Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

danke für den Tipp, jetzt geht`s mir besser :)

Krass, dass es schon wieder ein Jahr her ist…
Frage mich ja, ob nach der Verjährungsfrist neue Erkenntnisse zum Vorschein kommen werden.

peripeteia. schrieb:Frage mich ja, ob nach der Verjährungsfrist neue Erkenntnisse zum Vorschein kommen werden.

Da bin ich mir ganz sicher. Wir wissen schon jetzt, dass es einige Leute in Boquete geben muss, die mehr wissen, aber nicht reden wollen. in 9 Jahren sieht das anders aus. Dann hat keiner mehr etwas zu befürchten.

Doctective schrieb:Inzwischen ist unsere 2. überarbeitete Auflage von "Verschollen in Panama" draußen.

Danke für die Infos.
Wird es in der Zukunft vielleicht auch einen Teil 2 geben?

Anthurium schrieb:Danke für die Infos.
Wird es in der Zukunft vielleicht auch einen Teil 2 geben?

Die englische second edition kommt noch in den nächsten Tagen. Ob es einen zweiten Teil gibt, hängt davon ab, ob wir noch Mal nach Panama reisen können. Dafür brauchen wir ein Team. Auch da sind wir in Gesprächen, von denen das dann abhängt.

Offshore7 schrieb:Das Betriebssystem der Kamera DryOS könnte man evtl. schon als abgespeckte Unix-Alternative bezeichnen. Einen "built in crash log" gibt es ja offenbar:

Hinweise darauf, dass das Linux-basiert wäre sehe ich nicht im Gegenteil (Linux ist bzw. war von Hause aus nicht echtzeitfähig heise de). Aber Crash-Log ist ja immerhin schonmal etwas, denn der Fall, der vereinzelt beschrieben wurde, dass die Kamera zwar den Bildzähler inkrementiert, aber kein Bild abgelegt hat, sollte nach meinem Verständnis auf jeden Fall zu einem entspr. Log-Eintrag führen. Und damit verstehe ich dann auch das:

Offshore7 schrieb:Zumindest eine Fehlfunktion schließt die Firma Canon lt. Akte ja quasi aus.

Und würde die Erklärung daher ebenfalls ausschließen, wobei ich noch nicht ganz verstanden habe, wo diese Logs abgespeichert werden (nicht auf der gerade eingelegten Speicherkarte sondern auf einem internen Speicher hoffe ich).

Löschen direkt in der Kamera durch K&L oder sonstwen könnte man eigentlich ausschließen, weil die Sektoren von 508 und 509 aneinander angrenzen (aber s.u.)

Dann bleibt einzig, dass die Bilder von der Karte kopiert wurden, die Karte formatiert wurde (oder gleich eine neue benutzt wurde?) und alle Bilder bis auf das fehlende (in der korrekten Reihenfolge) wieder draufkopiert wurden. Wobei noch Thumbnails mitkopiert, dann aber wieder gelöscht wurden.

Soweit richtig? Noch was vergessen?

Ich würde allerdings annehmen, dass Bilder die bearbeitet werden (Aufhellen/Kontrastverstärkung) und neu abgespeichert werden sich stark in der Größe ändern; die würden also niemals wieder dieselben Speicherbereiche belegen. Wenn die Analysen der SD-Karte nur in NL auf den von den panamaischen Ermittlern bereits bearbeiteten Bildern gemacht wurden, müssen die Panamaer die Karte formatiert haben und dann auch Thumbnails gelöscht haben. Womit diese Analyse eigentlich weitgehend sinnfrei gewesen wäre.

Darüber ob vorher schon jemand das Bild 509 gelöscht hat - auch ohne Formatierung - kann man dann eigentlich nichts sagen.

K&L würde ich trotzdem weitestgehend ausschließen. warum genau dieses eine Bild? Versehentliches Löschen ist nahezu unmöglich und die beiden dürften recht bald nach Q1 andere Sorgen gehabt haben (sofern der zeitl. Ablauf den allg. Annahmen halbwegs entsprechen sollte).

cyclic schrieb:Hinweise darauf, dass das Linux-basiert wäre sehe ich nicht im Gegenteil (Linux ist bzw. war von Hause aus nicht echtzeitfähig heise de).

