Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Origines schrieb:Vermutlich ist das mit 40:60, 70:90 usw. gemeint. Außerhalb der exakten Wissenschaften und bei Gutachten in Gerichtsprozessen verwendet man dafür Begriffe wie "möglich/hinreichend/überwiegend/wenig/sehr usw. wahrscheinlich".

Ja, genau das.

Doctective schrieb:Die Artefakte sind dafür bedeutungslos. Da wollte niemand eine Kulisse stagen.

Ja. Genau das wollte ich mit dem Hinweis auf das "nur am Rande sichtbare" SOS (oder was auch immer sonst da ausgelegt wurde) sagen.

Anthurium schrieb:Wie ich es verstehen habe: Die Logs von Handys wurden 1:1 auf Papier gedruckt zusammen mit einer Zusammenfassung / Interpretation.

Its das wirklich so ?. Correct me If I'm wrong @Outback, aber ist es nicht so, dass die Akten lediglich die Analyse beschreiben & zusammenfassen., ggf. mit einzelnen Auszügen aus den logs. Oder haben die tatsächlich alle Logs komplett 1:1 ausgedruckt und dem Bericht als Anhang zugefügt ?

PhiloSolver schrieb:Oder haben die tatsächlich alle Logs komplett 1:1 ausgedruckt und dem Bericht als Anhang zugefügt ?

Das würde mich auch interessieren. Habe dazu nichts gefunden. Ich tippe eher auf:

PhiloSolver schrieb:Akten lediglich die Analyse beschreiben & zusammenfassen., ggf. mit einzelnen Auszügen aus den logs

Hoffe @Outback oder @Doctective können dazu etwas sagen :)

Anthurium schrieb:Wäre es sinnvoll, eine Übersicht zu erstellen, welche iPhone Rohdaten im NFI-Bericht enthalten sind und welche nicht?

Es gibt sehr viele verschiedene Log-Dateien wie lockdownd.log, powerlog.gz, whatsapp-xxxxxxxxx.log mit geschätzt 10.000 Logs vom 31.3. bis 11.4., hinzu kommen SQ-Lite Datenbanken wie call_history.db, Property List Dateien, Snapshots usw., das alles sind direkte "Handyverhalten"-Rohdaten. Hinzu kommen noch System-Rohdaten wie FSEvents in unüberschaubarer Menge, die das Nutzungsverhalten quasi im Low Level Bereich abbilden.

Diese Rohdaten sind idR logisch miteinander verknüpft. Zum Beispiel könnte man anhand von Powerlogs feststellen, dass zum Zeitpunkt X die Telefon-App verwendet wurde, aber nicht welche Telefonnummer oder ob es einen Anrufversuch im Funkloch gab, das ist nur in der call_history.db ersichtlich. Selbst wenn ein Teil Rohdaten fehlt oder undokumentiert ist, hat man in den meisten Fällen noch genug dokumentierte Rohdaten und Beschreibungen der Forensiker, um zu unterscheiden, ob etwas vom NFI nicht ausgewertet wurde, ob es nur undokumentiert ist oder tatsächlich (auch auf den DVDs) fehlt.

Im NFI-Bericht sind an allen Tagen zu allen Zeitpunkten wichtige Rohdaten aus o.g. Kategorien dokumentiert. Es gibt also auch Rohdaten-Logs vom 4. bis 11. April = Rohdaten immer anwesend.

#

Primär geht es ja um Powerlogs wie App-Nutzung, Signalstärke und Akkustand. Und um deren komplettes Fehlen am 3. April 11:46 Uhr sowie vom 4. bis 11. April.

