Das rätselhafte Verschwinden von Kris Kremers & Lisanne Froon

Doctective schrieb:Steckte die Samsung-SIM-Karte im Iphone?

Hätten die beiden überhaupt einen passenden Gegenstand gehabt, um das Sim-Fach für einen Wechsel zu öffnen?

Ich weiss jetzt nicht, wie das bei den damaligen Handys war, aber eigentlich wird ja immer etwas dünnes und meist drahtiges benötigt, um das Sim-Fach öffnen zu können.

frusciante15 schrieb:passenden Gegenstand gehabt, um das Sim-Fach für einen Wechsel zu öffnen?

Beide Frauen trugen Ohrstecker, Bild #486 und #496 ff. Je nach Länge und Material könnten die Stifte evtl geeignet sein?

Hallo zusammen,

ich habe mich bislang hier noch nie zu Wort gemeldet, aber werde mich ab jetzt auch an der Diskussion beteiligen. Ich habe nicht nur die Forenbeiträge und das Buch von @Doctective gelesen, sondern auch diverse andere zugängliche Informationen gesichtet.

Der Fall interessiert mich schon sehr lange und ich bin deshalb Christian Hardinghaus und Annette Nenner für ihren Einsatz unfassbar dankbar. Das möchte ich an dieser Stelle erstmal als erstes Statement loswerden. :)

Auf schöne Diskussionen und hoffentlich weitere neue Erkenntnisse!

@FreyaInJune: Das habe ich mich auch schon gefragt.

Wegen Nachfragen im Thread und per PN versuche ich den gestrigen Sachverhalt mal ohne die (auf Wunsch gelöschten) Original-Daten zu erklären:

Es ist so, dass iOS viele Snapshots (automatische Screenshots ohne Userkenntnis) macht, zB bei Änderung einer Einstellung (2G/3G), bei Aufruf eines Kontakts im Telefonbuch (Miriam), bei angefangener aber nie verschickter SMS, bei gelöschten Fotos oder bei Aufruf der Uhr-App (und viele weitere Aktivitäten).

Den aktiven Aufruf des Telefonbuchs (Kontakt Miriam) am 3. April und der Uhr-App am 6. April haben die Forensiker mit so einem Snapshot nachgewiesen, obwohl es auch klar in den Logs (powerlog) steht, wenn das Handy länger als 15-20 Sekunden an ist:


08/25/24 21:10:01 [Application] id=com.apple.mobiletimer; pid=122.00; mode=Foreground Running; reason=<unknown>; display_name=Clock; executable=MobileTimer [..]

08/25/24 21:10:02 [SpringBoard-screens] Screens=3;


#

3. April

16:02: Création automatique d’une capture d’écran lors de la fermeture du carnet d’adresses (Contacts).

16:02: Automatische Erstellung eines Screenshots beim Schließen des Adressbuchs (Kontakte).

6. April

10:27: Création automatique d’une capture d’écran lors de la fermeture de l’application de l’horloge.

10:27: Automatische Erstellung eines Screenshots beim Schließen der Uhr-App.

Quelle: Romain C https://camilleg.fr/le-projet-el-pianista-les-donnees-officielles-des-telephones-portables/

Die Forensiker dokumentieren am 3. und 6. April also genau dieselbe Beobachtung, nämlich eine Benutzeraktivität in Form einer App-Nutzung. Am 3. April dokumentieren sie neben dem Snapshot und dem Bootlog auch Einträge aus der powerlog-Datei (u.a. Signalstärke und Akkustand). Letzteres am 6. April jedoch nicht, geht man nach den öffentlich bekannten Daten. Das kann mE nur bedeuten, dass die powerlog-Datei am 6. April 10:27 leer ist und es nix (keine Signalstärke, kein Akkustand) zu dokumentieren gab, weil das Handy zu schnell wieder ausgeschaltet wurde. Ansonsten wäre das keine kongruente Arbeitsweise.

Auch am 4. und 5. April fehlen die Logs aus der Powerlog-Datei (zB Signalstärke, Akkustand), während die Ausschaltzeit immer 1 Minute nach der Einschaltzeit angegeben ist (siehe Romain C Link oben), wovon man noch ca. 40-50 Sekunden Bootzeit abziehen muss. Daher kann man hier mE ebenfalls davon ausgehen, dass die Powerlogs leer sind, weil das Handy nur max. 15-20 Sekunden (+ Bootzeit) an war und dann wieder ausgeschaltet wurde (keine Logs, außer Bootlog).

