Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

1138 schrieb am 12.06.2025:Kann eigentlich ausgeschlossen werden, dass eventuelle Selfies die mit dem Handy gemacht wurden (Mutmaßung) auf die SD Karte der Kamera (Canon) kopiert wurden um einen stringenten Ablauf (Fototechnische Dokumentation eines Unfalls) zu "erzeugen"?

> Diese Idee ist interessant, zumal m. M.n. einige Fotos vom Gipfel wirklich so wirken als seien sie mit einem mobilen Endgerät gemacht worden. Interessanterweise sind ja Handybilder vom Gipfel nachweisbar, aber nicht (mehr) vorhanden (s. https://imperfectplan.com/2021/02/24/kremers-froon-new-case-data-timestamps-of-missing-daytime-photos/). Auf der anderen Seite gibt es zahlreiche "Gipfelfotos" von beiden Handys, die darauf hindeuten könnten, dass die beiden dort gezielt Fotos machen wollten, um diese nach Beendigung der Wanderung via WhatsApp zu versenden...

Doctective schrieb am 12.06.2025:Das ist nur denkbar, wenn sie zurückgegangen sind, als die Handys aus waren, oder sie ohne ihre Handys zurückgegangen sind.

> Ist das denn so weit hergeholt? Wie würde sich das Szenario denn dann darstellen? Könnte das denn zeitlich passen? Wie ist die Netzabdeckung auf dem Weg zum Gipfel, der ja dann der Rückweg gewesen wäre? Wenngleich ich es etwas seltsam finden würde, auf dem Rückweg bei so schönem Wetter lange Hosen getragen zu haben. Andersherum könnte das erklären, warum im Rucksack nicht nur die beiden Handys, sondern auch die BHs der beiden UND die Kamera gefunden wurde: Man war halt fertig mit der Wanderung, diese mit zahlreichen Fotos dokumentiert und sich erfrischt...

Doctective schrieb am 12.06.2025:3. Hatten sie sich ziemlich genau über den Verlauf des Trails informiert, Karten heruntergeladen und sind bis auf den Gipfel navigiert.

> Schon, aber vorausgesetzt, sie sind mit einem Fahrzeug bis zum Ort des ersten Fotos gefahren worden - wie viel "Navigation" war da noch notwendig war...

cyclic schrieb am 13.06.2025:Wenn sich das bestätigt fällt Erschütterung eigentlich weitgehend aus. Bliebe Feuchtigkeit, die aber rel. selektiv best. Pins (bzw. vielleicht nur exakt einen Pin) betroffen haben müsste, denn sonst merkt die Kamera das sofort (zieht man z.B. die SD-Karte ganz raus geht die Kamera direkt aus).

> Nur aus Interesse bzgl. FP-Szenarios: Könnte nicht auch ein schnelles gewaltsames Entnehmen der SD-Karte durch Dritte zwecks Entfernung und den Versuch der Zerstörung den gleichen Effekt auf die Funktion der Pins gehabt haben?

@Offshore7

Ich rede eigentlich nur noch über die logische / Filesystem-Ebene. Solange sich die logische Ebene - naja eben logisch verhält, ist alles prima. Über die Hardware-Ebene den FTL zw. logischer und Hardware-Ebene können wir ein andernmal weiterdiskutieren - und ob da nun selbst bei logisch vollständig überschriebenen Dateien irgendwo im NAND-Speicher doch noch Reste einer gelöschten Datei stecken (können) und ob die mit Hilfe von SanDisk evtl. auslesbar und zusammensetzbar gewesen wären.

Logisch ist es jedenfalls so, dass offenbar im letzten Sektor einer Datei keine Reste der alten Daten zu finden sind (kann ja durch Um-Mapping auf einen anderen NAND-Bereich sein), aber jedenfalls betrifft das 512-Byte-Sektoren. Im Rest des letzten Clusters sind dann ggf. Reste der Altdatei - eben der Schlupfspeicher.

---

Diebold schrieb:Diese Idee ist interessant, zumal m. M.n. einige Fotos vom Gipfel wirklich so wirken als seien sie mit einem mobilen Endgerät gemacht worden. Interessanterweise sind ja Handybilder vom Gipfel nachweisbar, aber nicht (mehr) vorhanden (s. https://imperfectplan.com/2021/02/24/kremers-froon-new-case-data-timestamps-of-missing-daytime-photos/). Auf der anderen Seite gibt es zahlreiche "Gipfelfotos" von beiden Handys, die darauf hindeuten könnten, dass die beiden dort gezielt Fotos machen wollten, um diese nach Beendigung der Wanderung via WhatsApp zu versenden...

