Anomaly Detection: Definition, Methoden, Abgrenzung

Anomaly Detection (deutsch: Anomalieerkennung) bezeichnet das automatisierte Aufspüren von auffälligen Werten in Daten, also von Werten, die klar aus dem gewohnten Muster fallen. Zum Einsatz kommen dabei statistische Verfahren oder Modelle des maschinellen Lernens (Machine Learning, ML: Software, die Muster aus historischen Daten ableitet). Was auffällig ist, entscheidet danach eine fachliche Prüfung durch einen Menschen.

Was ist Anomaly Detection?

Anomaly Detection ist ein Oberbegriff für Verfahren, die einzelne, seltene oder ungewöhnliche Werte in einer sonst gleichmäßigen Datenreihe markieren. Im Deutschen spricht man von Anomalieerkennung oder Ausreißererkennung. Das Grundprinzip ist immer gleich: Ein Modell lernt aus früheren Daten, was als „normal" gilt. Jeder neue Wert bekommt dann einen Anomalie-Score (eine Kennzahl dafür, wie stark er vom Normalfall abweicht). Ein festgelegter Grenzwert (Schwellwert) entscheidet, ab wann der Fall gemeldet wird.

Die Fachliteratur unterscheidet drei Typen von Anomalien. Eine punktuelle Anomalie ist ein einzelner Wert, der von der Mehrheit abweicht (etwa eine einzelne Kartentransaktion über einem ungewöhnlich hohen Betrag in einem Muster kleiner Beträge). Eine kontextuelle Anomalie ist ein Wert, der nur im Kontext ungewöhnlich ist (ein hoher Umsatz am Sonntagmorgen fällt auf, an einem Werktag nicht). Eine kollektive Anomalie ist eine Gruppe von Punkten, die gemeinsam auffällig ist, während einzelne Punkte darin unauffällig wären (etwa ein plötzlicher, langer Ausfall gleicher Sensor-Messwerte).

Nach der Art der Trainingsdaten werden drei Regime unterschieden. Unsupervised-Verfahren arbeiten ohne Labels und schätzen die Datenverteilung selbst; gängige Algorithmen sind Isolation Forest, One-Class SVM, DBSCAN, Local Outlier Factor und Autoencoder. Semi-supervised-Verfahren trainieren ausschließlich auf Normaldaten und markieren alles, was davon abweicht. Supervised-Verfahren nutzen Labels für „normal" und „auffällig", verwenden Klassifikations-Modelle wie Random Forest oder Gradient Boosting und leiden häufig unter stark unbalancierten Klassen. Für Zeitreihen dominieren spezifische Verfahren wie STL- oder SARIMA-Residuen, Matrix Profile und LSTM- oder Transformer-basierte Autoencoder.

Anomaly Detection ist kein selbst-erklärendes Verfahren. Ein hoher Anomalie-Score sagt nur, dass ein Punkt aus dem Rahmen fällt. Die Ursache (technischer Fehler, Betrugsversuch, echtes neues Muster, defekter Sensor) klärt erst die fachliche Analyse. Produktive Systeme koppeln die Erkennung deshalb an einen Review-Prozess, in dem markierte Fälle bewertet und die Rückmeldungen wieder ins Modell einfließen.

Abgrenzung zu verwandten Begriffen

Anomaly Detection wird in der Praxis mit mehreren benachbarten Begriffen verwechselt. Die Abgrenzung verläuft entlang unterschiedlicher Achsen: Datenbestand, Fokus, Aufgabenstellung.

Begriff	Achse	Kernunterschied
Outlier Detection	Tradition	Klassisch-statistische Sicht auf Ausreißer in einem festen Datensatz (Boxplot, Z-Score). Anomaly Detection ist der breitere Begriff und umfasst Zeitreihen-, Kontext- und ML-basierte Verfahren; im ML-Sprachgebrauch werden die Begriffe oft synonym benutzt.
Novelty Detection	Fokus	Erkennt gezielt das erste Auftreten eines neuen Musters und wird auf Normaldaten trainiert. Anomaly Detection umfasst auch Auffälligkeiten innerhalb bekannter Daten.
Drift Detection	Objekt	Prüft, ob sich Datenverteilung oder Modellgüte über die Zeit systematisch verschiebt (Data Drift, Concept Drift). Anomaly Detection markiert einzelne Datenpunkte, Drift Detection erkennt kollektive Verschiebungen des Gesamtverhaltens.
Fraud Detection	Anwendung	Anwendungsfeld, das Anomaly-Detection-Methoden mit Regel- und Klassifikations-Modellen kombiniert. Bekannte Betrugsmuster werden als überwachte Klassifikation modelliert; Anomaly Detection liefert Kandidaten für unbekannte Muster.
Classification	Aufgabe	Klassifikation lernt aus bekannten Klassen eine Zuordnung. Anomaly Detection definiert typischerweise nur „normal" und behandelt alles darüber hinaus als Kandidat für eine Anomalie.

Am häufigsten überschneiden sich Anomaly Detection und Drift Detection in produktiven ML-Systemen: Ein Modell kann normal weiterarbeiten, obwohl sich die Datenverteilung verschiebt (Drift), und einzelne Datenpunkte können anomal sein, obwohl die Verteilung stabil ist (Anomaly). Beide Verfahren adressieren verschiedene Fragen und werden meist parallel eingesetzt.

Beispiel: Anomaly Detection im Zahlungsverkehr

Ein Zahlungsdienstleister betreibt auf einer Data-Lakehouse-Plattform ein produktives Anomaly-Detection-Modell für Kartentransaktionen. Ein Isolation-Forest-Modell wird nächtlich auf den vergangenen 90 Tagen an Transaktionsdaten trainiert und über Model Serving in Echtzeit angesprochen. Jede eingehende Transaktion erhält einen Anomalie-Score auf Basis von Merkmalen wie Betrag, Händlertyp, Ortsdifferenz zur letzten Transaktion, Uhrzeit und Frequenz.

Transaktionen oberhalb eines Schwellwerts werden für eine manuelle Prüfung markiert. Die manuellen Bewertungen fließen als Labels zurück und trainieren ein zusätzliches Klassifikationsmodell, das bekannte Betrugsmuster überwacht erkennt. Anomaly Detection liefert dabei die Kandidaten, die Klassifikation die Entscheidung. Diese Kombination ist typisch für produktive Fraud-Detection-Systeme, weil bekannte Muster überwacht modelliert werden können, während Anomaly Detection den Blick auf neue, noch nicht gelabelte Muster offen hält.

Ähnliche Architekturen finden sich in der Predictive Maintenance (Sensor-Anomalien an Maschinen), im Netzwerk-Monitoring (Intrusion Detection), in der Data Quality (ungewöhnliche Werte in Ingestion-Pipelines) und im Vertriebs-Frühwarnsystem (auffällige Muster im Kundenverhalten als Churn-Signal).