SD-Karte Filesystem Block/Cluster-Versuche

Ich habe mir doch nochmal Gedanken über die Interpretation der Zahlen hier gemacht.

Wenn man tatsächlich nach der Gesamtanzahl 470 Bilder + 4 Videos (bis Ende März) geht, dann würde es mit 474 Nummern fast passen. Nur eine Nummer bliebe übrig, oder die Kamera zählt ab 0. Ansonsten müsste man dann doch von einem weiteren gelöschten Bild oder Video ausgehen. Dann frage ich nur, wo die 7 wiederhergestellten Videos herkommen. Die könnten dann eigentlich nicht aus dem aktuellen Dateisystem stammen.

Es gibt hier zwar verschiedene Interpretationen, aber trotzdem passt hier keine so richtig vollständig zusammen. Zumindest scheint mir die o.g. Interpretation noch am Besten zu sein. In den 63 wiederhergestellten Daten/Dateien/was auch immer sind wahrscheinlich auch die ganzen TMP-Einträge
mit eingerechnet.

sceptical schrieb:oder die Kamera zählt ab 0

Ist natürlich Quatsch, ist mir auch gerade aufgefallen.

@sceptical

7 Videos existierten (nicht gelöscht).
Von 4 weiteren gab es Spuren (sehr wahrscheinlich Verzeichniseinträge)

IP schreibt eindeutig (und die haben es aus dem NFI-Bericht), dass die 133 April-Bilder (33 Tag + 100 Nacht) in den 470 Bildern enthalten sind.

Dann noch die 64 gelöschten Bilder mit Resten (Verzeichniseinträgen). Je nachdem ob die nun die 40 kleineren Bildversionen enthalten oder nicht, bleiben entweder 63 oder 103 Dateien (Bilder/Videos) die ohne Reste "verschwunden" sind.

Das ist ja auch erstmal nicht erstaunlich. Die meisten Bilder sollten ohne Reste verschwinden, wenn sie gelöscht wurden und danach weitere Aufnahmen gemacht wurden.

Die 477 (470+7) können nicht nur bis März sein, eben weil das erste April-Bild #476 ist (das musste dann mind. 478 sein). Aber ich gebe zu: es ist erstaunlich nahe dran.

Hier nochmal der IP-Link:
https://imperfectplan.com/2021/04/06/kris-kremers-lisanne-froon-missing-photo-509-testing-canon-powershot-sx270-hs/

...knapp ist es natürlich auch nur dann wenn man die 64+4 vergisst von denen mind. 24+4 (wenn man die 40 wiederherstellbaren abzieht) auch noch von vor April stammen müssen...

cyclic schrieb:IP schreibt eindeutig (und die haben es aus dem NFI-Bericht), dass die 133 April-Bilder (33 Tag + 100 Nacht) in den 470 Bildern enthalten sind.

Und wie kommt man dann bis Bildnummer 609?

cyclic schrieb:Dann noch die 64 gelöschten Bilder mit Resten (Verzeichniseinträgen). Je nachdem ob die nun die 40 kleineren Bildversionen enthalten oder nicht, bleiben entweder 63 oder 103 Dateien (Bilder/Videos) die ohne Reste "verschwunden" sind.

Man stellt aber keine Verzeichniseinträge wieder her sondern Bilder und er hat schon vor PR Bilder wiederhergestellt. Außerdem ergibt das wenig Sinn, weil es sonst überhaupt keinen Unterschied zu Bild 509 gäbe. Dann wäre völlig unverständlich, warum er sich überhaupt über das Fehlen von 509 wundert, weil es dann davor auch schon überschriebene Bilder gab ohne Reste.

sceptical schrieb:Und wie kommt man dann bis Bildnummer 609?

Indem man vorher Bilder gelöscht hat. Z.B. immer wieder mal, was ziemlich normal wäre (vermurkste Aufnahmen, versehentliches Drücken des Video-Bittons, ...). Außer wenn man Bilder in bereits vergangenen Monaten löscht, bleiben keine Reste (keine Verzeichniseinträge).

sceptical schrieb:Man stellt aber keine Verzeichniseinträge wieder her sondern Bilder

? Hat ja keiner behauptet. Wenn ein Bild wiederherstellbar ist, dann ist aber i.d.R. auch der Verzeichniseintrag noch da (neulich erklärt). Ich tendiere ja aber auch eher dazu, dass die 40 nicht in den 64 enthalten sind. Aber das kann man so oder so lesen.

