Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Offshore7 schrieb:Abstrakt betrachtet fällt einem Lost-/Unfallszenario dadurch eine Variante weg.

Darf ich konkret fragen warum? 😉

Anthurium schrieb:Es wäre also ein einziges Bild sein, nicht mehrere?

Genau. Oder ein Video bis ~100 MB (geschätzt 1 Minute) = 100 Nachtfotos.

Ein gelöschtes Video ist gar nicht mal so unrealistisch:

Da könnten Geräusche / Schreie / Stimmen eines Dritten oder von K+L drauf gewesen sein, die etwas zum Geschehen abseits der Videobilder verraten.

Falls ein Dritter die Nachtfoto-Serie machte: Als professioneller Nichtkenner :-) der Kamera halte ich es für denkbar, dass man im Dunklen, bei richtiger Wahlrad-Einstellung (nicht Video) aber falscher Kamerahaltung, versehentlich die "Movie-Taste" drückt.

Falls Lisanne mit der Kamera in der Hand hinfiel, könnte auch sie versehentlich die "Movie-Taste" gedrückt haben, beim Versuch die Kamera festzuhalten. Video gelöscht, Kamera weggepackt, wäre nach einem eher harmlosen Sturz plausibel.

Und aus eigener Erfahrung: Misslungene oder versehentlich ausgelöste Fotos lösche ich nie sofort, ungewollte / versehentliche Videos dagegen immer. Ist so ne Macke aus Zeiten wo Speicher knapp war. Nur weil Lisanne misslungene Mirador-Fotos nachweislich nicht löschte, heißt das nicht, dass sie bei einem Video ebenso gehandelt hätte.

ringelnatz schrieb:Darf ich konkret fragen warum? 😉

Wenn das wahrscheinliche forensische Ergebnis wäre, dass die Behörden den Zustand der SD-Karte und das fehlende Bild #509 zu verantworten haben, dann fiele dieses mögliche FP-Indiz weg. Vice versa gilt das genauso: Ein Lost / Unfallszenario kann bei Betrachtung dieses einen Indizes nicht mit Behördenschlamperei erklärt werden, weshalb eine Erklärungsvariante wegfällt.

ringelnatz schrieb:Darf ich konkret fragen warum?

Das hatte ich mich auch schon gefragt.

Offshore7 schrieb:Wenn nicht ein Täter die SD-Karte inkl. aller Meta-/Exif-Daten (zB Creation Timestamps des DCIM-Ordners) manipuliert hat, dann erklärt sich das fehlende Bild #509 sehr wahrscheinlich nicht durch versehentliches Handeln der panamaischen Ermittler am Computer, sondern durch Bedienung der SX270 seitens K+L oder Dritten, BEVOR die Nachtfotos aufgenommen wurden.

Ich "übersetze" das so:

Am wahrscheinlichsten ist es, dass das Bild #509 in der Kamera gelöscht wurde, bevor die Bilder #510 ff. aufgenommen worden sind. Also nicht im Verarbeitungsprozess nach dem Auffinden der Kamera und dem Auslesen der SD-Karte.

Damit würde die Möglichkeit wegfallen, das Löschen des Bildes #509 sei kein Mysterium, sondern ein schlichter technischer Fehler (pro Lost-Argument).

Gelöscht haben können es nur diejenigen, die die Kamera vor den Nachtfotos benutzt haben. Dabei wird - so mein Verständnis - ein versehentliches Löschen durch K+L ausgeschlossen, weil dafür 4 Schritte notwendig wären. Ein absichtliches Löschen erscheint nicht plausibel, weil dafür kein Grund ersichtlich ist. K+L haben keine anderen Fotos gelöscht. Nur dieses. Warum?

Und da kommt Foul-Play ins Spiel. Fremdeinwirkung.

Mir drängt sich das jetzt als Argument pro oder contra gar nicht auf. Et is wie et is.

Nur der große konzertierte Manipulationsangriff auf die Datenbasis von Handy und Kamera wird dadurch zumindest nicht wahrscheinlicher.

Rätselhaft bleibt es aber weiterhin.

Es ist unlogisch, als Wenigfotografierer ein einzelnes Bild vor Ort ( im Dschungel) zu löschen. Wie auch Outback schreibt macht es eher Sinn ein Video zu löschen, um Speicherplatz freizumachen. Ist es nicht eher üblich, draufzuhalten und dann zu Hause auszusortieren? Oft sind die scheinbar `misslungenen` Fotos nachher die Besten. Ist es nicht sehbar, wie gross die Dateigrösse des gelöschten Bildes/ Videos N° 509 war? Waren mehrere Videos auf der Cam oder nur Fotos? Speichert Lisannes Cam Videos nach den Fotos oder nach Reihenfolge der Aufnahme Fotos und Videos zusammen - wie z.B. bei der Nikon Coolpix? Ist es das einzige von allen in Panama gemachten Fotos, das gelöscht wurde? Wie war das Fotografierverhalten zuvor? Ausser bei der Seesternserie wurde mE recht sparsam geknipst, die Fotos ähneln sich oft, sind so gestellt, nicht typisch für Mädels in dem Alter.

