Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

ringelnatz schrieb:Verstehe nicht, warum dann immer die Uhr als einzige Nutzungsmöglichkeit genannt wird!?

Ein Blick auf die Uhr erzeugt keinen Log-Eintrag.

OFFshore7 schrieb:Da ist was dran, allerdings wird er auch beschränkte Möglichkeiten gehabt haben. Noch mehr ins Knie geschossen hätte er sich mit einer Ortung oder dem Loggen einer seltsam guten Signalstärke. Also was bleibt da, wenn man unbedingt was vortäuschen will? Der (vorgetäuschte) Blick auf die Uhr .. und schnell wieder aus, bevor was funkt.

Ja, aber zum Zeitpunkt der Notrufversuche hatte man keinen Empfang. Und Lisannes Handy blieb die ganze Nacht eingeschaltet. Da hätte es der Täter mit Kris Handy ebenso verfahren können. Eingeschaltet lassen bis der Akku alle ist. Genau dieses Vorgehen empfänden die Foristen als lebensnah. Oder er hätte Kris Handy einfach gegen einen Felsen werfen können. Handy kaputt, d. h. keine Notrufe möglich. Das wäre alles stimmig bei einem Unfall.
Warum bringt er das Handy überhaupt in einen Bereich mit Empfang? Und wenn er das schon macht, warum schirmt er das Handy nicht mit z.B. Alufolie ab und macht dann Notrufversuche? Wenn er schon so viele Kenntnisse hat, dass er genau weiß, wann eine Verbindung festgestellt werden kann, dann müsste er doch auch wissen, wie man ein Handy abschirmt.
Für mich ist diese Verbrecher-schaltet-Handy-kurz-ein-These nicht besonders glaubwürdig.

OFFshore7 schrieb:Ja die gibt es, sowohl bei richtiger Eingabe der SIM-Pin als auch bei richtiger Eingabe des Handy-Entsperrcodes. Ich mutmaße mal, dass im NFI-Report nix weiter steht als "Starting Up", daher musste ich es anders ableiten.

Nur main: Starting Up

OFFshore7 schrieb:Aber warum die Uhr-App von einem Bildschirm aus aufrufen, auf dem bereits eine 3x so gro0e Uhr abgebildet ist? Die Uhr-App hat allerdings noch 3 weitere Funktionen: Wecker / Stoppuhr / Timer .. kein Plan, was davon auf dem Original-Snapshot abgebildet ist. Ich gehe davon aus, dass es die Uhrzeit ist und die Uhr erkennbar auf 17:27 Uhr steht.

Auf dem Screenshot zu sehen sind unten die Optionen Weltuhr, Wecker, Stoppuhr und Timer. Angewählt ist Weltuhr (wohl standardmäßig). Darauf drei Uhren. "Die aktuelle" Amsterdam Zeit 18:27, darunter Panama City 10:27 Uhr, darunter San José 9:27 Uhr.

Öffnen und Schließen der Uhr-App erfolgt laut Bericht beides um 10:27 Uhr.

OFFshore7 schrieb:Das sind genau die Größenverhältnisse, wie ich sie mir vorstelle. 3 Meter breiter Felsen, 1,8 Meter breiter Sichtbereich, 25cm große sichtbare Tüten und 2cm dickste Aststärke.

Bei dem Maßstab bekommst du doch niemals >300 Äste nebeneinander auf den Felsen, wenn deine Aststärke nur knapp 1cm ist? War mal kurz im Garten und bleibe bei 2cm plausibler Aststärke.

Hab ich vielleicht etwas missverständlich dargestellt: im kleineren Modell, das gut zu einem sehr nahe am Objektiv befindlichen Blitz passt, misst der Fels 3m in Sichtachse und knapp 2m quer dazu.
Ast und Tüten sind etwas davor, also näher an der Kamera (zumindest die untere Tüte wirft einen schmalen Schlagschatten, was einen bestimmten Abstand zum Fels erfordert).
In dieser Konfiguration sind die Tüten nur gerade 10cm breit. Das erschien mir eigentlich zu wenig, aber man kann solche Tüten schon so um einen Ast binden, dass das hinkommt - also auch zu den Bildern passt (bei der oberen Tüte sehe ich großzügige Schlaufen an der unteren Astbefestigung).

