SD-Karte Filesystem Block/Cluster-Versuche

Offshore7 schrieb am 06.09.2025:PhotoRec hat 80 Bilder wiederhergestellt, 40 Querformatbilder und 40 "identische" Thumbnails = 40 "thumbnails and other Formats" of images “IMG_0476.JPG” through “IMG_0609.JPG”.

Moment, also könnte es hier doch wiederhergestellte Bilddateien neben den Tumbnails geben, die durch den Benutzer zwischendrin vorher gelöscht wurden?

cyclic schrieb am 26.07.2025:dass ich einen Abzug der SD-Karte in die Finger bekäme.

Den hätte ich auch sehr gerne zur Analyse.

Aber hierzu mal eine ganz blöde Frage, kann man nicht einfach beim NFI bzw. dem damaligen Forensiker direkt nachfragen. Vielleicht sind die ja gewillt, Antworten zu geben. Es handelt sich hierbei ja offiziell nicht um eine laufende Ermittlung.

@Offshore7
@cyclic

Liebe Leute, bezüglich der Tumbnails habe ich eventuell eine Erklärung gefunden. Bei älteren Windows-Versionen (bis XP) wurde durch den Windows-Explorer in der Miniaturansicht eine entsprechende Datei mit extrahierten Tumbnails im Ordner der Bilder abgelegt. Das hat man dann bei späteren Versionen (ab Vista) wohl geändert und diese werden jetzt ordnerunabhängig irgendwo zentral im System gespeichert.

Gerade bei Behörden kommt es erfahrungsgemäß oft vor, dass da noch PCs mit älteren Betriebssystemen benutzt werden.

Nachtrag: Tut hier nichts zur Sache, aber der Support für Windows XP wurde genau am 08.04.2014 eingestellt, zumindest laut Google. Zufälle gibts.

Ist das hier noch aktiv?

sceptical schrieb:Ist das hier noch aktiv?

Prinzipiell schon. Gibt halt von meiner Seite nichts neues zu berichten.

Mein alter XP-Rechner schreibt übrigens keine solchen Thumbnaildateien. Jedenfalls nicht bei den Aktionen die ich durchgeführt habe (Windows Explorer und Standard Bildviewer).

Ich bin mir aber, wie schon erwähnt, sicher, dass ältere Linux-Versionen sowas machten und habe davon auch noch Überbleibsel in meinen Backups gefunden. Kann schon sein, dass irgendwelche Windows-Versionen bzw. irgendeine Windows-Software das auch gemacht haben, nur gesehen habe ich es nicht und auch keine Angaben welche Version / welche Software.

Ich habe mir jetzt bei Scarlet R. die Auszüge über die Aussagen aus dem NFI-Bericht selbst durchgelesen und sehe die Sache jetzt relativ eindeutig.

Der Forensiker gibt an, in den "Ordnern" Spuren von 64 gelöschten Bildern und 7 Videos gefunden zu haben. Das können mMn nur Gelöschteinträge oder fehlende Bildnummern gewesen sein. Was sonst kann man in den Ordnern an Spuren finden? Selbst wenn da die Tumbnails (40) schon inbegriffen wären, blieben immer noch 24 Bilder aus der Serie übrig, die auch vollständig widerhergestellt wurden. Daher muss es vorher freie Speicherlücken gegeben haben, die von der Kamera offensichtlich nicht genutzt wurden, wass den Schluss nahe legt, dass diese erst sehr spät nach 508 oder sogar erst nach den Nachaufnahmen gelöscht wurden.

Auch ergibt sich für mich sehr eindeutig, was der Forensiker hier als Anomalie ansieht: Die Tatsache, dass diese gelöschten Bilder vollständig wiederhergestellt werden konnten und Bild 509 nicht. Warum dann später in einem Interview daraus ein "Fehler im Dateisystem" gemacht wird, ist mir allerdings auch völlig schleierhaft, das ist natürlich nicht so.

