Der Isolation Forest verständlich erklärt

Eine Sonderfahrt liegt abseits der übrigen Touren und steht nach wenigen Zufallsschnitten allein, eine normale Tour braucht viele. Das ist die Idee des Isolation Forest. Die zugehörige Demo zeigt dieses eine Verfahren an wachsenden Beispielen, mit Siegen und Niederlagen. Diese Seite erklärt es zuerst ohne Formeln und danach für Fachleute mit Modell, Formeln, Messwerten und Grenzen.

Zuletzt aktualisiert: 28. Oktober 2026

Ein Wort unbekannt? Das Begriffsverzeichnis erklärt es in wenigen Sätzen.

Wer abseits steht, ist schnell allein

Stellen Sie sich zwölf Kennzahlen je Lieferroute vor. Jede Tour ist dann ein Punkt in einer Wolke. Die meisten Punkte liegen dicht beieinander, ein paar Sonderfahrten weit außerhalb.

Der Isolation Forest (auf Deutsch etwa „Isolationswald“) fragt nicht, wie ein normaler Punkt aussieht. Er fragt: Wie schnell lässt sich dieser Punkt vom Rest abtrennen? Dazu wählt er ein zufälliges Merkmal und legt einen Schnitt an eine zufällige Stelle zwischen dem kleinsten und dem größten Wert. Dann schneidet er die entstandenen Teile weiter, bis jede Tour allein ist.

Warum Auffälliges früh allein steht

Eine Sonderfahrt liegt abseits. Schon wenige Zufallsschnitte trennen sie von den anderen, denn auf ihrer Seite gibt es kaum Nachbarn. Eine normale Tour steckt mitten im Rest. Jeder Schnitt trifft sie zusammen mit vielen anderen, und es dauert lange, bis sie allein ist.

Die Zahl der Schnitte bis zur Einzelstellung heißt Pfadlänge. Ein einzelner zufälliger Baum kann Pech haben. Deshalb baut das Verfahren viele davon, den „Wald“, und mittelt die Pfadlängen. Daraus entsteht der Anomalie-Wert: Je kürzer der mittlere Pfad, desto auffälliger die Tour.

Jeder Baum sieht nur eine kleine zufällige Auswahl der Touren. Das ist Absicht: So verdecken sich dichte Anomaliegruppen weniger gegenseitig.

Was daran anders ist als bei der Ellipse

Ein anderes Verfahren der Anomalie-Erkennung, die robuste Ellipse (Elliptic Envelope), beschreibt die normalen Touren als eine einzige Wolke und markiert, was außerhalb liegt. Der Isolation Forest braucht dafür weder eine Verteilungsform noch einen einzigen Normalbereich, und er kommt auch zurecht, wenn es weniger Touren als Merkmale gibt. Bei vielen Rauschmerkmalen und bei weniger Touren als Merkmalen hat er in den Messungen der Demo die stärkere Rangfolge als die Ellipse. Verglichen wird er dort mit klassischer und robuster Ellipse.

Wo liegt der Haken?

Die Schwelle. Der Anomalie-Wert ist keine Wahrscheinlichkeit. Die Faustregel „über der Mitte ist auffällig“ passt nur bei vielen Touren, und wenn viele unwichtige Merkmale dazukommen, rücken auch die Werte der echten Anomalien näher an diese Mitte heran. Die Rangfolge der Touren bleibt dann gut, aber die feste Schwelle findet viele Anomalien nicht mehr. Das Verfahren ist ein guter Sortierer, aber kein Entscheider.

Dichte Gruppen und Lücken. Liegen viele Anomalien dicht beieinander, sind sie selbst eine Gruppe und lassen sich schwer abtrennen. Wird ihr Anteil sehr groß, bilden sie den Normalbereich. Auch Anomalien in der Lücke zwischen zwei normalen Betriebsarten fallen kaum auf.

Achsenparallele Schnitte. Die Schnitte laufen immer entlang einer Merkmalsachse. Gedrehte Daten werden deshalb anders bewertet, und neben dem Datenbereich ergeben sich Bänder entlang der Achsen: Punkte in den Ecken außerhalb des Datenbereichs werden anders bewertet als Punkte im gleichen Abstand neben dem Datenbereich.

Wie ernst ist das Modell zu nehmen?

Die Daten der Demo sind künstlich erzeugt: zwei versteckte Faktoren, gemischt zu den Kennzahlen, mit zufälligem Rauschen. Die Anomalien liegen weit draußen, was allen Verfahren entgegenkommt. Die Demo zeigt, wie die Mechanik wirkt und wo sie versagt, nicht wie gut das Verfahren in einem echten Betrieb wäre.