Was ich auch noch präzisieren sollte: nur von den Schlagschatten her kann man diese auch mit einer SX270HS und einem sehr viel kleineren Fels und dann ebenfalls sehr viel kleineren Tüten und kürzeren Abständen hinbekommen - nämlich wenn man sehr viel frontaler auf den Fels schauen würde als in meinem Modell, wo der Blick sehr schräg auf den Fels fällt. Nur scheint mir das dann bisher nicht gut zu meinem visuellen Eindruck und der Einbettung in ein Gesamtpanorama aller Nachtfotos mit Überlappungen zu passen. Aber da kann es schon sein, dass ich da einen "Knick in der Optik" habe.

Was definitiv nicht geht sind im Bild 25cm breite Tüten und ein Blitz der kaum 1.5cm vom Objektiv weg ist, wie insbes. bei manchen Handy-Kameras.

IlluminatiNWO schrieb:Wir gehen ja bisher von einem Finger aus.

Ich zumindest. Und da bin ich mir ziemlich sicher.

IlluminatiNWO schrieb:Könnte es vielleicht auch ein Zeh sein, wegen der Haare, der da ins Bild gerät?

Ich weiß inzwischen, dass auch manche Frauen offenbar längere Haare auf den Zehen haben. Ob Haare auf den Zehen häufiger sind weiß ich nicht. Ich habe gut sichtbare Haare auf den Fingern, konnte aber nur ein einziges Haar auf all meinen Zehen entdecken.

Viel wichtiger: Bring mal regelmäßig Zehen an den oberen Bildrand von steil nach oben fotografierten Bildern, wie das ja bei praktisch allen Blob-Bildern außer #541 der Fall ist.

Und Bild #541 ist ja, wie schon mehrfach erklärt, mMn generell mit einer SX270HS so nicht machbar, weil der Bereich dicht vorm Objektiv vom Blitz nicht erfasst wird und weiter weg mit Zoomen anders aussähe (schmalere braune Randbereichen). Daran ändert auch ein Zeh nichts.

Doctective schrieb:Öffnen und Schließen der Uhr-App erfolgt laut Bericht beides um 10:27 Uhr.

Beides ist allerdings vom Forensiker geschätzt. Warum ist ja offensichtlich. Das muss allerdings dann auch heißen, dass für das Aufrufen der App keine Zeit geloggt wird. Ist das generell so?

Streusel schrieb:Für mich ist diese Verbrecher-schaltet-Handy-kurz-ein-These nicht besonders glaubwürdig.

Ich kann dir ne alternative Quick n Dirty These anbieten:

- die Frauen nutzen das iPhone bis 3. April morgens selbst, dann geht es nach kurzer Prüfung der Pins in Täterhand über
- Täter will Rucksack im April am Rio Culebra wiederauftauchen lassen, damit niemand die Leichen 100 Meter vom Q1-Q2 Trail entfernt sucht, schon gar nicht Mantrailer
- sicherheitshalber (Wetter, Temperatur, Moosbesatz, etc.) macht er die Nachtfotos auch tatsächlich am 8. April, natürlich in der Nähe seines ausgedachten Unfallpunkts (Kabelbrücke)
- um das Überleben und die Überbrückung der Entfernung in der Zeit zwischen 3. und 8. April plausibler zu machen, fügt er am 11. April (im DFU-Mode) die Bootlogs für den 4., 5. und 6. April hinzu. Das ist recht einfach, Copy-Paste vom 3. April, da sich die Bootlogs kaum unterscheiden bis auf die Timestamps. Dann noch Datei-Metadaten frisieren, fertig. Die Powerlogs "NFI-sicher" zu faken ist deutlich schwieriger und arbeitsintensiver. Alle Akkuwerte müssen plausibel berechnet werden etc. - Einfache Lösung: Powerlogs weglassen, nur n Bildchen der Uhr-App als Snapshot hinzufügen, aufgenommen mit nem anderen iPhone
- dann gemerkt, alles nicht nötig, die ermitteln und suchen am Tatort vorbei
- Juni Plan doch umgesetzt, diesmal mit paar Knochen, vllt. wegen der Belohnung, vllt. andere Gründe