Vom Bootlog scheinen zwar an die 60 Logeinträge pro Startvorgang nicht dokumentiert zu sein, jedoch enthalten diese auch überwiegend technischen Kram. Und eben Logs mit persönlichen Identifikationsdaten (ICCID, Providername etc.). Wäre für mich nachvollziehbar, solche Logs wegzulassen, da sie im Gegensatz zu Akkustand und Signalstärke weniger fallrelevant sind oder eben schützenswerte persönliche Daten enthalten (weshalb ich die hier bei meinen Log-Beispielen auch weggelassen oder verändert habe). Wäre ja Irrsinn 16+ GB Daten in forensischen Report abzudrucken.

Outback schrieb:Die Forensiker dokumentieren am 3. und 6. April also genau dieselbe Beobachtung, nämlich eine Benutzeraktivität in Form einer App-Nutzung. Am 3. April dokumentieren sie neben dem Snapshot und dem Bootlog auch Einträge aus der powerlog-Datei (u.a. Signalstärke und Akkustand). Letzteres am 6. April jedoch nicht, geht man nach den öffentlich bekannten Daten. Das kann mE nur bedeuten, dass die powerlog-Datei am 6. April 10:27 leer ist und es nix (keine Signalstärke, kein Akkustand) zu dokumentieren gab, weil das Handy zu schnell wieder ausgeschaltet wurde. Ansonsten wäre das keine kongruente Arbeitsweise.

Die Forensiker "vergessen" aber auch bereits am 3. April um 11:46 Uhr die Signalstärke zu erwähnen obwohl dies später (15:59 Uhr) wieder getan wird:

11:46
The iPhone4 was powered on and then powered off. For this data point is no raw data in the forensics report and no signal strength is stated. It is possible, that at this time there was also 1 bar but it is not reported in the forensics report.

Quelle: https://imperfectplan.com/2021/03/10/kris-kremers-lisanne-froon-forensic-analysis-of-phone-data/

Sollte das iphone 11:46 Uhr hingegen bewusst schnell ausgeschaltet wurden sein um etwas zu verschleiern (...falls nicht vergessen zu erwähnen durch die Forensiker) fragt man sich - warum dann nicht 15:59 Uhr? Das war ja dann sogar ein bewusst langes Inbetriebhalten des iphone und nicht nur misslungenes "Schnelles Ausschalten"

15:59
The iPhone4 was powered on, the contact “Mytiam, 00 507 679xxxxx” looked up in WhatsApp (Note: the spelling in this article is not a typo. Full phone number is withheld) and the phone powered off.
At this time the signal strength was -113 dBm and the phone showed 1 bar. This indicates that the phone picked up a cell tower signal but could not transmit back to establish a two way connection with the cell tower. A signal strength of -113 dBm per the forensics report means that there is essentially no signal. However it is the interpretation of the author that the phone transceiver did pick up an extremely low signal.
This is the last data point for which signal strength data is reported in the forensics report. It is speculation by the author, that from this time on the phone did not pick up any signal anymore and the readings would have been -120 dBm and 0 bars.

Quelle: s.o.

Outback schrieb:Auch am 4. und 5. April fehlen die Logs aus der Powerlog-Datei (zB Signalstärke, Akkustand), während die Ausschaltzeit immer 1 Minute nach der Einschaltzeit angegeben ist (siehe Romain C Link oben), wovon man noch ca. 40-50 Sekunden Bootzeit abziehen muss. Daher kann man hier mE ebenfalls davon ausgehen, dass die Powerlogs leer sind, weil das Handy nur max. 15-20 Sekunden (+ Bootzeit) an war und dann wieder ausgeschaltet wurde (keine Logs, außer Bootlog).

Danke für deine Mühe und die erneute Bestätigung. Alle sinnvollen Möglichkeiten für Kris und Lisanne das Handy an- und auszmachen, fallen meines Erachtens raus. Aber einen Grund muss es geben.

Outback schrieb:Vom Bootlog scheinen zwar an die 60 Logeinträge pro Startvorgang nicht dokumentiert zu sein, jedoch enthalten diese auch überwiegend technischen Kram.

