Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Agno schrieb:Ich habe irgendwo gelesen, dass das NFI das iPhone 4 gar nicht mehr booten konnte (was einiges aussagt) und auf spezielle israelische Hard-/Software zurückgreifen musste, um den Flash-Speicher auszulesen.

Die israelische Forensik-Hardware/Software UFED wurde definitiv auch beim Samsung benutzt. Für mich sagt eher einiges aus, dass offenbar nur für das Samsung ein Ersatz-Akku organisiert wurde, für den fest verbauten Akku des iPhones scheinbar nicht. Würde mich nicht wundern, wenn ein Ermittler in Panama mangels iPhone-Ersatz-Akku eben nur das Samsung booten konnten und so einseitige Gerüchte entstanden sind.

Agno schrieb:Die Daten schließen also ein Szenario nicht aus, in dem das iPhone 4 nicht bewusst von einem Menschen eingeschaltet wurde, sondern in dem lediglich versehentlich der Sleep/Wake-Knopf für zwei Sekunden gedrückt wurde, nachdem das Gerät im Rucksack herumgestoßen wurde, der in einem reißenden Fluss trieb. Als Wasser in den Rucksack eindrang, könnte es zu diesem Kurzschluss gekommen sein die es dauerhaft ausschaltete.

Das ist für mich wilde Spekulation. Erst braucht 509 wilde Umstände und Zufälle, um den Sachverhalt zu erklären, dann das iPhone noch wildere. Nur das viel schlechter geschützte Plastik-Samsung kommt wie aus dem Ei gepellt aus dem Rucksack und funktioniert sofort. :-)

Wie gesagt: Je mehr Sachverhalte durch Zufälle und wilde Spekulationen erklärt werden müssen, desto höher ist die kriminalistische Relevanz derartiger Zufallsanhäufungen. Der imaginäre Kurzschluss ist quasi geräteübergreifend immer zur Stelle wenn man ihn braucht, notfalls muss sich das Gerät halt vorher noch selbst einschalten. :-)

staminag schrieb:Ab wieviel Prozent gibt es eine Warnung, dass der Akkustand niedrig ist?

Für den Benutzer bei 20% und bei 10%. Hat aber keine Relevanz, außer dass dadurch vllt. Gerüchte entstanden sind, dass es mind. 20% gewesen sein müssen, was aber Quark ist, denn die Benutzer-Warnungen werden nicht geloggt.

staminag schrieb:Aber der Hinweis erübrigte sich womöglich, wenn nur die Chips ausgebaut und ausgewertet wurden.

Ich denke, die Forensiker werden schon wissen, wie man ein iPhone ausliest – und sie werden auch genauso wissen, wie ein Schaden aussieht und wie man ihn zu protokollieren hat.

staminag schrieb:Der Akku soll laut NFI-Bericht bei der Ankunft mit Klebeband außen befestigt gewesen sein

Das ist richtig, bei beiden Telefonen, genauso wie die SIM-Karten.

Doctective schrieb:Das ist richtig, bei beiden Telefonen, genauso wie die SIM-Karten.

Könnte das in Bezug auf das iPhone ein Protokollfehler sein oder ist der ausgebaute Akku auch auf den Fotos zu sehen?

staminag schrieb:Könnte das in Bezug auf das iPhone ein Protokollfehler sein oder ist der ausgebaute Akku auch auf den Fotos zu sehen?

Der ist auf den Fotos zu sehen. Die Klebebänder wurden wie alle anderen Teile der Telefone mituntersucht auf Fingerabdrücke, DNA und andere Spuren.

köster schrieb:beiden Leichen samt Rucksack bis ans Ende aller Tage verschwinden zu lassen. Die Gegend hätte es hergegeben. Deshalb muss die Geschichte irgendwie länger/anders gelaufen sein.

Bin ganz bei Dir. Es sei denn, der Rucksack wäre von einem Dritten (Mitwisser?) bewusst platziert worden, um gefunden zu werden...