Statistisch mach 24+4 mit Spuren zu 103 ohne Spuren mehr Sinn als 64+4 zu 63, aber bei nur zwei Monaten wo die Kamera vor April benutzt wurde (Januar und März) ist das wackelig.

sceptical schrieb:Außerdem ergibt das wenig Sinn, weil es sonst überhaupt keinen Unterschied zu Bild 509 gäbe.

Es gibt dann immer einen Unterschied zu #509 wenn niemals ein Bild direkt nach der Aufnahme (vor der nächsten Aufnahme) gelöscht wurde. Dann nämlich gibt es immer Sprünge und die betr. Dateien liegen eben nicht "neatly" hintereinanderweg. Und das ist ja das Argument im NFI-Bericht. Muss ich denselben Satz jetzt noch 1000x schreiben?

Ist bei euch die Seite von IP noch erreichbar? Bei mir nicht mehr.

Ja scheint dauerhaft verschwunden. Ich hoffe Matt geht's gut und es ist nichts passiert. Ist aber merkwürdig, der Blog war nicht nur für seine Arbeit im Fall K & L bekannt.

@sceptical
Ein Glück, ist wieder da!

cyclic schrieb:Ein Glück, ist wieder da!

Da hat er wahrscheinlich nur seinen Webanbieter gewechselt.

So, gebrauchte Kamera SX270 HS ist bestellt, dauert noch etwas, bis ich sie bekomme. Canon listet für die Kamera nur eine Firmware-Version (1.02) auf, daher denke ich mal, dass diese auch drauf ist.

cyclic schrieb am 04.01.2026:Es gibt dann immer einen Unterschied zu #509 wenn niemals ein Bild direkt nach der Aufnahme (vor der nächsten Aufnahme) gelöscht wurde. Dann nämlich gibt es immer Sprünge und die betr. Dateien liegen eben nicht "neatly" hintereinanderweg. Und das ist ja das Argument im NFI-Bericht. Muss ich denselben Satz jetzt noch 1000x schreiben?

Aus welchem Grund soll das einen Unterschied darstellen, den der Forensiker zu einem "Fehler im Dateisystem" macht? Warum es bei 509 dann nicht so ist, hast du ja selbst erklärt. Ich verstehe nicht, warum der Forensiker sich darüber wundert. Wenn ich das sehe, und ich habe selbst schon Datenrettungen auf FAT-Dateisystemen durchgeführt, dann denke ich zuerst daran, dass diese Datei eben als letzte Datei gelöscht und vom Folgebild überschrieben wurde. Und wenn da keine Datenreste von in den Überhängen von 510 zu finden sind, dann war es halt kleiner. Ich wüsste nicht, was daran so ungewöhnlich sein soll. Das kann ja nicht der Grund sein.

cyclic schrieb am 04.01.2026:Indem man vorher Bilder gelöscht hat. Z.B. immer wieder mal

Das habe ich doch jetzt schon 1000x die letzten Seiten geschrieben und du hast immer gegenargumentiert. Es ist durchaus interessant, dass die Anzahl von gelöschten Bildern dann hier ungefähr der Anzahl der Aprilbilder entspricht, obwohl es hier erstmal keinen direkten Sinnzusammeng geben dürfte.

sceptical schrieb:Canon listet für die Kamera nur eine Firmware-Version (1.02) auf, daher denke ich mal, dass diese auch drauf ist.

Nee, 1.00 und 1.01 gab's auch, aber Canon bietet immer nur den neuesten Stand an (jedenfalls hier, wo es sich um Bugfixes handelt). Was bei dir drauf ist hängt vom Produktionszeitpunkt ab und ob ein Vorbesitzer ein Update draufgespielt hat.