Wir erahnen also den Inhalt der DVDs, die sich allerdings wahrscheinlich nie jemand angeschaut hat.

InspektorLemon schrieb:Das möchte ich an dieser Stelle erstmal als erstes Statement loswerden. :)

Ganz herzlichen Dank, wissen wir beide sehr zu schätzen. Kriegen nämlich auch genug auf den Deckel ;-)

Kuno426 schrieb:Beide Frauen trugen Ohrstecker, Bild #486 und #496 ff. Je nach Länge und Material könnten die Stifte evtl geeignet sein?

Ich kann mir vorstellen, dass auch die Natur dafür etwas hergäbe. Aber ich glaube auch nicht wirklich, dass sie die Karten gewechselt haben.

bergfreund schrieb:Sollte das iphone 11:46 Uhr hingegen bewusst schnell ausgeschaltet wurden sein um etwas zu verschleiern (...falls nicht vergessen zu erwähnen durch die Forensiker) fragt man sich - warum dann nicht 15:59 Uhr? Das war ja dann sogar ein bewusst langes Inbetriebhalten des iphone und nicht nur misslungenes "Schnelles Ausschalten"

Für den 3. April 11:46 Uhr macht ein bewusst schnelles Ausschalten wenig Sinn, außer ein Täter oder das iPhone pendelte zwischen zwei Orten. Was aber Sinn macht ist die wahrscheinliche (und technisch verifizierte) Annahme, dass das iPhone schnell wieder ausgeschaltet wurde, da eben keine Powerlogs existieren / dokumentiert sind. (und ich keinen Grund sehe, diese wichtigen Logs wegzulassen)

Eine andere plausible Erklärung (Szenario): Täter notiert sich um 11:46 Uhr Handy-Pin und SIM-Pin und probiert es kurz aus. Auch denkbar: Am 11. April oder später wurden alle Powerlogs mit verräterischen Daten ganz simpel gelöscht und die Dateimetadaten angepasst. Wenn nix mehr da ist, kann der Forensiker auch nix schlussfolgern, außer ein schnelles Ausschalten.

Bei einem Szenario ohne Täter müsste man im Handy-Verhalten deutlich mehr erklären und versuchen, von lebensfremd nach sehr seltsam + unsinnig aufzulösen. Ein Teildefekt ist schon aufgrund fehlender Boot- und Betriebs-Crashreports unwahrscheinlich. Dazu kommt noch ein toller Snapshot am 6. April, wo offenbar problemlos gebootet und via Touchscreen die Uhr-App aufgerufen wurde, obwohl die Uhrzeit in der Statusleiste steht.

Doctective schrieb:Wir erahnen also den Inhalt der DVDs, die sich allerdings wahrscheinlich nie jemand angeschaut hat.

ich dachte, Du wüßtest, was auf den DVDs ist?

Doctective schrieb:Inzwischen habe ich auch herausbekommen, was auf den DVDs ist.

1. Ganz unspektakulär: der schriftliche Bericht über Samsung, Iphone und SD-Karte als PDF.
2. Wie bereits von mir vermutet, die mittels Software erstellten forensischen Kopien der Telefone und der SD-Karte der Kamera.

oder verstehe ich jetzt etwas falsch?

Outback schrieb:Bei einem Szenario ohne Täter müsste man im Handy-Verhalten deutlich mehr erklären und versuchen, von lebensfremd nach sehr seltsam + unsinnig aufzulösen. Ein Teildefekt ist schon aufgrund fehlender Boot- und Betriebs-Crashreports unwahrscheinlich. Dazu kommt noch ein toller Snapshot am 6. April, wo offenbar problemlos gebootet und via Touchscreen die Uhr-App aufgerufen wurde, obwohl die Uhrzeit in der Statusleiste steht.

Genau deswegen halte ich ja ein Fehlen der Daten im forensischen Report für umso wahrscheinlicher - darauf bist Du noch nicht eingegangen:

Um 11:46 Uhr haben die Forensiker quasi erstmalig die Informationen zur Signalstärke nicht zum Report hinzugefügt, wie später auch.

Egal von wem - ein schnelles Ausschalten um 11:46 Uhr macht keinen Sinn aus analytischer Sicht.