Man müsste genauere Informationen über diese glöschten Bilder haben. Irgendow habe ich mal gelesen, dass es sich hierbei um Bilder handeln soll, die nichts geworden sind, müssten diejenigen, die Zugriff auf die Akte hatten, darüber nicht nähere Informationen haben?

Ich denke aktuell über eine etwas ungewöhnliche Idee nach. Könnte es evtl. sein, dass die Beiden doch eine Nachricht hinterlassen haben in Form der Nachtbilder selbst. Vielleicht sollen diese uns irgendetwas mitteilen.

Nchtrag:

Interessant ist auch, dass der Forensiker davon ausgegangen ist, dass die Tumbnails von der Kamera selbst erzeugt wurden. Wenn die Kamera das nicht macht, dann hat der NFI mti der Kamera selbst auch scheinbar keine Tests durchgeführt, aller Schlussfolgerungen des Forensikers scheinen hier also zunächst nur auf der vorgefundenen Datenstruktur auf der Karte zu beruhen. Wahrscheinlich ging das auch nicht, weil die Kamera selbst auch forensischer Untersuchungsgegenstand war.

Auch wird gesagt, dass beim NFI die Bilder noch vorliegen. Da kann es sogar sein, dass es doch noch ein Image vom Datenträger gibt.

@sceptical
Schau nochmal hier auf Seite 3, da hatte ich Anzahlen der Aufnahmen aufgeschlüsselt (mit den 2 Varianten 40 entweder in 64 + 4 enthalten oder halt nicht).

Die wiederherstellbaren Dateien waren sämtlich kleinere Versionen existierender Bilder.

Bei denen wo nur Spuren zu finden waren kann es sich nur um Verzeichniseinträge handeln (da man Bilder und Videos unterscheiden konnte).

Dann fehlen in jedem Fall noch mehr Dateien zu denen es offenbar keinerlei Spuren gibt - d.h. die Verzeichniseinträge sind auch weg. Das ist normal, sobald der Speicherbereich einer gelöschten Datei neu belegt wird und man noch im selben Monat ist (d.h. selber Monatsordner).

Da gibt es dann ein paar Varianten. Mit einem Image der SD-Karte könnte man einiges mehr sagen, da man anhand der Sprünge in den Speicherbereichen abschätzen könnte wann welche Dateien gelöscht wurden. Irgendwer hat so ein Image (oder auch die Original-SD-Karte), das glaube ich auch.

cyclic schrieb:Die wiederherstellbaren Dateien waren sämtlich kleinere Versionen existierender Bilder.

Wo steht das, auf der Seite von Scarlet habe ich das so nicht gefunden? Könntest du mir bitte eine Quellenangabe dazu machen.

cyclic schrieb:Dann fehlen in jedem Fall noch mehr Dateien zu denen es offenbar keinerlei Spuren gibt - d.h. die Verzeichniseinträge sind auch weg.

Auch das lese ich bislang so nirgendwo. Bitte hier auch um Quellenangabe. Zumindest bei Scarlet steht das so nicht direkt. Hast du das von der Seite von IP oder eventuell sogar aus dem Buch?

@sceptical
Bzgl. gelöschter Thumbs: Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon (Seite 1158) (Beitrag von cyclic)

Die Anzahlen sind von IP. Siehe: Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon (Seite 1159) (Beitrag von cyclic)

Using the Encase program, I searched the evidence files on the disk extensively for traces of the missing file. I did this under the assumption that the file [#509] had probably been deleted manually at an unknown time after April 1, 2014 1:54 PM. However, I could not find any trace of this missing file in the FAT32 file system of the data carrier. I then used the data recovery program Photorec, version 6.14, from the company CGSecurity to search within the free disk space (unallocated clusters) of the data carrier for remnants of photo files that could still be retrieved from that storage space. This program usually achieves very good results. The program retrieved 40 photo files (*.JPG). I saw that in all cases these were thumbnails (thumbnails) and other formats of photo files that were already known in this research and that belonged to the series "IMG_0476.JPG" through "IMG_0609.JPG". I know that such files are created by a camera for faster display (in thumbnails) of a photo on the LCD screen of the camera, so that the entire file does not have to be loaded each time. I have not found any trace of the missing photo "IMG_0509.JPG" among the results of the program Photorec." None of the photos previously deleted on the camera, which could be recovered using forensic software, caused such an error in the file system. Only #509 could not be retrieved, not even snippets of it.