Offshore7 schrieb:In dem Zusammenhang würde mich interessieren, ob die SX270 bei jedem Foto ein EXIF-Thumb speichert oder nur bei / nach Betrachtung auf dem Kamera-Display?

Rein logisch sollte die Kamera die Datei nicht nachträglich größer werden lassen, wenn man irgendwann mal in den Bildbetrachtungsmodus geht, weil das ratz-fatz die Karte fragmentiert. aber ich habe es gerade getestet. Neue Bilder gemacht, direkt danach die SD-Karte entnommen und am Rechner ausgelesen: und ja Thumbnail und Preview sind vorhanden.

Offshore7 schrieb:Testen kannste das mit [ exiftool -a -b -W FOLDERNAME/%f_%t%-c.%s -preview:all FILENAME ] wobei FOLDERNAME der Ort ist, wo das extrahierte Thumbnail landet.

Danke, hatte ich früher schonmal gemacht, hätte jetzt aber erst wieder das genaue Cmd dafür suchen müssen.

Offshore7 schrieb:Wird wieder sehr technisch hier. :-) Vllt. verlagern wir das in deinen Blog?

Solange wir (noch) nicht 1000-Seitige Speicher-Block-Belegungstabellen diskutieren, würde ich es erstmal hier lassen. Immerhin ist das eine weitere Stelle, wo die über viele Jahre geltende Überlieferung vielleicht einfach nicht stimmt. Ich kenne jetzt den genauen Wortlaut in den Akten nicht, aber wenn es so ist, dass die Niederländer die Exif-Thumb- und Preview-Bilder mit eigenständigen Dateien verwechselt haben, dann hätten sie sich auch nicht unbedingt mit Ruhm bekleckert. Dann hätten beide Seiten kleinere Fehler begangen. Die Panamaer haben "nur" direkt auf der SD-Karte einen Viewer gestartet, der dummer Weise eigenmächtig Dateien verändert und die Niederländer haben das dann teilw. falsch interpretiert.

Weniger schlimm und deshalb für mich erstmal plausibler, als wenn die Panamer Dateien kopiert und gelöscht hätten und die Niederländer dann ernsthaft darauf Speicherbereiche analysiert hätten.

Ich habe gerade auch mal ganz kurz mit dem Linux-Cmd filefrag -e experimentiert und sicherheitshalber dann noch die SD-Karte neu formatiert. Seltsamerweise spuckt dieses Tool immer aus, dass zwischen direkt aufeinanderfolgende Bilder Lücken freier Speicherblöcke bestehen (unterschiedlich groß auch noch). Aber möglicherweise ist die Karte schon so abgerockt, das Blöcke nicht mehr nutzbar sind.
Spoiler
Filesystem type is: 4d44 File size of /run/media/xxx/CANON_DC/DCIM/239___03/IMG_2969.JPG is 3337945 (6520 blocks of 512 bytes) ext: logical_offset: physical_offset: length: expected: flags: 0: 0.. 6519: 643.. 7162: 6520: merged,eof /run/media/xxx/CANON_DC/DCIM/239___03/IMG_2969.JPG: 1 extent found File size of /run/media/xxx/CANON_DC/DCIM/239___03/IMG_2970.JPG is 2963132 (5788 blocks of 512 bytes) ext: logical_offset: physical_offset: length: expected: flags: 0: 0.. 5787: 7171.. 12958: 5788: merged,eof /run/media/xxx/CANON_DC/DCIM/239___03/IMG_2970.JPG: 1 extent found File size of /run/media/xxx/CANON_DC/DCIM/239___03/IMG_2971.JPG is 2480000 (4844 blocks of 512 bytes) ext: logical_offset: physical_offset: length: expected: flags: 0: 0.. 4843: 12995.. 17838: 4844: merged,eof

Offshore7 schrieb:Falls ein Dritter die Nachtfoto-Serie machte: Als professioneller Nichtkenner :-) der Kamera halte ich es für denkbar, dass man im Dunklen, bei richtiger Wahlrad-Einstellung (nicht Video) aber falscher Kamerahaltung, versehentlich die "Movie-Taste" drückt.

Ja das ist bei der Kamera tatsächlich eine Fehlbedienung die leicht mal passiert. Weil das Modus-Drehrad oben rechts liegt (wo meine S120 eine Grifffläche hat), fehlt eine gute Daumenfläche und man kann leicht mal z.B. den Video-Record-Knopf drücken.

wu schrieb:Ist es nicht sehbar, wie gross die Dateigrösse des gelöschten Bildes/ Videos N° 509 war?