Dass man zusätzlich zu Kamerafotos, die man erst überspielen müsste noch Handyfotos macht, die man dann direkt versenden kann (z.B. sobald man WLAN hat) ist aber auch nicht ungewöhnlich. Die Anzahl und der zeitl. Abstand der Handyfotos stimmt jedenfalls nicht mit den Kamerabildern überein. Die vielen Canon-spezifischen EXIF-Metadaten hätte man sowieso faken müssen, das Canon-Jpeg-Format mit den zwei zusätzlichen kleineren eingebetteten Auflösungen (160x120 und 1440x1080) hätte man auch erst irgendwie zusammenfrickeln müssen und die Auflösung des Hauptbilds (4000x3000) dürfte frisch vom Handy auch eine andere sein. Kann man vielleicht machen, das ist dann aber schon das größere Besteck.

Diebold schrieb:Wie ist die Netzabdeckung auf dem Weg zum Gipfel, der ja dann der Rückweg gewesen wäre?

Dazu findest du Infos im Thread (ich meine @Annju hat mal was dazu geschrieben). Ich kann dazu vielleicht folgendes ergänzen:

Zumindest theoretisch dürfte Netz in weiten Teilen vorhanden sein. Der Funkmast hier sieht schon sehr nach Mobilfunkantennen aus:

StreetView
Vom Blumenpark aus:
StreetView

Wenn man weiß wo er ist, erkennt man ihn übrigens schemenhaft auf #441 und #443 (Blumenpark) - sprich den gab es 2014 auch schon. Und dieser auf einem Hügel stehende Mast liegt nun genau in der Verlängerung des Rio-Pianista-Tals. Und auf #489 sieht man ihn zwar wegen der bescheidenen Auflösung nicht, aber man sieht das große helle Gewächshaus ebenfalls auf dem Hügel von Alto Lino, was bedeutet der Turm selbst wäre wahrscheinlich auch erkennbar, wenn das Bild besser wäre. Zwischen Mast und Mirador sind es 4.6 km Luftlinie. Daran sollte es also nicht scheitern. Kurz nach #489 ab dem Waldeingang dürfte man sich allerdings für einige Zeit im Funkschatten eines vorgelagerten Hügels befinden und aus diesem dann erst weiter oben wieder heraustreten (weil man da über den vorgelagerten Hügel hinweg direkte Sichtbeziehung zum Funkmast hat ("Sichtbeziehung" meint nicht, dass man ihn aus dem Wald heraus tatsächlich sehen könnte, es sind nur keine massiven Hindernisse dazwischen).

Apropos Funkmasten, falls jmd. mitsuchen möchte. Ich habe abgesehen vom oben genannten, bisher die gefunden:

• Bajo Boquete: StreetView
• Alto Boquete (Nähe Sprachschule und Unterkunft): StreetView
• Alto Boquete: StreetView

Diebold schrieb:Nur aus Interesse bzgl. FP-Szenarios: Könnte nicht auch ein schnelles gewaltsames Entnehmen der SD-Karte durch Dritte zwecks Entfernung und den Versuch der Zerstörung den gleichen Effekt auf die Funktion der Pins gehabt haben?

Gewalt hat so an sich, dass sie häufig Schaden anrichtet ;-) Bei den Kontakten in der Kamera ist es nur durch Herausreißen der Karte aber eher schwierig, würde ich sagen, da die Karte im Kamera-Slot sehr eng geführt ist (was es für mich z.B. schwierig macht noch einen dünnen Plastikstreifen dazwischen zu bekommen um einzelne Kontakte zu unterbrechen). Man hat also so gut wie keine Hebelwirkung auf die Kontakte. Noch dazu kann man die Karte nicht wirklich greifen solange sie noch unten bis zu den Pins reicht. Deswegen gibt es eine Feder, die die entriegelte Karte herausdrückt und man sie dann greifen kann. Die Karte selbst, einmal rausgenommen, kann man natürlich rel. leicht beschädigen und auch vollkommen zerstören.

---

sceptical schrieb:Am liebsten würde ich selbst Tests durchführen, einzig fehlt mir die Kamera dazu und kaufen werde ich mir deswegen keine.

Falls sich sonst jmd. mit dem Gedanken trägt:
Wenn man Wert auf den Blitz legt, muss man ein bisschen aufpassen, da einige angeboten werden wo der Blitz defekt ist und nicht alle schreiben das ehrlich in das Angebot. Das scheint eine Schwachstelle bei dieser Kamera zu sein. Deshalb besser vorher beim Verkäufer nachfragen. Auch kann man mal fragen, ob die Batterielade-Anzeige hektisch rot blinkt sobald man ein Video aufnimmt (was für einen schwächelnden Akku spricht). Mit etwas Geduld kann man aber eine brauchbare für 40-80€ bekommen. Die SX280 ist übrigens baugleich mit ein paar Zusatz-Features (u.a. GPS).

