reicht nicht, weil das im Root-Directory sichtbar wäre = Formatierung nötig
- Beibehalten der Original-Timestamps erfordert spezielle Kopiertools bzw. Preserve-Parameter
- Directorys werden beim Kopieren neu generiert (als gelöscht markierte Einträge fehlen) - entspringen die 64/4 tatsächlich dem 101__03 Directory-Cluster, hätte man diesen 32 KB Cluster per Hex-Editor frisieren bzw. den ursprünglichen zurückspielen müssen

Oder:
- Bild / Video 509 löschen + Verzeichniseintrag per Hex-Editor entfernen und dann die Nachtfotos auf die SD-Karte kopieren oder zurück kopieren = simpelste Lösung ohne Formatierung und Erhalt aller Strukturen (gelöschte Einträge, gelöschte Bilder, Fragmentierungen) bis #508 :-)

Da mit o.g. Methode alle Spuren von 509 verschwinden, wäre auch ein manuelles Löschen mit der Kamera möglich, so wie es die Arbeitshypothese des Forensikers war.

cyclic schrieb:Nur beim Löschdatum sehe ich weiterhin nur indirekte Nachweismöglichkeiten)

Ein Löschdatum gibt es in den Metadaten nicht, aber einen Create-Timestamp (der ist auf den WinHex-Bildern natürlich hexadezimal dargestellt). Zudem landeten die Panama-Dateien in einem der beiden Directory-Cluster 101__03 oder 102__04. So könnte man schon sagen: Alle 64+4 entstanden vor dem 1. April oder anhand der Timestamps auch vor dem 28. März.

Diebold schrieb:Die einzige Frage, die sich mir in diesem Zusammenhang noch stellt, ist, wie sich in Panama der Abend bemerkbar macht. Ich kenne es aus zahlreichen Aufenthalten in Brasilien, dass es bsp. um 17:50 Uhr noch hell, aber schon um 18:05 Uhr stockdunkel ist.

1. April 2014:
14:00 Temperatur Q1 23 Grad
17:50 Beide Handys aus
18:39 Sonnenuntergang
19:00 Dunkel, Temperatur hinter Mirador 18-20 Grad

Quelle Wetterdaten: https://open-meteo.com/

Es wäre eine Untersuchung wert wie der Arbeitsablauf (Flowchart) der Canon bei der Aufnahme eines Bildes genau ist, z.B.
1. Auslöser wird gedrückt
2. Verschluss öffnet sich, Sensor wird belichtet
3. Kamera speichert Bilddaten in temporärem, internen Speicher zusammen mit Metadaten
4. Zähler für Bildnummer wird um 1 erhöht
5. Kamera speichert Bild mit Metadaten und korrektem Dateinamen auf SD Karte

Natürlich mehr im Detail - dazu müsste man ggf. die Firmware der Kamera analysieren. Je nachdem wann in diesem Ablauf ein Fehler auftritt kann die Bildnummer um 1 erhöht werden ohne dass eine Datei auf die SD Karte geschrieben wurde (= Bild existierte nie).

Das fehlende Bild durch Fehlfunktion der Kamera würde ich auch nicht auf den 01. April 2014 datieren sondern eher kurz vor Aufnahme der Nachtserie.

Mein Vermutung wäre: Die Kamera wurde nass und war einige Tage nicht funktionsfähig. Ggf. haben K+L bereits in den Nächten zuvor erfolglos versucht mit dem Kamerablitz auf sich aufmerksam zu machen da die Kamera nicht startete. Irgendwann trocknete die Kamera teilweise ab und zumindest ein Teil des o.g. Ablaufs funktionierte (aber das Schreiben auf SD nicht) --> Bild#509. Nach weiterem Abtrocknen sind dann die Nachtbilder entstanden.

Offshore7 schrieb:Wenn das NFI sauber gearbeitet hat bzw. EnCase was taugt und wir auf der einen Seite eine extreme Unwahrscheinlichkeit eines Kamerafehlers berücksichtigen, bleibt auf der anderen Seite nur eine extreme Wahrscheinlichkeit für eine absichtliche*** Manipulation per PC, bevor die panamaischen Ermittler am 17. Juni als Bilddreher tätig waren.