Viele Echtzeitbetriebssysteme sind unixoid oder erweitern Linux zu einem RTOS (zB Wind River Linux, RTLinux, QNX), die schon seit 20+ Jahren zB in der Fahrzeug-/Luft- und Raumfahrttechnik Verwendung finden. Denke schon, dass man diese RTOS als abgespeckte Unix/Linux-Alternative bezeichnen kann, die Anfang der 2000er auch in Smart-Devices wie Handys eingesetzt wurden. Natürlich hast du recht, diese liefern nicht ansatzweise mit einem iPhone vergleichbare Logs, wenn überhaupt.

cyclic schrieb:wobei ich noch nicht ganz verstanden habe, wo diese Logs abgespeichert werden (nicht auf der gerade eingelegten Speicherkarte sondern auf einem internen Speicher hoffe ich).

-->

This script saves the cameras built in crash log from internal flash ROM to ROMLOG.LOG in the root of the SD card.

https://chdk.fandom.com/wiki/Lua/Scripts:Standard/Test/Romlog

Wenn das stimmt, muss es einen Crash-Log-Bereich im internen Speicher der Kamera geben. Leider glaube ich nicht, dass Canon das untersucht hat.

cyclic schrieb:Löschen direkt in der Kamera durch K&L oder sonstwen könnte man eigentlich ausschließen, weil die Sektoren von 508 und 509 aneinander angrenzen (aber s.u.)

Hier unter "Test Summary" sieht man genau eine Möglichkeit, wie Bild #509 ohne Computer gelöscht worden sein kann.

Bei der Datei-Nummer Standardeinstellung "Fortlaufend" soll sich die SX270 wie folgt verhalten:
- Bild oder Video #509 wird mit der Kamera gelöscht
- das nächste Bild erhält trotzdem die Datei-Nummer 510
- Bild #510 beginnt im ersten Sektor des gelöschten Bildes oder Videos #509, weshalb dann #508 und #510 Sektor an Sektor liegen

Du könntest es gegenchecken, ich mangels Hardware leider nicht ..

Mag sein, dass Canon den Fehler ausschließt, in der Praxis kommt er vor. In meinen Fällen zwar mit andern Modellen, aber genau in der Form. Beim erstellen des Bildes stürzt die Kamera ab, es kommt eine Fehlermeldung, nach dem ein und ausschalten geht alles wieder, es fehlt aber eine Nummer. Ursache waren bei mir immer Temperaturunterschiede und stürze bzw. Nässe. Ursächlich scheint ein Fehler in der sdkarte zu sein, nicht die Kamera selbst.

Offshore7 schrieb:Wenn das stimmt, muss es einen Crash-Log-Bereich im internen Speicher der Kamera geben. Leider glaube ich nicht, dass Canon das untersucht hat.

Jetzt bin ich verwirrt, wie kann man dann zu dieser Einschätzung kommen?:

Offshore7 schrieb:Zumindest eine Fehlfunktion schließt die Firma Canon lt. Akte ja quasi aus.

Offshore7 schrieb:Hier unter "Test Summary" sieht man genau eine Möglichkeit, wie Bild #509 ohne Computer gelöscht worden sein kann.

Ja stimmt das sollte gehen. Zähler hochgezählt, aber kein Bild geschrieben, also auch kein Speicherbereich belegt und entsprechen fängt dann das nächste Bild (#510) da an wo das letzte (#508) aufgehört hat.
Nur dass die beiden lt. deinem Link nichtmal komplett verunglückte Bilder gelöscht haben und die SD-Karte noch Platz für mehrere Tausend Bilder hatte.

Beim Löschen per Computer ist dann lt. IP aber doch kein Formatieren nötig. Gesamten Ordner löschen und neu anlegen reicht. Da war bei mir davon nur die Hälfte hängengeblieben:

Offshore7 schrieb am 22.02.2025:Es wäre ein Löschen auf einem Computer nötig und zusätzlich das Löschen des ganzen DCIM-Ordners der SD-Karte bzw. ein Formatieren der SD-Karte plus

Aber ich muss das nochmal in Ruhe durchlesen. Das kannte ich noch nicht. Nachstellen kann ich es nötigenfalls auch - wenn ich eine brauchbare Sektorvisualisierung für Linux finde ;-)
Bisher sehe ich aber eigentlich keinen Grund die Ergebnisse anzuzweifeln.