@sceptical
Ich wüsste allerdings nicht welchen Unterschied es auf dem Datenträger/ Filesystem macht, wer eine Datei geschrieben oder gelöscht hat. Bei den meisten meiner Tests habe ich aber ohnehin alle Aktionen weitestgehend auf der Kamera ausgeführt (Bilder machen, Bilder löschen, Karte formatieren), nur bzgl. Schlupfspeicher ist das nicht wirklich praktikabel (wie generell wenn man nur die ersten paar Bytes einer gelöschten Datei überschreiben will).

Offshore7 schrieb:Du meinst, die Kamera-Firmware hält sich nicht an die FAT32-Spezifikation? Steile These .. oO

Das würde ich allerdings auch sagen.

@Offshore7, ich würde gern von deiner umfassenden iPhone-4-Expertise profitieren. In deiner ausgezeichneten Analyse beschreibst du einen RAM/NAND-Bug, dem zufolge die Powerlogs erst dann aus dem RAM in die permanente Datenbank geschrieben werden, wenn das System mindestens 1 Minute 20 Sekunden läuft UND der Passcode eingegeben wurde. In allen anderen Fällen verschwinden die Logs beim Ausschalten des Geräts im „Apple-Bermudadreieck“.

In deiner Plausibilitätstabelle hast du die Ereignisse vom 1. April nicht aufgeführt, doch der RAM/NAND-Bug passt hier vielleicht gut:
Quelle
• 10:26 – Trennung vom WLAN im Nelvis-Restaurant
• 11:04 – Akkustand 50,91 %, Flugmodus aus, Registrierung im 2G-Netz über einen Stadtsendemast in der Nähe des Restaurants Il Pianista
• 11:20 – Telefon weiterhin im GSM-Netz
• 11:49 – Verlust der GSM-Verbindung
• 12:33 – Wiederanmeldung im GSM-Netz, Signal sehr schwach
• 13:14 – Drei Fotos aufgenommen
• 13:15 – Ein weiteres Foto aufgenommen
• 13:14 – 13:16 – GSM-Verbindung vorhanden, Signal schwankt stark (mögliche Hindernisse wie Bäume/Hügel)
• 13:38 – GSM-Verbindung verloren
• 16:39 – Notruf 112 gewählt, keine Netzverbindung, Akkustand 42,18 %
• 16:40 – Weiterhin keine GSM-Verbindung
• 17:52 – Telefon wird ausgeschaltet

Um 13:14 wird der Passcode eingegeben, um die Kamera zu öffnen und Fotos zu machen. Alle Powerlogs bis zu diesem Zeitpunkt landen daher in der Datenbank, weshalb wir die Daten sehen. Nach einer gewissen Zeit springt das Gerät wieder auf den Sperrbildschirm zurück. Um 16:39 wird der Anruf getätigt – vermutlich über die Telefon-App (also erneut mit Passcode-Eingabe; wäre der Notruf-Shortcut genutzt worden, wüssten wir nichts vom 13:38-Ereignis). Dadurch werden die Powerlogs von 13:14 bis 16:39 ebenfalls aus dem RAM in die Datenbank geschrieben. Wenn das Telefon dann um 17:52 ausgeschaltet wird, verschwinden alle Powerlogs zwischen 16:40 und 17:52 im „Bermudadreieck“, sofern nicht vorher noch einmal der Passcode eingegeben wurde, um den Abschaltvorgang einzuleiten.

Spiegelt das tatsächlich den Inhalt der erwähnten Log-Dateien wider?

P. S.
Das schwankende Signal während der Fotositzung (13:14–16) oben auf dem Mirador ist höchstwahrscheinlich auf das Fotografieren selbst zurückzuführen. Das iPhone 4 litt unter dem berüchtigten „Death Grip“ – bedingt durch sein Antennendesign – und das Drehen des Geräts in den Querformatmodus könnte leicht den bekannten Kurzschluss durch Handkontakt ausgelöst haben.

*)

Agno schrieb:1 Minute 20

= 1 Minute 40. Ich finde den Bearbeiten-Button nicht.

Diebold schrieb:Doctective schrieb am 12.06.2025:
Das ist nur denkbar, wenn sie zurückgegangen sind, als die Handys aus waren, oder sie ohne ihre Handys zurückgegangen sind.