Warum? Ich gehe davon aus, dass diese Daten vorhanden sind und nur im Report fehlen - denn ein paar Stunden später waren diese Daten ja auch vorhanden und sind zum Report hinzugefügt wurden.

es scheiden aus:

1a) sind es Kris und Lisanne die das Telefon unbewusst schnell ausgeschaltet haben ist es lebensfremd und seltsam wie Du schreibst

1b) Ist es ein Straftäter der um 11:46 Uhr das Handy kurz einschaltet und gleich wieder aus um nicht geortet zu werden - warum schaltet er es dann 15:59 Uhr Uhr ein (oder lässt es einschalten) für längere Zeit? Um nicht geortet zu werden müsste das iphone sich zu Beiden Zeitpunkten an verschiedenen Orten befunden haben wie Du selbst schreibst, wenig wahrscheinlich.

1c) es macht keinen Sinn am 11.04. für 11:46 Uhr ein schnelles Ausschalten durch manipulierte Metadaten vorzutäuschen, da können auch gleich sämtliche Logs gelöscht werden, außer dem ist das Eingreifen riskant und erfordert Spezialkenntnisse.
Zudem: Jeder Experte der das kann weiß zugleich dass die Experten die das schnelle Ein/Ausschalten später lesen das Ganze interpretieren können als das was es ist: als reine Manipulation- denn kein Mensch schaltet ein smartphone derart schnell ein und aus.

Und damit sind wir wieder mal bei Ockham, was gestern leider hier gelöscht wurde: vereinfacht - jede Zusatzannahme macht ein Szenario unwahrscheinlicher gegenüber einem einfacherem Szenario, eine einfache Kausalkette hat eine relativ höhere Wahrscheinlichkeit wahr zu sein im Vergleich mit anderen, längeren Kausalketten.

Vor Kopfschütteln und Abwinken bitte unter folgendem Link Prinzip, Vorgehsweise und Fazit lesen und verstehen, insbesondere die Vorgehensweise.
https://www.juraforum.de/lexikon/ockhams-rasiermesser

Das hilft dann meine Meinung zu verstehen:

Die fehlende Signalstärke im forensischen Report ist ein (nicht der einzige) Schlüsselparameter zur Beurteilung der Situation im besagten Zeitraum (Einfluss Dritter ja/nein).

Warum?
Das Einschalten ohne Abwarten bis zur Anzeige der Signalstärke (und damit Eintrag in ein Logfile) kann als Versuch interpretiert werden, ein Einschalten durch Kris und/oder Lisanne vorzutäuschen ohne in Gefahr zu geraten, geortet zu werden (... zu einer Funkzelle zugehörig)

Es ist zu unterscheiden zwischen

2a) einem schnellem Ausschalten (durch wen auch immer) und dadurch fehlendem Eintrag in einem Logfile
2b) technischen Defekt
2c) Nichtaufführen der Signalstärke im forensichen Report für die betreffenden Zeitpunkte "iphone EIN/AUS" obwohl er im Logfile ersichtlich ist


Ich plädiere auf 2c) aufgrund von unbewusstem (durch Fahrlässigkeit oder Inkompetenz, Disziplinkosigkeit, Zeit- oder Kostendruck, falschen Prioritäten oder fehlender Erfahrung oder Kommunikation zwischen Experten und Untersuchungsleitern etc.) Weglassen der Daten
was mit dem Eintrag 11:46 Uhr erstmalig erfolgte.

Das ist gegenüber 1a) - 1c) einfach(er) erklärt.

Ich kann noch aus eigener Erfahrung als "weichen" Faktor hinzufügen: ich arbeite seit 30 Jahren in internationalen Teams, das was andere Nationen an deutschem Engineering schätzen ist die Präzision und Zuverlässigkeit - und genau die gleiche Arbeitsweise oder Standards bei anderen vorauszusetzen: mit Risiko behaftet. Andere Nationen haben dafür andere Vorteile.

bergfreund schrieb:Ich plädiere auf 2c) aufgrund von unbewusstem (durch Fahrlässigkeit oder Inkompetenz, Disziplinkosigkeit, Zeit- oder Kostendruck, falschen Prioritäten oder fehlender Erfahrung oder Kommunikation zwischen Experten und Untersuchungsleitern etc.) Weglassen der Daten
was mit dem Eintrag 11:46 Uhr erstmalig erfolgte.

