Digitalforensisches Dossier · Panama 2014

Digitale Spuren im Fall Kris Kremers und Lisanne Froon

Von Dr. Christian Hardinghaus und Annette Nenner

Zwei Telefone und eine Kamera sind die einzigen Zeugen der Tage nach dem 1. April 2014. Wir haben ihre Daten Tag für Tag geordnet: Notrufversuche, Ein- und Ausschaltvorgänge, Akkustände, Screenshots und die Fotos vom 1. und 8. April.

Zur Timeline Zum Buch Fallexikon öffnen

Was die Geräte aufgezeichnet haben

Nach dem Verschwinden der beiden Studentinnen wurden Kris’ iPhone 4, Lisannes Samsung Galaxy S III Mini und ihre Kamera, eine Canon PowerShot SX270, ausgewertet. Die Telefondaten stammen aus der Auswertung des Niederländischen Forensischen Instituts (NFI); Jan B. hat sie für uns technisch analysiert.

Diese Seite ordnet die dokumentierten Vorgänge chronologisch und nach Gerät. Im Mittelpunkt stehen die acht Notrufversuche, der Verlauf der Akkustände, die Screenshots und die Lücke zwischen den Tagfotos vom 1. April und den Nachtfotos vom 8. April.

Zur Methode: Wir trennen dokumentierte Gerätevorgänge, technische Deutungen und offene Fragen. Eine Auffälligkeit in den Daten ist für sich genommen kein Beweis für einen bestimmten Ablauf. Die Uhrzeiten geben wir so wieder, wie sie in den ausgewerteten Daten stehen.

65
Timeline-Einträge
12
Tage (31.3.–11.4.)
3
Geräte
8
Notrufversuche
17
Wendepunkte
133
Kamerafotos

Timeline der digitalen Spuren

Alle dokumentierten Vorgänge vom 31. März bis zum 11. April 2014, nach Tagen geordnet. Rot markiert sind Notrufversuche und Wendepunkte.

Montag, 31. März 2014

  1. Samsung

    Akkustand erfasst

    Akku 16 %
  2. Samsung

    Gerät wird geladen (bis 10:45:26)

  3. iPhone

    Eingeschaltet – Bootzeit 1:47 Minuten (ungewöhnlich lang)

    Akku 70 %
  4. Samsung

    Foto 20140331_134832.jpg

  5. Samsung

    Foto 20140331_134837.jpg

  6. iPhone

    WhatsApp-Nachricht („going hiking“)

    Akku 70 %
  7. iPhone

    WLAN-Verbindung „SbtR“

    Akku 70 %
  8. Samsung

    Letzte gesendete WhatsApp-Nachricht

  9. iPhone

    Letzte WhatsApp-Aktivität

    Akku 70 %
  10. Samsung

    Letzte WLAN-Verbindung am 31. März

  11. iPhone

    Letzte dokumentierte Aktivität vor dem 1. April

    Akku 65 %
  12. Samsung

    Akkustand erfasst

    Akku 64 %

Dienstag, 1. April 2014

  1. iPhone

    Systemaktivität

    Akku 51 %
  2. Samsung

    Letzte empfangene WhatsApp-Nachricht

  3. Samsung

    Letzte WLAN-Verbindung

    Akku 51 %
  4. iPhone

    Erste Nutzung am 1. April – Kontakt zum GSM-Netz (camped_rat=GSM)

    Akku 51 %−82 dBm, 5 Balken
  5. Kamera

    IMG_0475.JPG – erstes Foto des Tages

  6. iPhone

    Kontakt zum GSM-Netz (camped_rat=GSM)

    Akku 51 %−85 dBm, 4 Balken
  7. iPhone

    Funkloch – kein Kontakt zum GSM-Netz (camped_rat=Unknown)

    Akku 51 %−82 dBm, 1 Balken
  8. iPhone

    Wieder Kontakt zum GSM-Netz (camped_rat=GSM)

    Akku 51 %−82 dBm, 1 Balken
  9. iPhone

    Schwankendes Signal (camped_rat=GSM)

    Akku 51 %Balken 3, 4, 3, 5, 4
  10. iPhone

    Fotodateien IMG_2125.JPG bis IMG_2127.JPG entstehen

    Akku 51 %−87 dBm, 4 Balken
  11. Samsung

    Fotos 20140401_131420.jpg bis 20140401_131513.jpg

  12. Samsung

    Google Maps wird geschlossen

  13. Kamera

    IMG_0507.JPG – Foto am Mirador (Aussichtspunkt)