> Ist das denn so weit hergeholt? Wie würde sich das Szenario denn dann darstellen? Könnte das denn zeitlich passen? Wie ist die Netzabdeckung auf dem Weg zum Gipfel, der ja dann der Rückweg gewesen wäre? Wenngleich ich es etwas seltsam finden würde, auf dem Rückweg bei so schönem Wetter lange Hosen getragen zu haben. Andersherum könnte das erklären, warum im Rucksack nicht nur die beiden Handys, sondern auch die BHs der beiden UND die Kamera gefunden wurde: Man war halt fertig mit der Wanderung, diese mit zahlreichen Fotos dokumentiert und sich erfrischt...

Wäre es möglich, dass ihnen der Rucksack mit Handys und Kamera hinter dem Gipfel abhanden kam? Irgendwo hinuntergefallen oder abgetrieben? Auf jeden Fall so, dass sie ihn nicht selber bergen konnten? Das würde erklären, dass sie ohne Handys zurück sind, evtl. zuerst in die Unterkunft, um die Gastmutter um Hilfe zu bitten. Da diese nicht da war, haben sie sich umgezogen und sind nochmal los auf der Suche nach jemandem, der ihnen hilft, den Rucksack zu bergen. Wer will schon auf Handys, Kamera und Geld verzichten? So kam es evtl. dazu, dass jemand mit ihnen mit einem Auto ein Stück hochgefahren hat. Das würde auch die Zeugenaussagen erklären. Und dann nahm das Verhängnis seinen Lauf. Vielleicht war es eine Zufallsbegegnung aus der Not heraus. Vielleicht hatten sie aber auch schon oberflächliche Kontakte, die uns nicht bekannt sind.

Cyrus114 schrieb:dass ihnen der Rucksack mit Handys und Kamera hinter dem Gipfel abhanden kam? Irgendwo hinuntergefallen oder abgetrieben?

Das würde sich aber dann doch irgendwie mit den Notrufen/Notrufversuchen beißen, oder?

köster schrieb:Das würde sich aber dann doch irgendwie mit den Notrufen/Notrufversuchen beißen, oder?

Nicht wenn man annimmt, dass der mutmaßliche Täter den Rucksack barg und gleich mal Nortufversuche fakte. Ich könnte man mir vorstellen, dass man reflexartig auf diese Idee kommt. Und dann wird das durchgezogen, um ein Verlaufen zu suggerieren.

@Cyrus114
Da könnte ich mir eher - wenn man in deinem Szenario bliebe - vorstellen, dass man Ihnen den Rucksack/die Telefone zunächst zurückgegeben hat um die beiden noch für eine Weile einigermaßen in Sicherheit zu wiegen … dann haben beide bemerkt dass da etwas gewaltig in die falsche Richtung läuft (evtl. im wahrsten Sinne) und jeweils unauffällig einen Notruf versucht, woraufhin man ihnen dann die Handies endgültig abgenommen hat.

@köster
Das könnte auch sein. Jedenfalls müsste der Täter die beiden entweder gleich oder später noch gewungen haben, die PINS herauszugeben. Sofern der Täter die Handys dann bediente. Eine PIN wurde doch später nicht mehr eingegeben, wenn ich mich recht erinnere. Das müsste man erklären. Hat er sie vergessen oder hantierte dann schon eine weitere Person damit?

Ein Szenario in eine solche Richtung erscheint mir jedenfalls plausibler als ein Verlaufen ohne die geringste Spur und dann noch 10 Tage überleben und in der Zeit findet auch nienand was. Da hatten doch nicht nur Ortsfremde gesucht sondern Einheimische, die den Pfad kennen und sicher entsprechende Spuren bemerken hätten.

Agno schrieb:• 10:26 – Trennung vom WLAN im Nelvis-Restaurant

Kris und Lisanne waren am 1.4. nicht im Nelvis-Restaurant.

Agno schrieb:11:04 – Akkustand 50,91 %, Flugmodus aus, Registrierung im 2G-Netz über einen Stadtsendemast in der Nähe des Restaurants Il Pianista

Eine Lokalisation des Sendemastes war nicht möglich. Dass eines der Handys am Pianista Trail geortet wurde, ist ein Gerücht. Die Untersuchung erwähnt explizit, dass kein Standort festgestellt wurde bzw. diese Information nicht von Panama übermittelt wurde.

Besitzt du eine Ausgabe von VIP?

cyclic schrieb:ob die mit Hilfe von SanDisk evtl. auslesbar und zusammensetzbar gewesen wären.