Was meinst du denn, wass mit "None of the photos previously deleted" gemeint ist? Er hat erst mit EnCace diese 64 Bilder usw. als Gelöschteinträge gefunden (außer bei 509) und konnte die wiederherstellen und hat dann mit PR weitere Bilder in anderen Formaten + Tumbnails gefunden. Das ist relativ eindeutig erklärt und es muss Freispeicherlücken gegeben haben.

Using the Encase program, I searched the evidence files on the disk extensively for traces of the missing file. I did this under the assumption that the file [#509] had probably been deleted manually at an unknown time after April 1, 2014 1:54 PM. However, I could not find any trace of this missing file in the FAT32 file system of the data carrier.

Er hat keinen Gelöschteintrag von 509 vorgefunden und daraufhin die Überhangsektoren der existierenden Datein durchsucht.

I then used the data recovery program Photorec, version 6.14, from the company CGSecurity to search within the free disk space (unallocated clusters) of the data carrier for remnants of photo files that could still be retrieved from that storage space. This program usually achieves very good results. The program retrieved 40 photo files (*.JPG). I saw that in all cases these were thumbnails (thumbnails) and other formats of photo files that were already known in this research and that belonged to the series "IMG_0476.JPG" through "IMG_0609.JPG".

PR hat dann in nicht allkorierten Klustern weitere 40 Datein entdeckt, zu denen es auch keine Gelöschteinträge mehr gab (sonst hätte er sie vorher schon gefunden) aber eben nicht 509. Die Anzahl 40 fasst mE hier die Tumbnails und Bilder im anderen Format zusammen.

None of the photos previously deleted on the camera, which could be recovered using forensic software, caused such an error in the file system. Only #509 could not be retrieved, not even snippets of it.

Die 64+7 zuvor über Gelöschteinträge gefundenen Dateien konnten also alle wiederhergestellt werden und bei 509 gab es keinen Gelöschteintrag mehr und auch das Bild war vollständig weg. Wieso er hier das Wort "error" benutzt, verstehe ich nach wie vor nicht.

Für eine Antwort wäre ich sehr dankbar.

@sceptical
Ich habe ehrlich gesagt nicht verstanden worauf du eigentlich hinaus willst. Für mich hat sich nichts geändert. Also was genau ist der Punkt? Ich rate mich mal durch...

sceptical schrieb am 18.12.2025:Was meinst du denn, wass mit "None of the photos previously deleted" gemeint ist?

Der Satz im Bericht ist halt irgendwie ziemlich sinnlos. Von #509 sind keine Reste geblieben, #508 und #510 grenzen Cluster-mäßig direkt aneinander. Und er vergleicht das mit Fotos die widerherstellbar waren!?

Möglicherweise meint er nicht wiederherstellbare Dateien (nur noch FAT-Einträge oder komplett fehlende Nummern) und dass bei denen nie die Dateien mit den benachbarten Bildnummern (-1/+1) direkt aneinandergrenzten. Was bedeuten würde, dass nie ein Bild direkt nach der Aufnahme gelöscht wurde, weil sonst wäre das ja so.

Oder er meint dass der Drive-Slack von #510 leer war, der von anderen Dateien die unmittelbar und ohne Lücke auf fehlende Bildnummern folgten aber nicht. Nur hätte er das dann genauer erklären müssen, da es dafür offensichtlich noch andere Möglichkeiten gibt (wenn #509 z.B. noch kleiner als #510) war.