@Doctective

Ich zitiere absichtlich nicht . :-)

Panama und Costa Rica verstehe ich, Amsterdam 18:27 nicht :ask:

Doctective schrieb:Beides ist allerdings vom Forensiker geschätzt. Warum ist ja offensichtlich. Das muss allerdings dann auch heißen, dass für das Aufrufen der App keine Zeit geloggt wird. Ist das generell so?

App-Logs sind in Powerlog beheimatet. Nach dortigem Logging-Beginn wird die App-Nutzung mit Zeit geloggt. Aber da war das Handy schon wieder aus, also keine geloggte Zeit, nur Snapshot.

cyclic schrieb:Hab ich vielleicht etwas missverständlich dargestellt: im kleineren Modell, das gut zu einem sehr nahe am Objektiv befindlichen Blitz passt, misst der Fels 3m in Sichtachse und knapp 2m quer dazu.

Ah, ok. Danke!

OFFshore7 schrieb:Panama und Costa Rica verstehe ich, Amsterdam 18:27 nicht :ask:

17:27 Uhr natürlich, sorry. Bin anscheinend nicht mehr sehr geübt darin, klassische Ziffernblätter zu lesen ;-)

cyclic schrieb:In dieser Konfiguration sind die Tüten nur gerade 10cm breit.

Reden wir von "Hemdchentragetaschen" / Knotenbeutel? Die klassischen sind hier 22 cm breit.
https://www.hutner-b2b.de/tragetaschen/tragetaschen-shop/hemdchentaschen-beutel/?p=1&o=1&n=24&f=5562%7C5587

Genauso die "Griffloch-Plastiktüten", zB vonn Rossmann - 22 cm.

10 cm wäre verdammt klein. Kenne ich eigentlich nur von Modeschmuck-Käufen oder Souvenir-Käufen (2 Kühlschrankmagneten oä).
Vorausgesetzt, die Frauen haben selbst gebastelt und fotografiert, vllt hatten sie nichts anderes /Grösseres. Aber um damit zu Winken hätte man doch die Fläche vergrössern und die Tüten aufreissenn können. So richtig verstehe ich den Zweck des Tütenzweigs noch nicht.

Kuno426 schrieb:Reden wir von "Hemdchentragetaschen" / Knotenbeutel?

Die einzigen mir bekannten Kandidaten sind in den Bildern #187 / #188 (Kameranummern) zu sehen und sicherlich erheblich größer als 22cm. Keine Ahnung ob es die auch kleiner gibt/gab.

Kuno426 schrieb:10 cm wäre verdammt klein.

Mit 10cm meine ich aber die sichtbare Breite im um den Ast geknoteten Zustand. Die Tüten scheinen aus sehr dünnem Plastik zu sein. Mit solchen Tüten kann ich ein ähnliches Bild reproduzieren und die sichtbare Größe auf ca. 10cm bringen. Ich zeige irgendwann mal Bilder, bin derzeit aber technisch etwas beschränkt.

Doctective schrieb:Ein Blick auf die Uhr erzeugt keinen Log-Eintrag.

@all
Vielleicht ging es ja nicht um die Uhrzeit, sondern um das Datum? Wird das mit angezeigt beim iPhone?

Im Urlaub hab ich auch öfter Schwierigkeiten den Wochentag zu erfassen - unter deren Umständen könnte ich mir das auch vorstellen! Und man wollte vielleicht abschätzen, ab wann werden wir vermisst? Wann fangen sie an zu suchen? Wann werden vielleicht Hubschrauber / Flugzeuge eingesetzt?