Faktor12 schrieb:Beim erstellen des Bildes stürzt die Kamera ab, es kommt eine Fehlermeldung, nach dem ein und ausschalten geht alles wieder, es fehlt aber eine Nummer.

K+L wären sicher genauso schlau gewesen und hätten weiter fotografiert. Notfalls mit den Handys, die damals auch schon mehr als Full HD konnten. Dennoch reißt die Fotoserie und die Fotografier-Lust abrupt ab und das nächste Lebenszeichen ist ein Notruf 2,5 Stunden später. Die unbeschwerte Wanderung mit Fotodokumentation scheint plötzlich vorbei gewesen zu sein. In dem Zusammenhang ist die Annahme eines vorausgegangenen seltenen Kamera- oder SD-Kartenfehlers durchaus anders zu betrachten.

Aus kriminalistischer Sicht erfolgte zwischen Mirador und Q1 ein möglicher Handlungsbruch. Auf 1800 Metern Höhe und 2 Minuten hinter dem Mirador zu stöbern (bis Foto #506) ist etwas anderes, als ziellos 200 Meter abzusteigen, die man wieder aufsteigen muss. Um 13:38 Uhr sind beide Handys gleichzeitig im Funkloch aktiv, Grund unbekannt. Ein bewusstes Locken oder Zwingen in menschenleeres Gebiet oder ein bewusster Übergriff im Funkloch wäre, besonders für einen ortskundigen Einzeltäter, nicht unplausibel.

cyclic schrieb:Beim Löschen per Computer ist dann lt. IP aber doch kein Formatieren nötig. Gesamten Ordner löschen und neu anlegen reicht

ME kommt es da auf die Belegung und Fragmentierung der SD-Karte an. Nicht in allen Fällen wird man zu dem IP-Ergebnis kommen, was auch immer dieses eigentlich ist.

Wenn alle 470 vorhandenen Fotos + 7 Videos (von 609 lt. Bildzähler) Sektor an Sektor liegen, ist definitiv was faul, denn dann hätte Lisanne in >130 Fällen niemals nachträglich Fotos oder Videos gelöscht. Ein Löschen des DCIM-Ordners oder eine Formatierung und anschließendes Aufspielen der Fotos via Computer würde genau so ein unrealistisches 477-maliges "Sektor an Sektor" Dateibild ergeben. Das fällt auch dem dümmsten Forensiker auf.

Bei den 8 Testbildern von IP funktioniert das zu 99%, wenn man nur die Sektoren der verbleibenden 7 betrachtet, in der Realität des Kopierens von 477 Bildern und Videos nicht, weil es auffällt. Von daher teile ich diese IP-Feststellung ehrlich gesagt nicht. Aus forensischer Sicht kommt mE nur ein Löschen mit der Kamera infrage, weshalb die Behörden bzgl. Bild #509 bei mir raus sind. Falls du anderer Meinung bist oder ich begriffsstutzig, lass uns das gerne diskutieren / testen.

@cyclic
@Offshore7

Weitere Tests wurden von Matt von Imperfect Plan und anderen Reddit-Nutzern durchgeführt, bei denen ein Mikroschalter an der Kamera deaktiviert wurde. Laut Matt ist diese Methode nur Menschen mit technischem Verständnis bekannt; er ist sich zu 100 % sicher, dass die Mädchen nichts von diesem Mikroschalter gewusst haben.

Ich glaube, es ist mir nicht erlaubt, hier einen Link zu Reddit zu setzen. Deshalb werde ich den Link in einer privaten Nachricht an cyclic schicken.

Anthurium schrieb:Weitere Tests wurden von Matt von Imperfect Plan und anderen Reddit-Nutzern durchgeführt, bei denen ein Mikroschalter an der Kamera deaktiviert wurde. Laut Matt ist diese Methode nur Menschen mit technischem Verständnis bekannt; er ist sich zu 100 % sicher, dass die Mädchen nichts von diesem Mikroschalter gewusst haben.