Mit Gerichtsurteil, fünf- bis sechsstelligen Laborkosten und ner Erfolgswahrscheinlichkeit von 0,1 % wäre das vllt. möglich gewesen. :-)

@Agno

Ich hoffe, ich habe es nicht zu missverständlich formuliert. Du hast zwar recht, dass der Entsperr-Code immer wieder eingegeben werden muss, wenn das Gerät im Standby war, aber bei dem "Bug" geht es ausschließlich um das "initiale" Entsperren des iPhones, also das erste Mal nach dem Booten.

Am 1. April war das iPhone schon "initial" entsperrt, das passierte bereits am 31. März, sonst hätten wir keinen Akkustand. Mehrfaches Auto-Sperren und Entsperren während einer Session / Uptime spielt keine Rolle. Wird der erste Powerlog geschrieben, werden alle geschrieben. Unter Punkt VIII im Blog findest du einen kommentierten Powerlog inkl. Sleep / Wake Logs.

Beim schwankenden Signal während der Fotositzung (13:14–16) oben auf dem Mirador stimme ich dir zu 100% zu.

PS: Obwohl Reddit bereits im EP als Quelle angeben ist, ist es als Quelle nicht zugelassen. :'D

@

Offshore7 schrieb:geht es ausschließlich um das "initiale" Entsperren des iPhones, also das erste Mal nach dem Booten.

Großartig, mir war nicht klar, dass es sich nur um die erste Passcode-Eingabe nach booten handelt. Allerdings erinnere ich mich vage daran, dass einige der erwarteten Powerlog-Dateien vom 1. April offenbar fehlen. Weißt du, ob das bloß ein Gerücht ist oder ob das tatsächlich stimmt?

Und noch eine Frage, wenn ich darf: Gibt es in den Logs einen eindeutigen Nachweis, dass das Telefon um 17:52, ersten April, tatsächlich ausgeschaltet wurde, oder stützt sich diese Annahme auf indirekte Hinweise – etwa darauf, dass der Akkustand bis zum nächsten Einschalten am 2. April unverändert blieb?

Offshore7 schrieb:PS: Obwohl Reddit bereits im EP als Quelle angeben ist, ist es als Quelle nicht zugelassen.

Ah, entschuldige. Ich befinde mich noch auf einer steilen Lernkurve in all den verschiedenen Foren und werde diesen Fehler nicht noch einmal machen. :-)

Doctective schrieb:Besitzt du eine Ausgabe von VIP?

Ah, es hat eine ganze Weile gedauert, bis ich „VIP“ als Verschollen In Panama gedeutet habe :-) Zuerst dachte ich, es müsse eine „Very Important Person“ konsultiert werden oder so etwas. Ich komme aus den Niederlanden und kenne das Buch nur unter dem Akronym SLIP. Gelesen habe ich es noch nicht, doch man sagt, es basiere auf sehr gründlichen Recherchen zweier deutscher Journalisten. Offenbar hatten sie Zugang zu den vollständigen Akten und haben viele hartnäckige Gerüchte im Netz widerlegt. In den Rezensionen wurde teilweise kritisiert, dass die Schlussfolgerung unnötigerweise auf Fremdverschulden hindeute. Aber ich plane, ein Exemplar zu bestellen um mein Bild von diesem rätselhaften Fall weiter zu vervollständigen.

Agno schrieb:Ah, es hat eine ganze Weile gedauert, bis ich „VIP“ als Verschollen In Panama gedeutet habe :-) Zuerst dachte ich, es müsse eine „Very Important Person“

Ja, im Deutschen ist das Buch als VIP bekannt, was für Englischsprachige genauso verwirrend sein kann wie SLIP ;-) Die Abkürzungen haben wir uns nicht ausgedacht.

In VIP sind dutzende Gerüchte und Falschinformationen, die jahrelang durchs Netz gewandert sind und sich immer noch hartnäckig halten, widerlegt, anhand der Originalakten und einer großen Menge an Zeugeninterviews. Unter anderem auch Kris und Lisannes Aufenthalt im Nelvis oder die Ortung am Trail. Daher fragte ich.

Ich bin einer der Autoren des Buches, falls Du es noch nicht weißt.

Doctective schrieb:Ich bin einer der Autoren des Buches, falls Du es noch nicht weißt.

Super, ich fühle mich geehrt. Der direkte Zugang zu einem der Autoren macht die Diskussion umso wertvoller!

Jetzt muss ich meine Frage noch sorgfältiger formulieren ;-)

Agno schrieb:Allerdings erinnere ich mich vage daran, dass einige der erwarteten Powerlog-Dateien vom 1. April offenbar fehlen. Weißt du, ob das bloß ein Gerücht ist oder ob das tatsächlich stimmt?