Offshore7 schrieb:Im NFI-Report sind die Signalstärke-Logs nicht original dargestellt, sondern mit einer "Line-Number" davor. ME ist das die Zeilennummer innerhalb der jeweiligen Log-Datei des Tages. Somit könnte man die Anzahl der Logs zwischen zwei Signalstärke-Logs ermitteln, also zB zwischen 13:38 und 16:39.

Wie viele Powerlogs hättest du denn im Vergleich bei deinem iPhone im Standby/Sleep-Modus in der Zeitspanne?

Wieviele fallen bei dir im Standby in einem Zeitraum von 15 Minuten an, wenn noch Netzkontakt besteht?

Diebold schrieb:Bin ganz bei Dir. Es sei denn, der Rucksack wäre von einem Dritten (Mitwisser?) bewusst platziert worden, um gefunden zu werden...

mich würde mal interessieren ob nicht sogar die Mehrheit derjenigen die FP als Theorie präferieren der Meinung sind Rucksack und Knochen seien platziert worden.
Was für mich dann wieder die Frage aufwirft ob der oder die "Platzierer" nicht auffallend selbstbewusst die Dinge irgendwo platziert und ob dies für einen Zufallstäter (Mörder,Vergewaltiger,etc.) nicht sehr ungewöhnlich ist.

Es ist ja etwas absurd, dass man selbst bei Original-Auszügen aus dem NFI-Bericht raten muss was eigentlich gemeint ist. Ich stolpere z.B. immer wieder darüber, dass im NFI-Bericht davon die Rede ist, dass nur #509 "so einen Fehler" verursacht habe (s. Koudekaas (suche EnCase), bzw. auch hier: Beitrag von cyclic (Seite 1.158)).

Das Bild/Video gibt es nicht und es existiert offenbar auch kein 0xE5-Verzeichniseintrag dazu. Aber wir wissen ja inzwischen, dass das ganz ohne Fehler einfach durch Löschen machbar ist. Und es fehlen, abgesehen von #509, noch 131 andere Dateinummern, aber nur für 64+4 gelöschte Bilder/Videos scheinen noch Verzeichniseinträge zu existieren (wenn unsere Interpretation dahingehend stimmt - s.a. IP - hier habe ich die Anzahlen daraus nochmal etwas weiter aufgeschlüsselt: SD-Karte Filesystem Block/Cluster-Versuche (Seite 3) (Beitrag von cyclic)). D.h. es gibt für mind. 63 (=131-68) andere Dateien auch überhaupt keine Daten. Und auch deren Vorgänger-Dateien werden ja zwangsläufig Cluster an Cluster ("Sektor an Sektor") an eine später aufgenommene Datei grenzen.

Wenn #509 vor #510 gelöscht wurde ist das vom NFI beschriebene genau der zu erwartende Zustand. Aber im Bericht wird deutlich, dass man das nicht für vereinbar mit einer Löschung hält da man nur einen Fehler postuliert. Was meint also "Fehler" hier? Ist man beim NFI, wie andere auch, fälschlich davon ausgegangen, dass die Nr. 509 neu hätte vergeben werden müssen? Dann hätte man sich nicht gewundert wenn Nummern der 64+4 nochmal bei existierenden Dateien vorgekommen wären? Bzw. ist evtl. genau das der Grund für die Annahme, dass #509 ein Fehler und nicht normal erreichbar sei?

cyclic schrieb:Ich stolpere z.B. immer wieder darüber, dass im NFI-Bericht davon die Rede ist, dass nur #509 "so einen Fehler" verursacht habe

Ich habe das nicht als Zitat aus dem NFI-Bericht gedeutet, sondern für eine eigene Wertung der Autoren gehalten. Zitiert Scarlet da nicht aus dem Buch 'Verschollen in Panama'?
Aber jetzt, wo ich deine Deutung lese, bin ich mir nicht mehr sicher. Vielleicht steht das doch so im Bericht?

