Kurz-Fakten
- Trainiert wird häufig nur auf unauffälligen Daten
- Klassische Verfahren: Isolation Forest, One-Class SVM, Autoencoder
- Fehlalarme sind der übliche Engpass im Betrieb
- Der Schwellenwert ist eine fachliche, keine technische Festlegung
Bedeutung in der Praxis
Ein System, das täglich zweihundert Meldungen erzeugt, von denen fünf zutreffen, wird nach zwei Wochen ignoriert. Die Frage nach der zumutbaren Zahl an Meldungen gehört an den Anfang des Projekts, nicht ans Ende.