Nein, man weiß doch nichtmal ob es jemals dieses Bild oder Video gab, oder ob es wegen einer Fehlfunktion überhaupt nicht abgespeichert werden konnte. Das einzige was über Bild #509 bekannt ist, ist das es nicht existiert (und jetzt dass auch keine Lücke auf der Speicherkarte zw. #509 und #510 existierte)

wu schrieb:Speichert Lisannes Cam Videos nach den Fotos oder nach Reihenfolge der Aufnahme Fotos und Videos zusammen

Was heißt "nach"? Physikalisch auf der Karte (dem Filesystem) landen sie im ersten freien Bereich. Für den Dateinamen wird derselbe Zähler verwendet (und um 1 hochgezählt) und auch der Unterordner entspricht denen der Bilder. Deshalb ist es ja möglich, dass es ein Video war und kein Bild.

cyclic schrieb:Rein logisch sollte die Kamera die Datei nicht nachträglich größer werden lassen, wenn man irgendwann mal in den Bildbetrachtungsmodus geht, weil das ratz-fatz die Karte fragmentiert. aber ich habe es gerade getestet. Neue Bilder gemacht, direkt danach die SD-Karte entnommen und am Rechner ausgelesen: und ja Thumbnail und Preview sind vorhanden.

Ich wäre davon ausgegangen, dass dafür evtl. schon "Platz" in den EXIF-Daten reserviert gewesen wäre, aber hast recht, eher dumm überlegt. :-) Danke! Also sind in einem Bild sogar 2 Minibilder vorhanden 160x120 und kA 1500x1000, die zusätzlich zum gelöschten Original wiederherstellbar wären. :note:

cyclic schrieb:aber wenn es so ist, dass die Niederländer die Exif-Thumb- und Preview-Bilder mit eigenständigen Dateien verwechselt haben, dann hätten sie sich auch nicht unbedingt mit Ruhm bekleckert.

Schwierig. Ich gehe erst mal davon aus, dass die "Zweit- und Drittverwerter" des NFI-Berichts die Ergebnisse der Forensiker evtl. etwas missinterpretiert haben.

cyclic schrieb:Ich habe gerade auch mal ganz kurz mit dem Linux-Cmd filefrag -e experimentiert und sicherheitshalber dann noch die SD-Karte neu formatiert. Seltsamerweise spuckt dieses Tool immer aus, dass zwischen direkt aufeinanderfolgende Bilder Lücken freier Speicherblöcke bestehen (unterschiedlich groß auch noch).

Ist das eine 16GB Karte, wie sie K+L hatten? Deine Cluster-Size sieht eher nach einer größeren Karte aus. Dennoch liegen deine 3 Bilder "Sektor an Sektor", da deine Cluster (32 KB) jeweils 64 Sektoren / Blöcke (512 Bytes) enthalten:

IMG_2969 6520/64 = 102 Cluster x 64 Blöcke = 6528 Blöcke --> 643 bis 7170
IMG_2970 5788/64 = 91 Cluster x 64 = 5824 --> 7171 bis 12994
IMG_2971 4844/64 = 76 Cluster x 64 = 4864 --> 12995 bis 17858

Insofern ist die Darstellung deines Tools oder die des NFI :-) leicht irreführend.

cyclic schrieb:Ja das ist bei der Kamera tatsächlich eine Fehlbedienung die leicht mal passiert. Weil das Modus-Drehrad oben rechts liegt (wo meine S120 eine Grifffläche hat), fehlt eine gute Daumenfläche und man kann leicht mal z.B. den Video-Record-Knopf drücken.

Somit ist das, weil Bedienung im Dunklen, eine wahrscheinliche Erklärung für das Fehlen von Bild #509. Fraglich, wenn man Flugzeuge anblitzen will, ob einen das Löschen eines unabsichtlichen Videos noch jucken würde.

Offshore7 schrieb:Somit ist das, weil Bedienung im Dunklen, eine wahrscheinliche Erklärung für das Fehlen von Bild #509. Fraglich, wenn man Flugzeuge anblitzen will, ob einen das Löschen eines unabsichtlichen Videos noch jucken würde.

WANN diese eventuelle Löschung stattgefunden hat ist doch völlig unklar, oder? Ich würde nicht davon ausgehen, dass dies in der Nacht der Fotos passiert ist. Kann man natürlich, objektiv betrachtet gibt es aber noch sehr, sehr viele andere Möglichkeiten (ab dem letzten Foto bis zu den Nachtfotos)!

Offshore7 schrieb:Somit ist das, weil Bedienung im Dunklen, eine wahrscheinliche Erklärung für das Fehlen von Bild #509. Fraglich, wenn man Flugzeuge anblitzen will, ob einen das Löschen eines unabsichtlichen Videos noch jucken würde.