Am 3. April 16 Uhr sieht das vereinfacht dargestellt zB so aus:

Line 150 04/03/14 16:00:50 Signalstärke -113 dBm, Bars=1
Line 251 04/03/14 16:00:52 Signalstärke -113 dBm, Bars=1
Line 260 04/03/14 16:02:43 Signalstärke -113 dBm, Bars=1
04/03/14 16:02:43 Akkustand 39.00%; Akku-Temperatur=26.20 C;

Bei allen Signalstärke-Logs wurde eine Zeilennummer davorgesetzt (am 1. April bis zum Notruf im 5.000er Bereich), woraus sich mE die Position in der Powerlog-Datei des jeweiligen Tages ergibt. Am 3. April haben wir also nur ca. 300 Powerlogs auf DVD (am 1. April ~5.000), was bei dreimaliger Nutzung (9:32, 11:46, 15:59) sehr kurze Betriebszeiten widerspiegelt. Die wichtigsten Powerlogs (u.a. App-Nutzung, Signalstärke, Akkustand) sind im NFI-Bericht dokumentiert, selbst wenn diese nur wenige Sekunden auseinanderliegen und denselben Inhalt haben.

Wie wahrscheinlich ist es nach der Erklärung nun, dass das NFI diese wichtigen Powerlogs am 3. April 11:46 Uhr und vom 4. bis 11. April einfach mal komplett schlabbert, diese aber auf DVD vorhanden sind? Eben ..

PhiloSolver schrieb:Oder haben die tatsächlich alle Logs komplett 1:1 ausgedruckt und dem Bericht als Anhang zugefügt ?

Wenn das so wäre und ich nix davon weiß, war das mein letzter Beitrag in diesem Thread. :-)

Mal ein blöde Frage, wenn man bei der Kamera einfach über das Menü das Datum vom 01.04. auf den 08. oder 10.4 umstellt, hätte man das in irgendwelchen Log Dateien erkannt? Oder anders gefragt, viele reden ja von einer Manipulation der Fotodaten, liegen irgendjemand diese Log Dateien der Kamera vor?

Ich dachte mir immer, welcher "Dschungelverbrecher" könnte den Metadaten einer Kamera ändern? Vielleicht habe ich die einfachste Lösung, also einfach Datum im Menü umstellen, gar nicht bedacht.

Marty270472 schrieb:Ich dachte mir immer, welcher "Dschungelverbrecher" könnte den Metadaten einer Kamera ändern? Vielleicht habe ich die einfachste Lösung, also einfach Datum im Menü umstellen, gar nicht bedacht.

Mir ist nicht bekannt, dass eine Kamera ein Verstellen des Datums speichert. Sicher hat eine SX270 einen internen Speicher, in dem Kameraeinstellungen (verschiedene Modi), Uhrzeit, Bildzähler usw. abgespeichert sind, aber diese Daten finden sich dann auch in den EXIF-Daten wieder. Dieser interne Speicher erlaubt es auch bei einigen Kameras, sehr wenige Fotos ohne Speichermedium (SD-Karte) zu speichern.

Aber es macht technisch und fotografisch keinen Sinnen, Einstellungsveränderungen zu speichern.

Ich vermute, man hat nur das Speichermedium der Kamera ausgelesen, weil das am einfachsten ist und die EXIF-Daten alle elementaren Metadaten enthalten. Es ist forensisch sicher möglich, auch den internen Kameraspeicher auszulesen, aber das dürfte sehr aufwendig sein und nur von Spezialisten beherrscht werden.

Objektiv - jenseits aller Spekulationen - gibt es folgende Möglichkeiten:

1. Die Fotos wurden kalendarisch am 8. April gemacht.
a) von Kris und/oder Lisanne
b) von einem Dritten

2. Die Fotos wurden kalendarisch nicht am 8. April gemacht
a) das Datum in der Kamera wurde von Kris oder Lisanne verstellt, evtl. versehentlich, so dass die EXIF den 8. April enthalten
b) das Datum wurde von einem Dritten verstellt, evtl mit Verschleierungs- oder Täuschungsabsichten

Ich neige dazu, dass das Aufnahmedatum von Kris oder Lisanne verstellt wurde. Von ihnen selbst, versehentlich bei dem Versuch, in der Kamera das korrekte Ortsdatum einzustellen, denn die SX270 lief bis Bild #508 mit falschen Datums-/Zeiteinstellungen (MESZ, wenn ich mich nicht irre).

