Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon
gestern um 03:48Mein Fazit zu Bild 509 anhand der Testergebnisse:
Hier werden Aussagen aus dem NFI-Bericht falsch interpretiert. Es liegt hier kein Fehler im Dateisystem vor, der Forensiker hat sein Urteil wahrscheinlich daraus gezogen, dass es für Digitalkameras ungewöhnlich ist, dass gelöschte Bilder so schnell wieder überschrieben werden.
Aus dem Bericht lässt sich mit ziemlicher Sicherheit folgendes schließen:
1. Mindestens der Startkluster von 509 war überschrieben
2. Der Dateieintrag war überschrieben
Bis hierhin kann dies nach den Tests ohne PC erklärt werden. Fraglich bleibt, ob das Bild überhaupt existierte. Einzig der Fund eines Überrests von 509 könnte dies nachweisen. Ob hierfür auch die Überhangsektoren im Schlupfspeicher untersucht wurden, ist nicht vollständig geklärt. Auch ist nicht klar, wo 509 im Fall seiner Existenz abgespeichert war. Auch hierüber könnte nur ein Überrest Auskunft geben.
Grundsätzlich drängt sich für mich eine ganz anderes Fragestellung auf. Der Bericht weist durch die wiederhergestellten Dateien auf Freispeicherlücken hin, die nach den Tests normalerweise von der Kamera Überschrieben werden. Keines der Aprilbilder scheint jedoch hierfür verwendeten worden zu sein, weder Tag- noch Nachtaufnahmen. Dies legt den Schluss nahe, dass die Bilder erst nach den Nachtaufnahmen gelöscht wurden, was in Anbetracht des Falls etwas ungewöhnlich wäre. Hierzu wären nochmals entsprechenden Tests zu empfehlen.
Hier werden Aussagen aus dem NFI-Bericht falsch interpretiert. Es liegt hier kein Fehler im Dateisystem vor, der Forensiker hat sein Urteil wahrscheinlich daraus gezogen, dass es für Digitalkameras ungewöhnlich ist, dass gelöschte Bilder so schnell wieder überschrieben werden.
Aus dem Bericht lässt sich mit ziemlicher Sicherheit folgendes schließen:
1. Mindestens der Startkluster von 509 war überschrieben
2. Der Dateieintrag war überschrieben
Bis hierhin kann dies nach den Tests ohne PC erklärt werden. Fraglich bleibt, ob das Bild überhaupt existierte. Einzig der Fund eines Überrests von 509 könnte dies nachweisen. Ob hierfür auch die Überhangsektoren im Schlupfspeicher untersucht wurden, ist nicht vollständig geklärt. Auch ist nicht klar, wo 509 im Fall seiner Existenz abgespeichert war. Auch hierüber könnte nur ein Überrest Auskunft geben.
Grundsätzlich drängt sich für mich eine ganz anderes Fragestellung auf. Der Bericht weist durch die wiederhergestellten Dateien auf Freispeicherlücken hin, die nach den Tests normalerweise von der Kamera Überschrieben werden. Keines der Aprilbilder scheint jedoch hierfür verwendeten worden zu sein, weder Tag- noch Nachtaufnahmen. Dies legt den Schluss nahe, dass die Bilder erst nach den Nachtaufnahmen gelöscht wurden, was in Anbetracht des Falls etwas ungewöhnlich wäre. Hierzu wären nochmals entsprechenden Tests zu empfehlen.