  14. iPhone

    Fotodatei IMG_2128.JPG – letztes iPhone-Foto am Mirador

    Akku 51 %−89 dBm, 4 Balken
  15. Kamera

    IMG_0508.JPG – letztes Tagfoto

  16. iPhone

    Endgültiger Verlust des GSM-Kontakts (camped_rat=Unknown), rund 800 Powerlog-Einträge

    Akku 51 %−94 dBm, 1 Balken
  17. Samsung

    Wahrscheinlicher Verlust des GSM-Kontakts

  18. Kamera

    IMG_0509.JPG – diese Datei fehlt in der Nummernfolge zwischen Tag- und Nachtserie

  19. iPhone

    Erster Notrufversuch 112 – keine Verbindung

    Akku 42,18 %−94 dBm, 1 Balken, camped_rat=Unknown
  20. Samsung

    Notrufversuch 112 – keine Verbindung

    Akku 22 %
  21. Samsung

    Wahrscheinlich manuell ausgeschaltet (Systemaktivität endet)

  22. iPhone

    Ausgeschaltet – keine weitere Dateisystem-Aktivität bis zum nächsten Morgen

    Akku 40 %kein Netz

Mittwoch, 2. April 2014

  1. Samsung

    Eingeschaltet, Notrufversuch 112, wieder ausgeschaltet

    Akku 19 %
  2. iPhone

    Eingeschaltet – Bootzeit 1:38 Minuten

    Akku 42,98 %−113 dBm, 1 Balken
  3. iPhone

    Screenshot des Kontrollzentrums, Umschalten zwischen 2G und 3G

    Akku 42,98 %−113 dBm, 1 Balken
  4. iPhone

    Notrufversuch 112 – keine Verbindung

    Akku 42,98 %−113 dBm, 1 Balken
  5. Samsung

    Eingeschaltet, Notrufversuche 112 und 911, wieder ausgeschaltet

    Akku 19 %
  6. Samsung

    Eingeschaltet und wieder ausgeschaltet, keine Anrufe

    Akku 18 %
  7. Samsung

    Eingeschaltet und über Nacht angelassen

    Akku 18 %

Donnerstag, 3. April 2014

  1. Samsung

    Wetter-App und Android-Systemanwendungen genutzt (bis 02:47)

    Akku 4 %
  2. Samsung

    Akku bei 1 %, wahrscheinlich abgeschaltet

    Akku 1 %
  3. iPhone

    Eingeschaltet

    Akku 41,62 %−113 dBm, 1 Balken
  4. iPhone

    Notrufversuch 911 – keine Verbindung

    Akku 41,62 %−113 dBm, 1 Balken
  5. iPhone

    Zweiter Notrufversuch 911 – keine Verbindung; Screenshot der Wähltastatur

    Akku 41,62 %−113 dBm, 1 Balken
  6. iPhone

    Eingeschaltet

  7. iPhone

    Eingeschaltet; kurz darauf wird der Kontakt „Mytiam“ im Adressbuch geöffnet

    Akku 39 %−113 dBm, 1 Balken

Freitag, 4. April 2014

  1. Samsung

    Eingeschaltet und wieder ausgeschaltet

  2. Samsung

    Letzter Startversuch bei 0 % Akku, Shutdown-Aktivität

    Akku 0 %
  3. iPhone

    Eingeschaltet

    keine Powerlogs
  4. iPhone

    Eingeschaltet

    keine Powerlogs

Samstag, 5. April 2014

  1. iPhone

    Eingeschaltet, SIM-PIN korrekt eingegeben

    keine Powerlogs
  2. iPhone

    Eingeschaltet, SIM-PIN nicht eingegeben – letzter PIN-Versuch, SIM gesperrt

    keine Powerlogs

Sonntag, 6. April 2014

  1. iPhone

    Eingeschaltet, SIM-PIN nicht eingegeben

    keine Powerlogs
  2. iPhone

    Screenshot der Weltuhr-App (letzter App-Screenshot)

    keine Powerlogs
  3. iPhone

    Eingeschaltet, SIM-PIN nicht eingegeben

    keine Powerlogs

Montag, 7. April 2014

  1. iPhone

    Keine Aktivität registriert

Dienstag, 8. April 2014

  1. Kamera

    IMG_0510.JPG – erstes Nachtfoto, sieben Tage nach dem letzten Tagfoto

  2. Kamera

    IMG_0511.JPG bis IMG_0609.JPG – weitere Nachtfotos; insgesamt 100 Nachtfotos in 2 Std. 41 Min.