Diebold schrieb:Bin ganz bei Dir. Es sei denn, der Rucksack wäre von einem Dritten (Mitwisser?) bewusst platziert worden, um gefunden zu werden...

Wenn es (wovon ich vom Gefühl und aus der „Gesamtschau“ her ausgehe) ein Verbrechen / Unfall mit FP war, dann waren von Anfang an wahrscheinlich mindestens zwei Täter beteiligt. Die Sache ist einfach insgesamt zu komplex - deshalb gehe ich auch davon aus dass es Mitwisser geben muss. Von Deutschland aus ist das alles unlösbar, vor Ort sieht das wahrscheinlich ganz anders aus. Da wird von Gerüchten bis zu konkretem Wissen alles dabei sein. Es fehlt nur irgendwie der Hebel zum Ansetzen. Klingt vielleicht pathetisch, aber das Schicksal der beiden verdient aufgeklärt zu werden. Ihre Knochen sind aufgetaucht, das ist eine Art Ruf danach.

köster schrieb:Ihre Knochen sind aufgetaucht, das ist eine Art Ruf danach.

Bist du der Meinung die Knochen wurden platziert oder nicht?
Nur damit ich den "Ruf danach" richtig verstehe...

@ringelnatz
Das ist eine gute Frage - vor vielen Seiten hier habe ich mal meine vor meinem geistigen Auge stattgefundene Version der Entstehung der Nachtfotos eingebracht. Ich sehe die Möglichkeit dass die Leichen der beiden „verbracht“ werden mussten. Nachts und im Dschungel, von Tätern/Mithelfern die in und um Boquete wahrscheinlich Angehörige haben. Ihre Abwesenheit in einer der in Frage kommenden Nächte könnte aufgefallen sein. Ich für mich schließe nicht aus dass die Fotos von einem Tatbeteiligten stammen der während eine Leiche weggeschafft wurde bei der anderen ausharren musste. Ich habe das wie gesagt hier irgendwann mal etwas ausführlicher „skizziert“. Ob das Auftauchen der Knochen gewollt war? Schwierig zu beantworten - ich bleibe jedenfalls dabei: wenn man die beiden hätte komplett verschwinden lassen wollen wäre das für Ortskundige mit Sicherheit möglich gewesen. Also, um deine Frage zu beantworten: allein die Tatsache dass der Rucksack, die Jeans aufgetaucht sind spricht dafür dass die möglichen Täter aus ihrer Sicht offenbar kein Problem darin gesehen haben… ihre DNA Spuren die ja eigentlich entsprechend vorhanden sein müssen scheinen ihnen dabei nicht bewusst oder womöglich sogar egal gewesen zu sein. Heute traut man sich ja nicht mal ne Coladose aus dem Auto zu schmeißen weil man wahrscheinlich sogar noch Jahre später überführt werden könnte, insofern: Dreistigkeit? Dummheit? Gewissheit dass ihnen am Ende nichts passieren wird? Ich weiß es nicht.

köster schrieb:Zum Beispiel geistert mir immer wieder im Kopf rum: wenn die beiden recht schnell (vergewaltigt? und) getötet wurden, wäre es für die Täter doch wahrscheinlich am besten gewesen die beiden Leichen samt Rucksack bis ans Ende aller Tage verschwinden zu lassen. Die Gegend hätte es hergegeben. Deshalb muss die Geschichte irgendwie länger/anders gelaufen sein.

Angenommen das war so, ca. 50 Meter vom Trail entfernt. Da könnte das Entdeckungsrisiko aufgrund einer engmaschigen Durchsuchung mit Hunden eines bestimmten Grundstücks oder rund um den Punkt der letzten Netzverbindung erheblich gewesen sein. Ein Täter konnte nicht wissen, ob man den Ort der letzten Netzverbindung via Funkpeilung ermitteln könnte. Und mehr als in Tatortnähe verstecken oder einen Abhang hinunterwerfen war im direkten Nachtatverhalten und im dichten Dschungel kaum drin.