Ich habe deine detaillierte Analyse nun noch einmal gelesen und festgestellt, dass du die Quelle meiner vagen Erinnerung bist. Entschuldige bitte :-)

Offshore7 schrieb am 14.03.2025:Am 1. April scheinen für den 3-Stunden Zeitraum vor dem ersten Notruf (13:38 Uhr bis 16:39 Uhr) keine Powerlogs zu existieren. Das iPhone war im Standby bzw. im Sleep-Modus (und im Funkloch). Geloggt wird dann nur bei Aktivität, also Einschalten des Displays. Lt. meinen Tests wachen die iPhones zusätzlich ca. 1x pro Stunde kurz mit dem Grund "rtc" auf und loggen u.a. Signalstärke und Akkustand. Das würde ich auch bei Kris iPhone annehmen, also falsche Signalstärke-Logs (Freeze -94 dBm) um 14:38 Uhr und 15:38 Uhr.

Das ist merkwürdig und wirft die Frage auf, welche Ereignisse das System überhaupt dazu veranlassen, die Logs aus dem RAM in die Datenbank zu schreiben (macht der "rtc" (real time clock) das auch?). Die initiale Passcode-Eingabe ist mit Sicherheit ein Auslöser, aber möglicherweise wird dieser Vorgang auch durch jede Passcode-Eingabe nach dem Aufwecken aus dem Ruhezustand ausgelöst.

Es ist schwer zu erklären, aber ein mögliches Szenario wäre, dass die Meldung „GSM-Verbindung verloren“ um 13:38 ebenfalls ein Auslöser war, um die Powerlogs in den RAM zu schreiben. Der anschließende 112-Anruf erfolgte dann über die Notruf-Schaltfläche, also ohne Eingabe des Passcodes. Der 112 Anrufversuch selbst um 16:39 wird ohnehin in einer separaten Datenbank abgelegt. Das Ausschalten um 17:52 ohne erneute Passcode-Eingabe hätte dann zur Folge, dass alle RAM-Daten >13:38 im „Apple-Bermudadreieck“ verschwinden. Aber das würde somit einen Zeitraum von 13:38 Uhr bis 17:52 Uhr ohne jegliche Powerlogs erklären. Sind wir uns sicher, dass es zwischen 16:39 Uhr und 17:52 Uhr ein Powerlog gibt?

Hast du den Effekt einer Passcode-Eingabe nach dem Aufwecken auch getestet?

Agno schrieb:Und noch eine Frage, wenn ich darf: Gibt es in den Logs einen eindeutigen Nachweis, dass das Telefon um 17:52, ersten April, tatsächlich ausgeschaltet wurde, oder stützt sich diese Annahme auf indirekte Hinweise – etwa darauf, dass der Akkustand bis zum nächsten Einschalten am 2. April unverändert blieb?

Mir ist bewusst geworden, dass ich meine Frage genauer stellen muss: Du hast gezeigt, dass beim Herunterfahren immer bestimmte Systemdateien geschrieben werden. Allerdings könnte das NFI diese versteckten Dateien übersehen haben – oder auch nicht – und hat deshalb eine gewisse Unsicherheit geäußert, ob das Herunterfahren tatsächlich exakt um 17:52 erfolgte. Ohne die Rohdaten haben wir also keinen eindeutigen Beweis dafür, dass das Telefon genau zu diesem Zeitpunkt ausgeschaltet wurde, richtig?

cyclic schrieb:Die Anzahl und der zeitl. Abstand der Handyfotos stimmt jedenfalls nicht mit den Kamerabildern überein.

Kannst du erklären was du hier meinst? Meinst du „im Allgemeinen“, oder meinst du speziell die Fotos, die auf dem Gipfel gemacht wurden?

Ich hatte den Eindruck, dass die Fotos, die auf dem Gipfel sowohl mit der Kamera als auch mit den Handys* gemacht wurden, gut aufeinander abgestimmt waren.

* IP + LitJ

Agno schrieb:Allerdings erinnere ich mich vage daran, dass einige der erwarteten Powerlog-Dateien vom 1. April offenbar fehlen.

Mir persönlich fehlen Akkustand- und Signalstärke-Logs in den 3 Stunden nach 13:38 Uhr, weil ich mit meinen Testgeräten keine 3-stündige Standby-Zeit (Sleep-Modus) ohne Logs reproduzieren kann. Hinzu kommt, dass um 13:38 / 13:40 Uhr beide Handys aktiv waren und sich der Akkustand des S3 mini in den folgenden 3 Stunden quasi halbierte.

"Funkloch" ist für mich keine vernünftige Erklärung, bei beiden Handys nicht. ZB hatte das Samsung am 2. April in 15 Stunden Funkloch denselben Akkuverbrauch wie am 1. April in o.g. 3 Stunden, das passt nicht.

