Anthurium schrieb:Hast du eine Ahnung, welche Datenfelder Reste von 509 enthalten könnten?
Es gibt zwei Möglichkeiten: die eine kennen wir schon lange: zwischen zwei Dateien bleibt normalerweise ein Bereich der nicht beschrieben wird. Wenn #509 gelöscht wurde bevor #510 aufgenommen wurde, dann überschreibt #510 den alten Bereich von #509. Wenn aber #509 länger war als #510 können Reste hinter #510 und vor #511 übrig bleiben. Da #510 extrem klein ist, wäre das sogar sehr wahrscheinlich. Maximal können da 32768-512 Byte erhalten bleiben (wenn #509 relativ groß war, könnte auch noch zwischen #511 und #512 ein solcher Rest erhalten geblieben sein). Mit etwas Glück sogar ein Teil der Preview-Auflösung. Da könnte man mit knapp 32 kiB schon einen kleinen Bildausschnitt rekonstruieren.
Die zweite Möglichkeit ist neu und wurde von
@sceptical entdeckt (an einer Stelle wo ich absolut keine sinnvollen Daten erwartet hätte). Es gibt direkt hinter dem Dateiende einen noch viel kleineren Bereich von max. 511 Byte. Aus irgendeinem Grund schreibt die Kamera dort (unter bestimmten Voraussetzungen) das Ende der jeweils vorigen Datei hinein. Aber nur wenn zwischen den beiden Fotos die Kamera eingeschaltet blieb und nicht in den Viewer-Modus gewechselt wurde. In den Viewer-Modus müsste man aber wechseln um #509 zu löschen.
Sollte sich ein kleiner Rest von #509 in diesem Bereich finden könnte man ihn mit rel. hoher Wahrscheinlichkeit auch als solchen erkennen. Es gibt eine kleines Risiko, dass man es nicht von einem Wechsel in den Viewer Modus unterscheiden kann. Auch müsste zur Abgrenzung auch #511 ohne zwischenzeitliches Ausschalten aufgenommen worden sein.
Allerdings ist das wie gesagt eigentlich nicht möglich, da man #509 auf der Kamera nur vom Viewer-Modus aus löschen konnte. Das wäre also höchst merkwürdig und würde stark auf nachträgliche Manipulation hindeuten.
Es gibt aber noch eine Stelle die hier interessant sein könnte und das ist die CTG-Datei (mal wieder). Auch da enthält dieser kleine Bereich Reste und zwar von ihrem eigenen alten Zustand bevor sie upgedatet wurde. Und da könnten, mit etwas Glück, eben genau die 20 Byte der CTG übrig geblieben sein, die Metadaten von #509 enthalten. Das passiert genau dann, wenn man in den Viewer-Modus geht und z.B. ein Bild löscht. In diesen 20 Byte steht vermutlich auch das Aufnahmedatum+Zeit, allerdings verstehe ich bisher das Format nicht wirklich.
Und diese Datenreste bleiben nur erhalten, wenn man danach nie wieder in den Viewer-Modus wechselt. Das ist gar nicht so unwahrscheinlich, denn warum hätte man während der Nachtbilder noch jemals in den Viewer-Modus wechseln sollen?
Das Erkennen ob die Kamera angeschaltet blieb kann noch an anderen Stellen interessant sein. Insbesondere rund um #550 (Tütenfels), #576 ("SOS") und #580 (Haare).
Außerdem könnten im Falle einer Manipulation hier Auffälligkeiten bestehen an die mit ziemlicher Sicherheit kein Manipulator gedacht hätte.
Aber für all das bräuchte man nicht nur eine Kopie der Originaldateien, sondern einen echten "forensischen" 1:1-Abzug der SD-Karte. Chancen also minimal.
Anthurium schrieb:Könntest du ein solches „Überrestexperiment“ mit deiner eigenen Kamera durchführen?
Ja das könnte ich mit meiner eigenen Kamera bestätigen. Ein bestimmtes Experiment von
@sceptical habe ich selbst noch nicht nachgemacht, bin aber sicher dass das so stimmt, weil es derselben Systematik folgt.
Anthurium schrieb:510 war komplett dunkel, also vielleicht war die Foto mit aufgesetztem Objektivdeckel gemacht.
Die Kamera hat keinen Objektivdeckel. Sie hat einen Schutz der automatisch wegklappt sobald man die Kamera einschaltet und das Objektiv ausgefahren wird.
cyclic schrieb:wonach #510 ohne Blitz aufgenommen worden sein soll.