Hinweis: Alle Demos rechnen mit synthetischen oder frei verfügbaren Beispieldaten und laufen auf einem externen Anbieter (Datenschutz). Bitte geben Sie darin keine vertraulichen oder personenbezogenen Daten ein. Die Ergebnisse gelten für die jeweilige Demo-Instanz und lassen sich nicht ungeprüft auf reale Fälle übertragen; für darauf gestützte Entscheidungen übernehme ich keine Gewähr.

Modell und Annahmen

Dieser Teil ist eigenständig lesbar. Er fasst die formale Beschreibung der Demo zusammen; die vollständige Fassung steht im Expander „📐 Mathematische Formulierung“ der Demo.

• Szenario: Lieferrouten-Kennzahlen aus zwei versteckten Faktoren (12 Kennzahlen), mit Betriebsarten, Krümmung und Anomalien als verstreute Punkte, dichte Gruppe oder in der Lücke, jeweils mit exaktem Anteil. Neu gegenüber der Demo zur robusten Ellipse (Elliptic Envelope) sind Rauschmerkmale: unabhängige Spalten (Mittel 50, Streuung 10).
• Wald: Jeder Baum zieht eine Unterstichprobe der Größe \(\psi\) ohne Zurücklegen (Standard 256). Je Knoten wird ein zufälliges nicht konstantes Merkmal geschnitten, bis jede Tour allein ist, gleiche Punkte im selben Blatt liegen oder die Tiefe \(\lceil \log_2 \psi \rceil\) erreicht ist.
• Schwelle: Standard ist der Anomalie-Wert über 0,5 (Faustregel, nicht kalibriert) oder ein angenommener Anteil, bei dem die größten Werte markiert werden. Die Verteilung des Scores unter einem Normalmodell fehlt.
• Vergleich: klassische und robuste Ellipse (FastMCD), wie in der Demo zur robusten Ellipse, mit dem χ²-Quantil 0,975.
• Invarianz: Skalierung und Verschiebung ändern den Score nicht, Drehungen schon, weil die Schnitte achsenparallel sind.

Der Isolationsbaum

Auf einer Unterstichprobe \(S\) mit \(|S| = \psi\) wird je Knoten mit Punktmenge \(Q\) ein Merkmal \(q\) zufällig unter den nicht konstanten gewählt und der Schnittpunkt \(t\) gleichverteilt zwischen dem kleinsten und dem größten Wert im Knoten gezogen:

\[t \sim U(\min_{x \in Q} x_q, \max_{x \in Q} x_q)\]

Links landet, was kleiner als \(t\) ist, rechts der Rest. Der Schnittpunkt hängt nur von Minimum und Maximum ab, deshalb ändern Skalierung und Verschiebung eines Merkmals den Baum nicht.

Pfadlänge und Anomalie-Wert

Die Pfadlänge einer Tour ist die Zahl \(e\) der Schnitte bis zum Blatt, vermehrt um eine Korrektur für die dort nicht mehr getrennten Touren:

\[h(x) = e + c(|Q_\text{Blatt}|)\]

Die Korrektur \(c(n)\) ist die mittlere Pfadlänge einer erfolglosen Suche in einem binären Suchbaum über \(n\) Punkte (\(\gamma\) ist die Euler-Konstante, für \(n > 2\); \(c(2) = 1\), \(c(1) = 0\)):

\[c(n) = 2\,(\ln(n-1) + \gamma) - 2(n-1)/n\]

Der Anomalie-Wert normiert die mittlere Pfadlänge über die Bäume des Waldes mit \(c(\psi)\):

\[s(x, \psi) = 2^{-E[h(x)] / c(\psi)}\]

Geht die mittlere Pfadlänge gegen null, geht \(s\) gegen 1 (sehr leicht zu isolieren). Entspricht sie \(c(\psi)\), ist \(s\) gleich 0,5, kein Unterschied zu einer erfolglosen Suche. Große Pfadlängen führen gegen 0 (sehr dicht).

Befunde

Alle Zahlen stammen aus der Messreihe der Demo und gelten, soweit nicht anders genannt, für das Standardszenario: 300 Touren, 12 Merkmale, 10 % verstreute Anomalien im Abstand 6 Faktor-σ, ein Normalbereich, Rauschen 0,25; 100 Bäume, ψ = 256, Score-Schwelle 0,5 bzw. χ²-Quantil 0,975; Mittel über 5 feste Datensätze. Abweichende Bedingungen stehen in der jeweiligen Zeile. Verglichen wird mit klassischer und robuster Ellipse.