  3. Kamera

    IMG_0609.JPG – letztes Foto auf der Kamera

  4. iPhone

    Keine Aktivität registriert

Donnerstag, 10. April 2014

  1. Samsung

    Keine Aktivität mehr nach dem 4. April

    Akku 0 %

Freitag, 11. April 2014

  1. iPhone

    Eingeschaltet – Dateien werden erstellt, gelöscht oder verändert; keine App-Nutzung erkennbar; Akku geschätzt über 10 %

  2. iPhone

    Letzte Aktivität vor dem manuellen Ausschalten

Akkuverlauf der Telefone

Die dokumentierten Akkustände auf einer echten Zeitachse. Zwischen den Messpunkten waren die Geräte meist ausgeschaltet.

Das Diagramm erscheint, sobald JavaScript aktiv ist. Die Werte stehen in der Tabelle darunter.

iPhone 4 · Kris

Erster Wert (31.3., 13:13)
70 %
Letzter Messwert (3.4., 15:59)
39 %
Letzte Aktivität
11. April
Auffällig
lange Bootzeiten

Samsung Galaxy S III Mini · Lisanne

Vorabend (31.3., 23:40)
64 %
1. April, 10:10
51 %
Letzter Startversuch (4.4.)
0 %
Auffällig
App-Nutzung bei 4 %

Canon PowerShot SX270

Tagfotos (1.4.)
33
Nachtfotos (8.4.)
100
Pause
sieben Tage
Offene Frage
IMG_0509 fehlt
Alle Akkuwerte als Tabelle
ZeitpunktGerätAkkuVorgang
31.03.2014, 00:03:47Samsung16 %Akkustand erfasst
31.03.2014, 13:13iPhone70 %Eingeschaltet – Bootzeit 1:47 Minuten (ungewöhnlich lang)
31.03.2014, 14:00iPhone70 %WhatsApp-Nachricht („going hiking“)
31.03.2014, 16:42iPhone70 %WLAN-Verbindung „SbtR“
31.03.2014, 16:59iPhone70 %Letzte WhatsApp-Aktivität
31.03.2014, 19:07iPhone65 %Letzte dokumentierte Aktivität vor dem 1. April
31.03.2014, 23:40:27Samsung64 %Akkustand erfasst
01.04.2014, 04:13iPhone51 %Systemaktivität
01.04.2014, 10:10:25Samsung51 %Letzte WLAN-Verbindung
01.04.2014, 11:05iPhone51 %Erste Nutzung am 1. April – Kontakt zum GSM-Netz (camped_rat=GSM)
01.04.2014, 11:20iPhone51 %Kontakt zum GSM-Netz (camped_rat=GSM)
01.04.2014, 11:49iPhone51 %Funkloch – kein Kontakt zum GSM-Netz (camped_rat=Unknown)
01.04.2014, 12:33iPhone51 %Wieder Kontakt zum GSM-Netz (camped_rat=GSM)
01.04.2014, 13:14iPhone51 %Schwankendes Signal (camped_rat=GSM)
01.04.2014, 13:14iPhone51 %Fotodateien IMG_2125.JPG bis IMG_2127.JPG entstehen
01.04.2014, 13:15iPhone51 %Fotodatei IMG_2128.JPG – letztes iPhone-Foto am Mirador
01.04.2014, 13:38iPhone51 %Endgültiger Verlust des GSM-Kontakts (camped_rat=Unknown), rund 800 Powerlog-Einträge
01.04.2014, 16:39iPhone42,18 %Erster Notrufversuch 112 – keine Verbindung
01.04.2014, 16:51:00Samsung22 %Notrufversuch 112 – keine Verbindung
01.04.2014, 17:52iPhone40 %Ausgeschaltet – keine weitere Dateisystem-Aktivität bis zum nächsten Morgen
02.04.2014, 06:58:15Samsung19 %Eingeschaltet, Notrufversuch 112, wieder ausgeschaltet
02.04.2014, 08:12iPhone42,98 %Eingeschaltet – Bootzeit 1:38 Minuten
02.04.2014, 08:13iPhone42,98 %Screenshot des Kontrollzentrums, Umschalten zwischen 2G und 3G
02.04.2014, 08:14iPhone42,98 %Notrufversuch 112 – keine Verbindung
02.04.2014, 10:53:20Samsung19 %Eingeschaltet, Notrufversuche 112 und 911, wieder ausgeschaltet
02.04.2014, 13:50Samsung18 %Eingeschaltet und wieder ausgeschaltet, keine Anrufe
02.04.2014, 16:19Samsung18 %Eingeschaltet und über Nacht angelassen
03.04.2014, 02:21Samsung4 %Wetter-App und Android-Systemanwendungen genutzt (bis 02:47)
03.04.2014, 07:36:46Samsung1 %Akku bei 1 %, wahrscheinlich abgeschaltet
03.04.2014, 09:32iPhone41,62 %Eingeschaltet
03.04.2014, 09:33iPhone41,62 %Notrufversuch 911 – keine Verbindung
03.04.2014, 09:33iPhone41,62 %Zweiter Notrufversuch 911 – keine Verbindung; Screenshot der Wähltastatur
03.04.2014, 15:59iPhone39 %Eingeschaltet; kurz darauf wird der Kontakt „Mytiam“ im Adressbuch geöffnet
04.04.2014, 05:00Samsung0 %Letzter Startversuch bei 0 % Akku, Shutdown-Aktivität
10.04.2014Samsung0 %Keine Aktivität mehr nach dem 4. April