Bleibt also alles unklar. Überhaupt scheint der NFI-Bericht bzgl. Kamera/SD-Karte nicht das Niveau zu haben, das ich eigentlich erwarten würde.

sceptical schrieb am 18.12.2025:PR hat dann in nicht allkorierten Klustern weitere 40 Datein entdeckt, zu denen es auch keine Gelöschteinträge mehr gab (sonst hätte er sie vorher schon gefunden)

Das interpretiere ich anders. Er hat ja offenbar FAT-Verzeichniseinträge zu 64 Bildern und 4 Videos gefunden die gelöscht wurden. Die 40 Bilder, die dann mit PhotoRec doch wiederherstellbar waren, können darin enthalten sein. Für genausogut möglich halte ich es aber, dass er schon in Encase gesehen hat, dass diese Dateien noch existieren und sie dann halt mit PhotoRec zurückgeholt hat (weil Encase das scheinbar in der Version nicht konnte oder er dafür einfach lieber PhotoRec nutzte). Je nachdem bleiben noch 64+4 oder nur 24+4 FAT-Verzeichniseinträge gelöschter "richtiger" Dateien übrig. Ich tendiere zu 64+4, aber das kann man auch anders sehen.

Dass die Verzeichniseinträge weg, die Dateiinhalte aber noch vollständig erhalten sind wäre jedenfalls schwer erklärbar. Jetzt habe ich schon wieder einiges vergessen, aber ich wüsste nicht wie man das hinbekommen sollte (umgekehrt schon eher: Inhalt weg, aber Verzeichniseinträge noch da, das geht - entweder unter Windows (mind. Win-7) oder unter Linux / auf der Kamera wenn man neue Dateien in einem anderen Ordner ablegt als dem in dem die gelöschten lagen).

Aber die gelöschten aber wiedeherstellbaren 40 Versionen existierender Bilder halte ich ohnehin für irrelevant. Ich bin mir ziemlich sicher, dass irgendeine Software auf einem Rechner der panamaischen Polizei / StA die erzeugt hat, als man dummdödelig die Original-SD-Karte da reinsteckte und dann auch noch fröhlich anfing Bilder zu drehen. Die Peinlichkeit hat man dann versucht teilweise zu bereinigen indem man wenigstens dieseThumbs/Previews gelöscht hat (die gedrehten Bilder hat man wohl nicht wieder zurückgedreht, was das Datenchaos auch nur noch weiter vergrößert hätte).

Die Kamera legt jedenfalls keine zusätzlichen Versionen der Bilder/Videos in anderen Dateien an.

Interessanter sind die 64/24+4 und die weiteren fehlenden Dateien (Nummern) und wie sich das jeweils in der Speicherbelegung widerspiegelt. Und was man im Drive-Slack fand (und ob man den wirklich untersucht hat). Und ganz besonders würden mich die CTGs interessieren. Nur weiß man über all das nichts und kann nur mehr oder weniger fundiert raten.

cyclic schrieb:Der Satz im Bericht ist halt irgendwie ziemlich sinnlos.

Wieso, du schreibst doch selbst:

cyclic schrieb:Er hat ja offenbar FAT-Verzeichniseinträge zu 64 Bildern und 4 Videos gefunden die gelöscht wurden.

Eben, genau darauf bezieht er sich hier offensichtlich. Er stellt das in Bezug zu 509, da hier beides nicht mehr vorhanden war und die zuvor gelöschten Dateien mit Eintrag noch teilweise wiederhergestellt werden konnten, daher muss es zwangsläufig freie Speicherlücken davor gegeben haben. Was ist daran sinnlos, ist doch ganze einfach.

cyclic schrieb:Möglicherweise meint er nicht wiederherstellbare Dateien

Dann hätte er es wahrscheinlich auch so gesagt, wenn er es so gemeint hätte?

cyclic schrieb:Bleibt also alles unklar.

Bleibt es nicht, ist eigentlich ziemlich klar.

cyclic schrieb:Die 40 Bilder, die dann mit PhotoRec doch wiederherstellbar waren, können darin enthalten sein.