Ich kenne das Problem von diversen Kompaktkameras, die ich hatte: Das unabsichtliche Verstellen des Modusrades in den Videomodus und die unbeabsichtigte Aufnahme eines Videos. Das habe ich dann so schnell wie möglich gelöscht. Des Speicherplatzes wegen, aber auch weil bei der Übertragung auf den Computer immer Ärger damit war (es öffnete sich das Videobarbeitungsprogramm des Herstellers usw.).

ringelnatz schrieb:WANN diese eventuelle Löschung stattgefunden hat ist doch völlig unklar, oder? Ich würde nicht davon ausgehen, dass dies in der Nacht der Fotos passiert ist. Kann man natürlich, objektiv betrachtet gibt es aber noch sehr, sehr viele andere Möglichkeiten (ab dem letzten Foto bis zu den Nachtfotos)!

Sicher.

Logisch stehen wir aber noch immer vor dem "fotolosen" Loch - wenn wir die Aufnahmedaten als fix betrachten - zwischen dem 1. und dem 8. April. Dafür eine Erklärung zu finden, ist kaum möglich. Außer man zieht ein Verstellen des Datums in Betracht. Mein kriminalistischer Bauch (technisch fehlt mir da die Expertise) angesichts der Nachtbilder geht noch immer vom 2. April aus, also der 1. Nacht. Nur dann machen diese Fotos einen Sinn. Eine Woche später? Völlig rätselhaft.

Möglichkeiten gibt es unendlich viele. Argumente dafür und dagegen auch. Auch da ist mein Bauchgefühl: Die zutreffende Erklärung, der tatsächliche Kausalablauf, dürfte wesentlich einfacher sein, als es scheint. Es fehlen halt zur Rekonstruktion wesentliche Elemente. Das ist ein bisschen wie mit Flug MH370. Auch da fehlen wesentliche Teile der Geschichte, was einen Kosmos an Möglichkeiten eröffnet, in denen man sich verlieren kann, ohne belastbare tatsächliche Anhaltspunkte.

Deshalb mal wieder mein ungeliebter Hinweis: Bei der bekannten Sachlage hätte eine deutsche Staatsanwaltschaft mangels Anfangsverdacht kein Ermittlungsverfahren wegen einer Straftat eingeleitet. Es mangelt schlicht an zureichenden tatsächlichen Anhaltspunkten für eine zum Tod führende Fremdeinwirkung. Dass sich die Sachlage als höchst verworren und rätselhaft darstellt, ändert daran nichts. Rätsel sind keine tatsächlichen Anhaltspunkte für ein Verbrechen.

Origines schrieb:Deshalb mal wieder mein ungeliebter Hinweis:

Der Hinweis ist nicht "ungeliebt", sondern halt einfach nur eine Spekulation/Vermutung wie so vieles, auch trotz der mittlerweile 17. Wiederholung wird kein Fakt draus.

Ansonsten gehe ich oft pari mit Deinen (Ihren) Beiträgen, explizit auch damit dass die Nacht-Fotos am 02.04. entstanden sind,
Dieselbe Quelle wie bei Dir (Bauchgefühl).

Origines schrieb:Dafür eine Erklärung zu finden, ist kaum möglich.

Die Nachtfotos entstanden am 02.04., kurz darauf (02.04., spätestens 03.04.) haben beide Frauen nicht mehr gelebt.

FL106772 schrieb:Der Hinweis ist nicht "ungeliebt", sondern halt einfach nur eine Spekulation/Vermutung wie so vieles, auch trotz der mittlerweile 17. Wiederholung wird kein Fakt draus.

Habe auch nie behauptet, dass es ein Fakt ist - weil es fiktiv ist. Und weil ja schon in zwei Staaten ermittelt worden ist, der Fall also nach den Maßstäben der Strafverfolgungsbehörden "ausermittelt" ist. Es läuft keine Verfahren mehr, weder bei den zuständigen Behörden noch hier.

Allerdings halte ich eine "was wäre wenn"-Einschätzung auf Grundlage aktuellen Wissens bzw. Nichtwissens nicht für unseriös, das ist hier in anderer Hinsicht ja auch laufend Usus. Wir befinden uns in der "Krimirubrik" und die Frage ist fortwährend "Gab es überhaupt ein Verbrechen?" Und da meine ich: Es reicht nach wie vor nicht für einen Anfangsverdacht. Und gestatte mir über mein Bauchgefühl hinausgehend eine Verobjektivierung auf Grundlage der StPO.

Man darf sich dessen unbenommen weiter in Möglichkeiten, Argumenten für und wider usw. tummeln. Aber eine Lösung, was konkret passiert ist - egal ob "Lost" oder "Foul" - wird es nicht geben können.

Außer den von mir so hochgeschätzten Technikern @Offshore7 und @cyclic finden doch noch in einem verlorenen Dateifragment die Lösung. Oder es gelingt Dritten, Buchautoren (oder Behörden) in Panama, einem potentiellen Tatbeteiligten (zufällig) ein glaubhaftes Geständnis zu entlocken.

cyclic schrieb:Weniger schlimm und deshalb für mich erstmal plausibler, als wenn die Panamer Dateien kopiert und gelöscht hätten und die Niederländer dann ernsthaft darauf Speicherbereiche analysiert hätten.

