Analyse von Anomalien und Korrelationen

1) Warum ist es iGaming

• Erkennt Abweichungen früh (bevor KPIs und Umsatz in Berichten fallen).
• Unterscheidet Störungen von Saisonalität/Aktionen/Turnieren.
• Findet die zugrunde liegenden Ursachen (RCA) statt „Behandlung der Symptome“.
• Respektiert Privatsphäre und Ethik (RG/AML), ohne PII zu verschenken.

2) Typologie der Anomalien

Punkt (Punkt): ein einzelner Peak/Flop (z.B. Spike PSP-Fehler).
Seriell (kollektiv): eine Abfolge atypischer Werte (langer Abbau).
Kontextuell: nachts normal, tagsüber abnormal (abhängig vom Kontext: Stunde/Land/Kanal).
Modus-/Trendwechsel (Change-Point): Niveau, Varianz, Saisonalität haben sich dramatisch verändert.
Strukturell: Platzen von Lücken/Duplikaten, Schema drift.
Ursache und Wirkung: Die Änderung des Nachbarknotens (PSP/Provider) hat unsere Reihe „umgedreht“.

3) Datenaufbereitung und Kontext

Kalender und Saisonalität: Wochenenden/Feiertage/Turniere/Aktionen → separate Basislinien.
Aggregationsschichten: 1-min/5-min/Stunde, nach Land/Marke/Anbieter/Gerät.
Normalisierung: per-capita (pro Spieler/Session), nach Tageszeit, nach FX.
Timeline: rolling mean/std, EWMA, lags, Wochentag, „minutes to cut-off“.
Qualität: Wir filtern verspätete Ereignisse/Duplikate, beseitigen Timezone-Fehler.

4) Detektionsmethoden (von einfach bis hybrid)

Statistiken und Zeitreihen

Robust z-score (Median/IQR), EWMA, STL-Zerlegung (trend/saisonal/remain).
CUSUM/ADWIN - sind empfindlich gegen Mittelwertverschiebung/Varianz.
Änderungspunkte (z.B. PELT/BOCPD): Wir erfassen die Moduswechselpunkte.
Prophet/ETS - Prognose + Vertrauenskorridor → Emissionen außerhalb des Intervalls.

Mehrdimensional/Dichte

Isolation Forest, LOF, One-Class SVM - wenn viele Zeichen (PSP, Geo, Kanal, Gerät).
Autoencoder (Rekonstruktion/Fehler) für komplexe Muster.

Online-Streams

Schiebefenster, Quantilsketche, EWMA + Hysterese; Wasserzeichen und späte Daten.
„Dual-thresholds“ (Eingang/Ausgang aus der Anomalie), um das Prasseln zu unterdrücken.

Hybrid

Domain-Regeln (SLO-bewusst) + Statistiken/ML → höhere Genauigkeit und Erklärbarkeit.

5) Erkennungsqualität: wie man misst

Precision/Recall/F1 zu den gemeldeten Vorfällen.
ATTD (Average Time To Detect) und TTR (Zeit bis zur Normalisierung).
Duration bias: Strafe für „Blinken“ (häufige Ein-/Ausgänge aus der Anomalie).
Ex-post-Geschäftsmetriken: „wie viele Runden/Einlagen gerettet wurden“, „wie viele P1 verhindert wurden“.
Stabilität: Anteil der unterdrückten Fehlalarme; p95 „stille Nächte“.

6) Korrelation, Kausalität und Fallen

Korrelation ≠ Kausalität: Der gemeinsame Treiber (Aktie/externer Down) kann beide Metriken „führen“.
Partielle Korrelation (bedingt), Mutual Information (MI) - wenn die Verbindungen nicht linear sind.
Granger causality (zeitliche Kausalität) - eine Reihe hilft, die andere vorherzusagen.
DAG/causal discovery (mit prädiktiver Überprüfung) - Hypothesen über die Richtung des Einflusses.
Simpsons Paradox: Aggregate „lügen“ ohne Schichtung (Land/Kanal/Gerät).
Leakage: Zeichen, die zukünftige Informationen enthalten, geben falsche Ursachen.

