Ein False Positive ist eine Sicherheitswarnung oder Erkennung, die legitime Dateien, legitimen Datenverkehr oder harmlose Aktivitäten fälschlich als bösartig einstuft.
Wie False Positives entstehen
Jede Erkennungsmethode wägt Empfindlichkeit gegen Genauigkeit ab. Der umgekehrte Fehler ist ein False Negative – eine echte Bedrohung, die unbemerkt bleibt. Häufige Ursachen für False Positives sind:
- zu weit gefasste Signaturen oder Regeln, die auf legitimen Code passen;
- heuristische Analyse, die ungewöhnliche, aber harmlose Programme wie gepackte Installer oder Admin-Tools markiert;
- Anomalieerkennung, die ein neues, aber legitimes Verhalten – etwa einen Backup-Job oder einen Software-Rollout – als Angriff wertet;
- veraltete Threat Intelligence, zum Beispiel eine IP-Adresse, die einst Malware hostete, nun aber zu einem Cloud-Dienst gehört.
Warum False Positives relevant sind
False Positives sind in zweifacher Hinsicht teuer. Erstens können sie Systeme lahmlegen: 2010 stufte ein fehlerhaftes Signatur-Update von McAfee die Windows-Systemdatei svchost.exe als bösartig ein und schickte zahlreiche Windows-XP-Rechner in Neustartschleifen. Zweitens verursachen sie Alert Fatigue (Alarmmüdigkeit). Wenn Analysten in einem Security Operations Center täglich Tausende meist harmlose Warnungen bearbeiten, gehen echte Bedrohungen unter. Untersuchungen zum Target-Hack 2013 zeigten, dass Malware-Warnungen ausgelöst, aber nicht weiterverfolgt worden waren.
Die False-Positive-Rate ist daher eine zentrale Qualitätskennzahl für Antivirenprogramme, EDR, IDS und SIEM-Regeln; unabhängige Testlabore wie AV-Test und AV-Comparatives messen sie neben der Erkennungsrate.
So reduzieren Sie False Positives
- Erkennungsregeln an die eigene Umgebung anpassen und zu laute Regeln ausmustern.
- Kontext ergänzen: Kritikalität der Assets, Benutzerrollen und Threat Intelligence.
- Enge, dokumentierte Ausnahmen statt deaktivierter Schutzfunktionen nutzen.
- Fehlerkennungen an den Hersteller melden und die False-Positive-Rate im Zeitverlauf verfolgen.