Jedenfalls bin ich davon überzeugt, dass die Fotos nicht erst am 8. April, nach 8 Tagen im Dschungel, gemacht wurden, sondern deutlich früher. Evtl. am 2. April. Und statt 02.04.2014 dann 08.04.2014 gespeichert war. Das würde auch den langen Zeitraum ohne Fotos erklären. Aber belegen lässt sich das ebenso wenig wie eine Manipulation durch Dritte.

Und ich blende die Handy-Daten, die ein eigenes Rätsel sind, dabei aus.

Origines schrieb:Ich neige dazu, dass das Aufnahmedatum von Kris oder Lisanne verstellt wurde. Von ihnen selbst, versehentlich bei dem Versuch, in der Kamera das korrekte Ortsdatum einzustellen, denn die SX270 lief bis Bild #508 mit falschen Datums-/Zeiteinstellungen (MESZ, wenn ich mich nicht irre).

@Origines
Ja, das ist eine gute Frage, die vielleicht von @Doctective oder @Outback beantwortet werden kann. Ist tatsächlich feststellbar, dass die Fotos ab #510 (ggf. dann auch schon ab #509) die "richtige" Uhrzeit (EST) enthielten, während die Fotos bis #508 die falsche Uhrzeit (MEZ +/- 1 Stunde Sommerzeitverschiebung)? Werden dann bei einer Umstellung nicht alle Fotos und damit auch die bis #508 im Nachgang angepasst?

Ich kann mir auch gut vorstellen, dass die Fotos schon früher gemacht wurden und wäre dann auch beim 2./3.4. (, auch wenn ich dafür das vielfach diskutierte Haarfoto als ein Argument heranziehe).

Hier kommen für mich ein paar Fragen auf:
- Warum haben die beiden (oder warum hat eine von beiden) sich dazu entschlossen, an den Einstellungen der Kamera zu hantieren?
- Drohte vielleicht ein Handy durch einen leeren Akku auszufallen (oder war schon eines ausgefallen) und vertrauten(n) sie darauf, dass der Kameraakku länger durchhält?
- Ab wann genau waren noch mal das wessen Handyakku vollständig entladen?
- Passt dazu, dass auf einem Handy die Uhr-App und dort Uhrzeiten (u.a. von San José?) nachgesehen wurde?
- Wann war das nochmal genau?
- Wem gehörte die Kamera eigentlich? Und damit zusammenhängend:
- Wäre ggf. eine Verbindung zwischen der Person, deren Handy leer war und die die Kamera bediente, herstellbar?
- Oder war es vielleicht genau andersherum: Verstellte die Person, deren Handy (noch) ging (und die Zugriff auf die Uhr-App hatte), die Kamera und verstellte dabei versehentlich auch das Datum?

PhiloSolver schrieb am 20.02.2025:Etscheidend ist das, was K+L *glaubten* mit dem Blitz erreichen zu können. Und da liegt es schon nahe, dass sie (womöglich bereits in verzweifeltem Zustand) zumindest die Hoffnung hegten, das einer von den 100 Blitzen gesehen wird.

Diebold schrieb am 21.02.2025:Ich könnte mir vorstellen, dass bei dem Hin- und Zurückkopieren der Dateien ja so etwas genauso "leicht" passieren kann wie ein Foto "plötzlich" verschwindet...

Faktor12 schrieb am 21.02.2025:Das das fehlende Bild dazwischen liegt könnte aber auch ein Hinweis auf einen "Fehler" beim Umkopieren sein...

Hab ich auch schon überlegt, ob bei der ganzen Huddelei da was schiefgelaufen sein könnte – oder es mit dem fehlenden Bild zusammenhängt.