Damit ist gemeint, dass man den Sensor lahmgelegt hat mir den die Kamera erkennt, dass der Deckel zum Akku-/SD-Karten-Einschub offen ist. Wenn der offen ist schaltet sich die Kamera ab. Indem man diesen Sensor deaktiviert (bzw. einen geschlossenen Deckel vorgaukelt), kann man die SD-Karte bei eingeschalteter Kamera entfernen, womit man einen Kontaktfehler simuliert.
Dass K&L (oder sonstwer) diesen Schalter/Sensor manipuliert haben unterstellt niemand. Es geht um mögliche Kontaktfehler durch Feuchtigkeit oder Erschütterungen.

Der Gedanke hier ist, dass bei Entfernung der SD-Karte bzw. andauernden Kontaktproblemen z.B. durch Wasser vor Bild #509 sogar ganz viele Blitzlichtbilder geschossen worden sein könnten (z.B. an früheren Tagen), die dann aber nicht abgespeichert werden konnten. Da wird behauptet, dass dabei nur eine Bildnummer übersprungen würde. Nicht uninteressant, aber ich habe Zweifel. Dass der Kontaktfehler sich dann plötzlich so heilt, dass er bei den nächsten 100 Bildern nie mehr Auftritt erscheint mir eher unwahrscheinlich.

Ob das mit der Bildnummer stimmt werde ich prüfen, falls ich herausfinde, wie ich zerstörungsfrei diesen Deckelsensor lahmlege.

---

@Offshore7

Ich habe gerade wenig Zeit und Muße, kann aber schon demnächst ein paar Versuche machen. Habe kurz gesucht und filefrag und vielleicht ein kleines self-made Skript zur Visualisierung sollte ausreichen.

Prio 1: die Frage die in meinem 2. Post gestern schon wieder vergessen hatte:
Nach meinem Verständnis, und so lese ich das auch bei IP heraus, stammen diese Auswertungen - hier insbesondere bzgl. Sektorbelegungen - sämtlich aus NL. Die Niederländer hatten aber, soweit mir bekannt, niemals die Originalbilder, sondern nur bereits von den Panamaern manipulierte Versionen (aufgehellt, gedreht) - auf der (vermutlich) originalen SD-Karte.

Nun verändert sich eigentlich immer die Dateigröße von Jpeg-Bildern, wenn man sie irgendwie verändert, oder auch nur mit verschiedenen Tools speichert. Hier dürften sie kleiner werden (Aufhellen/Kontrastverstärkung reduziert fast zwangsweise die Bildinformation weil zumindest ganz helle / ganz dunkle Farben zu komplett weiß bzw. schwarz zusammenfallen). Nun gibt es theoretisch zwei Möglichkeiten, wenn man direkt auf der SD-Karte arbeitet (ohne Umkopieren z.B. auf die Harddisk eines Rechners):

1. Das Bild wird in denselben Bereich geschrieben - d.h. beginnt beim selben Sektor, lässt dann aber hinten eine Lücke, da das File kleiner geworden ist. Bilddateien würden also nicht mehr direkt aneinandergrenzende Sektoren belegen
2. Das Bild wird in einen freien Bereich geschrieben. Der alte Bereich "verfällt". Dann würden ggf. Sektoren wieder aneinander angrenzen, jedoch hätten die Niederländer die gelöschten Ursprungsdateien gefunden (wie sie ja offenbar auch die gelöschten Thumbnails gefunden haben). Und das würde auch nur funktionieren, wenn man die Bilder genau in der richtigen Reihenfolge bearbeitet hätte

Den Fall kompletter Fragmentierung lasse ich mal weg, das wäre ja auch sofort aufgefallen.

Und das bedeutet doch, dass die Panamaer, so nicht gearbeitet haben können. Sie müssen mE die Bilder runterkopiert, bearbeitet, den Originalordner gelöscht, oder die ganze Karte formatiert haben und dann die veränderten Bilder wieder draufkopiert haben.

Oder übersehe ich was?