Da stimme ich noch mal explizit zu, weil der Panama-Teil schon fast kriminell und der NFI-Teil grotesk wäre. Zumal normales Kopieren alle Timestamps auf Juni setzt und alle 477 Fotos / Videos schön Sektor an Sektor aufreiht (was gar nicht sein kann, weil 4 gelöschte Videos gefunden wurden). Weshalb für mich IP Tests 5+6 wegfallen und nur noch Test 1 von 11 als Möglichkeit übrig bleibt (neben einem sehr unwahrscheinlichen Kamerafehler):

Test 1:
Take six (6) images: 504, 505, 506, 507, 508, 509
Delete the last image (509) in Camera
Take two (2) images: 510, 511

Test 1 Result:
On the SD card are images 504, 505, 506, 507, 508, 510, 511
There is NO image 509
There is NO gap between images 508 and 510

https://imperfectplan.com/2021/04/06/kris-kremers-lisanne-froon-missing-photo-509-testing-canon-powershot-sx270-hs/

Übrigens kann PhotoRec die Previews nicht wiederherstellen, nur Original und Thumbnail.

ringelnatz schrieb:WANN diese eventuelle Löschung stattgefunden hat ist doch völlig unklar, oder? Ich würde nicht davon ausgehen, dass dies in der Nacht der Fotos passiert ist. Kann man natürlich, objektiv betrachtet gibt es aber noch sehr, sehr viele andere Möglichkeiten (ab dem letzten Foto bis zu den Nachtfotos)!

Wenn es Lisanne war, dann eher am 1.4., weil wir damit auch direkt eine Erklärung für das Aufhören des Fotografierens hätten. Am 8.4. ist ein Dritter leicht vorne, der die Kamera im Dunklen und vllt. mit dickeren Fingern falsch hält und versehentlich etwas filmt, was nicht auf die SD-Karte sollte, wie die eigenen Beine. Kris oder Lisanne wäre so ein Missgeschick in ihrer Situation mE wurscht gewesen, die wollten Signale produzieren und nicht Videos löschen.

Origines schrieb:Ich kenne das Problem von diversen Kompaktkameras, die ich hatte: Das unabsichtliche Verstellen des Modusrades in den Videomodus und die unbeabsichtigte Aufnahme eines Videos. Das habe ich dann so schnell wie möglich gelöscht. Des Speicherplatzes wegen, aber auch weil bei der Übertragung auf den Computer immer Ärger damit war (es öffnete sich das Videobarbeitungsprogramm des Herstellers usw.).

Bei der SX270 ist es ja noch etwas krasser. Selbst wenn das Modusrad auf Foto steht, gibt es eine zweite Taste quasi im Daumenbereich, die bei Betätigung sofort eine Videoaufnahme startet, also ohne den Auslöseknopf auf der Oberseite der Kamera zu drücken.

Offshore7 schrieb:Ist das eine 16GB Karte, wie sie K+L hatten? Deine Cluster-Size sieht eher nach einer größeren Karte aus. Dennoch liegen deine 3 Bilder "Sektor an Sektor", da deine Cluster (32 KB) jeweils 64 Sektoren / Blöcke (512 Bytes) enthalten:

Nein das ist eine ganz mickrige 2GB-Karte (formatiert in/von der Kamera). Aber sehr gute Beobachtung. Ich habe das gestern zu schnell gemacht. Und kurz zur Erklärung: das Problem hier ist dass es einerseits Filesystem-Blöcke (im Windows-Jargon auch Cluster genannt) und anderseits auch Datenträger-Blöcke gibt. Das von mir verwendete Tool gibt hier die kleineren Datenträger-Blöcke aus (was an der Stelle uninteressant ist).

ringelnatz schrieb:WANN diese eventuelle Löschung stattgefunden hat ist doch völlig unklar, oder?

Wenn das Bild/Video #509 direkt auf der Kamera gelöscht wurde, also durch K&L (oder auch jmd. anders), dann muss es auf jeden Fall vor der ersten Nachtaufnahme (also vor Bild #510) passiert sein, weil Bild #508 und #510 sonst nicht Sektor an Sektor liegen würden.

Aus demselben Grund kann das Bild/Video nicht einfach mittels eines Computers nachträglich gelöscht worden sein. Möglich aus meiner Sicht ist immer noch das Umkopieren auf einen anderen Datenträger (z.B. die Festplatte eines Computers), Löschen/Formatieren der SD-Karte und Rückkopieren ohne #509 - dann aber wohl eher bevor die Panamaischen Ermittler die Kamera in den Fingern hatten, wenn man keine aktive Vertuschung unterstellen will. Ja und ggf. Rücksetzen des Filesystem Zeitstempels (auch das geht mit exiftool).

Origines schrieb:Ich kenne das Problem von diversen Kompaktkameras, die ich hatte: Das unabsichtliche Verstellen des Modusrades in den Videomodus und die unbeabsichtigte Aufnahme eines Videos.