Frage	Befund
Standardszenario	Die Rangfolge ist bei Isolation Forest und robuster Schätzung perfekt (AUC 1,00, klassisch 0,95). F1 an der Standardschwelle: 0,96 beim Isolation Forest (Fehlalarmrate 0,9 %) gegen 0,84 bei der robusten Schätzung (3,9 %) und 0,57 bei der klassischen.
Rauschmerkmale	Bei 40 Rauschmerkmalen bleibt die AUC 0,99 (robust 0,88, klassisch 0,79), aber der Recall bei der Schwelle 0,5 fällt auf 0,39 (F1 0,56; mit bekanntem Anteil 0,84): Die Scores der Anomalien rücken an 0,5 heran.
Schwelle und Anteil	Score-Schwelle 0,45 / 0,5 / 0,55 / 0,6 / 0,65: F1 0,82 / 0,96 / 0,97 / 0,83 / 0,55. Bei 20 Touren liegt die Fehlalarmrate bei 0,156 (mittlerer Score der Normalen 0,435 gegen 0,376 bei 300 Touren). Ein falsch angenommener Anteil (½× / 2×) senkt F1 von 0,97 auf 0,67, bei allen drei Detektoren.
Dichte Gruppe abseits	AUC des Isolation Forest 0,95 / 0,85 / 0,70 / 0,40 bei einem Anomalieanteil von 10 / 20 / 30 / 40 %; die robuste Schätzung 1,00 / 1,00 / 0,49 / 0,39. Ein kleines ψ hilft: bei 30 % AUC 0,84 mit ψ = 16 gegen 0,70 mit ψ = 256.
Anomalien in der Lücke	Zwei Betriebsarten, 10 % Anomalien dazwischen: AUC 0,54 (klassisch und robust 0,40), F1 0,02, denn die Anomalien sind als dichte Gruppe selbst ein Modus. Bei 2 % verstreuten Lücken-Anomalien liegt die AUC bei 0,81.
Geister-Regionen	Rasterpunkte im gleichen Abstand zum nächsten Datenpunkt: Punkte außerhalb beider Wertebereiche („Ecken“) haben einen um 0,06 bis 0,08 höheren mittleren Score als Punkte neben dem Datenbereich („Korridore“), bei 1 bis 2 σ Abstand. Die Bänder entlang der Achsen sind die Folge achsenparalleler Schnitte.

Grenzen

• Gute Rangfolge, schlechte Entscheidung: Der Score ist keine kalibrierte Wahrscheinlichkeit. Die Schwelle 0,5 stimmt nur für große Stichproben und große ψ (ψ = 16: Fehlalarmrate 0,18, F1 0,56, die AUC bleibt 1,00) und ist bei vielen Rauschmerkmalen zu hoch. Der Isolation Forest ist ein Detektor ohne eingebaute Entscheidung.
• Der angenommene Anteil ist Vorwissen: Die Standardeinstellung entspricht dem wahren Anteil. Bei ½× oder 2× fällt F1 von 0,97 auf 0,67, bei allen drei Detektoren gleich, denn dann entscheidet nur die Rangfolge.
• Masking: Eine dichte Gruppe abseits ist auch in der Unterstichprobe dicht. Bis zu einem Anomalieanteil von 25 % ist die robuste Schätzung besser, bei 30 % kippt sie (0,49), der Isolation Forest bleibt über Raten (0,70). Ab 40 % versagen alle: Die Gruppe ist der Normalbereich.
• Kein Vorsprung in der Rangfolge bei gekrümmtem Normalbereich: Die AUC ist für alle drei Detektoren 1,00. Der F1-Unterschied (Isolation Forest 0,95 bis 0,98, robust mit χ²-Schwelle 0,49 bis 0,38, klassisch 0,90) entstand durch die χ²-Schwelle der robusten Ellipse, nicht durch den Detektor.
• Achsenparallele Schnitte: Sie erzeugen Geister-Regionen und sind nicht drehungsinvariant. Hier setzt der Extended Isolation Forest mit schrägen Schnitten an; nach der README verkleinert er die Bänder messbar, ändert an der Erkennung im Szenario aber nichts.
• Synthetische Daten: zwei Faktoren, lineare Mischung, weißes Gauß'sches Rauschen, feste Geometrie der Betriebsarten. Die Anomalien liegen im Faktorraum weit draußen (Abstand 3 bis 12 σ), was allen Verfahren entgegenkommt. Alle Aussagen gelten in diesem Modell, bei diesen Reglern.

Quellen

• Liu, Ting und Zhou: Isolation Forest.
• Hariri, Kind und Brunner: Extended Isolation Forest.
• Quelltext, Messreihe und Tests der Demo: github.com/sebastian-hanisch/isolation-forest-demo.

Die genannten Arbeiten wurden für diese Seite nicht nachgeschlagen; die Literaturhinweise stammen aus der README der Demo. Dort stehen nur die Namen, keine Jahreszahlen und Fundstellen.