Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

ChatGPT gibt keine Nummern heraus und beruft sich auf Datenschutzrichtlinen. Außerdem hat es keinen Zugriff auf private und öffentlich Verzeichnisse. Hab es gerade getestet.

@Doctective: Ist in der Übersicht von Digicel zufällig eine Funkzellenkennung (Cell ID) enthalten?

Anthurium schrieb:Doctective schrieb:
Immerhin hast du die erste Ziffer schon mal korrekt

Die erste Ziffer war bezogen auf eine der Ziffern, und eine 3 kommt in der Nummer vor. Ihm wäre vermutlich auch eine zweite Ziffer gelungen. Bitte jetzt nicht alles auf die Goldwaage legen.

Ich kann da wirklich aktuell nicht mehr zu sagen, als ich gesagt habe.

staminag schrieb:Ist in der Übersicht von Digicel zufällig eine Funkzellenkennung (Cell ID) enthalten?

Ja, bezieht sich dann aber natürlich auf den Ort, an dem Kris Handy war und gibt keinen Aufschluss über denjenigen, der die SMS schreibt.

Cyrus114 schrieb:ChatGPT gibt keine Nummern heraus und beruft sich auf Datenschutzrichtlinen. Außerdem hat es keinen Zugriff auf private und öffentlich Verzeichnisse. Hab es gerade getestet.

Gut so.

Doctective schrieb:Ja, bezieht sich dann aber natürlich auf den Ort, an dem Kris Handy war

Diese Abfrage des Mobilfunkanbieters bezieht sich doch auch auf die Zeit in Bocas del Toro. Gibt es in der Zeit jeden Tag Verbindungen? Dann könnte man mit der Cell-ID einen ununterbrochenen Aufenthalt dort nachweisen (bzgl. der Schattenanlyse und der Idee eines Abstechers nach Boquete).

Ansonsten frage ich mich immer noch, woher Marja West und Jürgen Snoeren die Angabe her haben, dass es um 11:04 Uhr eine Verbindung mit dem Funkmast beim Trailbeginn gab. Es wäre naheliegend gewesen, dass dies aus der Übersicht vom Mobilfunkanbieter hervorgeht, mit anderer Zeitangabe (11:04 Uhr statt Log-Zeit 11:05 Uhr aus dem NFI-Bericht) und Cell-ID (worüber sie den Mast bestimmt haben). Aber dazu gibts nichts vom Mobilfunkanbieter?

Doctective schrieb:Es sei denn, mit dem Handy, denn es gibt hier Aufnahmen, aber die sind nur als Dateien protokolliert. Was darauf zu sehen ist, weiß niemand.

Ich nehme an das steht nur in den Akten, oder ist das irgendwo schon veröffentlicht worden? Sind es genug Bilder um die Delta-Zeiten mit möglichen Foto-Punkten am Pianista zu korrelieren?

staminag schrieb:Ansonsten frage ich mich immer noch, woher Marja West und Jürgen Snoeren die Angabe her haben, dass es um 11:04 Uhr eine Verbindung mit dem Funkmast beim Trailbeginn gab.

Das ist IMHO ihre Fantasie, mit der sie unbedingt eine einheitliche Zeitlinie erstellen wollten. Es stimmt auch nicht, dass Kris und Lisanne zuvor im Nelvis waren und mit einem Taxi vom Nelvis zum Trail gefahren sind. Eine ermittelte Cell-ID am Pianista Trail gibt es nicht. Das steht wortwörtlich im NFI-Bericht. Digicel hat ebenfalls keine, da am 1.4. kein Mobilfunk genutzt wurde.

staminag schrieb:Gibt es in der Zeit jeden Tag Verbindungen? Dann könnte man mit der Cell-ID einen ununterbrochenen Aufenthalt dort nachweisen

Nein, es gibt nur wenige Verbindungen, und an einigen Tagen keine.

cyclic schrieb:Ich nehme an das steht nur in den Akten, oder ist das irgendwo schon veröffentlicht worden? Sind es genug Bilder um die Delta-Zeiten mit möglichen Foto-Punkten am Pianista zu korrelieren?

Darüber haben wir schon öfters hier gesprochen, steht auch in unserem Buch. Mit den Fotozeiten/Wegstrecken der Kameraauswertung am Pianista Trail haut das zeitlich nicht hin. Demnach wären sie gegen 13:45 mit einem Taxi zum Trail gefahren - was ein Taxifahrer sogar für den 31.3. bestätigt. Gegen 14 Uhr entstehen mehrere Fotos mit dem Handy. Könnte also der Beginn eines Trails sein, wissen wir nicht. Danach gibt es keine Bedienung der Handys. Gegen 17:45 Uhr sind sie wieder in Alto Boquete. Zu knapp bemessen, um bis Q1 und zurück zu kommen. Oder?