Das Verstellen des Modus-Wahlrädchens halte ich eher für vergleichsweise unwahrscheinlich. Viel eher drückt man mal auf das kleine Knöpfchen mit dem roten Punkt, dass eine Video-Aufnahme startet, egal in welchem Modus man ist. Bei der Kamera noch etwas eher, weil eine gute Grifffläche auf der Rückseite fehlt. Das hat @Offshore7 ja auch schon erklärt.

Wenn 509 der Start der Nachtfotos war, finde ich eher unplausibel dass das wären der weiteren 100 Bilder nicht nochmal passiert ist. Wer immer die Kamera in der Hand hatte, hatte offenbar nicht (wie ich) die Gewohnheit sich mit dem Daumen auf der Rückseite abstützen zu wollen (wie es bei meiner S120 geht, wo anstelle des Wahlrädchens eine Grifffläche ist, direkt darunter ist jeweils der Video-Button).

Origines schrieb:Mein kriminalistischer Bauch (technisch fehlt mir da die Expertise) angesichts der Nachtbilder geht noch immer vom 2. April aus, also der 1. Nacht. Nur dann machen diese Fotos einen Sinn. Eine Woche später? Völlig rätselhaft.

Ich sag's nochmal: Ich halte diese Idee eigentlich für extremst unwahrscheinlich, irgendwas im Promillebereich. Warum verstellt man das Datum? Ein Versehen ist, wenn überhaupt, nur möglich, wenn man Datum und/oder Uhrzeit verstellen wollte. Niemals kommt man aus Versehen in das betr. Menü. Das (bis auf das Jahr) korrekte Datum verstellen (und da nur den Tag) macht ja keinen Sinn. Die Uhrzeit zu korrigieren würde evtl. noch begrenzt Sinn machen, aber das hat man nicht getan (denn dann wären die Bilder nicht dunkel, selbst wenn man sich beim Einstellen der Uhr noch um eine Stunde vertan hätte).
s.a.: Beitrag von cyclic (Seite 1.104)

BTW: Stellen die Handys, wenn sie auf Mitteleurop. Zeitzone eingestellt sind eigentl. autom. auf Sommertzeit um, wenn sie keinerlei Verbindung haben? Ich würde mal auf ja tippen, ist aber geraten.

Da finde ich den Gedanken, dass vielleicht bereits in früheren Nächten geblitzt wurde, aber keine Bilder abgespeichert wurden fast noch ein kleines bisschen naheliegender, obwohl das auch Fragen aufwirft und natürlich in keiner Weise klärt warum die Haare nach einer Woche Dschungel aussehen wie sie auf dem Haarbild halt aussehen.

Offshore7 schrieb:Zumal normales Kopieren alle Timestamps auf Juni setzt und alle 477 Fotos / Videos schön Sektor an Sektor aufreiht (was gar nicht sein kann, weil 4 gelöschte Videos gefunden wurden).

Klugscheißmodus: Timestamps lassen sich ändern und man kann natürlich Bilder und Videos zurückkopieren (bis auf #509) und dann trotzdem noch direkt auf der Karte weitere Dateien (Videos) löschen. Ich gebe aber gerne zu, dass das reichlich unwahrscheinlich klingt.

Mein Problem an der Stelle ist halt, dass bzgl. Schatten immer noch dasselbe rauskommt (momentan lasse ich es mal eine Weile ruhen und schaue dann nochmal drauf).
Ist bekannt wie groß diese gelöschten Videos waren? Deutet die Größe auf ein Versehentl. Auslösen (dann sollten sie eher kurz sein)?

Offshore7 schrieb:Übrigens kann PhotoRec die Previews nicht wiederherstellen, nur Original und Thumbnail.

Ah prima, das wäre meine nächste Frage gewesen, warum nur Thumbnails gefunden wurden ;-)

cyclic schrieb:Ich sag's nochmal: Ich halte diese Idee eigentlich für extremst unwahrscheinlich, irgendwas im Promillebereich. Warum verstellt man das Datum? Ein Versehen ist, wenn überhaupt, nur möglich, wenn man Datum und/oder Uhrzeit verstellen wollte. Niemals kommt man aus Versehen in das betr. Menü. Das (bis auf das Jahr) korrekte Datum verstellen (und da nur den Tag) macht ja keinen Sinn.

Das ist mir schon klar. Das Verstellen des Datums an sich kann nur absichtlich vorgenommen worden sein. Nur ob es beabsichtigt war, genau das Datum einzustellen, dass dann konkret gespeichert worden ist, das ist nochmals eine andere Frage. Im Übrigen auch, ob von K+L oder von einem Dritten.

Sinn macht es keinen, zumindest kennen wir keinen, aber das ist ja bei der aus den entsprechenden Files rekonstruierten Bedienung des iPhones auch so. Und da geht es ja sogar bis zum 11. April, wenn ich das noch richtig im Kopf habe.