In so einer Lage, besonders wenn zwischen Grundstücksbesitzer und Täter eine Verbindung bestand und ein stümperhaftes Nachtatverhalten oder andere illegale Machenschaften hätten auffliegen können, wäre ein inszeniertes Lost/Unfall-Ablenkungsmanöver am Culebra nicht unbedingt dumm. Das Risiko einer Kamera+Handy Manipulation war gering (DNA, Fingerabdrücke), selbst wenn es technisch erkannt worden wäre.

Die Idee einer tödlichen Lost-Inszenierung kann auch von Anfang an präsent bzw. vllt. sogar das Motiv gewesen sein, wenn man 2 Frauen in der Kleidung ohne Guide im Dschungel antrifft und das Szenario, was jeder bei einem Verschwinden erwarten würde, zu eigenen Gunsten ausnutzt und frisiert.

staminag schrieb:Wie viele Powerlogs hättest du denn im Vergleich bei deinem iPhone im Standby/Sleep-Modus in der Zeitspanne?

Zwischen 2 Signalstärke-Logs, die 3 Stunden auseinander liegen, habe ich über 100 Powerlogs.

staminag schrieb:Wieviele fallen bei dir im Standby in einem Zeitraum von 15 Minuten an, wenn noch Netzkontakt besteht?

15 Min. Standby / Sleep-Modus können 15 Min. ohne Logs bedeuten, egal unter welchen Bedingungen. Dazu habe ich neue Tests gemacht und es gibt präzisere Erkenntnisse:

Ein Rückweg von Q1 über den Mirador wäre im Sleep-Modus theoretisch möglich, weil das immer aktive Baseband (eigener Prozessor, eigenes OS, eigene Logs im RAM) das schlafende System (Hauptprozessor, iOS7) bei Empfangsänderungen bzw. beim Wechsel Empfang/kein Empfang nicht zwingend "weckt" und zu persistenten Logs veranlasst. Hier wäre man also auf Netzbetreiber-Daten angewiesen, wonach die letzte Registrierung am 1.4. gegen 12:33 Uhr erfolgt sein müsste.

Das bedeutet auch, dass ich davon ausgehe, dass beide Handys um 13:38 / 13:40 bewusst eingeschaltet wurden und bei beiden nicht klar ist, warum. Für mich weiterhin ein möglicher Tatzeitpunkt (Entwendung Handys+Kamera, Entführung etc.). Auch sieht man erstmals nach diesem Zeitpunkt eine verdreckte Kris auf den letzten beiden Fotos.

@Doctective

Hast du Unterlagen von Digicel vorliegen, die zwar keine Funkpeilung bzw. den Ort Pianista Mirador zeigen, wohl aber eine (letzte) IMSI/IMEI-Anmeldung im Netz am 1.4. gegen 12:33 Uhr?

Oder hat das nie jemand untersucht? In dem Fall hätten sie nach o.g. Erkenntnissen und entwendeten oder nicht benutzten Handys einfach Richtung Boquete zurück spazieren können.

staminag schrieb:Ich habe das nicht als Zitat aus dem NFI-Bericht gedeutet, sondern für eine eigene Wertung der Autoren gehalten. Zitiert Scarlet da nicht aus dem Buch 'Verschollen in Panama'?
Aber jetzt, wo ich deine Deutung lese, bin ich mir nicht mehr sicher. Vielleicht steht das doch so im Bericht?

