Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Agno schrieb:1. Der erste Punkt sagt nichts darüber aus, wann das Gerät ausgeschaltet wurde – nur, dass es ausgeschaltet wurde. Es könnte also ebenso um 23:00 Uhr abgeschaltet worden sein.

Weil du den Punkt isoliert betrachtest, nicht in Kombination mit den anderen Punkten. Schaltest du um 23 Uhr aus, gibt es um 23 Uhr Powerlogs und geänderte Dateien.

Agno schrieb:meine Vermutung: keine Powerlogs

Falsch vermutet.

Agno schrieb:also muss irgendwo im iOS-Code stehen: „if passcode = successful → RAM-Daten in Datenbank schreiben“

Nö, muss nicht. Der Speicherort der Powerlogs kann auch einfach bis zur Passcode-Eingabe gesperrt sein. Bei einem Bitlocker verschlüsselten LW musst du auch nur einmal pro Sitzung das BL-Passwort eingeben, Standby und Bildschirmsperre ändern daran nix.

Agno schrieb:3. Der dritte Punkt stützt sich stark auf den Vergleich mit dem Samsung, bei dem ein Abschalten eindeutig belegt ist.

Nein die Methodik des NFI ist belegt, dass eine Dateisystem-Analyse gemacht wurde. Und diese Vorgehensweise lässt sich auch aufs iPhone übertragen, denn rein technisch ist es kein Problem.

Agno schrieb:Offenbar haben wir darauf keine eindeutige Ja-oder-Nein-Antwort, wobei ein Hinweis für das Vorhandensein eines Logs darin liegt, dass uns der Akkustand von 42,18 % um 16:39 Uhr vorliegt. Man würde annehmen, dass dieser Wert aus einem Powerlog stammt

Natürlich ist das ein Powerlog, ebenso der Signalstärke-Log um 16:40 Uhr.

Agno schrieb:Und dennoch fehlen angeblich drei Stunden Powerlogs – nämlich zwischen 13:38 Uhr und 17:52 Uhr

Bei mir ist 13:38 plus 3 Std. = 16:38 :-) .. danach haben wir wie gesagt Powerlogs, sowohl Akku als auch Signalstärke.

Agno schrieb:Eine mögliche Erklärung ist daher, dass das iPhone 4 im Sleep-Modus in einer Funkloch­situation noch effizienter mit Energie umgeht, als ich zunächst angenommen hatte.

Beim Aufstieg gab es schlechten Empfang bis hin zu Netzverlust, außerdem eine Fotosession auf dem Mirador. In solchen Situationen nahe am Verbindungsabbruch wird die Leistung des Funkmoduls erhöht, was Strom kostet.

Offshore7 schrieb:Schaltest du um 23 Uhr aus, gibt es um 23 Uhr Powerlogs und geänderte Dateien.

Das wäre merkwürdig, denn auch für 17:52 liegen keinerlei Powerlogs vor; andernfalls hätte das NFI zu diesem Zeitpunkt den Akkustand oder die Signalstärke ausgewiesen. Man wäre zudem auch deutlich entschiedener zu dem Schluss gekommen, dass das Gerät dann tatsächlich ausgeschaltet wurde.

Offshore7 schrieb:Falsch vermutet.

Hast du dieses Szenario also schon explizit getestet?

Offshore7 schrieb:Natürlich ist das ein Powerlog, ebenso der Signalstärke-Log um 16:40 Uhr.

Ich könnte mir vorstellen, dass dieses Powerlog durch den 112-Anruf ausgelöst und direkt in die Datenbank geschrieben wurde. Aber gibt es noch weitere Powerlog-Datenpunkte nach 16:40 Uhr? Falls nicht, ist es weiterhin möglich, dass Ereignisse im RAM gespeichert wurden, die nie in die Datenbank gelangt sind. Es bleibt doch merkwürdig, dass es dir in deinen Tests nie gelungen ist, das Telefon eine Zeit lang im Ruhezustand zu lassen, ohne dass zumindest einige Powerlog-Einträge auftauchten?