Diebold schrieb:Hier kommen für mich ein paar Fragen auf:
- Warum haben die beiden (oder warum hat eine von beiden) sich dazu entschlossen, an den Einstellungen der Kamera zu hantieren?
- Drohte vielleicht ein Handy durch einen leeren Akku auszufallen (oder war schon eines ausgefallen) und vertrauten(n) sie darauf, dass der Kameraakku länger durchhält?
- Ab wann genau waren noch mal das wessen Handyakku vollständig entladen?
- Passt dazu, dass auf einem Handy die Uhr-App und dort Uhrzeiten (u.a. von San José?) nachgesehen wurde?
- Wann war das nochmal genau?
- Wem gehörte die Kamera eigentlich? Und damit zusammenhängend:
- Wäre ggf. eine Verbindung zwischen der Person, deren Handy leer war und die die Kamera bediente, herstellbar?
- Oder war es vielleicht genau andersherum: Verstellte die Person, deren Handy (noch) ging (und die Zugriff auf die Uhr-App hatte), die Kamera und verstellte dabei versehentlich auch das Datum?

Vielleicht ist es viel einfacher. Nach ein paar Tagen im Wald muss keine Aktion der beiden mehr irgendeinen logischen Sinn mehr gemacht haben.

Man müsste jetzt wissen, ob die Uhr der Kamera noch lief - d.h. zumindest die Knopfzelle, die die Uhr weiterlaufen lässt während kein Akku eingelegt (oder dieser leer) ist noch nicht leer war, die Systemzeit der Kamera entspr. noch auslesbar war und ob das auch gemacht wurde.

Weil, dass L&K die Uhr dann nach dem letzten Nachtbild, wieder zurück auf das richtige Datum (bloß 2013) gestellt haben kann man wohl ausschließen.

Outback schrieb am 22.08.2024:Lt. Anleitung eine wiederaufladbare Uhrenbatterie (Knopfzelle), wie ne LIR1220 (500 Zyklen).

Das sollte eigentlich jahrelang funktionieren, aber die Kamera kann natürlich u.a. durch Feuchtigkeit elektrisch funktionsuntüchtig geworden sein.

@Doctective @Outback Ist dazu irgendwas in den Akten?

Aber ganz generell:

Diebold schrieb:- Warum haben die beiden (oder warum hat eine von beiden) sich dazu entschlossen, an den Einstellungen der Kamera zu hantieren?

Ja das hätte schon ein bewusster Entschluss sein müssen. In das Unter-Unter-Menü zum Einstellen von Datum und Uhrzeit Gerät man nicht zufällig und noch weniger verstellt man dann da zufällig irgendetwas. Das erfordert noch mehr Einzelaktionen als das Löschen eines Bildes (und da halte ich es schon für so gut wie unmöglich das versehentlich zu machen).

Also Absicht. Und dann stellt man nur den Tag ein paar Tage vor. Weil das das einzige ist, was nicht direkt erkennbar ist (bei Jahr und Monat müsste man ja nicht darüber diskutieren). Auch können sie ja die falsche Uhrzeit (MEZ) nicht korrigiert haben, da es ja unzweifelhaft stockdunkel auf allen Bildern ist, die Bilder lt. EXIF-Uhrzeit aber alle mind gut eine Stunde nach Sonnenaufgang (ca. 6:30) entstanden sind.

Das ist nun das was ich "Wunschdenken" nenne. Das ganze passt nicht (der Meinung bin ich auch), also müssen K&L eine völlig sinnlose Aktion vorgenommen haben, die aber eine bewusste Entscheidung genau das zu tun erfordert, aber ganz zufällig die eine, die nicht sofort nachweisbar ist? Während sie das was evtl. noch einen gewissen Sinn gemacht hätte, nämlich die Uhrzeit zu korrigieren bzw. auf Panama-Zeit umzustellen offensichtlich nicht gemacht haben.

Dass jmd. anders dieselbe Einstellung vorgenommen hat, wo der Sinn ziemlich offensichtlich wäre, nämlich ein längeres Überleben und damit ein Lost-Szenario vorzutäuschen ist aber völlig ausgeschlossen?

Diebold schrieb:- Drohte vielleicht ein Handy durch einen leeren Akku auszufallen (oder war schon eines ausgefallen) und vertrauten(n) sie darauf, dass der Kameraakku länger durchhält?

Welchen Sinn hat es dann den Tag und nur den Tag zu verstellen?