Scarlet zitiert aus dem Buch ViP und das Buch zitiert aus dem NFI-Bericht; Kamera-Analyse. Niederländisches Originalzitat von S. 1703 f. übersetzt von den Autoren. Hardinghaus, Christian; Nenner, Annette - Still Lost in Panama

Anthurium schrieb:Scarlet zitiert aus dem Buch ViP und das Buch zitiert aus dem NFI-Bericht;

Ja, trotzdem klingt es für mich so, als wenn der Satz mit dem Fehler im Dateisystem kein wörtliches Zitat aus dem NFI-Bericht mehr ist, sondern eine eigene Interpretation.
Ich gebe die Frage direkt an @Doctective weiter. Ist der Fehler im Dateisystem, den 509 verursacht haben soll, ein Zitat aus dem NFI-Bericht?

Offshore7 schrieb:Die Idee einer tödlichen Lost-Inszenierung kann auch von Anfang an präsent bzw. vllt. sogar das Motiv gewesen sein, wenn man 2 Frauen in der Kleidung ohne Guide im Dschungel antrifft und das Szenario, was jeder bei einem Verschwinden erwarten würde, zu eigenen Gunsten ausnutzt und frisiert.

Gut möglich, zumal auch immer noch im Raum steht dass die beiden eventuell ab einem gewissen Punkt nicht unbegleitet waren, Stichwort Roter Truck oder ein womögliches Einreden des Erreichens eines besonders schönen Punktes bei Weitergehen nach dem Mirador.

Offshore7 schrieb:In so einer Lage, besonders wenn zwischen Grundstücksbesitzer und Täter eine Verbindung bestand und ein stümperhaftes Nachtatverhalten oder andere illegale Machenschaften hätten auffliegen können, wäre ein inszeniertes Lost/Unfall-Ablenkungsmanöver am Culebra nicht unbedingt dumm. Das Risiko einer Kamera+Handy Manipulation war gering (DNA, Fingerabdrücke), selbst wenn es technisch erkannt worden wäre.

In diese Version des Ablaufs passt auch der Ort, Zeitpunkt und Zustand des Rucksacks. Als Ablenkungsmanöver hat das perfekt funktioniert.

Offshore7 schrieb:Ein Rückweg von Q1 über den Mirador wäre im Sleep-Modus theoretisch möglich, weil das immer aktive Baseband (eigener Prozessor, eigenes OS, eigene Logs im RAM) das schlafende System (Hauptprozessor, iOS7) bei Empfangsänderungen bzw. beim Wechsel Empfang/kein Empfang nicht zwingend "weckt" und zu persistenten Logs veranlasst. Hier wäre man also auf Netzbetreiber-Daten angewiesen, wonach die letzte Registrierung am 1.4. gegen 12:33 Uhr erfolgt sein müsste.

Das bedeutet auch, dass ich davon ausgehe, dass beide Handys um 13:38 / 13:40 bewusst eingeschaltet wurden und bei beiden nicht klar ist, warum. Für mich weiterhin ein möglicher Tatzeitpunkt (Entwendung Handys+Kamera, Entführung etc.). Auch sieht man erstmals nach diesem Zeitpunkt eine verdreckte Kris auf den letzten beiden Fotos.

Interessante neue Daten. Offenbar löst der Baseband-Chip kein Aufwachen der Haupt-CPU aus. Das wirft die Frage auf, was den Transfer der flüchtigen Baseband-RAM-Daten in den persistenten Flash auslöst.

(fetter Satz) Das muss nicht unbedingt stimmen; der Impuls, die Baseband-RAM-Logs in den persistenten Speicher zu schreiben, könnte ebenso durch das Aufwachen ausgelöst worden sein, das für den 112-Anrufversuch um 16:39 nötig war. Somit können RAM-Daten rückwirkend gespeichert werden. Das sollte leicht zu testen sein.

Offshore7 schrieb:bei beiden nicht klar ist, warum.

Wie ist das gemeint, im Sinne von was ist da besonderes dran? Schaltet nicht jeder von uns 50 mal am Tag sein Handy ein, News Eingang, Uhrzeit check, pure Sucht etc pp, ohne einen bestimmten Sinn/Nutzen/Aktivität? Oder steh ich jetzt auf'n Schlauch? :-)