Offshore7 schrieb:Bei mir ist 13:38 plus 3 Std. = 16:38 :-)

Ja, natürlich :-) Hier habe ich mich bei dieser einfachen Rechnung vertan!

Wir haben also einen dreistündigen Ausfall der Powerlogs von 13:38 bis 16:38, die du bislang noch nicht reproduzieren konntest. Welche plausible Erklärung könnte es dafür geben?

Agno schrieb:Das wäre merkwürdig

Das ist nicht merkwürdig, sondern Fakt.

Agno schrieb:Hast du dieses Szenario also schon explizit getestet?

Welches Szenario? Wenn du das Gerät ausschalten willst, musst du es vorher zwingend aus dem Standby holen und diese Aktivität (Drücken des Buttons am Gehäuse) wird in Realtime ins NAND-Flash geloggt, bevor du Herunterfahren, Passcode eingeben oder Sonstwas machen kannst:


06/17/25 18:26:10 [Wake] reason=hold;
06/17/25 18:26:12 [Battery] level=61.39%; voltage=3859 mV; current=0 mA; current_capacity=590 mAh; raw_max_capacity=961 mAh; charging_state=Inactive; charging_current=0 mA; battery_temp=26.40 C; adapter_info=0; connected_status=0;
06/17/25 18:26:12 [Baseband State Durations] …
06/17/25 18:26:12 [SpringBoard-states] screen_state=unblanked; lock_state=locked;

Agno schrieb:Ich könnte mir vorstellen, dass dieses Powerlog durch den 112-Anruf ausgelöst und direkt in die Datenbank geschrieben wurde.

Vor dem Notruf wurde das Handy aus dem Standby geholt, dann folgen dutzende Logs, wovon 2 öffentlich bekannt sind (Akku und Signalstärke).

Agno schrieb:Wir haben also einen dreistündigen Ausfall der Powerlogs von 13:38 bis 16:38, die du bislang noch nicht reproduzieren konntest. Welche plausible Erklärung könnte es dafür geben?

Genau. Erklärung unbekannt. Klar ist für mich aber, dass es in der Session des 1. Aprils an die 5.000 Powerlogs gab und zB am 3. April in 3 Sessions keine 300 ..

Offshore7 schrieb:Genau. Erklärung unbekannt.

Okay, belassen wir es dabei. Ich möchte nicht noch mehr von deiner kostbaren Zeit in Anspruch nehmen. Ganz überzeugt bin ich allerdings noch nicht; ich halte es nach wie vor für möglich, dass der von dir entdeckte RAM/NAND-Bug irgendwie bei den drei fehlenden Powerlog-Stunden am 1. April eine Rolle spielt.

Auf jeden Fall vielen Dank für deine Geduld. Ich habe unser Gespräch sehr genossen :-)

Agno schrieb:also muss irgendwo im iOS-Code stehen: „if passcode = successful → RAM-Daten in Datenbank schreiben“. Es erscheint mir wenig plausibel, dass man zusätzlich ein „if first entry after boot“ eingebaut hätte.

Vermutlicher technischer Grund iOS 7 RAM / NAND-Flash Verhalten:

Sicherheit (NSFileProtectionCompleteUntilFirstUserAuthentication) https://support.apple.com/de-de/guide/security/secb010e978a/web

Offshore7 schrieb:Vor dem Notruf wurde das Handy aus dem Standby geholt, dann folgen dutzende Logs, wovon 2 öffentlich bekannt sind (Akku und Signalstärke).

Kurze Rückfrage: sind nur zwei im Bericht und deswegen bekannt oder enthält der Bericht mehr?

Habt ihr es jetzt nochmal mit Kamerafunktionen getestet?

Das wäre wichtig.

Lieber Offshore7, seit wann ist das Teil der FAT Spezifikation. Die gibt das nicht vor, natürlich kann die Firmware den Eintrag Überschreiben.

Bitte testet das nochmal mit Firmware.

Ansonsten könnte das tatsächlich ein Anzeichen für ein Löschprogramm sein, dessen Überschreibaktion sich im Schlupfspeicher eventuell zeigt. Aber das können nur die Behörden prüfen.