7) Root-Cause Analysis (RCA)

Abhängigkeitsgraph: Spieleanbieter → Lobby → Wetten → Zahlungen/PSP → KPIs.
Scan nach Messungen: Wer ist „kaputt“? (Land, Marke, Anbieter, Zahlungsmethode, OS).
Kontrastgruppen: Wo es eine Anomalie gibt/nicht → relatives Risiko/odds ratio.
Shapley/Feature-Attribution für mehrdimensionale Anomaliemodelle.
Was-wäre-wenn-Szenarien: Verdächtiges Segment ausschalten - erholt sich der KPI?

8) Geräuschunterdrückung und Priorisierung

Hysterese: „3 von 5 Fenstern sind gestört“ zur Bestätigung.
Dynamische Schwellenwerte: baseline ± k· σ, Quantil 5/95, saisonale Profile.
Gruppierung: ein Vorfall pro „Anbieter A“ statt 300 Alert pro Spiel.
SLO-Achtsamkeit: Alertim nur, wenn SLO/Business-Schwelle betroffen ist.
Suppressionen: N Alert für maximal T Minuten pro Label-Set.

9) Pipeline: online und offline

Online: Flink/Spark Streaming/CEP - Minutenfenster, Wasserzeichen, Deduplizierung, Idempotenz.
Offline: Backtests für das Geschichtsjahr, Injektion „synthetischer“ Vorfälle, Vergleich der Kandidaten.
ModelOps: Versionierung von Regeln/Modellen (MAJOR/MINOR/PATCH), Shadow/Canary und Rollback für Regeln.

10) Datenschutz, Ethik, Compliance

Zero-PII in Fich und Alert; Token anstelle von IDs.
RG/AML: getrennte Kanäle und Zugänge; Redaction des Textes.
Bias: Überprüfen Sie die Streuung auf empfindliche Messungen (Land/Methode/Gerät) - machen Sie aus der Anomalie keine Diskriminierung.
Legal Hold/DSAR: Speicherung der Detektions-/Entscheidungshistorie - WORM-log.

11) iGaming-Fälle (vorgefertigte Vorlagen)

Zahlungen/PSP

Detektion: 'success _ rate _ deposits _ 5m ↓' unten baseline_28d 3 σ, Bestätigung von 3/5 der Fenster → P1.
RCA: Schnitt durch "psp, country, method';; Warteschlangen/Retrays überprüfen.

Spieleanbieter

Detektion: 'rounds _ per _ min' des Providers A <60% der rolling_quantile (0. 1) für 28d → P1.
Aktion: Verstecken Sie die Titel der A-Spiele, benachrichtigen Sie den Anbieter, wechseln Sie die Lobby.

RG

Detektion: 'high _ risk _ share' ↑> 3 pp in 10 min in der Marke B → P2.
RCA: Kampagnen/Boni, Anstieg neuer Geräte, Geo-Shift.

Betrugsbekämpfung

Detektion: 'chargeback _ rate _ 60m> μ + 3 σ' Und 'new _ device _ share ↑' → P1.
Aktion: Scoring/Auszahlungslimits verschärfen.

12) Artefakte und Vorlagen

12. 1 YAML-Regeln (online)

yaml rule_id: psp_success_drop severity: P1 source: stream:payments. metrics_1m baseline: {type: seasonal_quantile, period: P28D, quantile: 0. 1, by: [hour, dow, country, psp]}
detect:
type: ratio_below value: 0. 6 confirm: {breaches_required: 3, within: PT5M}
labels: {psp: "$psp", country: "$country"}
actions:
- route: pagerduty:payments
- soars: [{name: switch_psp, params: {backup: "PSP_B"}}]
privacy: {pii_in_payload: false}
version: 1. 4. 0

12. 2 Config offline backtest

yaml dataset: payments_gold period: {from: "2025-07-01", to: "2025-10-31"}
inject_scenarios:
- type: level_shift target: success_rate where: {psp: "PSP_A", country: "EE"}
from: "2025-09-15T12:00Z"
delta: -0. 02 metrics: [precision, recall, f1, attd_sec]

12. 3 RCA Incident Pass

Vorfall: drop rounds @ provider A

Periode: 2025-11-01 18: 10-18: 35 (Europa/Kyiv)

Root-node: `games. engine. provider_A` (change-point @18:12)