Wenn nicht, dann ist die ganze Analyse in dem Punkt doch ein Fall für "unter ständigem Rühren in den Ausguss". Allerdings scheint man sich bei IP nicht sicher zu sein, wann und von wem die Bilder manipuliert wurden, was dann der einzige Strohhalm wäre, der rechtfertigen würde, sich damit überhaupt zu beschäftigen.

Aber genau den Punkt würde ich als erstes mal testen: Wie sehen Speicherblöcke aus, wenn man direkt auf der SD-Karte arbeitet?

Danach kann man ggf. weitersehen...

Zur ersten Fragestellung - Kontaktproblemsimulation habe ich gleich mal geschaut:

Kleine Nebenerkenntnis: ich hatte den Akku aufgeladen und eine Woche im Ladegerät vergessen. Nach dem Wiedereinlegen und Anschalten, hat die Kamera Datum und Uhrzeit vergessen. D.h. bei meiner hält die Knopfzelle nichtmal für eine Woche (das Alter der Kamera hilft da sicherlich nicht).
Das Datum steht dann beim Einstellen zunächst auf dem 1.1.2013. Das erklärt evtl. das falsche Jahr, vor allem wenn die Kamera schon etwas früher im Jahr gekauft wurde, kann man schonmal übersehen, dass schon 2014 ist.

Der Mikroschalter ist nicht ganz leicht zu sehen, lässt sich aber mit einem dünnen Gegenstand problemlos drücken, wodurch man die Kamera bei offenem Deckel einschalten kann. Dann nicht nur den Auslöser zu drücken, sondern auch noch die SD-Karte raus- und wieder reinzustecken erfordert etwas Fingerakrobatik.

Ergebnis: sobald man die Karte rauszieht schaltet sich die Kamera aus, dann kann man sie wieder einschalten, beim wieder Reinstecken der Karte schaltet sie sich aber wieder aus. Also extra Ausschalten zur Fehlerbehebung ist unnötig, das macht sie selbst.

Fotos die ohne eingelegte Karte gemacht werden, inkrementieren nicht den Bildzähler (obwohl der in der Standardeinstellung in der Kamera und nicht auf der Speicherkarte abgelegt ist).

Der Bildzähler bleibt übrigens auch erhalten, wenn kein Akku eingelegt oder leer ist und die Knopfzelle bebenfalls leer ist (was Datum/Uhrzeit resettet).

Keine Ahnung, jetzt müsste man wahrscheinlich teilweise Kontaktprobleme an einzelnen Kontakten simulieren und/oder versuchen das genau im Moment eines Fotos zu erreichen. Weiß noch nicht wie das gehen soll. Schwierig...

cyclic schrieb:Und das bedeutet doch, dass die Panamaer, so nicht gearbeitet haben können. Sie müssen mE die Bilder runterkopiert, bearbeitet, den Originalordner gelöscht, oder die ganze Karte formatiert haben und dann die veränderten Bilder wieder draufkopiert haben.

cyclic schrieb:Wie sehen Speicherblöcke aus, wenn man direkt auf der SD-Karte arbeitet?

Dazu gibt es reproduzierbare neue Erkenntnisse .. die ich vllt. später mal näher erkläre:



Sehr wahrscheinlich haben die panamaischen Ermittler am 17. Juni nix weiter gemacht (trotzdem unprofessionell), als sich die Fotos auf der SD-Karte mit dem Windows Photo Viewer anzuschauen und ein paar Fotos zu drehen. Kein Hin- und Her-Kopieren mit dem Computer, kein Aufhellen, kein Zuschneiden, kein Abspeichern von gedrehten Fotos sowie kein Löschen von Fotos und Thumbnails und Foto #509.

Offshore7 schrieb:Dazu gibt es reproduzierbare neue Erkenntnisse .. die ich vllt. später mal näher erkläre:

Bin gespannt.

Offshore7 schrieb:Sehr wahrscheinlich haben die panamaischen Ermittler am 17. Juni nix weiter gemacht (trotzdem unprofessionell), als sich die Fotos auf der SD-Karte mit dem Windows Photo Viewer anzuschauen und ein paar Fotos zu drehen. Kein Hin- und Her-Kopieren mit dem Computer, kein Aufhellen, kein Zuschneiden,

Ok, macht schon irgendwie Sinn. So unprofessionell wie in der bisherigen Darstellung, wäre schon nicht mehr grob fahrlässig, sondern aktive Sabotage. Gehörte halt viele Jahre zur Fall-Folklore.