Damit unterstellst du dem forensischen Team des NFI quasi völlige Inkompetenz. Das ganze Gutachten wäre nichts wert. Es ist die eindeutige Schlussfolgerung des NFI, dass die Handys sofort wieder ausgeschaltet worden sind. Die fehlenden Logs bestätigen genau das. Wie nun auch technisch nachgestellt und damit meines Erachtens bewiesen. Die einzige Unklarheit die bleibt, sind die fehlenden Logs vom 11. April.

Doctective schrieb:Es ist die eindeutige Schlussfolgerung des NFI, dass die Handys sofort wieder ausgeschaltet worden sind.

Könnte man dazu ein paar Zitate aus dem Bericht haben? Wenn das eindeutig festgestellt wurde, dann braucht man nicht zu streiten.

Tussinelda schrieb:Doctective schrieb:
Wir erahnen also den Inhalt der DVDs, die sich allerdings wahrscheinlich nie jemand angeschaut hat.
ich dachte, Du wüßtest, was auf den DVDs ist?
Doctective schrieb:
Inzwischen habe ich auch herausbekommen, was auf den DVDs ist.

1. Ganz unspektakulär: der schriftliche Bericht über Samsung, Iphone und SD-Karte als PDF.
2. Wie bereits von mir vermutet, die mittels Software erstellten forensischen Kopien der Telefone und der SD-Karte der Kamera.
oder verstehe ich jetzt etwas falsch?

Na das ist doch 2...die Logs sind ja in der Kopie der handys enthaltrn

Streusel schrieb:Wenn das eindeutig festgestellt wurde, dann braucht man nicht zu streiten.

Es wurde eindeutig festgestellt. Die Forensik dokumentiert die Einschaltzeit und die Auschaltzeit. Die Ausschaltzeit wird daran bemessen, dass keine weiteren Aktivitäten und infos ersichtlich gewesen sind. Das entspricht den fehlenden Logs. Du kannst dir die Ein- und Ausschaltzeiten ansehen, diese liegen bei den "Signalchecks" immer im Spielraum von unter einer Minute. Wir wissen inzwischen, dass die Bootzeit 45 Sekunden beträgt. Da muss man nach aller Logik nicht mehr darüber spekulieren, dass die Handys doch länger angewesen sein könnten. Wo nichts zu sehen ist, ist nicht zu sehen, kann auch nichts dokumentiert werden. Die Logs zeichnen das auf, was sie aufzeichnen. Im Falle der "Signalchecks" ist das ausschließlich der Bootstart. Genau deshalb urteilt die Forensik, dass das Handy umgehend wieder ausgeschaltet worden sein müssen.

Doctective schrieb:Genau deshalb urteilt die Forensik, dass das Handy umgehend wieder ausgeschaltet worden sein müssen.

Also in dem Bericht steht wörtlich drinnen, dass geschlussfolgert wird, dass das Handy sofort wieder ausgeschaltet wurde? (Und für welche Einschaltvorgänge gilt diese Behauptung?)

Streusel schrieb:Also in dem Bericht steht wörtlich drinnen, dass geschlussfolgert wird, dass das Handy sofort wieder ausgeschaltet wurde? (Und für welche Einschaltvorgänge gilt diese Behauptung?)

Für alle "Signalchecks" - wann die stattfanden, kannst du unserem Buch, IP oder inzwischen vielfach diesem Forum entnehmen.

bergfreund schrieb:Und damit sind wir wieder mal bei Ockham

Niemand mit Verstand ignoriert Occams Razor.

bergfreund schrieb:Es ist zu unterscheiden zwischen

2a) einem schnellem Ausschalten (durch wen auch immer) und dadurch fehlendem Eintrag in einem Logfile
2b) technischen Defekt
2c) Nichtaufführen der Signalstärke im forensichen Report für die betreffenden Zeitpunkte "iphone EIN/AUS" obwohl er im Logfile ersichtlich ist


Ich plädiere auf 2c) aufgrund von unbewusstem (durch Fahrlässigkeit oder Inkompetenz, Disziplinkosigkeit, Zeit- oder Kostendruck, falschen Prioritäten oder fehlender Erfahrung oder Kommunikation zwischen Experten und Untersuchungsleitern etc.) Weglassen der Daten
was mit dem Eintrag 11:46 Uhr erstmalig erfolgte.