Аффект: `lobby_clicks ↓`, `rounds_per_min ↓ 45%`, `GGR/min ↓ 28%`

Gegenargumente: Zahlungen OK, PSP OK, FX/stats normal

Aktionen: versteckte Fliesen, Anbieterkontakt, Statusbanner

Ergebnis: Wiederherstellung @ 18:34; Verluste vermieden X

13) Metriken für den Prozesserfolg

Precision/Recall/F1 zu P1/P2 Vorfällen (Markierung durch Domaininhaber).
ATTD/MTTR in Minuten (Median/p90).
Noise↓: − X% der „falschen Nacht“ -Alarme, ≤ Y-Alert/Schicht.
RCA-Zeit: Die mediane Zeit bis zur Ursache.
Business saved: Bewertung der einbehaltenen Einlagen/Runden.
Coverage: ≥ 95% der kritischen Wege unter Aufsicht.

14) Prozesse und RACI

Domain Owners (R) - Regeln/Basislinien/Incident Markup.
Data Platform/Observability (R) - Detektionsmaschine, Speicherung, SLO.
ML Lead (R) - Anomaliemodelle, Kalibrierung, Fairness.
SRE/SecOps (R) - Integration mit SOAR/PagerDuty, Incidents.
CDO/DPO (A) - Datenschutz-/Ethikpolitik, Zero-PII.
Product/Finance (C) - SLO-Schwellenwerte und Geschäftsprioritäten.

15) Fahrplan für die Umsetzung

0-30 Tage (MVP)

1. Kritische Wege: Zahlungen, game_rounds, Frische ingest.
2. Basislinien nach Stunden/Tagen und Schlüsseldimensionen (Land/Marke/psp/Anbieter).
3. Einfache Detektoren: EWMA/robust z-score + Hysterese.
4. Alert-Kanäle und 3 Runbooks (Zahlungen/Spiele/DQ).
5. Backtests für 3-6 Monate der Geschichte; Kennzeichnung von Vorfällen.

30-90 Tage

1. Wechselpunkte, saisonale Quantilen, multimodale Reihen.
2. Isolation Forest/LOF für mehrdimensionale Fälle; Schatten-Modus.
3. RCA-Graph für Abhängigkeiten und halbautomatische Attribution.
4. SLO-bewusste Schwellenwerte; suppression/grouping; Tickets mit automatischer Vervollständigung.

3-6 Monate

1. Champion-Challenger Regeln/Modelle; Autotuning der Schwellen.
2. Externe Integrationen (Provider/PSP) mit signierten Webhooks.
3. Berichte „Beitrag der Warnmeldungen zum MTTR/Umsatz“; vierteljährliche Hygiene-Sitzungen.
4. Causal-Experimente für umstrittene Korrelationen (A/B, Granger, instrumentelle Variablen).

16) Anti-Muster

Schwelle „pro Auge“, gemeinsam für alle Länder/Stunden/Kanäle.
Ignorieren Sie die Saisonalität/Aktien → den „Sturm“ falscher Warnmeldungen.
Keine Backtests und keine Kennzeichnung von Vorfällen - es gibt nichts zu optimieren.
Das Streben nach Korrelationen ohne Stratifizierung/Partial Corr → falsche Ursachen.
Protokolle/Alerts mit PII, Screenshots in geteilten Kanälen.
„Ewige“ Regeln ohne Revision und Besitzer.

17) Verwandte Abschnitte

Alerts aus Datenströmen, DataOps-Praktiken, Analyse-APIs und Metriken, Audit und Versionierung, MLOps: Modellausnutzung, Zugriffskontrolle, Sicherheit und Verschlüsselung, Datenspeicherungsrichtlinien, Reduzierung von Bias.

Summe

Die Analyse von Anomalien und Korrelationen ist keine „ML-Magie“, sondern ein Engineering-System: korrekter Kontext und Saisonalität, ein Hybrid von Regeln und Modellen, strenge Qualitätsmetriken und ein kontrolliertes RCA. Bei iGaming reduziert ein solches System die MTTR, schützt die Einnahmen und hält das Vertrauen der Spieler und Aufsichtsbehörden - ohne die Privatsphäre zu verletzen.