Offshore7 schrieb:kein Abspeichern von gedrehten Fotos sowie kein Löschen von Fotos und Thumbnails und Foto #509.

Aber wenn ich deine Tabelle richtig lese, hat der benutzte Viewer trotzdem Originale gelöscht und stattdessen die gedrehten Kopien abgespeichert (wodurch sie in neuen Speicherbereichen abgelegt wurden)?

Bild #508 ist im Querformat also nicht gedreht, #510 ist nicht öffentlich, muss demnach aber auch ungedreht und daher im Querformat sein.

Vielleicht kurz für alle anderen, weil das evtl. eine Rolle spielen könnte:
Bilder können auf unterschiedliche Art gedreht werden. Entweder man ändert quasi die Reihenfolge der Pixel ("physikalisch"), oder durch Setzen eines entspr. EXIF-Werts, der angibt wie das Bild bei der Darstellung zu drehen ist ("virtuell").

Letzteres macht die Kamera. Sie speichert die Pixel immer so wie sie auf den Sensor fallen. Links oben ist dort wo auch bei der Kamera links oben ist im normalen Querformat. Dreht man die Kamera weit genug nach rechts oder links ins Hochformat, wird eben ein EXIF-Drehwert von 90° oder 270° abgelegt (wenn man die Kamera kopfüber hält wird übrigens nicht, wie man annehmen könnte, ein 180°-Wert abgelegt, sondern gar keiner)

Viele Bild-Viewer und Bearbeitungsprogramme drehen die Bilder dann beim Abspeichern stattdessen lieber "pyhsikslisch" und entfernen den EXIF-Tag entsprechend (je nachdem mit oder evtl. auch ohne explizite User-Zustimmung).

Was ich noch nicht ganz verstanden habe ist die Sache mit den (gelöschten) Thumbnails. Du nimmst an, dass es sich nicht um eigenständige Dateien handelt, sondern um die Thumbnails, die in den EXIF-Metadaten enthalten sein können? Und daher beim Drehen der originalen Dateien gelöscht wurden? Das kann aber ein IT-Forensiker schwerlich übersehen/verwechseln.

cyclic schrieb:Aber wenn ich deine Tabelle richtig lese, hat der benutzte Viewer trotzdem Originale gelöscht und stattdessen die gedrehten Kopien abgespeichert (wodurch sie in neuen Speicherbereichen abgelegt wurden)?

Ja, ohne Wissen des Users und im Explorer nicht ersichtlich, auch dann nicht, wenn man versteckte Dateien anzeigt. Versehen mit dem Dateinamen zB IMG_505.JPG~RF17df08.TMP, was ein "recover file" Name sein dürfte. Beim normalen Löschen im Explorer wird dieser RF-Teil nicht angehängt.

Das neu gespeicherte gedrehte Bild zB IMG_505.JPG erhält den Originaldateinamen und landet im Unallocated Space. Der in der Grafik angegebene Speicherplatz Ende Foto 609 + 1 Sektor ist nur exemplarisch, wahrscheinlicher wäre wohl Ende 176 + 1 oder Ende 297 + 1, falls 177 oder 298 zuvor gedreht wurden. Da die Nachtfotos von der Dateigröße extrem klein sind, weil alles schwarz (auch Wiesen- oder Himmelfotos sind kleiner), dürften 4-5 gedrehte Nachtfotos in die Cluster eines gedrehten Tag-Fotos passen. Also hierarchisch in DCIM__04, aber sektor- bzw. besser clustermäßig womöglich im älteren DCIM_03 Speicherbereich.

Getestet mit Win 7 in ner VM und dem damaligen Windows Photo Viewer, der ja auch in den EXIF-Daten des Fotos #505 auftaucht.

cyclic schrieb:Was ich noch nicht ganz verstanden habe ist die Sache mit den (gelöschten) Thumbnails. Du nimmst an, dass es sich nicht um eigenständige Dateien handelt, sondern um die Thumbnails, die in den EXIF-Metadaten enthalten sein können? Und daher beim Drehen der originalen Dateien gelöscht wurden? Das kann aber ein IT-Forensiker schwerlich übersehen/verwechseln.