Ach noch dazu:

Marty270472 schrieb:Mal ein blöde Frage, wenn man bei der Kamera einfach über das Menü das Datum vom 01.04. auf den 08. oder 10.4 umstellt, hätte man das in irgendwelchen Log Dateien erkannt? Oder anders gefragt, viele reden ja von einer Manipulation der Fotodaten, liegen irgendjemand diese Log Dateien der Kamera vor?

Also auf den 10.4. ja nun sicher nicht. Die letzten Bilder stammen aus den ersten Stunden des 8.4.

Origines schrieb:Mir ist nicht bekannt, dass eine Kamera ein Verstellen des Datums speichert.

Mir auch nicht. So eine Kamera ist kein "Smart-Device" mit einem "ausgewachsenen" (meist Unix/Linux-ähnlichem bzw. abgeleiteten) Betriebssystem. Smart-Devices wie PCs loggen alles mögliche.
Bei so einer Kamera ist mir nicht bekannt und ich glaube auch nicht, dass die irgendwelche Log-Dateien anlegt.

Das einzige was man natürlich erkennen würde, wenn man die Zeit soweit zurückstellt, dass Bild N scheinbar vor Bild N-1 aufgenommen worden wäre (oder Bilder scheinbar aus der Zukunft stammen).

Also das k&L nach dem letzten Foto mit Kris, das Datum an der Kamera geändert haben, ist wohl auch eher unwahrscheinlich, sie hatten da sicher andere Probleme. Also spräche dann doch vieles dafür daß es andere waren. Das ganze würde meine Sicht auf den Fall dann doch sehr verändern, bisher war ich eher von einem Unfall überzeugt. Wenn natürlich jemand anderes das Datum geändert hat, dann tendiere ich auch zu FP.

cyclic schrieb:Ja das hätte schon ein bewusster Entschluss sein müssen.

Datum verändern ja. Aber beim Ändern einen Fehler machen, also nicht das Datum einstellen, das beabsichtigt war, wäre nochmals eine eigene Kategorie.

cyclic schrieb:Das ist nun das was ich "Wunschdenken" nenne. Das ganze passt nicht (der Meinung bin ich auch), also müssen K&L eine völlig sinnlose Aktion vorgenommen haben, die aber eine bewusste Entscheidung genau das zu tun erfordert, aber ganz zufällig die eine, die nicht sofort nachweisbar ist?

"Wunschdenken" trifft für mich aber auch auf eine Manipulation durch Dritte zu. Die müssten auch eine bewusste Entscheidung getroffen haben. Nämlich die Fotos kalendarisch am 8. April ("zeitgemäß") zu machen - oder die Datums-Einstellungen der Kamera so zu ändern, dass der 8. April als Aufnahmetag in den Metadaten gespeichert wird.

Origines schrieb am 23.02.2025:Beweisen lässt sich kein Szenario. Auch keine Fremdeinwirkung oder Anwesenheit eines Dritten. Noch nicht mal der Tag der Aufnahmen ist zwingend der 8. April. Tatsache ist nur, dass die öffentlich zugänglichen EXIF-Dateien der Fotos dieses Aufnahmedatum anzeigen.

Nehmen wir Fremdeinwirkung an - wie auch bei der Handy-Bedienung - dann fehlt mir die Synchronisation beider Geräte, die sich bei einer Inszenierung eines "Lost-Szenarios" doch aufdrängen würde (z.B. Inszenierung von verzweifeltem Blitzen, um Aufmerksamkeit zu erregen nebst gleichzeitiger intensiver Handy-Nutzung (Notrufe usw.). Alles immer unter der Prämisse, dass der/die Täter davon ausgehen, die Geräte und ihre Datenträger würden gefunden und ausgewertet werden können. Mir erschließt sich der Sinn nicht.

Hätte ein Dritter dergleichen einfach unterlassen, würde sich heute niemand für den Fall interessieren. Ich halte eine solche Manipulation auch ziemlich einzigartig in der mir bekannten Kriminalgeschichte. Und dann eben noch eine technisch so Rätselhafte. Denn warum der 8. April? Die Haare?