Ohne eine Untersuchung wie sich die Kamera z.B. bei Wasserschaden verhält halte ich die Gewichtung der Wahrscheinlichkeiten für sehr gewagt. Die absichtliche Manipulation am PC ist sicher technisch problemlos möglich, im Gesamt-Kontext dieses Falles aber eher ein theoretisches Konstrukt (da absolut sinnlos und mit dem Risiko behaftet, eindeutige Spuren zu hinterlassen).

Offshore7 schrieb:Zudem landeten die Panama-Dateien in einem der beiden Directory-Cluster 101__03 oder 102__04.

Na danke, noch ein Hand-klatscht-auf-Stirn-Moment heute. Mit deinen breaking News geht's einfach über die Monats-Verzeichnisse, na klar! Das ist zwar auch indirekt und sagt nur März oder April (oder Januar), wäre aber direkt sichtbar ohne zusätzliche Clusterbelegungsanalysen.

Offshore7 schrieb:Bild / Video 509 löschen + Verzeichniseintrag per Hex-Editor entfernen und dann die Nachtfotos auf die SD-Karte kopieren oder zurück kopieren = simpelste Lösung ohne Formatierung und Erhalt aller Strukturen (gelöschte Einträge, gelöschte Bilder, Fragmentierungen) bis #508 :-)

Auf die Gefahr hin dass ich abermals was übersehe, aber was wäre da der Sinn gewesen? Genau das macht es doch umso verdächtiger?

Offshore7 schrieb:Da stimme ich dir zu und formuliere es mal anders:

Wenn das NFI sauber gearbeitet hat bzw. EnCase was taugt und wir auf der einen Seite eine extreme Unwahrscheinlichkeit eines Kamerafehlers berücksichtigen, bleibt auf der anderen Seite nur eine extreme Wahrscheinlichkeit für eine absichtliche*** Manipulation per PC, bevor die panamaischen Ermittler am 17. Juni als Bilddreher tätig waren.

und ich frage mich nach wie vor ob das FP in diesem Fall eben erst ab Mitte April stattgefunden hat und Bild 509 sowie auch vorhandene Notrufe (oder eher SMS-Versuche an die Eltern ab dem 3.April) eben ab diesem Zeitpunkt zusammen gelöscht wurden.

cyclic schrieb:Auf die Gefahr hin dass ich abermals was übersehe, aber was wäre da der Sinn gewesen? Genau das macht es doch umso verdächtiger?

ohne dass ich mich jetzt mit technischen Details auskenne:vielleicht sollte ja etwas verdächtiger gemacht werden um eben genau auf eine gewisse Straftat hinzuweisen...um eben vom eigentlichen FP abzulenken.

cyclic schrieb:Auf die Gefahr hin dass ich abermals was übersehe, aber was wäre da der Sinn gewesen? Genau das macht es doch umso verdächtiger?

Das kommt auf die Interessen an. :-)

Angenommen 509 war ein Abschiedsvideo mit 40 Sekunden länge, was mittels 100 Nachtfotos überschrieben / eliminiert wurde. Der Typ, der die Nachfotos mit der SX270 aber einer anderen SD-Karte machte, knippst logischerweise #510 bis #609. Und die 100 Dateien musste ja auf die Original-SD. Wäre da nun ein Meta-Eintrag: Video #509, Create 1. April, 40 Sekunden, DANN wäre das mega verdächtig. Also weg damit, 32 Bytes nullen, 10 Sekunden Arbeit.

Mal als spekulatives Beispiel. Es wäre viel riskanter / offensichtlicher, alle 477 Dateien plus 5 Directorys neu zu schreiben, die dann künstlich alle Sektor an Sektor liegen, nicht fragmentiert sind und keine gelöschten Dateien oder Verzeichniseinträge enthalten. Theoretisch könnten ja auch Dritte Kenntnis von gelöschten Fotos zB aus Bocas haben.