Das von den Forensikern verwendete Tool PhotoRec spuckt nur die wiederhergestellten Fotos aus. Offenbar sind die ~2 KB großen EXIF-Thumbnails nicht iwie verschlüsselt, sodass diese quasi auf Binärebene als eigenständige Fotos erkannt werden. Würde es sich um echte eigenständige Thumbnails einer Software handeln, die bewusst gelöscht wurden, wären sie alle wiederherstellbar gewesen oder alle von einem einzigen gedrehten 5 MB Foto überschrieben worden. Zudem behauptet der Forensiker, dass die Canon diese Thumbnails produziert hat (womit er dann auf eine andere Art auch recht hätte).

In dem Zusammenhang würde mich interessieren, ob die SX270 bei jedem Foto ein EXIF-Thumb speichert oder nur bei / nach Betrachtung auf dem Kamera-Display?

Testen kannste das mit [ exiftool -a -b -W FOLDERNAME/%f_%t%-c.%s -preview:all FILENAME ] wobei FOLDERNAME der Ort ist, wo das extrahierte Thumbnail landet.

Wird wieder sehr technisch hier. :-) Vllt. verlagern wir das in deinen Blog?

Offshore7 schrieb:Dazu gibt es reproduzierbare neue Erkenntnisse .. die ich vllt. später mal näher erkläre:

Gibt diese Tabelle einen Ausschnitt der SD-Karte aus der original Kamera wieder? Dass kein Sektorensprung zwischen Bild 508 und 510 vorliegt, deutet doch dann stark darauf hin, dass das ominöse Foto 509 nie existiert hat, oder sehe ich das falsch?

Imperfectplan hat ja eine genaue Analyse dazu welche löschvsrianten möglich waren. Aber weiß nicht genau wie aktuell das ganze ist oder ob es da neue Erkenntnisse gibt.

Phisch schrieb:Gibt diese Tabelle einen Ausschnitt der SD-Karte aus der original Kamera wieder?

Ja, mein Test in einer VM mit damaliger Software basiert auf der Tabelle und den Originaldaten bei Imperfect Plan:

Picture 4 (above): Sectors on the original SD card as found by forensics. Comment by forensics.

https://imperfectplan.com/2021/04/06/kris-kremers-lisanne-froon-missing-photo-509-testing-canon-powershot-sx270-hs/

Es ging darum festzustellen, wie diese Datenlage zustande gekommen ist. IP kann es nicht erklären, aber eingrenzen und vermutet den Einsatz von Apple-Software. Lt. meinem Test veranstaltet jedoch der Microsoft Windows Photo Viewer 6.1.7600.16385 das ganze Chaos auf der SD-Karte, zusätzlich ist das forensische Aufspüren von Miniaturbildern erklärt.

Die Kamera hat einen inkrementierenden Bildzähler. Wenn Bild #509 vor Erstellung des Bildes #510 via Kamera gelöscht wird, dann ändert das in der Standard-Einstellung nix am Bildzähler, weshalb das nächste aufgenommene Bild die Nummer #510 bekommt und mit Bild #508 "Sektor an Sektor" liegt, weil es direkt in die frei gewordenen Sektoren / Cluster des gelöschten Bildes #509 geschrieben wird.

Wenn nicht ein Täter die SD-Karte inkl. aller Meta-/Exif-Daten (zB Creation Timestamps des DCIM-Ordners) manipuliert hat, dann erklärt sich das fehlende Bild #509 sehr wahrscheinlich nicht durch versehentliches Handeln der panamaischen Ermittler am Computer, sondern durch Bedienung der SX270 seitens K+L oder Dritten, BEVOR die Nachtfotos aufgenommen wurden.

Abstrakt betrachtet fällt einem Lost-/Unfallszenario dadurch eine Variante weg.

Offshore7 schrieb:sondern durch Bedienung der SX270 seitens K+L oder Dritten, BEVOR die Nachtfotos aufgenommen wurden.

Es wäre also ein einziges Bild sein, nicht mehrere?