Da ich kein Techniker oder Naturwissenschaftler bin und die Daten, soweit verfügbar, oft keine klare Antwort zu geben scheinen, was sich denn nun ereignet hat, erlaube ich es mir, da auch mal darüber hinweg zu denken. Sollten die Nachtfotos bzw. der damit ausgelöste Blitz ein Hilfeschrei gewesen sein, ergibt das am 8. April wenig Sinn. Genaus wenig Sinn sehe ich darin, dass ein Dritter diese Fotos am 8. April gemacht hat.

Aber wenn das Datum quasi technisch "in Beton gegossen" ist, dann ist es so. Die Sinnstiftung lässt sich aber dann so oder so nur diffus vermuten - eher phantasieren, weil es an sonstigen Anhaltspunkten fehlt, was konkret abgelaufen sein könnte.

Origines schrieb:Das ist mir schon klar. Das Verstellen des Datums an sich kann nur absichtlich vorgenommen worden sein. Nur ob es beabsichtigt war, genau das Datum einzustellen, dass dann konkret gespeichert worden ist, das ist nochmals eine andere Frage. Im Übrigen auch, ob von K+L oder von einem Dritten

Origines schrieb:Aber wenn das Datum quasi technisch "in Beton gegossen" ist[...],

Falls das missverständlich war: dass K & L das gemacht haben macht halt keinen Sinn, auch nicht aus versehen. Dass jemand anders der sich evtl. noch deutlich später irgendwo nachts in den Wald gesetzt und 100 Fotos gemacht hat, das Datum der Kamera vorher auf eine (noch) plausible Überlebenszeit einstellt, würde mir sofort einleuchten. Denn wenn hier etwas vorgetäuscht werden sollte, dann wohl ein längeres Überleben nach einem (neudeutsch) Lost-Vorfall.
Insofern glaube ich dass das Datum eher zurück als vorgestellt wurde.

Ich weiß leider immer noch nicht wie ernst man die Wetterdaten von open-meteo.com nehmen kann, aber ich finde es schon interessant, dass es in dem Gebiet zwar nahezu täglich geregnet haben soll, aber nicht Nachts, Erst ab dem 9. Mai werden hier Nächte angezeigt in denen nennenswert Niederschlag gefallen ist: open-meteo 1.4-14.6.2014 Q1

@Doctective @Offshore7
Haben sich die Ermittler eigentlich mal mit der Frage "Wetterabgleich" beschäftigt?

Notiz an mich selbst: Mir fällt gerade ein, dass ich mal testen sollte, was mit dem Speicherort (bezogen auf die Blöcke/Cluster) passiert wenn man mit exiftool EXIF-Metadaten ändert (und zwar direkt auf der SD-Karte).

cyclic schrieb:Falls das missverständlich war: dass K & L das gemacht haben macht halt keinen Sinn, auch nicht aus versehen. Dass jemand anders der sich evtl. noch deutlich später irgendwo nachts in den Wald gesetzt und 100 Fotos gemacht hat, das Datum der Kamera vorher auf eine (noch) plausible Überlebenszeit einstellt, würde mir sofort einleuchten.

Also etwas aus Versehen, das macht oft keinen Sinn.

Und warum jemand 100 Fotos in die Wolken blitzt, um etwas zu simulieren, das auch keinen Sinn macht, das macht auch keinen Sinn. Ich sehe da jedenfalls auch am 8. April keinen Sinn für einen Fremden, das zu tun.

Ich wollte eigentlich etwas anderes Testen, aber bin dabei über etwas gestoplert, was ich mal schnell berichten will:

Wenn ich das letzte Bild oder Video direkt auf der Kamera lösche bevor ich das nächste Bild aufnehme, dann ist es bei mir bisher nie so, dass dann das Bild vor der gelöschten Datei (Bild/Video) Sektor an Sektor mit dem nach dem gelöschten aufgenommenen Bild grenzt. Außerdem sieht es so aus, als sei die Lücke bei größeren gelöschten Dateien (Videos) größer als bei kleineren (Bildern) und zwar vermutlich genau die Größe der gelöschten Datei, deren Bereich eben nicht beim nächsten Bild neu beschrieben wird (die Lückengröße passt zu anderen Bildern/Videos, aber für die gelöschten habe ich das nicht ausgelesen, weil ich die sofort wieder gelöscht habe).

Spoiler
Hilfreiches Cmd um Blockgrößen-Umrechnungen zu vermeiden: filefrag -e -b32768 *.*

FILENAME START END M0239.CTG 280.. 280: <- catalog file probably create / updated when switching into the viewer mode IMG_2969.JPG 10.. 111: IMG_2970.JPG 112.. 202: IMG_2971.JPG 203.. 278: MVI_2972.MP4 281.. 537: <- gap: 2 blocks - probably because the CFG file was created in viewer mode 538.. 540: IMG_2973.JPG 541.. 625: IMG_2974.JPG 626.. 723: IMG_2975.JPG 724.. 817: IMG_2976.JPG 818.. 908: IMG_2977.JPG 909.. 992: MVI_2978.MP4 993.. 1271: 1272.. 1274: IMG_2979.JPG 1275.. 1355: IMG_2980.JPG 1356.. 1427: IMG_2981.JPG 1428.. 1520: (VIDEO 2982 DELETED BEFORE IMAGE 2983) IMG_2983.JPG 1781.. 1883: <- gap: 260 blocks! IMG_2984.JPG 1521.. 1608: (IMAGE 2985 DELETED BEFORE IMAGE 2986) IMG_2986.JPG 1671.. 1772: <- gap: 62 blocks

Anm.: Videos bestehen physikalisch offenbar immer aus zwei Teilen.