Agno schrieb:Und noch eine Frage, wenn ich darf: Gibt es in den Logs einen eindeutigen Nachweis, dass das Telefon um 17:52, ersten April, tatsächlich ausgeschaltet wurde, oder stützt sich diese Annahme auf indirekte Hinweise – etwa darauf, dass der Akkustand bis zum nächsten Einschalten am 2. April unverändert blieb?

Der Terminus des Forensikers ist "sehr wahrscheinlich".

Das basiert auf 3 Fakten, die vom NFI ermittelt wurden:
- am 2. April 8:12 wurde das iPhone eindeutig nachweisbar gebootet, war also aus
- keine Logs mehr ab 1. April 17:52
- im kompletten Filesystem wurde nach dem 1. April 17:52 keine einzige Systemdatei mehr erstellt, gelöscht oder geändert ***

*** Es liegt eine eindeutige Forensiker-Aussage zu dieser Dateisystem-Analyse beim Samsung für den 1. April 17:51 und allen 4 Zeitpunkten des 2. Aprils vor (wobei am 2. April ab 16:19 das Gegenteil festgestellt wurde, also Dateien geändert/gelöscht/erstellt wurden). Sehe keinen Grund, wieso die Methodik beim iPhone anders gewesen sein sollte.

Man muss sich bewusst machen, dass jede Nutzung nach 17:52 und jeder Ausschaltvorgang (mind. Wake aus Standby) nach 17:52 Logs produziert und Datei-Timestamps verändert hätte. Daher ist das technisch eindeutig, auch wenn eine "sekundengenaue" Angabe möglich gewesen wäre.

Und das bezieht sich nicht nur auf den 1. April, sondern auf alle Zeitpunkte! Nicht nur beim iPhone wurden mit dieser Methode also die Ausschaltzeiten und unnormal kurzen Betriebszeiten ab 2. April festgestellt, sondern auch beim Samsung.

Agno schrieb:Das Ausschalten um 17:52 ohne erneute Passcode-Eingabe hätte dann zur Folge, dass alle RAM-Daten >13:38 im „Apple-Bermudadreieck“ verschwinden.

Nein. Weil das iPhone bereits am 31. März initial entsperrt wurde und es am 1. April immer noch dieselbe "initial entsperrte" Session war. Alle Ereignisse nach dem initialen Entsperren werden direkt und in Realtime ins NAND-Flash geloggt. Nach dem initialen Entsperren lösen sich die Bugs in Luft auf!

##

Mal kombiniert spekuliert:

Nehmen wir die 3 Stunden vor den Notrufen und die Forensiker-Methode "keine Logs, keine Timestamps = aus", dann könnten beide Handys um 13:40 Uhr aus gewesen sein, wenn man die Daten 3 Stunden später (ab Notrufe) ignoriert.

Was wäre zu faken bzw. löschen? Ein hypothetischer Bootlog um 16:37 und ein paar Powerlogs .. Schon waren die Handys durchgehend bis 17:52 an und Kamera + Handys beweisen ein Lost-Szenario, während K+L gegen 16 Uhr am Waldeingang Boquete-Seite gewesen sein könnten.

Anthurium schrieb:Kannst du erklären was du hier meinst? Meinst du „im Allgemeinen“, oder meinst du speziell die Fotos, die auf dem Gipfel gemacht wurden?

Die vom Gipfel (nur da wurden ja auch Handy-Fotos gemacht).

Lt. Koudekaas gibt es 10 Kamerabilder, aber nur 9 Handy-Bilder vom Mirador (Gipfel).
Die Kamerbilder wurden über einen Zeitraum von fast 6 Minuten (5:57) zwischen 13:00 und 13:07 Uhr gemacht. Die Handy-Bilder in 1-2 Minuten (min 53 Sekunden, max 2 Minuten - von den iPhone-Bildern fehlen ja die Sekunden-Angaben) zwischen 13:14 und 13:16.

Aber eigentlich ist es nicht so entscheidend. Wenn man Handy-Bilder auf die Kamera kopiert hätte, dann hätte man eh u.a. auch alle EXIF-Metadaten faken müssen. Wer das schafft und macht, kann dabei auch die Zeitstempel beliebig verändern.