Doctective schrieb:Ich kann da wirklich aktuell nicht mehr zu sagen, als ich gesagt habe.

Danke für die Infos! Zwei letzte Fragen habe ich aber noch:
1. Ist die panamaische Nummer nur für Boquete nachzuweisen oder schon in Bocas del Toro?
2. Wie oft stand diese Nummer nachweislich in Kontakt mit den beiden? Nur die drei Male?

Doctective schrieb:Darüber haben wir schon öfters hier gesprochen, steht auch in unserem Buch.

Handy ist nicht so mein Spezial-Metier...

Doctective schrieb:Demnach wären sie gegen 13:45 mit einem Taxi zum Trail gefahren - was ein Taxifahrer sogar für den 31.3. bestätigt. Gegen 14 Uhr entstehen mehrere Fotos mit dem Handy. Könnte also der Beginn eines Trails sein, wissen wir nicht. Danach gibt es keine Bedienung der Handys. Gegen 17:45 Uhr sind sie wieder in Alto Boquete. Zu knapp bemessen, um bis Q1 und zurück zu kommen. Oder?

Hm, lt. https://www.berg-freunde.ch/gehzeit-rechner/ etwa 3h 45m Netto-Gehzeit ab/zum Restaurant mit Umkehrpunkt Q1 im Profi-Tempo, das sie lt. Canon-Zeiten am 1.4. ja auch über weite Strecken gehalten haben. Aber hin und zurück in dem Tempo ohne Pausen (obiger Rechner würde dafür gerne nochmal fast 1h draufschlagen) und dann noch zurück nach Alto Boquete, wäre schon nochmal um einiges sportlicher, als das was man für den 1.4. ableiten kann. Also wohl eher nicht.

staminag schrieb:Wie kommen die vielen Powerlogs insgesamt zustande?
Nur von 17:00 Uhr (iPhone Tagesbeginn) bis 19:07 war also angeblich Aktivität zu verzeichnen und in dem Zeitraum fand auch noch die Massage statt. Und am nächsten Tag um 11:04 Uhr begann erst wieder die Aktivität.

Da unterschätzt du etwas die Log-Wut des iPhones im Betrieb (1-3k pro Stunde) im Vergleich zu Standby (~50-100 pro Stunde). Die Powerlogs am 1.4. 11:05 Uhr befinden sich in der Powerlog-Datei bereits im Zeilenbereich ~4.200.

Doctective schrieb:Gegen 17:45 Uhr sind sie wieder in Alto Boquete.

16:42

Offshore7 schrieb:16:42

Ja natürlich, du lebende NFI-Akte ;-)

Ich habe mal etwas recherchiert zum Thema Schlupfspeicher ("Slack Space" hier speziell "Drive Slack") im Allgmeinen und EnCase im Besonderen:
Das scheint eine ziemliche Standard-Analyse zu sein (es gibt auch Techniken im Drive-Slack Daten zu verstecken). Auch EnCase wird immer wieder erwähnt. Wenn das NFI also speziell bzgl. #509 sagt:¹⁾

Mit dem Programm Encase durchsuchte ich die Evidence-Files des Datenträgers sehr umfangreich nach Spuren der fehlenden Datei.

Gehe ich davon aus, dass "sehr umfangreich" auch den Drive-Slack umfasst haben muss. Und wenn man dann zu folgendem Ergebnis kommt:¹⁾

Im FAT32-Dateisystem des Datenträgers konnte ich jedoch keine Spur dieser fehlenden Datei finden.

Bedeutet das für mich, dass der Drive-Slack entweder leer oder nicht existent war - denn sonst hätte man genauer untersuchen und beschreiben müssen, ob das Reste von #509 sein können oder nicht.

• Drive-Slack, d.h. dass mind. einer von 64 Sektoren des letzten Clusters nicht genutzt wird kommt in 63/64 Fällen vor - also über 98%.
• Damit Reste von #509 im Drive-Slack erhalten bleiben muss die Datei #509 größer als #510 gewesen sein (mindestens um einen Sektor).
• #510 ist mit <= 0.9 MiB besonders klein (selbst für ein sehr dunkles Nachtbild).
• Wäre #509 ein Video gewesen wäre es sicher größer gewesen. 7/477 Dateien waren Videos = 1.4% (das lassen wir mal weg)
• Wäre #509 ein halbwegs normales Tagbild, wäre es auch sehr sicher größer gewesen (Test mit meinen Urlaubsfotos: 99%²⁾)
• Wäre #509 ein Nachtbild wäre es zu 82% größer gewesen (gemessen an meinen eigenen Nacht+Regenaufnahmen³⁾)
• Da wir keine Ahnung haben ob #509 noch das letzte Tagbild oder schon das erste Nachtbild gewesen sein könnte, rechnen wir mit einer 50/50-Chance.