Das sehe ich auch als einfachste Erklärung an. Jedoch ist das nur eine Theorie, wenn auch insgesamt betrachtet und deiner Herleitung entsprechend die wahrscheinlichste - aber immer noch - (faktenfreie) Theorie.

Dagegen argumentierte ich mit Fakten zur sichtbaren Arbeitsweise der Forensiker:

3. April 16:00 App-Nutzung
- mit dokumentierter Signalstärke (und zwar mE gleich mehrere dokumentierte Signalstärke-Logs in 2 Minuten, alle mit demselben Wert -113 dBm plus Akkustand-Logs)
6. April 10:27 App-Nutzung
- komplett ohne die Angabe auch nur eines einzigen Signalstärke- oder Akkustand-Logs

Dazu kommen Franciscos (und meine) technischen Tests und das:

Doctective schrieb:Es ist die eindeutige Schlussfolgerung des NFI, dass die Handys sofort wieder ausgeschaltet worden sind. Die fehlenden Logs bestätigen genau das.

Bedeutet nach Occams Razor (faktenbasierte Theorie), dass die Forensiker am 6. April 10:27 keine Logs vorliegen hatten und nicht, dass sie gepennt haben. Daraus ergibt sich die Ableitung für den 3. April mittags sowie den 4. bis 6. April und den 11. April, dass auch da keine Logs existieren, denn sonst hätten sie gleich achtmal gepennt. Grund aus forensischer Sicht egal, insoweit nicht technisch erklärbar (Crashreports etc.). Das "komische" forensische Ergebnis muss dann halt kriminalistisch bewertet und ggfs. zB hinsichtlich Manipulationsverdacht forensisch nachuntersucht werden.

Hier ein Punkt, wo sich unsere differierenden Annahmen objektiv "etwas" annähern, jedoch wurden keine wichtigen "Rohdaten" (Logs) weggelassen, sondern "nur" Zuordnungs- / Übertragungsfehler o.ä. gemacht (sonst wäre es ja nie aufgefallen):

Le 5 et 6 avril, l’iPhone a-t-il démarré exactement à la même heure ?

Sur internet, l’horaire de 13h37 est indiqué pour les démarrages de l’Iphone du 5 et 6 avril. Une coïncidence surprenante qui laissait planer de nombreux doutes. En réalité, cet horaire n’est correct que pour le 5 avril seulement. D’où provient cette erreur ? Quand l’on regarde le rapport des analyses téléphoniques, il devient facile de comprendre pourquoi. Le rapport inclut un résumé des activités téléphoniques, des analyses des enquêteurs et des données brutes. Dans le résumé, il est bien indiqué 13h37 pour le 6 avril. En revanche, quand l’on regarde les données brutes, on remarque une erreur de transcription. On retrouve un encadrement concernant le 6 avril, mais dont le contenu est désigné comme appartenant au 5 avril. L’horaire de 14h35 (heure locale) est indiqué sous l’encadré du 6 avril. En revanche, juste derrière cette horaire, la date renseignée désigne le 5 avril. L’information contradictoire à certainement dû embrouiller l’enquêteur qui a, de ce fait, oublié de retranscrire le bon horaire dans le résumé. Par conséquent, l’horaire correct de démarrage pour le 6 avril est 14h35.

https://camilleg.fr/le-projet-el-pianista-les-donnees-officielles-des-telephones-portables/


Startete das iPhone am 5. und 6. April genau zur gleichen Zeit?

Im Internet wird die Uhrzeit 13:37 Uhr für das Hochfahren des iPhones am 5. und 6. April angegeben. Eine überraschende Übereinstimmung, die viele Zweifel aufkommen ließ. In Wirklichkeit ist diese Uhrzeit nur für den 5. April korrekt. Wie kam es zu diesem Fehler? Wenn man sich den Bericht über die Telefonanalysen ansieht, ist es leicht zu verstehen, warum. Der Bericht enthält eine Zusammenfassung der Telefonaktivitäten, der Analysen der Ermittler und der Rohdaten. In der Zusammenfassung wird für den 6. April tatsächlich 13:37 Uhr angegeben. Wenn man sich jedoch die Rohdaten ansieht, fällt ein Transkriptionsfehler auf. Es findet sich ein Rahmen, der sich auf den 6. April bezieht, dessen Inhalt aber als zum 5. April gehörend bezeichnet wird. Unter dem Kasten für den 6. April wird die Uhrzeit 14:35 Uhr (Ortszeit) angegeben. Das Datum direkt hinter dieser Zeitangabe bezieht sich jedoch auf den 5. April. Die widersprüchlichen Informationen haben den Ermittler sicherlich verwirrt, sodass er vergessen hat, den richtigen Zeitplan in die Zusammenfassung zu übertragen. Die korrekte Startzeit für den 6. April ist daher 14:35 Uhr.