Die drei Geräte im Vergleich

iPhone 4

Kris Kremers

Timeline-Einträge
35
Notrufversuche
4
Screenshots
4
SIM gesperrt
5. April
Letzte Aktivität
11. April

Samsung Galaxy S III Mini

Lisanne Froon

Timeline-Einträge
23
Notrufversuche
4
PIN
unauffällig
Letzter Akkustand
0 %
Letzte Aktivität
4. April

Canon PowerShot SX270

Lisanne Froon

Timeline-Einträge
7
Fotos gesamt
133
Tagfotos
33
Nachtfotos
100
Fehlende Datei
IMG_0509

Die Notrufversuche

Acht Versuche in drei Tagen, vier von jedem Telefon, mit den Nummern 112 und 911. Keiner kam durch, weil keines der Geräte Kontakt zum Mobilfunknetz hatte.

  1. iPhone

    Notruf 112

    Akku 42 % · Erster Notrufversuch, kein Netz

  2. Samsung

    Notruf 112

    Akku 22 % · Zwölf Minuten nach dem Versuch mit dem iPhone

  3. Samsung

    Notruf 112

    Akku 19 % · Früh am Morgen; Gerät danach wieder ausgeschaltet

  4. iPhone

    Notruf 112

    Akku 43 % · Eine Minute nach dem Screenshot des Kontrollzentrums

  5. Samsung

    Notruf 112 und 911

    Akku 19 % · Zwei Versuche, beide Nummern

  6. iPhone

    Notruf 911

    Akku 42 % · Erster von zwei Versuchen

  7. iPhone

    Notruf 911

    Akku 42 % · Zweiter Versuch direkt danach, Screenshot der Wähltastatur

Wendepunkte in den Daten

Momente, an denen sich das Verhalten der Geräte ändert oder die Daten Fragen aufwerfen. „Offene Frage“ heißt: Die Daten zeigen, dass etwas passiert ist, aber nicht, warum.

  1. Letzter GSM-Kontakt verloren

    Das iPhone verliert den Kontakt zum Mobilfunknetz. Danach protokolliert es nur noch Platzhalterwerte (−113 dBm); rund 800 Powerlog-Einträge entstehen.

  2. Offene Frage

    IMG_0509 fehlt

    In der Nummernfolge der Kamera fehlt eine Datei zwischen dem letzten Tagfoto und dem ersten Nachtfoto. Ob sie gelöscht wurde oder nie gespeichert war, lässt sich aus der Nummerierung allein nicht ableiten.

  3. Erste Notrufversuche

    Innerhalb von zwölf Minuten wählen beide Telefone die 112. Es kommt keine Verbindung zustande.

  4. iPhone ausgeschaltet

    Bis zum nächsten Morgen gibt es keine Aktivität im Dateisystem.

  5. Offene Frage

    Screenshot des Kontrollzentrums

    Auf dem iPhone entsteht ein Screenshot des Kontrollzentrums, es wird zwischen 2G und 3G umgeschaltet. Eine Minute später folgt ein Notrufversuch.

  6. Offene Frage

    Wetter-App bei 4 % Akku

    Auf dem Samsung werden bei sehr niedrigem Akkustand die Wetter-App und Systemanwendungen genutzt.

  7. Zwei Notrufversuche mit 911

    Das iPhone wählt zweimal hintereinander die 911; dazu entsteht ein Screenshot der Wähltastatur.

  8. Offene Frage

    Kontakt „Mytiam“ geöffnet

    Nach dem Einschalten um 15:59 Uhr wird im Adressbuch des iPhones der Kontakt „Mytiam“ geöffnet.