(Anmerk.: ich glaube nicht dass man Handy-Bilder auf die SD-Karte der Kamera kopiert hat, das halte sogar ich für einen großen Aufwand mit zu hoher Entdeckungsgefahr)

Offshore7 schrieb:Das basiert auf 3 Fakten, die vom NFI ermittelt wurden:
- am 2. April 8:12 wurde das iPhone eindeutig nachweisbar gebootet, war also aus
- keine Logs mehr ab 1. April 17:52
- im kompletten Filesystem wurde nach dem 1. April 17:52 keine einzige Systemdatei mehr erstellt, gelöscht oder geändert ***

Entschuldige, wenn ich etwas pingelig wirke, aber ich möchte nur prüfen, wie belastbar die Abschaltzeit 17:25 tatsächlich ist, insbesondere im Zusammenhang mit den an diesem Tag fehlenden Powerlogs.

1. Der erste Punkt sagt nichts darüber aus, wann das Gerät ausgeschaltet wurde – nur, dass es ausgeschaltet wurde. Es könnte also ebenso um 23:00 Uhr abgeschaltet worden sein.
2. Zum zweiten Punkt: Genau deshalb ist es so wichtig zu überprüfen, ob der RAM/NAND-Bug wirklich nur bei der initialen Passcode-Eingabe auftritt. Hast du diese spezifische Situation bereits getestet?
• Gerät aus dem Ruhezustand wecken, etwa eine Stunde warten, damit sich Logs im RAM ansammeln, anschließend ausschalten → meine Vermutung: keine Powerlogs
• Gerät aus dem Ruhezustand wecken, etwa eine Stunde warten, Logs im RAM aufbauen lassen, Passcode eingeben, anschließend ausschalten → meine Vermutung: Powerlogs sind vorhanden
Wir wissen sicher, dass die initiale Passcode-Eingabe den RAM/NAND Bug verhindert, also muss irgendwo im iOS-Code stehen: „if passcode = successful → RAM-Daten in Datenbank schreiben“. Es erscheint mir wenig plausibel, dass man zusätzlich ein „if first entry after boot“ eingebaut hätte.
3. Der dritte Punkt stützt sich stark auf den Vergleich mit dem Samsung, bei dem ein Abschalten eindeutig belegt ist. Die entscheidende Frage lautet: Existiert ein Powerlog zwischen dem 112-Anruf um 16:39 Uhr und dem angeblichen Ausschalten um 17:52 Uhr? Offenbar haben wir darauf keine eindeutige Ja-oder-Nein-Antwort, wobei ein Hinweis für das Vorhandensein eines Logs darin liegt, dass uns der Akkustand von 42,18 % um 16:39 Uhr vorliegt. Man würde annehmen, dass dieser Wert aus einem Powerlog stammt – oder, er gehört zu den Daten, die bei einem Anrufversuch gespeichert werden.

Was mich am RAM/NAND-Bug wirklich überrascht, ist, dass beim Herunterfahren nicht immer die erwartete ordentliche Aufräumarbeit erfolgt, wobei der sämtliche Daten aus dem RAM in die Datenbanken geschrieben werden.

Offshore7 schrieb:Man muss sich bewusst machen, dass jede Nutzung nach 17:52 und jeder Ausschaltvorgang (mind. Wake aus Standby) nach 17:52 Logs produziert und Datei-Timestamps verändert hätte. Daher ist das technisch eindeutig, auch wenn eine "sekundengenaue" Angabe möglich gewesen wäre.

Und dennoch fehlen angeblich drei Stunden Powerlogs – nämlich zwischen 13:38 Uhr und 17:52 Uhr –, sodass wir nicht ausschließen können, dass dieser Powerlog-Blackout deutlich länger als bis 17:52 dauerte. Als Gegenargument ließe sich jedoch anführen, dass der Akkustand dann eigentlich hätte sinken müssen, aber:

Offshore7 schrieb:"Funkloch" ist für mich keine vernünftige Erklärung, bei beiden Handys nicht. ZB hatte das Samsung am 2. April in 15 Stunden Funkloch denselben Akkuverbrauch wie am 1. April in o.g. 3 Stunden, das passt nicht.

Einverstanden, und die Daten liefern zusätzliche Hinweise: Nehmen wir der Argumentation halber an, der Energieverbrauch am 1. April sei annähernd linear gewesen, dann ergeben sich aus 11:04 Uhr – Akkustand 50,91 % und 16:39 Uhr – Akkustand 42,18 % ungefähr 1,6 % pro Stunde. Zwischen 16:39 Uhr und 17:52 Uhr lagen dann noch rund 1,3 Stunden im Ruhezustand in einer Zone ohne Netzabdeckung; der Akku hätte also um weitere knapp 2 % sinken müssen. Das geschah jedoch nicht – am 2. April 8:12 war der Ladestand sogar ein bisschen höher. Eine mögliche Erklärung ist daher, dass das iPhone 4 im Sleep-Modus in einer Funkloch­situation noch effizienter mit Energie umgeht, als ich zunächst angenommen hatte.