Übersetzt mit DeepL.com

JayneSabbath schrieb:Na das ist doch 2...die Logs sind ja in der Kopie der handys enthaltrn

und warum "erahnen" wir dann, was auf den DVDs ist, wenn "wir" es wissen? Verstehe ich immer noch nicht.

Outback schrieb:Die widersprüchlichen Informationen haben den Ermittler sicherlich verwirrt, sodass er vergessen hat, den richtigen Zeitplan in die Zusammenfassung zu übertragen. Die korrekte Startzeit für den 6. April ist daher 14:35 Uhr.

das sind aber auch nur Vermutungen.

Und es ist ja immer noch so, dass man das iPhone nicht ausschalten kann während des Hochfahrens, richtig? Das hattest Du ja geschrieben und deckt sich mit meinen Erfahrungen mit all meinen iPhones.....das bedeutet also, dass das Iphone erst dann wieder ausgemacht werden kann, wenn es hochgefahren ist, also kein Apfelsymbol mehr sichtbar und das bedeutet, dass der reguläre screen (Uhrzeit, Netz usw.) sichtbar ist, richtig?

Tussinelda schrieb:und warum "erahnen" wir dann, was auf den DVDs ist, wenn "wir" es wissen? Verstehe ich immer noch nicht.

Wir wissen es dann, wenn wir sie gesehen haben. Eigentlich logisch.

Tussinelda schrieb:das sind aber auch nur Vermutungen.

Das spielt kaum eine Rolle, wenn aus den Logs die korrekte Zeit hervorgeht.

Tussinelda schrieb:also kein Apfelsymbol mehr sichtbar und das bedeutet, dass der reguläre screen (Uhrzeit, Netz usw.) sichtbar ist, richtig?

Bis ein Signal angezeigt wird, vergehen weitere mindestens 5 Sekunden.

Da die Logs keine Signalanzeige ausgeben, bedeutet dies zu 99 prozentiger Wahrscheinlichkeit, dass so lange nicht mal mehr abgewartet worden ist. Es sei denn die Forensiker wollten uns das alles verheimlichen oder fanden die Informationen ganz plötzlich nicht mehr interessant.

Ein Blick auf die Uhrzeit oder den Akkustand wäre wohl möglich gewesen, wenngleich natürlich völlig sinnfrei.

Outback schrieb:Das "komische" forensische Ergebnis muss dann halt kriminalistisch bewertet und ggfs. zB hinsichtlich Manipulationsverdacht forensisch nachuntersucht werden.

Aber ist dies denn von offizieller Seite erfolgt? Siehe Streusels Beitrag:

Streusel schrieb:Also in dem Bericht steht wörtlich drinnen, dass geschlussfolgert wird, dass das Handy sofort wieder ausgeschaltet wurde?

Also gab es diese Schlussfolgerung auch explizit im Bericht oder schlussfolgern wir hier nur aufgrund der vorliegenden Daten?

augustine schrieb:oder schlussfolgern wir hier nur aufgrund der vorliegenden Daten

Die vorliegenden Daten lassen keinen anderen Schluss zu. Sie sind der Schluss.

Ich versuche es ein allerletztes Mal.

Handy startet Boot um 13:11 Uhr. Handy bootet 45 Sekunden. Handy geht aus um 13:11 Uhr

Wie viel Spielraum bleibt da, damit das Handy nicht sofort wieder ausgeschaltet wird? Maximal 15 Sekunden.

Ist es wahrscheinlich, dass jemand 15 Sekunden etwas mit dem Handy macht? Nein! Denn die Logs registrieren keine Aktion und zeigen keine Informationen an.

Damit lege ich das Thema jetzt ad acta wie auch den Wasserschaden.