Oder aber sie hatten zu den beiden Zeiten mal irgendwie das Gefühl, dass jemand in der Nähe / in Sichtweite ist und haben um Energie zu sparen (man kann ja nicht 16 Stunden am Stück rufen, wedeln, winken etc...) sich auf diese ungefähren Zeiten geeinigt.
Für mich immer noch plausibler, als:

OFFshore7 schrieb:alternative Quick n Dirty These

OFFshore7 schrieb:- um das Überleben und die Überbrückung der Entfernung in der Zeit zwischen 3. und 8. April plausibler zu machen, fügt er am 11. April (im DFU-Mode) die Bootlogs für den 4., 5. und 6. April hinzu. Das ist recht einfach, Copy-Paste vom 3. April, da sich die Bootlogs kaum unterscheiden bis auf die Timestamps. Dann noch Datei-Metadaten frisieren, fertig.

Das Problem dabei ist, dass dann doch eine Lücke gelassen wird. Und zwar eine größere, weil er am 11.April am Handy gewesen wäre und er dann die Zeit bis dahin plausibel gestalten hätte müssen. Wenn es so einfach ist, Aktivität vorzutäuschen: Warum macht er das nicht für jeden Tag? Oder wenn er das Vortäuschen nur begrenzt einsetzen will, für jeden zweiten Tag? Aber so hätte er mit der Aktion vom 11. April eine Lücke vom 6. April bis zum 11. April gerissen.

Streusel schrieb:Aber so hätte er mit der Aktion vom 11. April eine Lücke vom 6. April bis zum 11. April gerissen.

Bislang verstehe ich den 11. April so, dass es keine Logs gibt, auch keine Bootlogs, kein "Starting Up", keine Einschaltzeit, keine Ausschaltzeit. Also aus Sicht des Täters spurenlos, daher auch keine Lücke.

Die Forensiker hätten am 11. dann zufällig ein paar Systemdateien mit Timestamps vom 11. gefunden. Erster Timestamp = geschätzte Einschaltzeit, letzter Timestamp = geschätzte Ausschaltzeit. Bedeutung komplett unklar.

Gibt es am 11. doch ein "Starting Up"-Log, dann können wir einen Profi ausschließen.

OFFshore7 schrieb:Die Forensiker hätten am 11. dann zufällig ein paar Systemdateien mit Timestamps vom 11. gefunden.

Was heißt zufällig? Wenn das ganze Handy gründlich ausgewertet wurde, dann wäre ein Auffinden zwangsläufig. Und das müsste doch auch dem Täter klar sein, dass wenn er da rumfummelt auch Spuren gefunden würden.

Streusel schrieb:Wenn das ganze Handy gründlich ausgewertet wurde, dann wäre ein Auffinden zwangsläufig. Und das müsste doch auch dem Täter klar sein, dass wenn er da rumfummelt auch Spuren gefunden würden.

Nicht unbedingt. Forensiker benutzen teure Tools (zB MASAB-XRY oder Cellebrite-UFED, die darauf ausgerichtet sind, zu extrahieren und festzustellen, was mit dem Handy gemacht bzw. wie es benutzt wurde. Wird häufig auch bei schweren Autounfällen eingesetzt, um eine Nutzung (nicht nur Telefonieren) am Steuer forensisch nachzuweisen. Sehr interessant aber englisch und technisch: https://www.sciencedirect.com/science/article/pii/S1742287615000092

Eine komplette Analyse des ganzen Filesystems inkl. aller Metadaten jeder Datei gehört da eher nicht zu den Funktionen dieser Forensik-Tools. Derartige Analysen würde vllt. ein iOS-Programmierer durchführen. Um einen Eindruck davon zu bekommen, dass solche Tools noch ganz andere Dinge "übersehen" können: https://www.deutschlandfunk.de/probleme-bei-digitalen-ermittlungen-wenn-forensik-software-100.html

Einem Täter ist immer klar, dass er Spuren hinterlässt. Oft werden sie nur nicht gefunden. Schau dir Fälle wie Frauke Liebs an. Der Risiko-Nutzen-Abwägung eines Täters kannst du nicht mit simpler Logik begegnen, denn dann würdest du zu viele erfolgversprechende Ermittlungsansätze im Keim ersticken.