Theoretisch ja, gelöschte Dateien, die man erst über einen Ordnereintrag wiederherstellt, werden nachträglich natürlich auch mit PR gefunden, aber warum sollte er sie doppelt zählen?

cyclic schrieb:Dass die Verzeichniseinträge weg, die Dateiinhalte aber noch vollständig erhalten sind wäre jedenfalls schwer erklärbar.

Wo wäre hier das Problem? In einzelnen Fällen könnte das passieren. Die Lücke war zu groß für die Datei, aber der Eintrag kann trotzdem überschreiben worden sein. Wenns bei allen Dateien so wäre, dann wäre es schon etwas verdächtig.

cyclic schrieb:Für genausogut möglich halte ich es aber, dass er schon in Encase gesehen hat, dass diese Dateien noch existieren und sie dann halt mit PhotoRec zurückgeholt hat (weil Encase das scheinbar in der Version nicht konnte oder er dafür einfach lieber PhotoRec nutzte).

Wenn EnCase als teure Forensiksoftware für Behörden einfache JPG-Dateien über die gelöschten Einträge nicht wiederherstellen kann - sofern möglich - dann würde das keine Behörde und kein Forensik-Institut kaufen. Das ist bei diesen Programmen mit einem Klick erledigt. Ein Programm wie PR nutzt man hier ja meinstens nur, um zusätzlich nach verlorenen Dateien zu suchen, also Dateien, die im aktuellen Dateisystem keinen Gelöschteintrag haben. Daher glaube ich das eher nicht.

sceptical schrieb:Er stellt das in Bezug zu 509, da hier beides nicht mehr vorhanden war und die zuvor gelöschten Dateien mit Eintrag noch teilweise wiederhergestellt werden konnten, daher muss es zwangsläufig freie Speicherlücken davor gegeben haben. Was ist daran sinnlos, ist doch ganze einfach.

Es muss keine Lücken gegeben haben, wenn diese 40 Dateien die letzten waren die geschrieben (und dann wieder gelöscht) wurden. Und das ist ja auch die einzige Möglichkeit wie Dateien wiederherstellbar sind: wenn sie nämlich nicht von späteren Dateien überschrieben wurden.

Es wird schon nachvollziehbare ehemalige Lücken gegeben haben (weil es normal ist die eine oder andere vermurkste Aufnahme zu löschen und es ja viel mehr gelöschte Dateien mit und ohne Spuren gab). Diese Lücken müssen aber bereits wieder gefüllt worden sein und zwar bereits vor April. Das sieht man daran, dass alle April-Bilder "neatly" aneinandergrenzend hintereinanderliegen. Hätte es am 1. April Lücken gegeben, dann wären die von den April-Bildern gefüllt worden und entsprechend gäbe es Sprünge und Fragmentierung.

sceptical schrieb:Wo wäre hier das Problem?

Lücken werden nach aufsteigenden Adressen befüllt. Jedenfalls in all meinen Tests. Unter Linux und auf der Kamera verschwinden dann auch die FAT-Einträge der überschriebenen Dateien, außer die überschreibenden Dateien liegen in einem anderen Verzeichnis (bzw. das Verzeichnis mit den FAT-Einträgen wird nicht mehr angefasst). Unter Windows bleiben sie offenbar trotzdem erhalten. Es gibt also die Möglichkeit: FAT-Eintrag noch da, aber Datei-Content überschrieben. Aber umgekehrt? Mit Schnell-Formatierung ging das glaube ich. Gut, oder wenn man mit einem HEX-Editor manipuliert (mit der guten Chance das Dateisystem zu zerstören). Wie sonst noch?

Lassen wir das, ich habe mir inzwischen das Buch von Hardinghaus/Nenner besorgt und werde wohl in näherer Zukunft selbst eine Canon SX270 HS gebraucht erwerben und umfangreiche Tests durchführen.