Der Sack lässt sich auch da nicht zumachen und wir sind wieder im Nebel der subjektiven Wahrscheinlichkeitsbewertungen.

cyclic schrieb:Dass jmd. anders dieselbe Einstellung vorgenommen hat, wo der Sinn ziemlich offensichtlich wäre, nämlich ein längeres Überleben und damit ein Lost-Szenario vorzutäuschen ist aber völlig ausgeschlossen?

Nein, nicht völlig ausgeschlossen. Wie eben auch nicht die Veränderung der Datumsangaben selbst. Oder ein technischer oder menschlich verursachter Fehler bei einer der Übertragungen der Daten.

Ansonsten zur Sinnhaftigkeit aus Sicht eines böswilligen Dritten: Würde sich die mit einem mir halbwegs nachvollziehbaren gedachten Tatplan decken, wäre ich natürlich viel eher bei Dir. Aber da fehlt mir entweder die (kriminelle) Phantasie oder eben die Nachvollziehbarkeit. Die Vertreter einer Foul-These können ja auch unter Annahme einiger Prämissen kein (seriöses) eingängiges Szenario anbieten "was, wann, wo, wie". Es bleibt ja auch nur eine recht grobe Vermutung, dass nur Fremdeinwirkungen die Datenfragmente und einige andere Phänomene erklären können.

Mir als Nicht-Techniker erschließt sich noch nicht mal das. Als Kriminalist würde ich mich immer fragen: Was war der Plan? Warum hat der Täter genau so gehandelt? Welche Ziele hat er verfolgt? Und ist das (aus seiner Sicht) plausibel? Irrte er? Ging was schief? Und so lange ich da keine Erkenntnisse habe, die ich mit den Daten verknüpfen könnte, so lange tappe ich im Dunklen.

Marty270472 schrieb:Wenn natürlich jemand anderes das Datum geändert hat, dann tendiere ich auch zu FP.

Nur damit da keine Missverständnisse aufkommen: dafür, dass an Uhrzeit-/Datumseinstellung der Kamera jemals irgendetwas geändert wurde, gibt es keine direkten Hinweise. Das kam hier nur aus dem einen Grund auf, dass die Haare auf Bild #580, für manchen User, doch überraschend frisch aussehen, für knapp sieben Tage im Dschungel, während es regnet.

Wenn die Zeiten geändert wurden dann mE von dritten, entweder an der Kamera direkt, bevor die Fotos gemacht wurden, oder nachträglich am Rechner - auch kein Problem. (In dem Fall wäre ich auch nicht überzeugt, dass das Kris' Haare auf dem Bild sind und das Datum wäre vermutlich deshalb eine Woche nach dem Verschwinden gewählt worden, um ein längeres Überleben vorzutäuschen)

Wenn die Nachtfotos inkl. Haarbild #580 doch von K&L selbst gemacht wurden, dann mE am 8.4. kurz nach Mitternacht, genau wie die EXIF-Daten nahelegen. Alle Ideen bzgl. Verstellen des Datums durch K&L selbst, würde ich aus genannten Gründen ausschließen und dann doch eher noch in Betracht ziehen, dass die Haare nach einer Woche doch so aussahen, obwohl ich das durchaus ziemlich merkwürdig finde.

Marty270472 schrieb:Das ganze würde meine Sicht auf den Fall dann doch sehr verändern, bisher war ich eher von einem Unfall überzeugt.

Bei diesem einen Punkt, kommt es dann wohl darauf an, ob du das Aussehen der Haare plausibel oder unplausibel findest bzw. wie unplausibel.

Ich würde das für mich unplausible Aussehen der Haare ja unter Zufall (sozusagen "Messfehler") verbuchen, wenn mir alles andere ganz überwiegend rund erschiene. Tut es aber ganz und gar nicht. Oder anders gesagt: den einen ultimativen Beweis für dieses oder jenes Szenario wird man wahrscheinlich nicht finden (jedenfalls nicht vom Rechner aus).