Und dann kommt man auf 0.98 x (0.99 + 0.82)/2 = 0.89 (89%) dafür dass der Drive-Slack Reste von #509 enthalten hätte.

Und damit müsste man doch eigentlich zu dem Ergebnis kommen:
Löschen ist möglich aber reichlich unwahrscheinlich, wenn das NFI sein Handwerk im erwartbaren Rahmen beherrscht. Warum sie dann aber stattdessen meinen, Löschen wäre plausibel, ist wiedermal seltsam.

Das NFI weiß natürlich wie groß #510 genau ist, also ob die etwa 1.5%ige Chance eingetreten ist, dass kein Drive-Slack existiert. Wobei die Chancen, dass #509 auch größer als #510 und #511 zusammen war auch immer noch bei ca. 40% liegen (entsprechend auf Basis meiner Urlaubs- & Testbilder berechnet).

---

¹⁾ Beitrag von Doctective (Seite 1.175)
²⁾ Tatsächlich sind die einzigen beiden Bilder die ähnlich klein sind in einem dunklen Tunnel entstanden.
³⁾ Der Wert hat sicherlich den größten Unsicherheitsfaktor.

Diebold schrieb:Wie ist dann der weitere Weg? Führt dieser zwangsläufig an den Orten vorbei, wo die Fotos hinter dem Gipfel gemacht wurden? Und wie verhält es mit den Fundorten der Kleidungstücke, der Schuhe und der Knochen (wenngleich hier ja die genauen Orte nicht bekannt sind)? Liegen diese Orte allesamt auf dem Weg, den man gehen müsste?

Führt dieser zwangsläufig an den Orten vorbei, wo die Fotos hinter dem Gipfel gemacht wurden?
Ja (Obwohl die genaue Stelle der Kreuzung in Q1 heute wahrscheinlich nur wenige Meter entfernt ist.)

Und wie verhält es mit den Fundorten der Kleidungstücke, der Schuhe und der Knochen (wenngleich hier ja die genauen Orte nicht bekannt sind)? Liegen diese Orte allesamt auf dem Weg, den man gehen müsste?
Alle Funde wurden in der Nähe des Weges oder in der Nähe von Wiesen gemacht. Der Rucksack lag nicht am Hauptweg, der von Boquete nach Alto Romero führt, sondern in der Nähe einer Abzweigung davon und in der Nähe von Weideland. Die Fundorte sind also für Lokals relativ leicht zu Fuß zu erreichen.

Hier ist eine Karte, die auf Informationen von LitJ basiert ist; die Funde wurden 100-200 Meter vom Weg entfernt und entlang von Weiden gemacht.

Original anzeigen (0,2 MB)
Quelle: Anthurium

Hier eine Karte (inclusive Close-up) basierend auf ViP / CH; Fundort des Rucksacks, im Fluss neben einer Wiese. Rechts der Hauptweg "Pianista" Bqt <--> Alto Romero (gelbe Linie)
Original anzeigen (0,3 MB)
Original anzeigen (0,2 MB)
Quelle: Anthurium

Schließlich; Laut IP / Romain wurde die Hose von Kris 40 Meter von der zweiten Hängebrücke entfernt, am Ostufer des Flusses, gefunden.

Doctective schrieb:Wir wissen nichts über Fotos von der Kamera, die vor dem 1.4. entstanden sind, mit Ausnahme der Urlaubsstartbilder in Amsterdam und eine handvoll geleakter aus Bocas.

Doch, ein bisschen was wissen wir. Es ging um die Frage nach Kamerafotos vom 31. März.
Am 31. März wurden keine Fotos mit der Kamera gemacht. Das weiß man, weil rechnerisch keine Bilder übrig bleiben. Im NFI-Untersuchungszeitraum 31. März/ 1. April wurden 133 Fotos gemacht. Das entspricht der Anzahl der Fotos vom 1. April. Folglich gab es keine am 31. März (das ist eine Feststellung der Autoren von Lost in the Jungle).