Das NFI kommt doch aber genau zu dem Schluss, dass das Bild gelöscht worden ist. Das Wort "Error" müsste man erst mit dem Original abgleichen (ich bin nicht ganz sicher, aber dachte eigentlich dass das auf Niederländisch geschrieben ist).

Was wirklich ziemlich eigenartig wäre, wenn es keine unwiederbringlich und abgesehen von den fehlenden Bildnummern, spurenlos gelöschten Aufnahmen gegeben hätte.

Aber der NFI-Bericht ist halt wirklich einfach mal nicht gut, jedenfalls was die Kamera angeht.

Ändert nichts daran, dass ich die Erklärung "Löschen" für unwahrscheinlich halte (CTG). Dass das dem NFI nicht aufgefallen ist, macht aber absolut Sinn, weil die sich nachweislich nicht tiefer mit der Kamera beschäftigt haben (sonst hätten sie nicht solchen Unsinn bzgl. Thumbnails geschrieben).

cyclic schrieb:Aber der NFI-Bericht ist halt wirklich einfach mal nicht gut, jedenfalls was die Kamera angeht.

Die Passage über die Kamera ist tatsächlich sehr kurz gehalten, man muss hier viel hineininterpretieren. Ich frage mich, ob da über die Karte noch mehr steht. leider haben wir selbst keine Akteneinsicht.

cyclic schrieb:Nee, 1.00 und 1.01 gab's auch, aber Canon bietet immer nur den neuesten Stand an (jedenfalls hier, wo es sich um Bugfixes handelt). Was bei dir drauf ist hängt vom Produktionszeitpunkt ab und ob ein Vorbesitzer ein Update draufgespielt hat.

Die passende Firmware kann ich ja bei Bedarf aufspielen.

cyclic schrieb:Das NFI kommt doch aber genau zu dem Schluss, dass das Bild gelöscht worden ist. Das Wort "Error" müsste man erst mit dem Original abgleichen (ich bin nicht ganz sicher, aber dachte eigentlich dass das auf Niederländisch geschrieben ist).

Zumindest glaube ich, dass dieser Satz mit dem Error hauptsächlich zu den ganzen Mythen um das Bild geführt hat. Entweder ist es tatsächlich eine Fehlübersetzung, oder der Forensiker hat sich hier unglücklich ausgedrückt.

cyclic schrieb:Ändert nichts daran, dass ich die Erklärung "Löschen" für unwahrscheinlich halte (CTG). Dass das dem NFI nicht aufgefallen ist, macht aber absolut Sinn, weil die sich nachweislich nicht tiefer mit der Kamera beschäftigt haben (sonst hätten sie nicht solchen Unsinn bzgl. Thumbnails geschrieben).

Was meinst du damit, eine fehlende CTG-Datei wäre dem Forensiker eigentlich sofort im Ordner CANONMSC aufgefallen. Bei den Tumbnails gebe ich dir Recht, der Forensiker scheint selbst gedacht zu haben, dass diese durch die Kamera verursacht wurden, daher wird er die Kamera selbst nicht näher getestet haben. Wahrscheinlich ist mit ein Grund dafür, dass die Kamera selbst forensischer Untersuchungsgegenstand war und man deswegen keine weiteren Tests damit machen konnte.

So, Kamera ist da. Der Zähler zählt in der Einstellung fortlaufend tatsächlich nicht zurück und es entsteht die Nummernlücke in den Dateinamen.Weitere Tests sind geplant, dauert aber noch etwas.

@sceptical
Ja das ist die Standardeinstellung. Kann man umstellen, aber wenn die alternative Einstellung aktiv gewesen wäre, dann wäre die Manipulation ja sicher.

Wissen wir ja nicht welche Einstellung in dem Moment aktiv war.

sceptical schrieb:Wissen wir ja nicht welche Einstellung in dem Moment aktiv war.

Ich glaube bei #505 und #550 (die einzigen mit vollst. EXIF-Daten, die ich kenne) sieht man es an den EXIF-Daten (müsste ich nochmal schauen).

Und bei #510 muss es so eingestellt gewesen sein, weil die Nr. sonst #509 wäre (außer bei Manipulation, wo im Prinzip alles möglich ist).

Ist 510 eigentlich nicht veröffentlicht worden?