OFFshore7 schrieb:Bislang verstehe ich den 11. April so, dass es keine Logs gibt, auch keine Bootlogs, kein "Starting Up", keine Einschaltzeit, keine Ausschaltzeit. Also aus Sicht des Täters spurenlos, daher auch keine Lücke.

Es gibt wie bei den "Signalchecks" ein Main Starting Up, am 11. April um 10:51 Uhr. Darüberhinaus keine Logs.

Doctective schrieb:Es gibt wie bei den "Signalchecks" ein Main Starting Up, am 11. April um 10:51 Uhr. Darüberhinaus keine Logs.

Das kann ich mir (im Fall FP) nur damit erklären, dass das Handy beim Verbinden mit Kabel automatisch startete und dann für 1 Stunde in den DFU-Mode gewechselt wurde. Einem Profi wäre das nicht passiert.

OFFshore7 schrieb:Ich kann dir ne alternative Quick n Dirty These anbieten:…

Gibt es denn überhaupt einen einzigen Fall in der jüngeren Kriminalhistorie, dass sich ein Täter mit dem Handy des Opfers tatsächlich so eine Mühe gemacht hätte? Ganz ehrlich, am Anfang war ich neugierig, da ich mir ein Foul Play Szenario durchaus vorstellen kann. So wie ihr es jedoch interpretiert, wirkt es etwas weit hergeholt und arg konstruiert. Kurzum, es nimmt langsam Züge einer VT an.

spherehere schrieb:Gibt es denn überhaupt einen einzigen Fall in der jüngeren Kriminalhistorie, dass sich ein Täter mit dem Handy des Opfers tatsächlich so eine Mühe gemacht hätte?

Ansichtssache. Ich würde dafür keine 20 Minuten brauchen. Alles 3x überprüft vllt. das doppelte.

In Panama, in einem kleinen Ort wo die Bildung nicht die höchste sein dürfte, wird das Perfekte Verbrechen verübt. Anstatt die beiden einfach im Dschungel zu ermorden und liegen zu lassen mit samt dem ganzen Gepäck oder zu vergraben, werden Handys mitgenommen, ausgewertet und verfälscht, es werden Bilder gemacht um die Ermittler auf eine falsche Fährte zu locken usw. Ja ne ist klar. Ein noch nichtmal im Ansatz dagewesener Fall wird einfach mal so in einem kleinen, armen Ort ohne große Bildung in Panama, im Dschungel verübt. Und auf der großen weiten Welt, wo die Technologie und IT Kenntnisse weit fortgeschritten sind, kam noch nie jemand auf die Idee ein so perfektes Verbrechen zu verüben. Meiner Meinung nach wurden hier bei dem ein oder anderen zuviele Filme geschaut.

OFFshore7 schrieb:Ansichtssache. Ich würde dafür keine 20 Minuten brauchen. Alles 3x überprüft vllt. das doppelte.

Danke, dass hilft mir bei der Einordnung der technischen Ebene weiter. Angenommen jemand ohne größere Expertise aber mit dem Willen Dateien auf dem I-Phone zu manipulieren und diese Signalchecks vorzutäuschen. Wie lange bräuchte so eine Person um sich in die Thematik einzuarbeiten und so etwas umzusetzen? Auch mit dem Ergebnis, dass am Ende Fehler unterlaufen...

OFFshore7 schrieb:Das kann ich mir (im Fall FP) nur damit erklären, dass das Handy beim Verbinden mit Kabel automatisch startete und dann für 1 Stunde in den DFU-Mode gewechselt wurde. Einem Profi wäre das nicht passiert.

Ich weiß so eine Einschätzung ist super schwer, aber ich denke, dass du hier gerade am ehesten geeignet bist, dazu eine Aussage zu tätigen.