  9. Samsung endgültig aus

    Letzter Startversuch bei 0 % Akku, danach Shutdown-Aktivität. Das Telefon wird nicht mehr aktiv.

  10. Letzte korrekte PIN-Eingabe

    Die SIM-PIN des iPhones wird zum letzten Mal korrekt eingegeben.

  11. SIM-Karte gesperrt

    Nach dem letzten PIN-Versuch ist die SIM-Karte gesperrt. Bei späteren Starts wird keine PIN mehr eingegeben.

  12. Offene Frage

    Screenshot der Weltuhr

    Der letzte App-Screenshot auf dem iPhone zeigt die Weltuhr.

  13. Erstes Nachtfoto

    Sieben Tage nach dem letzten Tagfoto nimmt die Kamera wieder Bilder auf.

  14. 100 Nachtfotos in 2 Std. 41 Min.

    Die meisten Bilder sind fast schwarz; einige zeigen Vegetation, Felsen und Haare.

  15. Letztes Foto

    IMG_0609.JPG ist die letzte Aufnahme auf der Kamera.

  16. Letzte iPhone-Aktivität

    Das iPhone wird ein letztes Mal eingeschaltet. Dateien werden erstellt, gelöscht oder verändert; eine App-Nutzung ist nicht erkennbar.

  17. Letztes Ausschalten

    Letzte Aktivität vor dem manuellen Ausschalten. Danach wird das iPhone nicht mehr eingeschaltet.

Technische Auffälligkeiten

Bootzeiten

iPhone:
etwa 1:40 bis 1:50 Minuten
Vergleichswert:
etwa 1:10 bis 1:20 Minuten
Mögliche Ursachen:
Speicherzustand, Software oder Gerätekonfiguration

Signalwerte

Letzter Netzkontakt:
1. April, gegen 13:15 Uhr
Verlust protokolliert:
13:38 Uhr
Danach:
Platzhalterwert −113 dBm

Powerlogs

1. April:
stark erhöhte Logmengen (rund 800 Einträge)
Ab 4. April:
keine reguläre Speicherung mehr
Einordnung:
technisch zu bewerten, nicht isoliert zu deuten

Screenshots

2. April:
Kontrollzentrum
3. April:
Wähltastatur beim Notruf; Kontakt „Mytiam“
6. April:
Weltuhr-App

Temperaturwerte

Spanne:
etwa 19 bis 24 °C
Einordnung:
Gerätetemperatur, keine Wetter- oder Standortmessung

IMG_0509.JPG

Position:
zwischen Tag- und Nachtserie
Status:
Datei fehlt
Grenze:
Ob gelöscht oder nie gespeichert, verrät die Nummerierung nicht

Quellen und weiterführende Angebote

Technischer Bericht

Die ausführliche Analyse der Telefondaten von Jan B. mit Erläuterungen zu Bootzeiten, Signalwerten, Powerlogs und einzelnen Zeitpunkten.

PDF · 14 Seiten · 1,3 MB · Englisch

PDF öffnen

Verschollen in Panama

Unser Buch verbindet die Ermittlungsakten, Interviews, fünf Monate Recherche vor Ort und die digitalen Spuren zu einer vollständigen Rekonstruktion.

BoD 2024 · 320 Seiten

Zur Buchseite

Case Lexicon

Nachschlagewerk zu Personen, Orten, Routen, Suchgebieten, Behörden und Fundstellen des Falls.

Derzeit nur auf Englisch

Fallexikon öffnen

Die Hörbuchreihe zum Fall

Vier Folgen, von Christian Hardinghaus selbst gesprochen, zusammen knapp sieben Stunden.

Hörbuch-Cover „Die große Suche“Folge 1Die große Suche Hörbuch-Cover „Die Ermittlungen“Folge 2Die Ermittlungen Hörbuch-Cover „Theorien & Mythen“Folge 3Theorien & Mythen Hörbuch-Cover „Erklärungen“Folge 4Erklärungen

Autoren und technische Auswertung

Dr. Christian HardinghausCo-Autor, Historiker und Fachjournalist
Annette NennerCo-Autorin, Investigativjournalistin

Die technische Auswertung der NFI-Telefondaten hat Jan B. übernommen. Dieses Dossier fasst ausgewählte Ergebnisse verständlich zusammen; der vollständige Bericht steht oben als PDF bereit.

Hinweise zu laufenden Vermissten- oder Ermittlungsfällen gehören an die zuständigen Behörden. Sachliche Hinweise und Korrekturen zu diesem Dossier nehmen wir gern über die Kontaktseite entgegen.