Doctective schrieb:Es sei denn, mit dem Handy, denn es gibt hier Aufnahmen, aber die sind nur als Dateien protokolliert. Was darauf zu sehen ist, weiß niemand.

Die zwei Fotos mit dem Samsung am 31. wurden laut ViP zur Zeit eines WLAN-Kontakts gemacht, also nicht während einer Wanderung.

Doctective schrieb:Das ist IMHO ihre Fantasie, mit der sie unbedingt eine einheitliche Zeitlinie erstellen wollten

Oder es ist nach Ansicht der beiden Autoren die für sie plausible Schlussfolgerung gewesen aus a) dem geloggten Kontakt zum GSM-Netzwerk um 11:05 Uhr und b) dem ersten Foto vom Trail ca. 13 Minuten später an der Brücke, wobei der Weg zu Fuß dahin etwa 10 Minuten dauert. Es ist also nicht abwegig, dass Kris und Lisanne sich um 11:04 beim Eingang des Trails befanden. Dass es direkt dort einen Funkmast gibt, haben sie sich aber anscheinend einfach so gedacht, ohne es zu recherchieren. Die Behauptung zu Nelvis hängt vermutlich mit einer Zeugenaussage zusammen. Naja, Fehler im Dateisystem ;) passieren halt auch bei bestem Wissen und Gewissen, ich glaub nicht, dass die Autoren bewusst falsche Angaben in ihrem Buch gemacht haben.

Doctective schrieb:Die Aktivität ist vermutlich ein Aufwecken des Handys. Der Log beschreibt: Kontakt zum GSM-Netzwerk. Mehr nicht.

Sind 110 Powerlogs nur für ein Aufwecken im Standby nicht etwas viel? Was meinst du @Offshore7?

Offshore7 schrieb:Da unterschätzt du etwas die Log-Wut des iPhones im Betrieb (1-3k pro Stunde)

4200 erscheint mir trotzdem viel, wenn das Handy doch die meiste Zeit im Standby war.
Allerdings habe ich erst jetzt bemerkt, dass du schriebst, sie hätten um 18:15 Uhr Internet genutzt. Sie waren also zuerst bei der Schule und später auch während der Massage im WLAN-Bereich. Dann passt die Anzahl der Logs wohl doch zu diesem Zeitraum (+ Standby-Logs danach bis 11:05 am nächsten Tag).

Anthurium schrieb am 05.06.2025:Die Massage fand statt in der Plaza San Francisco, wo es auch Kneipen / Restaurants gaben. Die Plaza ist von der Sprachschule zu Fuss erreichbar. Und deshalb ist sie auch von Myriam's Haus zu Fuss erreichbar.

Offshore7 schrieb:31.3.
18:15 Internet
19:07 Letzte Benutzeraktivität 31.3.

Somit können wir wohl feststellen, dass es freies WLAN im Einkaufszentrum in Alto Boquete direkt neben der Schule gab und das haben die beiden während der Zeit der Massage genutzt. Danach sind sie vermutlich zeitig ins Hostel zurückgekehrt, Miriam hat sie gesehen und auch die 10 jährige Tochter war noch wach.

Offshore7 schrieb:Die Powerlogs am 1.4. 11:05 Uhr befinden sich in der Powerlog-Datei bereits im Zeilenbereich ~4.200.

Nach Abzug der 4200 Logs und der 800 Logs im fraglichen Drei-Stunden-Zeitraum bleiben noch ca. 500 Logs für drei Stunden mit bekannter Aktivität durch Kameranutzung. Also drei Stunden mit bekannter Aktivität haben weniger Powerlogs als die drei angeblich nicht mit Aktivität belegten Stunden. Wenn das so stimmt, spricht es dafür, dass es auch in dieser Zeit Handynutzung gab und auch, dass Kris weiterhin im Besitz ihres Handys war (wenn man nicht annimmt, dass ein Täter in den drei Stunden am Handy gedaddelt hat, bevor er dann auf beiden Handys Notrufe im Funkloch vortäuschte).

@cyclic: Interessant, aber auch wenn der NFI-Fachmann nicht ganz inkompetent war, fürchte ich trotzdem, dass man eine gewisse Ungenauigkeit bei der Untersuchung nicht ausschließen kann.

Anthurium schrieb:Fundort des Rucksacks

Welche Koordinaten für den Rucksackfund sind nun eigentlich korrekt? Die von LitJ sind anscheinend aus einer für mich unleserlich beschriebenen Karte aus der Akte (die Karte ist in LitJ abgebildet). Was ist die Quelle von ViP/ Doctective?