🏦 Geldwäsche-Detektor — DBSCAN-Clustering live

DBSCAN (Density-Based Spatial Clustering of Applications with Noise, Ester et al. 1996) gruppiert Punkte, die im Merkmalsraum eng beieinander liegen, und markiert Punkte in Regionen niedriger Dichte als Rauschen. Anders als k-Means verlangt DBSCAN nicht, die Anzahl der Cluster im Voraus festzulegen, kann beliebig geformte Cluster statt nur runder Blobs finden und produziert explizit eine Ausreißerkategorie, statt jeden Punkt in irgendeinen Cluster zu zwingen. Das macht es gut geeignet für Betrugs- und Anomalieerkennung, bei der die Anzahl verdächtiger Gruppen unbekannt ist und die meisten Konten schlicht gewöhnliches Hintergrundrauschen sind.

Für einen gewählten Radius Epsilon (ε) und eine Mindestanzahl von Nachbarn minPts ist ein Punkt ein Kernpunkt, wenn mindestens minPts Punkte (ihn selbst eingeschlossen) innerhalb seiner ε-Nachbarschaft liegen — er befindet sich in einer wirklich dichten Region. Ein Randpunkt erfüllt diese Dichteschwelle selbst nicht, liegt aber innerhalb der ε-Nachbarschaft eines Kernpunkts, ist also dichte-erreichbar und schließt sich dessen Cluster an. Jeder Punkt, der weder Kernpunkt noch von einem solchen dichte-erreichbar ist, wird als Rauschen bezeichnet — ein Ausreißer, der zu keinem Cluster gehört.

Epsilon legt den Radius der um jeden Punkt durchsuchten Nachbarschaft fest; minPts legt fest, wie viele Nachbarn (den Punkt selbst eingeschlossen) erforderlich sind, damit ein Punkt als dicht genug für einen Kernpunkt gilt. Ein höheres ε oder ein niedrigeres minPts erleichtert das Erreichen der Dichteschwelle, sodass Cluster wachsen und verschmelzen und weniger Punkte als Rauschen enden. Ein niedrigeres ε oder ein höheres minPts macht die Schwelle strenger, sodass nur die dichtesten Gruppen als Cluster überleben und alles Lockerere als Rauschen neu klassifiziert oder in kleinere Cluster aufgespalten wird.

Eine einfache Regel wie „Markiere jedes Konto mit mehr als N Transaktionen pro Woche“ behandelt jedes Konto unabhängig und ignoriert, wie Konten zueinander in Beziehung stehen. Geldwäscheringe zeigen sich typischerweise als eine kleine Gruppe von Konten, die ungewöhnlich eng über mehrere Merkmale gleichzeitig geclustert sind — ähnliche Transaktionshäufigkeit, ähnlicher Betrag (oft knapp unter einer Meldeschwelle, ein Muster namens Structuring) und hohe Netzwerk-Zentralität — während sie einzeln betrachtet unauffällig wirken. DBSCAN erkennt genau das: eine kompakte, ungewöhnlich dichte Gruppe eng beieinanderliegender Punkte, was Einzelmerkmal-Schwellenwerte nicht sehen können, da kein einzelner Merkmalswert für sich genommen extrem ist.

Ein Punkt q ist direkt dichte-erreichbar von einem Kernpunkt p, wenn q innerhalb der ε-Nachbarschaft von p liegt. Dichte-Erreichbarkeit ist die transitive Hülle dieser Relation — q ist von p dichte-erreichbar, wenn es eine Kette von Kernpunkten p = p1, p2, ..., pn = q gibt, bei der jeder vom vorherigen direkt dichte-erreichbar ist. Zwei Punkte p und q sind dichte-verbunden, wenn ein Kernpunkt o existiert, von dem aus sowohl p als auch q dichte-erreichbar sind. Die Cluster von DBSCAN sind genau die maximalen Mengen dichte-verbundener Punkte; diese Verkettung erlaubt es einem einzelnen Cluster, sich durch nicht-konvexe, unregelmäßig geformte Regionen zu schlängeln, statt nur runde Blobs zu bilden.

DBSCAN verwendet ein einziges globales ε und minPts für den gesamten Datensatz und tut sich daher schwer, wenn Cluster sehr unterschiedliche Dichten aufweisen — eine für einen engen Geldwäschering abgestimmte Einstellung kann einen lockeren, gewöhnlichen Cluster als Rauschen verschlucken oder umgekehrt (Algorithmen wie OPTICS und HDBSCAN begegnen dem mit einem variablen Dichteansatz). Es skaliert außerdem ohne einen räumlichen Index wie einen k-d-Baum ungefähr quadratisch mit der Anzahl der Punkte, und die Ergebnisse hängen von der Wahl einer sinnvollen Distanzmetrik und Merkmalsskalierung ab, da Merkmale auf sehr unterschiedlichen Skalen verzerren können, welche Punkte als „nah“ gelten.