@Offshore7 kannst du dir einen Reim darauf machen? Mir fällt auf die Schnelle nichts ein, außer dass, wenn das immer so ist, spricht es ganz klar gegen die These dass Bild #509 auf der Kamera gelöscht wurde. Aber IP berichtet ja ganz klar andere Ergebnisse bei ihren Versuchen (Test 1 in https://imperfectplan.com/2021/04/06/kris-kremers-lisanne-froon-missing-photo-509-testing-canon-powershot-sx270-hs/).

...hat sich geklärt: Eine Lücke auf dem Datenträger bleibt, wenn man das nächste Bild direkt nach dem Löschen macht. Keine Lücke bleibt hingegen, wenn man die Kamera nach dem Löschen erst aus- und wieder einschaltet um dann erst das nächste Bild zu machen (habs sowohl mit einem gelöschten Bild als auch Video getestet).

Durchaus ein etwas merkwürdiges Verhalten, aber dass die Kamera nachdem Bild/Video #509 gelöscht wurde, nochmal ausgeschaltet wurde, bevor dann #510 gemacht wurde, kann natürlich in jedem Fall sein (auch wenn #509 der Start der Nachtbilder gewesen sein sollte).

cyclic schrieb:Durchaus ein etwas merkwürdiges Verhalten, aber dass die Kamera nachdem Bild/Video #509 gelöscht wurde, nochmal ausgeschaltet wurde, bevor dann #510 gemacht wurde, kann natürlich in jedem Fall sein (auch wenn #509 der Start der Nachtbilder gewesen sein sollte).

"Wir ... sehen betroffen / Den Vorhang zu und alle Fragen offen."

Es lässt sich also - wenn ich das richtig verstehe - aus dem Fehlen von Bild/Video #509 nichts ableiten, außer dass es gelöscht wurde. In der Kamera aber nur, wenn sie danach abgeschaltet und wieder angeschaltet worden ist.

cyclic schrieb:Und kurz zur Erklärung: das Problem hier ist dass es einerseits Filesystem-Blöcke (im Windows-Jargon auch Cluster genannt) und anderseits auch Datenträger-Blöcke gibt.

Ja ich weiß, daher verwende ich lieber Cluster und Sektor als Begriffe.

cyclic schrieb:BTW: Stellen die Handys, wenn sie auf Mitteleurop. Zeitzone eingestellt sind eigentl. autom. auf Sommertzeit um, wenn sie keinerlei Verbindung haben? Ich würde mal auf ja tippen, ist aber geraten.

Ja, anhand der Zeitzone, also iPhone ja, Samsung fällt weg.

cyclic schrieb:lugscheißmodus: Timestamps lassen sich ändern und man kann natürlich Bilder und Videos zurückkopieren (bis auf #509) und dann trotzdem noch direkt auf der Karte weitere Dateien (Videos) löschen. Ich gebe aber gerne zu, dass das reichlich unwahrscheinlich klingt.

Ja klar, aber nicht versehentlich durch die Behörden.

cyclic schrieb:Ist bekannt wie groß diese gelöschten Videos waren? Deutet die Größe auf ein Versehentl. Auslösen (dann sollten sie eher kurz sein)?

Mir nicht bekannt. Ich würde den NFI-Report selbst gerne in Gänze lesen. :-)

cyclic schrieb:Hilfreiches Cmd um Blockgrößen-Umrechnungen zu vermeiden: filefrag -e -b32768 *.*

:Y:

cyclic schrieb:Eine Lücke auf dem Datenträger bleibt, wenn man das nächste Bild direkt nach dem Löschen macht. Keine Lücke bleibt hingegen, wenn man die Kamera nach dem Löschen erst aus- und wieder einschaltet um dann erst das nächste Bild zu machen (habs sowohl mit einem gelöschten Bild als auch Video getestet).

Das Ergebnis wäre durchaus neu und entspricht nicht dem IP-Ergebnis. Von einem Ein- und Ausschalten nach #509 war nie die Rede. Das würde den 1.4. und Q1 etwas in den Vordergrund rücken.

IP schreibt ja, wenn man direkt nach einem Videos Bilder macht, landen diese clustermäßig vor dem Video, weil die Kamera zum Abspeichern des Videos zu lange braucht. Könnte es auch ein Timing-Problem sein? Vllt. könntest du Bilder noch mal mit frisch formatierter Karte testen oder der Kamera einen Tick Zeit geben.